다양한 포리스트의 도메인 사용자에게 대규모 권한 할당

분명히 내 업장은 모든 종류의 사소하지 않은 방식으로 표준 작업을 구현하는 것입니다. 누군가가 문제에 대해 다른 시각을 갖고 있다면 문제가 해결될 수 있도록 논의해 주시기 바랍니다.

어느 화창한 날 아침, 문서 폴더와 프로젝트의 하위 폴더가 포함된 다양한 공유에 대한 권한을 사용자 그룹에 배포하는 흥미로운 작업이 발생했습니다. 모든 것이 괜찮았고 폴더에 권한을 할당하는 스크립트가 작성되었습니다. 그런 다음 그룹에는 다른 도메인, 다른 포리스트의 사용자가 포함되어야 한다는 것이 밝혀졌습니다(그것이 무엇인지 잊어버린 사람들을 위해). 공유 자체가 PSI 포리스트의 FB 도메인에 등록된 Synology 미디어에 있다고 가정해 보겠습니다. 작업: 다른 포리스트의 도메인 사용자가 매우 선택적으로 이 공유의 콘텐츠에 액세스할 수 있도록 허용합니다.

얼마 후 기술 사양은 다음과 같은 형식을 취했습니다.

• 2개의 숲: PSI 숲, TG 숲.

  

• 각 포리스트에는 PSI(ZG, PSI, FB)의 3개 도메인이 있습니다. TG (TG, HU, KC).
• 포리스트 간에는 신뢰 관계가 있으며 Synology는 모든 포리스트의 모든 보안 그룹을 확인합니다.
• 공유 및 폴더/하위 폴더에는 FullControl 권한이 있는 FB 도메인 관리자 계정이 있어야 합니다.
• 폴더 이름은 체계화되어야 합니다. 경영진은 프로젝트 ID를 조정했으며 보안 그룹의 이름을 프로젝트 ID에 연결하기로 결정했습니다.
• 시스템 공유의 프로젝트 폴더에는 적절한 액세스 권한(R/RW/NA, NA – 액세스 없음)이 있는 .xlsx 파일로 미리 준비된 구조가 포함되어야 합니다.

  

• 한 프로젝트의 사용자/그룹 구성원의 권한을 해당 프로젝트의 특정 디렉터리에만 제한하는 것이 가능해야 합니다. 사용자는 그룹 멤버십에 따라 다른 디렉터리/프로젝트에 액세스하지 못할 수도 있습니다.
• 프로젝트 폴더를 생성할 때 프로젝트 ID에 해당하는 이름을 가진 적절한 도메인에 그룹이 최대한 자동으로 생성되어야 합니다.

기술 사양에 대한 참고 사항

• 신뢰 관계 설정은 기술 사양의 범위에 포함되지 않습니다.
• 프로젝트 ID에는 숫자와 라틴 문자가 포함됩니다.
• 모든 도메인의 프로젝트 사용자 역할에는 표준 이름이 있습니다.
• 전체 프로젝트 시작 전에 폴더와 접근 권한(액세스 매트릭스)이 포함된 .xlsx 파일이 준비됩니다.
• 프로젝트 수행 시 해당 도메인에 사용자 그룹 생성 가능
• 표준 MS Windows 관리 도구를 사용하여 자동화가 이루어집니다.

기술 사양 구현

이러한 요구 사항을 공식화한 후 디렉터리를 생성하고 해당 디렉터리에 권한을 할당하는 방법을 테스트하기 위해 전술적 일시 중지가 이루어졌습니다. 프로젝트를 복잡하게 하지 않기 위해 PowerShell만 사용하도록 의도되었습니다. 앞서 쓴 것처럼 스크립트 알고리즘은 매우 간단해 보였습니다.

• 프로젝트 ID(예: KC40587)에서 파생된 이름과 액세스 매트릭스에 지정된 해당 역할로 그룹을 등록합니다. KC40587-EN-엔지니어의 경우; KC40587-PM – 제품 관리자 등용
• 생성된 그룹의 SID를 얻습니다.
• 프로젝트 폴더와 해당 디렉터리 세트를 등록합니다(하위 폴더 목록은 액세스 매트릭스에서 생성되고 정의된 공유에 따라 다름).
• 액세스 매트릭스에 따라 프로젝트의 새 하위 디렉터리에 대한 그룹에 권한을 할당합니다.

1단계에서 겪는 어려움:

• 스크립트에서 액세스 매트릭스를 지정하는 방법에 대한 오해(이제 다차원 배열이 구현되었지만 이를 채우는 경로는 .xlsx 파일/액세스 매트릭스의 내용을 기반으로 찾고 있습니다)

  

• PoSH를 사용하여 Synology 드라이브의 SMB 공유에 액세스 권한을 설정할 수 없음(https://social.technet.microsoft.com/Forums/en-US/3f1a949f-0919-46f1-9e10-89256cf07e65/error-using-setacl-on- nas -share?forum=winserverpowershell), 이로 인해 많은 시간이 손실되었고 icacls 액세스 권한 편집 유틸리티를 사용하여 모든 것을 스크립트에 적용해야 했으며 이를 위해서는 텍스트 및 cmd 파일의 중간 저장소를 생성해야 했습니다.

현재 모드에서는 프로젝트에 폴더를 등록해야 하는 필요성에 따라 cmd 파일 실행이 수동으로 제어됩니다.

또한 다른 포리스트에 그룹을 등록하기 위해 스크립트를 실행해야 하며(교차 도메인이라는 용어가 사용됨) 비율은 1:1뿐만 아니라 XNUMX:다일 수도 있다는 것이 밝혀졌습니다.

이는 이웃 포리스트를 포함한 다른 교차 도메인의 그룹이 이제 모든 도메인의 리소스에 대한 액세스 권한을 요청할 수 있음을 의미합니다. 균일성을 달성하기 위해 모든 포리스트의 모든 서비스 도메인의 OU에 대칭 구조(검은색 수직 타원)를 만들기로 결정했습니다. 그들이 말했듯이 군대에서는 모든 것이 추악하지만 균일해야합니다.

따라서 TG 도메인에 프로젝트 80XXX를 등록할 때 스크립트는 다음을 실행합니다.

1. 이 도메인 및 교차 도메인, 즉 직원이 이 리소스에 액세스해야 하는 도메인에 해당 OU(빨간색 가로 타원)를 생성합니다.

2. OU를 다음과 같은 이름의 그룹으로 채웁니다. -, 어디:

• SRC_ 도메인 – 직원이 DST 도메인 리소스에 액세스할 수 있는 교차 도메인
• DST_domain – 실제로 리소스에 대한 액세스가 제공되어야 하는 도메인, 즉 모든 것이 시작된 도메인입니다.
• - 프로젝트 번호
• ROLES – 액세스 매트릭스에 나열된 역할의 이름입니다.

3. 관련된 모든 도메인의 모든 그룹의 SID 배열을 읽고 특정 프로젝트 하위 폴더에 대한 권한을 정의하는 파일로의 후속 데이터 전송을 위해 저장합니다.

4. 실행 파일 모드 "icacKC "as-nasNNKCProjects" /restore C:TempKCKC40XXKC40XX.txt"에서 icacKC 유틸리티가 사용할 권한 세트가 있는 소스 파일(매개변수 /restore) 생성

5. 모든 프로젝트 폴더에 대해 시작된 모든 icacl을 결합하는 CMD 파일 생성

앞서 작성한 것처럼 실행 파일 시작은 수동으로 수행되며 실행 결과 평가도 수동으로 수행됩니다.

결국 우리가 직면해야 했던 어려움:

• 프로젝트 폴더가 이미 많은 수의 파일로 채워져 있는 경우 기존 볼륨에서 icacls 명령을 실행하는 데 상당한 시간이 걸릴 수 있으며 경우에 따라 실패할 수도 있습니다(예: 긴 파일 경로가 있는 경우).
• 폴더가 생성되지 않았지만 루트로부터의 상속 권한이 비활성화된 상태로 이전 폴더에서 전송된 경우 /restore 매개변수 외에도 /reset 매개변수가 있는 줄을 추가해야 했습니다.
• 그룹을 생성하기 위한 스크립트의 일부는 각 포리스트의 임의 DC에서 실행되어야 했으며 문제는 각 트리의 관리 계정과 관련이 있습니다.

일반적인 결론: 아직 시장에 유사한 기능을 가진 유틸리티가 없다는 것은 매우 이상합니다. Sharepoint 포털을 기반으로 비슷한 기능을 구현하는 것이 가능할 것 같습니다.
Sinology 장치에서 폴더 권한을 설정하기 위해 PoSH 유틸리티를 사용할 수 없다는 것도 이해할 수 없습니다.

원하신다면 누구든지 관심이 있으시면 github에 프로젝트를 생성하여 스크립트를 공유할 준비가 되어 있습니다.

출처 : habr.com