האצלת סמכות – Delegation
פרקי ההרצאה: האצלת סמכות – Delegation
תמלול ההרצאה: האצלת סמכות – Delegation
הטקסט המלא של הדקות הראשונות בהרצאה «האצלת סמכות – Delegation» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
בסרטון שלפניכם אנחנו נדבר על נושא הדלגיישן, או יותר נכון לומר ה-Delegation of Control, האצלת סמכויות וזכויות לניהול האקטיב דירקטורי.
כברירת מחדל הרעיון הוא שרק האדמיניסטרטור, רק מי שיש לו הרשאות אדמין באקטיב דירקטורי, רשאי לנהל את האקטיב דירקטורי, כלומר רשאי להוסיף אובייקטים, לשנות אובייקטים, למחוק וכן הלאה.
ואכן ראינו את זה עד עכשיו, כאשר ביקשתי מכם ליצור כל מיני אובייקטים, כאשר יצרנו כל מיני אובייקטים ביחד, נכנסנו תמיד עם ה-user name ו-password של האדמיניסטרטור של הדומיין.
אבל יש לנו את האופציה, יש לנו את היכולת להאציל סמכויות, יש לנו את היכולת לתת זכויות מסוימות, לתת את היכולת למשתמשים רגילים לבצע פעולות אדמיניסטרציה באקטיב דירקטורי.
הרעיון בעצם של הסרטון שלפנינו זה האצלת סמכויות זכויות לניהול האקטיב דירקטורי בלבד. כלומר, קורה מצב שבו אני רוצה לתת למשתמש רגיל לבצע פעולות, אני רוצה לתת לו את היכולת לבצע פעולות על אובייקטים באקטיב דירקטורי.
ולא רק זה, אני רוצה לתת לו את היכולת לבצע פעולה מסוימת על אובייקטים מסוימים באקטיב דירקטורי. כלומר, אני רוצה לתת למשל למשתמש A את היכולת להוסיף אובייקטים מסוג יוזרס בלבד תחת OU-B, אוקיי? מאוד חשוב להבין את זה.
יש לנו את היכולת באופן מאוד מדויק לתת את הזכות למשתמש, להאציל סמכות ניהולית למשתמש רגיל באקטיב דירקטורי בתוך OU מסוים, שזה חזק מאוד, על אובייקט מסוים.
עכשיו אתם בטח שואלים את עצמכם מה הסיבות לביצוע פעולה כזאת, הרי אם המשתמש יכול לבצע פעולות באקטיב דירקטורי, למה שפשוט לא נהפוך אותו לאדמיניסטרטור? ולצערי הרב זה מה שאני רואה בלא מעט חברות קטנות ומשרדים שפשוט רוצים לזרז תהליכים ואם צריכים באמת למשתמש מסוים לתת זכות כזאתי אז במקום ללכת וללמוד איך עושים דליגיישן פשוט נותנים לו את
היכולת להיות אדמיניסטרטור שזה בלשון המעטה מטורף הרי אנחנו לא רוצים שהוא יוכל לעשות הכל ברשת אלא רק משהו מסוים כאן נכנסת היכולת של הדלגיישן ואם אתם רוצים לדעת מה הסיבות השונות לבצע את זה אז למשל סיבה אחת יכולה להיות יש לנו רשת מאוד מאוד גדולה עם המון אדמיניסטרטורים ברמות שונות ואני הייתי רוצה לאדמיניסטרטורים ברמות הנמוכות
לתת חלק מהיכולות לא הייתי רוצה לתת להם לעשות הכל וזה קורה ללא מעט ארגונים גדולים סיבה מספר שתיים יכולה להיות יש לי את אנשי ההלבס בארגון שוב פעם בארגונים גדולים הניהול של הרשת שלנו מחולק בצורה כזו שיש לנו את אנשי ה-Heldesk שהם מאפשרים להם יש בדרך כלל את היכולת לסייע למשתמש הקצה עם בעיות כאלה ואחרות בתחנות קצה ולא בשרתים
אבל מה משתמש מתקשר ואומר הסיסמה שלי הוחלפה ואני הסיסמה שלי שהחלפתי אני לא זוכר אותה אני צריך לאפס את הסיסמה מה עכשיו זה פעולה שרק אדמיניסטרטור יכול לבצע באקריב דירקטורים אני רוצה לתת לאיש הלבסק לבצע את הפעולה הזאת.
כאן נכנסה היכולת שלי לתת הצלת סמכות של שינוי סיסמה או אם תרצו ריסט לסיסמה בלבד לאנשי ההלבסק. פה אני יכול לתת לאנשי ההלבסק קצת יותר דברים לעשות ברמת האקטיב דירקטורי, וזה מה שקורה בדרך כלל.
אנחנו נותנים לאנשי ההלבסק לא מעט מרחב תמרון וזה על מנת כדי שכשיהיו תקלות של משתמש קצה, זה לא יצוף ישר אלינו לאנשי הסיסטם עובדים על השרתים אנחנו היינו רוצים לתת להם זכות מסוימת יכולת מסוימת במעטפת כמובן מסוימת לבצע פעולות אדמיניסטרטיות ואדמיניסטרציה באקטיב דירקטורים אז אמרנו רשת
גדולה עם רמות מסוימות של אדמיניסטרטורים אמרנו אנשי הלבסק שאני רוצה לתת להם את היכולת כן לבצע דברים באקטיב דירקטורים מה לגבי משתמש מתקדם לפעמים קורה שיש לנו משתמש מתקדם למשל מנהל מחלקת מכירות בחברה שיש לו לא מעט אנשי מכירות שבאים ומתחלפים והולכים ולא מעט פעמים ננעלת להם הסיסמה ולא מעט פעמים
הוא צריך למחוק משתמש איש מכירות ליצור אחד חדש לעשות קופי בקיצור יש לו המון המון ככה תעבורה אצלו במחלקה והוא רוצה ויכול לסייע לנו בניהול ככה בקטנה אז אני נותן לו את היכולת להוסיף ולמחוק משתנים במחלקה שלו זה קורה לא מעט חזק מאוד.
או תחשבו על סצנריו נוסף חברה חיצונית באה אלינו וצריכה להתקין תוכנה כלשהי שצריכה משהו באקטיב דירקטורי.
לפעמים חברה חיצונית באה להתקין איזושהי מערכת שקשורה לניהול המדפסות. אבל מה לעשות המדפסות מנוהלות מהאקטיב דירקטורי ואם אני רוצה למשוך מידע מהאקטיב דירקטורי או לשנות איזשהו מידע שקשור למדפסות אני צריך להיות בעל יכולת לשנות דברים באקטיב דירקטורי.
חברה חיצונית יכולה להיות חברה שבאה לעשות לנו איזושהי פעילות מול מערכת הסאפ או מול מערכת HR מול האקטיב דירקטורי. שוב פעם, לא הייתי רוצה לתת למישהו מחברה חיצונית את היוזר אדמיניסטרטור לחודשיים שהם באו לבצע את הפרויקט הזה,
ממש לא, וגם את זה אני רואה קורה הרבה. מה שאני כן יכול לעשות, אני יכול להאציל סמכויות, לתת להם את הזכות, את היכולת, לעבוד על חלק מהאקטיב דירקטורי או על האקטיב דירקטורי, חלק מהאובייקטים באקטיב דירקטור אז סיבות רבות שונות ומשונות ואני יכול להגיד לכם חגיגית
אתם תצטרכו לעשות משהו מתישהו בסגנון הזה אצלכם ברשת אז איך זה קורה אוקיי אני אראה לכם איך אני נותן זכויות למשתמש לבצע פעולות מה המשתמש עושה איך המשתמש עושה את זה כאן נכנס הכלי של מייקרוסופט שנקרא אדמין פק אנחנו יכולים בתחנת הקצה של המשתמש שלב ראשון אני מדבר, אני מראה לכם כרגע סרטון
על XP שמחובר לאקטיב דירקטורי 2008 כי זה הסצנריו הפופולרי ביותר נכון להיום סוף 2010. אז למייקרוסופט יש כלי קטן שנקרא admin pack וזה כלי, זו תוכנה קטנה שאני מתקין אותה בתחנת קצה של המשתמש ואז אני יכול ליצור MMC Microsoft Management Console קונסול קטן שהמשתמש יכול בעזרתו לנהל ולבצע את מה שהרשיתי
לו לבצע באקטיב דירקטורי אז אנחנו בשלב ראשון ניתן את הזכויות, נגדיר את האצלת הסמכויות, שלב שני נדאג שבתחנה של המשתמש הרלוונטי יהיה אדמין פק ושם נראה לו כיצד הוא יכול לנהל את האקטיב דילקטור.
יש כאלה מכם שישאלו רגע למה שלא ניתן לו פשוט להיכנס לדומיין קונטרולר? למה שלא ניתן לו לעשות רימוט קונטרול לדומיין קונטרולר?
חבר'ה, ממש ממש לא מומלץ. אני לא הייתי רוצה שאף אחד יעבוד על הדומיין או על השרת שלי בארגון כאשר יש לי את האפשרות לתת לו כלי מדויק שמאפשר לו לנהל או לבצע את הפעולה שלו ברמה מאוד מדויקת רק על מה שאני מרשה לו.
לא רוצה לתת לו את הזכות להיכנס לשרת מרחוק למרות שזה אפשרי ושוב פעם אני רואה את זה לא מעט קורה. אז שלב ראשון הבאנו לו סמכויות נראה איך עושים את זה מאוד פשוט delegation שלב שני אני דואג להתקין לו את הכלי הזה אצלו ב-PC בשלב השלישי פשוט אנחנו נראה לו איך הוא יכול לחבר את זה ביחד, איך הוא יכול לבצע פעולות
באקטיב דירקטורים. מה שיפה אנחנו נראה שאיך שהוא פותח את הכלי הוא יוכל לבצע רק מה שהרשיתי לו לבצע למרות שנראה בכלי שכביכול יש לו את הכל אנחנו נראה ונבדוק שהוא יכול לבצע רק מה שאני מסכים שהוא יוכל לבצע.
דרך אגב אדמין פק כבר לא קיים למערכות כמו ויסטה ווינדוס 2007 עבורם יש לנו את הכלי שנקרא RSAT Remote Server Administrative Tool של מייקרוסופט שגם אותו אפשר להוריד בחינה מהאינטרנט ולהתקין אותו על ויסטה ועל 2007. אנחנו לא
נראה את זה בסרטון שלפנינו אבל דעו לכם שאם יש לכם 2007 או ויסטה אתם לא יכולים להתקין את האדמין בק אתם צריכים להשתמש ב-RSAT שזה על אותו עיקרון בדיוק אבל אפילו יותר הוא מאפשר לכם לעשות קצת יותר דברים אולי אותו דבר אולי קצת יותר דברים מהאדמין בק, אוקיי?
אז בואו ניגש למלאכה, בואו נלך וניתן את היכולת למשתמש קצה לבצע פעולות מסוימות באקטיב דירקטורי. אז בשלב הראשון, כמו שאתם רואים, בשלב הראשון אני נכנס לדומיין קונטרולר שלנו, אני נכנס לדומיין, תחת האקטיב דירקטורי יוזרס אנד קמפיוטרס, שוב
פעם אני מדגיש שאנחנו בשלב הראשון מגדירים ומאפשרים יוצרים את הדלגציה Active Directory User on Computers בשלב הראשון אנחנו פשוט נפעיל את הדלגיישן קונטרול וניצור וניתן שם למשתמש מסוים את היכולת לבצע פעולות מסוימות אז כמו שאתם יכולים לראות יש לנו כאן את המחלקות השונות שלנו
זוכרים חיפה עם ה-HR ותחת HR ויש לנו את תל אביב ותחת תל אביב יש לנו את החבר'ה מ-IT ואת המנאג'רס ומחלקת סיילס וכן הלאה וכן הלאה ומנאג'רס וכו' וכו' וכו' והנה לדוגמה יש לנו את מחלקת סיילס אתם יכולים לראות והייתי רוצה שבמחלקת סיילס המנהל של מחלקת סיילס
יוכל לבצע פעונות כאלה ואחרות באקטיב דירקטורי אבל רק עבור מחלקת סיילס בואו נראה מה הרעיון שימו לב יש לנו פה את מחלקת סיילס אתם יכולים לראות פה את מחלקת סיילס אני הייתי רוצה שעל ה-OU הזה על המחלקה מחלקת סיילס יוזר ספציפי בואו נראה את היוזרים שלנו
פה אתם זוכרים את היוזרים שלנו פה כל החברים פה הייתי רוצה למשל שרמי רינו או דינה דנינו, שאחד מהם הוא כביכול המנהל של המחלקה הזאתי, הייתי רוצה שהוא יוכל לבצע פעולות כגון הוספת משתמשים חדשים ומחיקת משתמשים חדשים.
זוכרים? דיברנו על זה. סנאריו שבו יש לי משתמש, מתוחכם שהייתי רוצה שיסייע לי והוא עצמו גם מבקש, הייתי רוצה להוריד מעלי את ה-overhead של ניהול היומיומי של החבר'ה מסיילס.
איך אני עושה את זה? על מחלקת סיילס right-click delegate, שימו לב Welcome to the delegation of Control Wizard. This wizard helps you delegate control of Active Directory Objects.
You can grant users permission to manage users, groups, computers, organizational units and other objects stored here.
בעצם אני יכול בעזרת הכלי הזה לתת איזה זכות, להציל איזה זכות שאני כמעט חושב עליה ברמת ה-Active Directory. ושוב פעם שימו לב, אני, לא משנה איזה זכות כרגע אני אתן לבן אדם הזה או לגברת הזאתי, זה יהיה רק על ה-OU הזה פנימה.
אוקיי, חשוב לזכור את זה, וגם לבדוק את זה. אז בואו נוסיף את המשתמש הרלוונטי. בואו נחליט שאנחנו מדברים, בואו נראה את החבר'ה שלנו במחלקה הזאתי הרלוונטית, ונבחר את המשתמש.
יכולים לראות, יש לנו את אלונה, ויש לנו את פאט. בואו נבחר לראות רק משתמשים, סתם שיהיה לנו יותר נוח פשוט. עכשיו, הנה המשתמשים השונים.
יש לנו את דינה דנינו, בואו נחליט שדינה דנינו היא הגברת שיכולה מאוד לעזור לנו, היא הגברת המתוחכמת, היוזר המתוחכם, אנחנו קוראים להם. דינה דנינו, מגניב, בואו נמחוק את רינו, אנחנו לא רוצים את רינו, למרות שהוא בן אדם נחמד מאוד, כרגע לא רוצים אותו, צ'ק ניים, דינה דנינו,
אותה אני בוחר, נקסט. עכשיו יש לפניי רשימה של דברים שאני יכול לתת לגברת דינה לעשות תחת המחלקת סייז. אז בואו, קריאיט, דליט, אנד, מנאג' יוזרס אקאונד, מה דעתכם על זה? מתאים לנו? כן.
מה דעתכם על ריסט יוזרס פספורט, כן, גם את זה הייתי רוצה שהיא תעשה. מה לגבי read all user information? לא אכפת לי, היא המנהלת של אותם משתמשים, אני גם אתן לה את היכולת הזאתי.
מה לגבי קריאט, דליט או מנאג' גרופס, האם אני רוצה את זה או שאני לא רוצה? שאלה טובה. שוב פעם, בואו נחליט שכרגע אני הייתי רוצה רק שהיא תוכל לנהל את היוזרים, לא הייתי רוצה לתת לה מעבר לזה.
אז כאן אני אעצור. דרך אגב, שימו לב שאנחנו רואים פה קבוצות של יכולות, כלומר לא יכולת אחת ספציפית, כלומר פה למשל סימנתי v1 אבל זה גם create, גם delete, גם manage.
אם אתם רוצים להיות יותר מדויקים ולאפשר רק delete או לאפשר רק reset password וכן הלאה, אנחנו נראה את זה עוד רגע, נוכל לבקש כאן create custom task delegation ואז אתם נכנסים פה לרשימה ארוכה מאוד של באמת אך ורק מחיקה ואך ורק יצירת.
ואך ורק reset וכן הלאה וכן הלאה וכן הלאה אוקיי אכן שוב פעם בוחרים פה וכשאתם נכנסים לפה וממשיכים קדימה אתם תקבלו מה שנקרא את היכולת לעשות full control או חלק וכן הלאה וכן הלאה אז בשלב הראשון בואו נדבר על מערכת שאני יודע מה אני רוצה אני כרגע רוצה create reset read