بیشتر مشکلات امنیتی Active Directory از جایی ساده شروع می‌شوند: حساب کارمندی که ماه‌ها پیش رفته ولی هنوز فعال است، کارمندی که به واحد دیگری منتقل شده و دسترسی‌های واحد قبلی را هم دارد، یا حساب مشترکی که رمزش را نیمی از شرکت می‌دانند. راه‌حل، یک روند ساده و ثابت برای کل عمر حساب کاربری است: ورود، تغییر نقش و خروج.
پیش از همه: چند قاعده ثابت
- قاعده نام‌گذاری: یک الگوی یکسان برای نام کاربری انتخاب کنید، مثلاً
a.ahmadi، و برای نام‌های تکراری هم قاعده مشخصی داشته باشید. - ساختار OU: کاربران را بر اساس واحد یا شعبه در OUهای مشخص نگه دارید و یک OU جدا برای حساب‌های غیرفعال بسازید.
- گروه‌های نقش: برای هر نقش شغلی گروهی تعریف کنید که دسترسی‌های لازم همان نقش را داشته باشد.
- حساب شخصی برای هر نفر: از حساب‌های مشترک مثل
receptionبرای چند نفر پرهیز کنید؛ در غیر این صورت معلوم نیست چه کسی چه کاری انجام داده است.
ورود کارمند جدید
- درخواست ساخت حساب از طرف منابع انسانی یا مدیر واحد، به‌صورت مکتوب و با نام، سمت، واحد و تاریخ شروع ثبت شود.
- حساب را در OU درست بسازید و فیلدهایی مثل نام کامل، Department، Title و Manager را پر کنید. این اطلاعات بعدها برای گزارش‌گیری و بررسی دسترسی‌ها بسیار به کار می‌آیند.
- برای سرعت و یکسانی، برای هر نقش یک حساب الگو (Template) بسازید و حساب‌های جدید را از روی آن کپی کنید؛ عضویت گروه‌ها هم همراهش کپی می‌شود. حساب الگو را همیشه غیرفعال نگه دارید.
- یک رمز اولیه موقت بگذارید و گزینه User must change password at next logon را فعال کنید. رمز اولیه را حضوری یا از راهی امن به کارمند بدهید.
- برای همکاران پروژه‌ای و پیمانکاران، تاریخ انقضای حساب (Account Expires) را تنظیم کنید تا حساب در موعد مقرر خودبه‌خود غیرفعال شود.
تغییر نقش یا واحد
اشتباه رایج این است که هنگام جابه‌جایی کارمند، فقط دسترسی‌های جدید اضافه می‌شود و دسترسی‌های قبلی باقی می‌ماند. پس از چند جابه‌جایی، یک کارمند به همه‌جا دسترسی دارد. در هر تغییر نقش، حساب را به OU جدید منتقل کنید، از گروه‌های نقش قبلی خارج و عضو گروه‌های نقش جدید کنید و فیلدهای Department و Title را به‌روز کنید.
خروج کارمند
- در همان روز خروج، حساب را غیرفعال کنید، نه این‌که فوراً حذفش کنید.
- رمز حساب را تغییر دهید و اگر کارمند دسترسی VPN یا ایمیل روی تلفن همراه داشته، آن‌ها را هم قطع کنید.
- در فیلد Description تاریخ و دلیل غیرفعال‌سازی را بنویسید و فهرست گروه‌هایش را ثبت کنید.
- حساب را به OU حساب‌های غیرفعال منتقل کنید.
- درباره صندوق ایمیل و فایل‌های شخصی با مدیر واحد تصمیم بگیرید؛ مثلاً انتقال به جانشین.
- پس از دوره نگهداری‌ای که سیاست شرکت تعیین می‌کند، حساب را حذف کنید.
پیش از هر حذف، قابلیت Active Directory Recycle Bin را فعال کرده باشید. با آن، حسابی که به اشتباه حذف شده همراه با عضویت گروه‌هایش قابل بازگرداندن است.
بررسی دوره‌ای حساب‌ها
هر چند ماه یک‌بار حساب‌هایی را که مدتی است استفاده نشده‌اند پیدا کنید. در PowerShell دستور Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly کاربرانی را نشان می‌دهد که در حدود ۹۰ روز اخیر وارد نشده‌اند. فهرست را با منابع انسانی تطبیق دهید و حساب‌هایی را که صاحب مشخصی ندارند غیرفعال کنید. عضویت گروه‌های حساس، به‌ویژه گروه‌های مدیریتی، را هم در همین بازبینی مرور کنید.
چک‌لیست
- قاعده نام‌گذاری و ساختار OU مشخص است.
- هر کارمند حساب شخصی خودش را دارد.
- ساخت حساب بر اساس درخواست مکتوب و حساب الگو انجام می‌شود.
- در تغییر نقش، دسترسی‌های قبلی حذف می‌شود.
- حساب کارمند خروجی در همان روز غیرفعال می‌شود.
- Recycle Bin فعال است و حساب‌های بی‌فعالیت به‌صورت دوره‌ای بررسی می‌شوند.
کارشناسان ITPlus724 می‌توانند روند ورود و خروج کاربران را برای شرکت شما تعریف کنند، حساب‌های فعلی Active Directory را بازبینی و پاک‌سازی کنند و بخشی از این کارها را با اسکریپت خودکار کنند.