ID Academia

טבלאות ודפי עזר: AD + Windows Server למנהלי מערכת

1. דומיין ו-DNS

בסיום הפרק אני יודע: להבדיל בין דומיין לקבוצת עבודה ולהסביר DNS.

  • Workgroup מול Domain
  • מה זה Active Directory?
  • Domains, Trees ו־Forests
  • DNS — הלב של Active Directory

2. מעבדה וחשבונות

בסיום הפרק אני יודע: להקים דומיין לימודי, משתמש וקבוצה.

  • הקמת Domain Controller ראשון
  • תרגול: ניהול משתמשים וקבוצות
  • OU, קבוצות ומודל AGDLP

3. הרשאות ו-GPO

בסיום הפרק אני יודע: לבדוק גישה ותחולת מדיניות.

  • הרשאות NTFS מול Share
  • Group Policy ו־Audit
  • מדיניות סיסמאות ו־Fine-Grained

4. אבחון התחברות

בסיום הפרק אני יודע: לבדוק DNS, Kerberos ולוגים.

  • Kerberos — מערכת כרטיסים
  • אבחון Windows ו־AD משורת הפקודה
  • כלים סטנדרטיים למנהל AD

5. הגנה ושחזור

בסיום הפרק אני יודע: לבחור האצלה בטוחה ולתכנן שחזור.

  • מהי Delegation
  • Best Practices להגנה על AD
  • גיבוי ושחזור של Active Directory

DNS והצטרפות לדומיין

רק בסביבת לימוד מבודדת ומורשית. זהו תרחיש, לא סימולטור פעיל.

SRV מצביע ל-DC, הלקוח בדומיין והתחברות דומיין עובדת אחרי אתחול.

קוד
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.lab.example.test
(Get-CimInstance Win32_ComputerSystem).PartOfDomain
פלט התוכנית
NameTarget: dc.lab.example.test
Port: 389
True

טעויות נפוצות

  • DNS ציבורי לא מכיר דומיין פנימי. Home אינו מצטרף ל-AD. בדקו זמן; אל תבטלו הגנות ללא אבחון.

בסיום הפרק אני יודע

  • לבדוק SRV וחברות בדומיין.

משתמש וקבוצת מחלקה

רק בסביבת לימוד מבודדת ומורשית. זהו תרחיש, לא סימולטור פעיל.

lab-user חבר ב-GG-Lab-Readers; הרשאות מוקצות לקבוצה, OU מארגנת אובייקטים ותחולת GPO.

קוד
Get-ADGroupMember GG-Lab-Readers | Select-Object Name, objectClass
פלט התוכנית
Name      objectClass
lab-user  user

טעויות נפוצות

  • OU אינו security group. שינוי חברות לא בהכרח מעדכן token שכבר פתוח.

בסיום הפרק אני יודע

  • להבדיל OU מקבוצה ולבדוק חברות.

GPO רק ל-OU בדיקה

רק בסביבת לימוד מבודדת ומורשית. זהו תרחיש, לא סימולטור פעיל.

ב-Applied Group Policy Objects מופיע Lab-LockScreen; אחרי חוסר פעילות חלה נעילה.

קוד
gpupdate /force
gpresult /r /scope computer
פלט התוכנית
Computer Policy update has completed successfully.
Applied Group Policy Objects
    Lab-LockScreen

טעויות נפוצות

  • למדיניות User ו-Computer תחולה שונה. בדקו OU מחשב, security filtering, GPO שנדחה וקדימות; אל תקשרו ניסוי לשורש הדומיין.

בסיום הפרק אני יודע

  • לבדוק תחולת GPO ותוצאת החלה.

קריאה בתיקייה משותפת

רק בסביבת לימוד מבודדת ומורשית. זהו תרחיש, לא סימולטור פעיל.

חבר קבוצה קורא אך לא כותב. משתמש ללא הרשאה נדחה; גם Share וגם NTFS מגבילים.

קוד
Get-SmbShareAccess -Name LabShare
icacls C:\LabShare
פלט התוכנית
GG-Lab-Readers  Allow  Read
LABGG-Lab-Readers:(RX)
# Other administrative ACL entries omitted

טעויות נפוצות

  • אל תבדקו רק תיקייה מקומית: Share חל דרך SMB. משתמשי בדיקה צריכים SMB sessions נפרדים.

בסיום הפרק אני יודע

  • לבדוק Share ו-NTFS עם שני משתמשים.

למה ההתחברות נכשלת

רק בסביבת לימוד מבודדת ומורשית. זהו תרחיש, לא סימולטור פעיל.

לסיסמה שגויה ייתכן substatus ‏0xC000006A. בהקלדה תקינה כניסה עובדת; לוגים תלויים בסוג כניסה ובאודיט.

קוד
w32tm /query /status
Get-WinEvent -FilterHashtable @{LogName="Security"; Id=4625} -MaxEvents 1 | Format-List TimeCreated,Message
פלט התוכנית
Event ID: 4625
Status: 0xC000006D
SubStatus: 0xC000006A
# Illustrative bad-password event; actual fields can differ

טעויות נפוצות

  • 4625 אינו תמיד סיסמה שגויה; בדקו LogonType ו-substatus. לוג ריק ללא audit אינו הוכחה שאין שגיאה.

בסיום הפרק אני יודע

  • לקשר זמן, סוג כניסה וקוד שגיאה.