L'un des aspects les plus importants mais prudents dans un environnement de serveur consiste à définir qui peut accéder au serveur et quels privilèges il peut avoir dans le système, car toute modification non requise ou approuvée peut compromettre toute l'infrastructure de l'organisation .
En tant que personnel informatique de nos entreprises, beaucoup d’entre nous avons dû accorder des autorisations d’administrateur à des utilisateurs qui ne devraient pas appartenir à ce groupe en raison des détails dont ils ont besoin pour effectuer certaines tâches administratives et en tant qu’utilisateur normal, ce n’est pas possible.
Nous savons, par exemple, qu’il était nécessaire d’ajouter un utilisateur du groupe de systèmes dans le pays de Bolivie au groupe des administrateurs afin qu’il puisse créer des utilisateurs dans une unité organisationnelle spéciale. Il était donc nécessaire d’ajouter cet utilisateur au groupe des administrateurs et de surprendre l'utilisateur. Il est arrivé lorsque cet utilisateur a éliminé des équipements de production très importants qui ont généré un petit chaos dans l'entreprise.
Pour résoudre ces problèmes, Windows Server inclut l'option de déléguer l'administration de certaines tâches à des utilisateurs spécifiques dans certaines unités d'organisation, domaines ou objets de stratégie de groupe.
1. Comprendre la délégation de gestion dans Windows Server 2016
Pour bon nombre d'entre eux, il peut sembler chaotique et dangereux d'attribuer des rôles administratifs à des utilisateurs qui n'ont peut-être pas l'expérience ou les connaissances nécessaires pour gérer les éléments Windows Server 2016. Il est donc impossible d'ajouter un utilisateur au groupe Administrateurs et de limiter les tâches car Par défaut, ce groupe accorde toute la gestion sur le serveur.
En déléguant l'administration, nous pouvons indiquer qu'un utilisateur sans expérience approfondie peut créer un utilisateur dans une unité d'organisation donnée sans affecter le reste du système, car il n'aura accès qu'à l'emplacement de notre choix et non à l'arborescence Windows Server 2016 .
Des autorisations administratives peuvent être accordées à un utilisateur ou à un groupe contenant plusieurs utilisateurs, mais le plus important est que nous ayons une idée claire des autorisations et à qui nous les accordons. Pour cette étude, nous avons créé une unité d'organisation appelée Autorisations, un groupe appelé Solvetic et un utilisateur appelé Access (l'utilisateur a été inclus dans le groupe Solvetic).
Comme nous savons que tout utilisateur ne peut pas se connecter immédiatement au domaine, nous devons autoriser son utilisateur à accéder au domaine . Nous accordons donc la permission à l'utilisateur Access de se connecter au domaine.
Pour définir cette autorisation, nous devons ouvrir le GPO de l'éditeur de stratégie de groupe. Pour ce faire, maintenez enfoncé le bouton Windows. + R semblera pouvoir entrer une commande à exécuter, tapez:
gpedit.mscVous irez à l'itinéraire suivant:
- Politiques de l'équipe locale
- Configuration de l'équipement
- Paramètres Windows
- Paramètres de sécurité
- Directives locales
- Cession de droits
Et sélectionnez ensuite l'option Autoriser la connexion locale . Avec cela, ce groupe ou cet utilisateur sélectionné peut démarrer une session locale sur l'ordinateur ou le serveur pour effectuer certaines tâches spécifiées.
Ici, nous devons simplement ajouter le groupe Solvetic afin que l'utilisateur Access puisse se connecter.
2. Implémenter une délégation d'administration dans Windows Server 2016
Une fois que nous avons ajouté l'utilisateur pour qu'il puisse se connecter, nous entamons le processus de délégation à l'utilisateur indiqué. Dans ce cas, Access, nous lui accordons des autorisations sur l'unité d'organisation Autorisations. Pour ce faire, cliquez avec le bouton droit de la souris sur l'unité d'organisation Autorisations et sélectionnez l'option Déléguer le contrôle .
Nous voyons que l'assistant de délégation de contrôle est déployé. Cliquez sur Suivant.
Ensuite, nous devons ajouter le groupe Solvetic que nous avons créé. Pour cela, cliquez sur le bouton Ajouter et recherchez le groupe.
Cliquez à nouveau sur Suivant et nous pouvons voir que différentes tâches peuvent être déléguées à l'utilisateur, telles que:
- Créer, éditer ou supprimer des groupes
- Créer, éditer ou supprimer des utilisateurs
- Modifier les appartenances à un groupe
- Gérer les stratégies de groupe
Dans ce cas, nous allons sélectionner les options Créer, supprimer et gérer des groupes et Créer, supprimer et gérer des comptes d’utilisateur en cochant les cases correspondantes.
Cliquez sur Suivant et nous pouvons voir que nous avons terminé la configuration requise.
Cliquez sur Terminer pour quitter l'assistant.
3. Vérifier la délégation de contrôle
Nous allons ensuite nous connecter avec l'utilisateur Access dans Windows Server 2016.
Une fois que nous sommes connectés, nous allons essayer de créer un utilisateur dans l'unité d'organisation Autorisations pour valider le fait que nous pouvons créer un utilisateur.
Nous allons créer un utilisateur appelé Solvetic1. Nous allons également créer un groupe appelé Testing (rappelez-vous que l’utilisateur d’accès a reçu un contrôle délégué pour créer, éditer ou supprimer des utilisateurs et des groupes).
Si nous essayons d'exécuter une tâche qui n'a pas été déléguée, par exemple en ajoutant une équipe ou une autre, nous verrons qu'un message s'affiche pour indiquer que, pour des raisons de sécurité, nous ne pouvons pas créer l'objet.
4. Vérifiez les autorisations du groupe créé
Nous pouvons accéder à nouveau à Windows Server 2016 avec l'utilisateur Administrateur et accéder à Utilisateurs et ordinateurs Active Directory. Pour cela, nous devons accéder au menu Affichage et sélectionner l'option Fonctions avancées. Ici, nous cliquons avec le bouton droit sur l’unité organisationnelle Autorisations et nous pouvons constater que le groupe Solvetic dispose d’autorisations spéciales.
Si nous appuyons sur le bouton Avancé, nous pouvons voir les autorisations que nous avons créées pendant le processus de délégation.
Comme nous le voyons lors de l' utilisation de la délégation de contrôle dans Windows Server 2016, nous pouvons attribuer des tâches spécifiques sans compromettre la sécurité et l'intégrité du serveur et du domaine .
Il est important de garder à l’esprit que l’utilisation de la délégation de contrôle nous permet uniquement d’attribuer des autorisations, mais non de les limiter ni de les modifier à des utilisateurs particuliers. Utilisons cet outil intéressant dans nos organisations pour éviter d’ajouter au groupe Administrateurs les utilisateurs nécessitant un type de permission quelconque.
$config[ads_text5] not foundVoici un tutoriel qui pourrait vous intéresser:
Gérer AD dans Windows Server 2016
Article