Книга Active directory

191 Группы t

Глава 4

jJzJ

I В nxma

L соПсмзcan/!га AG_Acc<xr*ng_Pft»<''corto«com/f. АО._Ссоег_лрв*гчхвcortotoconfi• ACi^fiUduet_Pe4S«n«icoftotocom't- *CL_Bulj«<_4re«*cortoeo ccWT

ACL_Compjny£har«cortooo4T«с«пЛI

J j

Рис. 4-7. Выбор группы no префиксу с целью	сокращения	с п и с к а г р у п п	в п о и с к е
• Подробные сведения о назначении	группы в	з а м е т к а х	П о л е З а м е т к и

(Notes) в нижней части вкладки Общие (General) диалогового окна С в о й с - тва (Properties) группы можно использовать для д о к у м е н т и р о в а н и я на - значения группы. Например, вы можете перечислить папки, р а з р е ш е н и я доступа к которым имеет группа (рис. 4-8).

1 С 'ifTTI а*зх«ФМШа

budMpXT]

н/п/юяг» [UMT]

Оп-г— I ГЪмв»*,

Рис. 4-8. Диалоговое окно свойств группы с полем з а м е т о к , где указаны данные о назначении группы

Защита групп от случайного удаления

Удаление группы серьезно влияет на администрирование и безопасность . Рассмотрим группу, которая служит для управления доступом к ресурсу. Е с л и

Занятие 3

удалить эту группу, доступ к ресурсу будет изменен. Пользователи, которые раньше получали доступ, могут столкнуться со сценарием отказа в обслуживании Denial-Of-Service. Если же группе был назначен запрет доступа (Deny) к ресурсу, после удаления группы доступ к ресурсу могут получить пользователи, для которых он был запрещен.

Кроме того, при воссоздании группы новый объект группы получит новый SID-идентификатор, отличающийся от SID-идентификаторов в списках контроля доступа (ACL) к ресурсам. Поэтому пока не истекло время жизни памятника объекта, вместо повторного создания следует восстановить объект, чтобы вернуть удаленную группу. По истечении времени жизни памятника объекта (по умолчанию — 60 дней) группа и ее SID-идентификатор окончательно удаляются из Active Directory. При реанимации объекта памятника нужно воссоздать большую часть его атрибутов, включая атрибут member объектов групп. Это означает, что После восстановления удаленного объекта вам потребуется заново указать членство в группе. В качестве варианта можно выполнить принудительное восстановление или использовать в Windows Server 2008 копии состояния Active Directory для восстановления группы и членства в ней. Принудительное восстановление и копии состояния описаны в главе 13.

К СВЕДЕНИЮ

Восстановление удаленных групп

Более подробную информацию о восстановлении удаленных групп и членства в них можно найти в статье 840001 в базе знаний по адресу http://support.microsoft.com/ kb/840001/en-us.

В любом случае мы надеемся, что восстанавливать удаленную группу потребуется только на «пожарных учениях», а не в производственной среде. Предупредите неприятные последствия удаления объекта группы, установив защиту для каждой созданной группы. В Windows Server 2008 любой объект можно без труда защитить от удаления, выполнив следующие действия.

1.В оснастке Active Directory — пользователи и компьютеры (Active Directory Users And Computers) щелкните меню Вид (View) и установите флажок Дополнительные компоненты (Advanced Features).

2.Откройте диалоговое окно Свойства (Properties) группы.

3.На вкладке Объект (Object) установите флажок Защитить объект от случайного удаления (Protect Object From Accidental Deletion).

4.Щелкните ОК.

В данном случае нужно щелкнуть именно кнопку ОК. Если вы щелкните кнопку Применить (Apply), список ACL не будет модифицирован. Опция Защитить объект от случайного удаления (Protect Object From Ac-

cidental Deletion) применяет запись управления доступом АСЕ (Access Control Entry) к списку ACL объекта. Это явным образом запрещает группе Все (Everyone) Удалить (Delete) и Удалить поддерево (Delete Subtree). Для того чтобы удалить объект, понадобится вернуться к вкладке Объект (Object) и сбросить флажок Защитить объект от случайного удаления.

1 За*. 3399

Целегирование задач управления членством в группе

1осле создания группы задачи управления членством в ней можно делегиро1ать команде или отдельному лицу, которое отвечает за ресурсы, управляемые руппой. Предположим, что ваш финансовый директор должен подготовить ноджет на следующий год. Вы создаете для бюджета общую папку и назнагаете разрешение записи (Write) группе ACL_Budget_Edit. Если кому-либо •ребуется доступ к папке бюджета, он обращается в отдел справки с запросом, таел справки обращается к финансовому директору за подтверждением, после [его добавляет пользователя в группу ACL_Budget_Edit. Чтобы ускорить проlecc, вы можете разрешить финансовому директору самому изменять членство i группе. Таким образом, пользователи, которым нужен доступ, могут непос- >едственно обратиться к финансовому директору, и он внесет изменения без •руппы справки. Чтобы делегировать право управления членством в группе,

iнужно назначить финансовому директору разрешение Разрешить запись члена Allow Write Member) для группы. Членство в группе предоставляет многоначный атрибут member. Существует несколько способов делегировать право аписи члена в группу. Два из них описаны в следующем подразделе.

iДелегирование права управлять членством в группе

помощью вкладки управления

[роще всего делегировать право управлять членством в группе при помощи кладки Управляется (Managed By). Эта вкладка диалогового окна Свойства (Properties) выполняет две функции (рис. 4-9). Во-первых, она содержит контактные данные менеджера группы. Посредством этой информации можно связаться с владельцем группы, чтобы получить согласие на добавление пользователя в группу.

' Вторая функция вкладки Управляется (Managed By) — делегирование атрибута member. Обратите внимание на флажок Менеджер может изменять членов группы (Manager Can Update Membership List), показанный на рис. 4-9. Если установить этот флажок, пользователь или группа, указанная в поле Имя (Name), получит разрешение WriteMember. Если сменить или удалить менеджера, в список ACL группы будет внесено соответствующее изменение.

Вставить группу на вкладке Управляется (Managed By) диалогового окна свойств другой группы не так просто. Если щелкнуть кнопку Изменить (Change), откроется диалоговое окно Выбор: "Пользователь", "Контакт" или "Группа " (Select User, Contact, or Group), представленное на рис. 4-10. Если ввести имя группы и щелкнуть ОК, возникнет ошибка. Дело в том, что это диалоговое окно не отконфигурировано для указания групп в качестве действительных типов объектов, хотя слово Группа (Group) есть,в названии окна.

IЧтобы обойти это ограничение, щелкните кнопку Типы объектов (Object Types)

иустановите флажок Группы (Groups). Щелкните О К, чтобы закрыть оба диалоговых окна — Типы объектов и Выбор. Чтобы назначить разрешение WriteMember для группы, установите флажок Менеджер может изменять членов группы (Manager Can Update Membership List). При указании группы

| на вкладке Управляется (Managed By) контактные данные не отображаются поскольку группы не поддерживают атрибуты, связанные с контактами.

у у ^ ^ м м а т а и й ш »		«fx I
| Бажпвсьоагь	j	f «bf.no aiurtficti |
Otiu»e | Чтены rf >wo< j	Член групп Уорлглвчтсь

IW

Л^т*

Уляи.

Jcpoo'

(clrtOJO.rw/'isaM. W»4 Лё-КПГ.ЪЮ

I (town. | Ок^-.-Vi j УййПйТь J P* Wa-MA»40MCjrj!Tk<»"i4'e ЧЛ®*П rcy'r*

1

:

•I 4

О б м е т ь .

игм ре»

Н»»^ гетСон« 76Ш55Ь

Hzt.Kf OjKCS

OK j j iwt wt. j j;

Рис. 4-9. Предоставление менеджеру права изменять состав группы в диалоговом окне свойств объекта группы

Щ*1

J

гр.тг.

Утомляется

G E S S S T T f . ~

BwOet^Tf ппоСъв<тв

Jscrto»eon Вывеемте new объекте» которой нео&оаячо .ехать

Бв«л<тв ци. Тугы вбъ«*тса

й Встгов*».» участники безопасности

Контакты

Г с ( с д

05лклЬ.я|

Нялер гвп«ч*-о*в. 75846

Hj*M0®«KvJ>"

Оя^а | Пзимеми-|и

JjА

ОК ) Омем

Рис. 4-10. Выбор группы на вкладке Управляется (Managed By)

Делегирование задач управления членством в группе с помощью дополнительных параметров безопасности

В диалоговом окне Дополнительные параметры безопасности (Advanced Security Settings) разрешение Разрешить запись члена (Allow Write Member) можно предоставить непосредственно. Это разрешение можно предоставить отдельной группе или всем группам в подразделении.

172

Группы t

Глава 4

Делегирование задач управления отдельной группе

1.В оснастке Active Directory — пользователи и компьютеры (Active Directory Users and Computers) щелкните меню Вид (View) и установите ф л а ж о к Дополнительные компоненты (Advanced Features).

2. Щелкните правой кнопкой мыши подразделение, содержащее группы,

и примените команду Свойства (Properties).

3.Перейдите на вкладку Безопасность (Security).

4.Щелкните кнопку Дополнительно (Advanced).

5.В диалоговом окне Дополнительные параметры безопасности (Advanced Security Settings) щелкните кнопку Добавить (Add).

Если кнопка Добавить (Add) не отображается, щелкните кнопку Изменить (Edit), а затем кнопку Добавить (Add).

6.В диалоговом окне Выбор (Select) введите имя группы, которой хотите предоставить разрешение, или щелкните кнопку Размещение (Browse), чтобы найти эту группу. Указав группу, щелкните ОК.

7.Откроется диалоговое окно Элемент разрешения (Permission Entry), представленное на рнс. 4-11. Перейдите на его вкладку Свойства (Properties).

Рис. 4-11. Диалоговое окно Элемент разрешения (Permission Entry)

сданными делегирования группе управления членством в другой группе

8.В раскрывающемся списке Применять (Apply То) выберите Этот объект и все дочерние объекты (This Object And All Descendant Objects).

9.В списке Разрешения (Permissions) установите флажки Разрешить (Allow) напротив Чтение членов группы (Read Members) и Запись членов группы (Write Members).

По умолчанию всем пользователям разрешено чтение членов группы, так что это разрешение не требуется. Однако контроль доступа на основе ролей лучше всего реализовать, назначая все разрешения, необходимые для той или иной задачи, а не полагаясь на косвенное назначение разрешений.

10. Щелкните ОК, чтобы закрыть все диалоговые окна безопасности.

Занятие 3	Администрирование групп на предприятии	1 7 3

Делегирование задач управления всем группам в подразделении

1.В оснастке Active Directory — пользователи и компьютеры (Active Directory Users and Computers) щелкните меню Вид (View) и установите флажок Дополнительные компоненты (Advanced Features).

2. Щелкните правой кнопкой м ы ш и подразделение, содержащее необходимые группы, и примените команду Свойства (Properties).

3. Перейдите на вкладку Безопасность (Security). 4. Щелкните кнопку Д о п о л н и т е л ь н о (Advanced).

5. В диалоговом окне Д о п о л н и т е л ь н ы е параметры безопасности (Advanced Security Settings) щелкните кнопку Добавить (Add).

Если кнопка Добавить ( A d d ) не отображается, щелкните кнопку Изменить (Edit), а затем кнопку Добавить (Add) .

6. В диалоговом окне В ы б о р (Select) введите имя группы, которой хотите предоставить разрешение, и л и щ е л к н и т е кнопку Размещение (Browse), чтобы найти эту группу. Указав группу, щелкните ОК .

7. Откроется диалоговое окно Элемент разрешения (Permission Entry), представленное на рис. 4-12. Перейдите на его вкладку Свойства (Properties).

СМЙШЯ j

	J И {CCtJfO5Q^a _ A«Sn6ng _ Ed0				t f a » * * " » -		j
Рцраитм:
	Ооклиие			•		•
	Чтегме;Отображлено(прей...•					а
	Отобрамечсе(прои... •					о
	Чте>«еПо.- (X*мне			•		•
	ЗлгкъПолное.-га			•		•
	чтение:ГЪ«еч*«.е			•		•
	Запись:(Ъ»*ч»«<|>			О		•
	41ewe:Угрмлдеся			•		о
	Заа«ъ:Угравляется			•		•
	Чтеже:Членыгрупп			и		D J
	Злгись:Чле»«грутт»»			01		п	3
	14»<гешпья •< к afraexyж				Cuicnm»всеj
" *		гопфг.о гнутсмп<гъ
	коите»мер«
			j	СИ	|
Рис. 4-12.		Делегирование задач управления членством

в группе всем группам подразделения Группы

8. В раскрывающемся списке Применять (Apply То) выберите параметр Дочерние объекты: Группа (Descendant Group Objects). Если вы используете предыдущую версию оснастки, выберите параметр Объекты: Группа (Group Objects).

9.В списке Разрешения (Permissions) установите флажки Разрешить (Allow) напротив Чтение членов группы (Read Members) и Запись членов группы (Write Members).

По умолчанию всем пользователям разрешено чтение членов группы, так что это разрешение не требуется. Однако контроль доступа на основе ролей

1 74

Группы t

Глава 4

лучше всего реализовать, назначая все разрешения, необходимые для той или иной задачи, а не полагаясь на косвенное назначение разрешений.

10. Щелкните ОК, чтобы закрыть все диалоговые окна безопасности.

Теневые группы

Роль групп в управлении предприятием очень велика. Группам назначаются разрешения доступа к ресурсам. Группы можно использовать д л я фильтрации области действия объектов групповой политики. Группам назначаются гранулированные политики паролей. Группы можно применять как коллекции в таких инструментах управления конфигурацией, как Microsoft System Center Configuration Manager. Этот список можно продолжать долго.

Подразделения ( O U ) для управления п р е д п р и я т и е м п р и м е н я ю т с я не так часто, а в некоторых случаях использовать их вообще нельзя. Например, подразделению нельзя назначать разрешения доступа к ресурсам и гранулированные политики паролей, описанные в главе 8. И з н а ч а л ь н о е назначение подразделения состоит в предоставлении части у п р а в л е н и я делегированием административных полномочий для управления объектами в этом подразделении. Другими словами, подразделение пользователей позволяет делегировать справочному отделу право смены паролей всех пользователей в этом подразделении. Подразделения представляют собой административные контейнеры.

Причина различия функций подразделений и групп в том, что подразделения не обеспечивают такую гибкость, как группы. Пользователь, компьютер или другой объект может существовать только в контексте отдельного подразделения, а принципал безопасности может принадлежать ко многим группам. Поэтому группы используются для объединения объектов идентификации, обеспечивая возможности, необходимые этим объектам идентификации .

Иногда все же возникает необходимость в использовании подразделения для управления предприятием. Например, всем пользователям подразделения может понадобиться доступ к папке или уникальная п о л и т и к а паролей. Эти параметры нельзя назначить непосредственно, однако такую задачу можно выполнить, создав так называемую теневую группу. Теневая группа состоит из тех же пользователей, которые включены в подразделение . Если точнее, теневая группа состоит из пользователей, соответствующих определенному критерию.

Самый простой способ создания теневой группы — создать группу, а затем нажать в подразделении с пользователями комбинацию к л а в и ш Ctrl+A, чтобы выбрать всех пользователей. Щелкните правой кнопкой м ы ш и любого выбранного пользователя и примените команду Добавить в группу (Add То Group). Введите имя созданной группы и щелкните О К .

СОВЕТ К ЭКЗАМЕНУ

На сертификационном экзамене 70-640 необходимо знать понятие теневой группы. Помните, что членами теневой группы будут пользователи подразделения.

Занятие 3

Администрирование групп на предприятии

1 7 5

К сожалению, в Windows пока нет способа динамической поддержки членства в теневой группе. П р и добавлении или удалении пользователя подразделения нужно также добавлять или удалять этого пользователя в теневой группе.

Группы по умолчанию

На сервере Windows Server 2008 автоматически создается множество так называемых локальных групп по умолчанию, включая группы Администраторы (Administrators), Операторы архива (Backup Operators) и Пользователи удаленного рабочего стола (Remote Desktop Users). В контейнерах Builtin и Users домена создаются дополнительные группы, в том числе Администраторы домена (Domain Admins), Администраторы предприятия (Enterprise Admins) и Администраторы схемы (Schema Admins). Далее описаны возможности поднабора групп по умолчанию, которым предоставлены разрешения и пользовательские права, связанные с управлением Active Directory.

• Администраторы п р е д п р и я т и я	(Enterprise Admins) в контейнере Users
к о р н е в о г о д о м е н а л е с а Эта	группа — член группы Администраторы

(Administrators) в каждом домене леса; она предоставляет полный доступ к конфигурации всех контроллеров домена. Данная группа также является владельцем раздела Конфигурация (Configuration) каталога и имеет полный доступ к содержимому именования домена во всех доменах леса.

•Администраторы с х е м ы ( S c h e m a Admins) в контейнере Users корневого

домена л е с а Эта группа имеет полный доступ к схеме Active Directory.

• Администраторы ( A d m i n i s t r a t o r s ) в контейнере Builtin каждого домена Эта группа имеет п о л н ы й доступ ко всем контроллерам домена и данным в контексте и м е н о в а н и я домена. Она может изменять членство во всех административных группах домена, а группа Администраторы (Administrators) в корневом домене леса может изменять членство в группах Администраторы предприятия (Enterprise Admins), Администраторы схемы (Schema Admins) и Администраторы домена (Domain Admins). Группа Администраторы в корневом домене леса имеет наибольшие полномочия среди групп администрирования в лесу.

•Администраторы д о м е н а ( D o m a i n Admins) в контейнере Users каждого

домена Эта группа входит в группу Администраторы своего домена. Поэтому она наследует все полномочия группы Администраторы. Кроме того, она по умолчанию входит в локальную группу Администраторы каждого рядового компьютера домена, в результате чего администраторы домена получают в свое распоряжение все компьютеры домена.

• Операторы с е р в е р а ( S e r v e r O p e r a t o r s ) в контейнере Builtin каждого домена Эта группа может решать задачи технической поддержки на контроллерах домена. Операторы сервера могут локально входить в систему, запускать и останавливать службы, выполнять резервное копирование и восстановление, форматировать диски, создавать и удалять общие ресурсы, а также

199 Группы

t

Глава 4

завершать работу контроллеров доменов. По умолчанию данная группа не содержит членов.

•Операторы учета (Account Operators) в контейнере Builtin каждого до -

мена Эта группа может создавать, модифицировать и удалять учетные записи пользователей, групп и компьютеров в любом подразделении домена (кроме подразделения Domain Controllers), а также в контейнерах Users и Computers. Операторы учета не могут модифицировать учетные записи, включенные в группы Администраторы и Администраторы домена, а также не могут модифицировать эти группы. Операторы учета также могут локально входить на контроллеры домена. По умолчанию эта группа не содержит членов.

•Операторы архива (Backup Operators) в контейнере Builtin к а ж д о г о д о -

мена Эта группа может выполнять операции резервного копирования и восстановления на контроллерах домена, а также локально входить на контроллеры домена и завершать их работу. По умолчанию эта группа не содержит членов.

• Операторы печати (Print Operators) в контейнере Builtin к а ж д о г о д о - мена Эта группа может обеспечивать поддержку очередей заданий печати на контроллерах домена. Она также может локально входить на контроллеры домена и завершать их работу.

Следует осторожно управлять группами по умолчанию, предоставляющими административные привилегии, поскольку, как правило, они имеют более обширные полномочия, чем требуется для большинства делегированных сред, а также часто применяют защиту для своих членов. Идеальным примером может служить группа Операторы учета (Account Operators). Права этой группы довольно обширны. Она даже может локально входить на контроллер домена. На маленьких предприятиях такие права вполне могут подходить для одного или двух отдельных лиц, которые в любом случае станут администраторами домена. Однако для большинства предприятий уровень прав и разрешений доступа операторов учета обычно слишком высок.

Кроме того, группа Операторы учета, как и другие ранее перечисленные административные группы, — это защищенная группа. З а щ и щ е н н ы е группы определяются операционной системой, и снять их защиту невозможно. Ч л е н ы защищенной группы также становятся защищенными. В результате применения этой защиты модифицируются списки контроля доступа ACL членов, которые больше не наследуют разрешения своих подразделений, а получают копию ACL с достаточно ограниченными правами доступа. Например, если пользователя Джеффа Форда добавить в группу Операторы учета (Account Operators), его учетная запись станет защищенной, и команда технической поддержки, которая может менять пароли всех пользователей в подразделении Кадры, не сможет изменить пароль пользователя Джеффа Форда.

К СВЕДЕНИЮ Защищенные учетные записи

Более подробную информацию о защищенных учетных записях можно найти в статье 817433 в базе знаний по адресу http://support.microsoft.com/7kbid-817433. Для поиска соответствующих ресурсов в Интернете введите ключевое слово adminSDHolder.

Занятие 3	Администрирование групп на предприятии	1 7 7

Из-за такой перезаписи параметров делегирования и применения защиты рекомендуется не добавлять пользователей в группы, которые по умолчанию не содержат членов: Операторы учета (Account Operators), Операторы архива (Backup Operators), Операторы сервера (Server Operators) и Операторы печати (Print Operators). Вместо этого создайте настраиваемые группы и назначьте им права и разрешения доступа в соответствии с потребностями работы и администрирования. Например, если пользователь Скотт Митчелл должен выполнять операции резервного копирования на контроллере домена, но не операции восстановления, которые могут привести к откату или повреждению базы данных, и также не должен завершать работу контроллера домена, его учетную запись нельзя помещать в группу Операторы архива (Backup Operators). Вместо этого нужно создать группу и назначить ей л и ш ь разрешение Архивировать файлы и каталоги (Backup Files And Directories), а затем добавить в эту группу пользователя Скотта Митчелла .

К СВЕДЕНИЮ

Данные о разрешениях групп по умолчанию

На сайте Microsoft TechNet есть ссылка на исчерпывающую информацию о группах домена и локальных группах по умолчанию. На сертификационном экзамене потребуется знать разрешения этих групп. Информацию о группах домена по умолчанию можно найти по адресу http://technet2.microsoft.com/WindowsServer/en/library/ 1631acad-ef34-4f77-9c2e-94a62f8846cf1033.mspx, а сведения о локальных группах по умолчанию находятся по адресу http://technet2.microsoft.com/WindowsSeiver/en/

Iibrary/f6e01e51-14ea-48f4-97fc-5288a9a4a9b 11033.mspx.

Особые объекты идентификации

В Windows и Active Directory т а к ж е поддерживаются особые объекты идентификации, членством которых в группах управляет операционная система. Эти группы не отображаются в списках оснастки Active Directory — пользователи и компьютеры (Active Directory Users And Computers). Вы не можете просматривать и м о д и ф и ц и р о в а т ь параметры членства этих особых объектов идентификации в группах, а также добавлять эти объекты в другие группы. Однако вы можете использовать эти группы д л я назначения прав и разрешений доступа. Далее описаны самые в а ж н ы е из особых объектов идентификации, которые для удобства часто называются группами.

•	А Н О Н И М Н Ы Й В Х О Д ( A n o n y m o u s Logon)		Представляет подключения
	к компьютеру и ресурсы, созданные без предоставления пользовательского
	имени и пароля. До выхода Microsoft Windows Server 2003 эта группа была
	членом группы Все (Everyone). Начиная с версии Windows Server 2003, эта
	группа по умолчанию больше не входит в группу Все (Everyone).
•	Прошедшие проверку (Authenticated Users)		Представляет объекты иден-
	тификации, прошедшие поверку подлинности . Эта группа не включает
	учетную запись Гость (Guest), даже если назначить гостю пароль.
•	Все (Everyone)	Включает учетные записи Прошедшие проверку и Гость.
	На компьютерах с системой версии до Windows Server 2003 эта группа
	включает группу	А Н О Н И М Н Ы Й ВХОД .