ปรับใช้และตั้งค่า Domain Controller — แนวทางปฏิบัติที่ดีที่สุด

ผู้ดูแลระบบไอทีได้ทำงานร่วมกับ Active Directory นับตั้งแต่เปิดตัวเทคโนโลยีใน Windows 2000 Server Windows 2000 Server เปิดตัวเมื่อวันที่ 17 กุมภาพันธ์ 2543 แต่ผู้ดูแลระบบจำนวนมากเริ่มทำงานกับ Active Directory ในปลายปี 2542 เมื่อเปิดตัวสู่การผลิต (RTM) เมื่อวันที่ 15 ธันวาคม 2542

มีแนวทางปฏิบัติที่ดีบางประการที่ต้องปฏิบัติตามเมื่อปรับใช้ DC แนวปฏิบัติเหล่านี้หลายประการได้รับการบันทึกไว้ แต่มีองค์กรไม่มากนักที่นำแนวปฏิบัติเหล่านี้ไปใช้

วิธีการปรับใช้และตั้งค่า Domain Controller

เราจะข้ามแนวทางปฏิบัติที่ดีที่รู้จักกันดี เช่น การบำรุงรักษาฐานข้อมูล Active Directory บนแกนหมุนของดิสก์ชุดเดียว ไฟล์บันทึกบนแกนหมุนของดิสก์ที่แยกจากกัน และระบบปฏิบัติการบนชุดแกนหมุนของดิสก์ของตัวเอง

แนวทางปฏิบัติที่ดีบางส่วนที่นำไปใช้น้อยสำหรับตัวควบคุมโดเมนคือ:

• เรียกใช้การติดตั้งเซิร์ฟเวอร์ Core ของระบบปฏิบัติการ

ผู้ดูแลระบบจำนวนมากหลีกเลี่ยงการเปลี่ยนแปลง โดยเฉพาะอย่างยิ่งสำหรับระบบเช่น AD DS ที่มีเสถียรภาพอย่างไม่น่าเชื่อ ดังนั้นเมื่อผู้ดูแลระบบคนใหม่เสนอให้เปลี่ยนไปใช้การติดตั้ง Server Core เขามักจะพบกับสายตาเยือกเย็น แต่ความจริงก็คือผู้ดูแลระบบส่วนใหญ่ดูแล AD DS จากระยะไกลโดยเปิดใช้ ADUC หรือ PowerShell บนไคลเอนต์หรือคอมพิวเตอร์ผู้ดูแลระบบ เครื่องมือการจัดการหลักทั้งหมด รวมถึง Active Directory Administrative Center (ADAC) และ Windows PowerShell ทำงานเกือบจะเหมือนกันเมื่อใช้ภายในเครื่องบน DC หรือระยะไกลจากคอมพิวเตอร์ไคลเอนต์หรือคอมพิวเตอร์ผู้ดูแลระบบ ดังนั้น การย้ายไปยังการติดตั้ง Server Core ประสบการณ์การดูแลระบบจะไม่ลดลง และคุณจะได้รับการปรับปรุงความปลอดภัยและการปรับปรุงประสิทธิภาพเล็กน้อย

• อย่าใช้งานซอฟต์แวร์หรือบริการอื่นบน DC

ย้อนกลับไปในสมัยก่อน เช่น เมื่อ 10 ปีที่แล้ว องค์กรส่วนใหญ่ใช้เซิร์ฟเวอร์จริง เนื่องจากระบบเสมือนจริงยังอยู่ในช่วงเริ่มต้น ดังนั้น เมื่อถึงเวลาจัดเตรียมเซิร์ฟเวอร์ไฟล์ เซิร์ฟเวอร์ DHCP หรือเซิร์ฟเวอร์การพิมพ์ใหม่ ผู้ดูแลระบบมักจะแตะเซิร์ฟเวอร์ที่มีอยู่ DC ก็มักใช้เช่นกัน ก้าวไปข้างหน้าอย่างรวดเร็วสู่ปี 2015 เมื่อการจำลองเสมือนเป็นมาตรฐานโดยพฤตินัยและการจัดเตรียมแบบอัตโนมัติช่วยส่งมอบ VM ใหม่ได้ภายในไม่กี่นาที และวิธีการทำสิ่งต่าง ๆ แบบเก่านั้นแทบจะไม่น่าสนใจเท่าที่ควร ในตอนนี้ เมื่อคุณต้องการพื้นที่สำหรับเซิร์ฟเวอร์ไฟล์ เซิร์ฟเวอร์ DHCP เซิร์ฟเวอร์การพิมพ์ หรือเซิร์ฟเวอร์แอปพลิเคชันอื่นๆ คุณสามารถจัดเตรียม VM ใหม่ได้ หรือดีกว่านั้น คุณสามารถจัดเตรียม VM ใหม่เป็นเซิร์ฟเวอร์ยูทิลิตี้ได้ เซิร์ฟเวอร์ยูทิลิตี้คือเซิร์ฟเวอร์ที่โฮสต์แอปพลิเคชันและบริการทั้งหมดที่มีขนาดเล็กเกินไปที่จะรับประกันเซิร์ฟเวอร์เฉพาะ สิ่งนี้ทำให้ DC ของคุณยึดติดกับบริการเฉพาะซึ่งนำมาซึ่งความเสถียรมากขึ้น

• ปรับลำดับการเริ่มต้นและตั้งรหัสผ่าน BIOS

แม้ว่า DC การอ่าน-เขียนทั้งหมดของคุณควรอยู่ในศูนย์ข้อมูลที่ปลอดภัย แต่ก็มีบุคลากรด้านไอทีและไม่ใช่ไอทีจำนวนมากที่สามารถเข้าถึงศูนย์ข้อมูลได้ ตัวอย่างเช่น ช่างไฟฟ้าตามสัญญาที่ทำงานเกี่ยวกับระบบทำความเย็นจะมีสิทธิ์เข้าถึงศูนย์ข้อมูล นอกจากนี้ ยังมีคนเครือข่าย คนวางสาย และฝ่ายจัดการไอทีที่มีสิทธิ์เข้าถึงศูนย์ข้อมูลอีกด้วย ใครก็ตามที่สามารถเข้าถึง DC ทางกายภาพจะสามารถเข้าถึง DC ทางกายภาพได้ภายในเวลาเพียงไม่กี่นาทีที่คอนโซลในศูนย์ข้อมูล มีอิมเมจสำหรับบูตฟรีแวร์พิเศษที่คุณสามารถใช้เพื่อบูตและรีเซ็ตรหัสผ่าน ติดตั้งมัลแวร์ หรือเข้าถึงข้อมูลดิสก์ โดยสมมติว่าดิสก์ไม่ได้เข้ารหัส เพื่อหลีกเลี่ยงปัญหานี้ ให้ดำเนินการกำหนดค่าต่อไปนี้:

• ตรวจสอบให้แน่ใจว่าสื่อแบบถอดได้ทั้งหมดไม่ได้เป็นส่วนหนึ่งของลำดับการบูต BIOS เฉพาะฮาร์ดดิสก์ที่ติดตั้งระบบปฏิบัติการเท่านั้นที่ควรเป็นส่วนหนึ่งของลำดับการบู๊ต สิ่งนี้จะเกิดขึ้นกับเซิร์ฟเวอร์โฮสต์การจำลองเสมือนของคุณด้วย หากคุณมี DC เสมือน

• ตั้งรหัสผ่าน BIOS ที่รัดกุม หากคุณไม่ได้ตั้งรหัสผ่าน BIOS บุคคลอื่นสามารถอัปเดตลำดับการบูต บูตไปที่สื่อการติดตั้ง Windows Server หรือชุดเครื่องมือฟรีแวร์จำนวนมาก ทำการซ่อมแซมเพื่อไปที่พร้อมท์คำสั่ง เมื่อได้รับคำสั่ง พวกเขาสามารถสร้างความหายนะและรีเซ็ตรหัสผ่านสำหรับบัญชีโดเมนได้อย่างรวดเร็ว

• เก็บ DC ไว้ในตู้ที่ล็อค แม้ว่ารหัสผ่าน BIOS จะเป็นระดับการรักษาความปลอดภัยชั้นหนึ่ง แต่หากผู้โจมตีมีความสามารถกึ่งหนึ่ง เขาหรือเธอก็อาจจะรู้วิธีรีเซ็ต BIOS เพื่อให้การรีเซ็ตการกำหนดค่าและรหัสผ่านถูกลบออก บ่อยครั้งจำเป็นต้องเข้าถึงเมนบอร์ด คุณสามารถลดความเสี่ยงของการโจมตีดังกล่าวได้โดยการเก็บ DC ไว้ในตู้ที่ล็อคไว้ เซิร์ฟเวอร์บางแห่งยังอนุญาตให้มีการล็อคแชสซีด้วย ในสภาพแวดล้อมที่มีความปลอดภัยสูง คุณควรเลือกทั้งสองอย่าง

• กำหนดมาตรฐานของการกำหนดค่าตัวควบคุมโดเมนทั้งหมด

คุณควรพยายามจับคู่การตั้งค่าการกำหนดค่าสำหรับ DC แต่ละตัว คุณสามารถบรรลุผลสำเร็จบางส่วนได้โดยใช้การสร้างอัตโนมัติผ่านเครื่องมือการปรับใช้ เช่น System Center Configuration Manager สิ่งที่น่าสนใจสำหรับ DC คือการตั้งค่าขนาดบันทึกเหตุการณ์เพื่อให้แน่ใจว่าคุณมีขนาดใหญ่เพื่อเก็บข้อมูลการตรวจสอบและความปลอดภัย การตั้งค่าการบูต เช่น การหมดเวลารอการเลือกระบบปฏิบัติการบนเซิร์ฟเวอร์จริง เวอร์ชันและการตั้งค่าเฟิร์มแวร์และ BIOS และการกำหนดค่าฮาร์ดแวร์ . แน่นอนว่า ยังมีรายการการกำหนดค่าอื่นๆ อีกมากมายเพื่อสร้างมาตรฐานโดยใช้นโยบายกลุ่ม เป้าหมายหลักคือการกำหนดค่า DC ให้เหมือนกัน

ข้อมูลเพิ่มเติมเกี่ยวกับ Active Directory basec คุณจะพบได้ในบทช่วยสอน AD สำหรับผู้เริ่มต้น