r06 06 (9)

[ Pobierz całość w formacie PDF ]
.LSASS przekazuje ��danie dost�pu do klienta Windows, który do��cza ��danie doinicjuj�cej wiadomo�ci SMB, która z kolei jest wysy�ana do serwera docelowego.Serwer docelowy (zwany równie� serwerem zatwierdzaj�cym), wydobywa ��daniedost�pu i przekazuje je do w�asnego LSASS, który wywo�uje lokalny modu�zabezpiecze� Kerberos do sprawdzenia wa�no�ci biletu.Lokalny modu� zabezpieczenia dekoduje cz�� zaszyfrowanego biletu wraz zeskróconym has�em u�ytkownika.Je�eli zdekodowana wiadomo�� nie pasuje do�CRC wdanej wiadomo�ci, jest natychmiast odrzucana.Ze zdekodowanej wiadomo�ci modu�zabezpieczenia wydobywa klucz sesji dla biletu.Nast�pnie u�ywaj�c kluczadekoduje element uwierzytelniania.Je�eli klucze sesji pasuj� do�siebie, modu�sprawdza znacznik czasu i okre�la wa�no�� biletu.Po pomy�lnym sprawdzeniu wszystkich zabezpiecze�, serwer docelowy dajeu�ytkownikowi dost�p do serwera.Klient buforuje swoj� kopi� biletu izwi�zanego z nim klucza sesji.Buforowany bilet jest u�ywany dla wszystkichtransakcji Kerberos zwi�zanych z serwerem docelowym, a� do momentu wyga�ni�ciawa�no�ci biletu.W tym momencie klient musi uzyska� nowy bilet z centrumdystrybucji kluczy.Ponowne uwierzytelnianie jest jedn� z najmocniejszych stronsystemu Kerberos.Szczegó�y implementacji systemu KerberosWszystkie wspania�e w�a�ciwo�ci systemu Kerberos poci�gaj� za sob� tylko kilkawymaga� operacyjnych.Komputery Windows 2000 zawsze korzystaj� z systemuKerberos podczas uwierzytelniania innych komputerów i domeny Windows 2000.Administrator nie musi wykonywa� �adnych czynno�ci konfiguracyjnych, jakrównie� nie musi nadzorowa� transakcji.Przechodnie relacje zaufania nie wymagaj� �adnych dodatkowych konfiguracji.Wtrybie w�asnym domeny Windows 2000, grupy i u�ytkownicy zaufanych domen mog�automatycznie uzyskiwa� dost�p do danych zasobów.W domenach trybu mieszanego,w których u�ywana jest kombinacja systemu Kerberos i NTLM Challenge-Response,dost�p do zasobów jest uzale�niony od komputera, do którego uzyskuje si� prawadost�pu.Nie ma �adnych wskazówek w interfejsie u�ytkownika dotycz�cychmechanizmu uwierzytelniania u�ywanego przez dane po��czenie.Us�uga centrum dystrybucji kluczy i us�uga klienta Kerberos nie posiadaj�swoich w�asnych programów wykonawczych i s� wy�wietlane na li�cie procesów.Obie us�ugi s� �adowane jako cz�� LSASS.Parametry rejestru kontroluj�ceus�ug� centrum dystrybucji s� zlokalizowane wHKLM|System|CurrentControlSet|Services|KDC, jakkolwiek klucz ten nie zawieraspecjalnych warto�ci sterowania.Windows 2000 Resource Kit zawiera dwa narz�dzia � KSETUP i KTPASS, które s�u�ywane w konfiguracji kontrolera domeny po to, aby móg� dzia�a� jako centrumdystrybucji kluczy MIT Kerberos 5.Trzeba przyzna�, �e Kerberos jest szybkim, cichym systemem, nie przysparzaj�cymwielu problemów.Niestety, nie mo�na powiedzie� tego samego dla za�o�e�zabezpiecze�, które wchodz� w gr� po zako�czeniu pracy systemu Kerberos.Wnast�pnej cz�ci rozdzia�u przedstawione zostanie zagadnienie konfiguracjizasad zabezpiecze�.Konfiguracja zasad zabezpiecze�Microsoft definiuje zasad� jako �zbiór za�o�e� okre�laj�cych wzajemnewspó�dzia�anie pomi�dzy tematem i obiektem�.Zasady zabezpiecze� s� cz�ci�ca�ego mechanizmu zabezpiecze� nosz�cego nazw� zasady grup.Zasady grup s�nast�pn� grup� za�o�e� Windows b�d�c� kontynuacj� za�o�e� systemowychzaprezentowanych w Windows 95 i NT4.Za�o�enia systemowe sk�adaj� si� ze zbioruwpisów do rejestru, kontrolowanego przez jedno narz�dzie � System Policy Editor(Edytor za�o�e� systemowych).Na przyk�ad za�o�enie systemowe w klasycznym NT��czy ró�ne klucze i warto�ci rejestru, aby zmieni� pow�ok� Eksploratora wjedno za�o�enie �rodowiska systemu.Klasyczne za�o�enia systemowe posiadaj� jednak wiele ogranicze�, wszczególno�ci dotycz�cych rozprzestrzeniania konfiguracji zabezpiecze�.Za�o�enie systemowe stale aktualizuje wpisy w rejestrze.Cz�ste zmiany mog� by�przyczyn� powa�nych problemów.Je�eli przez przypadek rozprzestrzeniszaktualizacj� zabezpieczenia, która blokuje u�ytkownikom korzystanie z ichkomputerów, rezultatem mo�e by� konieczno�� odwiedzenia 10 000 komputeróww�celu naprawienia pomy�ki.Za�o�enia systemowe mog� by� rozprzestrzeniane tylko w jednym pliku� NTCONFIG.POL.Ta sytuacja przeszkadza zdolno�ci do tworzenia za�o�e�systemowych przeznaczonych dla okre�lonych po��cze� u�ytkownika.Za�o�eniasystemowe mog� by� kierowane do okre�lonych grup, lecz powoduje to konieczno��utworzenia olbrzymiego pliku NTCONFIG.POL, który jest bardzo niepor�czny wzarz�dzaniu.Zakres wpisów w rejestrze, które mog� by� zmienione przez za�o�enia systemowe,jest ograniczony przez wsteczn� kompatybilno�� z klasycznym NT.Za�o�enia systemowe s� dalej wspomagane przez Windows 2000, lecz zosta�y wzasadzie w pe�ni zast�pione przez zasady grup.Dowolny parametr systemubazuj�cy na wpisie do rejestru mo�e by� kontrolowany przez zasady grup.Wszystkie zmiany s� wykonywane szybko i �atwo i nie wymagaj� ka�dorazowegozmieniania lokalnych rejestrów.Usuni�cie zasad grup powoduje przywróceniepierwotnych wpisów rejestru.Zasady grup mog� by� u�ywane do kontroli wielu konfiguracji, takich jakustawienia zabezpiecze�, us�ugi systemowe, parametry interfejsu u�ytkownika iustawienia aplikacji.Dodatkowo za�o�enia mog� by� u�ywane do kontroli:przydzielania obszaru dysku u�ytkownikowi,odzyskiwania systemu plików,przeadresowywania folderów,logowania i roz��czania skryptów,instalacji oprogramowania.Oparte na rejestrze zasady grup, które wp�ywaj� na ustawienia komputera, s�zapisywane w grupie HKEY_Local_Machine, a zasady dotycz�ce ustawie� u�ytkownika� w�ga��zi HKEY_Current_User.Zasady grup u�ywane s� przy ka�dym logowaniuu�ytkownika albo komputera i s� od�wie�ane co 90 minut, a� do momenturoz��czenia.Niektóre za�o�enia mog� by� u�ywane tylko podczas roz��czania.Zasady grup s� udost�pniane komputerom na dwa sposoby:Zasady lokalne.Zasady te s� przechowywane na dysku lokalnym w katalogu\WINNT\System32\GroupPolicy i s� wykorzystywane w momencie logowaniau�ytkownika do komputera.Zasady Active Directory.Te zasady s� przechowywane w dwóch miejscach.G�ównezasady s� umieszczane w ka�dym kontrolerze domeny w katalogu\WINNT\Sysvol\Sysvol\.Pozosta�a cz�� jest przechowywanaw�katalogu, w zbiorze kontenerów zasad grupowych (GPCs � Group PolicyContainers).Zasady mog� by� zwi�zane z kontenerem Domain (Domena), Sites(Okr�gi) albo z dowolnym kontenerem Organization Unit (Jednostkaorganizacyjna).Wi�cej informacji na ten temat znajdziesz w rozdziale 7.�Us�ugi Active Directory� [ Pobierz całość w formacie PDF ]

do ÂściÂągnięcia > pobieranie > ebook > pdf > download

Linki