Da jeg jobbet for hæren år siden, dagens serveroperativsystem var Windows NT 4.0. Jeg husker tillitsforholdene være spesielt vanskelig å håndtere, fordi hver enhet hadde sin egen Windows NT domene med sin egen administrator. Hva gjorde denne situasjonen så vanskelig å forholde seg til var at Army forskrifter mandat at Department of Information Management (mitt kontor) måtte ha et tillitsforhold med alle de andre domener som eksisterte på basen.
For å etablere denne tillitsforhold, måtte vi manuelt fortelle vårt domene for å etablere en tillit med fjern domene. Administratoren for eksterne domenet deretter måtte manuelt etablere en tillit hos oss. Selvfølgelig var det passord som måtte oppgis hver gang en stiftelse ble etablert, og dele disse passordene ble en stor politisk sak.
Opprette klareringsforhold på den måten at jeg nettopp beskrev bare ment at hvert domene på basen klarerte brukere fra kontoret mitt, og at kontoret mitt klarert brukere fra alle andre domene. Disse tillitsforholdene skapte ikke klarert mellom noen av de eksterne domener. Hvis foretakene ble pålagt mellom eksterne domener, administratorer av disse domenene måtte sende inn riktig papirarbeid å bruke, da vi måtte gå gjennom sikkerhets konsekvensene av å skape en slik tillit og deretter manuelt etablere tillit.
Trust relasjoner var en stor smerte for oss. Fordi det var så mange domener på basen, var det utallige individuelle tillitsforhold som vi hadde å vedlikeholde. Det var også mange situasjoner der vi hadde å ødelegge og gjenskape foretakene fordi de ville plutselig slutter å virke uten noen åpenbar grunn.
Nå som jeg har fortalt dere en av mine "krigshistorier" fra mine hær dager, La oss spole frem til i dag. Windows Server 2003 gjør unna med de problemene som jeg beskrev ovenfor (som gjør Windows 2000 Server). I Windows Server 2003, er et domene ikke en selvstendig enhet som det var i Windows NT Server. I stedet er et domene anses å være et objekt i Active Directory. Alle objekter i Active Directory (inkludert domener) anses å være en del av en skog.
Det interessante ting om å ha domener eksistere som en del av en større struktur (skogen) er at skogen har kunnskap av alle domenene som faller innenfor den. Videre kan ingen bare lage et nytt domene, og har det eksisterer som en del av en eksisterende skog med mindre de har de nødvendige administrative rettigheter.
Fordi skogen vet om alle domenene i det, og fordi hver domenet har blitt godkjent av en skog nivå administrator (medlem av Enterprise Admins gruppen), blir alle domenene innenfor en skog antas å være troverdig. Derfor oppretter Windows automatisk tillitsforhold mellom hvert domene i en skog, og annenhver domene i skogen.
Siden hvert domene stoler hver andre domenet automatisk, kan du anta at det er ingen grunn for noen til å stadig kjøre inn i en situasjon som min mareritt med hæren noensinne igjen, så lenge alle domenene er Active Directory basert. På en måte er dette sant. Hvis jeg jobbet for Hæren i dag, er det absolutt tenkes at jeg kunne lage en skog som dekker hele bunnen. Hver enhet kan fortsatt opprettholde sitt eget domene, men domenet ville være en del av skogen og skog bred tillit relasjoner vil automatisk bli opprettet. Faktisk, jeg vet om flere store selskaper som har sine nettverk konfigurert på akkurat den måten.
Selv om skogensomspennende tillit forenkler administrasjon, er det ikke alltid hensiktsmessig. For eksempel vurdere min tidligere eksempel med Hæren. En skog som spenner over hele basen ville ikke være passende i denne situasjonen på grunn av det faktum at mange av enhetene avtale med gradert informasjon.
Bare for å være helt klart, jeg ønsker å påpeke at det å ha ett domene tillit et annet domene ikke automatisk gi brukere i det klarerte domenet tilgang til noen av ressursene i tillitsfulle domenet. Det er opp til det domenet administrator å innvilge tillatelser. Likevel ville en skog som strekker seg over en hel hær base ikke være hensiktsmessig for Forsvaret fordi hæren ikke ønsker å risikere å få en administrator tilskuddsordninger tillatelser til å få tilgang til klassifisert materiale til noen i et annet domene, enten med vilje eller skadelig. Anmeldelser
OK, så Hæren har mye kresen regler og byråkrati, så hva med et aksjeselskap? Vel, det er enda situasjoner i bedriftens verden der et selskap i hele skogen er en dårlig idé. Tenk for et øyeblikk at du jobber for et stort selskap med kontorer i mange forskjellige byer. Nå forestille seg at selskapets nettverk er strukturert slik at selskapet kun har én skog, og enkelte avdelinger med eget domene innenfor denne skogen. Ved første, denne strukturen høres ikke så ille. Det kan også virke logisk. Husk imidlertid at muligheten for en slik utforming hele koker ned til å stole på.
Tenk deg for eksempel at du er nettverksadministrator i vår fiktive selskapets Miami, Florida kontor. En dag får du en telefon fra bedriftens hovedkontor og de vil at du skal gi tilgang til en bestemt fil aksje til markedsføringsgruppen i Las Vegas, Nevada kontor. Husk at Las Vegas kontoret består av en uavhengig domene over hvor du har absolutt ingen kontroll. Du kan blindt adlyder hovedkontor og tildele de nødvendige rettighetene, men husk at du har ingen kontroll over Marketing konsernets medlemskap. Det beste du kan gjøre er å håpe at nettverksadministratoren i Las Vegas ikke ville gjøre noen som ville gjøre skade på dine ressurser, et medlem av Marketing gruppen.
Som du ser, det hele koker ned til å stole på. Spørsmålet er hvor mye tillit har du i om administratorer av de andre domener? Hva om en av de andre administratorene er fokusert på nettverket dominans? Normalt har en domenenivå administrator administrative rettigheter enn deres eget domene, men ikke over skogen. Dette betyr at de har absolutt ingen kontroll over hvilken som helst av de andre domener. Men trenger alle en administrator for å bli en skog nivå administrator er å ha sin konto lagt til Enterprise Admins gruppen. Det er mange heving av rettighets utnyttelser som kan brukes til å legge til en bruker i Enterprise Admins gruppen. Siden den aktuelle brukeren er allerede et domene administrator, slike exploits blitt mye lettere å trekke av. For å si det enkelt, ville det ikke ta mye for et domene nivå administrator for å markedsføre seg selv til en skog bredt administrator. Når de gjør det, har de full kontroll over hvert domene i skogen, inkludert din.
Som du ser, det er mange situasjoner hvor fulle truster er ikke akkurat ønskelig. Hvis din bedrift har behov for litt mer isolasjon mellom domener av sikkerhetsmessige grunner, bør du vurdere å implementere flere skoger snarere enn å ha en eneste skog.
Hva er ryddig om å ha flere skoger er at du kan opprette tillitsforhold mellom skoger der det er nødvendig. Men når noen gang en tillit skapes mellom skog, eksisterer tillit bare mellom domenene som eksplisitt godkjente tillit. For eksempel anta at et domene som heter Posey var en del av en multidomene skogen. Som en del av denne skogen, ville et tillitsforhold automatisk eksisterer mellom Posey domenet og alle andre domene i skogen. Nå antar at administratoren av Posey domene besluttet å opprette en ekstern tillit med en annen skog. Administratoren ville ikke være i stand til å fortelle domenet til å stole på hele skogen, fordi eksterne stiftelser kan bare skapes på domenenivå. Derfor ville administratoren må eksplisitt angi hvilke domener innenfor det ytre skogen som de ønsker å stole på.
Tenk deg at administratoren av Posey domene skapte en haug av eksterne stiftelser uten hans selskapets skognivå administrator kunnskap. Det spiller ingen rolle, fordi disse foretakene ikke kan undergrave skogens sikkerhet. Bare fordi Posey domene velger å stole på noen domener fra en ekstern skog, betyr det ikke at andre domener i samme skog som Posey domenet vil hedre denne tilliten. Faktisk, så langt som de andre domener er bekymret, tillit ikke engang eksisterer. Det andre domener i skogen ønsker å hedre de eksterne truster, administratorer av disse domenene må eksplisitt definere tillit relasjoner fra deres eget domene til eksterne domener.
Konklusjon
Som du kan se, det er tider da har hver og en av selskapets domener stole på hverandre er en stor sikkerhetsrisiko. I slike situasjoner kan du isolere domener eller grupper av domener ved å opprette separate skoger. Deretter kan du opprette eksterne tillitsforhold som gjør at visse domener til å stole på andre eksterne domener uten frykt for uhell etablere utilsiktede klareringer. Anmeldelser