관리자가 아닌 사용자에게 ADFS PowerShell commandlet 액세스 권한 위임

아티클
10/15/2024
적용 대상:

✅ Windows Server 2025, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016

기본적으로 AD FS 관리자만 PowerShell을 통해 AD FS 관리를 수행할 수 있습니다. 많은 대규모 조직의 경우 헬프 데스크 직원과 같은 가상 사용자를 처리할 때는 이 모델이 실행 가능한 운영 모델이 아닐 수도 있습니다.

이제 고객은 JEA(Just Enough Administration)를 통해 특정 commandlets에 대한 권한을 다른 직원 그룹에 위임할 수 있습니다.

이 사용 사례의 좋은 예는 헬프 데스크 담당자가 사용자가 심사된 후 ADFS 계정 잠금 상태를 쿼리하고 ADFS에서 계정 잠금 상태를 재설정할 수 있도록 하는 것입니다. 이 경우 위임해야 하는 commandlet은 다음과 같습니다.

Get-ADFSAccountActivity
Set-ADFSAccountActivity
Reset-ADFSAccountLockout

이 문서의 나머지 부분에서는 이 예제를 사용합니다. 그러나 위임이 신뢰 당사자의 속성을 설정하고 조직 내 애플리케이션 소유자에게 이를 전달할 수 있도록 사용자 지정할 수도 있습니다.

사용자에게 권한을 부여하는 데 필요한 필수 그룹 만들기

그룹 관리 서비스 계정을 만듭니다. gMSA 계정은 JEA 사용자가 다른 컴퓨터 또는 웹 서비스로서 네트워크 리소스에 액세스할 수 있도록 하는 데 사용됩니다. 도메인 내 모든 컴퓨터의 리소스에 대해 인증하는 데 사용할 수 있는 도메인 ID를 제공합니다. 설정 후반부에 gMSA 계정에 필요한 관리 권한이 부여됩니다. 이 예제에서는 gMSAContoso 계정을 호출합니다.
위임된 명령에 대한 권한을 부여받아야 하는 사용자로 Active Directory 그룹을 만들 수 있습니다. 이 예에서는 헬프 데스크 직원에게 AD FS 잠금 상태를 읽고, 업데이트하고, 재설정할 수 있는 권한이 부여됩니다. 이 예제에서는 이 그룹을 JEAContoso로 지칭합니다.

AD FS 서버에 gMSA 계정을 설치합니다.

AD FS 서버에 대한 관리 권한이 있는 서비스 계정을 만듭니다. 이 작업은 도메인 컨트롤러에서 수행하거나 AD RSAT 패키지가 설치되어 있는 경우 원격으로 수행할 수 있습니다. 서비스 계정은 AD FS 서버와 동일한 포리스트에 만들어야 합니다.

예제 값을 팜의 구성에 맞게 수정합니다.

 # This command should only be run if this is the first time gMSA accounts are enabled in the forest
Add-KdsRootKey -EffectiveTime ((get-date).addhours(-10)) 

# Run this on every node that you want to have JEA configured on
$adfsServer = Get-ADComputer server01.contoso.com

# Run targeted at domain controller
$serviceaccount = New-ADServiceAccount gMSAcontoso -DNSHostName <FQDN of the domain containing the KDS key> -PrincipalsAllowedToRetrieveManagedPassword $adfsServer –passthru

# Run this on every node
Add-ADComputerServiceAccount -Identity server01.contoso.com -ServiceAccount $ServiceAccount

AD FS 서버에 gMSA 계정을 설치합니다. 이 작업은 팜의 모든 AD FS 노드에서 실행해야 합니다.

Install-ADServiceAccount gMSAcontoso

gMSA 계정 관리자 권한 부여

팜에서 위임 관리를 사용하는 경우 관리자 액세스 권한이 위임된 기존 그룹에 추가하여 gMSA 계정 관리자 권한을 부여합니다.

팜에서 위임 관리를 사용하지 않는 경우, 모든 AD FS 서버의 로컬 관리 그룹으로 만들어 gMSA 계정 관리자 권한을 부여합니다.

JEA 역할 파일 만들기

AD FS 서버에서 메모장 파일에 JEA 역할을 만듭니다. 역할 생성 지침은 JEA 역할 기능에서 확인할 수 있습니다.

이 예제에서 위임된 commandlets는 Reset-AdfsAccountLockout, Get-ADFSAccountActivity, and Set-ADFSAccountActivity입니다.

'Reset-ADFSAccountLockout', 'Get-ADFSAccountActivity' 및 'Set-ADFSAccountActivity' commandlets의 액세스 권한을 위임하는 샘플 JEA 역할입니다.

@{
GUID = 'b35d3985-9063-4de5-81f8-241be1f56b52'
ModulesToImport = 'adfs'
VisibleCmdlets = 'Reset-AdfsAccountLockout', 'Get-ADFSAccountActivity', 'Set-ADFSAccountActivity'
}

JEA 세션 구성 파일 만들기

지침에 따라 JEA 세션 구성 파일을 생성합니다. 구성 파일은 JEA 엔드포인트를 사용할 수 있는 사용자와 액세스할 수 있는 기능을 결정합니다.

역할 기능은 역할 기능 파일의 플랫 이름(확장자가 없는 파일 이름)으로 참조됩니다. 시스템에서 동일한 플랫 이름을 가진 여러 역할 기능을 사용할 수 있는 경우 PowerShell은 암시적 검색 순서를 사용하여 효과적인 역할 기능 파일을 선택합니다. 같은 이름을 가진 모든 역할 기능 파일에 액세스할 수 있는 것은 아닙니다.

경로와 함께 역할 기능 파일을 지정하려면 RoleCapabilityFiles 인수를 사용합니다. 하위 폴더의 경우 JEA는 RoleCapabilities 하위 폴더를 포함하는 유효한 PowerShell 모듈을 찾으며, 여기서 RoleCapabilityFiles 인수는 RoleCapabilities으로 수정해야 합니다.

샘플 세션 구성 파일입니다.

@{
SchemaVersion = '2.0.0.0'
GUID = '54c8d41b-6425-46ac-a2eb-8c0184d9c6e6'
SessionType = 'RestrictedRemoteServer'
GroupManagedServiceAccount =  'CONTOSO\gMSAcontoso'
RoleDefinitions = @{ JEAcontoso = @{ RoleCapabilityFiles = 'C:\Program Files\WindowsPowershell\Modules\AccountActivityJEA\RoleCapabilities\JEAAccountActivityResetRole.psrc' } }
}

세션 구성 파일을 저장합니다.

텍스트 편집기를 사용하여 pssc 파일을 수동으로 편집한 경우 세션 구성 파일을 테스트하여 구문이 올바른지 확인하는 것이 좋습니다. 세션 구성 파일이 이 테스트를 통과하지 못하면 시스템에 성공적으로 등록되지 않은 것입니다.

AD FS 서버에 JEA 세션 구성을 설치합니다.

Register-PSSessionConfiguration -Path .\JEASessionConfig.pssc -name "AccountActivityAdministration" -force

운영 지침

설정이 완료되면 JEA 로깅 및 감사를 사용하여 올바른 사용자가 JEA 엔드포인트에 액세스할 수 있는지 확인할 수 있습니다.

위임된 명령을 사용하려면 다음과 같이 하세요.

Enter-pssession -ComputerName server01.contoso.com -ConfigurationName "AccountActivityAdministration" -Credential <User Using JEA>
Get-AdfsAccountActivity <User>

다음을 통해 공유