Clever Geek Handbook

動的アクセス制埡クレヌムの操䜜方法

このシリヌズの前回の蚘事では、このコヌスを少し玹介し、動的アクセス制埡ずは䜕か、ACLに基づいたアクセスの提䟛ずの違い、その利点、そしお最も䞀般的なシナリオに぀いお簡単に説明したした。この機胜を適甚するこずをお勧めしたす。 この蚘事は少し面倒で、理論的な資料だけで満たされおいお、段階的な手順の説明が含たれおいなかったため、理解するのは本圓に困難でした。

この蚘事から始めお、私は自分自身を修正し、この技術に粟通する方法に぀いお説明したす。 開始するには、蚘事のタむトルからわかるように、ステヌトメント以倖の䜕もせずに実行する必芁がありたす以前の蚘事で既に曞いたように、アプリケヌション、klima、およびクレヌムで眮き換えられる他の単語ずも呌ばれたす。動的アクセス制埡の䞻芁コンポヌネントの1぀。 ここで、理論的な資料をできる限り少なくしお、ステップバむステップの手順にほがすぐに進むようにしたす。 それでは、この比范的小さな蚘事から䜕を孊ぶこずができたすか

この蚘事では、次のこずを説明したす。



さお、この蚘事の導入郚分を倧幅に遅延させないために、最初のセクションに目を向けたす。

ステヌトメントずは䜕ですか



私は間違いを犯すこずを恐れおいたすが、私たちの時代には、少なくずも1回は自分のパブリックフォルダぞのアクセスを提䟛しなかったナヌザヌはもういないでしょう。 特にこの目的のために、Windows NTの遠い時代に、マむクロ゜フトはIDずしおオペレヌティングシステムにIDの抂念を導入したした。これは長幎にわたっおしっかりず定着しおいたす。 ここではすべおが明癜です。私の蚘事で述べたように、ファむルずリ゜ヌスぞのアクセスはセキュリティ識別子に盎接基づいおいたした。 ナヌザヌが自分の資栌情報に埓っお正垞に認蚌されたかどうかに基づいお、パブリックファむルリ゜ヌスぞのアクセスが提䟛されたこずがわかりたす。 もちろん、ほずんどの堎合、そのような資栌情報は、アカりントの名前ずそのパスワヌド、たたは特定のグルヌプのナヌザヌのメンバヌシップでした。 識別の抂念は皆さんご存じのずおりであり、改めお説明する意味はありたせん。

しかし、実際には、さたざたなグルヌプのメンバヌシップにより、堎合によっおは倚くのそのようなケヌスがありたす、ナヌザヌがアクセスを蚱可されおいないリ゜ヌスぞのアクセスを誀っお蚱可されるこずがありたす。 このようなケヌスを取り陀くために、Microsoftの最新のオペレヌティングシステムに新しい抂念が導入されたした。 それが䜕であるかを怜蚎しおください。

珟圚、新しい単語たたは理解できない単語を聞く人口の倧倚数は䜕ですか 圌らはりィキペディアを芋おいたす。 この件に぀いお䜕が曞かれおいたすか 「蚀語孊における肯定は特別な圢匏の文であり、肯定的な圢匏ではある珟象に関する仮説を提瀺したす。」 これは間違いなくそうではありたせん。

他に䜕が芋぀かりたすか 「論理ステヌトメントは、論理接続詞を䜿甚しお他のステヌトメントから圢成されたステヌトメントです。」 たた、適合したせん。 「プログラミングのステヌトメントは、プログラムに配眮された述語であり、開発者は、この述語がプログラムのこの時点で垞に真であるこずを意味するこずを瀺したす。」 しかし、それでも、これは珟圚の文脈で暗瀺されおいるものではないようです。

実際、公匏甚語によるず、 クレヌムは、Active Directoryドメむンサヌビスに栌玍されおいるこのアカりントの属性で提䟛される承認を実行しようずするアカりントに関する信頌できる情報源です。 さたざたなアサヌションには、ナヌザヌたたは圌のコンピュヌタヌのセキュリティ識別子、ナヌザヌが働くこずができるナニット、圌の郚屋番号、圌が䜏んでいる郜垂など、倚くのプロパティが含たれたす。 さらに、耇数のステヌトメントを1぀のレコヌドに栌玍できるずいう事実に泚意を払う䟡倀がありたす。これにより、ほがすべおの可胜性を満たす動的アクセス制埡ポリシヌを柔軟に蚭定できたす。

この段階で、あなたは非垞に論理的な質問をするかもしれたせんこれらのステヌトメントは私たちに䜕を䞎え、それらのポむントは䜕ですか クレヌムを䜿甚しお、ファむルずフォルダヌの䞡方ぞのアクセスを制限できたす。 たた、クレヌムに関しお最も䟡倀があるのは、䜜成されたすべおのクレヌムがActive Directoryに盎接公開されるこずです。 さらに、この技術に関する以前の蚘事で述べたように、䞀般的な動的アクセス制埡および特にステヌトメントの完党な機胜に぀いおは、組織のドメむンたたはフォレストの機胜レベルに制限はありたせん。

このシリヌズの前回の蚘事で玹介したKerberosネットワヌク認蚌プロトコルに関する蚘事の1぀で、Kerberosずクレヌムずの関係に぀いお詳しく説明したので、すぐに次のようなトピックに進みたす。

クレヌムタむプ



公匏の定矩によれば、Windows Server 2012のクレヌムの皮類は、関連付けられおいるオブゞェクトに関する怜蚌ステヌトメントです。 おそらく既に掚枬されおいるように、承認の皮類はActive Directory属性に基づいおおり、䞀元化されたアクセスルヌルを開発するずきにアクセス蚱可を決定するために䜿甚されたす。 Windows Server 2012では、次の3皮類のクレヌムのいずれかを䜿甚できたす。



条件匏ず挔算子



ゆっくりず、より興味深い郚分に進みたす。 より正確に蚀うず、クレヌムに基づいお承認サポヌトを実装できるように、Windows Server 2012オペレヌティングシステムに具䜓的に登堎するOSセキュリティサブシステムに関連する条件匏を怜蚎したす。

これらの条件匏はステヌトメントに関連しおいたすか 実際、これらの条件匏はブヌル匏たたは論理匏であり、通垞、特別な挔算子で区切られた2぀のオペランドが含たれたす。 条件匏の結果は垞に2぀の倀のみ、たたはより正確には、これらはTRUEずFALSEになりたす。 たた、ACE匏は蚱可の堎合ずアクセス監査䞭の䞡方で評䟡されるため、最初ず2番目のケヌスでは同じ匏を䜿甚できるこずに泚意する䟡倀がありたす。

しかし、これらの匏はどうなりたすか LSAサブシステムがPACから必芁な情報を読み取り、アクセストヌクンを䜜成するこずを以前に曞きたした。 その埌、ナヌザヌから提䟛された情報に基づいおアクセスチェックが実行され、セキュリティトヌクンで割り圓おられたアクセス蚱可に基づいお、リ゜ヌスぞのアクセスが゚ンドナヌザヌに蚱可されるか拒吊されるかが決定されたす。 これはすべお明らかです。 ただし、Kerberosプリンシパル情報のアサヌションの出珟により、セキュリティプリンシパルのSIDに加えお、これらの条件匏で芋぀かる远加情報を含めるこずもできたす。

ステヌトメント自䜓は、ステヌトメントのタむプやステヌトメントの名前などの゚ンティティのコレクションであり、ピリオドで区切る必芁がありたす以䞋を参照。 前のセクションで説明したように、最初の郚分はステヌトメントの皮類を決定するために盎接䜿甚されるこずは明らかであり、 ナヌザヌたたはデバむスずしお機胜できたす。 ステヌトメントのタむプに蚀及する前に、 @蚘号を瀺し、その埌にタむプ自䜓を指定する必芁がありたす。 ステヌトメントの名前を持぀郚分は、そのようなステヌトメントを䜜成するずきに付けるこずができる名前です。

ステヌトメントの巊偎ず右偎の郚分は特別な挔算子で比范する必芁があり、右偎のオペランドはリテラル倀にするこずができたす。これは巊偎のオペランドの倀のフラグメントにするこずができたす。

合蚈で、13のオペレヌタヌを区別できたす。これは、おそらく他の゜フトりェア補品の操䜜にすでに慣れおいるはずです。 このような挔算子に぀いおは詳しく説明したせんが、単にその意味を説明したす。 この挔算子は、  == 、 等しくない  = 、 より倧きい  > 、 より小さい  < 、 以䞊  > = 、 以䞋  <= 、ではない   、 および  &&  、 たたは  || 、 contains  Contains 、぀たり、このような挔算子を䜿甚する堎合、巊オペランドには右オペランドのフラグメントが含たれおいる必芁がありたす。  Any_Of のいずれか 。その目的は、右オペランドの倀のフラグメントのみが倀ずしお機胜できるこずを陀いお、前の挔算子ずいくらか䌌おいたす。 グルヌプメンバヌ  MemberOf - 含たれおいるものずほが同じ、オペランドのみがSIDであり、 メンバヌグルヌプ挔算子 MemberOF_Any も挔算子のいずれかず比范できたす。

ここで、動的アクセス制埡シナリオを実装するずきにステヌトメントで䜿甚できる条件匏の䟋を怜蚎しおみたしょう。 たずえば、次の匏を䜿甚したす。 

 
  @ User.Department ==” Marketing” &&@ User.Title ==” Financier” || @ User.Title ==“ Marketing”


この匏は条件付きで3぀の郚分に分割でき、各郚分はステヌトメントを䜿甚し、括匧内の2番目ず3番目の郚分も同時に凊理されたす。 ここで、もう少し詳しく、郚分的に説明したす。

条件匏の優先床に基づいお、最初に実行されるのは括匧内にある匏です。 この括匧内には、2぀の挔算子==ず||がありたす。 繰り返したすが、優先順䜍を芋るず、==挔算子を垞に最初に凊理する必芁がありたす。 したがっお、匏は巊から右に凊理されたす。

ここで、埓業員の地䜍を担圓するUser .Titleは、ナヌザヌの承認のタむプです。 これは、「フィナンシェ」の䜍眮がナヌザヌの䜍眮であるかどうかを確認するこずを意味したす。 ナヌザヌがマヌケティング担圓者であるずしたす。぀たり、最初の匏では、倀はFALSE、぀たりfalseになりたす。 ただし、2぀の匏の間には||挔算子があり、論理「OR」を意味したす。 これは、2番目の匏が真の堎合、巊端の条件匏がチェックされるこずを意味したす。

この堎合、ナヌザヌはマヌケティング担圓者であるため、括匧内の2番目の条件匏は倀TRUEを取りたす。これは、条件をさらに確認できるこずを意味したす。 この段階では、次の匏がありたす。 

 
  @ User.Department ==”マヌケティング” &&FALSE || TRUE


これは、匏をさらに次のように瞮小できるこずを意味したす。 

 
  @ User.Department ==”マヌケティング” && TRUE


その埌、巊端の条件匏がチェックされたす。 ここでは、すべおが明確だず思いたす。 ナヌザヌの郚眲が「マヌケティング」かどうかを確認したす。 ナヌザヌはマヌケティング担圓者であるため、圌の郚門がマヌケティング郚門であるず仮定したす。これは、衚珟が正しいこずを意味したす。 次のものが埗られたす。 

 
  TRUE && TRUE


&&挔算子は論理ANDであるため、これは䞡方の条件が真でなければならないこずを意味したす。 私たちの堎合、そうです。 したがっお、条件は真であり、アクセスが蚱可されたす。 ここでFALSEが衚瀺された堎合、&&挔算子を䜿甚するず優先され、最終的にFALSEの結果が埗られたす。

぀たり、次の図に瀺す匏が埗られたす。





図 1.フォルダヌの蚱可ボックス内の条件匏の䟋

䞁寧な読者ぞの質問次の条件匏ずは䜕ですかたた、䞊で説明した同じナヌザヌを扱っおいる堎合のチェックの実行方法 

 
  @ User.Title ==” Accountant” || @ User.Title ==” Financier”||  @ User.Department=「カスタマヌサポヌト」


たた、ステヌトメント自䜓のオブゞェクトは䜕ですか



ご存知のように、Active Directoryスキヌマでは、Active Directoryドメむンサヌビスで䜿甚できるすべおのオブゞェクトの説明を芋぀けるこずができたす。 そしお、動的アクセス制埡技術のオブゞェクトは決しお䟋倖ではありたせん。 これたでのずころ、珟圚のテクノロゞヌず䜕らかの関係があるすべおのオブゞェクトを説明する理由はありたせんが、このようなオブゞェクトは9個ありたすもちろん、ほが3倍の属性がありたすが、この段階で考慮されるステヌトメントの堎合、぀たり、次の2぀のオブゞェクトのみを区別できたす。



次の図に、 msDS-ClaimTypeクラスオブゞェクトを瀺したす。





図 2.クラスmsDS-ClaimTypeのオブゞェクト

クレヌム管理



Microsoftの最新のサヌバヌオペレヌティングシステムでは、開発者がActive Directory管理センタヌやWindows PowerShellコマンドシェルなどのツヌルに特別な泚意を向けようずしたため、最初たたは2番目のいずれかを䜿甚しおクレヌムタむプを管理できたす。意味したす。 1぀のツヌルのみを怜蚎するのは䞍公平であるため、次のセクションでは、これらの管理ツヌルの䞡方を䜿甚しおクレヌムを凊理する方法を瀺したす。 そしお、圓然、私たちは

Active Directoryサヌバヌの党䜓管理のクレヌム管理



原則ずしお、玔粋に理論的な郚分は長い間匕き出されおきたので、䞍必芁な前奏曲なしに、おそらくその点に移りたす。 そのため、Active Directoryサヌバヌの党䜓管理を䜿甚しお、その埌の集䞭アクセスポリシヌに䜿甚されるアサヌションを䜜成するには、次の手順を実行する必芁がありたす。

  1. ドメむンコントロヌラヌで、「 Active Directory管理センタヌ 」りィンドりを開きたす。リスト゚リアで「 ダむナミックアクセス制埡 」ノヌドを遞択し、「 クレヌムタむプ 」ノヌドを遞択したす ダむナミックアクセス制埡 > クレヌムタむプ 。
  2. 衚瀺されるノヌドで、詳现ペむンを右クリックし、次の図に瀺すように、コンテキストメニュヌから[ 新芏およびクレヌムの皮類 ]を遞択するか、[Active Directoryサヌバヌの党䜓管理]ペヌゞの動的ディレクトリに移動したす。アクセス制埡およびActive Directoryアクショングルヌプで、クレヌムタむプの䜜成ず呌ばれる最初のアクションを遞択したす。 最初ず2番目の䞡方のケヌスで、新しいタむプのステヌトメントを䜜成するためのダむアログボックスが開きたす。





    図 3.新しいクレヌムタむプを䜜成するためのダむアログボックスを開く
  3. [ 承認タむプの䜜成 ]ダむアログボックスが衚瀺されたら、クレヌムタむプの䜜成に基づいお、[ ゜ヌス属性 ]セクションで゜ヌス属性ず远加の構成芁玠を決定できたす。 次の図からわかるように、珟圚のダむアログボックスを開くずすぐに目を匕くのは、倚くのさたざたな属性を含む「 ゜ヌス属性 」の倧きなリストで、そこから䜜成したい゜ヌス属性を遞択できたす承認。 このようなリストは、 Userクラス、 Computerクラス、 inetOrgPersonクラス、 ManagerServiceAccountグルヌプ 、 GroupManagerServiceAccountクラス、およびオブゞェクトの補助クラスを含む、オブゞェクトの倚くのクラスから圢成されたす。 属性を遞択する際は、Unicode、ブヌル倀、倧きな敎数を含む敎数、OIDおよびSID文字列などの文字列倀を持぀属性のみが珟圚のリストに衚瀺されるこずに泚意しおください。 たた、もちろん、レプリケヌトされない属性、ブロックされた属性、および読み取り専甚ドメむンコントロヌラヌ぀たりRODCで利甚できない属性は、このリストに衚瀺されたせん。 たずえば、この堎合、 郚門属性が遞択されたすが、属性を遞択する前に、埌続の集䞭型アクセスポリシヌのためにクレヌムの構造を時期尚早に蚈画するこずに泚意しおください。





    図 4.䜜成されたクレヌムタむプのセクション「゜ヌス属性」
  4. さらに、アサヌションタむプを䜜成するためのダむアログボックスのこのセクションには、他のパラメヌタヌもありたす。

    • 衚瀺名 。 これは、䜜成したクレヌムの皮類に割り圓おられる䞀意の衚瀺名を含むテキストボックスです。 そのような名前は埌続の操䜜で衚瀺されるため、将来そのような名前ずしお読みやすく理解しやすい名前を䜿甚するのが最適です。 圓然、䜜成された承認タむプの名前には、英数字ず英数字の倀を䜿甚できたす。
    • 説明 䜜成しおいるクレヌムのタむプに関するコメント甚のフィヌルドを衚したす。 このフィヌルドの文字数は1024文字に制限されおいたす。 したがっお、コメントを远加し、䜜成されたタむプのステヌトメントを䜿甚する目的がある堎合は、簡朔にする必芁がありたす。
    • このタむプのクレヌムは、次のクラスに察しお発行できたす 。 クレヌムを特定の皮類のセキュリティプリンシパルたずえば、ナヌザヌのみたたはコンピュヌタヌのみにのみ適甚するか、䞡方のチェックボックスを遞択するこずにより、䞡方の皮類のアカりントに察しお珟圚の皮類のクレヌムの䜿甚を有効にするかを遞択できる制埡芁玠。
    • 信頌に関連付けられたフォレストでのクレヌムの䜿甚を簡玠化するために、信頌されたフォレストで識別子を意味的に同䞀のクレヌムに割り圓おたす  信頌されたフォレストで意味的に同䞀のクレヌムタむプにIDを蚭定したす 。 これは、承認タむプ識別子の䜜成方法を決定するために蚭蚈されたフラグです。 このフラグが蚭定されおいない堎合、Active Directoryサヌバヌの党䜓管理はそのような識別子を自動的に割り圓おたす。 圌はどのように芋えたすか この識別子は小文字のadで始たり、その埌にコロン、2぀のスラッシュ、 ext、およびもう1぀のスラッシュ ad// ext / が続きたす 。 これは、識別子の暙準的な始たりです。 その埌、サヌバヌの党䜓管理によっお遞択した属性の名前が远加され、コロンの埌に16進圢匏の倀がランダムに远加されたす。これは通垞のGUIDである皋床思い出すこずができたす。 ぀たり、最終的に、この䟋の識別子は次のようになりたす。

      ad// ext / department88d0094e632018a6

      次に、信頌に関連付けられたフォレストのクレヌムの皮類を䜜成するず、各クレヌムの皮類のメタデヌタは既定でフォレストごずに䞀意になり、その結果、信頌するドメむンコントロヌラヌは信頌されたフォレストからのクレヌムを凊理できなくなりたす。 このため、䜜成されたクレヌムの皮類の識別子が、信頌されたフォレストず信頌されたフォレストの間で意味的に同䞀であるこずを確認する必芁がありたす。 したがっお、このフラグは䞊蚘の堎合にのみ蚭定する必芁がありたす。 もちろん、識別子を手動で指定する堎合は、少し前に蚀及したネヌミングコンテキストに準拠する必芁がありたす。 ext /が32文字以䞋であるこずを瀺す必芁があり、特殊文字を含たず、スラッシュで終わる必芁がある堎合、各識別子の開始方法を忘れないでください。 これらは前提条件です。 もちろん、そのような識別子は䞀意でなければならないこずを忘れないでください。
    • 誀った削陀に察する保護  誀った削陀 から保護する 。 Active Directoryで既に知られおいる操䜜の堎合のように、䜜成されたクレヌムタむプが誀っお削陀されないようにするフラグ。 既定では、管理者のみが既定でクレヌムの皮類を䜜成、倉曎、および削陀できるずいう事実にもかかわらず、堎合によっおは、このオプションが圹立぀こずがありたす。
  5. 掚奚倀ず呌ばれるセクションは、条件匏でステヌトメントタむプを䜿甚するずきに遞択できる遞択可胜な倀を事前定矩したす。 次の図でわかるように、ここでは次の倀の遞択で停止できたす。





    図 5.䜜成されたクレヌムタむプの[掚奚倀]セクション

    • 倀は提案されたせん 。 任意の皮類のクレヌムを䜜成するずきにデフォルトで蚭定されるパラメヌタヌ。 ステヌトメントのタむプの倀をオヌバヌラむドしないこずを前提ずし、そのような倀は、条件匏自䜓を䜜成するずきに手動で入力されたす。
    • 次の倀が提案されたす。 この堎合、条件匏の埌続の䜜成䞭に察応するリストから遞択できる1぀たたは耇数の倀を䜜成できたす。 したがっお、そのような倀を操䜜するには、䜜成されたクレヌムタむプのプロパティのダむアログボックスの珟圚のセクションにある[ 远加 ]、[ 倉曎 ] 、および[削陀]ボタンを䜿甚できたす。 これらの倀はどのくらい正確に䜜成されたすか

      [ 远加 ]ボタンをクリックするず、[ 掚奚倀の远加 ]ダむアログボックスが衚瀺されたす。このダむアログボックスには、3぀のテキストフィヌルドがありたす。 [ 倀 ]は、条件匏の察応するテキストフィヌルドの掚奚倀、珟圚の倀を担圓し、そのような倀を遞択したずきに衚瀺される名前ず、そのような倀の任意の説明を担圓するDescription 。

      :





      図 6.
  6. . できた


, , : . , . , « » ( Disable ).

Windows PowerShell



PowerShell , , . , Microsoft , , .

, , , Active Directory Windows PowerShell. PowerShell, , , , . , , , Active Directory.

, ( ), , . :

, New-ADClaimType . 21 , . , . : 

 
New-ADClaimType –AppliesToClasses:@('user') –Description:”  division” -DisplayName:”division” –IssingkeValued:$true –Server:”DC.biopharmaceutic.local” –ProtectedFromAccedentialDeletion:$true –SourceAttribute:”CN=Division,CN=Schema,CN=Configuration,DC=biopharmaceutic,DC=local”


. , –AppliesToClasses : @, . , . , . , –ID , , -ID:ad://ext/division:88d00962e3d07cd1 .

, . , マヌケティング担圓者、䌚蚈士、投資家 

 
New-ADClaimType -AppliesToClasses:@('user') -Description:" " -DisplayName:"title" -IsSingleValued:$true -Server:"DC.biopharmaceutic.local" -ProtectedFromAccidentalDeletion:$true -SourceAttribute:"CN=Title,CN=Schema,CN=Configuration,DC=biopharmaceutic,DC=local" -SuggestedValues:@((New-Object Microsoft.ActiveDirectory.Management.ADSuggestedValueEntry("", "", "   ")), (New-Object Microsoft.ActiveDirectory.Management.ADSuggestedValueEntry("", "", "   ")), (New-Object Microsoft.ActiveDirectory.Management.ADSuggestedValueEntry("", "", "   ")))


, . , . –SuggestedValues , , . , . , @ , New-Object , Microsoft Active Directory Management ADSuggestedValueEntry , . . - .

, . , , . Set-ADClaimType , , - Enabled . , : 

 
Set-ADClaimType -Identity "CN=ad://ext/division:88d00968ab6e025f,CN=Claim Types,CN=Claims Configuration,CN=Services,CN=Configuration,DC=biopharmaceutic,DC=local" -Enabled:$false


, – Identity distinguishedName . , , .

Windows PowerShell :





図 7. ,

, , Active Directory , . :





図 8. Active Directory

?



, . , , , , , « Active Directory » Windows PowerShell.

, , , , . , .


More articles:


All Articles