Настройка учетной записи службы каталогов gMSA для Defender для удостоверений

Создайте и настройте учетную запись групповой управляемой службы (gMSA), чтобы датчик версии 2.x использовался при чтении данных Active Directory (запрос объектов, отслеживание изменений, разрешение сущностей). Это отдельно от учетной записи действия , используемой для выполнения действий по исправлению, таких как отключение пользователей или сброс паролей. Прежде чем начать, ознакомьтесь с требованиями для создания gMSA для развертывания датчиков v2.x.

Предварительные условия

Перед созданием учетной записи gMSA убедитесь, что выполнены следующие предварительные требования:

• Убедитесь, что у вас есть разрешения на создание gMSA и групп безопасности в Active Directory.

• Назначьте разрешения, позволяющие датчику получать пароль gMSA.

• Выберите способ настройки получения пароля:

  • Назначьте учетную запись gMSA непосредственно каждому датчику.

  • Используйте группу, содержащую все датчики, которым необходимо использовать учетную запись gMSA.

• Выберите соответствующую группу в зависимости от развертывания:

  • Однолесное, однодоменное развёртывание:

    • Используйте встроенную группу безопасности Domain Controllers, если вы не устанавливаете датчики на серверах службы федерации Active Directory (AD FS) (AD FS) или Active Directory Certificate Services (AD CS).

  • Лес с несколькими доменами:

    • Если вы используете одну аккаунт службы каталога (DSA), мы рекомендуем создать универсальную группу и добавить каждый из контроллеров домена, а также серверы AD FS или AD CS в универсальную группу.

    • В средах с несколькими лесами или несколькими доменами убедитесь, что домен, в котором создается gMSA, доверяет учетным записям компьютеров датчиков.

    • Вариант 1: используйте gMSA для каждого домена. Создайте локальную группу доменов в каждом домене, включающую только компьютерные учетные записи сенсоров из этого домена, чтобы только эти датчики могли получить пароли gMSA и выполнять локальную аутентификацию.

    • Вариант 2: использовать ashared gMSA для всех доменов. Создайте универсальную группу у лесного корня, включающую все компьютерные аккаунты всех датчиков, чтобы все датчики могли получить пароль gMSA и выполнить междоменную аутентификацию.

Создание учетной записи gMSA

1. Если вы никогда раньше не использовали учетную запись gMSA, может потребоваться создать новый корневой ключ для служба группового распространения ключей (Майкрософт) (KdsSvc) в Active Directory. Этот шаг требуется только один раз для каждого леса. Чтобы создать новый корневой ключ для немедленного использования, выполните следующую команду:

   Add-KdsRootKey -EffectiveImmediately
   

   Хотя название команды подразумевает, что ключ вступает в силу немедленно, подождите 10 часов, пока корневый ключ KDS не воспроизведётся и не станет доступен на всех контроллерах домена.

   Если в вашем тестовом домене только один контроллер домена, вы можете ускорить процесс, установив время действия ключа на 10 часов раньше.

   Важно!

   Не используйте эту технику в производственной среде.

   # For single-DC test environments only
   Add-KdsRootKey -EffectiveTime (Get-Date).AddHours(-10)
   

2. Выполните команды PowerShell от имени администратора. Этот скрипт:

   • Создайте учетную запись gMSA.
   • Создайте группу для учетной записи gMSA.
   • Добавьте в группу указанные учетные записи компьютеров.
   • Настройте gMSA для использования шифрования AES128 и AES256 Kerberos.

3. Перед выполнением скрипта:

   • Обновите значения переменных в соответствии с вашей средой.
   • Обязательно присвойте каждому gMSA уникальное имя для каждого леса или домена.

Определите переменные создания gMSA, включая имя аккаунта, группу хостов и компьютерные аккаунты, затем запустите следующий скрипт для настройки gMSA:

# Variables:
# Specify the name of the gMSA you want to create:
$gMSA_AccountName = 'mdiSvc01'
# Specify the name of the group you want to create for the gMSA,
# or enter 'Domain Controllers' to use the built-in group when your environment is a single forest, and will contain only domain controller sensors.
$gMSA_HostsGroupName = 'mdiSvc01Group'
# Specify the computer accounts that will become members of the gMSA group and have permission to use the gMSA. 
# If you are using the 'Domain Controllers' group in the $gMSA_HostsGroupName variable, then this list is ignored
$gMSA_HostNames = 'DC1', 'DC2', 'DC3', 'DC4', 'DC5', 'DC6', 'ADFS1', 'ADFS2'

# Import the required PowerShell module:
Import-Module ActiveDirectory

# Set the group
if ($gMSA_HostsGroupName -eq 'Domain Controllers') {
    $gMSA_HostsGroup = Get-ADGroup -Identity 'Domain Controllers'
} else {
	# If this group is being created at the root of a forest and will be used across multiple domains or subdomains then the -GroupScope parameter should be changed to Universal
    $gMSA_HostsGroup = New-ADGroup -Name $gMSA_HostsGroupName -GroupScope DomainLocal -PassThru
    $gMSA_HostNames | ForEach-Object { Get-ADComputer -Identity $_ } |
        ForEach-Object { Add-ADGroupMember -Identity $gMSA_HostsGroupName -Members $_ }
}

# Specify the Kerberos encryption type as AES.
$kerberosEncType = ('AES128','AES256')

# Create the gMSA:
New-ADServiceAccount -Name $gMSA_AccountName -DNSHostName "$gMSA_AccountName.$env:USERDNSDOMAIN" `
 -PrincipalsAllowedToRetrieveManagedPassword $gMSA_HostsGroup -KerberosEncryptionType $kerberosEncType

Обновление билетов Kerberos после изменения членства в группе

Билет Kerberos содержит список групп, в которые входит сущность при его выдаче. Если вы добавите учетную запись компьютера в универсальную группу после того, как она уже получила билет Kerberos, она не сможет получить пароль gMSA, пока не получит новый билет.

Чтобы обновить билет Kerberos, можно:

• Дождитесь выдачи нового билета Kerberos. Билеты Kerberos обычно действительны в течение 10 часов.

• Перезагрузите сервер , чтобы запросить новый билет Kerberos с новым членством в группе.

• Очистите существующие билеты Kerberos , чтобы заставить контроллер домена запросить новый билет Kerberos. Выполните следующую команду, чтобы очистить билеты из командной строки администратора на контроллере домена: klist purge -li 0x3e7

Предоставление необходимых разрешений учетной записи службы каталогов

Учетная запись службы каталога требует специальных прав на чтение объектов Active Directory, чтобы сенсор мог запрашивать данные каталога. Ниже приведены подробности о необходимых разрешениях и способах их выдачи:

DSA требуются разрешения только на чтение для всех объектов в Active Directory, включая контейнер удаленных объектов.

Разрешения только для чтения в контейнере Удаленные объекты позволяют Defender для удостоверений обнаруживать удаление пользователей из Active Directory.

Используйте следующий пример кода, чтобы предоставить необходимые разрешения на чтение в контейнере Удаленные объекты независимо от того, используете ли вы учетную запись gMSA.

# Declare the identity that you want to add read access to the deleted objects container:
$Identity = 'mdiSvc01'

# If the identity is a gMSA, first to create a group and add the gMSA to it:
$groupName = 'mdiUsr01Group'
$groupDescription = 'Members of this group are allowed to read the objects in the Deleted Objects container in AD'
if(Get-ADServiceAccount -Identity $Identity -ErrorAction SilentlyContinue) {
    $groupParams = @{
        Name           = $groupName
        SamAccountName = $groupName
        DisplayName    = $groupName
        GroupCategory  = 'Security'
        GroupScope     = 'Universal'
        Description    = $groupDescription
    }
    $group = New-ADGroup @groupParams -PassThru
    Add-ADGroupMember -Identity $group -Members ('{0}$' -f $Identity)
    $Identity = $group.Name
}

# Get the deleted objects container's distinguished name:
$distinguishedName = ([adsi]'').distinguishedName.Value
$deletedObjectsDN = 'CN=Deleted Objects,{0}' -f $distinguishedName

# Take ownership on the deleted objects container:
$params = @("$deletedObjectsDN", '/takeOwnership')
C:\Windows\System32\dsacls.exe $params

# Grant the 'List Contents' and 'Read Property' permissions to the user or group:
$params = @("$deletedObjectsDN", '/G', ('{0}\{1}:LCRP' -f ([adsi]'').name.Value, $Identity))
C:\Windows\System32\dsacls.exe $params
  
# To remove the permissions, uncomment the next 2 lines and run them instead of the two prior ones:
# $params = @("$deletedObjectsDN", '/R', ('{0}\{1}' -f ([adsi]'').name.Value, $Identity))
# C:\Windows\System32\dsacls.exe $params

Дополнительные сведения см. в разделе Изменение разрешений для контейнера удаленных объектов.

Убедитесь, что учетная запись gMSA имеет необходимые права.

Служба датчика Defender для удостоверений, Azure Датчик расширенной защиты от угроз, работает как LocalService, которая олицетворяет учетную запись DSA. Если политика входа в качестве службы настроена , но разрешение не было предоставлено учетной записи gMSA, олицетворение завершается ошибкой. В этом случае вы увидите следующую проблему работоспособности: учетные данные пользователей служб каталогов неверны.

Если вы заметили проблему со здоровьем. Данные пользователей служб каталога неверны, проверьте, настроена ли политика «Войти как сервис » либо в групповой политике, либо в локальной политике безопасности.

Проверка локальной политики безопасности

Чтобы проверить назначение локальной политики, выполните следующие действия.

1. Запустите secpol.msc

2. Выборназначения прав пользователя>

3. Откройте параметр политики Вход в качестве службы .

   

4. После включения политики добавьте учетную запись gMSA в список учетных записей, которые могут входить в систему как услуга.

Проверьте параметр групповая политика

Чтобы проверить, настраивает ли этот параметр групповая политика, выполните следующие действия.

1. Запустите rsop.msc

2. Перейдите в раздел Конфигурация компьютера —> Параметры Windows —> Параметры безопасности —> Локальные политики —> Назначение прав пользователя —> Вход как услуга.

   

3. После настройки параметра добавьте учетную запись gMSA в список учетных записей, которые могут входить в качестве службы в редакторе управления групповая политика.

Настройка учетной записи службы каталогов на портале Microsoft Defender

Чтобы подключить датчики к доменам Active Directory, настройте учетные записи службы каталогов на портале Microsoft Defender.

1. На портале Microsoft Defender перейдите в раздел Параметры > Удостоверения.

   

2. Выберите Учетные записи службы каталогов, чтобы узнать, какие учетные записи связаны с доменами.

   

3. Выберите Добавить учетные данные.

4. Введите следующие сведения:

   • Имя учетной записи
   • Домен
   • Password

5. Вы можете выбрать, является ли это учетной записью групповой управляемой службы (gMSA) или относится ли она к домену с одной меткой.

   

   Поле	Comments
   Имя учетной записи (обязательно)	Введите имя пользователя AD, доступное только для чтения. Например: DefenderForIdentityUser. — Необходимо использовать стандартного пользователя AD или учетную запись gMSA. - Не используйте формат имени участника-пользователя для имени пользователя. — При использовании gMSA строка пользователя должна заканчиваться $ знаком . Пример: mdisvc$ ПРИМЕЧАНИЕ: Рекомендуется избегать использования учетных записей, назначенных определенным пользователям.
   Пароль (требуется для стандартных учетных записей пользователей AD)	Только для учетных записей пользователей AD создайте надежный пароль для пользователя, доступного только для чтения. Пример: PePR!BZ&}Y54UpC3aB.
   Групповая управляемая учетная запись службы (требуется для учетных записей gMSA)	Только для учетных записей gMSA выберите Группировать управляемую учетную запись службы.
   Домен (обязательно)	Введите домен пользователя, доступного только для чтения. Например, contoso.com. Важно ввести полное полное доменное имя домена, в котором находится пользователь. Например, если учетная запись пользователя находится в домене corp.contoso.com, необходимо ввести corp.contoso.com не contoso.com. Дополнительные сведения см. в разделе Поддержка майкрософт доменов с одной меткой.

6. Выберите Сохранить.

7. (Необязательно) Выберите учетную запись, чтобы открыть область сведений и просмотреть ее параметры.

   

Устранение неполадок

Дополнительные сведения см. в разделе Датчик не удалось получить учетные данные gMSA.