Che cos’è Active Directory? Un tutorial passo dopo passo

Con la crescita della complessità delle risorse di rete, i servizi di directory sono diventati sempre più importanti per la gestione delle infrastrutture IT. Non esiste un servizio di directory con un nome più grande di Active Directory. Il servizio di directory di Microsoft si è affermato come uno strumento fondamentale tra gli amministratori di rete. In questo tutorial su Active Directory vedremo cos’è Active Directory, come usarlo e gli strumenti di Active Directory come SolarWinds Access Rights Manager. Gli argomenti da imparare includono:

• Cos’è Active Directory?
• Cosa fa Active Directory?
• Come configurare Active Directory
• Come usare Active Directory: Impostazione di un controller di dominio, creazione di utenti di Active Directory
• Eventi di Active Directory da monitorare
• Relazioni di fiducia (e tipi di fiducia)
• Panoramica delle foreste e degli alberi di Active Directory
• Rapporto di Active Directory (con SolarWinds Access Rights Manager)
• Come trovare la fonte dei blocchi di account in Active Directory

Che cos’è Active Directory?

Active Directory è un servizio di directory o un contenitore che memorizza oggetti di dati sul tuo ambiente di rete locale. Il servizio registra i dati su utenti, dispositivi, applicazioni, gruppi e dispositivi in una struttura gerarchica.

La struttura dei dati rende possibile trovare i dettagli delle risorse collegate alla rete da una posizione. In sostanza, Active Directory agisce come un elenco telefonico per la tua rete in modo da poter cercare e gestire facilmente i dispositivi.

Cosa fa Active Directory?

Ci sono molte ragioni per cui le aziende usano servizi di directory come Active Directory. La ragione principale è la convenienza. Active Directory permette agli utenti di accedere e gestire una varietà di risorse da un’unica posizione. Le credenziali di accesso sono unificate in modo che sia più facile gestire più dispositivi senza dover inserire i dettagli dell’account per accedere ad ogni singola macchina.

Come impostare Active Directory (con RSAT)

Per iniziare è necessario prima assicurarsi di avere installato Windows Professional o Windows Enterprise altrimenti non sarà possibile installare Remote Server Administration Tools. Poi fate quanto segue:

Per Windows 10 Versione 1809:

1. Fate clic con il tasto destro del mouse sul pulsante Start e andate su Impostazioni > App > Gestisci funzioni opzionali > Aggiungi funzione.
2. Ora selezionate RSAT: Active Directory Domain Services and Lightweight Directory Tools.
3. Infine, selezionare Install quindi andare su Start > Windows Administrative Tools per accedere ad Active Directory una volta completata l’installazione.

Per Windows 8 (E Windows 10 Versione 1803)

1. Scaricare e installare la versione corretta di Server Administrator Tools per il vostro dispositivo: Windows 8, Windows 10.
2. Poi, clicca con il tasto destro del mouse sul pulsante Start e seleziona Pannello di controllo > Programmi > Programmi e funzionalità > Attiva o disattiva le funzionalità di Windows.
3. Scendi e clicca sull’opzione Remote Server Administration Tools.
4. Fate ora clic su Strumenti di amministrazione dei ruoli.
5. Fate clic su AD DS e AD LDS Tools e verificate che AD DS Tools sia stato selezionato.
6. Premete Ok.
7. Andate su Start > Strumenti amministrativi nel menu Start per accedere ad Active Directory.

Come usare Active Directory: Come impostare un controller di dominio, creare utenti di directory

Come impostare un controller di dominio

Una delle prime cose che devi fare quando usi Active Directory è impostare un controller di dominio. Un controller di dominio è un computer centrale che risponderà alle richieste di autenticazione e autenticherà altri computer nella rete. Il controller di dominio memorizza le credenziali di accesso di tutti gli altri computer e stampanti.

Tutti gli altri computer si connettono al controller di dominio in modo che l’utente possa autenticare ogni dispositivo da una posizione. Il vantaggio di questo è che l’amministratore non dovrà gestire decine di credenziali di accesso.

Il processo di impostazione di un controller di dominio è relativamente semplice. Assegnate un indirizzo IP statico al vostro controller di dominio e installate Active Directory Domain Services o ADDS. Ora segui queste istruzioni:

1. Apri Server Manager e clicca su Roles Summary > Add roles and features.
2. Clicca Next.
3. Seleziona Remote Desktop Services installation se stai distribuendo un controller di dominio in una macchina virtuale o seleziona l’installazione basata sui ruoli o sulle funzionalità.
4. Selezionate un server dal pool di server.
5. Selezionate Active Directory Domain Services dall’elenco e cliccate su Next.
6. Lasciate le Features selezionate per default e premete Next.
7. Fate clic su Restart the destination server automatically se necessario e cliccate su Install. Chiudete la finestra una volta completata l’installazione.
8. Una volta che il ruolo ADDS è stato installato, verrà visualizzata una notifica accanto al menu Gestisci. Premete Promuovi questo server in un controller di dominio.
9. Ora cliccate su Aggiungi una nuova foresta e inserite un nome di dominio radice. Premete Next.
10. Selezionate il livello funzionale di dominio che desiderate e inserite una password nella sezione Type the Directory Services Restore Mode (DSRM password). Cliccate Next.
11. Quando appare la pagina DNS Options cliccate di nuovo Next.
12. Inserite un dominio nella casella NetBios Domain name (preferibilmente lo stesso del nome del dominio root). Premi Next.
13. Seleziona una cartella per memorizzare il tuo database e i file di log. Premi Next.
14. Premi Install per finire. Il tuo sistema ora si riavvierà.

Creazione di utenti Active Directory

Gli utenti e i computer sono i due oggetti di base che dovrai gestire quando usi Active Directory. In questa sezione, vedremo come creare nuovi account utente. Il processo è relativamente semplice, e il modo più facile per gestire gli utenti è attraverso lo strumento Active Directory Users and Computer o ADUC che viene fornito con il pacchetto Remote Server Administration Tools o RSAT. È possibile installare ADUC seguendo le istruzioni elencate di seguito:

Installare ADUC su Windows 10 Versione 1809 e superiori:

1. Fare clic con il tasto destro del mouse sul pulsante Start e fare clic su Impostazioni > App, quindi fare clic su Gestisci funzioni opzionali > Aggiungi funzione.
2. Selezionare RSAT: Active Directory Domain Services and Lightweight Directory Tools.
3. Selezionare Install e attendere il completamento dell’installazione.
4. Andare su Start > Windows Administrative Tools per accedere alla funzione.

Installare ADUC su Windows 8 e Windows 10 Versione 1803 o inferiore:

1. Scaricate e installate Remote Server Administrator Tools per la vostra versione di Windows. Puoi farlo da uno di questi link qui:
   Remote Server Administrator Tools per Windows 10, Remote Server Administrator Tools per Windows 8, o Remote Server Administrator Tools per Windows 8.1.

1. Fai clic destro su Start > Pannello di controllo > Programmi > Programmi e funzionalità > Attiva o disattiva le funzionalità di Windows.
2. Scorri verso il basso e seleziona Strumenti di amministrazione remota del server.
3. Espandi gli Strumenti di amministrazione dei ruoli > AD DS e AD LDS.
4. Controlla AD DS Tools e premi Ok.
5. Vai su Start > Strumenti amministrativi e seleziona Active Directory Users and Computers.

Come creare nuovi utenti con ADUC

1. Apri il Server Manager, vai al menu Strumenti e seleziona Active Directory Users and Computers.
2. Espandi il dominio e clicca Utenti.
3. Fate clic con il tasto destro del mouse sul riquadro di destra e premete New > User.
4. Quando viene visualizzata la casella New Object-User inserite un First name, Last name, User logon name e cliccate Next.
5. Inserisci una password e premi Avanti.
6. Fai clic su Fine.
7. Il nuovo account utente può essere trovato nella sezione Utenti di ADUC.

Eventi di Active Directory da monitorare

Come tutte le forme di infrastruttura, Active Directory deve essere monitorato per rimanere protetto. Il monitoraggio del servizio di directory è essenziale per prevenire i cyber-attacchi e fornire la migliore esperienza agli utenti finali.

Di seguito elencheremo alcuni degli eventi di rete più importanti che dovresti tenere d’occhio. Se vedi uno di questi eventi, allora dovresti indagare ulteriormente il prima possibile per assicurarti che il tuo servizio non sia stato compromesso.

Una panoramica delle foreste e degli alberi di Active Directory

Foresta e alberi sono due termini che sentirete spesso quando vi addentrerete in Active Directory. Questi termini si riferiscono alla struttura logica di Active Directory. Brevemente, un albero è un’entità con un singolo dominio o gruppo di oggetti che è seguito da domini figli. Una foresta è un gruppo di domini messi insieme. Quando più alberi sono raggruppati insieme diventano una foresta.

Gli alberi nella foresta si collegano tra loro attraverso una relazione di fiducia, che permette ai diversi domini di condividere informazioni. Tutti i domini si fidano automaticamente l’uno dell’altro in modo da potervi accedere con le stesse informazioni dell’account usato sul dominio principale.

Ogni foresta usa un database unificato. Logicamente, la foresta si trova al livello più alto della gerarchia e l’albero si trova in basso. Una delle sfide che gli amministratori di rete hanno quando lavorano con Active Directory è la gestione delle foreste e il mantenimento della sicurezza della directory.

Per esempio, un amministratore di rete avrà il compito di scegliere tra un design a foresta singola o multi foresta. Il design a foresta singola è semplice, a basso costo e facile da gestire con una sola foresta che comprende l’intera rete. Al contrario, un design multi-foresta divide la rete in diverse foreste che è buono per la sicurezza ma rende l’amministrazione più complicata.

Relazioni di fiducia (e tipi di fiducia)

Come menzionato sopra, i trust sono usati per facilitare la comunicazione tra i domini. I trust permettono l’autenticazione e l’accesso alle risorse tra due entità. I trust possono essere di natura unidirezionale o bidirezionale. All’interno di un trust, i due domini sono divisi in un dominio di fiducia e un dominio fidato.

In un trust unidirezionale, il dominio di fiducia accede ai dettagli di autenticazione del dominio fidato in modo che l’utente possa accedere alle risorse dell’altro dominio. In una fiducia bidirezionale, entrambi i domini accettano i dettagli di autenticazione dell’altro. Tutti i domini all’interno di una foresta si fidano l’uno dell’altro automaticamente, ma puoi anche impostare trust tra domini in foreste diverse per trasferire informazioni.

Puoi creare trust attraverso la procedura guidata Nuovi trust. Il New Trust Wizard è una procedura guidata di configurazione che ti permette di creare nuove relazioni di fiducia. Qui puoi visualizzare il nome del dominio, il tipo di fiducia e lo stato transitivo delle relazioni esistenti e selezionare il tipo di fiducia che vuoi creare.

Tipi di fiducia

C’è una gamma di tipi di fiducia in Active Directory. Li abbiamo elencati nella tabella sottostante:

Active Directory Reporting con SolarWinds Access Rights Manager (FREE TRIAL)

Generare report su Active Directory è essenziale per ottimizzare le prestazioni e rimanere in conformità con la conformità normativa. Uno dei migliori strumenti di reporting di Active Directory è SolarWinds Access Rights Manager (ARM). Lo strumento è stato creato per aumentare la visibilità su come le credenziali della directory vengono utilizzate e gestite. Ad esempio, è possibile visualizzare gli account con configurazioni insicure e l’abuso di credenziali che potrebbero indicare un attacco informatico.

Utilizzare uno strumento di terze parti come SolarWinds Access Rights Manager è vantaggioso perché vi fornisce informazioni e caratteristiche a cui sarebbe molto più difficile o impossibile accedere attraverso Active Directory direttamente.

Oltre a generare rapporti, potete eliminare automaticamente gli account inattivi o scaduti che i criminali informatici prendono di mira. SolarWinds Access Rights Manager parte da 3.444 dollari (2.829 sterline). C’è anche una versione di prova gratuita di 30 giorni che puoi scaricare.

SolarWinds Access Rights Manager Download 30- day FREE Trial

Vedi anche: Gestione dei diritti di accesso

Come trovare la fonte dei blocchi degli account in Active Directory

Il modo più semplice per trovare i blocchi degli account in Active Directory è usare il Visualizzatore eventi, che è integrato in Windows. Active Directory genera messaggi di Windows Events per ogni sua azione, quindi il tuo primo compito è quello di rintracciare il giusto registro eventi.

1. Apri una finestra PowerShell premendo il tasto Windows e R insieme. Nel popup Esegui, digita powershell e premi INVIO.
2. Nella riga di comando digita (get-addomain).pdcemulator
3. Annuncia l’indirizzo del controller di dominio PCD Emulator, che sarà mostrato nella riga successiva.
4. Tieni premuto exit per chiudere la finestra PowerShell.
5. Il visualizzatore di log di eventi standard che è integrato nel sistema operativo Windows ti aiuterà a trovare i blocchi di account.
6. Vai al DC chiamato come PDC Emulator.
7. Apri il visualizzatore di eventi espandendo Windows Administrative Tools nel menu Start e cliccando sulla voce Event Viewer in quel sottomenu.
8. Nel visualizzatore di eventi, espandi il nodo Windows Logs nel menu ad albero a sinistra. Clicca su Sicurezza. L’elenco degli eventi di sicurezza apparirà nel pannello centrale del Visualizzatore eventi.
9. Nel pannello destro del Visualizzatore eventi, fai clic su Filtra il registro corrente, che aprirà una finestra popup.
10. Nel campo ID dell’evento sostituisci <Tutti gli ID degli eventi> con 4740.
11. Seleziona un orizzonte temporale nell’elenco a discesa Registrato in cima al modulo.
12. Opzionalmente, inserisci un nome utente o un nome host se stai cercando specificamente un blocco su un utente o una risorsa specifica.
13. Premi OK.
14. Doppio clic sulla voce di registro che si riferisce all’utente o alla risorsa che ti interessa e che ha un timestamp che corrisponde al momento in cui pensi si sia verificato il blocco. Questo aprirà il rapporto dell’evento.

Il rapporto dell’evento ti mostrerà l’utente che è stato bloccato, il computer su cui si è verificato l’evento e la fonte, o il motivo del blocco.

Esercitazione Active Directory: Le basi

Active Directory è uno dei migliori strumenti per gestire le risorse nella tua rete. In questo articolo, abbiamo appena scalfito la superficie del potenziale di questo strumento. Se state usando Active Directory, ricordate che è un potenziale punto di ingresso per i cyber-attaccanti. Prendere nota degli eventi chiave della directory e utilizzare un monitor di directory sarà un passo importante per minimizzare il rischio di un attacco maligno e proteggere la disponibilità del vostro servizio.

Active Directory FAQs