Home Articles & Tutorials Authentic

Home Articles & Tutorials Authentication, Access Control & Encryption

User Accounts, Group Accounts, and Access Control Lists

by Derek Melber [Published on 15 Aug. 2012 / Last Updated on 15 Aug. 2012]
9

This article looks at the importance of properly confinguring access control lists (ACLs).
Introduction

A wise man once taught me how to properly configure access control lists (ACLs), which I still preach today. However, I find that after so many years of network administration being so straightforward, that many don’t follow this easy to follow and best security practice. If users and groups are not handled correctly when granting access to resources, via ACLs, disaster is just waiting to occur on your networks. Think about it this way, if you just casually give out keys to your house without keeping track of them, how will you know in a year or two who has a key to your house? The answer is you won’t. The same sort of issue occurs on your networks. If you grant the wrong permissions to the wrong objects, you are going to end up not knowing who has access to what in a year or two. The damage that can come of this to your corporate data is nearly as bad as not knowing who has a key to your house.

Advertisement
First Things First

We need to understand what I mean by Access Control List (ACL). An ACL is a list of “who” has “what” access to a resource. We also need to understand what a definition of resource in a Windows environment is. Let’s assume that we have an Active Directory domain, which will expand our definition of resource. First, a resource is anything with an ACL. I know, you are to never define one term with another that is unknown. However, in this case there is not much other option. Here is a full list of objects in a Windows Active Directory enterprise with an ACL:

Files
Folders
Printers
Registry Keys
Services
Active Directory objects

Now, what is an ACL? An ACL is a list of users, groups, and computers with some level of access permission to the object. In order to access the ACL for an object, you need to first get to the object properties. This is typically a right-click away. Just right-click on the object, then select Properties from the menu. For example, an ACL for the System32 folder on my laptop is shown in Figure 1.


Figure 1: ACL for the System32 folder.

Note:
There are also permissions associated with Shared Folders, which are on the Sharing tab, which is next to the Security tab of the Properties dialog box for an object. These permissions related to shared folders are not in any way similar to the permissions on the Security tab. They might seem similar, but they are dramatically different.
Next, Scope of Users

There are two different types of user accounts in an Active Directory domain. There are local user accounts, which reside in the local security accounts manager (SAM) of every desktop and server (non-domain controller) in the entire domain. These users can only be located on ACLs on resources that are on the computer where the user is stored.

There are also domain user accounts, which are located on the domain controllers for the domain. The domain controllers house the Active Directory database, which is where these users are defined and stored. These user accounts can be placed on any ACL on any resource on any computer in the entire domain.
Next, Scope of Groups

There are two different types of group accounts in an Active Directory domain. There are local group accounts, which reside in the local security accounts manager (SAM) of every desktop and server (non-domain controller) in the entire domain. These groups can only be located on ACLs on resources that are on the computer where the group is stored.

There are also domain group accounts, which are located on the domain controllers for the domain. The domain controllers house the Active Directory database, which is where these groups are defined and stored. These group accounts can be placed on any ACL on any resource on any computer in the entire domain.

There are six different groups that can be created in Active Directory. The groups are defined as follows:

Universal Distribution Group –
Universal Security Group –
Global Distribution Group –
Global Security Group –
Domain Local Distribution Group –
Domain Local Security Group –

Any and all of the security groups that can be defined in Active Directory might show up on an ACL for a resource in the domain.
Correct User, Group, and ACL Usage

Now, we go back to my mentor who called the use of user accounts, group accounts, and ACLs a “mantra”. He was pretty clear about his use of the users, groups, and ACLs, as his main goals were ease of administration and security.

For a single domain, the ideal way to organize users, groups and ACLs is as follows:

Domain user accounts should be placed in global security groups
Global security groups should be placed into domain local groups (or local groups)
Domain local groups (or local groups) should be located on the ACL

Global security groups should be defined and used to organize users based on who they are. For example, you might have groups named Managers, Engineers, Accounts Payable, etc. Domain local groups (or local groups) should be defined and used to organize the global groups based on access to the resource. These groups might be named Full Control to DB, Read access to Intranet, Modify of Documents, etc.

The reason for the mantra is that I can determine who has access to any resource by looking at the resource, then enumerating the groups that are listed on the ACL and stored in AD.

Hasil (Bahasa Indonesia) 1:

Rumah artikel & Tutorial otentikasi, kontrol akses enkripsi Pengguna account, account Group, dan daftar kontrol aksesoleh Derek Melber [diterbitkan pada 15 Agustus 2012 / Terakhir Diperbarui pada 15 Agustus 2012]9Artikel ini melihat pentingnya benar confinguring daftar kontrol akses (ACL).PengenalanSeorang bijak pernah mengajari saya cara benar mengkonfigurasi daftar kontrol akses (ACL), yang masih memberitakan hari. Namun, saya menemukan bahwa setelah bertahun-tahun administrasi jaringan menjadi begitu sederhana, bahwa banyak tidak mengikuti ini mudah untuk mengikuti dan praktek keamanan terbaik. Jika pengguna dan kelompok yang tidak ditangani dengan benar saat pemberian akses ke sumber daya, melalui ACLs, bencana hanya menunggu untuk terjadi pada jaringan Anda. Berpikir tentang hal itu dengan cara ini, jika Anda hanya santai memberikan kunci rumah Anda tanpa menjaga melacak yang mereka, bagaimana Anda tahu dalam satu tahun atau dua yang memiliki kunci untuk rumah Anda? Jawabannya adalah Anda tidak akan. Jenis masalah yang sama terjadi pada jaringan Anda. Jika Anda memberikan izin yang salah untuk benda-benda yang salah, Anda akan berakhir tidak tahu siapa yang memiliki akses ke apa dalam satu atau dua tahun. Kerusakan yang dapat datang ini untuk data perusahaan Anda hampir sama buruknya tidak tahu siapa yang memiliki kunci untuk rumah Anda.IklanHal pertama yang pertamaKita perlu memahami apa yang saya maksud dengan daftar kontrol akses (ACL). Sebuah ACL adalah daftar "siapa" memiliki "apa" akses ke sumber daya. Kita juga perlu memahami apa definisi sumber daya dalam Windows lingkungan. Mari kita asumsikan bahwa kita memiliki domain Active Directory, yang akan memperluas definisi kita tentang sumber daya. Pertama, sumber daya adalah apa-apa dengan ACL. Aku tahu, Anda akan pernah mendefinisikan istilah satu dengan yang lain yang tidak diketahui. Namun, dalam kasus ini tidak ada banyak pilihan lain. Berikut adalah daftar lengkap dari objek di sebuah perusahaan Windows Active Directory dengan ACL: File Folder Printer Kunci registri Layanan Objek Active DirectorySekarang, apa adalah sebuah ACL? Sebuah ACL adalah daftar pengguna, grup, dan komputer dengan beberapa tingkat izin akses ke objek. Untuk mengakses ACL untuk suatu objek, Anda perlu untuk pertama kali mendapatkan untuk obyek properti. Biasanya ini adalah klik kanan pergi. Hanya klik kanan pada objek, kemudian pilih Properties dari menu. Sebagai contoh, ACL untuk folder System32 pada laptop saya ditunjukkan dalam gambar 1.Gambar 1: ACL untuk System32 folder.Catatan:Ada juga izin yang terkait dengan Shared folder, yang pada tab berbagi, yang terletak di sebelah tab Keamanan kotak dialog properti untuk objek. Izin ini berkaitan dengan folder berbagi yang tidak dengan cara apapun yang mirip dengan hak akses pada tab Keamanan. Mereka mungkin tampak mirip, tapi mereka sangat berbeda.Berikutnya, lingkup penggunaAda dua jenis account pengguna di domain direktori aktif. Ada account pengguna lokal, yang tinggal di Pengelola Akun keamanan lokal (SAM) setiap desktop dan server (bebas-domain controller) di seluruh domain. Pengguna dapat hanya terletak di ACLs pada sumber daya yang berada di depan komputer di mana pengguna disimpan.Ada juga account pengguna domain, yang terletak di pengontrol domain untuk domain. Pengontrol domain rumah database Active Directory, yang mana pengguna tersebut didefinisikan dan disimpan. Akun pengguna ini dapat ditempatkan pada setiap ACL pada sumber daya pada komputer manapun di seluruh domain.Berikutnya, lingkup kelompokAda dua jenis kelompok account di domain direktori aktif. Ada kelompok lokal account, yang tinggal di Pengelola Akun keamanan lokal (SAM) setiap desktop dan server (bebas-domain controller) di seluruh domain. Kelompok-kelompok ini dapat hanya terletak di ACLs pada sumber daya yang berada di depan komputer yang mana grup disimpan.Ada juga account domain group, yang terletak di pengontrol domain untuk domain. Pengontrol domain rumah database Active Directory, yang mana kelompok-kelompok ini didefinisikan dan disimpan. Akun grup ini dapat ditempatkan pada setiap ACL pada sumber daya pada komputer manapun di seluruh domain.Ada enam kelompok yang berbeda yang dapat dibuat di Active Directory. Kelompok didefinisikan sebagai berikut: Grup distribusi Universal- Grup aman universal- Grup distribusi global- Grup keamanan global- Grup distribusi domain lokal- Grup keamanan domain lokal- Setiap dan semua kelompok-kelompok keamanan yang dapat didefinisikan dalam Active Directory mungkin muncul di sebuah ACL untuk sumber daya domain.Benar pengguna, grup, dan penggunaan ACLSekarang, kita kembali ke mentor saya yang disebut penggunaan account pengguna, account group dan ACLs "mantra". Dia adalah cukup jelas tentang penggunaan pengguna, grup, dan ACLs, seperti tujuan utama nya adalah kemudahan administrasi dan keamanan.Untuk satu domain, cara ideal untuk mengatur pengguna, grup, dan ACLs adalah sebagai berikut: Account pengguna domain harus ditempatkan dalam kelompok-kelompok keamanan global Kelompok-kelompok keamanan global harus ditempatkan dalam kelompok-kelompok lokal domain (atau kelompok-kelompok lokal) Kelompok-kelompok lokal domain (atau kelompok-kelompok lokal) harus terdapat di ACLKelompok-kelompok keamanan global harus didefinisikan dan digunakan untuk mengatur pengguna berdasarkan mereka itu. Misalnya, Anda mungkin memiliki kelompok-kelompok yang bernama manajer, insinyur, pengeluaran kas, dll. Kelompok-kelompok lokal domain (atau kelompok-kelompok lokal) harus didefinisikan dan digunakan untuk mengatur kelompok global berdasarkan akses ke sumber daya. Kelompok-kelompok ini dapat dinamai kontrol penuh untuk DB, akses ke Intranet, memodifikasi dokumen, dll.Alasan untuk mantra adalah bahwa saya dapat menentukan siapa yang memiliki akses ke sumber daya dengan melihat sumber daya, kemudian enumerasi kelompok yang tercantum pada ACL dan disimpan dalam iklan.

Hasil (Bahasa Indonesia) 2:

Rumah Artikel & Tutorial Authentication, Access Control & Encryption Pengguna Account, Account Group, dan Access Control Lists oleh Derek Melber [Diterbitkan pada 15 Agustus 2012 / Terakhir Diperbarui pada 15 Agustus 2012] 9 Artikel ini melihat pentingnya benar confinguring akses daftar kontrol (ACL). Pendahuluan Seorang bijak pernah mengajarkan saya bagaimana benar mengkonfigurasi daftar kontrol akses (ACL), yang saya masih memberitakan hari ini. Namun, saya menemukan bahwa setelah bertahun-tahun dari administrasi jaringan yang begitu mudah, banyak yang tidak mengikuti ini mudah diikuti dan praktek keamanan terbaik. Jika pengguna dan kelompok yang tidak ditangani dengan benar ketika memberikan akses ke sumber daya, melalui ACL, bencana hanya menunggu untuk terjadi pada jaringan Anda. Pikirkan tentang cara ini, jika Anda hanya santai memberikan kunci rumah Anda tanpa melacak mereka, bagaimana Anda akan tahu dalam satu atau dua tahun yang memiliki kunci rumah Anda? Jawabannya adalah Anda tidak akan. Jenis yang sama dari masalah terjadi pada jaringan Anda. Jika Anda memberikan izin yang salah ke objek yang salah, Anda akan berakhir tidak mengetahui siapa yang memiliki akses ke apa yang di satu atau dua tahun. Kerusakan yang bisa datang dari ini untuk data perusahaan Anda hampir seburuk tidak tahu yang memiliki kunci rumah Anda. Advertisement First Things First Kita perlu memahami apa yang saya maksud dengan Access Control List (ACL). ACL adalah daftar "yang" memiliki "apa" akses ke sumber daya. Kita juga perlu memahami apa definisi dari sumber daya di lingkungan Windows. Mari kita asumsikan bahwa kita memiliki domain Active Directory, yang akan memperluas definisi kita tentang sumber daya. Pertama, sumber daya sesuatu dengan ACL. Aku tahu, Anda tidak pernah mendefinisikan satu istilah dengan yang lain yang tidak diketahui. Namun, dalam kasus ini tidak ada banyak pilihan lain. Berikut adalah daftar lengkap objek dalam Active Directory perusahaan dengan Windows ACL: File Folder Printer Registry Keys Jasa objek Active Directory Sekarang, apa yang merupakan ACL? ACL adalah daftar pengguna, kelompok, dan komputer dengan beberapa tingkat izin akses ke objek. Untuk mengakses ACL untuk sebuah objek, Anda harus terlebih dahulu sampai ke properti obyek. Ini biasanya klik kanan-jauh. Cukup klik-kanan pada objek, kemudian pilih Properties dari menu. Misalnya, ACL untuk folder System32 di laptop saya ditunjukkan pada Gambar 1. Gambar 1: ACL untuk System32 folder. Catatan: Ada juga izin terkait dengan Shared Folder, yang pada tab Sharing, yang terletak di sebelah tab keamanan dari kotak dialog Properties untuk suatu benda. Izin ini terkait dengan folder bersama tidak dengan cara apapun yang mirip dengan hak akses pada tab Security. Mereka mungkin tampak sama, tetapi mereka berbeda secara dramatis. Berikutnya, Lingkup Pengguna Ada dua jenis yang berbeda dari akun pengguna di domain Active Directory. Ada account pengguna lokal, yang berada di manajer account keamanan lokal (SAM) dari setiap desktop dan server (non-domain controller) di seluruh domain. Pengguna tersebut hanya dapat terletak di ACL pada sumber daya yang ada di komputer di mana pengguna disimpan. Ada juga account pengguna domain, yang terletak pada pengontrol domain untuk domain. Pengontrol domain rumah database Active Directory, yang mana pengguna ini didefinisikan dan disimpan. Account pengguna ini dapat ditempatkan pada ACL apapun pada sumber daya apapun di komputer manapun di seluruh domain. Berikutnya, Lingkup Grup Ada dua jenis rekening kelompok dalam domain Active Directory. Ada rekening kelompok lokal, yang berada di manajer account keamanan lokal (SAM) dari setiap desktop dan server (non-domain controller) di seluruh domain. Kelompok-kelompok ini hanya dapat terletak di ACL pada sumber daya yang ada di komputer di mana kelompok tersebut disimpan. Ada juga rekening kelompok domain, yang terletak pada pengontrol domain untuk domain. Pengontrol domain rumah database Active Directory, yang mana kelompok-kelompok ini didefinisikan dan disimpan. Rekening kelompok ini dapat ditempatkan pada ACL apapun pada sumber daya apapun di komputer manapun di seluruh domain. Ada enam kelompok yang berbeda yang dapat dibuat dalam Active Directory. Kelompok didefinisikan sebagai berikut: Universal Grup Distribusi - Universal Security Group - Global Group Distribution - Security Group global - Domain Local Group Distribusi - Domain Lokal Security Group - Setiap dan semua kelompok keamanan yang dapat didefinisikan dalam Active Directory mungkin muncul pada ACL untuk sumber daya di domain. Pengguna Benar, Group, dan ACL Penggunaan Sekarang, kita kembali ke mentor saya yang disebut penggunaan account pengguna, rekening kelompok, dan ACLS sebuah "mantra". Dia cukup jelas tentang penggunaan nya dari pengguna, kelompok, dan ACL, sebagai tujuan utamanya adalah kemudahan administrasi dan keamanan. Untuk satu domain, cara ideal untuk mengatur pengguna, kelompok dan ACL adalah sebagai berikut: account pengguna Domain harus ditempatkan dalam kelompok-kelompok keamanan global kelompok keamanan global harus ditempatkan ke dalam kelompok domain lokal (atau kelompok-kelompok lokal) kelompok-kelompok lokal Domain (atau kelompok-kelompok lokal) harus terletak di ACL kelompok keamanan global harus didefinisikan dan digunakan untuk mengatur pengguna berdasarkan siapa mereka adalah. Sebagai contoh, Anda mungkin memiliki kelompok bernama Manajer, Insinyur, Hutang Usaha, kelompok-kelompok lokal dll Domain (atau kelompok-kelompok lokal) harus didefinisikan dan digunakan untuk mengatur kelompok global berdasarkan akses ke sumber daya. Kelompok-kelompok ini mungkin diberi nama kontrol penuh untuk DB, Baca akses ke Intranet, Modify Dokumen, dll Alasan untuk mantra adalah bahwa saya bisa menentukan siapa yang memiliki akses ke sumber daya apapun dengan melihat sumber daya, maka enumerasi kelompok yang terdaftar pada ACL dan disimpan di AD.