הסבר על דומיין היברידי
Hybrid AD Domain

בלי כתוביותעם כתוביות

מילון מושגים:

Kerberos - פרוטוקול אימות המבוסס על כרטיסים (tickets), המשמש ברשתות Active Directory לאימות מאובטח של משתמשים ושירותים.

VPN - רשת פרטית וירטואלית שיוצרת חיבור מוצפן דרך האינטרנט, כאילו המכשיר מחובר ישירות לרשת מרוחקת.

טוקן - פיסת מידע שמשמשת לאימות או להרשאה, שהמערכת מנפיקה ללקוח ומוצגת בבקשות הבאות במקום סיסמה.

SSO - כניסה יחידה: מנגנון שמאפשר למשתמש להתחבר פעם אחת ולגשת לכמה מערכות בלי להזדהות מחדש בכל אחת.

Azure - פלטפורמת הענן של מיקרוסופט, המספקת שרתים, אחסון, מסדי נתונים ושירותים רבים לפי שימוש.

HTTP - פרוטוקול להעברת דפי אינטרנט ונתונים בין דפדפן לשרת. הגרסה המאובטחת שלו היא HTTPS.

GPO - אובייקט מדיניות קבוצתית ב-Active Directory, שמכיל הגדרות ומדיניות המוחלות על משתמשים ומחשבים.

Intune - שירות ענן של מיקרוסופט לניהול מכשירים ניידים ומחשבים בארגון ולאכיפת מדיניות עליהם.

הסבר על דומיין היברידי Hybrid AD Domain

מחשב נייד שיוצא מהארגון לא תמיד יכול להשיג כרטיס Kerberos מה-DC המקומי, כי ל-VPN צריך קו טוב ושלל פעולות. ההרצאה מציגה את הרעיון של סביבה היברידית, שבה גם הענן מנפיק את הטוקן.

הרעיון

1. הבעיה: SSO לאפליקציות ענן עבד בזכות טוקן שהנפיק ה-DC, אבל זה תלוי בזמינות ה-DC. מחוץ לארגון, למשל בחו"ל עם קו חלש, צריך VPN, והוא מטריח את המשתמש, דורש SMS, מתנתק ודורש תחזוקה וסיכוני אבטחה.

2. הפתרון: Azure הוא כמו Active Directory בענן, ולכן הוא יכול להנפיק את הטוקן ישירות. זה חוסך הקמה ותחזוקה של VPN. הטכנולוגיה שלו חדשה יותר ומבוססת פרוטוקולי HTTP, אבל הרעיון זהה.

3. סביבה היברידית: המחשב משויך בו זמנית ל-Domain המקומי ול-Azure AD, מקבל טוקנים משני המקורות, ומנוהל גם ב-GPO וגם ב-Intune.

4. המצב ההתחלתי: הפקודה dsregcmd מראה שהמחשב Domain joined בלבד, וחשבון המחשב אינו קיים בענן. ההצטרפות לענן נעשית בהרצאה הבאה.

התוצאה הרצויה היא Single Sign On לאפליקציות ענן גם כש-DC כבוי.

אחרי ההרצאה אפשר להסביר למה מוסיפים הצטרפות ל-Azure AD גם למחשב שכבר חבר בדומיין מקומי.

השיעור הבא בקורס: הקמת דומיין היברידי Hybrid AD Domain

פרקי ההרצאה: הסבר על דומיין היברידי Hybrid AD Domain

תמלול ההרצאה: הסבר על דומיין היברידי Hybrid AD Domain

הטקסט המלא של הדקות הראשונות בהרצאה «הסבר על דומיין היברידי Hybrid AD Domain» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם. בהרצאות קודמות ראינו ששרת DC שלנו יודע להנפיק טוקנים, כרטיסי גישה לאזור AD לזיהוי שלנו בענן והטוקן הזה איפשר לנו להיכנס לאפליקציות בענן שסמכו על Azure בלי להקיש את הסיסמה של היוזר.
00:22
הזדהינו באמצעות הטוקן הזה. השיטה הזאת עבדה מצוין, אבל היא תלויה בשרת DC שלנו שינפיק את הטוקן הזה. אנחנו פה בבעיה עם שרת ה-DC שלי שאחראי על הנפקת טוקנים הוא לא יהיה זמין.
00:39
למה הוא לא יהיה זמין? כי אני בטיול בחו"ל ויש לי קו אינטרנט לא מספיק איכותי להחזיק את ה-VPN. חוץ מזה בכלל הקמה של VPN מהמחשב הנייד של היוזר זה טירחה.
00:53
זה סיפור רק בשביל לקבל את הטוקן הזה ולכן מייקרוסופט המציאו פתרון הרבה יותר טוב להנפיק את הטוקנים האלו ישירות מ-Azure. הרי Azure זה כמו active directory בענן. אז אם יש לנו שרת DC בענן לא משנה שהטכנולוגיה שלו יותר חדשה וטיפה שונה, בגדול זה אותו רעיון.
01:14
אז בואו נקבל את הטוקן הזה מ-DC בענן. זה חוסך לי הקמה של VPN בתוך הארגון. תחזוקה של VPN. אני חוסך ליוזר את הטירחה להתחבר ל-VPN כי הרבה פעמים זה עם SMS וכל מיני סיבוכים.
01:28
אז בואו נראה איך כל זה מתבצע. קודם כל בואו נבדוק מה המצב כרגע. DS REG CMD. קודם כל אני רואה שאני כרגע Domain joined. אני חלק מ-Domain רגיל קלאסי אבל אני לא חלק מ-Domain בענן.
01:44
חשבון מחשב שלי לא קיים בענן. אנחנו רוצים לשייך אותו לענן של מייקרוסופט לאזור ID כדי שהוא ינפיק לי את הטוקנים וזה