Cos'è la Sicurezza dei Database: Le 13 Migliori Pratiche

Active Directory (AD) è stato introdotto nel 1999, e comprendere questa tecnologia fondamentale è un requisito chiave per la maggior parte degli amministratori IT oggi. In questa parte del tutorial, forniamo una panoramica delle basi di AD, inclusa la definizione di un dominio Active Directory.

Fondamenti di AD

Cos'è AD?

Active Directory è il servizio di directory utilizzato nelle reti Microsoft. Un servizio di directory (o servizio di nomi) collega risorse di rete (come volumi, cartelle, file, stampanti, utenti, gruppi e dispositivi) ai rispettivi indirizzi di rete e fornisce tali informazioni alle entità presenti nella rete. In altre parole, AD è un insieme di database e servizi che vengono utilizzati per organizzare, localizzare e gestire le risorse di rete.

Cosa fa AD?

Il database di Active Directory memorizza informazioni su utenti e computer, inclusi i loro nomi e diritti di accesso. Lo schema di Active Directory definisce gli oggetti che possono essere memorizzati nella directory.

Active Directory Domain Services (AD DS) controlla molte delle operazioni del tuo ambiente IT e aiuta a garantire la sicurezza della directory gestendo i seguenti processi:

• Autenticazione — Garantire che ogni principale di sicurezza sia chi dichiara di essere, solitamente verificando le credenziali come un ID utente e una password durante il processo di accesso.
• Autorizzazione — Garantire che ogni principale di sicurezza possa utilizzare solo i dati e i servizi a cui è autorizzato ad accedere.
• Risoluzione dei nomi — Consente ai client e ai controller di dominio di localizzarsi e comunicare tra loro. AD DS utilizza DNS come principale metodo di risoluzione dei nomi.
• Gestione centralizzata — Controllo di una vasta gamma di impostazioni da un'unica posizione tramite una funzionalità chiamata Group Policy.

Cosa include AD?

Un'unità fondamentale di Active Directory è il domain. Un dominio AD è un gruppo logico di oggetti che condividono impostazioni comuni di amministrazione, sicurezza e replica. Utilizzando i domini di Active Directory, i team IT possono definire confini amministrativi e gestire insiemi di dispositivi, servizi e sistemi in modo centralizzato.

Un domain controller (DC) è un server che esegue Active Directory Domain Services e utilizza i dati memorizzati in AD per l'autenticazione e l'autorizzazione degli utenti, la gestione dei gruppi, l'amministrazione delle policy e altre funzioni. Nella pratica, le organizzazioni tipicamente hanno più domain controller in datacenter on-premises e/o nel cloud. Ogni DC in un dominio mantiene una copia del database AD, e sincronizzano i dati tra loro utilizzando la replica di Active Directory. I DC possono anche memorizzare il global catalog — un registro in sola lettura di tutti gli oggetti nella directory del dominio e una copia parziale di tutti gli oggetti in tutti gli altri domini nella foresta per facilitare le ricerche di informazioni sugli oggetti. Un DC con questa funzionalità abilitata è chiamato server global catalog. Il protocollo di accesso primario per Active Directory è il Lightweight Directory Access Protocol (LDAP).

Come viene gestito AD?

La gestione di Active Directory può essere eseguita sui controller di dominio tramite strumenti nativi, come:

• Centro amministrativo di Active Directory
• Domini e trust di Active Directory
• Siti e servizi di Active Directory
• Utenti e computer di Active Directory
• ADSI Edit
• Modulo Active Directory per Windows PowerShell

Questi strumenti possono anche essere installati su workstation come parte di Remote Server Administration Tools (RSAT) per consentire agli amministratori di gestire AD da remoto.

Struttura AD

Ora che abbiamo trattato i concetti di base di AD, passiamo in rassegna la struttura di Active Directory. Active Directory contiene molteplici unità logiche, organizzate gerarchicamente. Dalla più piccola alla più grande, esse sono:

• Oggetti
• Unità organizzative (OU)
• Domini
• Alberi
• Foreste

Oggetti

Un oggetto di Active Directory object è l'unità logica più piccola. Esempi includono:

• Account utente
• Account del computer
• Gruppo
• Stampante
• Condividi

Gli oggetti hanno uno o più attributi che ne definiscono le proprietà, i limiti e il formato. I valori degli attributi possono essere multivalore, stringhe, interi, Booleani (vero o falso) o altri tipi. Gli attributi che ogni oggetto possiede sono specificati nello schema.

Unità organizzative (OU)

Gli oggetti AD all'interno di un dominio possono essere raggruppati in contenitori logici chiamati organizational units (OU). Anche le OU sono oggetti, il che permette agli amministratori di creare OU nidificate. Tutti gli oggetti in una determinata OU devono avere nomi univoci e ogni oggetto può trovarsi in una sola OU in qualsiasi momento.

Fai attenzione a non confondere le OU con i gruppi di AD. Un gruppo è una raccolta di oggetti AD, come utenti, la cui appartenenza al gruppo concede loro determinati permessi. Un dato utente può essere (ed è solitamente) membro di più gruppi. La confusione sorge tipicamente perché gli oggetti Criteri di Gruppo (GPO) possono essere collegati alle OU (ma non ai gruppi), il che influisce anche su ciò che utenti, computer e altri oggetti possono o non possono fare.

Domini

Un dominio di Active Directory è un gruppo logico di oggetti (utenti, computer, OU e così via) che è gestito dallo stesso team amministrativo ed è solitamente situato sulla stessa rete fisica.

Alberi

I domini sono organizzati in alberi. Un albero AD DS consiste di più domini connessi da trust transitive bidirezionali. Ogni dominio in un albero AD DS condivide uno schema comune e un catalogo globale.

Foreste

La Active Directory forest rappresenta il livello più alto della gerarchia. Mentre i domini rappresentano confini amministrativi, le foreste sono il principale confine di sicurezza per AD DS; si presume che tutti gli amministratori di dominio all'interno di una foresta siano fidati fino a un certo punto. Gli oggetti in foreste separate non sono in grado di interagire tra loro a meno che gli amministratori di ciascuna di queste foreste non creino una fiducia reciproca.

Struttura fisica

Parliamo brevemente della struttura fisica di Active Directory. Può essere divisa in:

• Host — Dispositivi connessi alla rete di dominio
• Subnet — Gruppi di rete con un intervallo specificato di indirizzi IP e una maschera di rete
• Siti — Gruppi di una o più subnet utilizzati per ottimizzare l'uso della larghezza di banda dal servizio di replica DC

Servizi di Active Directory

Infine, i servizi di Active Directory consistono in più servizi di directory. Abbiamo già parlato di Active Directory Domain Services (AD DS). AD DS utilizza informazioni sugli oggetti memorizzati nella directory per autenticare gli utenti e autorizzarli a eseguire azioni in base ai loro diritti di accesso.

Quando le persone parlano di Active Directory, di solito intendono Active Directory Domain Services. Tuttavia, esistono altri servizi di Active Directory, tra cui:

• Active Directory Lightweight Directory Services (AD LDS) — Fornisce servizi di directory per applicazioni
• Active Directory Certificate Services (AD CS) — Crea e mantiene certificati digitali utilizzati in sistemi di sicurezza che impiegano tecnologie a chiave pubblica
• Active Directory Federation Services (AD FS) — Fornisce capacità di single sign-on (SSO) a sistemi e applicazioni oltre i confini organizzativi
• Active Directory Rights Management Services (AD RMS) — Fornisce un controllo granulare sull'accesso ai documenti offrendo strumenti di gestione e sviluppo per lavorare con insider threat prevention e altre tecnologie di sicurezza, come la crittografia, i certificati e l'autenticazione

Per ulteriori informazioni

Puoi saperne di più sui concetti fondamentali di Active Directory leggendo il nostro eBook, What is Active Directory.