ניהול אוטומטי של סיסמאות
עבור Service עם gMSA
בשיעור זה אנו מכירים את חשבונות השירות המנוהלים כקבוצה, מבינים את הבעיה שהם פותרים בניהול סיסמאות שירותים, ומקימים אותם לכל הדברים בפועל על שני שרתי SQL.
פרקי ההרצאה: ניהול אוטומטי של סיסמאות עבור Service עם gMSA
תמלול ההרצאה: ניהול אוטומטי של סיסמאות עבור Service עם gMSA
הטקסט המלא של הדקות הראשונות בהרצאה «ניהול אוטומטי של סיסמאות עבור Service עם gMSA» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בהרצאה הזו נדבר על managed service accounts חשבונות של סרוויסים של תוכנות שרצות ברקע היוזר והסיסמה שהם רצות איתם רק שלא אנחנו מנהלים אותם לא מנהלי רשת מחליפים להם סיסמה אלא מערכת עצמה מנהלת אותם הרעיון שניתן לרובוט לווינדוס להחליף סיסמה באופן אוטומטי כי גם ככה אף אחד לא מקליד את הסיסמה הזאת
האלו של סרוויס הם בשימוש של הווינדוס עצמו אז שינהל גם את הסיסמה שלו בעצמו זאת אומרת שכאן בתוך הסרוויס אנחנו לא נכתוב שם וסיסמה של אדמיניסטרטור או איזשהו יוזר אלא ניתן לווינדוס יוזר וירטואלי שהוא מנהל אותו אבל אם ניתן את זה לווינדוס מקומי איך הsql השני ידע שכאן התחלפה הסיסמה כי הרבה פעמים צריך שתהיה סיסמה זהה ויוזר זהה בכמה שרתים זאת אומרת שגם sql סרבר השני חייב לרוץ עם היוזר הזה וגם sql סרבר הראשון חייב לרוץ
עם היוזר הזה בגלל הבעיה הזאת אני אתן לנהל סיסמה באופן אוטומטי ל-dc dc domain controller השרת הראשי ינהל בעצמו את הסיסמאות של היוזר הווירטואלי הזה ואחרים ישלפו ממנו את הסיסמאות האלו האמת שבאקטיב דרקטור יוסיפו את הפיצ'ר הזה יחסית לא מזמן רק לפני איזה עשר שנים ב-2012 וזה נקרא Manage Service Accounts חשבונות
מנוהלים כרגע אין לי אף אחד אז מה אנחנו רוצים אנחנו רוצים להיפטר מהיוזר SQL Service שעשינו ידנית כי כשעשינו אותו ידנית הסיסמה שלו אף פעם לא מתחלפת כי לאף אחד אין כוח להחליף את הסיסמה שלו כי תחשבו שאם אני עושה פה reset password או change password אני צריך לרוץ לכל השרתים להחליף שם ידנית אין לי כוח אני רוצה שהמערכת תעשה את זה לבד אז אני מוחק את היוזר הזה ברגע שאני מחקתי את היוזר
הזה שימו לב הסרוויס כבר לא יכול לרוץ איתו אתם רואים הוא אומר the account name is invalid חשבון לא תקף account חשבון באקטיב דירקטורי בווינדוס is invalid הוא לא running יותר הוא לא עובד יותר כי אין לו יוזר לעבוד איתו אז איך אנחנו עושים את הניהול האוטומטי הזה קודם כל אנחנו חייבים להפעיל שירות שמנהל את כל המפתחות האלו ואת כל הסיסמאות האלו נכנסים לpower shell זה כמובן
מובנה בווינדוס זה פיצ'ר שהם הוסיפו אותו אמרנו ב-2012 אנחנו מייצרים עבור שרת KDS עבור שרת מפתחות הראשי את הרודקי שלו כדי שיוכל לנהל ולעבוד כמו שצריך ואומרים לו אל תחכה 10 שעות תתחיל עכשיו לעבוד מיידי 10 שעות כדאי לחכות אם יש לנו כמה דומיין קונטרולרים כמה שרתים שמנהלים את הארגון את Active
Directory ולרוב יש יותר מאחד כמובן כי אם הוא נופל אף אחד לא יודע שם וסיסמה של אף יוזר אף אחד לא יכול לבדוק ולעמת יוזרים לכן בארגון אמיתי יש כמה DC, DC1, DC2, DC3, DC4, תלוי בגודל הארגון.
צריך לחכות 10 שעות שתהיה רפליקציה, העתקה של כל המידע ביניהם. בכל מקרה, הפקודה הזאת עושה את זה מיידית. דרך אגב, את כל הפקודות אני לוקח מאתר של מייקרוסופט, זאת אומרת, בתוך האתר של מייקרוסופט יש פה Getting Started, ולקחתי את זה מפה, Create KDS Root Key.
אתם נכנסים לכאן, קוראים את כל הכתבה הזאת, ובסוף יש כאן את הפקודה הזאת שהבאתי לכם. אז יש לנו עכשיו שירות שמנהל את החשבונות באופן אוטומטי, מחליף להם סיסמאות כל 30 יום.
בואו ניצור עכשיו קבוצה ב-Active Directory שבתוכה יהיו כל המחשבים שרשאים להשתמש בסיסמה הזאת. אז אני עושה פה Right Click, נהיה Group, קבוצה חדשה, נותן לה שם Group Manage Service Account, GMSA, ואני קורא לקבוצה הזאת SQL/Comp Group.
במובן שאתם יכולים לתת כל שם שבא לכם, העיקר שזה יהיה Security, עושים אוקיי יש לנו פה קבוצה כרגע בקבוצה הזאת אין אף אחד אין אף מחשב אני מכניס לכאן מחשבים שאני רוצה שיוכלו לקבל את הסיסמה של היוזר הווירטואלי החדש שלנו בוא נתחיל מזה שניתן את זה לsql ופה באובג'קט אני בודק שיש פה קומפיוטר כי אני מכניס מחשבים עושה אוקיי check name in sql server 1 שימו לב שם של מחשב נגמר בדולר בלוגו
name שם לוגין שלו תמיד עם דולר בסוף אני רואה שזה נכנס לכאן, ויש לנו פה שרת שהיא נכנס לקבוצה הזאת, אחרי זה נוסיף את השרת השני, כרגע אני עושה עם השרת הראשון, עושה אפליי.
אז יש לי סתם קבוצה באקטיב דירקטורי שבתוכה יש מחשב כחבר. אני יכול דרך אגב לבדוק את הממברים של הקבוצה הזאת גם עם פאורשייל, זאת אומרת אני יכול לבוא לפאורשייל, לתת פקודה get active directory group member ולתת את השם של הקבוצה, והוא כותב לי פה sql srv1 כל מה שאני עושה בממשק גרפי אפשר לעשות גם בפאורשל אני לא
רוצה לסבך אתכם ועכשיו הדבר האמיתי ליצור את היוזר הזה שיכיל את הסיסמה שמתחלפת אוטומט כל 30 יום וזאת פקודת המחץ שלנו ניו אקטיב דירקטורי סרוויס אקאונט אני כותב פה ניו אקטיב דירקטורי סרוויס אקאונט נותן לזה שם זה היוזר הזה שהולך להיות בsql חייב לתת לו host