É possível fornecer acesso a um recurso de domínio para um usuário que não seja de domínio?

Question

Após uma revisão de segurança, estou dividindo as camadas de um aplicativo do Windows 2008 Server que está atualmente em uma única máquina no domínio corporativo. Desejo mover a UI da Web do IIS 7 para uma nova máquina no domínio para que os usuários possam autenticar usando suas contas do AD e deixar o restante (a camada do aplicativo e o servidor de banco de dados) na máquina atual, mas movido para fora do domínio por trás de um firewall .

Os serviços da camada de aplicativos precisam criar arquivos em vários compartilhamentos nos servidores de domínio. Anteriormente, os serviços funcionavam como um usuário de domínio especial com acesso aos compartilhamentos. Agora isso não será possível.

Existe uma maneira de permitir o acesso a pastas compartilhadas (e recursos em geral) em servidores de domínio para usuários / máquinas que não sejam de domínio?

    

Answer 1

Você pode conceder acesso a um recurso de domínio (ou seja, compartilhar) a uma máquina que não seja de domínio ... desde que o serviço nessa máquina acesse o compartilhamento usando como credenciais remotas:

• credenciais de usuário de domínio OU
• credenciais de um usuário local (na máquina de domínio)

O segundo é a maneira mais segura de fazê-lo (um atacante remoto sentado na máquina de aplicativos não terá acesso a uma conta de domínio (com acesso a todo o domínio), mas apenas às máquinas de domínio que possui um local conta em.

Mas você não poderá simplesmente definir esse usuário para executar o serviço de aplicativo. Você deve ter algum suporte em seu aplicativo para especificar credenciais diferentes de acordo com o servidor ao qual está se conectando.

Então, se isso for suportado = > digamos que sua máquina de aplicativos APPTIER esteja no grupo de trabalho MSHOME e seus compartilhamentos sejam \\ SERVER1 \ share1 e \\ SERVER2 \ share2 no domínio MYDOMAIN:

1. Crie uma conta local apptieracct em SERVER1 com acesso a share1
2. Crie uma conta local apptieracct no SERVER2 com acesso ao share2
3. No APPTIER, configure o aplicativo para usar SERVER1 \ aptieracct para acessar \\ SERVER1 \ share1 e SERVER2 \ aptieracct para acessar \\ SERVER2 \ share2

Answer 2

Alguém tem uma pergunta semelhante respondida aqui

Como um usuário não autenticado pode acessar um compartilhamento do Windows?

O seguinte é um recorte / colagem da resposta dada

Para fazer o que você deseja, você terá que habilitar a conta "Convidado" no computador que hospeda os arquivos e então conceder ao grupo "Todos" o acesso que você quiser.

"Convidado" é uma conta de usuário, mas seu status ativado / desativado é interpretado pelo sistema operacional como um booleano "Permitir que usuários não autenticados se conectem?" As permissões ainda controlam o acesso aos arquivos, mas você abre muitas coisas ativando o Guest.

Não faça isso em um computador controlador de domínio, BTW, porque você será convidado em todos os DCs ...

    

Answer 3

Adicionando à resposta de Phil e comentário de Chris que habilitar a conta Guest não é uma opção (que eu segundo - Guest deve nunca estar habilitado), devo dizer: não, não há como alcançar o resultado desejado apenas com o Microsoft Windows.

Pode ser possível criar uma solução com produtos de terceiros, no entanto. Considere a seguinte ideia aproximada:

Configure um ponto de extremidade do túnel SSH em um membro do domínio. Se supusermos que o servidor SSH permite logons com nome de usuário e senha, ele pode passar essas informações para um DC - e você pode se conectar a partir de computadores que não sejam do domínio e fazer logon com nome de usuário e senha.

    

Answer 4

Se você quiser que qualquer um possa ler os arquivos, adicione a entrada EVERYONE à pasta e as permissões SHARE (sempre faça as duas coisas). Dessa forma, qualquer pessoa poderá ler os arquivos. É claro que você pode tê-los sempre autenticados, pois não é necessário que a máquina cliente esteja no mesmo domínio ou até mesmo um domínio para acessar um compartilhamento que requer autenticação.

Como você precisa de segurança extra no servidor de arquivos, ative o firewall do Windows e somente todos os acessos CIFS / SMB de endereços IP que sejam "confiáveis".