รีวิวผลิตภัณฑ์: ชุดการจัดการข้อมูลประจำตัว Netwrix

ด้านล่างนี้คือคำแปลภาษาอังกฤษของบทวิจารณ์ผลิตภัณฑ์ของ Netwrix Identity Management Suite เดิมโพสต์นี้โดย Damir Dizdarevic ในบล็อกของเขาเมื่อเดือนที่แล้ว และยังเผยแพร่ในชุมชนไอทีบอสเนีย-เฮอร์เซโกวีเนียในพื้นที่บนเว็บไซต์ Info.ba ด้วย เรารู้สึกยินดีและภาคภูมิใจเสมอที่ได้เห็นผู้เชี่ยวชาญด้านไอทีจากต่างประเทศทบทวนโซลูชันของเราและสัมผัสกับคุณค่าของพวกเขา

การตรวจสอบผลิตภัณฑ์: ชุดการจัดการข้อมูลประจำตัวของ Netwrix: “ถูกต้อง”

เมื่อไม่กี่เดือนที่ผ่านมา เราได้เขียนเกี่ยวกับเครื่องมือ Change Reporter จาก Netwrix Corporation และพบว่ามีความประทับใจอย่างมาก มาดูกันว่าชุดเครื่องมือ Netwrix สำหรับการจัดการข้อมูลประจำตัวจะใช้คุณลักษณะเดียวกันหรือไม่

ข้อมูลระบุตัวตนและการจัดการทั่วไปของบริการและบัญชีผู้ใช้ รหัสผ่านและสิ่งอื่นๆ ที่เกี่ยวข้องเป็นกิจวัตรประจำวันสำหรับผู้ดูแลระบบ AD เกือบทุกคน ระบบอัตโนมัติของกระบวนการเหล่านี้มักต้องมีการซื้อและปรับใช้โซลูชันที่มีราคาแพงและซับซ้อน เช่น Microsoft Forefront Identity Manager หรือเครื่องมือที่คล้ายกันจากผู้จำหน่ายซอฟต์แวร์รายอื่น หรือคุณสามารถเขียนและใช้สคริปต์สำหรับงานเหล่านี้ได้ แต่โซลูชันดังกล่าวมักจะสนับสนุนได้ยากและไม่ใช่เรื่องง่ายที่จะนำไปใช้อย่างแน่นอน และนี่คือที่มาของโซลูชันการจัดการข้อมูลประจำตัวแบบบูรณาการจาก Netwrix

Netwrix Identity Management Suite ประกอบด้วยผลิตภัณฑ์อิสระขนาดใหญ่หลายตัว ซึ่งสามารถติดตั้งแยกกันหรือติดตั้งพร้อมกันก็ได้ ข้อกำหนดเบื้องต้นไม่ใหญ่นัก คุณจะต้องมีเซิร์ฟเวอร์สมาชิกที่ใช้ Windows 2003 หรือใหม่กว่า (สามารถติดตั้งบนตัวควบคุมโดเมนได้ แต่ไม่จำเป็นและไม่แนะนำ) ติดตั้งโดยมีบทบาทเว็บเซิร์ฟเวอร์รวมอยู่ด้วยหรือ IIS .NET Framework และ Silverlight สำหรับฟีเจอร์การรายงาน เครื่องมือบางอย่างต้องใช้ SQL Server Express /SQL Server เวอร์ชันเต็ม (ถ้ามี)

ตัวจัดการรหัสผ่าน Netwrix

ตอนนี้เรามาดูกันว่าองค์ประกอบใดบ้างที่ประกอบเป็นชุด Netwrix Identity Management สำหรับฉันส่วนที่น่าสนใจที่สุดคือ Netwrix Password Manager การสนับสนุนลูกค้าเนื่องจากปัญหาเกี่ยวกับรหัสผ่านและบัญชีที่ถูกล็อคทำให้ผู้ดูแลระบบหรือบริการสนับสนุนแต่ละคนได้รับประโยชน์อย่างมาก - Active Directory ไม่อนุญาตให้มีการบริการตนเองใดๆ สำหรับผู้ใช้ (ในแง่ของการรีเซ็ตรหัสผ่านที่ลืมและบัญชีที่ปลดล็อค) และ ดังนั้นงานทั้งหมดจึงถูกโอนไปฝ่ายบริหาร เฉพาะผลิตภัณฑ์เช่น ForeFront Identity Manager เท่านั้นที่มีฟังก์ชันการทำงานในระดับหนึ่งในเรื่องนี้ แต่การใช้งาน FIM เพื่อให้บรรลุฟังก์ชันการทำงานนี้ไม่ใช่วิธีแก้ปัญหาที่ดีที่สุด

Netwrix Password Manager เป็นเพียงการให้บริการตนเองในแง่ของบัญชีและรหัสผ่านสำหรับผู้ใช้ หลังจากการใช้งานส่วนประกอบนี้และการกำหนดค่าที่เหมาะสม ผู้ใช้จะมีโอกาส , เพื่อรีเซ็ตรหัสผ่านที่ลืมของตนเองหรือปลดล็อคบัญชีที่ถูกล็อคผ่านอินเทอร์เฟซบนเว็บที่เรียบง่าย ก่อนที่ฟังก์ชันนี้จะพร้อมใช้งาน ผู้ดูแลระบบต้องทำสองสิ่งที่เกี่ยวข้องกับการกำหนดค่าก่อน ในพอร์ทัลการดูแลระบบ คุณสามารถกำหนดค่าหัวเรื่องและข้อความของไซต์บริการตนเอง ตั้งค่าโลโก้บริษัท ข้อมูลติดต่อเพื่อรับการสนับสนุน และลิงก์ไปยังเอกสารที่ระบุข้อกำหนดสำหรับรหัสผ่าน

นอกจากนี้ ยังสามารถจัดการฟังก์ชันการทำงานที่มีอยู่ได้ - ผู้ใช้สามารถเปิดใช้งานคุณสมบัติอย่างน้อยหนึ่งอย่างต่อไปนี้: รีเซ็ตรหัสผ่าน ตั้งค่าตัวเลือกเพื่อเปลี่ยนรหัสผ่านของคุณในการเข้าสู่ระบบครั้งถัดไป ตั้งค่าตัวเลือก “รหัสผ่านไม่มีวันหมดอายุ” ในบัญชี ปลดล็อคบัญชี และอัปเดตรหัสผ่านที่มีอยู่ (ในความรู้ก่อนหน้า) คุณสมบัติเฉพาะเหล่านี้สามารถเปิดหรือปิดได้ตามต้องการ

หลายๆ คนอาจเลือกที่จะไม่อนุญาตให้ผู้ใช้ตั้งค่าคุณลักษณะ เช่น "รหัสผ่านไม่มีวันหมดอายุ" ในบัญชีของตน น่าเสียดายที่ในเวอร์ชันนี้คุณไม่สามารถควบคุมแบบต่อผู้ใช้ (หรือกลุ่มผู้ใช้) ได้ เนื่องจากตัวเลือกในการปรับเปลี่ยนส่วนการดูแลระบบมีผลกับผู้ใช้บริการตนเองทั้งหมด มิฉะนั้น ตัวเลือกการบริการตนเองเกือบทั้งหมดจะขึ้นอยู่กับเทคนิคการตอบสนองต่อความท้าทายและคำตอบที่กำหนดไว้ล่วงหน้าสำหรับคำถาม นี่เป็นเทคนิคที่รู้จักกันดีในการรีเซ็ตรหัสผ่านที่ใช้บนอินเทอร์เน็ตมานานหลายปี แต่ใน AD ตามการออกแบบแล้ว ไม่ได้รับการสนับสนุน คุณสามารถกำหนดคำถามทั้งหมด 8 ข้อที่ใช้เพื่อจุดประสงค์นี้ (เช่น นามสกุลเดิมของแม่ ชื่อของสัตว์เลี้ยงตัวแรก ฯลฯ) แต่คุณสามารถเพิ่มคำถามของคุณเองหรือแก้ไขคำถามที่มีอยู่ได้ ผู้ใช้แต่ละคนในระหว่างขั้นตอนการลงทะเบียนจะต้องเลือกคำถามที่จะใช้เป็นของตนเอง และตั้งคำตอบที่มีเพียงพวกเขาเท่านั้นที่รู้

ฝ่ายธุรการอนุญาตให้มีการกำหนดค่าในแง่ที่ว่าคุณสามารถกำหนดความยาวขั้นต่ำของคำตอบสำหรับคำถามใดๆ จำนวนคำถามขั้นต่ำที่ต้องตั้งค่าเมื่อลงทะเบียน และจำนวนคำตอบขั้นต่ำที่ต้องระบุเพื่อปลดล็อค บัญชีและทำการรีเซ็ตรหัสผ่าน นอกจากนี้ ยังสามารถกำหนดข้อจำกัดว่าคำถามจำนวนมากขึ้นมีคำตอบเดียวกัน หรือคำตอบนั้นมีสตริงใดๆ ก็ตามที่กล่าวถึงในคำถาม ตัวเลือกที่มีประโยชน์มากซึ่งเสริมความแข็งแกร่งให้กับระบบความปลอดภัยทั้งหมดอย่างแน่นอน สิ่งที่น่าสนใจอย่างยิ่งคือผู้ใช้อาจจำเป็นต้องกำหนดไม่เพียงแต่คำตอบเท่านั้น แต่ยังรวมถึงคำถามด้วย.. ด้วยวิธีนี้เราจึงได้รับความปลอดภัยในระดับสูง แต่ยังมีการกำหนดค่าที่ค่อนข้างไม่สอดคล้องกันด้วย ดังนั้นจึงขอแนะนำให้พิจารณาเรื่องนี้ก่อนที่จะอนุญาตให้ผู้ใช้สามารถกำหนดได้ คำถามของพวกเขาเอง

เหตุการณ์หรือการดำเนินการที่ดำเนินการโดยใช้พอร์ทัลบริการตนเองสามารถส่งต่อทางอีเมลไปยังผู้ดูแลระบบหรือบุคคลอื่นที่กำลังทำการตรวจสอบได้ นอกเหนือจากคอนโซลการดูแลระบบและคอนโซลสำหรับผู้ใช้แล้ว Netwrix Password Manager ยังมี Help Desk Portal อีกด้วย เว็บพอร์ทัลนี้ตามชื่อของมัน มีไว้สำหรับผู้ที่ทำงานในแผนกช่วยเหลือ เป็นทางเลือกแทนพอร์ทัลบริการตนเอง เว็บพอร์ทัลผ่านอินเทอร์เฟซช่วยให้ช่างเทคนิคฝ่ายสนับสนุนดำเนินงานที่ปลดล็อคบัญชีที่ถูกล็อคและรีเซ็ตรหัสผ่านได้อย่างรวดเร็วและมีประสิทธิภาพ นอกจากนี้ พอร์ทัลนี้ยังให้ความสามารถในการรายงานการดำเนินการที่ดำเนินการผ่านพอร์ทัลและลูกค้าที่ทำสิ่งนี้ในระบบการลงทะเบียนได้อย่างรวดเร็วและง่ายดาย

หรือหากคุณไม่ต้องการนำผู้ใช้ไปยังเว็บพอร์ทัลเพื่อดำเนินการเหล่านี้ คุณสามารถติดตั้งซอฟต์แวร์ไคลเอนต์ตัวจัดการรหัสผ่านบนคอมพิวเตอร์ไคลเอนต์เพื่อเข้าถึงรหัสผ่าน/บัญชีบริการตนเองสำหรับการดำเนินการด้วยหน้าจอการเข้าสู่ระบบ ในกรณีที่ติดตั้งไคลเอนต์ ผู้ใช้จะได้รับข้อเสนอให้ลงทะเบียนในระบบเมื่อเข้าสู่ระบบครั้งแรกหลังจากติดตั้งไคลเอนต์

ระบบการจัดการบัญชีและฟังก์ชันรหัสผ่านทั้งหมดนั้นค่อนข้างง่าย การดำเนินการทั้งหมดจะดำเนินการในบริบทของบริการที่ติดตั้งบนคอมพิวเตอร์/เซิร์ฟเวอร์ที่ Netwrix Password Manager และพอร์ทัลทำงาน บัญชีที่ใช้งานบริการสามารถระบุได้ในระหว่างการติดตั้งซอฟต์แวร์ และจะต้องได้รับสิทธิ์ในการจัดการบัญชีผู้ใช้ในแง่ของการรีเซ็ตรหัสผ่านและการปลดล็อค และการดำเนินการเพิ่มเติมบางอย่างที่แสดงอยู่ในเอกสารประกอบของซอฟต์แวร์ วิธีการนี้ค่อนข้างเป็นแบบแมนนวล แต่ช่วยให้ผู้ดูแลระบบสามารถควบคุมซอฟต์แวร์ได้อย่างสมบูรณ์

ผู้ตรวจสอบการล็อกบัญชี Netwrix

Netwrix Account Lockout Examiner เป็นซอฟต์แวร์ที่ค่อนข้างเรียบง่ายแต่มีประโยชน์มาก ซึ่งออกแบบมาเพื่อการจัดการบัญชี AD ที่ถูกล็อค และตรวจสอบสาเหตุของการล็อคบัญชีผู้ใช้ เมื่อเปิดตัว ระบบจะแสดงรายชื่อบัญชีผู้ใช้ที่ถูกล็อคก่อนหน้านี้ด้วยเหตุผลใดก็ตาม พร้อมด้วยข้อมูลเกี่ยวกับเวิร์กสเตชันที่มีการล็อคเกิดขึ้น ตัวควบคุมโดเมนที่ล็อคบัญชี และรายละเอียดเพิ่มเติมอีกเล็กน้อย

ยกเว้นความเป็นไปได้ในการปลดล็อคบัญชีโดยตรงจากคอนโซล แต่ยังสามารถใช้เพื่อค้นหาสาเหตุที่บัญชีถูกล็อคได้ ซึ่งทำได้โดยการรันชุดการทดสอบซึ่งรวมถึงการทดสอบงานที่กำหนดเวลาไว้ซึ่งทำงานภายใต้บัญชีนั้น (และผู้ที่อาจมีรหัสผ่านเก่าและทำให้เกิดการล็อค) ซึ่งใช้บัญชีบริการ ไดรฟ์ที่แมป หรือแชร์แอปพลิเคชันนี้ จุดมุ่งหมายคือผู้ดูแลระบบจะได้รับข้อมูลเชิงลึกโดยละเอียดมากขึ้นเกี่ยวกับสาเหตุที่อาจเป็นไปได้ว่าทำไมบัญชีจึงถูกล็อค หากไม่ใช่เหตุผลเล็กๆ น้อยๆ เช่น การลืมรหัสผ่าน นอกจากนี้ยังสามารถสร้างระบบอัตโนมัติในระดับหนึ่งในการจัดการบัญชีที่ถูกล็อคได้ เช่น ความสามารถในการปลดล็อคผ่านทางอีเมลจากผู้ดูแลระบบ หรือได้รับแจ้งทางไปรษณีย์เมื่อมีการล็อคเกิดขึ้น

เครื่องมือติดตามผู้ใช้ที่ไม่ได้ใช้งานของ Netwrix และตัวแจ้งเตือนการหมดอายุของรหัสผ่าน Netwrix

Netwrix Inactive Users Tracker เป็นส่วนหนึ่งของ Netwrix Identity Management Suite ที่ติดตามกิจกรรมของผู้ใช้ตลอดจนบัญชี และส่งการแจ้งเตือนตามนั้นหรือดำเนินการบางอย่าง เครื่องมือนี้มีประโยชน์มากและใช้งานง่าย ช่วยให้ผู้ดูแลระบบจัดการกับข้อกังวลที่พบบ่อย เช่น บัญชีเก่าและบัญชีที่เหลืออยู่ใน AD

การตั้งค่าแรกที่คุณควรกำหนดคือจำนวนวันนับตั้งแต่เข้าสู่ระบบครั้งล่าสุด หลังจากนั้นบัญชีจะถือว่าไม่มีการใช้งาน หลังจากนั้นคุณสามารถดำเนินการเพิ่มเติมได้ ตัวอย่างเช่น คุณสามารถส่งอีเมลไปยังผู้จัดการของผู้ใช้ที่ไม่ได้ใช้งาน หรือคุณสามารถตั้งรหัสผ่านแบบสุ่มให้กับบัญชี ปิดการใช้งานบัญชี หรือย้ายไปยัง OU อื่นได้โดยอัตโนมัติ ตัวเลือกสุดท้ายคือการลบบัญชี การดำเนินการแต่ละรายการสามารถกำหนดค่าได้แยกกันและสามารถปรับเปลี่ยนได้ตามจำนวนวันนับตั้งแต่เข้าสู่ระบบครั้งล่าสุด ในทางเทคนิคแล้ว เครื่องมือนี้จะอ่านแอตทริบิวต์การเข้าสู่ระบบล่าสุดในบัญชีผู้ใช้ และตามผลลัพธ์ จะใช้บัญชีบริการที่เหมาะสมเพื่อดำเนินการบางอย่าง

เครื่องมือที่เกี่ยวข้องจะอยู่ในคอนโซลเดียวกันเช่นกัน และเรียกว่า Netwrix Password Expiration Notifier องค์ประกอบนี้จะติดตามการเปลี่ยนแปลงรหัสผ่านครั้งล่าสุดในบัญชีผู้ใช้และสัมพันธ์กับค่าที่ตั้งไว้ของระยะเวลาสูงสุดของรหัสผ่านจะแจ้งให้ผู้ดูแลระบบหรือผู้ใช้ทราบว่าถึงเวลาเปลี่ยนรหัสผ่านใกล้เข้ามาแล้ว นี่เป็นเครื่องมือที่เรียบง่ายมาก แต่ใช้งานได้และให้ผู้ใช้สามารถเริ่มคิดเกี่ยวกับรหัสผ่านใหม่ล่วงหน้าได้

บทสรุป

สุดท้ายนี้ เป็นการยากที่จะพูดอะไร ยกเว้นว่าชุดเครื่องมือนี้อยู่ในรายการความปรารถนาของผู้ดูแลระบบ Active Directory ทุกคนอย่างแน่นอน เช่นเดียวกับชุดโซลูชันการตรวจสอบการเปลี่ยนแปลงที่เราตรวจสอบก่อนหน้านี้ Netwrix Identity Management Suite ใช้คุณลักษณะเดียวกัน กล่าวคือ ความง่ายในการใช้งานและการกำหนดค่า ความต้องการซอฟต์แวร์-ฮาร์ดแวร์ขั้นต่ำ และส่วนประกอบทั้งหมดของ Suite ก็เป็นไปตามที่เราคาดหวังไว้ เมื่อมองแวบแรก ทุกคนจะเห็นว่ามันช่วยปรับปรุงการทำงานกับข้อมูลประจำตัวดิจิทัลและบัญชีโดยทั่วไปได้อย่างมาก อย่างไรก็ตาม ควรสังเกตว่าสาขาที่เครื่องมือเหล่านี้ทำงานนั้นมีความละเอียดอ่อนมากและดังนั้นจึงมีความสำคัญมากในการทำความเข้าใจวิธีการทำงานของเครื่องมือแต่ละชิ้นและควบคุมการใช้งาน ค่าธรรมเนียมใบอนุญาตซึ่งอยู่ในช่วง 5.25 USD ต่อผู้ใช้ก็สมเหตุสมผลเช่นกัน และเราสามารถพูดได้ว่ามันปรับฟังก์ชันการทำงานได้อย่างเหมาะสม หลังจากประสบการณ์ 13 ปีในการทำงานกับบริการ Active Directory ฉันสามารถแนะนำซอฟต์แวร์นี้ให้กับผู้ดูแลระบบทุกคนได้จริงๆ