Active Directory non sparirà. La configurazione della tua group policy potrebbe essere fragile come il COBOL

AD non sta morendo

Un recente thread su Reddit in r/activedirectory ha posto una domanda semplice: Active Directory sparirà? Il post ha raccolto decine di commenti in poche ore, e una frase ha riassunto il dibattito meglio di qualsiasi altra nel thread: "AD sparirà come è sparito COBOL... (controlla appunti)."

Ha ricevuto più di 30 voti positivi per una ragione. Tutti in quel thread conoscevano già la battuta finale.

COBOL è ancora usato? Sì, ed è proprio questo il punto

Per decenni si è predetta la morte di COBOL, eppure continua a gestire sistemi core in banche, assicurazioni e agenzie governative in tutto il mondo. Non è sopravvissuto perché fosse buono. È sopravvissuto perché rimuoverlo è più rischioso e costoso che mantenerlo, e perché ci sono troppe dipendenze intorno a esso per poterle sciogliere facilmente.

Active Directory segue lo stesso copione: troppe dipendenze, troppi amministratori che hanno costruito la loro carriera su di esso, troppe applicazioni che ancora non supportano altro.

Niente di tutto ciò significa che AD sia sano. Significa che è radicato, allo stesso modo in cui COBOL è radicato. E i sistemi radicati accumulano quel tipo di debito tecnico che nessuno prevede fino a quando non si rompe.

Il dibattito sulla scomparsa di Active Directory è una distrazione

AD non sparirà nel periodo di tempo rilevante per la tua prossima verifica, la tua prossima risposta agli incidenti o la tua prossima revisione della conformità.

La domanda migliore è cosa è stato stratificato sopra AD mentre tutti aspettavano che morisse. Per la maggior parte delle organizzazioni, si tratta della group policy: centinaia di GPOs aggiunti in un decennio, metà non documentati, alcuni in contraddizione tra loro, e quasi nessuno costruito pensando a endpoint ibridi o remoti moderni.

Questa è la fragilità che fa male. Non AD stesso, ma la proliferazione di policy che si accumula sopra di esso.

La group policy ha lo stesso problema del codice legacy

La Group Policy nativa non è stata progettata per gli ambienti che la maggior parte dei team IT gestisce ora: dipendenti remoti, dispositivi non di dominio, endpoint Mac mescolati con Windows e infrastruttura gestita nel cloud accanto ai server on-premise. Quindi i team colmano le lacune con script, soluzioni alternative e GPO occasionali che nessuno documenta completamente.

È esattamente così che i sistemi COBOL diventano fragili. Non perché il codice originale fosse cattivo, ma perché trent'anni di patch, soluzioni temporanee ed eccezioni non documentate si accumulano fino a quando nessuno si fida a modificare nulla.

Quanto ti costa questa espansione incontrollata

Nessuno si accorge della proliferazione delle GPO finché non deve agire rapidamente. Un audit chiede quale policy controlla quale impostazione, e nessuno ha una risposta chiara. Una nuova iniziativa ibrida o di lavoro da remoto necessita dell'applicazione delle policy su dispositivi mai uniti al dominio, e le GPO esistenti semplicemente non li raggiungono. Qualcuno tocca una vecchia GPO per sistemare una cosa e ne rompe altre tre, perché le dipendenze non sono mai state documentate in primo luogo.

È lo stesso modo di guasto di qualsiasi codice invecchiato. Il sistema continua a funzionare, fino a quando qualcuno non deve modificarlo sotto pressione, e allora ogni scorciatoia non documentata diventa un incidente di produzione.

Cosa fare a riguardo

Inizia a trattare il tuo ambiente di criteri di gruppo come il sistema legacy che è diventato silenziosamente e inizia a pulirlo prima che un audit o una migrazione lo richiedano.

Netwrix PolicyPak è stato creato per questo. Consolida GPO estesi per ridurre il rumore e migliorare le prestazioni, ed estende il controllo delle policy oltre ciò che Group Policy nativo e MDM possono fare da soli. Per i team che si stanno muovendo verso ambienti ibridi o gestiti nel cloud, trasforma anche i GPO on-prem in configurazioni MDM e cloud-managed, e supporta la gestione delle policy basata su SaaS per dispositivi che non sono nemmeno uniti al dominio.

Che la tua organizzazione mantenga AD per altri due anni o altri venti, lo strato di policy che si trova sopra deve funzionare oggi su endpoint on-prem, ibridi e remoti, non in una futura migrazione che potrebbe non avvenire mai completamente.

AD probabilmente sopravviverà alla maggior parte delle previsioni in quel thread di Reddit, proprio come COBOL è sopravvissuto a ogni articolo scritto sulla sua morte. Le organizzazioni che avranno successo non saranno quelle che hanno indovinato correttamente la tempistica. Saranno quelle che hanno modernizzato la gestione delle loro policy mentre tutti gli altri ne discutevano.