סיסמאות באורך שונה - PSO
dsa.msc פותח את Active Directory Users and Computers.ADSI Edit (adsiedit.msc) משמש ליצירת אובייקט ה-PSO ידנית.gpmc.msc פותח את ניהול המדיניות הקבוצתית.פרקי ההרצאה: סיסמאות באורך שונה - PSO
תמלול ההרצאה: סיסמאות באורך שונה - PSO
הטקסט המלא של הדקות הראשונות בהרצאה «סיסמאות באורך שונה - PSO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום ההרצאה של היום תדבר על pso password settings object שבעצם מדובר על איך להתאים סיסמה באופן אישי למשתמש בודד או לקבוצת משתמשים. זה אומר לכולם יהיו שמונה תווים ולמישהו אחד בלבד יהיו ארבע תווים שאורך סיסמה או דרישות לסיסמה.
אנחנו נעבור למכונה וירטואלית של שרת 2008 שלנו ונראה איך כל הנושא של הסיסמאות עובד. זה כבר, אתם צריכים כבר לדעת בשלב הזה שיש default domain policy. רואים פה, יש לי כמה פוליסות, אבל יש default domain policy.
ב-default domain policy יש, זאת פוליסה דפולטית שנוצרת בזמן יצירת דומיין. כשעושים dc-promo על השרת, לוקחים שרת נאקי, עושים dc-promo, זאת הפוליסה שנוצרת יחד עם עוד פוליסה שהיא לדומיין קונטרולרס.
זה שני פוליסות הדפולטיות, אחד לכל הדומיין, אחד רק לדומיין קונטרולרס שמנהלים את כל הדומיין. השרתים הכי חשובים שמנהלים את הדומיין וזה בעצם לכולם ומה יש פה בסיסמה לכולם יש פה הגדרות דפולטיות על הפוליסה כמה ימים כל כמה כל כמה ימים חייבים מקסימום להחליף סיסמה אחרי 90 יום היא פגת תוקף מה אורך סיסמה 8 תווים כל ההגדרות האלו נמצאות
כאן בגלל זה אי אפשר לעשות סיסמה 1234 אבל נניח שיש לי מחסן ואני רוצה לעשות שם סיסמה באורך 1234 מה בן אדם אינטואיטיבית יגיד לי מה הבעיה תבוא למחסן תעשה פה רייט קליק קריאט gpo תיצור פוליסה שנקראת סיסמה סיסמה ארבע נניח פאסוורדס ארבע ארבע דיגיטס אני יודע פאסוורד פאסוורד ארבע דיגיטס סיסמה בארבע תווים
תקרא לפוליס שנייה יש לי פה רואים ממשק גרפי עושה בעיות נסגור אותו נפתח אותו מההתחלה לא יודע מה קרה לו דרך אגב עוד דרך להיכנס חוץ מסרבר מנאג'ר לכל הממשק הגרפי הזה שיטה שהייתה לפני שהיה סרבר מנאג'ר.
הסרבר מנאג'ר שאתם מכירים נוצר רק בשערת 2008. לפני כן היינו נכנסים לאדמיניסטרייטיב טולס, יש לנו פה את כל הכלים, אחד הכלים נקרא Group Policy Management.
אתם רואים? Group Policy Management. זה בעצם פותח אותו כלי, הנה אתם רואים? זה אותו כלי, תסתכלו, רק שזה בתוך חבילה יותר גדולה עם הרבה כלים אחרים, והחלון הזה זה רק Group Policy Management.
ומה עוד חשוב שאתם צריכים להכיר? שאם תעשו על החלון הזה רייט קליק על השורטקאט פרופרטיז, אתם תראו שזה בעצם שורטקאט שמוביל למה?
לסיסטם רות, סיסטם רות זה C.2, זה כאילו כתבו פה C.2, כאילו כתבו פה C.2. MMC פותח MMC ריקה עם סנאפינג שנקרא gpmc, אתם רואים gpmc.microsoft console, זאת אומרת מייקרוסופט עשו MMC מוכנה, עשו MMC ושמרו אותה בסיסטם 32 וקראו לה gpmc,
למה זה חשוב לי לזכור שזה gpmc? כי הרבה מנהלי רשת עושים דבר כזה, אומרים Windows run וכותבים gpmc, gpmc Microsoft Console, זאת אומרת קונסול השמורה שנמצאת בסיסטם 32 והיא פותחת את אותו ממשק ניהול, אתם תשמעו הרבה אנשים אומרים gpmc, זה Group Policy Management Console, איך אתם יכולים לדעת דרך אגב איזה ממסים מוכנות יש,
מה יש לנו מוכן, דרך אגב אם לא היה שום דבר מוכן מה הייתם צריכים לעשות, לפתור לכם ממסי ריקה, לעשות פייל add remove snapping ולהוסיף פה גרופוליסי מנג'מנט גרופוליסי מנג'מנט את הסנאפין הזה את הכלי הזה דרך אגב אפשר להוסיף אותו יחד עם event viewer מי שרוצה לדוגמה ואז יש לי עכשיו אתם רואים ממשק הממסי
עם כלים שאני רוצה אבל בשביל לא לעשות כל פעם את הפעולה הזאת לפתוח ממסי להוסיף גרופוליסי סנאפין פנימה וזה לא נוח מייקרוסופט תעשו בשבילנו ממסיים מוכנות לכל הכלים החשובים זה אתם חייבים פשוט להכיר לידע כללי בשביל זה אני ככה עצרתי את עובר המהותי סיסטם 32 דיר כוכבית נקודה מייקרוסופט קונסול ויש פה m&c
מוכנות שאתם חייבים חייבים להכיר אותם איזה m&c אתם חייבים להכיר ADSA אדיט שנכנס לנו לתוך גרופוליסי כלי שנכנס לתוך הגרופוליסי פנימה בלי כל הגרפיקה סרט mgr זה לנהל תעודות דיגיטליות dsa מה זה dsa תראו אתם יכולים גם לנסות אני לוקח כותב פה dsa הוא לבד יודע בגלל הסיומת לפתוח את זה מ m&c תראו איזה יופי dsa פותח פותח לי אקטיב דירקטורי,
זאת אומרת אני רוצה לפתוח מהר אקטיב דירקטורי, אני לוחץ סטארט-ראן, כותב dsa.microsoftConsult enter, פותח לי אקטיב דירקטורי מהר.
אז מי שמנהל רשת מכיר את כל מייקרוסופט הקונסולות האלו, הוא מכיר אותן בעל פה. הנה מה עוד?
אז dsa זה אקטיב דירקטור, אתם חייבים להכיר אותם. dnsmgmt מנהל את ה-dns. סרפמון זה את הביצועים של המחשב gpmc זה גרופ פוליסי מנג'מנט gp אדיט אדיט לפוליסה בודדת והוא פותח סרוויסס פותח לי את כל הסרוויסים שרצים ברקע rsop rsop זה כל הפוליסות שחלו על המחשב נניח אני רוצה לדעת איזה פוליסות חלו על המחשב הזה אני עושה rsop ויש פה עוד
כל מיני אתם תכירו עם הזמן עוד כמה סרוור מנאג'ר פשוט לא היה קיים לפני כן כן סרוור מנאג'ר זה חדש ב2008 בגלל זה ככה מן מנהלי רשת הכירו את כל הסנאפינים האלו, את כל הקונסולות האלו המוכנות והיו משתמשים בהם הרבה.
מנהלי רשת מתחילים שלא הכירו אותם בעל פה, היו עושים ב-2003 אדמיניסטרטיב טולס ובוחרים אותם מכאן, שזה אותו דבר. אוקיי?
יפה. אז אחרי שהבנו מה זה כל הקיצורי דרך האלו שאתם תשמעו ותשחקו אותה תותחים, אז אנחנו רוצים לעשות עכשיו לא פוליסה כללית לכל הדומיין עם הסיסמאות, זוכרים? כן? מזה התחלנו, חברים, מי ששכח כבר.
אנחנו לא רוצים שיהיה שמונה תווים, אנחנו רוצים שזה יהיה לכולם חוץ ממחסן. למה שנרצה דבר כזה? כי לדוגמה, כולם יכולים להתחבר ב-VPN מבחוץ פנימה.
כולם יכולים להתחבר למייל מבחוץ פנימה. אבל עובדי המחסן אין להם מיילים ואין להם חיבור מבחוץ, הם לא חשופים לסכנות שכל העובדים האחרים חשופים. כל החשבונות האחרים של כל העובדים חשופים להתקפה מבחוץ.
זאת אומרת, אתה בא להיכנס לדור האלקטרוני, הוא שואל אותך שם וסיסמה, ואם הסיסמה פחות משמונה תווים, אז זה מסוכן. כי רובוט ינסה לפרוץ את זה.
מה עושים רובוטים? מנסים A1, A2, A3, B1, B2, B3. עד שהם מנסים את כל הצירופים, עד שהם מגיעים לצירוף שלך, של הסיסמה האמיתית.
אז עושים שמונה תווים שיקח להם הרבה מאוד זמן, ומנסים לעכב אותם. כי אי אפשר למנוע. כי אם אתה תמנע מהם להתחבר, אתה תמנע גם מבן אדם לגיטימי להתחבר אבל עובדי המחסן אין להם התחברות מבחוץ הם רק בתוך המחסן עובדים ולכן לא אכפת לי לתת להם ארבע תווים אז אני עושה להם פוליסה משלהם שאומרת
פסוורד ארבע דיגיץ ארבע מספרים אני עושה פסוורד ארבע דיגיץ מה יש לו בואי נעשה משהו אחר לעשות gpu סתם הנה סתם עובד יופי טוב עשיתי פוליסה שנקראת סתם ואני בא לפה ואני אני מגדיר פה שדרישות בסקיוריטי.
מי שלא זוכר את הנתיב מחפש אותו בגוגל כי אין פה חיפוש. יש פה למטה איזושהי מסננת אבל היא לא תופסת לכל האזור הזה.
השיטה היחידה באמת לחפש למי שבאמת לא מכיר זה רק גוגל או משהו באינטואיטיבי כזה. אני אומר לכם מי שלא נכנס לפה שלוש פעמים ביום לא ימצא פה את הרגליים ואת הידיים.
יש פה שלושת אלפים אופציות שתבינו על כמה אנחנו מדברים. אוקיי, אנחנו רוצים ככה, אנחנו רוצים מקסימום פסוורד אייג' 90 יום יישאר, זה אנחנו לא מגדירים, אנחנו רוצים לשנות רק, רק, רק, רק, האם מינימום פסוורד לנקס, האורך המינימלי, ואני עושה, האורך המינימלי זה לא 8 תווים, למחסן זה 4 תווים.
ופסוורד מיט קומפלקסיטי, האם הסיסמה חייבת להיות מורכבת? פולס. איזה יופי. זהו, זה מה שרציתי, 4 תווים, ושסיסמה לא תהיה מורכבת.
טוב מאוד. ודרך אגב מה שלא הגדרתי נניח מקסימום יגיע בהורשה מדומיין מדומיין בדומיין כתוב שזה 90 יום אמרתי רק זה וזה שונה תראו כל הלוגיקה הזאת היא נכונה מאוד זאת אומרת שאותיות ארבע נניח פוליסה שנקראת אותיות ארבע היא באמת מגדירה את מה שאמרנו מינימום פספורט פספורט מת קומפלקסיטי אבל זה לא עובד זה לא יעבוד
בואו נראה שזה לא יעבוד וננסה עכשיו עוד מעט להגיד למה זה לא יעבוד תראו אז יש לי פה הרבה רולים על אותו המחשב, מותקנות, לא שזה מעניין, כי אנחנו כרגע מתעסקים בתפקיד הזה.
ניקח נניח את יוזר חדש, נעשה במחסן. ניקח יוזר חדש במחסן, נקרא לו user test, לא יודע, 7, סתם אני ממציא, עושה לו פסוורד של מייקרוסופט, מנסה, הנה עשה לי יוזר, עכשיו אני עושה לו right click reset password 1234, 1234,
ותראו שזה פשוט לא עובד, אומר the password does not meet the password policy requirements שהסיסמה לא עובדת בפספורט פוליסי רקוויירמנס בדרישות של המדיניות פספורט פוליסי רקוויירמנס בדרישות של המדיניות check the minimum password length תבדוק אורך
מינימלי תבדוק מורכבות בקיצור זה לומד בתקן של הסיסמאות אתה לא יכול לעשות למה אני לא יכול לעשות הרי עשיתי פה פוליסה טוב אז אני אספר לכם למה זה לא עובד למה זה לא עובד הנה אותי עוד ארבע עשיתי לה רפרש למה זה לא עובד כי Group Policy זה בכלל לא המקום להגדיר סיסמאות.
זה שהם עשו את זה פה זאת טעות מבחינה ויזואלית ומבחינה לוגית. מה עושה לנו Group Policy? Group Policy משפיע על ה-registry ועל הזכויות שיש על כל אחד מהמחשבים ברשת. זאת אומרת, הוא בא לנהל מחשבים מקומיים.
הבעיה היא שהסיסמאות והדרישות לסיסמה לא שמורות במחשב המקומי. לדוגמה, יוזרים שיש לנו פה בכניסה או במחסן, איפה היוזרים האלו שמורים? הם שמורים באיזשהו מחשב מקומי?
לא, הם שמורים במאגר מרכזי שנקרא Active Directory. אז אנחנו לא מצפים מגרופוליסי לנהל מאגר מרכזי. אני אעשה לכם סדר בראש, מי שקצת ככה לא מבין על מה אני מדבר.
תראו, גרופוליסי, כל הקטע הזה של גרופוליסי בא לנהל רג'יסטרי, בא לנהל הרשאות מקומיות בתחנות העבודה ובשרתים. זאת אומרת, הוא בא לעבור על כל המחשבים שיש לנו, יש לנו פה מעל 100 מחשבים, לעבור על כל המאה המחשבים ולהגדיר להם משהו ברג'יסטרי או משהו בקונן סי או משהו בהגדרות או להתקין אצלהם איזושהי תוכנה.
הוא מנהל מחשבים בודדים וזה הרעיון של כל הגרופוליסי לנהל מחשבים many as one הרבה מחשבים כאילו יש לי אחד יפה מאוד חוץ מזה שיש לנו את הניהול המקומי של כל המחשבים יש לנו מאגר מרכזי שנקרא Active Directory המאגר המרכזי הזה הוא כולל את כל היוזרים ואת כל הסיסמאות וזה מקום אחד ולא צריך כלי כמו גרופוליסי לנהל מאגר מרכזי,
כי אין לי בעיה שם, אני נכנס למאגר ואני מנהל אותו. אז המאגר המרכזי הזה נמצא כפי שאתם זוכרים בארדיסק ב-C-ווינדוס NTDS-D, הנה הוא נמצא פה, בקובץ NTDS-D, פה נמצא, אתם רואים 22 מגה זה, המאגר המרכזי עם כל היוזרים, עם כל הסיסמאות,
עם הכל. ואם אני רוצה לנהל אותו אני מתחבר אליו ומנהל אותו, אני לא צריך בשביל זה גרופוליסי, גרופוליסי צריך בשביל לנהל מאות מחשבים בודדים.
אז בגלל זה גרופוליסי לא יוצר לי משתמשים חדשים ברשת ולא מצריך מחשבים לדומיין, זה לא התפקיד שלו.
התפקיד שלו זה לנהל רג'יסטרי ולנהל הגדרות מקומיות בשירתים ובתחנות העבודה. כל המידע שהוא לא שמה, כל המידע שנמצא במאגר מרכזי, מנהלים עם כלי אחר לגמרי, שבמקרה הזה נקרא Active Directory Users and Computers.
והסיסמאות נמצאות גם פה, הן לא נמצאות בתחנות העבודה, לא הגדרה שנשמרת בתחנת העבודה, ולכן הדבר הזה פה לא עובד. איפה היא כן שמורה?
אתם תתפלאו לדעת ואני אפתיע אתכם. אתם עומדים פה באקטיב דירקטורי, עושים view advanced לראות את הדברים המתקדמים, advanced features.
אחרי שאתם לוחצים על זה אתם רואים שמופיע פה v, ואחרי שיש פה v תסתכלו מה קרה, נהיו פה הרבה יותר אופציות שלא היו לפני כן ותסתכלו הלאה מה אני עושה.
אני יכול לבוא לכל יוזר ולעמוד עליו וכולי, אני עומד על דומיין, על אובייקט שנקרא דומיין כולו. שימו לב, אני עומד על הדומיין ועושה על הדומיין פרופרטיס.
ועל האובייקט של הדומיין עצמו יש לי אטריביוט אדיטור, כן? ומה זה הוא נותן לי? הוא נותן לי לראות את השדות, כמו שיש לכל יוזר שדות, שיש לכל יוזר שדות משלו, ככה לדומיין עצמו