Osa 3 praktika: Projekt ja tõrkeotsing

Enne alustamist

Osa 3 teete paaris: kaks inimest, üks virtuaalmasin. Üks teeb, teine kontrollib ja märgib üles. Vahetage rollid poole aja pealt.

Osa 3 algab puhtalt masinalt: taastage hetktõmmis 0. Kasutajad, rühmad ja kaustad loote uuesti ise. Kui soovid hommikust laborit alles hoida, käivita hoopis labori lähtestamise käsud.

Harjutus 1: Projekt: ettevõtte kaustastruktuur

Teooria: 1. Õiguste kavandamine

Stsenaarium

Väikeses ettevõttes on neli meeskonda ja ühine kaust.

• Kaustad: Management, HR, IT, Finance, Public
• Kasutajad: vähemalt anna (HR), mark (IT), eve (Finance), john (Management), intern1 (meeskonnata praktikant)

Juurdepääsureeglid

1. Igal meeskonnal on oma kaustas Muutmine ja teistes kaustades juurdepääs puudub.
2. Management saab kõiki meeskondade kaustu lugeda, kuid ei saa neid muuta.
3. Kõik saavad kausta Public lugeda. Ainult IT saab sinna kirjutada.
4. Praktikant saab lugeda kausta Public ja mitte midagi muud.
5. Rühmal Administrators jääb kõikjal Täielik kontroll.
6. Kellelgi peale rühma Administrators pole täielikku kontrolli ja keegi ei kasuta rühma Everyone.

Samm 1: Kavanda paberil

Kirjuta üles rühmad, nende liikmed ja tabel: kaust, rühm, õigus.

Samm 2: Seadista

Loo rühmad, kasutajad, kaustad ja õigused. Kasuta hiirt või käske, mida osades 1 ja 2 õppisid (vaata spikker).

Samm 3: Testi

Testi iga kasutajat käsuga runas või sisse logides: proovi igas kaustas lugeda ja kirjutada. Kirjuta tulemused testitabelisse:

Kasutaja	HR	IT	Finance	Management	Public
anna
mark
eve
john
intern1

Kasuta tähiseid: RW lugemine ja kirjutamine, R ainult lugemine, - juurdepääs puudub.

Samm 4: Kontrolli

Kontrolli käsuga Get-Acl või icacls ja vajadusel vahekaardil Tõhus juurdepääs.

Vihje: kõik kasutajad saavad igas kaustas kirjutada

Eemalda meeskondade kaustadest laiad kirjed Users ja Authenticated Users: lülita pärimine välja (Teisenda) ja eemalda need kirjed. Muidu on kõigil rühma Authenticated Users kaudu Muutmine ja testitabel ei vasta reeglitele.

Vihje: rühm Management

Management vajab igas meeskonna kaustas eraldi lugemisõiguse kirjet.

Vihje: paroolid

Kasuta kõigil kasutajatel laboriparooli Passw0rd ja sisesta see käsuga Read-Host -AsSecureString. Ära kasuta päris paroole.

Kontrolli tulemust

Testitabel vastab kõigile kuuele reeglile ja testid on tehtud päris kasutajatena.

Harjutus 2: Tõrkeotsing

Teooria: 2. Tõrkeotsing

1. Peitke oma paari laborisse salaja 2–3 viga, näiteks:
   • kasutaja vales rühmas
   • üleliigne keelamise kirje
   • ühel alamkaustal katkestatud pärimine
   • liiga suurte õigustega kirje Everyone
2. Vahetage arvutit teise paariga.
3. Leidke ja parandage nende vead testide ja tõrkeotsingu kontrollnimekirja abil.

Kõigi kausta C:\Lab kaustade õigused näed korraga:

icacls C:\Lab\*

Kontrolli tulemust

Leidsite kõik teise paari peidetud vead ja testitabel vastab jälle reeglitele.

Tagasivaade

• Millist reeglit oli kõige raskem teha?
• Kumb oli kiirem, hiir või käsud? Millal on kumbki parem?
• Mida muudaksid oma kavandis nüüd?

Mida esitada

Saatke projekt e-postiga aadressile rain-julius.plangi@techno.ee. Paar saadab ühe kirja ja kirjutab sisse mõlema nimed.

Kirja pealkiri on kujul rühma nimi - aine - milline töö, näiteks:

<teie rühm> - Windows - Tund 2 projekt

Lisage kirja:

1. Kavand: rühmad, liikmed ja tabel kaust, rühm, õigus (Harjutus 1, samm 1)
2. Täidetud testitabel (Harjutus 1, samm 3)
3. Käsu icacls C:\Lab\* väljund tekstina või ekraanipildina
4. Tõrkeotsing: mis vead leidsite ja kuidas need parandasite (Harjutus 2)
5. Lühike kirjeldus tehtud tööst ja probleemidest, mis tekkisid

Hindamine

Kriteerium	Hea tulemus
Rühmade kavand	Mõistlikud rühmad, kasutajad on rühmades, õigused ainult rühmadel
Teostus	Seadistus on täielik ja vastab kavandile
Õigsus	Õigused vastavad kõigile reeglitele, mida näitab päris testidega täidetud testitabel
Dokumentatsioon	Lühike kirjeldus kavandist, tehtud tööst ja leitud probleemidest

Lisaülesannete eest võib saada lisapunkte, kui esitad lühikesed märkmed ja selgitad tulemust 2 minutiga.

Lisaülesanded

Lisaülesanne 3.1: Ühiskausta ja NTFS-i õigused ⭐⭐

Eesmärk: tõesta, et ühiskausta ja NTFS-i õigustest võidab rangem.

New-SmbShare -Name "HR" -Path C:\Lab\HR -FullAccess "Administrators" -ChangeAccess "$env:COMPUTERNAME\HR"
Get-SmbShareAccess -Name "HR"

Testi samast masinast võrguteed kasutades (\\localhost\HR) või teisest virtuaalmasinast (\\<arvutinimi>\HR).

Test	Ühiskausta õigus	NTFS-i õigus	Ennustus	Tulemus
A	Change	Modify
B	Read	Modify
C	Change	Read

Korista pärast ära:

Remove-SmbShare -Name "HR" -Force

Valmis, kui: tabel on täidetud ja oskad seda ühe lausega selgitada.

Lisaülesanne 3.2: Lukusta välja ja taasta ⭐⭐⭐

Eesmärk: loo kaust, mida isegi administraator avada ei saa, ja taasta see.

New-LocalUser -Name "temp1" -NoPassword
New-Item -ItemType Directory -Path C:\Lab\Locked
icacls C:\Lab\Locked /setowner "temp1"
icacls C:\Lab\Locked /inheritance:r
Remove-LocalUser -Name "temp1"

Proovi administraatorina dir C:\Lab\Locked ja taasta seejärel:

takeown /f C:\Lab\Locked /r /d y
icacls C:\Lab\Locked /grant "Administrators:(OI)(CI)F" /t

Küsimused:

1. Miks polnud kaustal pärast esimest sammu ühtegi kasutatavat juurdepääsu?
2. Miks saab administraator selle siiski taastada?
3. Mida näitab omaniku väli enne ja pärast ning miks?

Valmis, kui: saad kausta administraatorina uuesti avada ja oskad iga sammu järjekorras selgitada.

Lisaülesanne 3.3: Kavandi ülevaatus paberil ⭐

Eesmärk: mõtle nagu suurema ettevõtte administraator.

Kirjuta üks lehekülg (märksõnadena sobib) ja vasta:

1. Millised sinu projekti õigused järgivad vähima õiguse põhimõtet ja millised on vajalikust laiemad?
2. Ettevõtted kasutavad sageli ühe meeskonnarühma asemel rollirühmi (näiteks HR-Staff) ja ressursirühmi (näiteks HR-Folder-Modify). Millist probleemi see lahendab?
3. Eraldiseisvas Windowsi arvutis ei saa kohalik rühm sisaldada teisi kohalikke rühmi. Milline ettevõtte võrgu funktsioon (Active Directory) selle piirangu kaotab?
4. Mida teeksid teisiti, kui meeskonnas oleks 500 inimest ja see muutuks iga kuu?