Delegare i diritti all'account che avvia Kontivo

1. Perché un account delegato

Kontivo agisce nella directory con l'account Windows che lo avvia. Un account «Admins. del dominio» funziona, ma un errore di manipolazione avrebbe allora effetti su tutto il dominio. Un account delegato ha diritti solo sulle tre cartelle (OU) scelte nelle impostazioni: la cartella degli utenti, la cartella degli account usciti e la cartella dei gruppi della directory. Anche in caso di errore, non può toccare nient'altro.

Lo strumento non ha bisogno di alcun diritto di amministratore sul computer: è in ascolto solo sul computer stesso (indirizzo 127.0.0.1) e salva i suoi dati in C:\ProgramData\ComptesAD, che un utente può creare.

2. Creare l'account e il suo gruppo

Conceda i diritti a un gruppo, poi inserisca l'account in questo gruppo: potrà cambiare account senza rifare la delega. Negli esempi, il dominio si chiama DEMO (demo.local):

• un gruppo di sicurezza globale, ad esempio GG-ComptesAD;
• un account utente, ad esempio adm-comptes, membro di questo gruppo, con una password lunga, collocato al di fuori delle cartelle degli utenti gestiti;
• questo account non deve essere membro di alcun gruppo di amministrazione.

Nei comandi qui sotto, sostituisca i nomi delle OU con quelli della Sua directory (gli esempi riprendono i nomi proposti dallo strumento, Persone, Uscite e Gruppi, sotto una OU padre Organizzazione):

OU degli utenti          OU=Persone,OU=Organizzazione,DC=demo,DC=local
OU degli account usciti  OU=Uscite,OU=Organizzazione,DC=demo,DC=local
OU dei gruppi            OU=Gruppi,OU=Organizzazione,DC=demo,DC=local

Crei prima queste tre OU (con «Utenti e computer di Active Directory», oppure nelle impostazioni dello strumento con un account che ne abbia il diritto): l'account delegato non può creare una OU al di fuori della cartella degli utenti.

3. I diritti, cartella per cartella

Spostare un account (cambio di gruppo, uscita, ritorno) richiede «elimina» sull'account stesso e «crea oggetti figlio» sulla OU di destinazione. Il diritto «elimina» sugli utenti della OU degli utenti è necessario: quando le OU di gruppo create dallo strumento sono protette da eliminazione accidentale, questa protezione applica sulla loro OU padre un divieto di «eliminare oggetti figlio», che impedirebbe di spostare un account collocato direttamente nella OU degli utenti (utente in attesa di gruppo).

Le OU di gruppo create dall'account delegato

Lo strumento crea ogni OU di gruppo in due tempi: prima l'OU, senza protezione, poi, in un passaggio separato, la protezione da eliminazione accidentale. Applicare questa protezione modifica le autorizzazioni della OU degli utenti (il divieto descritto sopra), cosa che la delega di questo documento non consente. Se il diritto manca, l'OU viene comunque creata e l'operazione è riuscita, con questa nota nel registro: «OU creata, protezione da eliminazione accidentale non applicata (manca il diritto «modifica autorizzazioni» sull'OU padre): un amministratore può applicarla in Utenti e computer di Active Directory (scheda Oggetto dell'OU).» Due modi di procedere in seguito:

• lasciare le OU di gruppo senza protezione (contengono solo account di utenti gestiti, e lo strumento le ricrea se necessario), oppure proteggerle manualmente con un account amministratore;
• oppure concedere al gruppo delegato «Modifica autorizzazioni» solo sulla OU degli utenti (non sulle sue sotto-OU), il che è un diritto ampio, da valutare con l'amministratore del dominio:

  dsacls "OU=Persone,OU=Organizzazione,DC=demo,DC=local" /G "DEMO\GG-ComptesAD:WD"

Il primo passaggio su una OU di test (manuale, § 6) mostra quale dei due casi si verifica nella Sua directory.

Per tutto il resto, lo strumento si limita a leggere, con i diritti di lettura che ogni account del dominio ha per impostazione predefinita: l'elenco dei nomi utente del dominio (per evitare i duplicati), i criteri password, i controller.

4. Concedere i diritti con dsacls

dsacls è installato con gli strumenti di Active Directory (RSAT) e sui controller di dominio. Digiti questi comandi in un prompt dei comandi aperto con un account «Admins. del dominio». /I:T applica il diritto alla OU e a tutto ciò che contiene, /I:S solo agli oggetti che contiene.

OU degli utenti

dsacls "OU=Persone,OU=Organizzazione,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;user"
dsacls "OU=Persone,OU=Organizzazione,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CC;organizationalUnit"
dsacls "OU=Persone,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;user"
dsacls "OU=Persone,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:SD;;user"
dsacls "OU=Persone,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:CA;Reset Password;user"

OU degli account usciti

dsacls "OU=Uscite,OU=Organizzazione,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;user"
dsacls "OU=Uscite,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;user"
dsacls "OU=Uscite,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:SD;;user"

Solo se un'eliminazione non riesce con l'errore 8213 («L'account contiene oggetti»):

dsacls "OU=Uscite,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:DT;;user"

OU dei gruppi

dsacls "OU=Gruppi,OU=Organizzazione,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;group"
dsacls "OU=Gruppi,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;group"

Facoltativo: rimuovere la protezione da eliminazione accidentale

Solo se desidera usare l'opzione «Rimuovi la protezione» (impostazioni, riquadro «Avanzate», oppure pulsante dell'anteprima):

dsacls "OU=Persone,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:WD;;user"
dsacls "OU=Uscite,OU=Organizzazione,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:WD;;user"

5. Concedere i diritti con la Delega guidata del controllo

In «Utenti e computer di Active Directory», clic destro sulla OU, Delega controllo…, aggiunga il gruppo GG-ComptesAD, poi scelga Crea un'attività personalizzata per cui delegare il controllo. Le etichette qui sotto possono variare leggermente a seconda della versione di Windows.

OU degli utenti (due passaggi della procedura guidata)

1. Primo passaggio: Solo i seguenti oggetti nella cartella, selezioni Oggetti Utente, poi Crea gli oggetti selezionati in questa cartella ed Elimina gli oggetti selezionati in questa cartella. Nella pagina successiva, in Generale: Lettura di tutte le proprietà, Scrittura di tutte le proprietà, Elimina, Reimposta password.
2. Secondo passaggio: Solo i seguenti oggetti nella cartella, selezioni Oggetti Unità organizzativa e Crea gli oggetti selezionati in questa cartella; pagina successiva: non serve alcuna autorizzazione aggiuntiva (selezioni se necessario Lettura).

OU degli account usciti

Un passaggio, come il primo passaggio della OU degli utenti, senza «Reimposta password».

OU dei gruppi

Un passaggio: Oggetti Gruppo, creare ed eliminare; autorizzazioni Lettura di tutte le proprietà e Scrittura di tutte le proprietà.

Dopo la procedura guidata, controlli il risultato: clic destro sulla OU, Proprietà, scheda Sicurezza, Avanzate (la scheda Sicurezza compare solo con Visualizza > Funzionalità avanzate). I diritti sugli utenti devono applicarsi agli «oggetti Utente discendenti», quelli di creazione anche alle sotto-OU.

6. La condivisione delle cartelle personali

Se nelle impostazioni è compilato un modello di percorso (ad esempio \\srv-fichiers\persone$\{sam}), la casella «Crea la cartella sulla condivisione e assegna i diritti all'utente» è selezionata automaticamente. Per ogni nuovo utente, lo strumento:

1. crea la cartella \\srv-fichiers\persone$\lea.martin, se non esiste (una cartella esistente non viene mai modificata);
2. assegna all'utente, tramite il suo SID, il diritto scelto su questa cartella e sul suo contenuto: «Modifica» (predefinito) o «Controllo completo»;
3. all'eliminazione definitiva dell'account, se è scelta l'archiviazione, crea se necessario \\srv-fichiers\persone$\_archives e vi rinomina la cartella (_archives\lea.martin_2027-10-05). Non viene cancellato nulla, i diritti della cartella non cambiano.

Preparare la condivisione in una sola volta: ComptesAD.exe -PreparerPartage

La condivisione si prepara sul file server (preferibilmente non sul controller di dominio), una sola volta, da parte di un amministratore di quel server. Vi copi ComptesAD.exe (ad esempio in C:\ComptesAD), poi digiti, in un prompt dei comandi o in una finestra di PowerShell aperti come amministratore:

C:\ComptesAD\ComptesAD.exe -PreparerPartage -Dossier D:\Persone -Partage persone$ -GroupeDelegue DEMO\GG-ComptesAD

Senza parametri, una piccola finestra chiede la cartella, il nome della condivisione, il gruppo delegato e, facoltativo, il gruppo degli utenti, con un pulsante Verifica (non viene modificato nulla) e un pulsante Prepara. La preparazione esegue, nell'ordine:

1. crea la cartella D:\Persone se manca;
2. applica i diritti NTFS della radice, interrompendo l'ereditarietà dal disco:
   • SYSTEM e Administrators: «Controllo completo»;
   • il gruppo delegato (GG-ComptesAD): «Modifica», su questa cartella, sulle sottocartelle e sui file;
   • gli utenti: «Attraversa cartella/Esegui file» e «Visualizza contenuto cartella/Leggi dati», solo su questa cartella, per raggiungere la propria cartella senza vedere quelle degli altri. Per impostazione predefinita «Utenti autenticati»; aggiunga -GroupeEleves DEMO\Persone-Tutte se gli utenti hanno un proprio gruppo;
   • CREATOR OWNER: nulla.
   Qualsiasi altro diritto applicato manualmente sulla radice viene rimosso, e il resoconto lo indica (la finestra chiede prima conferma);
3. crea la condivisione persone$ (il «$» la nasconde nelle risorse di rete) con queste autorizzazioni di condivisione: Administrators «Controllo completo», Utenti autenticati «Modifica»; i diritti dettagliati restano quelli di NTFS. Se esiste già su questa cartella, vengono corrette solo le sue autorizzazioni; se esiste su un'altra cartella, non viene fatto nulla: scelga un altro nome;
4. attiva l'enumerazione basata sull'accesso: aprendo \\srv-fichiers\persone$, ogni utente vede solo la propria cartella;
5. mostra il modello da incollare nelle impostazioni di Kontivo, blocco «Cartella personale», campo «Modello di percorso della cartella»: \\srv-fichiers.demo.local\persone$\{sam} (nome DNS completo del server).

Ogni riga del resoconto inizia con [OK] (già in atto), [FAIT] (fatto), [A FAIRE] (da fare, solo in verifica), [ATTENTION] (attenzione) o [REFUS] (rifiuto): la preparazione si può rilanciare senza rischi, e ciò che è già in atto non viene mai rifatto. Per limitarsi a verificare, aggiunga -LectureSeule. In uno script, il resoconto viene scritto sull'output degli errori (UTF-8) e il codice di uscita vale 0 (pronto), 1 (rifiuto o errore), 2 (parametri) o 3 (verifica: punti da correggere).

Rifiuta, senza modificare nulla: un account senza diritti di amministratore attivi sul server (avvii il prompt «come amministratore»); una cartella su un'unità di rete o su una condivisione (avvii la preparazione sul server che ospita il disco, con il suo percorso locale); la radice di un disco o una cartella di Windows; un nome di condivisione non valido o riservato (C$, ADMIN$…); un gruppo introvabile (verifichi DOMINIO\nome, e che il server sia membro del dominio); un gruppo delegato troppo ampio («Domain Users», «Utenti autenticati»…): riceverebbe il diritto di modificare tutte le cartelle degli utenti.

Manualmente, se preferisce

Diritti da concedere al gruppo GG-ComptesAD:

• Autorizzazioni della condivisione: almeno «Modifica» (oppure «Controllo completo» per Everyone, se gestisce i diritti esclusivamente tramite NTFS, cosa comune);
• Autorizzazioni NTFS sulla cartella radice della condivisione: «Modifica», applicata a «Questa cartella, sottocartelle e file». Sul file server, ad esempio:

icacls "D:\Persone" /grant "DEMO\GG-ComptesAD:(OI)(CI)M"

Se lo strumento segnala «Cartella creata, ma non è stato possibile assegnare il diritto all'utente», conceda in più al gruppo il diritto «Modifica autorizzazioni» sulla radice, poi assegni manualmente il diritto mancante all'utente interessato (lo strumento non modifica mai una cartella che esiste già). I diritti degli utenti sulla radice restano quelli che ha stabilito Lei (in genere: attraversare la cartella, senza vedere quelle degli altri); verifichi che non possano entrare in _archives.

Se un criterio di gruppo (reindirizzamento cartelle) crea già le cartelle degli utenti, deselezioni la casella nelle impostazioni: lo strumento si limiterà allora a compilare gli attributi dell'account (percorso e lettera dell'unità), e non è necessario alcun diritto sulla condivisione.

7. Sul computer

• L'account delegato deve poter accedere al computer di amministrazione (è il caso predefinito per un utente del dominio su una workstation; non è il caso predefinito su un controller di dominio).
• Deve poter leggere la cartella dello strumento: avvii lo strumento una prima volta con questo account, e faccia digitare a un amministratore del computer il comando icacls che mostra, in un prompt dei comandi o in una finestra di PowerShell aperti come amministratore (veda il manuale, § 3.3). La cartella dei dati che lo strumento crea allora (C:\ProgramData\ComptesAD) appartiene a questo account: un solo account per cartella dei dati.
• Per usare lo strumento non è necessario alcun diritto di amministratore locale, e non c'è nulla da installare: RSAT non è più necessario dalla versione 2. ComptesAD.exe comunica con la directory in LDAP firmato e crittografato (Kerberos, altrimenti NTLM), sulla porta 389 del controller di dominio.

8. Verificare

1. Avvii lo strumento con l'account delegato, in sola lettura: runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule".
2. Nelle impostazioni, fase 1, la verifica deve mostrare «✓ Il Suo account può creare account in «Organizzazione › Persone».», la stessa cosa per «Organizzazione › Uscite», e «✓ Il Suo account può creare gruppi in «Organizzazione › Gruppi».» (viene mostrato il percorso completo di ogni OU: verifichi che siano proprio le OU delegate, poiché lo strumento le ha precompilate in base al loro nome).
3. L'anteprima non deve mostrare «Il Suo account non può creare account in…».
4. Sul file server, C:\ComptesAD\ComptesAD.exe -PreparerPartage -Dossier D:\Persone -Partage persone$ -GroupeDelegue DEMO\GG-ComptesAD -LectureSeule deve terminare con «è già tutto in atto».
5. La prima applicazione reale si esegue su una OU di test, con alcuni account fittizi. L'errore «Diritti insufficienti» durante un'applicazione indica il diritto che manca all'operazione interessata.

Lo strumento non controlla le sotto-OU una per una: un diritto rimosso manualmente su una OU di gruppo si nota solo durante l'applicazione («Diritti insufficienti»).

Kontivo 3, per Active Directory · diritti tratti dal § 10.9 della progettazione dello strumento; preparazione della condivisione: § 15.2 della progettazione della V2 · Active Directory è un marchio di Microsoft.