Active Directory a správa identít: základ firemného IT
Active Directory je neviditeľný základ, na ktorom stojí prihlasovanie, oprávnenia a bezpečnosť celej firmy. Keď je zdravé, nikto o ňom nevie. Keď zanedbané, stane sa najväčšou dierou v bezpečnosti.
Obsah článku
Čo Active Directory rieši
Active Directory je centrálny adresár, ktorý spravuje používateľov, počítače a ich oprávnenia. Namiesto toho, aby ste heslá a prístupy riešili na každom zariadení zvlášť, spravujete ich z jedného miesta. Prihlásenie, prístup k zdieľaným priečinkom, politiky na počítačoch — všetko sa opiera oň.
Štruktúra: organizačné jednotky a skupiny
Prehľadná štruktúra je základ, ktorý sa neskôr ťažko naprává. Dve zásady, ktoré vydržia roky:
- Organizačné jednotky (OU) usporiadajte podľa toho, ako spravujete politiky — najčastejšie podľa oddelení alebo lokalít, nie podľa nálady.
- Oprávnenia prideľujte cez skupiny, nikdy jednotlivým používateľom. Nový zamestnanec sa len pridá do správnej skupiny a zdedí presne to, čo má mať.
Osvedčený model: používateľ → rolová skupina → prístupová skupina → zdroj. Znie to zložito, no práve toto udrží oprávnenia prehľadné aj po rokoch a desiatkach zmien.
Skupinové politiky (GPO)
Skupinové politiky vám umožňujú nastaviť správanie stoviek počítačov naraz — od bezpečnostných pravidiel cez mapovanie diskov po zákaz nebezpečných funkcií. Odporúčania:
- Menej, ale premyslených politík je lepšie ako množstvo prekrývajúcich sa.
- Každú politiku pomenujte jasne, nech je z názvu zrejmé, čo robí.
- Zmeny testujte na malej skupine skôr, než ich pustíte na celú firmu.
Bezpečnosť a účty
Active Directory je hlavný cieľ útočníkov — kto ovládne AD, ovládne firmu. Minimum, ktoré by nemalo chýbať:
- Oddelené administrátorské účty — na správu nikdy nepoužívajte účet, s ktorým čítate poštu.
- Silná politika hesiel a viacfaktorové overenie tam, kde sa dá.
- Pravidelná revízia členstva v citlivých skupinách (Domain Admins a spol.).
- Účty bývalých zamestnancov okamžite deaktivovať, nie mazať narýchlo.
Najčastejšia diera nie je slabé heslo, ale zabudnutý účet s vysokými právami, ktorý roky nikto nepoužíva a nikto naň nemyslí.
Údržba a poriadok
AD sa časom zanáša — zostávajú v ňom mŕtve účty, prázdne skupiny a počítače, ktoré už neexistujú. Pravidelne (aspoň raz ročne) urobte upratovanie: deaktivujte nepoužívané účty, zrušte prázdne skupiny a skontrolujte, či štruktúra ešte zodpovedá realite firmy. Poriadok v AD je zároveň bezpečnosť.
Potrebujete AD navrhnúť alebo dať do poriadku?
Posúdim stav vášho Active Directory, navrhnem štruktúru a bezpečnostné nastavenia. Úvodná konzultácia je zdarma.
Nezáväzná konzultácia