Делегирование полномочий в Active Directory

 Делегирование полномочий в Active Directory является штатной и очень важной операцией в обслуживании служб каталогов. В данной заметке я хочу дать правильный вектор движения в этом вопросе. Целью будет показать делегирование объектов пользователей, групп и компьютеров в организационной структуре каталога.

Правильная организационная структура каталога Active Directory

Перед тем как приступить непосредственно к задаче предоставления прав, следует выполнить подготовительные работы. А именно, требуется корректная организационная структура каталога. Первое, она должна быть. Второе, она должна быть гибкой и повторять организационную структуру предприятия.

Например, в организации, где присутствуют департаменты, отделы, продуктовые команды, структура может быть такой:

Стоит обратить внимание, что в каждой команде (Team) присутствует 3 организационные подразделения – компьютеры, пользователи и группы.  Подобный подход я часто использую, так как он предоставляет возможности филигранного делегирования полномочий и грамотного применение групповых политик.

Делегирование пользовательских объектов в Active Directory

Итак, делегирование будет осуществляется для группы безопасности, в которую входят младшие администраторы директории. Название группы будет следующим ACL_ADDS_Kyiv_Jun_Administrators. Оно составлено согласно политики именования групп. Имя составлено согласно структуре, которая поможет в определении назначения группы и упростит поиск в каталоге.

Перейдем в консоль Active Directory Users and Computers, выберем организационное подразделение, на объекты которого будут выполнятся делегирование полномочий. Будет использоваться мастер делегирования Active Directory.

В мастере, выбираем нужную группу:

Воспользуемся стандартными наборами прав. С их помощью будут предоставлены права на создание и управление пользовательскими аккаунтами в организационном подразделении.

После чего, работа мастера будет завершена:

Делегирование объектов групп в Active Directory

Процесс делегирования для объектов групп выполняется аналогичным образом. На этапе выбора наборов прав, выбираем следующее:

Делегирование объектов компьютеров в Active Directory

С данным типом объектов будет чуть сложнее. Причина в том, что в мастере отсутствует уже готовый набор полномочий. В таком случае стоит воспользоваться «кастомным» вариантом делегирования:

Далее, выбираем объекты компьютеров. Внизу так же отмечаем возможности их создания и удаления:

Для возможности сброса паролей компьютерных объектов, выставляем соответствующие полномочия:

Для возможности блокировать компьютерные объекты, дополнительно, предоставляем право на запись атрибута Write userAccountControl. Оно станет доступным после включения чек-бокса Property-specific, как показано на скриншоте:

Сам атрибут находится пости в конце списка.

Настройка делегирования для перемещения объектов пользователей, компьютеров и групп в Active Directory

Для задачи перемещения объектов между организационными подразделениями требуется дополнительная конфигурация. На технете можно найти таблицу с необходимыми правами, ее копия ниже:

Object	Organizational Unit	Permission Tab	Apply to	Permission
User	Source Organizational Unit	Object	This object and all descendant objects (*)	Delete User objects
		Properties	Descendant User objects	Write Distinguished Name
		Properties	Descendant User objects	Write name (**)
		Properties	Descendant User objects	Write Name (**)
	Destination Organizational Unit	Object	This object and all descendant objects (*)	Create User objects
Group	Source Organizational Unit	Object	This object and all descendant objects (*)	Delete Group objects
		Properties	Descendant Group objects	Write Distinguished Name
		Properties	Descendant Group objects	Write name (**)
		Properties	Descendant Group objects	Write Name (**)
	Destination Organizational Unit	Object	This object and all descendant objects (*)	Create Group objects
Computer	Source Organizational Unit	Object	This object and all descendant objects (*)	Delete Computer objects
		Properties	Descendant Computer objects	Write Distinguished Name
		Properties	Descendant Computer objects	Write name (**)
		Properties	Descendant Computer objects	Write Name (**)
	Destination Organizational Unit	Object	This object and all descendant objects (*)	Create Computer objects

Выводы

Как показала практика, делегирование полномочий в Active Directory не является сложной задачей. Единственное затруднение может вызвать конфигурация для компьютерных объектов из-за отсутствия подготовленных шаблонов прав. Конечно, статья не описывает всех возможностей делегирования. Этот процесс не заканчивается на пользователях и компьютерах, но как я писал ранее — задача заметки дать правильный вектор движения в этом вопросе.