Pengontrol domain yang dioperasikan oleh Layanan Terkelola untuk Microsoft Active Directory menampilkan sejumlah layanan, termasuk LDAP, DNS, Kerberos, dan RPC. Bergantung pada kasus penggunaan Anda, Virtual Machine (VM) yang di-deploy di Google Cloud, serta mesin yang berjalan secara lokal, mungkin memerlukan akses ke layanan ini untuk memanfaatkan Active Directory.
Untuk mengurangi permukaan serangan pengontrol domain dan VM, Anda harus menggunakan firewall untuk melarang komunikasi jaringan apa pun yang tidak terlalu dibutuhkan. Artikel ini menjelaskan cara mengonfigurasi firewall untuk mengakomodasi kasus penggunaan Active Directory umum sekaligus melarang komunikasi jaringan lainnya.
Login versus autentikasi
Meskipun istilah login dan autentikasi sering digunakan secara bergantian, keduanya memiliki arti yang berbeda dalam konteks keamanan Windows. Login menjelaskan proses yang terjadi di sistem yang diakses pengguna. Sebaliknya, autentikasi dilakukan oleh komputer tempat akun pengguna berada.
Saat Anda menggunakan akun lokal untuk login ke komputer, login dan autentikasi ditangani oleh komputer target. Di lingkungan Active Directory, pengguna domain lebih sering digunakan untuk login. Dalam hal tersebut, login ditangani oleh mesin target, sedangkan autentikasi dilakukan oleh pengontrol domain.
Untuk mengautentikasi, klien dapat menggunakan Kerberos atau NTLM . Setelah klien melakukan autentikasi, mesin target perlu memproses login. Bergantung pada jenis login yang diminta klien, hal ini mungkin memerlukan interaksi tambahan dengan pengontrol domain menggunakan protokol seperti Kerberos, NTLM, LDAP , RPC , atau SMB .
Karena autentikasi dan pemrosesan login memerlukan protokol yang berbeda, sebaiknya bedakan antara kedua konsep tersebut saat mengidentifikasi konfigurasi firewall yang tepat.
Kasus penggunaan umum
Bagian berikut menjelaskan kasus penggunaan umum untuk mengakses Managed Microsoft AD dan menunjukkan aturan firewall yang perlu Anda konfigurasikan untuk setiap kasus penggunaan.
Jika tidak berencana untuk mengintegrasikan Microsoft AD Terkelola dengan Active Directory on-premise, Anda hanya perlu membaca bagian pertama artikel ini, Mengakses Microsoft AD Terkelola dari dalam VPC. Jika Anda ingin membuat hubungan kepercayaan antara Microsoft AD Terkelola dan Active Directory lokal, seluruh artikel ini berlaku.
Anda dapat menggunakan log aturan firewall untuk menganalisis apakah port tambahan mungkin diperlukan. Karena logging di aturan implied deny ingress dinonaktifkan, Anda harus membuat aturan firewall kustom dengan prioritas rendah terlebih dahulu yang menolak semua traffic masuk, tetapi mengaktifkan logging firewall. Dengan aturan ini, setiap upaya koneksi yang gagal akan menyebabkan entri log dipublikasikan ke Stackdriver. Karena aturan firewall dapat menghasilkan log dalam jumlah yang signifikan, sebaiknya nonaktifkan logging firewall lagi setelah Anda menyelesaikan analisis.
Mengakses Microsoft AD Terkelola dari dalam VPC
Saat Anda menggunakan jaringan default untuk men-deploy AD Microsoft Terkelola, tidak diperlukan konfigurasi lebih lanjut untuk mengaktifkan VM di VPC guna mengakses Active Directory.
Jika telah menyesuaikan konfigurasi VPC atau aturan firewall, Anda harus memastikan konfigurasi firewall masih mengizinkan komunikasi dengan Managed Microsoft AD. Bagian berikut menjelaskan aturan firewall yang mungkin perlu Anda buat.
Resolusi nama domain
Saat mencoba me-resolve nama DNS, VM tidak langsung mengkueri pengontrol domain. Sebagai gantinya, kueri DNS dikirim ke server metadata, yang merupakan server DNS default yang dikonfigurasi untuk VM Compute Engine. Server metadata kemudian meneruskan kueri ke zona penerusan DNS pribadi Cloud DNS yang dibuat oleh Managed Microsoft AD. Zona penerusan ini kemudian meneruskan kueri ke pengontrol domain yang sesuai.
Anda tidak perlu mengonfigurasi aturan firewall apa pun untuk mengaktifkan kasus penggunaan ini. Komunikasi ke Cloud DNS selalu diizinkan untuk VM di VPC dan Managed Microsoft AD mengizinkan permintaan DNS yang diteruskan dari Cloud DNS Cloud DNS secara default.
Mengautentikasi ke VM menggunakan Kerberos
Pengguna yang telah login ke satu VM mungkin memerlukan akses ke layanan yang disediakan oleh VM lain. Misalnya, pengguna mungkin mencoba membuka koneksi RDP, mengakses berbagi file, atau mengakses resource HTTP yang memerlukan autentikasi.
Agar pengguna dapat melakukan autentikasi ke VM server menggunakan Kerberos, VM klien harus mendapatkan tiket Kerberos yang sesuai dari salah satu pengontrol Microsoft AD Terkelola terlebih dahulu.
Agar VM dapat mengautentikasi ke VM lain menggunakan Kerberos, komunikasi berikut harus diizinkan oleh aturan firewall:
| Tindakan | Dari | Menjadi | Protokol | |
|---|---|---|---|---|
| 1 | Izinkan | VM Klien | Subnet Microsoft AD Terkelola |
Kerberos (UDP/88, TCP/88) LDAP (UDP/389, TCP/389) |
| 2 | Izinkan | VM Klien | VM Server | Protokol yang digunakan untuk mengakses VM, seperti HTTP (TCP/80, TCP/443) atau RDP (TCP/3389) |
| 3 | Izinkan | VM Server | Subnet Microsoft AD Terkelola | Lihat memproses login. |
Mengautentikasi ke VM menggunakan NTLM
Meskipun Windows lebih memilih Kerberos daripada NTLM dalam sebagian besar kasus, klien terkadang mungkin perlu kembali menggunakan NTLM untuk autentikasi. NTLM mengandalkan autentikasi pass-through, sehingga mengharuskan server berkomunikasi dengan salah satu pengontrol domain Microsoft AD Terkelola untuk mengautentikasi pengguna.
Agar VM dapat mengautentikasi VM lain menggunakan NTLM, komunikasi berikut harus diizinkan oleh aturan firewall:
| Tindakan | Dari | Menjadi | Protokol | |
|---|---|---|---|---|
| 1 | Izinkan | VM Klien | VM Server | Protokol yang digunakan untuk mengakses VM, seperti HTTP (TCP/80, TCP/443) atau RDP (TCP/3389) |
| 2 | Izinkan | VM Klien | Subnet Microsoft AD Terkelola | Lihat memproses login. |
Penggabungan domain dan pemrosesan login
Untuk beroperasi sebagai anggota domain dan memproses login dari pengguna, mesin harus dapat berinteraksi dengan Active Directory. Kumpulan protokol yang digunakan bergantung pada jenis login yang diminta oleh setiap klien. Untuk mendukung semua skenario umum, Anda harus mengizinkan kombinasi protokol berikut.
| Tindakan | Dari | Menjadi | Protokol | |
|---|---|---|---|---|
| 1 | Izinkan | VM Server | Subnet Microsoft AD Terkelola |
Kerberos (UDP/88, TCP/88) NTP (UDP/123) |