المجموعات المتداخلة في Active Directory – (أفضل الممارسات). مجموعات Azure Active Directory تعتبر أدوات مفيدة لمستخدمي Azure عندما يتعلق الأمر بالتحكم في وصول مختلف المستخدمين إلى الدليل النشط. غالبًا ما قد تحتاج إلى فرض أذونات وممارسات إدارية مماثلة عبر عدة مجموعات في Azure. يمكن أن يكون هذا مرهقًا ومستهلكًا للوقت وهنا حيث تأتي مجموعات Azure المتداخلة بفائدتها.
يتيح تضمين Azure إدارة وإدارة بيئة الدليل النشط بكفاءة أكبر استنادًا إلى الأدوار الأعمال والوظائف والمعايير الإدارية. كما هو الحال مع أي شيء آخر في Azure Active Directory ، هناك ممارسات أفضل يجب على المسؤولين اتباعها لتجنب الأخطاء الكبيرة والتأكد من أن كل شيء في نظام الحسابات.
هذا المقال هو تحليل مفصل لهذه الممارسات. ولكن أولاً، دعونا نبدأ بتحديد ما هي المجموعات المتداخلة في Azure.
مصدر الصورة: Imanami
ما هي المجموعات المتداخلة في Azure؟
حسنًا، في Azure Active Directory، المجموعات المتداخلة هي المجموعات التي شملت مجموعات أخرى داخلها. ببساطة، المجموعة المتداخلة هي مجموعة ضمن مجموعة.
في Azure، يُسمى ممارسة دمج مجموعة واحدة في أخرى بالتضمين. لذلك، تبسط المجموعات المتداخلة في Active Directory إدارة الوصول وتعيين الأذونات داخل النطاق. استخدام المجموعات المتداخلة في Active Directory هو الطريقة الأكثر فعالية للتحكم في الوصول إلى الموارد وفرض مبدأ أدنى الامتياز. علاوة على ذلك، يبسط أيضًا تعداد الأذونات لأي مورد. سواء كان ذلك خادم ملفات Windows أو قاعدة بيانات SQL.
اقرأ أيضًا نشر أداة مراقبة Azure ADالنطاقات في المجموعات المتداخلة في Azureمصدر الصورة:
اقرأ أيضًا نشر أداة مراقبة لـ Azure AD
النطاقات في مجموعات Azure المتداخلة
مصدر الصورة: Imanami
المجموعات المحلية
المجموعات المحلية في Azure هي تلك المحلية: تم إنشاؤها وتعريفها وتوفرها حصرًا على الجهاز الذي تم إنشاؤها عليه. يوصى دائمًا بعدم إنشاء مجموعات محلية جديدة على أجهزة العمل.
المجموعات المحلية للمجال
المجال المجموعات المحلية هي الخيار الأفضل لـ السيطرة على إذنات الموارد. لأنها تطبق في أي مكان في المجال. يمتلك المجموع المحلي للمجال أعضاء من مجالات أي نوع وكذلك أعضاء من المجالات المصدقة. على سبيل المثال، المجموعة المحلية للمجال هي خيارك عندما تحتاج إلى إنشاء مجموعة لإدارة الوصول إلى مجموعة من المجلدات على خادم أو أكثر يحتوي على معلومات للمسؤولين.
المجموعات العالمية
التالي هومجموعات عالمية في Active Directory. تعتبر هذه المجموعات مفيدة للغاية في إدارة الغابات ذات المجالات المتعددة. تجعل من الممكن تحديد الأدوار وإدارة الموارد عبر العديد من المجالات. يتم تخزين كل مجموعة عالمية في المجال الذي تم إنشاؤها فيه. يتم تخزين عضويتها في التسلسل العالمي ونسخها عبر الغابة.
المجموعات العالمية
في معظم الحالات، يتم استخدام المجموعات العالمية كمجموعات دور لتحديد مجموعات الأشياء في المجال حسب الأدوار التجارية. وبالتالي، يتم تنظيم المستخدمين في مجموعات عالمية بناءً على أدوارهم (على سبيل المثال، “الموارد البشرية” أو “المبيعات”). حيث يتم تنظيم الكمبيوترات في المجموعات العالمية بناءً على أدوارها (على سبيل المثال، “أجهزة المبيعات”).
اقرأ أيضًااستخدام تقارير مجموعات Active Directory
9 أفضل الممارسات للمجموعات المتداخلة في Active Directory
1. إنشاء تسلسلات منطقية لمجموعاتك
في الأساس، فإن تنظيم المجموعات ضمن التسلسل الهرمي يعتبر مفيدًا لأنه يسمح بمزيد من التحكم في وصول المستخدم. المشرفين يطبقون الأذونات على المجموعة الأبوية ويضعون تلك الأذونات على جميع المجموعات الفرعية. كيف؟ عن طريق بناء تسلسل هرمي من المجموعات المتداخلة. هذا يبسط إدارة وصول المستخدم، حيث يتم تبني أي تعديلات على المجموعة الأبوية تلقائيًا من قبل أطفالها.
إن إنشاء هيكل هرمي في Active Directory يساعد أيضًا على تخفيف الفوضى. بدلاً من وجود عدد كبير من المجموعات الفردية مع حقوق مماثلة، يقوم المدراء ببناء مجموعة أبوية واحدة تحتوي على جميع المستخدمين الأساسيين. ثم يتم وضع المجموعات الأخرى المتعلقة تحتها. هذا يقلل عدد الكائنات في Active Directory ويسمح لك بالعثور على ما تبحث عنه بسهولة أكبر.
تحديد المستخدمين المختلفين الذين يحتاجون إلى الوصول إلى الموارد هو الخطوة الأولى في تنظيم المجموعات إلى تسلسلات منطقية. ثم لكل نوع من المستخدمين، قم بإنشاء مجموعة والدة وأضف العضوية المناسبة إليها. أنشئ مجموعات أبناء إضافية حسب الحاجة وضعها تحت المجموعة الوالدة المقابلة بمجرد تشكيل المجموعات الوالدة. بهذا، تضمن أن أي تغييرات تقوم بها للمجموعة الوالدة تتبعها أطفالها.
2. استخدم تعدد المجموعات لتسهيل إدارة الأذونات
يتيح التعدد المجموعات للمسؤولين توفير الأذونات للمجموعة العلوية. وبالتالي، يتم توريث هذه من قبل جميع أعضاء تلك المجموعة، وكذلك أي مجموعات أو مستخدمين تحتها. وبالمقابل، يجعل هذا إدارة أذونات المستخدم أكثر بساطة، حيث لم يعد هناك حاجة لمنح الوصول إلى مستخدمين معينين.
والأهم من ذلك، يتم إجراء التعديلات مركزيًا بدلاً من فرديًا لكل مستخدم، مما يوفر الوقت والجهد. نظرًا لأن جميع الأذونات تعيينت للمجموعة العلوية الأساسية، فإن تعقيد المجموعات يجعل من السهل مراقبة مستخدم حقوق الوصول.
قم بتحسين أمان Active Directory الخاص بك و Azure AD بقواعد المجموعة المتداخلة
جربنا الآن مجانًا، وصول إلى جميع الميزات. – أكثر من 200 قالب تقرير AD متاحة. بسهولة قم بتخصيص تقارير AD الخاصة بك.
3. إنشاء مجموعات أمان وتوزيع متميزة لكل عالم
في Azure، يتم التحكم في الوصول للمستخدمين في عدة عوالم مركزيًا عن طريق إنشاء مجموعات أمان وتوزيع عالمية لكل عالم. تخدم هاتان المجموعتان أهدافًا مختلفة. تُستخدم المجموعة الأمانية العالمية للتحكم في الوصول إلى الموارد عبر جميع العوالم، بينما تتواصل المجموعة التوزيعية مع المستخدمين في عالم معين.
ونتيجة لذلك، لإنشاء هذه المجموعات Azure AD تحتاج إلى إنشاء وحدة تنظيمية جديدة لكل مجال قبل إنشاء هذه المجموعات. تُستخدم الوحدات التنظيمية لبناء المجموعات الأمن العالمي والتوزيع المناسبة. تحظى المجموعات الأمنية العالمية بوصول إلى الموارد داخل مجالاتها الخاصة، بينما يجب أن يُمنح المجموعات التوزيعية الإذن للتواصل مع المستخدمين داخل مجالاتهم.
ثم يقوم المسؤول بـ “تكديس” المجموعات عن طريق إضافة المجموعة الأمنية العالمية إلى المجموعة التوزيعية. وهذا يضمن أن جميع أعضاء المجموعة الأمنية العالمية لديهم إمكانية الوصول إلى الموارد في مجالهم، وكذلك القدرة على تلقي الرسائل الإلكترونية أو الرسائل الأخرى من المجموعة التوزيعية.
4. تجنب الأذونات المتعارضة في المجموعات المتداخلة
مصدر الصورة: Imanami
في Azure AD، يتم استخدام أكثر مجموعة من الأذونات تقييدًا عندما ينتمي الشخص إلى مجموعات متعددة. ونتيجة لذلك، إذا كان المستخدم ينتمي إلى مجموعة لا تمتلك التفويض لاستخدام مورد معين، فإن المستخدم لا يستطيع استخدام ذلك المورد. وهذا حتى عندما ينتمي المستخدم إلى مجموعة تسمح بالوصول إلى المورد. لتجنب هذه المشكلة، من الضروري التأكد من أن جميع المجموعات المتداخلة داخل هيكل Active Directory لها نفس الأذونات.
بالإضافة إلى ذلك، يجب على المسؤولين التدبر عند إنشاء مجموعات جديدة لتجنب تكديس المجموعات بحقوق متعارضة. ويتم ذلك من خلال تقييم جيد لعضوية كل مجموعة والتحقق من عدم وجود مجموعتين تحتويان على أشخاص لهم مجموعات مختلفة من الأذونات.
5. تأكد من أن كل مستخدم ينتمي إلى مجموعة واحدة على الأقل
من الأسهل بالنسبة لمسؤولي النظام تطبيق سياسات الأمان والإعدادات على مجموعات من المستخدمين دفعة واحدة إذا كان جميع المستخدمين أعضاء في مجموعة واحدة على الأقل. علاوة على ذلك، إذا انتقل المستخدم من المؤسسة أو غير دوره، يتم سريعًا سحب أذونات الوصول لهم عن طريق إزالتهم من المجموعة المناسبة.
للقيام بذلك، يجب على مسؤولي النظام بناء وحدة تنظيمية لكل قسم وإضافة المستخدمين المتصلين إلى الوحدة المناسبة لضمان أن يكون جميع المستخدمين أعضاء في مجموعة واحدة على الأقل. ثم، لكل وحدة، يجب عليهم تحديد مجموعة الأمان العالمية وإضافة المستخدمين المناسبين إليها. هذا يجعل من السهل توفير وإلغاء إذن الوصول للمستخدمين إلى مختلف الموارد عند الضرورة.
6. مراجعة عضوية المجموعة بانتظام
على الرغم من أن تعشية المجموعات هي أداة قيمة للتحكم في وصول المستخدم إلى الموارد، فإنه يمكن أن يكون معقدًا وصعب الإدارة. يجب مراجعة عضوية المجموعة بانتظام لضمان أن يكون للمستخدمين وصول مناسب إلى الموارد وألا يتم منح أفراد غير مصرح لهم الوصول. علاوة على ذلك، يساعد مراجعة عضوية المجموعة بانتظام أيضًا في التعرف على أي تهديدات أمنية أو نقاط ضعف في النظام.
لتحقيق ذلك، يجب أن يمتلك مدراء المجموعات أولاً مخطط لجميع المجموعات وتفاصيل عضويتها. هذا مفيد للغاية في التعرف على التعديلات المطلوبة.
بعد ذلك، يجب عليهم مقارنة هذه القائمة مع عضوية المجموعة في Active Directory. ثم يمكن تحديد ومعالجة الأسباب وراء أي اختلافات. بالإضافة إلى ذلك، يجب على المسؤولين إجراء إيرادات المخزون العادية التدقيق من عضوية المجموعة للتحقق من أنه يتم تضمين الأفراد المصرح لهم فقط في المجموعات.
7. اعتماد اسم للترتيب لكائنات Active Directory
A naming convention makes sure that you have a logical and consistent naming strategy for objects in active directory. This simplifies the identification, location, and management of Active Directory objects for administrators. Additionally, it also lowers the possibility of error in object creation and modification
عند وضع اسم الترتيب، تأكد من أنك:
- أخذت بعين الاعتبار الاستخدام المقصود والمعلومات التي ينقلها الأسماء. على سبيل المثال، تأكد من تحديد أنواع الكائنات بواسطة البادئات أو اللاحقات المحددة.
- أنشأت إرشادات للتسكين، والاختصارات، والأحرف الخاصة. تأكد من توصيل هذه الإرشادات إلى المسؤولين الذين يحتاجون إلى إنشاء أو إدارة كائنات AD.
استخدام سياسة تسمية قياسية لكائنات Active Directory يسهل Nesting المجموعات عن طريق السماح للمسؤولين بتحديد بسرور الكائنات التي تنتمي إلى المجموعات المختلفة وتعيين الأذونات وتفويض المهام بسهولة.
8. تتبع تغييرات Active Directory
من الواضح أن الحفاظ على سجل لجميع التعديلات يضمن لك إمكانية عكس أي تغيير غير مرغوب فيه إن أمكن. يمكن للمسؤولين رؤية فورًا أي مجموعات تم تعديلها ومتى ومن قام بالتعديل. علاوة على ذلك، توثيق التغييرات يحفظ التكوين الأصلي لإعادة الإعداد أو المقارنة في المستقبل.
للقيام بذلكيجب على المسؤولين الحفاظ على سجل لأي تغييرات أُجريت على المجموعات، بما في ذلك تاريخ التغيير والشخص الذي أجرى التغيير ونوع التغيير (على سبيل المثال، إضافة/إزالة الأعضاء من مجموعة) وأي ملاحظات حول المنطق وراء التغيير. هذا يساعد المسؤولين في تتبع جميع التعديلات وضمان عدم سقوط أي تفاصيل حيوية.
9. استخدم إمكانية “الرفض” عند الضرورة
في النهاية ، في الدليل النشط ، فإن إذن “الرفض” هو أداة مفيدة أخرى تستخدم لتجاوز الأذونات الأخرى التي تم تعيينها للمستخدم أو المجموعة. ميزة إذن “الرفض” هي أن المسؤول لا يزال يستخدمه لرفض وصول المستخدم إلى مورد حتى عندما يكون للمستخدم بالفعل وصول ممنوح.
ومع ذلك ، من الجيد أن نشير إلى أنه يجب استخدام هذا الإذن فقط عندما يكون ضروريًا تمامًا ، حيث يترتب عليه عواقب غير متوقعة إذا تم استخدامه بشكل خاطئ.
لاستخدام إذن “الرفض” بفعالية ، يجب على المسؤولين التأكد من أن لديهم مجموعات منفصلة لكل نوع من الأذونات.
على سبيل المثال ، لـ تقييد الوصول إلى مورد معين ، يقوم المسؤول بإنشاء مجموعة “رفض الوصول” ويضيف جميع المستخدمين الذين لا يحتاجون إلى منحهم وصولًا إليه. بعد ذلك ، يقيد المسؤول الوصول إلى الميزة عن طريق تعيين إذن “الرفض” لهذه المجموعة بدلاً من المستخدمين الفرديين. يضمن هذا أن يتم تطبيق إذن “الرفض” بنفس الطريقة على جميع أعضاء المجموعة.
شكراً لقراءة “مجموعات الدليل النشط المتداخلة – (أفضل الممارسات)”. سنختتم هذه المقالة.
مجموعات Active Directory المتداخلة – (أفضل الممارسات) الاستنتاج
مصدر الصورة: Imanami
مايكروسوفت تعمل باستمرار على تحسين Azure Active Directory لضمان تجربة سلسة لمستخدمي Azure. عندما يتعلق الأمر بإدارة Active Directory ، تعتبر المجموعات المتداخلة في Azure أحد أدوات الأكثر فائدة في تصرفك. إنها تبسط عملية ترخيص الموارد ومنح الوصول ورفضه وإدارة Active Directory بشكل عام للمسؤولين.
لذلك، من أجل تجنب comitting الأخطاء، وتوفير الوقت الثمين، وضمان إدارة فعالة لمجموعات Azure، فإنه أمر ضروري لمسؤولي المجموعة وحتى المستخدمين أن يكونوا على علم بأفضل ممارسات مجموعات Azure المتداخلة.
Source:
https://infrasos.com/active-directory-nested-groups-best-practices/