Per rendere l'ambiente più sicuro, in DRA è possibile limitare i poteri concessi ai gruppi di sicurezza integrati di Microsoft Windows. La possibilità di modificare l'appartenenza ai gruppi, le proprietà dei gruppi di sicurezza integrati o le proprietà dei membri dei gruppi può avere implicazioni significative sulla sicurezza. Ad esempio, se è possibile modificare la password di un utente appartenente al gruppo Server Operators, sara quindi possibile eseguire il login come tale utente ed esercitare i poteri delegati al gruppo di sicurezza integrato.
Con DRA è possibile evitare questo problema di sicurezza mediante una policy che controlla i poteri di cui l'utente dispone su un gruppo di sicurezza integrato nativo e i relativi membri. Questa convalida assicura che le azioni richieste non comportino un'escalation dei poteri. Una volta abilitata la policy, un amministratore aggiunto membro di un gruppo di sicurezza integrato, come ad esempio il gruppo Server Operators, può gestire solo gli altri membri dello stesso gruppo.
Mediante le policy di DRA è possibile limitare i poteri dei gruppi di sicurezza integrati di Microsoft Windows:
Account Operators
Administrators
Backup Operators
Cert Publishers
DNS Admins
Domain Admins
Enterprise Admins
Proprietari autori criteri di gruppo
Print Operators
Schema Admins
NOTA:in DRA si fa riferimento ai gruppi di sicurezza integrati utilizzando i loro identificatori interni. Pertanto, tali gruppi sono supportati anche se vengono rinominati. Questa funzionalità fa sì che DRA possa supportare i gruppi di sicurezza integrati con nomi differenti in paesi diversi. Ad esempio, in DRA si fa riferimento ai gruppi Administrators e Administratoren utilizzando lo stesso identificatore interno.
Per limitare il potere che i gruppi di sicurezza integrati nativi e i loro membri possono esercitare, in DRA è possibile utilizzare una policy, denominata $SpecialGroupsPolicy, che limita le azioni che un membro di un gruppo di sicurezza integrato nativo può eseguire su altri membri o altri gruppi di sicurezza integrati nativi. La policy è abilitata di default. Se non si desidera limitare le azioni sui gruppi di sicurezza integrati nativi e i loro membri, è possibile disabilitarla.
Quando la policy è abilitata, vengono utilizzate le prove di convalida seguenti per stabilire se una determinata azione è consentita su un gruppo di sicurezza integrato nativo o i suoi membri:
Un amministratore di Microsoft Windows può eseguire azioni sui gruppi di sicurezza integrati nativi e i relativi membri per i quali dispone dei poteri appropriati.
Un membro di un gruppo di sicurezza integrato può eseguire azioni sul suo stesso gruppo di sicurezza integrato e i relativi membri, a condizione che disponga dei poteri appropriati.
Se non si è membri di un gruppo di sicurezza integrato, non è possibile apportare modifiche a un gruppo di sicurezza integrato o ai relativi membri.
Ad esempio, un membro dei gruppi Server Operators e Account Operator che dispone dei poteri appropriati può eseguire azioni sui membri dei gruppi Server Operators e Account Operators, come anche sui membri di entrambi i gruppi. Tuttavia, non può eseguire azioni su un account utente che è membro dei gruppi Print Operators e Account Operators.
In DRA si applicano restrizioni per le azioni seguenti sui gruppi di sicurezza integrati nativi:
Clonazione di un gruppo
Creazione di un gruppo
Eliminazione di un gruppo
Aggiunta di un membro a un gruppo
Rimozione di un membro da un gruppo
Spostamento di un gruppo in un'unità organizzativa
Modifica delle proprietà di un gruppo
Copia di una casella postale
Rimozione di una casella postale
Clonazione di un account utente
Creazione di un account utente
Eliminazione di un account utente
Spostamento di un account utente in un'unità organizzativa
Modifica delle proprietà di un account utente
Si applicano restrizioni anche su altre azioni per evitare che l'utente acquisisca poteri su un oggetto. Ad esempio, quando si aggiunge un account utente a un gruppo, viene verificato che non vengano acquisiti poteri aggiuntivi sull'account utente in quanto membro di tale gruppo. Questa convalida contribuisce a evitare un'escalation di potere.