فهم تشفير Umbrella ل AD Sync

المقدمة

يصف هذا المستند تشفير Umbrella لمزامنة AD، مثل كيفية تشفير ترحيل البيانات هذا.

معلومات أساسية

يسترجع برنامج Umbrella AD Connector تفاصيل عن المستخدم والكمبيوتر ومعلومات المجموعة من وحدة التحكم بمجال AD باستخدام LDAP. يتم تخزين السمات الضرورية فقط من كل كائن، وهذا يتضمن sAMAccountName و dn و userPrincipalName و member و objectGUID وbasicGroupId (للمستخدمين وأجهزة الكمبيوتر) وprimaryGroupToken (للمجموعات).

ثم يتم تحميل هذه البيانات إلى Umbrella لاستخدامها في تكوين النهج وإعداد التقارير. هذه البيانات مطلوبة أيضا لتصفية كل مستخدم أو كل كمبيوتر.

ملاحظة: يتم إرسال ObjectGUID في نموذج محجوز.

لمعرفة ما تتم مزامنته بالضبط، يمكنك النظر إلى ملفات .ldif المضمنة في:

C:\Program Files\OpenDNS\OpenDNS Connector\ADSync\*.ldif

تصف هذه المقالة كيفية تشفير نقل البيانات هذا.

تشفير تحميل بيانات AD

تقوم Umbrella Ad Connector بتحميل معلومات الإعلان إلى Umbrella باستخدام اتصال HTTPS آمن. يتم تشفير التحميل بين سحابة Connector <>Umbrella دائما.

التشفير من أجل إسترداد بيانات AD

اعتبارا من الإصدار 1.1.22، يحاول الموصل الآن إسترداد تفاصيل المستخدم باستخدام التشفير بين موصل وحدة التحكم بالمجال<>. تمت محاولة طريقتين:

• LDAPs. يتم إرسال البيانات عبر نفق آمن.
• LDAP مع مصادقة Kerberos. يوفر تشفير على مستوى الحزمة.

ملاحظة: لا يتم إستخدام LDAPs عند تشغيل برنامج Connector على نفس الخادم الخاص بوحدة التحكم بالمجال المستخدمة ل ADsync.

إذا فشلت هذه المحاولة لأي سبب من الأسباب فإنها ترتد إلى هذه الآلية:

• LDAP مع مصادقة NTLM. وهذا يوفر مصادقة آمنة، ولكن يحدث نقل البيانات بين وحدة التحكم بالمجال (DC) > الموصل دون تشفير.

للتأكد من إمكانية التشفير، نوصي بما يلي:

• تمكين LDAPs على وحدة (وحدات) التحكم بالمجال. هذا خارج نطاق دعم Umbrella، ولكن يمكن تمكينه مع وثائق Microsoft.
• تأكد من تكوين اسم المضيف الخاص بوحدة (وحدات) التحكم بالمجال بشكل صحيح في 'عمليات النشر > المواقع و AD'. اسم المضيف الصحيح مطلوب لكل من طريقتي التشفير. إذا كان اسم المضيف غير صحيح لأي سبب من الأسباب نوصي بإعادة تسجيل وحدة التحكم بالمجال باستخدام البرنامج النصي للتكوين الخاص بنا، أو الاتصال بدعم Umbrella.

لتأكيد حدوث التشفير. يمكنك التحقق من ملف التدوين هنا:

C:\Program Files (x86)\OpenDNS\OpenDNS Connector\<VERSION>\OpenDNSAuditClient.log

أثناء مزامنة AD، ترى إدخالات السجل مثل:

نجح اتصال LDAP:
إستخدام SSL لاتصال <SERVER> لجلب DN.

نجحت مصادقة Kerberos:
إستخدام Kerberos لاتصال <SERVER> لجلب DN.

آلية NTLM للحد من الأعطال المستخدمة:
فشل Kerberos لمضيف DC <Server>. يمكن أن يكون اسم المضيف غير صالح. الرجوع إلى استعلام NTLM.