Co je Active Directory? Výukový kurz krok za krokem

S rostoucí složitostí síťových prostředků jsou adresářové služby stále důležitější pro správu infrastruktury IT. Žádná adresářová služba nemá větší jméno než Active Directory. Adresářová služba společnosti Microsoft se prosadila jako základní nástroj mezi správci sítí. V tomto výukovém kurzu služby Active Directory se podíváme na to, co je služba Active Directory, jak ji používat a na nástroje služby Active Directory, jako je SolarWinds Access Rights Manager. Mezi témata, která se dozvíte, patří:

• Co je Active Directory?
• Co dělá Active Directory?
• Jak nastavit Active Directory
• Jak používat Active Directory: Nastavení řadiče domény, vytváření uživatelů adresáře
• Události služby Active Directory ke sledování
• Důvěrné vztahy (a typy důvěryhodnosti)
• Přehled doménových struktur a stromů služby Active Directory
• Reportování služby Active Directory (pomocí nástroje SolarWinds Access Rights Manager)
• Jak zjistit zdroj zablokování účtů ve službě Active Directory

Co je služba Active Directory?

Active Directory je adresářová služba nebo kontejner, který ukládá datové objekty v prostředí místní sítě. Služba zaznamenává údaje o uživatelích, zařízeních, aplikacích, skupinách a zařízeních v hierarchické struktuře.

Struktura dat umožňuje z jednoho místa zjistit podrobnosti o prostředcích připojených k síti. Služba Active Directory v podstatě funguje jako telefonní seznam pro vaši síť, takže můžete snadno vyhledávat a spravovat zařízení.

Co dělá služba Active Directory?

Existuje mnoho důvodů, proč podniky používají adresářové služby, jako je Active Directory. Hlavním důvodem je pohodlí. Služba Active Directory umožňuje uživatelům přihlašovat se k různým zdrojům a spravovat je z jednoho místa. Přihlašovací údaje jsou sjednoceny, takže je snazší spravovat více zařízení bez nutnosti zadávat údaje o účtu pro přístup ke každému jednotlivému počítači.

Jak nastavit službu Active Directory (pomocí RSAT)

Pro začátek se musíte nejprve ujistit, že máte nainstalován systém Windows Professional nebo Windows Enterprise, jinak nebudete moci nainstalovat nástroje pro vzdálenou správu serveru. Poté proveďte následující:

Pro Windows 10 verze 1809:

1. Klikněte pravým tlačítkem myši na tlačítko Start a přejděte do Nastavení > Aplikace > Spravovat volitelné funkce > Přidat funkci.
2. Nyní vyberte RSAT:
3. Nakonec vyberte možnost Instalovat a po dokončení instalace přejděte do nabídky Start > Nástroje pro správu systému Windows pro přístup ke službě Active Directory.

Pro Windows 8 (A Windows 10 verze 1803)

1. Stáhněte a nainstalujte správnou verzi Nástroje pro správu serveru pro vaše zařízení: Windows 8, Windows 10.
2. Poté klikněte pravým tlačítkem myši na tlačítko Start a vyberte možnost Ovládací panely > Programy > Programy a funkce > Zapnout nebo vypnout funkce systému Windows.
3. Sjeďte dolů a klikněte na možnost Nástroje pro vzdálenou správu serveru.
4. Nyní klikněte na Nástroje pro správu rolí.
5. Klikněte na Nástroje AD DS a AD LDS a zkontrolujte, zda byla zaškrtnuta volba Nástroje AD DS.
6. Stiskněte tlačítko Ok.
7. Přejděte na Start > Nástroje pro správu v nabídce Start pro přístup k Active Directory.

Jak používat Active Directory:

Jak nastavit řadič domény

Jednou z prvních věcí, které je třeba udělat při používání služby Active Directory, je nastavení řadiče domény. Řadič domény je centrální počítač, který bude odpovídat na požadavky na ověření a ověřovat ostatní počítače v celé síti. Řadič domény uchovává přihlašovací údaje všech ostatních počítačů a tiskáren.

Všechny ostatní počítače se připojují k řadiči domény, takže uživatel může ověřit každé zařízení z jednoho místa. Výhodou je, že správce nebude muset spravovat desítky přihlašovacích údajů.

Proces nastavení řadiče domény je poměrně jednoduchý. Přiřaďte řadiči domény statickou IP adresu a nainstalujte službu Active Directory Domain Services neboli ADDS. Nyní postupujte podle následujících pokynů:

1. Otevřete Správce serveru a klikněte na Souhrn rolí > Přidat role a funkce.
2. Klikněte na tlačítko Další.
3. Pokud nasazujete řadič domény ve virtuálním počítači, vyberte možnost Instalace služby Vzdálená plocha, nebo vyberte možnost Instalace na základě rolí nebo funkcí.
4. Vyberte server z fondu serverů.
5. Vyberte ze seznamu službu Active Directory Domain Services a klikněte na tlačítko Další.
6. Ponechte ve výchozím nastavení zaškrtnutou možnost Funkce a stiskněte tlačítko Další.
7. V případě potřeby klikněte na možnost Restartovat cílový server automaticky a klikněte na tlačítko Instalovat. Po dokončení instalace zavřete okno.
8. Po instalaci role ADDS se vedle nabídky Manage zobrazí oznámení. Stiskněte tlačítko Povýšit tento server na řadič domény.
9. Nyní klikněte na tlačítko Přidat novou doménovou strukturu a zadejte název kořenové domény. Stiskněte tlačítko Další.
10. Zvolte požadovanou úroveň funkčnosti domény a zadejte heslo do části Type the Directory Services Restore Mode (DSRM password). Stiskněte tlačítko Další.
11. Po zobrazení stránky Možnosti DNS znovu klikněte na tlačítko Další.
12. Do pole Název domény NetBios zadejte doménu (nejlépe stejnou jako název kořenové domény). Stiskněte tlačítko Další.
13. Vyberte složku pro uložení databáze a souborů protokolu. Stiskněte tlačítko Další.
14. Pro dokončení stiskněte tlačítko Instalovat. Váš systém se nyní restartuje.

Vytvoření uživatelů služby Active Directory

Uživatelé a počítače jsou dva nejzákladnější objekty, které budete muset při používání služby Active Directory spravovat. V této části se budeme zabývat vytvářením nových uživatelských účtů. Tento proces je poměrně jednoduchý a nejjednodušší způsob správy uživatelů je prostřednictvím nástroje Active Directory Users and Computer neboli ADUC, který je dodáván s balíčkem Remote Server Administration Tools neboli RSAT. Aplikaci ADUC můžete nainstalovat podle níže uvedených pokynů:

Instalace aplikace ADUC v systému Windows 10 verze 1809 a vyšší:

1. Klikněte pravým tlačítkem myši na tlačítko Start a klikněte na položku Nastavení > Aplikace, poté klikněte na položku Správa volitelných funkcí > Přidat funkci.
2. Zvolte možnost RSAT:
3. Zvolte možnost Instalovat a počkejte na dokončení instalace.
4. Přejděte na tlačítko Start > Nástroje pro správu systému Windows a získejte přístup k funkci.

Instalace ADUC v systému Windows 8 a Windows 10 verze 1803 nebo nižší:

1. Stáhněte a nainstalujte nástroje Remote Server Administrator Tools pro svou verzi systému Windows. Můžete tak učinit z jednoho z těchto odkazů zde:
   Nástroje pro vzdáleného správce serveru pro Windows 10, Nástroje pro vzdáleného správce serveru pro Windows 8 nebo Nástroje pro vzdáleného správce serveru pro Windows 8.1.

1. Klikněte pravým tlačítkem myši na Start > Ovládací panely > Programy > Programy a funkce > Zapnout nebo vypnout funkce systému Windows.
2. Přejděte dolů a vyberte Nástroje pro vzdálenou správu serveru.
3. Rozbalte Nástroje správce rolí > Nástroje AD DS a AD LDS.
4. Zaškrtněte Nástroje AD DS a stiskněte Ok.
5. Přejděte na Start > Nástroje pro správu a vyberte Uživatelé a počítače služby Active Directory.

Jak vytvořit nové uživatele pomocí ADUC

1. Otevřete Správce serveru, přejděte do nabídky Nástroje a vyberte možnost Uživatelé a počítače služby Active Directory.
2. Rozbalte doménu a klikněte na položku Uživatelé.
3. Klepněte pravým tlačítkem myši do pravého podokna a stiskněte tlačítko Nový > Uživatel.
4. Když se zobrazí okno Nový objekt-uživatel, zadejte Křestní jméno, Příjmení, Přihlašovací jméno uživatele a klepněte na tlačítko Další.
5. Zadejte heslo a stiskněte tlačítko Další.
6. Klepněte na tlačítko Dokončit.
7. Nový uživatelský účet naleznete v části Uživatelé aplikace ADUC.

Události služby Active Directory ke sledování

Stejně jako všechny formy infrastruktury je i službu Active Directory třeba sledovat, aby zůstala chráněna. Monitorování adresářové služby je nezbytné pro předcházení kybernetickým útokům a poskytování co nejlepšího uživatelského komfortu uživatelům.

Níže uvádíme seznam nejdůležitějších síťových událostí, na které byste si měli dávat pozor. Pokud některou z těchto událostí zaznamenáte, měli byste ji co nejdříve dále prozkoumat a ujistit se, že vaše služba nebyla ohrožena.

Přehled lesů a stromů služby Active Directory

Les a stromy jsou dva pojmy, které při pronikání do služby Active Directory často uslyšíte. Tyto pojmy se vztahují k logické struktuře služby Active Directory. Stručně řečeno, strom je entita s jednou doménou nebo skupinou objektů, na kterou navazují podřízené domény. Doménová struktura je skupina domén poskládaných dohromady. Když se seskupí více stromů, vznikne z nich doménová struktura.

Stromy v doménové struktuře se navzájem propojují prostřednictvím vztahu důvěryhodnosti, který umožňuje různým doménám sdílet informace. Všechny domény si budou navzájem automaticky důvěřovat, takže k nim můžete přistupovat se stejnými informacemi o účtu, které jste použili v kořenové doméně.

Každá doménová struktura používá jednu jednotnou databázi. Logicky se doménová struktura nachází na nejvyšší úrovni hierarchie a strom je umístěn dole. Jedním z problémů, se kterými se správci sítě při práci se službou Active Directory potýkají, je správa doménových struktur a zajištění bezpečnosti adresáře.

Správce sítě bude mít například za úkol vybrat si mezi návrhem jedné doménové struktury nebo návrhem více doménových struktur. Návrh s jednou doménovou strukturou je jednoduchý, levný a snadno spravovatelný, přičemž celou síť tvoří pouze jedna doménová struktura. Naproti tomu návrh s více doménami rozděluje síť do různých doménových struktur, což je dobré z hlediska zabezpečení, ale komplikuje to správu.

Vztahy důvěryhodnosti (a typy důvěryhodnosti)

Jak bylo uvedeno výše, důvěryhodnosti se používají k usnadnění komunikace mezi doménami. Trusty umožňují ověřování a přístup ke zdrojům mezi dvěma entitami. Důvěry mohou být jednosměrné nebo obousměrné povahy. V rámci trustu jsou dvě domény rozděleny na důvěřující a důvěryhodnou doménu.

Při jednosměrném trustu důvěřující doména přistupuje k ověřovacím údajům důvěryhodné domény, aby uživatel mohl přistupovat ke zdrojům z druhé domény. V obousměrné důvěryhodné doméně obě domény přijmou ověřovací údaje druhé domény. Všechny domény v rámci doménové struktury si navzájem důvěřují automaticky, ale můžete také nastavit důvěryhodnost mezi doménami v různých doménových strukturách, aby se přenášely informace.

Důvěryhodnosti můžete vytvářet prostřednictvím Průvodce vytvořením nové důvěryhodnosti. Průvodce novou důvěryhodností je průvodce konfigurací, který umožňuje vytvářet nové vztahy důvěryhodnosti. Můžete zde zobrazit název domény, typ vztahu důvěryhodnosti a tranzitivní stav existujících vztahů důvěryhodnosti a vybrat typ vztahu důvěryhodnosti, který chcete vytvořit.

Typy vztahů důvěryhodnosti

V systému Active Directory existuje řada typů vztahů důvěryhodnosti. Uvedli jsme je v následující tabulce:

Reportování Active Directory s nástrojem SolarWinds Access Rights Manager (ZDARMA ZKUŠEBNÍ VERZE)

Generování reportů o Active Directory je nezbytné pro optimalizaci výkonu a udržení souladu s předpisy. Jedním z nejlepších nástrojů pro vytváření reportů o službě Active Directory je SolarWinds Access Rights Manager (ARM). Tento nástroj byl vytvořen s cílem zvýšit přehled o tom, jak se používají a spravují pověření adresáře. Můžete například zobrazit účty s nezabezpečenými konfiguracemi a zneužití pověření, které by mohlo znamenat kybernetický útok.

Použití nástroje třetí strany, jako je SolarWinds Access Rights Manager, je výhodné, protože poskytuje informace a funkce, ke kterým by bylo mnohem obtížnější nebo nemožné získat přístup přímo prostřednictvím služby Active Directory.

Kromě generování sestav můžete automaticky odstraňovat neaktivní nebo neplatné účty, na které se kyberzločinci zaměřují. Cena produktu SolarWinds Access Rights Manager začíná na 3 444 Kč. K dispozici je také 30denní zkušební verze, kterou si můžete stáhnout.

SolarWinds Access Rights Manager Stáhnout 30denní zkušební verzi ZDARMA

Podívejte se také: Správa přístupových práv

Jak najít zdroj zablokování účtů ve službě Active Directory

Nejjednodušší způsob, jak najít zablokování účtů ve službě Active Directory, je použít Prohlížeč událostí, který je integrován do systému Windows. Služba Active Directory generuje zprávy Události systému Windows pro každou svou akci, takže vaším prvním úkolem je dohledat správný protokol událostí.

1. Otevřete okno prostředí PowerShell stisknutím klávesy Windows a R současně. Do vyskakovacího okna Spustit zadejte příkaz powershell a stiskněte klávesu ENTER.
2. Na příkazový řádek zadejte (get-addomain).pdcemulator
3. Zapište si adresu řadiče domény PCD Emulator, která se zobrazí na dalším řádku.
4. Zavřete okno PowerShell zadáním příkazu exit.
5. Standardní prohlížeč protokolů událostí, který je integrován v operačním systému Windows, vám pomůže najít zablokování účtů.
6. Přejděte do DC pojmenovaného jako emulátor PDC.
7. Otevřete Prohlížeč událostí rozbalením položky Nástroje pro správu systému Windows v nabídce Start a kliknutím na položku Prohlížeč událostí v této podnabídce.
8. V Prohlížeči událostí rozbalte uzel Protokoly systému Windows v levém stromu nabídky. Klepněte na položku Zabezpečení. Ve středním panelu Prohlížeče událostí se zobrazí seznam událostí Zabezpečení.
9. V pravém panelu Prohlížeče událostí klikněte na Filtrovat aktuální protokol, čímž se otevře vyskakovací okno.
10. V poli ID událostí nahraďte <Všechna ID událostí> za 4740.
11. V rozevíracím seznamu Protokolováno v horní části formuláře vyberte časový horizont.
12. Případně zadejte uživatelské jméno nebo název hostitele, pokud konkrétně hledáte uzamčení konkrétního uživatele nebo prostředku.
13. Stiskněte tlačítko OK.
14. Dvakrát klikněte na záznam protokolu, který se týká uživatele nebo prostředku, který vás zajímá, a který má časové razítko odpovídající okamžiku, kdy podle vás došlo k uzamčení. Tím se otevře zpráva o události.

Zpráva o události zobrazí uživatele, který byl uzamčen, počítač, na kterém k události došlo, a zdroj nebo důvod uzamčení.

Active Directory Tutorial:

Active Directory je jedním z nejlepších nástrojů pro správu prostředků v síti. V tomto článku jsme jen poškrábali povrch možností tohoto nástroje. Pokud používáte službu Active Directory, nezapomeňte, že je potenciálním vstupním bodem pro kybernetické útočníky. Zaznamenávání klíčových událostí adresáře a používání monitoru adresáře výrazně sníží riziko škodlivého útoku a ochrání dostupnost vaší služby.

Často kladené otázky ke službě Active Directory