Active Directory / الأساسي / الدرس 6

الحسابات والمجموعات والوصول للموارد

افصل دورة الأصل من عضوية الدور وإذن المورد واستخدم نطاق المجموعة والنموذج المنفصل بوعي.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى 2026-10-26

في هذه الصفحة

أهداف الدرس

تمييز هويات المستخدم والحاسوب والخدمة والحساب المحلي.
شرح نوع المجموعة الأمنية ونطاقها.
مراجعة تغير العضوية دون افتراض إلغاء الجلسة فورًا.

يمثل الحساب سلطة ودورة حياة

للمستخدم والحاسوب والخدمة والمحلي أغراض وملاك مختلفون، ولا توحد الأسماء الأصل. وثّق الموافقة والاستخدام والمسؤولية والمراجعة والإيقاف. لا تستخدم هوية واسعة للعمل العادي، والانضمام علاقة آلة لا اسمًا فقط. لا ينشئ المقرر حسابًا أو ينضم أو يغير سرًا؛ وتسمياته ليست SID أو اعتمادًا أو رمز وصول.

وضع الأدوار بمجموعات والأذونات عند الموارد

تسهم الأمنية بالإذن ولا تصلح التوزيعية كأصل DACL. تختلف قواعد العالمي والموحد والمحلي للنطاق. نمط داخل نطاق: حساب ثم دور عالمي ثم مجموعة مورد محلية ثم إذن، وله قيود وليس أمر إضافة للجميع. وثّق السبب والموافق؛ فلا يمنح اسم Readers حقًا حتى تشير سياسة المورد للأصل الصحيح. والمنح إلى مجموعة مورد يظل خاضعًا لقواعد النطاق والسياسة الفعلية؛ فتعشيش أسماء صحيحة في رسم لا يجعل كل تركيبة عضوية صالحة في AD DS.

حل سلسلة النموذج دون تقييم ACL حقيقية

يتبع النموذج حافتين وشرط سماح واحدًا ويمنع الدوران بمجموعة زيارة. لا ينفذ وصول Windows أو نطاقات AD أو الرفض والإرث وتاريخ SID وبناء الرمز. يظهر علاقة الدور بالمورد، وميّز بالواقع العضوية الحالية وبيانات الجلسة وسياسة الهدف. لا تسمِّ True إذن مشاركة فعلية.

python رسم عضوية سماح فقط دون اتصال

membership = {
    "learner-17": {"GG_CourseReaders"},
    "GG_CourseReaders": {"DL_CourseFiles_Read"},
}
seen = set()
pending = list(membership.get("learner-17", set()))
while pending:
    group = pending.pop()
    if group in seen:
        continue
    seen.add(group)
    pending.extend(membership.get(group, set()))
print(sorted(seen))
print("DL_CourseFiles_Read" in seen)

الناتج المتوقع

['DL_CourseFiles_Read', 'GG_CourseReaders']
True

تحتوي السلسلة المرتبة الدور والمورد ثم True دون بحث دليل أو فحص مورد.

توثيق الاستحقاق لا تغيير مجموعة مبهم

يسمي السجل الفاعل والدور والمورد والإجراء والموافق وليس أمر إدارة. يراعي المنح قواعد النطاق وكل طبقات الإذن. راجع المجموعات الافتراضية المميزة لتجاوزها موردًا واحدًا. فضّل دورًا مُدارًا عند الملاءمة دون ادعاء أن التعشيش يضمن أقل صلاحية أو الإلغاء.

json سجل استحقاق اصطناعي غير قابل للتشغيل

{"principal":"learner-17","role_group":"GG_CourseReaders","resource_group":"DL_CourseFiles_Read","resource":"course-files","action":"read","approval_owner":"course-resource-owner"}

توضح الخطة المنح ومالكه دون عضوية أو ACL أو مصادقة.

حالة العضوية ليست كل جلسة قائمة

يغير حذف العضوية أو التعطيل حالة الدليل وتؤثر التذاكر والرموز والجلسات والمخازن والسياسات في انتهاء الوصول. حدّد الإلغاء والتحقق بدل وعد رفض فوري عام. راجع هوية الخدمة منفصلة كي لا توقف عملًا، واربط المراجعة بمالك المورد والحاجة. اختبر السماح والرفض معزولًا ولا تمنح إدارة لقراءة مادة. قد يستمر تطبيق في الاعتماد على جلسة أو مخزن سابق حتى بعد تغير الدليل، لذلك تُكتب نتيجة الإلغاء المطلوبة وكيفية التحقق منها بدل افتراض توقيت واحد لكل الموارد.

الأخطاء الشائعة وإصلاحها

استخدام توزيعية كمنح أمني.

لماذا يحدث؟: لم يُميز الغرض والنوع.
كيف تصلحه؟: اختر أصلًا أمنيًا ونطاقًا صالحين.
كيف تتجنب تكراره؟: سجّل النوع والنطاق والعضوية وموضع الإذن.

ادعاء إلغاء كل جلسة فور حذف مجموعة.

لماذا يحدث؟: خُلط الدليل بحالة الإذن القائمة.
كيف تصلحه؟: حدّد الإلغاء وافحصه عبر الجلسات.
كيف تتجنب تكراره؟: أدرج فرض التذاكر والجلسات بالإيقاف.

إصلاح قراءة مورد بعضوية إدارة.

لماذا يحدث؟: تحول استحقاق ضيق لمنح واسع.
كيف تصلحه؟: راجع مسار المورد والسياسة.
كيف تتجنب تكراره؟: اطلب موافقة المالك واختبار الرفض.

اختبر فهمك

1. احذف حافة الدور للمورد بالنموذج وأعط النتيجة وحدها.

اعرض الحل المشروح

تصبح المجموعة القابلة للوصول GG_CourseReaders وحدها، وتطبع قاعدة السماح المبسطة False. يثبت ذلك اختفاء مسار الإذن المعلن من النموذج، لا رفض مستخدم حقيقي. قد توجد منح مباشرة أو مجموعات أخرى أو رموز جلسة قائمة أو سياسات هدف لا يمثلها البرنامج. يجب أن يبقى التحقق من الوصول الفعلي ضمن إجراء مصرح ومناسب للمورد.

2. يغير مستخدم قسمه ويحتاج قراءة أرشيف مؤقتة. افصل قرار OU والاستحقاق.