DAC (Dynamic Access Control): DAC es una caracterisitica que se instroduce con windows server 2012 para optimizar el acceso a los archivos.

Transcripción

1 Module 3: Implementing Dynamic Access Control DAC (Dynamic Access Control): DAC es una caracterisitica que se instroduce con windows server 2012 para optimizar el acceso a los archivos. Permite a los administradores utilizar: - Claims: Atributos de objetos (usuarios, grupos, equipos) que usamos para controlar el acceso a archivos y carpetas. Por ejemplo: Departamento del usuario - Resouce Properties: Propiedades de clasificacion asignadas a carpetas y archivos. Por ejemplo, podemos definir la propiedad Confidencial - Policies: Podremos definir propiedades y politicas de acceso a nivel del AD (todo el bosque) - Conditional Expresions: Por ejemplo, permitir el acceso a un archivos solo si Job tittle=jefe y Location=Madrid. Para controlar el acceso a los archivos Limitaciones de NTFS: - NTFS controla el acceso de usuarios y grupos de archivos en base al SID. Cada archivo y carpeta tiene asiganda ACLs en las que se indica el nivel de acceso para cada SID: Lectura, escritura, modificacion, No se puede controlar el acceso en base a otros atributos: Departamento, localizacion, Puesto de trabajo, empresa para la que trabaja, Tampoco se pueden aplicar expresiones condicionales, como por ejemplo: - Acceso en modo lectura si Puesto=Jefe o puesto=empleado y localizacion=madrid DAC puede combinarse con AD RMS (Rights Management Service) para evitar que se pueda sacar de la empresa informacion importante. De esta forma podemos evitar que un usuario imprima, envie por correo o haga una captura de pantalla a un archivo. O establecer un tiempo de acceso y fuera de ese tiempo denegar el acceso DAC incluye en el token de autenticacion y autorizacion (Kerberos) como los Claims y propuedades de recursos. No solo el SID de usuario y de los grupos a los que pertenece. DAC permite definir propiedades de archivos y carpetas en todo el AD, y no solo a nivel local como FSRM. En base a estos atributos y propiedades, podemos definir politicas de acceso centralizadas. Estas politicas se definen en el AD y pueden aplicarse en cualquier servidor de archivos. Usando estas politicas podremos definir los current Permissions y bloquear o permitir el acceso, o Proposed permissions que no bloquean, pero si generan eventos en el log con fines de auditoria. Estas politicas pieden combinarse con access-denied assistance de FSRM.

2 Claims: - Un Claim es cualquier atributo de usuario, grupo o equipo que podemos utilizar para el control de acceso a archivos y carpetas. Tendremos 2 tipos de claims: o User Claims: por ejemplo, job tittle, Office, Description, o Device Claims: Por ejemplo, Location, Operating System, Estos claims estan soportados a nivel de todo el bosque. Windows Server 2012 permite controlar el acceso a archivos y carpetas mediante expresiones condicionales de estos claims Para ver todas las propiedades de los usuarios Y ya aparecen todas las opciones Tambien para equipos

3 En suggested Values cuando estamos creando un claim para DAC lo que hace es que si no tiene algun atributo le asigna el que pongamos Configuracion de Claims para que solo pueda abrir un archivo un usuario que pertenezca a sistemas y este en madrid Le asignamos localizacion a CL1 Y al usuario sistemas1 en la descripcion ponemos sistemas para usarlo como claim el campo descripcion

4 Usaremos el centro administrativo Nos vamos a claim types Y vamos a crear el nuestro

5 Buscamos el atributo descripcion y lo marcamos para usuario solo Aceptamos y ya tenemos 1 claim vamos a crear el de localizacion

6 Aquí tenemos los 2

7 Ahora tenemos que modificar la GPO Default Domain Controllers Policy para activar el uso de Claims Kerberos v5 en KDC tiene soporte para: - Claims - Autenticacion compuesta: Expresiones condicionales. - Kerberos armouring: establece un canal seguro entre cliente y servidores de autenticacion.

8 Habilitamos esta Politica Cerramos y actualizamos politicas en el DC Ahora vamos a crear una propiedad de recurso

9 Damos OK y ya la tenemos creada Ahora tenemos que crear la lista de propiedades de recursos

10 Y ya la tenemos Ahora si nos vamos al FSRM del SRV1 vemos que aparece la propiedad de recursos que hemos creado

11 Si no aparece se puede acelerar con Powershell Update-FSRMClassificationpropertyDefinition Y ya podriamos aplicar esta clasificacion a cualquier carpeta Asistencia al acceso denegado

12 Requisitos para DAC - Controladores de dominio Windows Server 2012 o superior. (al menos uno, por dominio) - TODOS los servidores de archivos deben tener instalado FSRM. - Siempre hay activar el DAC en la politica de controladores de dominio por defecto en cualquier otra no funciona Configuracion de DAC: 1. Definir los tipos de Claims 2. Habilitar en los DC el soporte para claims 3. Definir propiedades de los recursos 4. Publicar las propiedades en una lista de propiedades. 5. Crear una central Access rule: Definimos las condiciones y los permisos que vamos a asignar a un usuario que cumpla esas condiciones. 6. Publicar la central Access rule en una central Access policies Aquí definimos las condiciones para el acceso a un recurso Aquí definimos las condiciones

13 En los permisos es donde elegimos las condiciones que tiene que cumplir Los proposed no se aplican solo crean eventos en el log Los current si se aplican

14 Aquí elegimos Los claims y apareceran las que activamos antes

15 Ahora creamos la politica

16

17 Asi se ve Ahora vamos a distribuirla por el dominio por GPO

18

19 Ahora lo tenemos que activar en la carpeta compartida que teniamos

20 Ahora damos los permisos minimos o full control a nivel de share y a nivel NTFS

21 Ahora vemos como con el acceso efectivo se aplican diferentes politicas

22

23 Faltaria marcar la carpeta como confidencial para que podamos entrar en la carpeta con el usuario Si entramos con un usuario que no cumple no da error Para ver si se estan enviando los Claims Whoami /claims

24 WorkFolders: Es un servicio de rol que nos permite crear carpetas seguras a las que los usuarios pueden acceder desde cualquier lugar. Son carpetas que se almacenan en los servidores de la empresa y los dispositivos del usuario se sincronizan con ellas de forma segura. Es similar a dropbox o onedrive, pero las carpetas se almacenan en servidores de la empresa en lugar de la nube. LON-DC1: DC y CA LON-SRV1: IIS y servidor workfolder LON-CL1: Cliente workfolder Instalamos en entidad certificadora y configuramos todo por defecto en lon-dc1 Ahora instalamos workfolders y IIS en lon-srv1 todo por defecto Vamos a pedir el certificado para IIS necesario para https que usa workfolders

25

26 Si en este paso no aparece para seleccionar la autoridad certificadora hay que reiniciar la maquina Ya nos aparece

27 Vamos a añadir el binding para https

28 Ahora vamos a crear un grupo para dar acceso al workfolder metemos dentro un par de usuarios para probar despues Ahora en el srv1 creamos una carpeta compartida nueva

29 Ahora vamos a configurar el workfolder Seleccionamos la carpeta que acabamos de compartir Si tubieramos varios dominios elegiriamos alias@domain

30 Ahora añadimos al grupo que creamos para workfolders Con el check de abajo perimitimos que los usuarios solo puedan entrar a su carpeta

31 Y ya estaria creado Ahora tenemos que crear una GPO para indicar a los usuarios que tienen que usar Workfolders

32 Y le damos la URL del servidor de workfolder el check es para que el usuario no tenga que configurar a mano su workfolder Guardamos y enlazamos al dominio o donde queramos que se aplique Realizamos un gpupdate en el cliente y cerramos sesion para que se aplique

33 Si entramos al explorador del cliente ya nos aparece Nosotros tenemos una version sin actualizar y sale un error en el panel del control del usuario con workfolders

34 Hay que instalar la actualizacion tanto en el servidor de workfolder como en los usuarios Windows8.1-KB x64.msu Tambien hay que añadir a los usuarios como administradores locales de la maquina