Ders 1.11: Ayrıcalıklı gruplar ve iç içe üyelik
Bir avuç grup bir AD etki alanını denetler: Domain Admins, Enterprise Admins, Administrators ve bazı 'operatör' grupları. Sorun nadiren görebildiğin doğrudan üyelerdir; asıl sorun iç içeliktir: Domain Admins'in içindeki bir grubun içindeki bir grup, üyelerini sessizce etki alanı yöneticisi yapar. Laboratuvarda Domain Admins'in doğrudan üyelerini listeliyor, sonra üyeliği geçişli olarak genişletiyor ve iki yardım masası çalışanının iki iç içe katman üzerinden etki alanı yöneticisi olduğunu keşfediyor, bunu adminCount ile doğruluyor ve iç içeliği ldapmodify ile kaldırıyorsun.
17 dk
Bu derste öğreneceklerin
- En ayrıcalıklı AD gruplarını saymak
- Doğrudan grup üyelerini listelemek
- İç içe üyeliği geçişli olarak genişletmek
- adminCount'u bir işaret olarak kullanmak
- İç içe bir grubu ldapmodify ile kaldırmak
Temel terimler
- Domain Admins
- Etki alanının ve katılmış her makinenin tam denetimi.
- Operatör grupları
- Tam denetime götürebilen Backup Operators, Account Operators, Server Operators ve Print Operators gibi yerleşik gruplar.
- İç içe grup
- Başka bir grubun üyesi olan grup; üyeleri dış grubun haklarını devralır.
- adminCount / AdminSDHolder
- AD, korumalı grupların üyelerini adminCount=1 ile işaretler ve izinlerini her saat AdminSDHolder şablonundan sıfırlar.
- LDAP_MATCHING_RULE_IN_CHAIN
- OID 1.2.840.113556.1.4.1941: grup iç içeliğini her derinlikte izleyen süzgeç.
← Bir web uygulamasının anatomisi · Tüm dersler · Günlükler nerede durur →