বিভিন্ন বন থেকে ডোমেন ব্যবহারকারীদের অধিকারের বড় মাপের বরাদ্দ

আপাতদৃষ্টিতে আমার কর্ম হল: সমস্ত ধরণের অ-তুচ্ছ উপায়ে আদর্শ কাজগুলি বাস্তবায়ন করা। যদি কারো সমস্যাটি সম্পর্কে ভিন্ন দৃষ্টিভঙ্গি থাকে তবে দয়া করে এটি নিয়ে আলোচনা করুন যাতে সমস্যাটি সমাধান করা যায়।

একটি সুন্দর সকালে নথি ফোল্ডার সহ প্রকল্পের সাবফোল্ডার ধারণকারী বিভিন্ন শেয়ারের জন্য ব্যবহারকারীদের গ্রুপের অধিকার বিতরণ করার জন্য একটি আকর্ষণীয় কাজ শুরু হয়েছিল। সবকিছু ঠিকঠাক ছিল এবং ফোল্ডারগুলির অধিকার বরাদ্দ করার জন্য একটি স্ক্রিপ্ট লেখা হয়েছিল। এবং তারপরে দেখা গেল যে গ্রুপগুলিতে বিভিন্ন ডোমেন থেকে, বিভিন্ন বন থেকে ব্যবহারকারী থাকা উচিত (যারা এটা কি ভুলে গেছেন তাদের জন্য) ধরা যাক শেয়ারটি নিজেই সাইনোলজি মিডিয়াতে অবস্থিত, PSI বনের FB ডোমেনে নিবন্ধিত। টাস্ক: অন্য বনের ডোমেন ব্যবহারকারীদের এই শেয়ারের বিষয়বস্তুতে অ্যাক্সেস করার অনুমতি দেওয়া, এবং খুব বেছে বেছে।

কিছু সময় পরে, প্রযুক্তিগত বৈশিষ্ট্য নিম্নলিখিত ফর্ম গ্রহণ করে:

• 2টি বন: PSI বন, TG বন।

  

• প্রতিটি বনের 3টি ডোমেইন রয়েছে: PSI (ZG, PSI, FB); TG (TG, HU, KC)।
• বনের মধ্যে একটি আস্থার সম্পর্ক রয়েছে; সিনোলজি সমস্ত বনের সমস্ত নিরাপত্তা গোষ্ঠীকে দেখে।
• শেয়ার এবং ফোল্ডার/সাবফোল্ডারগুলিতে অবশ্যই ফুল কন্ট্রোল অধিকার সহ FB ডোমেন প্রশাসক অ্যাকাউন্ট থাকতে হবে
• ফোল্ডারের নাম পদ্ধতিগত করা উচিত। ম্যানেজমেন্ট প্রকল্পের আইডিগুলিকে সমন্বয় করেছে; আমি সিকিউরিটি গ্রুপের নাম প্রকল্প আইডিগুলির সাথে লিঙ্ক করার সিদ্ধান্ত নিয়েছি।
• সিস্টেম শেয়ারের প্রোজেক্ট ফোল্ডারে অবশ্যই একটি .xlsx ফাইলে আগে থেকে তৈরি করা কাঠামো থাকতে হবে, উপযুক্ত অ্যাক্সেসের সুবিধা সহ (R/RW/NA, যেখানে NA - কোনো অ্যাক্সেস নেই)

  

• একটি প্রকল্পের ব্যবহারকারী/গ্রুপ সদস্যদের অধিকার শুধুমাত্র সেই প্রকল্পের নির্দিষ্ট ডিরেক্টরিগুলিতে সীমাবদ্ধ করা সম্ভব হওয়া উচিত। গ্রুপ সদস্যতার উপর নির্ভর করে ব্যবহারকারীর অন্য ডিরেক্টরি/প্রকল্পে অ্যাক্সেস নাও থাকতে পারে।
• একটি প্রোজেক্ট ফোল্ডার তৈরি করার সময়, প্রোজেক্ট আইডির সাথে সম্পর্কিত নাম সহ উপযুক্ত ডোমেনে যতটা সম্ভব স্বয়ংক্রিয়ভাবে গ্রুপ তৈরি করা উচিত।

প্রযুক্তিগত বৈশিষ্ট্যের জন্য নোট

• বিশ্বাস সম্পর্ক স্থাপন প্রযুক্তিগত বৈশিষ্ট্যের সুযোগ অন্তর্ভুক্ত করা হয় না
• প্রজেক্ট আইডিতে সংখ্যা এবং ল্যাটিন অক্ষর রয়েছে
• সমস্ত ডোমেনের জন্য প্রকল্প ব্যবহারকারীর ভূমিকার মানক নাম রয়েছে
• পুরো প্রকল্প শুরুর আগে ফোল্ডার এবং অ্যাক্সেসের অধিকার (অ্যাক্সেস ম্যাট্রিক্স) সহ একটি .xlsx ফাইল প্রস্তুত করা হয়
• প্রকল্পগুলি বাস্তবায়ন করার সময়, সংশ্লিষ্ট ডোমেনে ব্যবহারকারী গ্রুপ তৈরি করা সম্ভব
• স্ট্যান্ডার্ড এমএস উইন্ডোজ অ্যাডমিনিস্ট্রেশন টুল ব্যবহার করে অটোমেশন অর্জন করা হয়

প্রযুক্তিগত বৈশিষ্ট্য বাস্তবায়ন

এই প্রয়োজনীয়তাগুলিকে আনুষ্ঠানিক করার পরে, ডিরেক্টরি তৈরি এবং তাদের অধিকার প্রদানের জন্য পদ্ধতিগুলি পরীক্ষা করার জন্য একটি কৌশলগত বিরতি নেওয়া হয়েছিল। এটি শুধুমাত্র পাওয়ারশেল ব্যবহার করার উদ্দেশ্যে ছিল, যাতে প্রকল্পটি জটিল না হয়। যেমনটি আমি আগে লিখেছিলাম, স্ক্রিপ্ট অ্যালগরিদমটি বেশ সহজ বলে মনে হয়েছিল:

• আমরা প্রজেক্ট আইডি (উদাহরণস্বরূপ KC40587) থেকে প্রাপ্ত একটি নাম এবং অ্যাক্সেস ম্যাট্রিক্সে উল্লেখিত সংশ্লিষ্ট ভূমিকাগুলির সাথে গ্রুপ নিবন্ধন করি: KC40587-EN- প্রকৌশলীর জন্য; KC40587-PM - প্রোডাক্ট ম্যানেজার ইত্যাদির জন্য।
• আমরা তৈরি করা গ্রুপগুলির SID পাই
• প্রোজেক্ট ফোল্ডার এবং ডিরেক্টরিগুলির সংশ্লিষ্ট সেটটি নিবন্ধন করুন (সাবফোল্ডারের তালিকাটি যে ভাগে এটি তৈরি করা হয়েছে এবং অ্যাক্সেস ম্যাট্রিক্সে সংজ্ঞায়িত করা হয়েছে তার উপর নির্ভর করে)
• অ্যাক্সেস ম্যাট্রিক্স অনুযায়ী প্রকল্পের নতুন সাবডিরেক্টরিগুলির জন্য গোষ্ঠীগুলিকে অধিকার বরাদ্দ করুন।

পর্যায় 1 এ সম্মুখীন হওয়া অসুবিধাগুলি:

• স্ক্রিপ্টে অ্যাক্সেস ম্যাট্রিক্স নির্দিষ্ট করার পদ্ধতি সম্পর্কে ভুল বোঝাবুঝি (এখন একটি বহুমাত্রিক অ্যারে প্রয়োগ করা হয়েছে, তবে এটি পূরণ করার পথটি .xlsx ফাইল/অ্যাক্সেস ম্যাট্রিক্সের বিষয়বস্তুর উপর ভিত্তি করে চাওয়া হচ্ছে)

  

• PoSH (https://social.technet.microsoft.com/Forums/en-US/3f1a949f-0919-46f1-9e10-89256cf07e65/error-using-setacl-on-) ব্যবহার করে SMB শেয়ারগুলিতে অ্যাক্সেসের অধিকার সেট করার অসম্ভবতা nas -share?forum=winserverpowershell), যার কারণে অনেক সময় নষ্ট হয়েছিল এবং সবকিছুকে icacls অ্যাক্সেস রাইট এডিটিং ইউটিলিটি ব্যবহার করে স্ক্রিপ্টের সাথে মানিয়ে নিতে হয়েছিল, যার জন্য টেক্সট এবং cmd ফাইলগুলির একটি মধ্যবর্তী ভান্ডার তৈরির প্রয়োজন ছিল।

বর্তমান মোডে, প্রকল্পের জন্য একটি ফোল্ডার নিবন্ধন করার প্রয়োজনের উপর নির্ভর করে cmd ফাইলগুলির সম্পাদন ম্যানুয়ালি নিয়ন্ত্রিত হয়।

এটি আরও প্রমাণিত হয়েছে যে অন্যান্য বনে গোষ্ঠী নিবন্ধন করার জন্যও স্ক্রিপ্টটি কার্যকর করা উচিত (ক্রস-ডোমেন শব্দটি ব্যবহৃত হয়েছিল), এবং অনুপাতটি কেবল 1 থেকে এক নয়, 1 থেকে অনেকগুলিও হতে পারে।

এর মানে হল যে প্রতিবেশী বন সহ অন্যান্য ক্রস-ডোমেন থেকে গোষ্ঠীগুলি এখন যে কোনও ডোমেনের সংস্থানগুলিতে অ্যাক্সেস দাবি করতে পারে৷ অভিন্নতা অর্জনের জন্য, সমস্ত বনের (কালো উল্লম্ব ডিম্বাকৃতি) সমস্ত পরিষেবাযুক্ত ডোমেনের OU-তে একটি প্রতিসম কাঠামো তৈরি করার সিদ্ধান্ত নেওয়া হয়েছিল। যেমন তারা বলে, সেনাবাহিনীতে সবকিছু কুৎসিত হওয়া উচিত, তবে ইউনিফর্ম:

এইভাবে, TG ডোমেনে প্রকল্প 80XXX নিবন্ধন করার সময়, স্ক্রিপ্টটি কার্যকর করে:

1. এই ডোমেন এবং ক্রস-ডোমেনে সংশ্লিষ্ট OU (লাল অনুভূমিক ডিম্বাকৃতি) তৈরি করা, অর্থাৎ, সেই ডোমেনগুলি যাদের কর্মচারীদের অবশ্যই এই সংস্থানে অ্যাক্সেস থাকতে হবে।

2. নামের মত গ্রুপ দিয়ে OU পূরণ করা -, কোথায়:

• SRC_ ডোমেইন - ক্রস-ডোমেন যার কর্মচারীদের DST ডোমেন সংস্থানগুলিতে অ্যাক্সেস থাকবে
• DST_domain – সেই ডোমেন যার সংস্থানগুলিতে, প্রকৃতপক্ষে, অ্যাক্সেস সরবরাহ করা উচিত, অর্থাৎ, যার জন্য সবকিছু শুরু করা হয়েছিল
• - প্রকল্প সংখ্যা
• ভূমিকা - অ্যাক্সেস ম্যাট্রিক্সে তালিকাভুক্ত ভূমিকার নাম।

3. সমস্ত জড়িত ডোমেনের সমস্ত গ্রুপের SID-এর অ্যারে পড়া এবং একটি নির্দিষ্ট প্রকল্প সাবফোল্ডারের অধিকার সংজ্ঞায়িত করে এমন একটি ফাইলে পরবর্তী ডেটা স্থানান্তরের জন্য এটি সংরক্ষণ করা

4. এক্সিকিউটেবল ফাইল মোডে icacKC ইউটিলিটি দ্বারা ব্যবহারের জন্য স্বত্বের একটি সেট সহ উৎস ফাইলের প্রজন্ম (প্যারামিটার/রিস্টোর)

5. একটি CMD ফাইল তৈরি করা যা সমস্ত প্রজেক্ট ফোল্ডারের জন্য সমস্ত লঞ্চ করা icacls একত্রিত করে৷

যেমনটি আগে লেখা হয়েছিল, এক্সিকিউটেবল ফাইল লঞ্চ করা ম্যানুয়ালি করা হয় এবং এক্সিকিউশন ফলাফলের মূল্যায়নও ম্যানুয়ালি করা হয়।

শেষ পর্যন্ত আমাদের যে অসুবিধাগুলির মুখোমুখি হতে হয়েছিল:

• যদি প্রোজেক্ট ফোল্ডারটি ইতিমধ্যেই প্রচুর সংখ্যক ফাইলে ভরা থাকে, তাহলে বিদ্যমান ভলিউমগুলিতে icacls কমান্ডটি চালানো যথেষ্ট সময় নিতে পারে এবং কিছু ক্ষেত্রে ব্যর্থতার দিকে পরিচালিত করে (উদাহরণস্বরূপ, যখন দীর্ঘ ফাইল পাথ থাকে);
• /রিস্টোর প্যারামিটার ছাড়াও, ফোল্ডারগুলি তৈরি না হলে আমাদের /রিসেট প্যারামিটারের সাথে লাইন যোগ করতে হয়েছিল, কিন্তু পূর্বে বিদ্যমান ফোল্ডারগুলি থেকে স্থানান্তরিত হয়েছিল, রুট থেকে উত্তরাধিকার অধিকার অক্ষম করা হয়েছে;
• গোষ্ঠী তৈরির জন্য স্ক্রিপ্টের অংশগুলি প্রতিটি বনের একটি নির্বিচারে ডিসিতে কার্যকর করতে হয়েছিল, সমস্যাটি প্রতিটি গাছের জন্য প্রশাসনিক অ্যাকাউন্টের সাথে সম্পর্কিত।

সাধারণ উপসংহার: এটা খুবই আশ্চর্যজনক যে বাজারে এখনও অনুরূপ কার্যকারিতা সহ কোন ইউটিলিটি নেই। শেয়ারপয়েন্ট পোর্টালের উপর ভিত্তি করে অনুরূপ কার্যকারিতা বাস্তবায়ন করা সম্ভব বলে মনে হচ্ছে।
এটাও বোধগম্য নয় যে সিনোলজি ডিভাইসে ফোল্ডার অধিকার সেট করার জন্য PoSH ইউটিলিটি ব্যবহার করা সম্ভব নয়।

যদি ইচ্ছা হয়, কেউ আগ্রহী হলে আমি গিথুবে কিছু প্রকল্প তৈরি করে স্ক্রিপ্ট ভাগ করতে প্রস্তুত।

উত্স: www.habr.com