Plano: Uma implantação política acesso Central

Negócio determina que é necessária uma política de acesso central. O próximo passo é decidir sobre o conteúdo (recursos) que você deseja aplicar políticas. Em seguida, crie uma lista de todas as diretivas que você deseja aplicar ao seu conteúdo. Por exemplo, algumas das políticas comuns que se aplicam para o departamento financeiro de uma organização seria:

• Documentos arquivados de Finanças devem ser lido somente por membros do departamento de Finanças.
  
  
• Membros do departamento de Finanças só devem ser capazes de acessar os documentos no seu próprio país.
  
  
• Apenas administradores de Finanças deve ter acesso de gravação. Uma exceção será permitida para os membros do grupo FinanceException. Este grupo terá acesso de leitura.
  
  

O próximo passo no processo de planejamento é traduzir as políticas que você exige em expressões. Uma política de acesso central destina-se a proporcionar uma fácil interpretação de uma língua de requisito do negócio para um idioma de autorização.
Uma política central no Windows Server 2012has as seguintes partes distintas:

• Aplicabilidade: Uma condição que define quais os dados a diretiva se aplica a
  (Exemplo: Resource.BusinessImpact=High)
  
  
• Condições de acesso: uma lista de um ou mais controle de acesso entradas (ACE) que define quem pode acessar os dados
  (Exemplo: permitir | Controle total | User.EmployeeType=FTE)
  
  
• Exceção: Uma lista adicional de uma ou mais entradas de controle de acesso que definem uma exceção para a política
  (Exemplo: MemberOf(HBIExceptionGroup)
  
  

Nesta etapa, as expressões que foram criadas para as políticas são discriminadas e analisadas para descobrir quais propriedades de recursos, grupos de segurança como usuário potencial reivindicações precisam ser criados para implantar as políticas específicas. Note-se que antes de usar declarações de usuário, você deve revisar a seção relevante em reivindicações de usuário neste tópico. Lembre-se de que você sempre pode usar grupos de segurança no caso que você não tem o atributo de reclamação de usuário apropriado disponível no seu ambiente.

O próximo passo é determinar quais servidores de arquivo deseja implantar as políticas de acesso que tiver decidido sobre. Por exemplo, você pode ter uma política de acesso de Finanças que você deseja estender apenas para os servidores de arquivo de Finanças.

Controle de acesso dinâmico pode ajudá-lo a limitar o acesso aos dados para os grupos específicos de pessoas. Os passos para conseguir isso são:

1. Os dados de marcação, marcando as pastas que contêm dados confidenciais
   
   
2. Configurando uma regra de acesso Central que especifica que a grupos de segurança específicos só podem acessar dados que estão marcados de forma específica
   
   
3. Aplicação de uma política de acesso Central para o apropriado servidor 2012 servidores de arquivos Windows em sua organização
   
   

Para uma explicação detalhada de usar grupos de segurança, consulte o Blog de controle de acesso dinâmico.

Você pode usar o controle de acesso dinâmico para reduzir consideravelmente a complexidade de uma combinatória número de grupos de segurança (por exemplo, a partir de 2.000 a menos do que um 100) para que você pode ter uma compreensão clara de quem pode acessar quais dados e você pode facilmente ajustar o acesso quando as pessoas se deslocam entre diferentes funções na empresa.

Em um ambiente empresarial típico há um grande número de usuários, departamentos, grupos de segurança, e assim, um grande número de controlo de acesso listas (ACLs). Além disso, se uma pessoa se move de um departamento para outro, que envolve atualizar um grande número de grupos de segurança. Isso resulta em um monte de sobrecarga e controle de acesso dinâmico pode ajudar a reduzir a carga de trabalho dos administradores IT para gerenciar o grupo de segurança. Os passos necessários para isso são:

1. Marca todas as pastas com os valores apropriados, por exemplo, departamento, país e sensível.
   
   
2. Decida sobre as combinações de expressões utilizadas no ACL do Windows. Por exemplo, você usaria MemberOf (Spain_Security_Group)eMemberOf (Finance_Security_Group)eMemberOf(Sensitive_Security_Group) para limitar o acesso a informações confidenciais de Espanha Finanças departamento.
   
   
3. Crie regras de acesso central específico com essas expressões que se destinam a determinados grupos de segurança e pastas específicas sobre os servidores de arquivos.
   
   

Para uma explicação detalhada do uso de controle de acesso dinâmico para reduzir a complexidade de grupos de segurança, consulte o Blog de controle de acesso dinâmico.

Como regra, você deve usar declarações do usuário (vs. Grupo de segurança) quando:

• Você quer ser capaz de usar condições como User.Project = File.Project em sua política de modo que você pode compactar milhares de condições para uma expressão simples (evitando condições tais como File.Project=Cosmos e User.Memberof(Cosmos_security_group)).
  
  
• O atributo de usuário no Active Directory que são a fonte a reclamação de usuário de tem a configuração de segurança apropriadas sobre quem ou o que pode definir esse atributo.
  
  
• Alta integridade do valor do atributo no Active Directory e do sistema que define esse valor tem procedimentos operacionais que levam em consideração a utilização desse valor para as decisões de autorização.
  
  
• Nenhuma alteração previsível para os valores no atributo. Por exemplo, se o atributo é um nome de departamento e estas mudam frequentemente devido a re-organização, então é não apto para ser usado como uma declaração de usuário.
  
  

Quando usando direitos de usuário, você deve se certificar de que você tem o ambiente de controlador de domínio Windows Server 2012 adequado para apoiar estas alegações de usuário. Os dois principais domínios de interesse são o domínio do usuário e o domínio do servidor de arquivos.

• Ambos os domínios não podem incluir o Windows Server 2003 (ou versão anterior) controladores de domínio.
  
  
• Ter o número adequado de controladores de domínio Windows Server 2012 no domínio de usuário para suportar o número de clientes de Windows 8 implantado nesse domínio ou como alternativa, definir os clientes de Windows 8 não exigir declarações neste caso ter pelo menos um controlador de domínio do Windows Server 2012 no domínio de usuário será suficiente (Ver mais detalhes abaixo
  
  
• Se o domínio do usuário e o domínio do servidor de arquivos estão em uma floresta diferente, você precisará:
  
  
  • Têm relações de confiança bidirecionais entre as duas florestas.
    
    
  • Tenho todos os controladores de domínio de raiz de floresta para ser de ambos os domínios Windows Server 2012
    
    

Operações para permitir pedidos de usuário

• Habilitar os controladores de domínio fornecer créditos e autenticação composta a pedido
  
  

Habilitar os controladores de domínio fornecer créditos e autenticação composta a pedido

Para habilitar os controladores de domínio fornecer créditos e autenticação composta a pedido

1. Abra o gerenciamento de diretiva de grupo e navegue para Controladores de domínio OU no domínio.

2. Botão direito do mouse a Diretiva padrão de controladores de domínio e selecione Editar.

3. Na janela Editor de gerenciamento de diretiva de grupo, navegue até Configuração do computador, > Modelos administrativos, sistemae KDC.

4. Selecione KDC suporte para reclamações, autenticação composta e blindagem de Kerberos.

5. Em declarações, composta autenticação para controle de acesso dinâmico e Kerberos armoring opções selecione suportados.

6. Clique em OK. Gerenciamento de diretiva de grupo de fechar.

Importante
Até que a diretiva de grupo do Kerberos, cliente Kerberos suporte para reclamações, autenticação composta e Kerberos blindagem é habilitado em todos os dispositivos do Windows 8, reivindicações e autenticação composta não são solicitados e acesso baseado em declarações e baseada em dispositivo irá falhar.

Aviso
Windows 8 dispositivos habilitados para apoiar as reivindicações do solicitante e composta autenticação falhará a autenticação quando um Windows Server 2012 DC não pode ser encontrado em domínios configurados para oferecer suporte a autenticação composta e reivindicações.

Considerações sobre o uso de créditos do usuário no servidor de arquivos ACLs discricionárias sem usar diretivas de acesso Central

Windows 8 introduz o conceito de identidade composto que permite o token de usuário incluir ambos os detalhes de usuário (ID, grupos de segurança e reclamações) bem como os detalhes do dispositivo (ID, grupos de segurança e créditos), para que você possa usar esses detalhes na decisão de autorização como: somente usuários específicos, usando um dispositivo específico podem acessar dados altamente confidenciais.

Muito parecido com usuário alega, reivindicações de dispositivo são provenientes de atributo de objeto de dispositivo no Active Directory (fonte de reclamação) que contém o valor do crédito.

Importante
Reivindicações de dispositivo são suportadas no Windows 8clients apenas.

Considerações sobre o uso de alegações de dispositivo estático

Operações para permitir reivindicações de dispositivo

Essa configuração fornece a infra-estrutura completa para reivindicações e composta autenticação para controle de acesso dinâmico e é o mais fácil de suportar. Ele requer que:

• Se existirem uma relações de confiança entre florestas, então o domínio de raiz tem todos os controladores de domínio do Windows Server 2012.
  
  
• Domínios que fornecem autenticação composta e reivindicações têm todos os controladores de domínio do Windows Server 2012
  
  
• Todos os dispositivos do Windows 8 devem ser habilitados para suportar reivindicações solicitante e autenticação composta
  
  

Como configurar a raiz de floresta DCs

Simplesmente atualize todos os controladores de domínio raiz da floresta para Windows Server 2012 e configurar a transformação de declarações de saída e entrada.

Nota

Isso ajudará a garantir que as afirmações não são perdidas de florestas confiáveis. Se existirem controladores de domínio anterior ao Windows Server 2012, os controladores de domínio irão descartar reivindicações que irão resultar em falhas de controle de acesso intermitente. Adicionalmente, anteriores ao Windows Server 2012 controladores de domínio não transformar declarações para que os dados de pedidos serão divulgados para todas as florestas confiantes

Configurando domínios que fornecem autenticação composta e reivindicações

Configurando dispositivos para solicitar autenticação composta e reivindicações

Atualize a diretiva de domínio padrão para habilitar os dispositivos do Windows 8 no domínio para solicitar declarações e autenticação composta ou ativar os Windows 8 dispositivos solicitar declarações e composta autenticação usando diretiva personalizada que se aplica a todos os objetos de computador de Windows 8.

Nota
Afirma que esta configuração que você configurar para habilitar Windows 8 dispositivos solicitar e autenticação composta é ignorada por versões do Windows que não oferecem suporte a ele.

Configurando recursos para receber autenticação composta

Essa configuração fornece infra-estrutura limitada para apenas usuário alegações de controle de acesso dinâmico. Requer:

• Se existirem uma relações de confiança entre florestas, então o domínio raiz tem todos os Windows Server 2012 DCs
  
  
• Para cada domínio que fornece declarações de usuário a pedido tem Windows Server 2012 DCs em sites com servidores de arquivos e nenhum controlador de domínio do Windows Server 2003.
  
  
• Habilite todos os servidores de arquivos do Windows 8 apoiar as reivindicações requerentes em nome dos usuários.
  
  

Importante
Autenticação mecanismo garantia universais grupos e controle de acesso baseado em dispositivo são incompatíveis com o processo de recuperação de servidor de direitos de usuário.

Como configurar a raiz de floresta DCs

Simplesmente atualize todos os controladores de domínio raiz da floresta para Windows Server 2012 e configurar a transformação de declarações de saída e entrada.

Nota

Isso ajudará a garantir que as afirmações não são perdidas de florestas confiáveis. Se existirem controladores de domínio anterior ao Windows Server 2012, os controladores de domínio irão descartar reivindicações que irão resultar em falhas de controle de acesso intermitente. Adicionalmente, anteriores ao Windows Server 2012 controladores de domínio não transformar declarações para que os dados de pedidos serão divulgados para todas as florestas confiantes

Configurando domínios que fornece autenticação composta e reivindicações

Configurando servidores de arquivos para solicitação de créditos em nome dos usuários

Se os recursos estão usando uma diretiva de acesso central, em seguida, basta aplica a política. Caso contrário, ativar os Windows 8 dispositivos solicitar declarações e composta autenticação usando diretiva personalizada que se aplica a objetos de computador de servidor de arquivos Windows 8.

Nota
Essa configuração é ignorada por versões do Windows que não oferecem suporte a ele.

Essa configuração será exclusiva para o seu ambiente e pode ser difíceis de suportar quando dispositivos Windows 8 tem configurações diferentes.

Requisitos gerais para todos os ambientes:

• Se existem relações de confiança entre florestas, domínio raiz deve ter todos os controladores de 2012domain do Windows Server
  
  
• Para cada domínio que fornece declarações e autenticação composta a pedido, não pode haver controladores de domínio do Windows Server 2003
  
  
• Para recursos usando controle de acesso baseado em dispositivo, receber autenticação composta deve ser habilitada a menos que uma política de acesso central está sendo usada.
  
  

Idealmente, você deve delegar permissões para todos os recipientes de controle de acesso dinâmico na raiz da floresta do seu controlador de domínio. Você precisa conceder permissões de leitura e escrita para grupos de segurança específicos que têm acesso a certos objetos. Por exemplo, você pode criar grupos universais como:

• Administradores de reivindicação DAC
  
  
• Administradores de propriedade de recurso DAC
  
  
• DAC Admins de regra de acesso Central
  
  
• Administradores de diretiva de acesso Central DAC
  
  

Então, você pode delegar direitos correspondentes a esses grupos.

A seguir estão os recipientes de controle de acesso dinâmico embutidos no Windows Server 2012. Para acessar estes recipientes, navegue até a partição de configuração ->sistema -> Serviços -> configuração de reivindicações.

• Tipos de declaração
  
  
• Propriedades de recurso
  
  
• Regras de acesso central
  
  
• Condições de acesso central
  
  

Você pode configurar a delegação das políticas da centro administrativo de Active Directory (ADAC).

Para configurar a delegação de permissões da ADAC

Exceções para as regras comuns de acesso são um componente-chave de cada diretiva de acesso e em particular uma central acesso política. Por exemplo, se uma política central para a organização protege o acesso aos dados de negócio de alto impacto (HBI) para que os funcionários de tempo integral só podem acessar esses dados, o que acontece se um vendedor, no departamento de Finanças requer acesso a informação financeira que é considerado HBI para que ele possa fazer o seu trabalho?

Existem várias respostas válidas, que vão desde usar um grupo de segurança na diretiva de acesso central para conceder acesso aos dados HBI (que permitem, em seguida, o vendedor neste exemplo para acessar dados financeiros da HBI e outros dados, HBI como HR ou engenharia) para ter vários grupos de segurança para exceções para ter por mecanismos de exceção específicas do arquivo ou do usuário.