Come faccio a distribuire l'AD in una posizione ostile? Quali sono le implicazioni sulla sicurezza tra domini, foreste e RODC in Active Directory?

Naviga le tue risposte
1

Versione breve

What are the risks/ benefits / drawbacks of RODC's vs Child Domains vs Forest Trusts in AD

Sfondo

Lavoro con un'azienda che ha vari accordi commerciali tra molte piccole aziende (da 200 a 400) e diverse esigenze di controllo, fiducia e autonomia tra tutte queste entità aziendali.

L'ufficio aziendale ha una foresta AD che ha account per l'80% degli utenti in tutte le società. Il server di Exchange è qui e la società agisce in modo simile a un BPOS / Office 365 per quanto riguarda la fornitura di servizi alle aziende.

Stanno considerando di consolidare il carico di lavoro IT tra i 200 silos e stanno esaminando le seguenti opzioni:

  1. Più foreste (Corporate e una per ciascuna delle 200 società) con trust di foresta in Hosted Exchange

  2. Sottodomini / Alberi in una foresta per ogni azienda con un "dominio di risorse" per Hosted Exchange

  3. Utilizza il nostro dominio corrente e distribuisci un controller di dominio di sola lettura (RODC) al di fuori di Hosted Exchange

  4. Utilizza il nostro dominio corrente e implementa un controller di dominio completo sul sito remoto

  5. Fai "qualcosa" con Forefront Identity Manager (non sono sicuro delle funzionalità di FIM)

La maggior parte degli accordi commerciali ha una clausola di risoluzione di 5 anni. A quel punto possono interrompere la loro relazione o possono rinnovare. Altri accordi commerciali sono più strategici e vogliamo anche gestire i loro desktop locali.

Sulla base della mia conoscenza storica di AD, è stato (o potrebbe ancora essere) possibile ottenere i diritti di autorizzazione di Enterprise Admin compromettendo un controller di dominio figlio locale.

Questo mi porta a chiedere quanto segue:

  • How do I deploy AD in a hostile location? Should I use an RODC or Forest Trust?

  • Are there any security benefits of using a child domain / tree in the forest?

  • What additional staff / management overhead is involved with a "Resource Forest"

    
posta random65537 31.10.2011 - 21:42
fonte

1 risposta

2

La tua migliore opzione probabilmente sarà un RODC se vuoi essere in grado di avere il pieno controllo sui domini.

Un controller di dominio di sola lettura non è un normale controller di dominio. Per impostazione predefinita, tutte le richieste di autenticazione vengono inoltrate a un DC scrivibile. Il RODC memorizza le credenziali solo se sono soddisfatte due condizioni:

  1. Il caching delle credenziali è abilitato (l'impostazione predefinita è disabilitata)
  2. Un utente ha effettuato l'accesso dal sito del RODC

Quindi gli account di amministrazione aziendale non possono essere compromessi a meno che un EA non abbia effettuato l'accesso al sito del RODC. Voglio dire che le credenziali dell'account con privilegi amministrativi non verranno mai salvate nella cache, ma non posso confermarlo. In teoria non è necessario avere un registro EA in quel sito perché è possibile configurare utenti amministrativi specifici di RODC. Questi utenti possono avere privilegi di amministratore, ma non possono toccare nient'altro su nessun altro DC.

Vedi qui: link

    
risposta data 31.10.2011 - 22:45
fonte

Leggi altre domande sui tag

E 'possibile intercettare la trasmissione dati senza essere autorizzato ad un router? Come crei un elenco completo dei domini di Google? [chiuso]