ການກໍານົດຂະຫນາດໃຫຍ່ຂອງສິດທິຂອງຜູ້ໃຊ້ໂດເມນຈາກປ່າທີ່ແຕກຕ່າງກັນ

ປາກົດຂື້ນວ່າ karma ຂອງຂ້ອຍແມ່ນນີ້: ປະຕິບັດວຽກງານມາດຕະຖານໃນທຸກປະເພດຂອງວິທີການທີ່ບໍ່ແມ່ນ trivial. ຖ້າໃຜຜູ້ຫນຶ່ງມີວິໄສທັດທີ່ແຕກຕ່າງກັນຂອງບັນຫາ, ກະລຸນາປຶກສາຫາລືເພື່ອໃຫ້ບັນຫາສາມາດແກ້ໄຂໄດ້.

ໃນຕອນເຊົ້າທີ່ດີມື້ຫນຶ່ງ, ວຽກງານທີ່ຫນ້າສົນໃຈເກີດຂຶ້ນເພື່ອແຈກຢາຍສິດທິໃຫ້ກັບກຸ່ມຜູ້ໃຊ້ສໍາລັບຮຸ້ນທີ່ແຕກຕ່າງກັນທີ່ມີໂຟເດີຍ່ອຍຂອງໂຄງການທີ່ມີແຟ້ມເອກະສານ. ທຸກຢ່າງແມ່ນດີ ແລະຂຽນສະຄຣິບເພື່ອມອບສິດໃຫ້ກັບໂຟນເດີ້ຕ່າງໆ. ແລະຫຼັງຈາກນັ້ນມັນໄດ້ຫັນອອກວ່າກຸ່ມຄວນຈະມີຜູ້ໃຊ້ຈາກໂດເມນທີ່ແຕກຕ່າງກັນ, ຈາກປ່າທີ່ແຕກຕ່າງກັນ (ສໍາລັບຜູ້ທີ່ລືມວ່າມັນແມ່ນຫຍັງ). ໃຫ້ເວົ້າວ່າສ່ວນແບ່ງຕົວມັນເອງແມ່ນຕັ້ງຢູ່ໃນສື່ Synology, ລົງທະບຽນຢູ່ໃນໂດເມນ FB ຂອງປ່າ PSI. ວຽກງານ: ເພື່ອໃຫ້ຜູ້ໃຊ້ໂດເມນຢູ່ໃນປ່າອື່ນສາມາດເຂົ້າເຖິງເນື້ອຫາຂອງການແບ່ງປັນນີ້, ແລະເລືອກຫຼາຍ.

ຫຼັງຈາກເວລາໃດຫນຶ່ງ, ຂໍ້ມູນສະເພາະດ້ານວິຊາການໄດ້ມີຮູບແບບດັ່ງຕໍ່ໄປນີ້:

• 2 ປ່າ: ປ່າ PSI, ປ່າ TG.

  

• ແຕ່ລະປ່າມີ 3 ໂດເມນ: PSI (ZG, PSI, FB); TG (TG, HU, KC).
• ມີຄວາມສຳພັນທາງດ້ານຄວາມເຊື່ອໝັ້ນລະຫວ່າງປ່າໄມ້; Synology ເຫັນກຸ່ມຄວາມປອດໄພທັງໝົດໃນປ່າທັງໝົດ.
• ການແບ່ງປັນ ແລະໂຟນເດີ້/ໂຟເດີຍ່ອຍຕ້ອງມີບັນຊີຜູ້ບໍລິຫານໂດເມນ FB ທີ່ມີສິດທິ FullControl
• ຊື່ຂອງໂຟນເດີຄວນຈະເປັນລະບົບ. ການຄຸ້ມຄອງປະສານງານ IDs ໂຄງການ; ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈເຊື່ອມຕໍ່ຊື່ຂອງກຸ່ມຄວາມປອດໄພກັບ IDs ໂຄງການ.
• ໂຟນເດີໂຄງການໃນການແບ່ງປັນລະບົບຕ້ອງມີໂຄງສ້າງທີ່ກຽມໄວ້ລ່ວງໜ້າໃນໄຟລ໌ .xlsx, ໂດຍມີສິດທິການເຂົ້າເຖິງທີ່ເຫມາະສົມ (R/RW/NA, ບ່ອນທີ່ NA – ບໍ່ມີການເຂົ້າເຖິງ)

  

• ມັນຄວນຈະເປັນໄປໄດ້ທີ່ຈະຈໍາກັດສິດຂອງຜູ້ໃຊ້/ສະມາຊິກກຸ່ມຂອງໂຄງການໜຶ່ງໃຫ້ສະເພາະລາຍການສະເພາະຂອງໂຄງການນັ້ນເທົ່ານັ້ນ. ຜູ້​ໃຊ້​ອາດ​ຈະ​ບໍ່​ມີ​ການ​ເຂົ້າ​ເຖິງ​ບັນ​ຊີ​ລາຍ​ການ / ໂຄງ​ການ​ອື່ນໆ​, ຂຶ້ນ​ກັບ​ສະ​ມາ​ຊິກ​ກຸ່ມ​.
• ເມື່ອສ້າງໂຟນເດີໂຄງການ, ກຸ່ມຄວນຈະຖືກສ້າງໂດຍອັດຕະໂນມັດເທົ່າທີ່ເປັນໄປໄດ້ໃນໂດເມນທີ່ເຫມາະສົມທີ່ມີຊື່ທີ່ກົງກັບ IDs ໂຄງການ.

ໝາຍເຫດສະເພາະດ້ານເຕັກນິກ

• ການສ້າງຄວາມສໍາພັນຄວາມໄວ້ວາງໃຈບໍ່ໄດ້ລວມຢູ່ໃນຂອບເຂດຂອງຂໍ້ກໍານົດດ້ານວິຊາການ
• ID ໂຄງການປະກອບມີຕົວເລກ ແລະຕົວອັກສອນລາຕິນ
• ບົດບາດຂອງຜູ້ໃຊ້ຂອງໂຄງການສໍາລັບໂດເມນທັງຫມົດມີຊື່ມາດຕະຖານ
• ໄຟລ໌ .xlsx ທີ່ມີໂຟນເດີ້ ແລະສິດການເຂົ້າເຖິງ (access matrix) ໄດ້ຖືກກະກຽມໄວ້ກ່ອນທີ່ຈະເລີ່ມໂຄງການທັງໝົດ.
• ເມື່ອປະຕິບັດໂຄງການ, ມັນເປັນໄປໄດ້ທີ່ຈະສ້າງກຸ່ມຜູ້ໃຊ້ໃນໂດເມນທີ່ສອດຄ້ອງກັນ
• ອັດຕະໂນມັດແມ່ນບັນລຸໄດ້ໂດຍການໃຊ້ເຄື່ອງມືຄຸ້ມຄອງລະບົບ MS Windows ມາດຕະຖານ

ການປະຕິບັດຂໍ້ກໍານົດດ້ານວິຊາການ

ຫຼັງຈາກການສ້າງຂໍ້ກໍານົດເຫຼົ່ານີ້ຢ່າງເປັນທາງການ, ການຢຸດຊົ່ວຄາວໄດ້ຖືກປະຕິບັດເພື່ອທົດສອບວິທີການສ້າງໄດເລກະທໍລີແລະມອບສິດໃຫ້ພວກເຂົາ. ມັນມີຈຸດປະສົງເພື່ອໃຊ້ພຽງແຕ່ PowerShell, ເພື່ອບໍ່ໃຫ້ໂຄງການສັບສົນ. ດັ່ງທີ່ຂ້າພະເຈົ້າຂຽນກ່ອນຫນ້ານີ້, algorithm script ເບິ່ງຄືວ່າງ່າຍດາຍຫຼາຍ:

• ພວກເຮົາລົງທະບຽນກຸ່ມທີ່ມີຊື່ທີ່ມາຈາກ ID ໂຄງການ (ຕົວຢ່າງ KC40587) ແລະພາລະບົດບາດທີ່ສອດຄ້ອງກັນທີ່ລະບຸໄວ້ໃນຕາຕະລາງການເຂົ້າເຖິງ: KC40587-EN- ສໍາລັບວິສະວະກອນ; KC40587-PM - ສໍາລັບຜູ້ຈັດການຜະລິດຕະພັນ, ແລະອື່ນໆ.
• ພວກເຮົາໄດ້ຮັບ SIDs ຂອງກຸ່ມທີ່ສ້າງຂຶ້ນ
• ລົງ​ທະ​ບຽນ​ໂຟນ​ເດີ​ໂຄງ​ການ​ແລະ​ຊຸດ​ທີ່​ສອດ​ຄ້ອງ​ກັນ​ຂອງ​ລະ​ບົບ (ບັນ​ຊີ​ລາຍ​ການ​ຂອງ​ໂຟ​ເດີ​ຍ່ອຍ​ແມ່ນ​ຂຶ້ນ​ກັບ​ສ່ວນ​ແບ່ງ​ທີ່​ມັນ​ໄດ້​ຖືກ​ສ້າງ​ຕັ້ງ​ຂຶ້ນ​ແລະ​ກໍາ​ນົດ​ໃນ​ມາ​ຕຣິກ​ເບື້ອງ​ການ​ເຂົ້າ​ເຖິງ​)
• ມອບສິດໃຫ້ກຸ່ມສໍາລັບໄດເລກະທໍລີຍ່ອຍໃຫມ່ຂອງໂຄງການອີງຕາມຕາຕະລາງການເຂົ້າເຖິງ.

ຄວາມ​ຫຍຸ້ງ​ຍາກ​ທີ່​ພົບ​ໃນ​ຂັ້ນ​ຕອນ​ທີ 1​:

• ຄວາມເຂົ້າໃຈຜິດຂອງວິທີການລະບຸມາຕຣິກເບື້ອງການເຂົ້າເຖິງໃນສະຄຣິບ (ອາເຣຫຼາຍມິຕິໄດ້ຖືກຈັດຕັ້ງປະຕິບັດແລ້ວ, ແຕ່ເສັ້ນທາງໃນການຕື່ມຂໍ້ມູນນັ້ນແມ່ນຊອກຫາໂດຍອີງໃສ່ເນື້ອໃນຂອງໄຟລ໌ .xlsx/access matrix).

  

• ຄວາມເປັນໄປບໍ່ໄດ້ໃນການຕັ້ງຄ່າສິດການເຂົ້າເຖິງໃນຮຸ້ນ SMB ໃນ synology drives ໂດຍໃຊ້ PoSH (https://social.technet.microsoft.com/Forums/en-US/3f1a949f-0919-46f1-9e10-89256cf07e65/error-using-setacl-on- nas -share?forum=winserverpowershell), ເນື່ອງຈາກວ່າເວລາຫຼາຍໄດ້ສູນເສຍໄປແລະທຸກສິ່ງທຸກຢ່າງຕ້ອງໄດ້ຮັບການປັບຕົວເຂົ້າກັບ scripts ໂດຍໃຊ້ icacls access utility ການແກ້ໄຂສິດທິ, ເຊິ່ງຮຽກຮ້ອງໃຫ້ມີການສ້າງ repository ກາງຂອງໄຟລ໌ຂໍ້ຄວາມແລະ cmd.

ໃນໂຫມດປະຈຸບັນ, ການປະຕິບັດໄຟລ໌ cmd ຖືກຄວບຄຸມດ້ວຍຕົນເອງ, ຂຶ້ນກັບຄວາມຕ້ອງການທີ່ຈະລົງທະບຽນໂຟນເດີສໍາລັບໂຄງການ.

ມັນຍັງໄດ້ຫັນອອກວ່າສະຄິບຄວນຈະຖືກປະຕິບັດເພື່ອລົງທະບຽນກຸ່ມຢູ່ໃນປ່າອື່ນໆ (ຄໍາສັບຂ້າມໂດເມນໄດ້ຖືກນໍາໃຊ້), ແລະອັດຕາສ່ວນສາມາດບໍ່ພຽງແຕ່ 1 ຫາຫນຶ່ງ, ແຕ່ຍັງ 1 ກັບຈໍານວນຫຼາຍ.

ນີ້ຫມາຍຄວາມວ່າກຸ່ມຈາກໂດເມນຂ້າມອື່ນໆ, ລວມທັງປ່າໃກ້ຄຽງ, ປະຈຸບັນສາມາດອ້າງສິດການເຂົ້າເຖິງຊັບພະຍາກອນຂອງໂດເມນໃດໆ. ເພື່ອບັນລຸຄວາມເປັນເອກະພາບ, ມັນໄດ້ຖືກຕັດສິນໃຈສ້າງໂຄງສ້າງທີ່ສົມມາດໃນ OU ຂອງໂດເມນທີ່ໃຫ້ບໍລິການທັງຫມົດຂອງປ່າໄມ້ທັງຫມົດ (ຮູບໄຂ່ຕັ້ງສີດໍາ). ຍ້ອນວ່າພວກເຂົາເວົ້າວ່າ, ໃນກອງທັບທຸກສິ່ງທຸກຢ່າງຄວນຈະຂີ້ຮ້າຍ, ແຕ່ເປັນເອກະພາບ:

ດັ່ງນັ້ນ, ເມື່ອລົງທະບຽນໂຄງການ 80XXX ໃນໂດເມນ TG, script ດໍາເນີນການ:

1. ການສ້າງ OU ທີ່ສອດຄ້ອງກັນ (ຮູບໄຂ່ແນວນອນສີແດງ) ໃນໂດເມນນີ້ແລະໂດເມນຂ້າມ, ນັ້ນແມ່ນ, ໂດເມນທີ່ພະນັກງານຕ້ອງມີການເຂົ້າເຖິງຊັບພະຍາກອນນີ້.

2. ການຕື່ມ OU ກັບກຸ່ມທີ່ມີຊື່ເຊັ່ນ -, ບ່ອນທີ່:

• ໂດເມນ SRC_ – ຂ້າມໂດເມນທີ່ພະນັກງານຈະມີການເຂົ້າເຖິງຊັບພະຍາກອນໂດເມນ DST
• DST_domain - ໂດເມນທີ່ຊັບພະຍາກອນ, ໃນຄວາມເປັນຈິງ, ການເຂົ້າເຖິງຄວນຈະຖືກສະຫນອງໃຫ້, ນັ້ນແມ່ນ, ສໍາລັບສິ່ງທີ່ທຸກສິ່ງທຸກຢ່າງໄດ້ເລີ່ມຕົ້ນ.
• — ຈໍາ​ນວນ​ໂຄງ​ການ​
• ROLES – ຊື່ຂອງພາລະບົດບາດທີ່ລະບຸໄວ້ໃນຕາຕະລາງການເຂົ້າເຖິງ.

3. ການອ່ານ array ຂອງ SIDs ຂອງທຸກກຸ່ມຂອງໂດເມນທີ່ກ່ຽວຂ້ອງທັງຫມົດແລະບັນທຶກມັນສໍາລັບການໂອນຂໍ້ມູນຕໍ່ມາໄປຫາໄຟລ໌ທີ່ກໍານົດສິດທິໃນໂຟເດີຍ່ອຍຂອງໂຄງການສະເພາະ.

4. ການສ້າງໄຟລ໌ຕົ້ນສະບັບ (ພາລາມິເຕີ / ການຟື້ນຟູ) ທີ່ມີຊຸດສິດທິສໍາລັບການນໍາໃຊ້ໂດຍຜົນປະໂຫຍດ icacKC ໃນຮູບແບບໄຟລ໌ທີ່ປະຕິບັດໄດ້ "icacKC "as-nasNNKCCProjects" /restore C:TempKCKC40XXKC40XX.txt"

5. ການສ້າງໄຟລ໌ CMD ທີ່ລວມ icacls ທີ່ເປີດຕົວທັງຫມົດສໍາລັບໂຟນເດີໂຄງການທັງຫມົດ

ດັ່ງທີ່ໄດ້ຂຽນໄວ້ກ່ອນໜ້ານີ້, ການເປີດໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ແມ່ນເຮັດດ້ວຍຕົນເອງ ແລະການປະເມີນຜົນຂອງການປະຕິບັດແມ່ນເຮັດດ້ວຍຕົນເອງ.

ຄວາມ​ຫຍຸ້ງ​ຍາກ​ທີ່​ພວກ​ເຮົາ​ໄດ້​ປະ​ເຊີນ​ໃນ​ທີ່​ສຸດ​:

• ຖ້າໂຟເດີໂຄງການແມ່ນເຕັມໄປດ້ວຍໄຟລ໌ຈໍານວນຫລາຍ, ຫຼັງຈາກນັ້ນການດໍາເນີນການຄໍາສັ່ງ icacls ໃນປະລິມານທີ່ມີຢູ່ສາມາດໃຊ້ເວລາຫຼາຍ, ແລະໃນບາງກໍລະນີນໍາໄປສູ່ຄວາມລົ້ມເຫຼວ (ຕົວຢ່າງ, ເມື່ອມີເສັ້ນທາງໄຟລ໌ຍາວ);
• ນອກເຫນືອຈາກຕົວກໍານົດການ / ການຟື້ນຟູ, ພວກເຮົາຕ້ອງເພີ່ມສາຍທີ່ມີ / reset ພາລາມິເຕີໃນກໍລະນີທີ່ໂຟເດີບໍ່ໄດ້ຖືກສ້າງ, ແຕ່ຖືກໂອນຈາກໂຟເດີທີ່ມີຢູ່ກ່ອນຫນ້າ, ດ້ວຍສິດທິການສືບທອດຈາກຮາກທີ່ຖືກປິດ;
• ບາງສ່ວນຂອງສະຄິບສໍາລັບການສ້າງກຸ່ມຕ້ອງໄດ້ຮັບການປະຕິບັດໃນ dc arbitrary ຂອງແຕ່ລະປ່າໄມ້, ບັນຫາທີ່ກ່ຽວຂ້ອງກັບບັນຊີການບໍລິຫານສໍາລັບແຕ່ລະຕົ້ນໄມ້.

ສະຫຼຸບໂດຍທົ່ວໄປ: ມັນເປັນເລື່ອງແປກຫຼາຍທີ່ບໍ່ມີສິ່ງອໍານວຍຄວາມສະດວກທີ່ມີຫນ້າທີ່ທີ່ຄ້າຍຄືກັນຢູ່ໃນຕະຫຼາດເທື່ອ. ມັນເບິ່ງຄືວ່າເປັນໄປໄດ້ທີ່ຈະປະຕິບັດຫນ້າທີ່ຄ້າຍຄືກັນໂດຍອີງໃສ່ Sharepoint portal.
ມັນຍັງບໍ່ສາມາດເຂົ້າໃຈໄດ້ວ່າມັນບໍ່ເປັນໄປໄດ້ທີ່ຈະໃຊ້ PoSH utilities ສໍາລັບການກໍານົດສິດຂອງໂຟນເດີໃນອຸປະກອນ sinology.

ຖ້າຕ້ອງການ, ຂ້ອຍພ້ອມທີ່ຈະແບ່ງປັນສະຄິບໂດຍການສ້າງໂຄງການບາງຢ່າງໃນ github ຖ້າໃຜສົນໃຈ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com