Melhores práticas de delegação do Active Directory

Melhores práticas de delegação do Active Directory

Delegar controle sobre partes específicas da rede permite que os usuários acessem os dados necessários para o seu trabalho. No entanto, fornecer acesso irrestrito a todos pode representar riscos significativos de cibersegurança para uma organização. A delegação do Active Directory pode restringir efetivamente o acesso apenas ao que os usuários necessitam.

Siga as melhores práticas de delegação do Active Directory abaixo para proteger sua rede.

O que é Delegação do Active Directory?

A delegação do Active Directory (AD) permite que você autorize usuários a realizar tarefas que exigem permissões elevadas — sem adicioná-los a grupos altamente privilegiados como Domain Admins e Account Operators. Para delegar controle no Active Directory, você pode usar o Assistente de Delegação de Controle no Console de Gerenciamento da Microsoft (MMC) snap-in Usuários e Computadores do Active Directory (ADUC).

Como Desenvolver um Modelo de Delegação AD

É melhor adotar uma abordagem prática para delegar direitos. Lembre-se, simplicidade é igual a suportabilidade, e um modelo de delegação sustentável trará grandes benefícios ao permitir que você controle adequadamente e com eficiência as permissões delegadas do Active Directory.

Passo 1: Criar Funções

O primeiro passo no desenvolvimento de um modelo de delegação do Active Directory é criar um conjunto de funções de administrador e atribuir-lhes as responsabilidades corretas. Limite-se a um número pequeno e gerenciável de funções para um controle prático da delegação. Encontrar o equilíbrio certo pode ser desafiador, pois ter muitas funções adiciona complexidade e sobrecarga de gestão, mas ter poucas funções não permitirá a separação de papéis.

As melhores práticas sugerem usar os seguintes papéis:

Administradores de serviço:

• Os administradores da empresa são responsáveis pela administração de serviços de alto nível em toda a empresa. Este grupo não deve conter membros permanentes.
• Domain Admins são responsáveis pela administração de serviços de alto nível em todo o domínio. Este grupo deve conter apenas um pequeno número gerenciável de administradores confiáveis.
• Os administradores de nível 4 são responsáveis pela administração do serviço em todo o domínio. Os direitos de acesso concedidos permitem a gestão apenas dos serviços e funcionalidades necessários e servem como um ponto de escalonamento para os administradores de dados.

Administradores de dados:

• Tier 1 Admins são responsáveis pelo gerenciamento geral de objetos de diretório, incluindo a realização de redefinições de senha, modificação das propriedades de contas de usuário, etc.
• Os administradores de nível 2 são responsáveis pela criação e exclusão seletiva de contas de usuário e computador para sua localização ou organização.
• Os Administradores Regionais são responsáveis por gerir a estrutura da unidade organizacional (OU) e têm permissões concedidas para criar a maioria dos objetos dentro da sua OU.
• Tier 3 Admins gerenciam todos os administradores de dados e atuam como pontos de ajuda e escalonamento de mais alto nível para todos os administradores regionais.

Passo 2: Atribuir Responsabilidades

Em seguida, desenvolva um conjunto de casos de uso para ajudar a identificar o que cada função pode e não pode fazer. Casos de uso bem preparados ajudarão você a explicar as funções aos interessados na sua organização e garantir a atribuição adequada de papéis. Ao definir responsabilidades, categorize-as por frequência, importância e dificuldade.

Listas de controle de acesso (ACLs) em contêineres do Active Directory definem quais objetos podem ser criados e como esses objetos são gerenciados. A delegação de direitos envolve operações básicas em objetos, como a capacidade de visualizar um objeto, criar um objeto filho de uma classe especificada ou ler informações de atributo e segurança em objetos de uma classe especificada. Além dessas operações básicas, o Active Directory define Direitos Estendidos, que permitem operações como Enviar Como e Gerenciar Topologia de Replicação.

Automatize o processo de teste para garantir que cada função funcione conforme o esperado.

Etapa 3: Defina um Modelo de Segurança OU

Uma vez que suas funções e responsabilidades tenham sido estabelecidas, você deve definir seu modelo de OU e grupo de segurança. Uma OU de nível superior (ou série de OUs) deve ser criada diretamente abaixo do domínio para abrigar todos os objetos. Esta OU de nível superior serve ao propósito específico de definir o escopo de gerenciamento de nível avançado para os Administradores de Nível 4. Com uma OU de nível superior, os direitos sobre o serviço de diretório podem começar no nível da OU em vez de no nível do domínio.

Abaixo das OUs de nível superior, você deve criar hierarquias de sub-OUs separadas para representar cada região ou unidade de negócios com uma equipe de gerenciamento de dados distinta. Cada sub-OU regional deve ter uma hierarquia de OU padrão, não extensível, para gerenciar objetos de diretório.

Finalmente, para evitar que os administradores aumentem seus privilégios, crie grupos de sub-administradores separados — um grupo de Admins de Nível 1, um grupo de Admins de Nível 2 e um grupo de Admins Regionais para cada sub-hierarquia de OU — e coloque as contas apropriadas em cada grupo. Colocar essas contas em OUs separadas permite que o gerenciamento seja restrito ao seu nível ou inferior.

Passo 4: Controle Como os Direitos Delegados São Utilizados

A chave para um modelo de delegação bem-sucedido é impor o princípio do menor privilégio. Na prática, isso significa que cada principal de segurança (como um usuário ou conta de serviço) deve ser capaz de realizar apenas as tarefas necessárias para suas funções e nada mais. Todos os administradores devem entrar como usuários comuns e usar seus direitos privilegiados somente quando necessário.

Para realizar isso sem exigir que o usuário faça logoff e login novamente, utilize o serviço de Logon Secundário (Runas.exe). Isso permite que os usuários elevem seus privilégios fornecendo credenciais alternativas ao executar scripts ou outros executáveis em servidores e estações de trabalho.

Como delegar privilégios de administrador no Active Directory

O Assistente de Delegação de Controle oferece uma maneira fácil de delegar permissões no Active Directory. Por exemplo, suponha que você queira que membros do grupo Help Desk possam criar, excluir e gerenciar contas de usuários na All Users OU no seu domínio AD. Para fazer isso, você precisa realizar as seguintes etapas:

1. Abra o console de Active Directory Users and Computers.
2. Clique com o botão direito do mouse na All Users OU e escolha Delegate Control. Clique no botão Next dentro do Delegation of Control Wizard.
3. Clique no botão Adicionar na página de Usuários ou Grupos do Assistente.
4. Na caixa de diálogo Select Users, Computers, or Groups, insira o nome do grupo (Help Desk), clique no botão Check Names para garantir que o nome está correto e clique em OK.
5. Certifique-se de que o nome do grupo selecionado esteja agora na lista da página de Usuários ou Grupos e clique em Next.
6. Selecione Criar, excluir e gerenciar contas de usuário na página de Tarefas a Delegar e clique em Próximo.
7. Verifique as informações da página final do assistente e clique em Finish.

Você pode confirmar que as permissões foram escritas corretamente verificando a aba Segurança das propriedades da OU de destino.

Considerações ao Delegar Permissões Específicas

A delegação no Active Directory permite que as organizações concedam permissões que os usuários normalmente não teriam sem adicioná-los a grupos privilegiados. No entanto, as empresas devem considerar algumas coisas ao delegar permissões.

Por exemplo, um bom design de Unidade Organizacional (OU) desempenha um papel crítico na delegação de AD. Então, com essa OU ou conjunto de OUs, estabeleça níveis para a segurança. Em cada nível, você deve conceder o acesso com o menor privilégio. O acesso com menor privilégio limita o que os usuários podem fazer apenas ao estritamente necessário para o seu trabalho. O acesso com menor privilégio é a chave para a cibersegurança de uma organização, pois limita o número de pessoas que têm acesso a dados críticos.

Por exemplo, uma organização pode restringir a redefinição de senha ou permissões de desbloqueio, conceder permissões para modificar apenas números de telefone, delegar a gestão de membros de grupos no Active Directory a usuários específicos, e assim por diante.

Também é do melhor interesse de uma empresa evitar o uso de grupos integrados (incluindo Enterprise Admins ou Domain Admins), pois esses grupos podem ter permissões robustas e amplas. Em vez disso, delegar permissões do active directory em camadas e realizar auditorias regulares de Privileged Access é melhor.

Melhores práticas de delegação do AD

Siga estas diretrizes para usar Active Directory Domain Services com sucesso e delegar de maneira apropriada.

• Para que a delegação seja bem-sucedida, as UOs devem ser projetadas e implementadas corretamente, e os objetos corretos (usuários, grupos, computadores) devem ser colocados nelas.
• Não utilize grupos integrados; os privilégios dentro do domínio geralmente são muito amplos. Em vez disso, devem ser criados novos grupos projetados exclusivamente para delegação.
• Utilize Unidades Organizacionais (OUs) aninhadas. Haverá vários níveis de administradores de dados dentro do AD. Alguns terão controle delegado sobre um tipo inteiro de dados, como servidores — e outros podem receber apenas um subconjunto de um tipo de dados, como servidores de arquivos. Essa hierarquia é estabelecida criando OUs e sub-OUs, com a administração delegada no topo tendo mais privilégios do que aqueles mais abaixo na estrutura da OU.
• Realize auditorias regulares para ver quem recebeu privilégios administrativos delegados em diferentes níveis no AD.
• Realize auditorias anuais sobre quem possui quais controles delegados do Active Directory.
• Audite seu ambiente em busca de atividades suspeitas que possam ser um sinal de comprometimento ou uso indevido de direitos delegados, como tentativas de elevar privilégios para controlar objetos do computador, obter acesso a dados confidenciais através da rede ou alterar ou remover configurações de segurança (como requisitos de senha).
• Considere a transição de um modelo de delegação que depende de privilégios permanentes para uma estratégia de Privileged Access Management (PAM) com acesso sob demanda. Dessa forma, você pode evitar o abuso ou uso malicioso de direitos de acesso permanentes, melhorar o controle sobre o uso de privilégios e reduzir significativamente a superfície do seu ataque.