פקודת dsregcmd
AzureAD

בלי כתוביותעם כתוביות

מילון מושגים:

Azure - פלטפורמת הענן של מיקרוסופט, המספקת שרתים, אחסון, מסדי נתונים ושירותים רבים לפי שימוש.

Kerberos - פרוטוקול אימות המבוסס על כרטיסים (tickets), המשמש ברשתות Active Directory לאימות מאובטח של משתמשים ושירותים.

תעודה דיגיטלית - מסמך מוצפן שמאשר את זהותו של אתר או שרת וקושר אותו למפתח ציבורי, ומונפק על ידי רשות אישורים.

TPM - שבב אבטחה בלוח האם ששומר מפתחות הצפנה ומסייע באבטחת ההמראה והנתונים, למשל עבור BitLocker.

GUID - מזהה ייחודי גלובלי: מספר ארוך שנוצר כך שהסיכוי לכפילות שלו זניח, ומשמש לזיהוי אובייקטים.

URL - הכתובת שמזהה משאב באינטרנט, למשל דף אתר, וכוללת פרוטוקול, שם מארח ונתיב.

SSO - כניסה יחידה: מנגנון שמאפשר למשתמש להתחבר פעם אחת ולגשת לכמה מערכות בלי להזדהות מחדש בכל אחת.

טוקן - פיסת מידע שמשמשת לאימות או להרשאה, שהמערכת מנפיקה ללקוח ומוצגת בבקשות הבאות במקום סיסמה.

פקודת dsregcmd AzureAD

אחרי הצירוף ההיברידי בודקים בפקודה dsregcmd מה המחשב קיבל מהענן, ומוודאים שהכניסה האוטומטית ל-office.com עובדת בלי הגדרות registry נוספות.

מה רואים בפלט

1. סטטוס: dsregcmd /status מציג שהמחשב Azure AD joined וגם Domain joined, כלומר אותו דומיין שנמתח אל מחוץ לארגון. Azure AD אינו Active Directory רגיל: הוא לא עובד עם Kerberos אלא עם פרוטוקולים מבוססי HTTP. שדה Enterprise joined מתייחס ל-ADFS, והמחשב אינו חלק ממנו.

2. Device details: המחשב קיבל תעודה דיגיטלית מ-Azure, ה-Thumbprint מזהה אותה, והיא מוגנת ב-TPM, רכיב חומרה בלוח האם. המחשב מזדהה מול הענן בתעודה ולא בשם וסיסמה. Device authentication status מראה success.

3. Tenant details: המזהה (GUID) הייחודי של הדומיין בענן, וכתובות URL לאימות טוקנים והתקנים.

4. SSO state: מציג את ה-Azure AD primary refresh token (PRT). הוא חי במקביל לטוקני Kerberos ומזהה את המשתמש בענן גם כשה-DC לא זמין, ולכן לא צריך VPN.

בדיקה

מוחקים את הגדרות ה-registry של Edge מההרצאה הקודמת, מפעילים מחדש ונכנסים ל-office.com. הכניסה אוטומטית, והדפדפן אפילו לא שואל את שם המשתמש או הדומיין, כי הכול כתוב בטוקן החדש. בתוך הארגון המחשב ממשיך לעבוד עם Kerberos, ובענן עם טוקני Azure.

אחרי ההרצאה אפשר לקרוא פלט של dsregcmd ולהסביר מה תפקיד ה-PRT.

השיעור הבא בקורס: צירוף תחנה לדומיין היברידי

פרקי ההרצאה: פקודת dsregcmd AzureAD

תמלול ההרצאה: פקודת dsregcmd AzureAD

הטקסט המלא של הדקות הראשונות בהרצאה «פקודת dsregcmd AzureAD» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
בואו ניכנס למחשב שלנו אחרי ה-restart נריץ dsregcmd סלאש status ונראה שעכשיו הוא Azure AD joined. הוא בתוך הדומיין של Azure בענן, אז הוא בו זמנית גם חבר בדומיין בענן וגם בדומיין המקומי.
00:21
למעשה זה אותו דומיין, כי סנכרנו את האובייקט של המחשב לענן ומתחנו את הדומיין שלנו מחוץ לגבולות של הארגון. רק תזכרו ש-Azure AD הוא טכנולוגית שונה מ-Active Directory הרגיל.
00:37
הוא לא עובד עם Kerberos לדוגמה. הוא עובד בפרוטוקולים אחרים שמבוססים על HTTP. דרך אגב, Enterprise joined הזה שכרגע אין אותו אצלנו, הוא מתייחס ל-ADFS, ל-Active Directory Federation Services.
00:54
אנחנו לא מתעסקים ב-ADFS ולכן המחשב הזה, התחנה הזאת היא לא חלק מ-ADFS. פה למטה אפשר לראות ב-device details בפרטים על המחשב הזה שיש לו תעודה דיגיטלית. Thumbprint זה המזהה של התעודה הדיגיטלית שקיבלנו מ-Azure, והתעודה הדיגיטלית הזאת של המחשב מזהה את המחשב מול ענן, כי המחשב עצמו לא יכול להכניס שם וסיסמה ומזדהה מול הענן עם התעודה הדיגיטלית הזאת.
01:26
אפשר לראות שהתעודה הזאת שמורה ומוגנת על ידי TPM. TPM זה רכיב פיזי בתוך לוח אם, ממש הגנה ברמת חומרה. זאת ההגנה הכי חזקה שיכולה להיות, כי היא גם ברמת תוכנה וגם ברמת חומרה.
01:43
אז אנחנו רואים ב-device details שקיבלנו תעודה דיגיטלית מהענן, שזה מצוין, ואנחנו רואים ש-device authentication status success. הוא הצליח לאמת אותנו מול ענן ולמטה פה ב-tenant details אנחנו יכולים לראות מיהו הענן שלנו.