Active Directory
Elke systeembeheerder heeft er mee te maken, Active Directory (AD) veelal een afspiegeling van de organisatie. Alle medewerkers staan hier netjes in vermeld met hun toegangsmachtigingen en toegewezen privileges.
Aanverwante systemen putten uit deze bron van informatie voor diverse toepassingen of het nu simpelweg is om te controleren of een medewerker toegang heeft tot een applicatie of het genereren van de juiste informatie voor de handtekening onder de zakelijke e-mail.
De werking van Active Directory wordt veelal als gewoon verondersteld, met het risico dat Active Directory niet de zorg krijgt die het wel degelijk verdient. Vooral in kleinere netwerkomgevingen is het een ondergeschoven kindje, mocht het fout gaan met de domain controller dan installeren we deze “wel even” opnieuw is een vaak gehoorde gedachte. Echter wordt er geen rekening gehouden met het feit dat elke medewerker om 9:00 uur de volgende ochtend niet kan inloggen. Hoe ga je je collega’s bereiken om te informeren dat hun wachtwoord is gewijzigd. E-mail kan namelijk niet gelezen worden in de tussentijd op mobiele devices bijvoorbeeld. Back-ups worden niet meer gemaakt of teruggezet. Eventuele koppelingen met third-party software of de webshop zullen niet meer functioneren. Al met al een zeer cruciale applicatie Active Directory, die zeker niet onderschat mag worden. Hoe feilloos de domain controller(s) dan ook functioneren verlies deze nooit uit het oog.
Handreikingen bij het gebruik van Active-Directory;
- Deel nooit te veel privileges uit, hanteer altijd de “Best practise of leasts privilege”
Werk nooit onder een account met administrator rechtten voor dagelijks gebruik. Een simpele vergissing kan ernstige nadelige gevolgen hebben. Maar ook malware heeft vrij spel zodra je even de aandacht er niet bij had. Maar bovenal welwillende collega’s die net iets te veel kunnen op het netwerk zijn misschien nog wel het grootste kwaad.
- Beleid opstellen en handhaven.
Vaak zien we dat het aantal actieve accounts binnen de Active Directory hoger ligt dan het aantal daadwerkelijk medewerkers. Dit is zeer groot risico, medewerkers die de organisatie hebben verlaten kunnen op deze wijze nog steeds bij resources komen. Stem daarom het beheer van Active Directory account af met bijvoorbeeld de HR-afdeling en stel bij elk account een einddatum in. Het lijkt overkill maar zo voorkom je als organisatie dat accounts tot in den eeuwigheid actief blijven met alle gevolgen van dien. Daarnaast zullen bedrijven ook audits moeten ondergaan van bijvoorbeeld accountants, het blijven gebruiken van hetzelfde wachtwoord voor bijvoorbeeld service-accounts levert minpunten op.
- Active-Directory Schema.
Het updaten van het Active-Directory Schema is geen
bezigheid die je als beheerder even doorvoert. Deze updates zijn namelijk onomkeerbaar
en vereisen voorbereiding. Volledig overzicht over de gehele infrastructuur en
alle afhankelijkheden zijn noodzakelijk. Plan en bereid deze updates dus
grondig voor. Hoe uitgebreid dit ook mag zijn, het is namelijk geen reden om
updates op het Schema helemaal niet uit te voeren.
- Back-up.
Wees voorbereid op het ergste, veelal worden de back-ups gemaakt van databases file- en webservers etc. Maar maak je ook back-ups van je domain controllers? Want hoe ga je een restore van de fileserver uitvoeren als je niet de beschikking hebt over Active-Directory accounts? Zorg ervoor dat je ook voor Active-Directory een goed back-up plan hebt. Daarnaast dien je er rekening mee te houden dat een herstel operatie van je Active-Directory database minimaal twee maal zoveel schijfruimte in beslag neemt dan de huidige database. Schaal daarom de domaincontrollers niet te krap in!
- Wees consistent
Of het nu gaat om de naamgeving van devices binnen het netwerk of accounts en groepen. Zorg ervoor dat je altijd consistent werkt. Idealiter leg je deze werkwijze vast in een document. Zodat je altijd kan terugvallen op het origineel uitgedachte plan. Hiermee voorkom je ellende en uitzoek werk. Stel je eens voor dat in verschillende Group Policy objecten het koppelen van gedeelde printers is ondergebracht, of het uitdelen van diverse rechten op mappen. Binnen no-time is Active-Directory een oerwoud van instellingen zonder logica.
Bovenstaande is nog maar hele kleine greep aspecten die in acht genomen moeten worden bij het correct gebruik van Active Directory. Wil je meer weten of het juist gebruiken van Active-Directory binnen je organisatie? Neem dan contact met ons op en we vertellen je er graag meer over!
