9.7. Korporativ identifikatsiya infratuzilmasi va Kerberos

Kichik tashkilotda foydalanuvchi hisoblarini har bir kompyuterda alohida yuritish mumkin. Xodimlar soni ortgan sari bu yondashuv ishlamay qoladi: yuz nafar xodim va ellikta kompyuter bo'lgan tashkilotda hisoblarni qo'lda boshqarish deyarli imkonsiz. Shu sababli korporativ muhitda markazlashgan katalog xizmati qo'llaniladi.

Katalog xizmati tashkilotdagi barcha foydalanuvchilar, guruhlar, kompyuterlar va siyosatlar to'g'risidagi ma'lumotni bir joyda saqlaydi hamda autentifikatsiya so'rovlariga javob beradi. Windows tarmoqlarida eng keng tarqalgan yechim Active Directory (AD) hisoblanadi. Uning asosini domen nazoratchisi (Domain Controller) tashkil etadi: aynan u katalog ma'lumotlarini saqlaydi va kirish so'rovlarini tekshiradi. Ishonchlilikni oshirish uchun tashkilotda odatda bir nechta domen nazoratchisi o'rnatiladi, toki bittasi ishdan chiqsa, boshqasi ishni davom ettirsin.

Katalog xizmatlari o'zaro aloqada LDAP protokolidan foydalanadi. LDAP katalogdagi ma'lumotni so'rash va o'zgartirish uchun mo'ljallangan yengil protokol bo'lib, Active Directory undan keng foydalanadi. Shu bilan birga LDAP faqat Windows bilan chegaralanmaydi: boshqa operatsion tizimlar uchun ham LDAP ga asoslangan katalog yechimlari mavjud va ichki ilovalar ko'pincha aynan LDAP orqali foydalanuvchini tekshiradi.

Markazlashgan katalogning amaliy foydasi katta. Yangi xodim kelganda unga bitta hisob ochiladi va u tegishli guruhga qo'shiladi, shundan keyin u kerakli barcha resurslarga avtomatik kirish oladi. Xodim ishdan bo'shaganda esa uning hisobi bir joyda bekor qilinadi va bu bilan barcha tizimlarga kirish darhol yopiladi. Bu oldingi bobda ko'rilgan huquqlarni bekor qilish muammosini ancha soddalashtiradi.

Markazlashgan katalog paydo bo'lgach, yangi savol tug'iladi: foydalanuvchi tarmoqdagi turli serverlarga murojaat qilganda, uning haqiqiyligi qanday tekshiriladi? Eng sodda yechim, har bir serverga parolni yuborish bo'lardi, biroq bu juda xavfli: parol tarmoq orqali ko'p marta uzatiladi va har bir server uni bilib qoladi. Ushbu muammoni Kerberos protokoli hal qiladi.

Kerberos mijoz va server o'rtasidagi autentifikatsiya protokoli bo'lib, u XX asrning 80-yillarida ishlab chiqilgan va bugungi kunda Windows tarmoqlarida keng qo'llaniladi. Uning asosiy g'oyasi chiptalar (ticket) tizimidir: foydalanuvchi parolini har bir serverga yubormaydi, buning o'rniga u markazdan vaqtinchalik chipta oladi va shu chipta orqali xizmatlarga kiradi (9.13-rasm).

Protokolda bir necha tarkibiy qism ishtirok etadi. Kalitlarni taqsimlash markazi (KDC) butun tizimning markazi bo'lib, uning ichida ikki xizmat ishlaydi: autentifikatsiya serveri (AS) va chipta beruvchi xizmat (TGS). Jarayon quyidagicha kechadi. Avval mijoz autentifikatsiya serveriga murojaat qiladi va o'zining haqiqiyligini tasdiqlaydi. Muvaffaqiyatli tekshiruvdan so'ng u bosh chipta (TGT) oladi. Keyinchalik biror xizmatga kirish kerak bo'lganda, mijoz bosh chiptani ko'rsatib, chipta beruvchi xizmatdan o'sha aniq xizmat uchun alohida chipta so'raydi. Chiptani olgach, u shu chipta bilan kerakli serverga ulanadi.

Bu sxemaning ikki muhim afzalligi bor. Birinchidan, foydalanuvchi paroli tarmoq orqali xizmatlarga uzatilmaydi, ya'ni uni yo'lda ushlab olish mumkin emas. Ikkinchidan, foydalanuvchi bir marta autentifikatsiyadan o'tib, keyin bir necha xizmatga qayta parol kiritmasdan kira oladi, ya'ni Kerberos amalda korporativ tarmoq ichidagi yagona kirish vazifasini bajaradi.

Kerberosning o'ziga xos sharti ham bor: uning barcha chiptalari vaqtga bog'liq va cheklangan muddatga amal qiladi. Shu sababli tarmoqdagi barcha qurilmalarda soat bir xil bo'lishi shart. Agar biror kompyuterda vaqt sezilarli farq qilsa, u tizimga kira olmaydi. Amaliyotda bu Kerberos bilan bog'liq eng ko'p uchraydigan nosozlik sabablaridan biridir.

Katalog xizmati va autentifikatsiya protokoli texnik poydevorni tashkil etadi, biroq zamonaviy tashkilotda ular ustiga yana bir boshqaruv qatlami quriladi. Bu qatlam raqamli shaxslarni va ularning huquqlarini butun hayot tsikli davomida boshqarishga xizmat qiladi (9.14-rasm).

IAM. Identifikatsiya va kirishni boshqarish tizimi raqamli shaxslarni boshqarishning umumiy asosi hisoblanadi. U foydalanuvchilar bazasini yuritadi, kirish va chiqish hodisalarini qayd etadi, guruh va rollarni yaratishni ta'minlaydi hamda huquqlarni berish va bekor qilish jarayonini boshqaradi. Boshqacha aytganda, IAM oldingi bobda ko'rilgan kirish huquqini ro'yxatdan o'tkazish tartibining texnik amalga oshirilishidir.

PAM. Imtiyozli kirishni boshqarish tizimi alohida e'tiborni imtiyozli hisoblarga, ya'ni ma'muriy huquqlarga ega hisoblarga qaratadi. Sababi aniq: oddiy foydalanuvchi hisobi buzilsa zarar cheklangan bo'ladi, ma'mur hisobi buzilsa esa tajovuzkor butun tizimni nazorat qila oladi. PAM bunday hisoblar uchun qo'shimcha nazorat imkonini beradi: parollarning muddatini belgilash, batafsil qayd yuritish va imtiyozlarni vaqtinchalik, ya'ni faqat zarur muddatga berish.

PIM. Imtiyozli shaxslarni boshqarish tizimi imtiyozli rollarni kim va qachon ishlatishini nazorat qiladi hamda bu faoliyat to'g'risida batafsil ma'lumot to'playdi. Bu ma'lumot shubhali xatti-harakat va odatdan tashqari holatlarni aniqlash imkonini beradi.

Ushbu tizimlar birgalikda bitta maqsadga xizmat qiladi va bu maqsad bobning asosiy g'oyasini umumlashtiradi: to'g'ri shaxsga, to'g'ri huquqni, to'g'ri muddatga berish hamda bu jarayonni qayd etib borish. Kichik tashkilot bu vazifalarni sodda vositalar bilan bajarishi mumkin, yirik tashkilotda esa maxsus tizimlarsiz ularni uddalash amalda imkonsiz.