הסבר על Trust
Global Catalog

בלי כתוביותעם כתוביות

מילון מושגים:

יחסי אמון - קשר מוגדר בין שני דומיינים שמאפשר למשתמשים מדומיין אחד לגשת למשאבים בדומיין האחר.

Global Catalog - מאגר ב-Active Directory שמחזיק מידע חלקי על כל האובייקטים ביער, לחיפוש מהיר בין דומיינים.

דומיין - תחום ניהולי משותף של מחשבים ומשתמשים ברשת ארגונית, המנוהל מרכזית. גם שם ייחודי של אתר באינטרנט.

Group Policy - מנגנון ב-Active Directory להחלת הגדרות ומדיניות אבטחה באופן מרכזי על משתמשים ומחשבים בדומיין.

אימות - תהליך שמוודא שהמשתמש או המערכת הם מי שהם טוענים שהם, בדרך כלל באמצעות סיסמה, קוד או תעודה.

יער - המבנה העליון ב-Active Directory, המאגד דומיין אחד או יותר תחת הגדרות ואמון משותפים.

הרשאה - קביעה אילו פעולות ומשאבים מותרים למשתמש או לתהליך לאחר שזהותו אומתה. שולטת במי רשאי לעשות מה.

תיקייה - מכל במערכת הקבצים שמשמש לארגון קבצים ותיקיות אחרות בתוך מבנה היררכי.

הסבר על Trust Global Catalog

מתי מפצלים את הארגון לכמה domains, איך הם סומכים זה על זה, ומה השירות Global Catalog נותן. ההרצאה עוברת על ההחלטות האלה לפי הסדר.

איך זה עובד

1. למה domain נפרד: domain הוא גבול האבטחה. סניף בניו יורק עם צוות מחשוב, שרתים, אבטחת מידע ולרוב תקציב משלו מקבל domain נפרד, כך ינהל בעצמו את ה-Group Policy ואת המחשבים שלו. סיסמאות המשתמשים מועתקות רק בין DC באותו domain. אם רוצים ניהול מרכזי, מכניסים את כל המחשבים ל-domain אחד בתל אביב.

2. Trust: כדי שמשתמש מניו יורק ייכנס לשרת קבצים בתל אביב בלי להקליד שם וסיסמה, ה-DC של תל אביב צריך לסמוך על האימות של ה-DC בניו יורק. אפשר להגדיר זאת ידנית.

3. Forest: חברה אחת, כשכל domain הוא סניף. ה-domain החדש שמוגדר בתוך ה-forest הקיים מקבל trust אוטומטי. עדיין צריך לחלק ידנית הרשאות על תיקיות.

4. Global Catalog: שירות עם עותק חלקי של האובייקטים מכל ה-domains, כמו דפי זהב של הארגון: משתמשים, מחשבים, אימיילים. הוא לא מכיל סיסמאות או מידע סודי. מידע על Sites נמצא גם הוא ברמת ה-forest.

5. Global Catalog והתחברות: הגישה אליו נדרשת בזמן אימות. אם בניו יורק לא היה כזה והקו לתל אביב נפל, לא היה אפשר להתחבר. לכן המרצה מגדיר כל DC גם כ-Global Catalog, ולדעתו גודל המידע אינו בעיה, גם בארגונים גדולים.

6. forest נפרד: אפשר trust בין שתי חברות נפרדות, אבל Global Catalog קיים רק בתוך forest אחד. עם forest נפרד אי אפשר לחפש משתמשי שני ה-domains במקום אחד.

סיכום ההחלטות

אפשר domain יחיד. לעצמאות ניהולית ואבטחתית מפצלים domains, ובדרך כלל זה קשור לסניף פיזי. לאחר מכן מחליטים אם ה-domain החדש נמצא באותו forest, ואז מקבלים trust אוטומטי ו-Global Catalog משותף.

אחרי ההרצאה אפשר להסביר מה ההבדל בין domain, forest ו-trust ולהחליט איך לבנות רשת עם כמה סניפים.

השיעור הבא בקורס: הקמת תת-דומיין Child Domain חלק 1

פרקי ההרצאה: הסבר על Trust Global Catalog

תמלול ההרצאה: הסבר על Trust Global Catalog

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על Trust Global Catalog» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם. בהרצאה זו אני רוצה לדבר איתכם על ריבוי דומיינים. למה מחלקים רשת לכמה דומיינים? איך מחברים את הדומיינים האלו?
00:13
מה זה Global Catalog? מה זה Trust? כל זה הולך להיות בהרצאה הזאת. קודם כל, למה בכלל לעשות דומיין חדש בניו יורק, בסניף מרוחק?
00:26
והתשובה היא מאוד פשוטה. אני רוצה שמנהל רשת בניו יורק ינהל בעצמו את ה-Group Policy שלו, ינהל בעצמו את המחשבים שלו, שתהיה לו עצמאות ניהולית וגם עצמאות בכל נושא האבטחה.
00:42
גבולות האבטחה הם בדומיין, ואם אני רוצה שכל סניף יהיה אחראי על אבטחה שלו, שיהיה לו את הצוות שלו, שיהיה לו גם תקציב משלו, זאת אומרת שכל אחד יתנהל באופן עצמאי, אני מקים דומיינים נפרדים.
00:57
אם אני רוצה ניהול מרכזי שיהיה לנו רק צוות System אחד בכל החברה, אז אני אקח את כל המחשבים של ניו יורק ואכניס אותם לדומיין בתל אביב. למעשה דומיין בתל אביב יהיה הדומיין היחיד בחברה.
01:11
גם זה בסדר. השאלה האם אתם רוצים ניהול עצמאי בניו יורק או שאתם רוצים ניהול מרכזי בתל אביב של כולם. אם אני החלטתי שכל סניף יתנהל באופן עצמאי, לכל סניף יהיה צוות מחשוב, צוות שרתים, צוות אבטחת מידע נפרד, לרוב גם תקציב נפרד, אז אני אפריד את זה לדומיין, כי דומיין זה הגבולות האבטחה.
01:37
כל הסודות, כל הסיסמאות של היוזרים מועתקים רק בין שרתי ה-DC באותו דומיין. דומיין זה גבולות האבטחה. אז אם החלטתי שיש לנו שני דומיינים וכל דומיין מנהל את ה-Group Policy שלו, את פוליסות האבטחה שלו, כל דומיין מנהל את היוזרים ואת המחשבים שלו, עדיין אני רוצה לאפשר ליוזר מניו יורק להיכנס לשרת הקבצים בתל אביב.
02:03
כדי שיוזר מניו יורק ייכנס לשרת הקבצים בתל אביב בלי להקיש שום שם וסיסמה, שהתהליך יהיה שקוף, אוטומט, הוא פשוט עושה דבל קליק על השרת ונכנס פנימה, צריך שה-DC של תל אביב יסמוך על ה-DC של ניו יורק, שהוא בדק לו שם וסיסמה כמו שצריך.
02:24
צריך לעשות ביניהם מה שנקרא Trust. Trust זה אומר DC אחד סומך על האימות שה-DC השני ביצע. מה שאני רוצה להדגיש לכם שיש מנגנון של Trust שהוא מובנה בתוך Active Directory שמאפשר ל-DC מדומיין אחד לסמוך על אימות שביצע DC בדומיין אחר, ולתת ליוזרים מדומיין ההוא להיכנס אליי.
02:52
זה הרעיון של Trust. עכשיו את ה-Trust הזה, את האימון הזה בין שני ה-DC אפשר להגדיר באופן ידני. אם אני אגדיר את ה-DC בניו יורק להיות ב-Forest של תל אביב, ה-Trust הזה יתבצע אוטומט.
03:08
מה זה Forest? Forest זה למעשה משהו שמכיל את כל הדומיינים בחברה אחת. זה כמו מסגרת גדולה כזאת שכוללת את כל הסניפים, את כל הדומיינים שיש בחברה אחת.
03:22
אז Forest זה שווה חברה. דומיין זה שווה לסניף. אז אני יכול לקחת את הדומיין של ניו יורק ובזמן ההקמה שלו להגדיר אותו להיות בתוך ה-Forest כחלק מ-Forest של תל אביב.
03:37
ברגע שהוא ב-Forest של תל אביב, ברגע שאנחנו