Active Directory / المتقدم / الدرس 14

تقوية الدليل وهويات الخدمة

طابق الحماية بطريقة LDAP والمصادقة والهوية وخطّط التوافق والدليل قبل الفرض.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى 2026-10-26

في هذه الصفحة

أهداف الدرس

فصل التوقيع والتشفير وربط القناة.
مراجعة هويات الخدمة المدارة وتفويض المضيف.
تخطيط التقوية دون إضعاف الضبط لإخفاء فشل.

لا تغطي تسمية أمنية واحدة كل خاصية

تختلف خصائص التوقيع والختم وTLS وربط القناة. يحمي التوقيع السلامة بسياقه غير TLS لا السرية، ويحمي TLS النقل بضبطه والتحقق منه، ويربط الآخر المصادقة به. للربط البسيط حماية نقل. لا يثبت منفذ 636 الشهادة أو الإذن. تختلف الافتراضات للجديد والقديم والمحدث؛ فسجّل النسخة والتحديث والسياسة والقدرات لا اسم النظام فقط.

مقارنة المتطلبات وقدرات العميل

يقارن النموذج مجموعتي قدرات بسلامة معلنة دون تفاوض LDAP أو شهادة أو رمز قناة أو فرض. تعني True احتواء المجموعة لا اتصالًا آمنًا. حدد الطريقة والنقل والتحقق والمكتبة والسياسة واقرأ أدلة مصرحًا بها للترحيل. لا يحوي عنوانًا أو اعتمادًا أو وصفة تشفير أو مولد حركة.

python نموذج توافق حماية معلنة دون اتصال

required = {"integrity"}
clients = {
    "reviewed_client": {"integrity", "confidentiality"},
    "legacy_model": {"directory_query"},
}
for name, capabilities in clients.items():
    print(name, required <= capabilities)

الناتج المتوقع

reviewed_client True
legacy_model False

تكون reviewed_client صحيحة والقديمة خاطئة دون قياس بروتوكول أو اتصال فعلي.

اختيار حساب الخدمة من متطلبات العمل

لهوية الخدمة مالك وغرض ومضيف وحقوق ودورة. توفر gMSA إدارة تلقائية لأعمال مدعومة متعددة ولا تمنح الأقل تلقائيًا. راجع المضيف والتطبيق والشروط وSPN. لـ2025 خيارات أحدث بشروطها لا بدائل مطابقة. لا تضع هوية مدير بإعداد لتجنب التصميم، ولا ينشأ أو يسترجع حساب أو سر هنا. ولا تعفي الإدارة التلقائية للسر من تحديد المضيفين الذين يجوز لهم استعمال الهوية أو من مراجعة حقوق المورد ودعم التطبيق وإجراء الاستعادة عند فشل العمل.

تخطيط التوافق والفرض والتراجع منفصلة

يسمي السجل مراجعة لا قيم سياسة وليس سجل Windows أو قالبًا أو أمرًا. احصر المستهلك وواقع السلوك واختبر عزلة وحدد غير المدعوم واعتمد الفرض. قد يكون الفشل مكتبة أو شهادة أو اسمًا؛ فيخفي التعطيل العام السبب ويزيد الخطر. يحتاج التراجع اعتمادًا ومخاطر لا عودة تلقائية لغير الآمن. احفظ الدليل والمالك.

json سجل تقوية دليل غير قابل للتشغيل

{"service":"synthetic-directory-consumer","review":["bind_method","transport_validation","signing_or_sealing","channel_binding_applicability","host_identity","least_privilege"],"enforcement":"requires_separate_approval"}

يسرد أسئلة لا إعدادًا ويغير لا LDAP ولا شهادة ولا خدمة أو مصادقة.

فحص القبول والرفض المقصودين

اختبر المقبول وغير المدعوم الاصطناعي بفئة فشل ومالك استعادة. يعتمد الحدث على السياسة والنسخة والتشخيص؛ لا يثبت غيابه حماية الجميع. احمِ السجلات واختبر وظيفة التطبيق لا الاتصال فقط، ورفض موارد الخدمة لا بدؤها فقط. يفحص الدرس مجموعات محلية ويترك العمليات الفعلية غير منفذة. يجب أن تنتهي المراجعة بتمييز ما قيس عن قدرة أعلنها صاحب التطبيق؛ فاختفاء فشل اتصال لا يثبت سلامة الوظيفة أو رفض الوصول غير المطلوب.

الأخطاء الشائعة وإصلاحها

افتراض أن التوقيع يخفي البيانات.

لماذا يحدث؟: خُلطت السلامة بالسرية.
كيف تصلحه؟: راجع التشفير وسياق الربط منفصلين.
كيف تتجنب تكراره؟: وثّق كل خاصية حماية.

منح هوية خدمة مدارة إدارة واسعة.

لماذا يحدث؟: عُدت إدارة السر أقل صلاحية.
كيف تصلحه؟: امنح حقوق العمل والمضيف المراجعة فقط.
كيف تتجنب تكراره؟: اختبر الرفض وراجع الملاك.

تعطيل ضبط عام لفشل عميل.

لماذا يحدث؟: حُل التوافق بتراجع واسع.
كيف تصلحه؟: حدّد الطريقة والشرط الفاشل.
كيف تتجنب تكراره؟: استخدم خططًا محددة معتمدة.

اختبر فهمك

1. أضف integrity للقديم بالنموذج. ما التغير والأسئلة الباقية؟

اعرض الحل المشروح

تصير نتيجة legacy_model هي True لأن النموذج صار يعلن الخاصية المطلوبة. لا يثبت ذلك أن التطبيق يوقع الحركة التي ينطبق عليها الضبط أو يتحقق من الخادم أو يشفر بما يلزم أو يملك إذن البيانات المطلوبة. افصل تصريحات القدرة من أدلة البروتوكول والتطبيق الفعلية. فتغيير التسمية ليس نشرًا للتقوية.

2. يريد عمل متعدد إدارة سر تلقائية. ما مجالات المراجعة قبل gMSA دون عمليات؟