Синхронизация каталогов с помощью MIIS.

Управление учетными данными и другими данными системы безопасности в больших гетерогенных сетях может быть достаточно сложной задачей. Кроме того, просчеты в управлении можгут привести к возникновению угроз безопасности вашей сети. К счастью, Microsoft Identity Integration Server (MIIS) 2003 позволяет синхронизировать учетные данные различных каталогов и служб и консолидировать их в единое решение уровня предприятия. Это позволит повысить безопасность вашей сети и упростит управление ресурсами.

Основными функциями MIIS 2003 являются:

• синхронизация каталогов;
• инициализация учетных записей;
• публикация сертификатов;
• управление группами;
• управление глобальными списками адресов (Global Address Lists, GALs);
• управление паролями и их синхронизация.

MIIS 2003 состоит из четырех основных компонентов: подключаемых источников данных, агентов управления (Management Agents), пространств подключения (connector spaces) и метабазы (metaverse). Мы вкратце рассмотрим каждый из компонентов и опишем работу всей системы в целом.

Подключаемые источники данных

Подключаемые источники данных – это система, которая обеспечивает обмен информацией между сервером MIIS 2003 и внешними источниками данных. В роли подключаемых источников данных может выступать множество систем, включая службы каталогов (например, Active Directory), базы данных и даже отдельные файлы. В табл. 1 приведен список поддерживаемых в MIIS 2004 Service Pack 1 (SP1) подключаемых источников данных.

Табл. 1. Поддерживаемые источники данных

Агенты управления

Каждому из подключаемых источников данных соответствует свой агент управления. Он предназначен для управления обменом информацией между подключаемым источником данных и MIIS. При модификации синхронизированных данных в подключаемом источнике данных или в MIIS (при помощи заданных правил) агент управления своевременно синхронизирует данные в MIIS или в подключаемом источнике. Поскольку каждому источнику данных соответствует свой агент управления, типы агентов управления совпадают с типами подключаемых источников данных. Для подключения источника данных, отсутствующего в табл. 1, можно воспользоваться универсальным агентом управления MIIS. Он может быть сконфигурирован для подключения к любой системе, предоставляющей программный доступ к своим данным. Такой агент называют агентом управления с расширенными возможностями подключения (extensible connectivity management agent). На рис. 1 показано создание агента управления Active Directory, названного NewAgent.

  Рис. 1. Создание агента управления

Все агенты управления схожи по своей структуре, существуют лишь некоторые отличия, зависящие от типа агента. Ряд задач решают все агенты управления, независимо от их типа: обнаружение схемы (schema discovery), настройка фильтра подключения (connector filter), настройка правил слияния и проецирования (join and projection rules), настройка переноса атрибутов (attribute flow) и механизма деинициализации (deprovisioning), а также определение расширений правил (rule extensions).

Кроме того, агенты управления обеспечивают управление паролями, мы обсудим этот вопрос подробнее. Перечисленные ниже агенты управления имеют встроенную поддержку управления паролями в MIIS 2003 SP1: Active Directory, Active Directory Application Mode (ADAM), Lotus Notes, Sun и Netscape Directory Servers, Novell eDirectory, а также Windows NT 4.0. В любой агент управления можно программно добавить поддержку управления паролями.

Пространства подключений

Пространство подключений – это своего рода «площадка» для хранения и обработки информации, принимаемой и отправляемой агентом управления. Информация, которая находится в этой зоне агента управления, используется для синхронизации с метабазой либо предназначена для экспорта в источник данных. Каждый из подключенных источников данных имеет собственную логическую область в пространстве подключений, которая используется соответствующим агентом управления. На самом деле пространство подключений не содержит подключенного источника данных в виде объекта, а содержит набор атрибутов подключенных источников данных, определенных в агенте управления. При обработке бизнес-правил MIIS не обращается напрямую к подключенному источнику данных, используя вместо этого объект пространства подключений. Это повышает скорость синхронизации метабазы и подключенных источников данных.

Метабаза

Метабаза – это набор таблиц, содержащих информацию об учетных данных, собранных от подключенных источников. Эти таблицы хранятся в базе данных SQL Server и содержат агрегированные данные по каждой из записей в том виде, в котором эта запись представлена в подключенных источниках данных. Атрибуты и объекты извлекаются из метабазы и записываются обратно в нее. Информация об изменениях, поступающая в метабазу, используется для ее своевременного обновления, а модифицированные данные из метабазы предназначены для обновления подключенных источников данных через соответствующие пространства подключений. Метабаза имеет свою собственную схему, определяющую хранимые в ней объекты и атрибуты. Все объекты метабазы должны принадлежать только к типам, определенным в схеме. Схема метабазы по умолчанию содержит следующие объекты (этот список может быть расширен администратором):

• компьютер (computer)
• домен (domain)
• группа (group)
• регион (locality)
• организация (organization)
• подразделение (organizational unit)
• пользователь (person)
• принтер (printer)
• роль (role)

Теперь, когда мы познакомились со структурой и компонентами MIIS 2003 SP1, настало время более подробно обсудить подсистему управления паролями.

Управление паролями в MIIS

Пароли являются одними из наиболее уязвимых данных в сети, но попытка заставить пользователей использовать стойкие пароли может встретить серьезное сопротивление. Конечно, пользователям легче использовать простые, удобные для запоминания пароли (или вообще их не использовать), но администраторы всегда пытаются ввести более строгие правила. Эта проблема особенно остро возникает в сетях с разнородными каталогами, где у пользователя может быть несколько учетных записей с различными требованиями к паролям. В MIIS 2003 SP1 есть несколько новых механизмов синхронизации и управления паролями, которые могут помочь в управлении паролями и облегчить работу администраторов:

• система аудита позволяет отслеживать изменения паролей через журналы событий;
• при помощи API разработчики могут добавлять в свои приложения поддержку управления паролями;
• пользователь или администратор может изменять пароли в едином центре или с помощью web-приложения;
• для расширения функциональности MIIS 2003 предусмотрена возможность использования приложений сторонних производителей;
• политики паролей, определенные, к примеру, в Active Directory, могут быть распространены на все остальные системы.

При установке MIIS 2003 по умолчанию создается несколько групп безопасности. Две из них используются исключительно для управления паролями – это группы MIISBrowse и MIISPasswordSet. Группы MIISAdmins, MIISOperators и MIISJoiners используются MIIS 2003 для других целей. Список групп и их назначение приведены в табл. 2.

Табл. 2. Группы безопасности

Служба уведомления о смене пароля

Управление паролями для многих администраторов является достаточно трудной задачей и требует больших затрат времени. К счастью, в MIIS 2003 SP1 для облегчения этого процесса появилась специальная служба уведомления о смене пароля (Password Change Notification Service, PCNS). Она позволяет своевременно отправлять информацию о смене пароля на сервер MIIS 2003. Когда начинается сброс на контроллере домена в результате нажатия пользователем комбинации Ctrl+Alt+Del или по инициативе администратора, запрос сброса пароля перехватывается. Перехваченный запрос шифруется и направляется на сервер MIIS 2003, и во время синхронизации направляется на все подключенные источники данных (указанные в настройках системы управления паролями). Подробнее об установке PCNS и настройке агента управления см. во врезках с соответствующими названиями.

Заключение

В статье были рассмотрены основные компоненты MIIS 2003 и их совместная работа. Также дан краткий обзор службы PCNS и ее возможностей по управлению паролями и их синхронизации. Эти сведения полезны при внедрении в организации систем синхронизации учетных данных и управления паролями. Дополнительную информацию по рассмотренным вопросам вы сможете найти по адресу microsoft.com/windowsserversystem/miis2003/default.mspx  (EN)

Установка службы Password Change Notification Service

Служба PCNS по умолчанию не устанавливается. Необходимые файлы находятся на установочном диске. Для установки службы необходимо запустить файл service.msi в папке Password Synchronization.

При установке PCNS появится диалоговое окно ( рис. 2), сообщающее, что для продолжения следует расширить схему с помощью команды msiexec /i "D:\ENGLISH\IIS2003\ENT_SP1\PASSWORD SYNCHRONIZATION\PASSWORD CHANGE NOTIFICATION SERVICE.MSI" SCHEMAONLY=TRUE.

После этого появится диалоговое окно с запросом подтверждеия расширения схемы. Щелкните OK для продолжения.

После этого можно продолжить установку PCNS. По ее завершении необходимо перезагрузить компьютер, чтобы изменения вступили в силу.

Будут установлены три компонента PCNS: pcnsflt.dll, pcnssvc.exe и pcnscfg.exe.

Pcnsflt.dll — фильтр, который перехватывает любые изменения паролей.

Pcnssvc.exe — сама служба PCNS. Эта программа шифрует и отправляет изменения паролей на назначенный сервер MIIS 2003.

Pcnscfg.exe — утилита командной строки для настройки службы PCNS.

Файлы pcnssvc.exe и pcnscfg.exe находятся в каталоге %Systemroot%\Program Files\Microsoft Password Change Notification Service. После установки PCNS необходимо будет настроить ее с помощью pcnscfg.exe, указав сервер MIIS 2003, который будет принимать изменения паролей. На рис. 3 показаны некоторые возможные параметры командной строки pcnscfg.exe.

  Рис. 2. Расширение схемы

  Рис. 3. Некоторые параметры Pcnscfg.exe

Настройка агента управления

Следующим шагом после установки PCNS является настройка агента управления. Создание агента управления состоит из 10 шагов.

Для начала в Identity Integration Server выберите вкладку Management Agent, щелкните правой кнопкой Management Agents и выберите Create. Далее необходимо указать тип агента управления (см. рис. 4).

После выбора типа агента необходимо подключиться к определенному лесу и настроить разделы каталогов. На этом экране также находится флажок Enable this partition as a password synchronization source, который необходимо установить для включения синхронизации паролей (см. рис. 5).

После этого необходимо указать, какой тип объекта вы хотите использовать, настроить атрибуты, фильтр соединения, правила слияния и проецирования, перенос атрибутов, деинициализацию учетных записей и расширения. В настройках расширений необходимо установить флажок Enable password management (см. рис. 6).

  Рис. 4. Настройка разделов каталога

  Рис. 5. Настройка агента управления

  Рис. 6. Включение системы управления паролями

Автор: Рэнди Мюллер
Источник: Microsoft TechNet

Внимание! Читайте другие интересные статьи на эту тему в разделе 'Статьи и Книги'. Так же в разделе 'Полезное' много интересной информации