Как делегировать право добавлять компьютеры в домен

Active Directory

Делегирование полномочий на добавление компьютеров в домен

Подробности Категория: Active Directory

1. Создать глобальную группу безопасности grp_AdminComps через оснастку «Active Directory – пользователи и компьютеры».
2. Указать, что присоединять компьютеры к домену могут лишь пользователи, входящие в созданную группу grp_AdminComps. Через оснастку «Управление групповой политикой» перейти к редактированию объекта GPO «Default Domain Controllers Policy», который располагается в подразделении «Domain Controllers». В редакторе перейти к узлу «Конфигурация компьютера\Политики\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователей» и найти параметр политики, который называется «Добавление рабочих станций к домену». Изменить этот параметр — добавить группу grp_AdminComps
3. Выполнить делегирование для группы grp_AdminComps на создание и удаление объекта компьютер в необходимых подразделениях (это позволит и перемещать компьютер между подразделениями). Для этого в оснастке «Active Directory – пользователи и компьютеры» вызвать контекстное меню (правой кнопокй мыши) для необходимых подразделений и выбрать опцию «Делегирование управления»: Далее указать группу, для которой делаем делегирование полномочий: Далее переключить «Создать особую задачу для делегирования Далее переключить в «только следующими объектами в этой папке», выбрать «Компьютер объектов», установить птицы «Создать в этой папке выбранные объекты», «Удалить из этой папки выбранные объекты»: Далее указать, что делегируется разрешение «Запись»

• Вы здесь:
• Главная
• Active Directory
• Делегирование полномочий на добавление компьютеров в домен

Новые материалы

• bcp
• try catch
• Поиск constraint FK внешний ключ
• MS SQL поиск столбцов information_schema.columns
• Фрагментация индексов
• SQL Server развернуть таблицу горизонтально
• Закачка файла CSV в MS SQL Server BULK INSERT
• Eset обновление удаленно через SMC
• install Cравнение
• Маршрутизация в Linux

Делегирование прав на добавление компьютеров в домен ALD Pro

Не всегда главный администратор и человек, который непосредственно вводит в домен компьютеры, — это одно и тоже лицо. Значит требуется классический механизм делегирования полномочий.

Окружение
* Astra Linux Special Edition 1.7 Update 1 (№ 2021-1126SE17)
* ALD Pro 1.x.x

Вопрос
Как делегировать пользователю права на добавление компьютеров в домен ALD Pro?

Ответ
Для предоставления права ввода компьютера в домен необходимо:

1. Перейти в настройки делегирования: Управление доменом — Роли и права доступа — Делегирование прав на организационную единицу — Новое делегирование
2. Для параметра Наименование подразделения указать основное подразделение (с именем домена)
3. В секции Предоставляемые права на компьютер добавить права на добавление и изменение с помощью активации соответствующих опций:
4. Сохранить настройки и перейти во вкладку Субъекты делегирования
5. Выбрать пользователей или группы пользователей, которым необходимо предоставить право ввода компьютеров в домен
6. Сохранить настройки

В ALD Pro 1.2.0 осуществлена модификация ролевой модели, добавлены роли: Системный администратор, Администратор информационной безопасности, Главный администратор (admin). Для предоставления пользователю права ввода компьютеров в домен ALD Pro достаточно назначить пользователю роль «ALDPRO — IT Security Specialist».

Описание ролей в системе содержится во внутренней справке ALD Pro: Справочный центр — Управление доменом — Роли и права доступа — Роли в системе.

Видео от разработчиков — Управление делегированием.

Дата последней правки: 2023-03-24 12:22:50

Делегирование прав на добавление компьютеров в домен ALD Pro

Для предоставления права ввода компьютера в домен необходимо:

1. Перейти в настройки делегирования: Управление доменом — Роли и права доступа — Делегирование прав на организационную единицу — Новое делегирование
2. Для параметра Наименование подразделения указать основное подразделение (с именем домена)
3. В секции Предоставляемые права на компьютер добавить права на добавление и изменение с помощью активации соответствующих опций:

4. Сохранить настройки и перейти во вкладку Субъекты делегирования
5. Выбрать пользователей или группы пользователей, которым необходимо предоставить право ввода компьютеров в домен
6. Сохранить настройки

В ALD Pro 1.2.0 осуществлена модификация ролевой модели, добавлены роли: Системный администратор, Администратор информационной безопасности, Главный администратор (admin). Для предоставления пользователю права ввода компьютеров в домен ALD Pro достаточно назначить пользователю роль «ALDPRO — IT Security Specialist».

Описание ролей в системе содержится во внутренней справке ALD Pro: Справочный центр — Управление доменом — Роли и права доступа — Роли в системе.

Делегирование административных полномочий в Active Directory

06.10.2022

itpro

Active Directory, PowerShell, Windows Server 2019

комментариев 35

В этой статье мы рассмотрим особенности делегирования полномочий в домене Active Directory. Делегирование позволяет предоставить право на выполнение некоторых задач управления AD обычным пользователям домена, не включая их в привилегированные доменные группы, такие как Domain Admins, Account Operators и т.д.. Например, с помощью делегирования вы можете предоставить определённой группе пользователей (допустим, Helpdesk) право на добавление пользователей в группы, заведение новых пользователей в AD и сброс пароля.

Особенности делегирования прав в Active Directory

Для делегирования прав в AD используется мастер Delegation of Control Wizard в графической оснастке Active Directory Users and Computers (DSA.msc).

Административные права в AD можно делегировать на довольно детальном уровне. Одной группе можно предоставить право на сброс пароля в OU, другой – на создание и удаление аккаунтов, третьей на сброс пароля. Можно настроить наследование разрешений на вложенные OU. Вы можете делегировать права в AD на четырех уровнях:

1. Сайта AD;
2. Всего домена;
3. Конкретной OU в Active Directory;
4. Конкретного объекта AD.

Несколько рекомендаций по правильному использованию делегирования администраивных полномочий в AD:

• Не рекомендуется делегировать разрешения непосредственно для кокретных учетных записей пользователей. Вместо этого создайте в AD новую группу безопасности, добавьте в нее пользователя и делегируйте полномочия на OU для этой группы. Если вам понадобится предоставить такие же права в домене еще одному пользователю, вам будет достаточно добавить его в группу безопасности;
• Старайтесь не использовать запрещающих разрешений, т.к. они имеют приоритет над разрешающими;

Делегирование прав на сброс паролей и разблокировку учетных записей

Представим, наша задача – предоставить группе HelpDesk право на сброс пароля и разблокировку аккаунтов пользователей в домене. Итак, создадим новую группу в AD с помощью PowerShell:

New-ADGroup «HelpDesk» -path ‘OU=Groups,OU=Moscow,DC=corp,dc=winitpro,DC=ru’ -GroupScope Global

Добавьте в группу нужных пользователей:

Add-AdGroupMember -Identity HelpDesk -Members ivanovaa, semenovvb

Запустите консоль Active Directory Users and Computers (ADUC), щелкните ПКМ по OU с пользователями (в нашем примере это ‘OU=Users,OU=Moscow,DC=corp,dc=winitpro,DC=ru’) и выберите пункт меню Delegate Control.

Выберите группу, которой вы хотите предоставить административные полномочия.

Выберите из списка один из преднастроенных наборов привилегий (Delegate the following common tasks):

• Create, delete, and manage user accounts;
• Reset user passwords and force password change at next logon;
• Read all user information;
• Create, delete and manage groups;
• Modify the membership of a group;

Либо создайте собственное задание делегирования (Create a custom task to delegate). Я выберу второй вариант.

Выберите тип объектов AD, на которые нужно предоставить права. Т.к. нам нужно предоставить права на учетные записи пользователей, выберите пункт User Object. Если вы хотите предоставить право на создание и удаление пользователей в этом OU, выберите опции Create/Delete selected objects in this folder. В нашем примере мы не предоставляем таких полномочий.

В списке разрешений нужно выбрать те привилегий, которые вы хотите делегировать. В нашем примере мы выберем право на разблокировку (Read lockoutTime и Write lockoutTime) и сброс пароля (Reset password).

Для поиска источника блокировки аккаунтов в домене службой поддержки пользователей нужно предоставить право поиска по журналам на контроллерах домена.

Нажмите Next и на последнем экране подтвердите назначение выбранных полномочий.

Теперь под учетной записью пользователя из группы HelpDesk попробуйте из PowerShell сбросить пароль пользователя из OU Users, например из PowerShell:

Set-ADAccountPassword petricdb -Reset -NewPassword (ConvertTo-SecureString -AsPlainText “PPPPa$$w0rd1” -Force -Verbose) –PassThru

Пароль должен сброситься успешно (если он соответствует доменной политике паролей).

Теперь попробуйте создать пользователя в данной OU с помомью командлета New-ADUser:

New-ADUser -Name kalininda -Path ‘OU=Users,OU=Moscow,OU=winitpro,OU=DC=ru’ -Enabled $true

Должна появится ошибка доступа, т.к. вы не делегировали полномочий на создание учетных записей.

Для контроля действий пользователей, которым вы делегированными административные права, вы можете использовать журналы контроллеров домена. Например, вы можете отследить кто сбросил пароль пользователя в домене, узнать кто создал учетную запись пользователя в AD или отследить изменения в определённых группах AD.

Предоставление права на добавление компьютеров в домен AD

По умолчанию любой пользователь домена может присоединить в домен 10 компьютеров. При добавлении в домен 11-го компьютера появится ошибка:

Your computer could not be joined to the domain. You have exceeded the maximum number of computer accounts you are allowed to create in this domain. Contact your system administrator to have this limit reset or increased.

Вы можете изменить это ограничение на уровне всего домена, увеличив значение в атрибуте ms-DS-MachineAccountQuota (ссылка). Либо (гораздо правильнее и безопаснее), делегировав право на ввод компьютеров в домен в определенной OU конкретной группе пользователей (helpdesk). Для этого нужно предоставить право создавать объекты типа (Computer objects). В мастере делегирования выберите Create selected objects in this folder.

А в секции Permissions выберите Create All Child Objects.

Если вы хотите делегировать права на перемещение объектов между организационными подразделениями в AD, нужно предоставить следующие расрешения: Delete User objects, Write Distinguished Name, Write name (**), Create User (или Computer) objects.

Просмотр и удаление назначенных прав в Active Directory

На любую OU в AD можно назначить любое количество правил делегирования. Вы можете получить список групп и делегированные им права в свойствах OU в консоли ADUC. Перейдите на вкладку Security.

Здесь содержится список объектов AD, которым предсоатвлены разрешения на этот контейнер. Список предоставленных полномочий можно посмотреть на вкладке Advanced. Как вы видите для группы HelpDesk разрешен сброс паролей.

Вы можете лишить определенную группу администраивных прав, назначенных ранее через делегирование. В списке разрешений найдите группу, который вы делегировали права и нажмите Remove.

Также со вкладки Security -> Advanced вы можете самостоятельно настроить делегирование полномочий, назначая нестандартные разрешений различным группам безопасности.

Делегирование прав в Active Directory с помощью PowerShell

С помощью PowerShell вы можете вывести список прав, которые делегированы на OU или изменить текущие разрешения. Для получения и изменения прав в Active Directory используются командлеты Get-ACL и Set-ACL (эти же командлеты PowerShell используются для управления NTFS разрешения на файлы и папки).

Следующий простой скрипт выведет список нестандартных разрешений, которые делегированы на определенное организационное подразделение в AD:

# Получаем OU
$OUs = Get-ADOrganizationalUnit -Filter ‘DistinguishedName -eq «OU=Users,OU=NSK,DC=winitpro,DC=ru»‘| Select-Object -ExpandProperty DistinguishedName
$schemaIDGUID = @<>
$ErrorActionPreference = ‘SilentlyContinue’
Get-ADObject -SearchBase (Get-ADRootDSE).schemaNamingContext -LDAPFilter ‘(schemaIDGUID=*)’ -Properties name, schemaIDGUID |
ForEach-Object
Get-ADObject -SearchBase «CN=Extended-Rights,$((Get-ADRootDSE).configurationNamingContext)» -LDAPFilter ‘(objectClass=controlAccessRight)’ -Properties name, rightsGUID |
ForEach-Object
$ErrorActionPreference = ‘Continue’
ForEach ($OU in $OUs) $report += Get-Acl -Path «AD:\$OU» |
Select-Object -ExpandProperty Access |
Select-Object @>, `
@ Else >>, `
@>, `
*
>
# отчет с назначенными правами на OU

Вы можете получить отчет с разрешениями в виде графической таблицы Out-GridView:

Или экспортировать права в CSV файл для дальнейшего анализа в Excel (из скрипта PowerShell можно писать строки напрямую в Excel файл):
$report | Export-Csv -Path «C:\ps\ADOU_Permissions.csv» –NoTypeInformation

В полученном отчете сразу видно, что для группы HelpDesk делегированы права на сброс паролей пользователей в OU.

Для делегирования прав на OU можно использовать утилиту dsacls. Например:

dsacls «ou=users,ou=msk, dc=winitpro,dc=ru» /I:S /G «WINITPRO\HELPDESK:CA;Reset Password;user» «WINITPRO\HELPDESK:WP;pwdLastSet;user» «WINITPRO\HELPDESK:WP;lockoutTime;user

Также вы можете назначить права на организационный контейнер с помощью PowerShell (в этом примере делегируются права на сброс пароля):

$ou = «AD:\OU=test,DC=test,DC=com»
$group = Get-ADGroup helpdesk
$sid = new-object System.Security.Principal.SecurityIdentifier $group.SID
$ResetPassword = [GUID]»00299570-246d-11d0-a768-00aa006e0529″
$UserObjectType = «bf967aba-0de6-11d0-a285-00aa003049e2»
$ACL = get-acl $OU
$RuleResetPassword = New-Object System.DirectoryServices.ActiveDirectoryAccessRule ($sid, «ExtendedRight», «Allow», $ResetPassword, «Descendents», $UserObjectType)
$ACL.AddAccessRule($RuleResetPassword)
Set-Acl -Path $OU -AclObject $ACL

По аналогии с помощью PowerShell можно делегировать и другие права на организационные контейнеры AD.

Предыдущая статья Следующая статья