117
Рисунок 2.22
На следующем шаге необходимо выбрать режим работы леса, в нашем
случае это Windows Server 2008 R2 – рисунок 2.22.
Рисунок 2.23
После предупреждения мастера установки доменных служб о
невозможности создания делегирования для DNS-сервера, в дополнительных
параметрах указываем, что нам необходима установка роли DNS-сервера и
нажимаем кнопку Далее – рисунок 2.23.
118
Рисунок 2.24
На этапе выбора расположения для баз данных, файлов журнала и папки
SYSVOL так же нажимаем кнопку Далее, не внося каких-либо изменений –
рисунок 2.24.
Рисунок 2.25
На следующем шаге мастера установки доменных служб Active Directory,
нам необходимо установить пароль администратора для режима восстановления
служб каталогов. Данный пароль должен отвечать требованиям политики
119
безопасности и не должен совпадать с паролями, использующимися для других
учетных записей, в том числе и учетных записей администратора – рисунок 2.25.
Рисунок 2.26
На последнем этапе мы просматриваем все заданные параметры и, если
всё верно, нажимаем кнопку далее – рисунок 2.26.
Рисунок 2.27
После завершения работы мастера установки доменных служб Active
Directory, выполняем перезагрузку сервера.
120
Для того, чтобы компьютеры в сети компании смогли полноценно
общаться друг с другом, а пользователи могли обращаться к общим ресурсам и
компьютерам не только по имени но и по IP-адресу, нам необходимо настроить
зону обратного просмотра в установленном DNS-Севере. Для этого в меню пуск
находим раздел Администрирование и запускаем оснастку DNS.
В открывшейся оснастке выбираем наш домен PPP и выбираем раздел
Зоны обратного просмотра. По умолчанию, при развертывании роли DNS-
сервера, создается только зона прямого просмотра, позволяющая компьютерам
обращаться друг к другу по имени – рисунок 2.27.
Рисунок 2.28
Для создания новой зоны обратного просмотра, нажимаем правой кнопкой
мыши на разделе Зоны обратного просмотра и выбираем пункт Создать новую
зону.
В открывшемся мастере создания новой зоны нажимаем Далее.
На этапе выбора Типа зоны, указываем Основная зона и нажимаем Далее –
рисунок 2.28.
121
Рисунок 2.29
На этапе выбора режима репликации зоны, указываем для всех DNS-
серверов, работающих на контроллерах домена в этом домене – рисунок 2.29.
Рисунок 2.30
На следующем шаге выбираем пункт Зона обратного просмотра IPv4 и
нажимаем Далее – рисунок 2.30.
122
Рисунок 2.31
Далее, в поле Идентификатор сети указываем часть IP-адресов,
находящихся в нашей сети. В нашем случае это 192.168.1 – рисунок 2.31.
Рисунок 2.32
На следующем шаге указываем разрешено ли динамическое обновление
записей DNS в создаваемой зоне. В нашем случае необходимо выбрать пункт
Разрешить только безопасные динамические обновления – рисунок 2.32.
123
Рисунок 2.33
На следующем шаге проверяем все выбранные параметры и нажимаем
кнопу Готово.
В результате работы мастера, мы увидим, что в разделе зоны обратного
просмотра появилась новая зона 1.168.192.in-addr.arpa – рисунок 2.33.
Рисунок 2.34
Следующим этапом в реализации СЗИ на базе домена Active Directory
станет создание структуры домена и настройка групп доступа к основным
файловым ресурсам и информационным системам с помощью оснастки Active
Directory – пользователи и компьютеры.
Для примера разберем предоставление прав доступа к информационным
ресурсам сотруднику отдела Бухгалтерии.
124
Согласно дереву структуры Active Directory, создаем в оснастке
управления Active Directory – пользователи и компьютеры структуру,
включающую в себя следующие объекты типа Подразделение (Organisation Unit
– далее OU):
Access_group
o FS
o IS
Departments
o Accounting
В OU Accounting создаём объект типа Группа с именем в формате
DEP_название отдела. В нашем случае создаем группу DEP_Accounting.
Также в OU Accounting создаём объекты типа Пользователь с логином
вида ИО_Фамилия – рисунок 2.34.
Рисунок 2.35
В OU FS, на основании политики информационной безопасности,
рассмотренной ранее и шаблонов NTFS-прав доступа для каталогов файловых
ресурсов, создаём структуру, соответствующую имеющейся структуре ресурсов
на файловом сервере – рисунок 2.35.
125
Рисунок 2.36
В OU IS, на основании политики информационной безопасности,
рассмотренной ранее создаём структуру, соответствующую имеющимся в
компании информационным системам. Именование групп доступа к
информационным системам приводим к шаблону IS_Название информационной
системы - рисунок 2.36.
Рисунок 2.37
Объекты типа Пользователь, принадлежащие сотрудникам отдела
Бухгалтерия мы включаем г ранее созданную группу DEP_Accounting. Саму
группу DEP_Accounting мы включаем в те группы из OU IS и OU FS, к ресурсам
126
которых сотрудники отдела Бухгалтерия должны иметь доступ, согласно набору
прав доступа из политики информационной безопасности, рассмотренной в
разделе 2.5 – рисунок 2.37
Рисунок 2.38
После реализации описанной выше инструкции, процесс управления
правами доступа будет выглядеть как представлено на рисунке 2.38