অ্যাক্টিভ ডিরেক্টরিতে টাইম-ভিত্তিক (অস্থায়ী) গ্রুপ সদস্যতা

উইন্ডোজ সার্ভার ২০১৬-এর অ্যাক্টিভ ডিরেক্টরি সংস্করণে একটি আকর্ষণীয় বৈশিষ্ট্য দেওয়া আছে যা একটি ব্যবহারকারীকে একটি AD নিরাপত্তা গ্রুপে অস্থায়ীভাবে যোগ করতে দেয়। এই বৈশিষ্ট্যটিকে অস্থায়ী গ্রুপ সদস্যতা (টাইম-ভিত্তিক) বলা হয়। এটি ব্যবহার করা যেতে পারে যখন আপনাকে AD নিরাপত্তা গ্রুপ সদস্যতার ভিত্তিতে একজন ব্যবহারকারীকে কিছু কর্তৃত্ব অস্থায়ীভাবে দিতে হবে। নির্দিষ্ট সময় শেষ হলে, প্রশাসকের হস্তক্ষেপ ছাড়াই ব্যবহারকারী স্বয়ংক্রিয়ভাবে নিরাপত্তা গ্রুপ থেকে সরিয়ে যাবে।

অস্থায়ী গ্রুপ সদস্যতা সক্ষম করার পূর্বশর্ত

অস্থায়ী গ্রুপ সদস্যতা ব্যবহার করার জন্য, আপনাকে আপনার অ্যাক্টিভ ডিরেক্টরি ফরেস্টে প্রিভিলেজড অ্যাক্সেস ম্যানেজমেন্ট (PAM) ফিচার সক্ষম করতে হবে। AD রিসাইকেল বিনের মতো (যা মুছে ফেলা অবজেক্ট রিকভার করতে দেয়), একবার সক্ষম হলে PAM অক্ষম করা যাবে না।

নিশ্চিত করুন যে আপনার AD ফরেস্ট উইন্ডোজ সার্ভার ২০১৬ ফরেস্ট ফাংশনাল লেভেল (অথবা উচ্চতর) এ চলছে:

(Get-ADForest).ForestMode

PAM ফিচার সক্ষম করা

বর্তমান ফরেস্টে প্রিভিলেজড অ্যাক্সেস ম্যানেজমেন্ট ফিচার সক্ষম আছে কিনা তা পরীক্ষা করতে AD পাওয়ারশেল মডিউল থেকে নিচের কমান্ড ব্যবহার করুন:

Get-ADOptionalFeature -filter "name -eq 'privileged access management feature'"

EnableScopes প্যারামিটারের মান দেখুন। যদি এটি খালি থাকে, তাহলে এই ফরেস্টের জন্য PAM ফিচার সক্ষম নেই।

এটি সক্রিয় করতে Enable-ADOptionalFeature কমান্ড ব্যবহার করুন এবং আপনার ফরেস্টের নাম আর্গুমেন্ট হিসেবে দিন:

Enable-ADOptionalFeature 'Privileged Access Management Feature' -Scope ForestOrConfigurationSet -Target contoso.com

যদি ত্রুটি "Enable-ADOptionalFeature: The SMO role ownership could not be verified..." দেখা যায়, তবে ডোমেন কন্ট্রোলারদের অবস্থা, AD রিপ্লিকেশন এবং FSMO রোল অওনারদের উপলব্ধতা পরীক্ষা করুন। ম্যানুয়ালি AD রিপ্লিকেশন বাধ্য করুন।

ফিরে Get-ADOptionalFeature -filter "name -eq 'privileged access management feature'" | select EnabledScopes চালান এবং নিশ্চিত করুন যে EnableScopes ফিল্ড খালি নয়।

ব্যবহারকারীকে অস্থায়ীভাবে গ্রুপে যোগ করা

PAM সক্ষম হলে, আপনি Add-ADGroupMember সিএমডলেটের MemberTimeToLive আর্গুমেন্ট ব্যবহার করে একজন ব্যবহারকারীকে AD গ্রুপে যোগ করতে পারেন। সময়ांतরাল (TTL) সেট করতে New-TimeSpan সিএমডলেট ব্যবহার করা সুবিধাজনক। উদাহরণস্বরূপ, test1 ব্যবহারকারীকে Domain Admins গ্রুপে ৫ মিনিটের জন্য যোগ করতে:

$ttl = New-TimeSpan -Minutes 5
Add-ADGroupMember -Identity "Domain Admins" -Members test1 -MemberTimeToLive $ttl

দ্রষ্টব্য: বিশেষাধিকারপ্রাপ্ত ডোমেন গ্রুপে (Enterprise Admins, Domain Admins ইত্যাদি) অস্থায়ী অ্যাক্সেস দিতে এই ফিচার ব্যবহার করা পরামর্শ দেওয়া হয় না। সাধারণত এটি রিসোর্স গ্রুপে অ্যাক্সেস দিতে ব্যবহৃত হয়। প্রশাসনিক অনুমতি দিতে অ্যাক্টিভ ডিরেক্টরি ডেলিগেশন বা পাওয়ারশেল Just Enough Administration (JEA) ব্যবহার করুন।

শেষ হওয়ার সময় যাচাই করা

একজন ব্যবহারকারী কতক্ষণ গ্রুপ সদস্য থাকবেন তা দেখতে Get-ADGroup সিএমডলেট ব্যবহার করুন:

Get-ADGroup 'Domain Admins' -Property member –ShowMemberTimeToLive

ফলাফলে আপনি <TTL=187,CN=test1,CN=Users,DC=woshub,DC=loc> এর মতো এন্ট্রি দেখতে পাবেন। TTL মান সেকেন্ডে দেখানো হয়। এর মানে এই ব্যবহারকারী Domain Admins গ্রুপে অস্থায়ীভাবে যোগ করা হয়েছে। ১৮৭ সেকেন্ড পর তিনি স্বয়ংক্রিয়ভাবে গ্রুপ থেকে সরিয়ে যাবেন।

ব্যবহারকারির কেরবেরস টিকটও মেয়াদোত্তীর্ণ হয়। এটি তাই বাস্তবায়ন করা হয়েছে কারণ KDC একটি টিকট ইস্যু করে যার লাইফটাইম হলো AD গ্রুপে অস্থায়ী সদস্যতা পাওয়ার ব্যবহারকারীদের TTL মানের ন্যূনতম।

পরবর্তী কেরবেরস টিকট রিনিউয়ালের সময় যাচাই করতে:

klist

Renew Time প্যারামিটায় TGT টিকটের পরবর্তী রিনিউয়ালের সময় দেখানো হয়।

হাইব্রিড পরিবেশে সতর্কতা

অন-প্রিমিসেস অ্যাক্টিভ ডিরেক্টরি থেকে Azure AD-এ গ্রুপ সিঙ্ক করার হাইব্রিড সিনেরিওতে (Azure AD Connect ব্যবহার করে) এই কনফিগারেশনটি ক্লাউড সিঙ্ক ইন্টারভাল সেটিংস বিবেচনা করা উচিত।

অস্থায়ী AD গ্রুপ তৈরি করা (উইন্ডোজ ২০০৩ ফরেস্ট বা νεwer)

Windows 2003 Forest ফাংশনাল লেভেল বা নতুনতর ভার্সনে আপনি অস্থায়ী AD গ্রুপ তৈরি করতে পারেন। এজন্য dynamicObject ক্লাস ব্যবহার করা হয়। এই ধরনের গ্রুপের স্বয়ংক্রিয় মুছে ফেলা অ্যাক্টিভ ডিরেক্টরি গার্বেজ কলেকশন প্রক্রিয়ার মাধ্যমে হয়।

উদাহরণস্বরূপ, এক মাস পর ( 2592000 = 31 * 24 * 60 * 60 ) স্বয়ংক্রিয়ভাবে মুছে যাওয়া একটি অস্থায়ী গ্রুপ তৈরি করতে নিচের পাওয়ারশেল স্ক্রিপ্ট ব্যবহার করুন:

$OU = [adsi]"LDAP://OU=Groups,OU=Munich,OU=DE,DC=woshub,DC=loc"
$Group = $OU.Create("group","cn=MUN-FS01_Public_tmp")
$Group.PutEx(2,"objectClass",@("dynamicObject","group"))
$Group.Put("entryTTL","2678400")
$Group.SetInfo()

ADUC কনসোলে গ্রুপের অ্যাট্রিবিউট খুলুন। entryTTL অ্যাট্রিবিউটে توج্যো দিন। এটি সেকেন্ডে নির্দেশ করে যে এই AD গ্রুপটি কতক্ষণ পর সরিয়ে যাবে।

উইন্ডোজ সার্ভার ২০১৬/২০১৯-এ এই সুবিধাজনক ফিচার বিল্ট-ইনভাবে উপলব্ধ হওয়ার আগে, অস্থায়ী AD গ্রুপ সদস্যতা বাস্তবায়ন করতে ডাইনামিক অবজেক্ট, ভিন্ন স্ক্রিপ্ট এবং শিডিউল্ড টাস্ক বা জটিল সিস্টেম (Microsoft Forefront Identity Manager ইত্যাদি) ব্যবহার করতে হতো।