1. На цій сторінці
2. Роль Active Directory
3. Основи роботи Active Directory
4. Відносини довіри між доменами
5. Управління заходами безпеки за допомогою групової політики
6. Аутентіфікація і управління доступом
7. Делегування прав адміністрування

анотація

Служби розподіленої безпеки операційної системи Windows 2000 Server дозволяють організаціям ідентифікувати користувачів в мережі і контролювати їх доступ до ресурсів. У моделі системи безпеки Windows 2000 використовуються аутентифікація на довіреному контролері домену, делегування довіри між службами і контроль доступу на основі об'єктів. До основних особливостей цієї моделі відносяться інтеграція зі службою каталогів Active Directory ™, підтримка п'ятої версії протоколу аутентифікації Kerberos, використовуваного для перевірки автентичності користувачів, аутентифікація зовнішніх користувачів за сертифікатами відкритих ключів, шифрована файлова система (Encrypting File System, EFS), що дозволяє захищати локальні дані , і підтримка IPSec, що забезпечує безпеку з'єднань у відкритих мережах. Крім цього, передбачена можливість використання елементів системи безпеки Windows 2000 при розробці додатків, а організації можуть поєднувати роботу системи безпеки Windows 2000 з іншими операційними системами, що використовують способи захисту на основі протоколу Kerberos.

На цій сторінці

Вступ

Операційна система Microsoft® Windows® 2000 Server допомагає організаціям не тільки розширити свої можливості за допомогою нових мережевих технологій, а й захистити інформацію та мережеві ресурси, використовуючи вдосконалені служби безпеки.

Служби розподіленої безпеки Windows 2000 орієнтовані на відповідність таким ключовим для бізнесу вимогам, як:

•

Надати їм доступ до всіх ресурсів компанії після виконання єдиної процедури входу в систему.

•

Надійність методів аутентифікації і авторизації користувачів.

•

Безпека з'єднань між внутрішніми і зовнішніми ресурсами.

•

Можливість застосування необхідних політик безпеки і управління ними.

•

Автоматизований аудит безпеки.

•

Здатність до взаємодії з іншими операційними системами і протоколами безпеки.

•

Розширювана архітектура, що дозволяє розробляти додатки, що використовують можливості системи безпеки Windows 2000.

Перераховані особливості є важливими елементами системи безпеки Windows 2000. В основі цієї системи лежить проста модель аутентифікації і авторизації. Аутентифікація дозволяє ідентифікувати користувача при вході в систему і підключенням до Інтернету зі службами. Ідентифікований користувач отримує, щоб отримати доступ до певних мережевих ресурсів в залежності від заданих дозволів. В процесі авторизації використовується механізм управління доступом, перевіряючий записи в каталозі Active Directory ™, а також списки управління доступом (access control lists, ACL), в яких визначаються дозволу на доступ до об'єктів, таким як локальні і загальні принтери і файли.

Дія цієї моделі системи безпеки спрощує авторизованим користувачам роботу в розширеній мережі, забезпечуючи при цьому надійний захист від атак. Модель забезпечення розподіленої безпеки Windows 2000 грунтується на аутентифікації довіреною контролером домену, делегування довіри між службами та контролі доступу на основі об'єктів.

Для кожного клієнта в домені під час виконання захищеної аутентифікації на контролері цього домену встановлюється прямий шлях довіри. При цьому клієнтові не надається безпосередній доступ до мережевих ресурсів; замість цього мережеві служби створюють маркер доступу клієнта і діють від його імені, використовуючи його облікові дані при виконанні запитуваних операцій. Крім того, ядро ​​операційної системи Windows 2000 використовує ідентифікатори безпеки маркера доступу, щоб перевірити, авторизований користувач для доступу до об'єктів.

В даному документі міститься опис основних елементів служб розподіленої безпеки Windows 2000, що підтримують вищенаведену модель. Розглядаються Active Directory, аутентифікація і авторизація, даються початкові відомості про протокол аутентифікації Kerberos. У статті наведено огляд використання інфраструктури відкритих ключів та підтримки служб сертифікатів в Windows 2000, а також шифрованого файлової системи (Encrypting File System, EFS), використовуваної для захисту даних на жорстких дисках. Нарешті, документ дає уявлення про те, яким чином служби безпеки Windows 2000 можуть бути використані розробниками додатків, а також про можливості їх взаємодії зі службами безпеки інших операційних систем.

Примітка. Більш детальну інформацію по кожній з тем, представлених в даній статті, можна знайти в матеріалах сайту Технічної бібліотеки Windows 2000 на веб-сайті http://www.microsoft.com/windows2000/techinfo/default.asp , Де представлені офіційні документи за всіма основними технологіями, інтерактивна документація по операційній системі і інша інформація.

наверх сторінки

Роль Active Directory

Служба каталогів Active Directory грає найважливішу роль в забезпеченні мережевої безпеки. Як Windows 2000 Server, так і Windows 2000 Professional містять засоби для захисту інформації на індивідуальних комп'ютерах. Однак для забезпечення всебічної безпеки, заснованої на застосуванні політик і контролі доступу до мережевих ресурсів, організаціям слід використовувати Windows 2000 Server і Professional спільно, що також дозволить скористатися усіма перевагами розподілених служб безпеки, які надаються службою каталогів Active Directory.

У Active Directory централізовано зберігається інформація про користувачів, апаратних засобах, додатках і мережах, завдяки чому ці відомості завжди доступні користувачам. Крім того, в службі каталогів Active Directory зберігається інформація, необхідна для авторизації і аутентифікації, за допомогою якої визначається можливість доступу користувачів до тих чи інших мережевих ресурсів.

Служба каталогів Active Directory також щільно інтегрована зі службами безпеки Windows 2000, такими як протокол аутентифікації Kerberos, інфраструктура відкритих ключів, шифрована файлова система, диспетчер налаштувань безпеки (Security Configuration Manager), групова політика і делегування прав адміністрування. Завдяки цій інтеграції додатка Windows можуть використовувати всі переваги існуючої інфраструктури безпеки, про що більш докладно буде розказано нижче.

Основи роботи Active Directory

Оскільки робота служб безпеки Windows 2000 тісно пов'язана з функціонуванням служби каталогів Active Directory, для розуміння принципів роботи служб безпеки необхідно базове знайомство з архітектурою Active Directory. Якщо Ви не знайомі з Active Directory, в даному розділі Ви знайдете її короткий огляд.

Примітка. Для отримання додаткової інформації про Active Directory звертайтеся до ресурсів Технічної бібліотеки Windows 2000, розташованої на веб-сайті http://www.microsoft.com/windows2000/technologies/directory/default.asp .

На відміну від простої пофайлово структури каталогу ОС Windows NT® Server, служба каталогів Active Directory в Windows 2000 зберігає інформацію в ієрархічному вигляді, що відбиває логіку побудови Вашого підприємства. Завдяки цьому спрощується управління каталогом і стає можливим значний його зростання. Ієрархічна структура Active Directory складається з доменів, підрозділів (organizational units, OU) і об'єктів, подібно до того, як інформація на комп'ютерах під управлінням Windows організовується в папки і файли.

збільшити малюнок

Малюнок 1 - Ієрархічна структура служби каталогів Active Directory

Домен - це сукупність мережевих об'єктів, таких як підрозділи, облікові записи користувачів, групи та комп'ютери, які використовують в цілях безпеки загальну базу даних каталогів. Домени є основними структурними одиницями в Active Directory, виконуючи важливі функції в системі безпеки. Угруповання об'єктів в один або декілька доменів допомагає відобразити спосіб організації Вашої компанії.

Мережі великих організацій можуть містити кілька доменів, при цьому їх ієрархія називається деревом доменів. Перший створений домен є кореневим і, по відношенню до доменів, створеним під ним, буде батьківським, а ті по відношенню до нього - дочірніми. У дуже великих організаціях дерева доменів можуть бути пов'язані між собою, формуючи структуру, яка називається лісом. (У випадках, коли використовується кілька контролерів домену, служба каталогів Active Directory реплицирует бази даних через рівні інтервали часу на кожен контролер домену, завдяки чому бази даних завжди синхронізовані).

В домені виконання функцій Центру безпеки поєднується з єдністю внутрішніх політик і визначеністю відносин в сфері безпеки з іншими доменами. Адміністратор домену має повноваження на регулювання політик тільки всередині свого домену. Для великих організацій це особливо зручно, оскільки з різними доменами працюють різні адміністратори (більш докладно ця особливість управління доменами розглядається нижче, в розділі «Делегування прав адміністрування»). Однак домен не має власних захисних кордонів, що забезпечують безпечну ізоляцію від інших доменів в межах лісу. Такими межами володіє тільки ліс.

Сайти - інше поняття, необхідне при вивченні роботи Active Directory. У той час як структура доменів зазвичай відображає бізнес-структуру організації, сайти об'єднують сервери Active Directory за географічною ознакою. Комп'ютери всередині сайту, як правило, з'єднані швидкими каналами зв'язку, але не обов'язково логічно пов'язані між собою. Наприклад, якщо в будинку знаходиться кілька різних підприємств, таких, як відеостудія, ресторан і архів документів, сервери Active Directory в цій будівлі можуть становити сайт, навіть якщо області виконуваних на них завдань не перетинаються.

Підрозділ (organizational unit, OU) являє собою контейнер, за допомогою якого можна логічно об'єднувати об'єкти в адміністративні групи всередині домену. У підрозділ можуть входити такі об'єкти, як облікові записи користувачів, групи, комп'ютери, принтери, додатки, загальні файли, а також інші підрозділи.

Об'єкт містить інформацію (звану атрибутами) про окремого користувача, комп'ютері або апаратному пристрої. Наприклад, серед атрибутів об'єкта, відповідного користувачеві, швидше за все, можна буде знайти ім'я, номер телефону та ім'я керівника. В об'єкт, зіставлений комп'ютера, зазвичай включається інформація про розташування комп'ютера, а також список управління доступом (Access control list, ACL), перераховує групи і користувачів, у яких є права на доступ до вашого комп'ютера.

Розподіл інформації по доменах і підрозділам дозволяє управляти застосуванням заходів безпеки до совокупностям об'єктів, таким як групи користувачів і комп'ютерів, а не до кожного користувача або об'єкту окремо. Більш детально цей підхід буде описаний нижче, в розділі «Управління заходами безпеки за допомогою групової політики». Перед цим необхідно розглянути ще одне поняття, важливе для розуміння взаємодії системи безпеки з Active Directory - довіру.

Відносини довіри між доменами

Для того щоб користувачі, ввійшовши в мережу, могли працювати з усіма ресурсами мережі (що зазвичай називається єдиним входом), в Windows 2000 використовуються відносини довіри між доменами. Ставлення довіри - логічний зв'язок, що встановлюється між доменами з метою забезпечення наскрізної аутентифікації, яка дозволяє користувачам і комп'ютерам проходити аутентифікацію в будь-якому домені в межах лісу. Таким чином, користувач або комп'ютер може отримати доступ до всіх ресурсів відповідно до наявних у нього дозволами, зареєструвавшись в мережі тільки один раз. Ця можливість переміщення між доменами прояснює сенс терміна Транзитивне довіру, що позначає проходження аутентифікації в різних доменах відповідно до ланцюгової передачею відносин довіри між ними.

На відміну від мереж на основі Windows NT, в яких використовуються односторонні, нетранзитивність відносини довіри, при формуванні дерева доменів під керуванням Windows 2000 (подібного показаному на рисунку 1 вище) між усіма доменами встановлюються припускаються відносини довіри. Це полегшує створення явних відносин довіри між доменами середніх і великих організацій. Кожен домен в межах дерева зв'язується з батьківським доменом двосторонніми, а з іншими доменами - якими мається на увазі відносинами довіри. (Якщо для будь-якого домену двосторонні відносини довіри небажані, їх можна явно зробити односторонніми). Для організацій з декількома доменами загальна кількість явно заданих односторонніх відносин довіри значно менше при використанні Windows 2000, ніж при використанні Windows NT 4.0, завдяки чому управління доменами значно спрощується. Транзитивне довіру встановлюється всередині дерева за замовчуванням, що дуже зручно, оскільки дерево доменів зазвичай управляється одним адміністратором. Однак управління лісом одним адміністратором зустрічається не так часто, тому транзитивні відношення довіри між деревами необхідно встановлювати окремо.

Щоб отримати більш чітке уявлення про функціонування відносин довіри, погляньте ще раз на Малюнок 1. Windows 2000 автоматично встановлює двосторонні відносини довіри між кореневим доменом Microsoft.com і двома його дочірніми доменами: FarEast.Microsoft.com і Europe.Microsoft.com. Далі, в силу того, що Microsoft.com довіряє обом дочірнім доменів, відносини довіри транзитивно встановлюються і між доменами FarEast і Europe. Подібні відносини встановлюються автоматично, якщо домени знаходяться під управлінням Windows 2000. Якщо ж в мережі присутні також і домени, керовані Windows NT, адміністратори можуть задавати явні односторонні відносини довіри, властиві мережам Windows NT.

При аутентифікації між доменами в Windows 2000 відносини довіри реалізуються за допомогою протоколу Kerberos версії 5 і аутентифікації NTLM (про яку мова нижче), що забезпечує їх сумісність. Це важливо, оскільки багато організацій використовують складні моделі організації мереж на основі Windows NT, що включають кілька головних доменів і безліч доменів ресурсів, що вимагає великих фінансових і організаційних витрат для управління відносинами довіри між ними. В силу того, що дереву доменів на основі Windows 2000 відповідає дерево транзитивних відносин довіри, використання Windows 2000 спрощує інтеграцію мережевих доменів і керування ними для великих компаній. При цьому необхідно мати на увазі, що встановлення транзитивного довіри не означає автоматичного надання прав доступу тим, хто їх не має відповідно до списків управління доступом (ACL). Відносини транзитивного довіри служать, головним чином, для спрощення визначення та налаштування адміністраторами прав доступу.

Управління заходами безпеки за допомогою групової політики

Параметри групової політики - це налаштування, за допомогою яких адміністратор може контролювати дії об'єктів в Active Directory. Групова політика є важливою складовою Active Directory, оскільки вона дозволяє уніфіковано застосовувати будь-які політики до великої кількості комп'ютерів. Наприклад, групову політику можна використовувати для налаштування параметрів безпеки, управління додатками, видом робочого столу, для призначення сценаріїв і перенаправлення папок з локальних комп'ютерів на мережеві ресурси. Система застосовує групові політики до комп'ютерів при завантаженні, а до користувачів - при їх реєстрації в системі.

Налаштування групової політики можуть ставитися до трьох контейнерів в Active Directory: підрозділам (OUs), доменів і сайтів. Установки групової політики зачіпають або всіх користувачів (або всі комп'ютери) в даному контейнері, або тільки певні їх групи.

За допомогою групової політики можна застосовувати політики безпеки широкої дії. Політики рівня домену зачіпають всіх його користувачів. До них, зокрема, відносяться політики облікових записів, що визначають, наприклад, мінімальну довжину пароля або періодичність обов'язкової зміни пароля користувачами. При цьому можна вказати можливість заміщення цих установок установками політик нижчих рівнів.

Після застосування глобальних політик за допомогою параметрів групової політики можна задати детальні настройки безпеки для персональних комп'ютерів. Налаштування безпеки локальних комп'ютерів визначають права і привілеї для конкретного користувача або комп'ютера. Наприклад, на сервері можна розподілити права на створення резервних копій і відновлення з них даних, а на настільному комп'ютері задати рівень аудиту доступу до даних.

Параметри безпеки для кожного комп'ютера складаються з налаштувань політик всіх рівнів - від домену до підрозділу. У прикладі, наведеному на рисунку 1 настройки для користувачів домену Europe.Microsoft.com визначаються комбінацією політик доменів Microsoft.com і Europe.Microsoft.com, а також всіх підрозділів, до складу яких входить даний користувач.

Аутентіфікація і управління доступом

Аутентіфікація є ще однією з найважлівішіх складових безпеки системи. За допомогою процедур аутентифікації підтверджується справжність користувачів, які здійснюють вхід в домен або намагаються отримати доступ до мережевих ресурсів. У Windows 2000 аутентифікація служить для здійснення єдиного входу в мережу. Єдиний вхід забезпечує аутентифікацію користувача на будь-якому комп'ютері домену після проходження однієї процедури входу за допомогою пароля або смарт-карти.

Успішна аутентифікація в середовищі Windows 2000 складається з двох окремих процесів: інтерактивного входу, при якому облікові дані користувача звіряються з обліковим записом домену або локального комп'ютера, і мережевий аутентифікації при спробі користувача отримати доступ до будь-якої мережевої служби.

Після успішної аутентифікації користувача рівень його доступу до об'єктів визначається виходячи як з призначених користувачеві прав, так і з дозволів, встановлених для даних об'єктів. Для об'єктів, що знаходяться в домені, управління доступом здійснює відповідний диспетчер об'єктів. Наприклад, доступ до ключів реєстру контролюється реєстром.

Далі в цьому розділі процес аутентифікації в Windows 2000 і здійснення контролю доступу розглядаються більш докладно.

аутентіфікація

Для входу в систему комп'ютера або в домен користувач Windows 2000 повинен мати обліковий запис в Active Directory. Обліковий запис служить посвідченням автентичності користувача, на підставі якого операційна система виконує аутентифікацію і надає права доступу до конкретних ресурсів в домені.

Облікові записи користувачів також можуть застосовуватися в деяких додатках. Службу можна налаштувати на вхід (аутентифікацію) з обліковим записом користувача, що надасть їй відповідні права на доступ до певних мережевих ресурсів.

Як і облікові записи користувачів, облікові записи комп'ютерів в Windows 2000 забезпечують можливість аутентифікації і аудиту доступу, здійснюваного з даного комп'ютера до мережі і її ресурсів. Доступ до ресурсів може бути надано тільки комп'ютера під керуванням Windows 2000, має унікальну обліковий запис.

Примітка. Комп'ютери під керуванням Windows 98 і Windows 95 не мають у своєму розпорядженні розширеними можливостями системи безпеки, властивими Windows 2000 і Windows NT, тому їм не можуть бути присвоєні облікові записи в доменах Windows 2000. Проте для реєстрації в мережі і роботи в доменах Active Directory можна використовувати комп'ютери, що працюють під управлінням Windows 98 і Windows 95.

Windows 2000 підтримує кілька механізмів аутентифікації для перевірки автентичності користувачів, що входять в мережу. Це особливо важливо при наданні доступу до корпоративної мережі зовнішніх користувачів за допомогою зовнішніх мереж або додатків електронної комерції.

При вході в мережу користувач пред'являє дані для аутентифікації, за якими система безпеки перевіряє його справжність і визначає, які права доступу до мережевих ресурсів можуть бути йому надані. У корпоративної мережі Windows 2000 використовується протокол аутентифікації Kerberos (про який мова нижче). Якщо ж потрібно перевірити посвідчення партнерів, постачальників або клієнтів компанії через Інтернет, необхідна підтримка різних способів аутентифікації. Windows 2000 надає таку можливість, оскільки до її складу входять різні механізми аутентифікації промислового стандарту, включаючи сертифікати X.509, підтримку смарт-карт, а також протокол Kerberos. Крім того, Windows 2000 підтримує протокол NTLM, довгий час використовувався в Windows, і надає інтерфейси для виробників біометричних механізмів аутентифікації.

Використовуючи групову політику в Active Directory, можна призначати використання різних механізмів аутентифікації для конкретних користувачів або груп, виходячи з їх функцій і вимог безпеки. Наприклад, можна зажадати від виконавського персоналу проходження аутентифікації тільки за допомогою смарт-карт, що підвищить рівень надійності перевірки; для користувачів Інтернету встановити вимогу аутентифікації за сертифікатами X.509, що працюють з будь-яким браузером; а для корпоративних службовців можна продовжувати використовувати аутентифікацію NTLM по імені користувача і паролю. Незалежно від методу перевірки автентичності, Windows 2000 звіряє представлену при аутентифікації інформацію з Active Directory.

Якщо аутентифікація проходить успішно і підтверджується наявність облікового запису, що належить даному користувачеві, Windows 2000 надає йому облікові дані, необхідні для доступу до ресурсів у всій мережі.

управління доступом

Управління доступом в Windows 2000 реалізується шляхом призначення адміністраторами дескрипторів безпеки об'єктів, таким як файли, принтери і служби. Дескриптор безпеки об'єкта містить список управління доступом (ACL), в якому визначаються користувачі (індивідуально або по групах), що мають права на виконання конкретних операцій з даним об'єктом. Дескриптором безпеки об'єкта також визначаються події доступу до даного об'єкта, що підлягають аудиту, наприклад, запис в захищений файл. Змінюючи властивості об'єкта, адміністратори можуть встановлювати дозволу, призначати права володіння і відстежувати доступ користувачів до об'єкта.

Адміністратори можуть контролювати доступ не тільки до самого об'єкта, але і до окремих атрибутів цього об'єкта. Наприклад, шляхом відповідної настройки дескриптора безпеки можна дозволити доступ користувачів до деякої частини інформації, такої як ім'я та номер телефону співробітника, закривши для перегляду іншу частину, наприклад, домашню адресу.

За допомогою списків управління доступом (ACL) до об'єктів операційна система Windows 2000 порівнює інформацію про клієнта з інформацією про об'єкт з метою визначення того, чи має даний користувач необхідні права доступу (наприклад, дозвіл на читання / запис) до даного об'єкта (наприклад, файлу ). Перевірка проводиться на рівні ядра підсистеми безпеки Windows 2000. В залежності від результату порівняння служба відповість клієнтові або виконанням запиту, або відмовою в доступі.

Деталізований контроль доступу

Для забезпечення більшої гнучкості в регулюванні налаштувань безпеки служба каталогів Active Directory надає адміністраторам можливість детального контролю доступу до об'єктів каталогу. Об'єкти в Active Directory, відповідні користувачам або групам, можуть мати буквально сотні атрибутів, таких, як номери домашніх і робочих телефонів, імена керівників, а також назви груп, до складу яких входить даний об'єкт. Дозволи можуть задаватися тільки для деяких атрибутів обраної облікового запису без надання прав на читання / запис всіх атрибутів. Можна також контролювати зміни в обліковий запис користувача або інших записах в Active Directory для кожного атрибута.

Делегування прав адміністрування

Для того щоб організації могли розподіляти відповідальність за управління доменами між декількома співробітниками, Active Directory дозволяє адміністраторам делегувати повноваження на виконання завдань адміністрування в межах лісу або домену. Адміністративний контроль може бути переданий на будь-який рівень дерева доменів шляхом створення підрозділів, що включають об'єкти, над якими необхідно встановити контроль, з подальшим делегуванням прав адміністрування цих підрозділів певним учасникам та групам.

На рівні підрозділу адміністратор може надати права на виконання конкретних операцій, таких як створення груп, управління списками користувачів в цих групах або створення облікових записів комп'ютерів в домені. Установки групової політики і використання груп користувачів дозволяють адміністраторам точно визначати делеговані повноваження. Наприклад, можна передати права на зміну записів користувачів певної групи, такий як група підтримки бухгалтерії, при цьому обмеживши повноваження цієї групи обраними категоріями користувачів, скажімо, тільки службовцями бухгалтерії, що займаються платіжними відомостями.

Більш того, завдяки можливості детального контролю доступу (описаного вище) адміністратори можуть точно визначати коло делегованих повноважень. Наприклад, замість надання прав повного доступу до облікових записів користувачів, його можна налаштувати групі підтримки тільки скидання паролів, не дозволяючи змінювати адреси користувачів.

Примітка. Для отримання додаткових відомостей про зв'язок Active Directory з системою безпеки, дивіться документ Користувачі, комп'ютери і групи в Active Directory Active Directory Users, Computers, and Groups (EN) в Технічної бібліотеці Windows 2000 Server

наверх сторінки