𝐀𝐜𝐭𝐢𝐯𝐞 𝐃𝐢𝐫𝐞𝐜𝐭𝐨𝐫𝐲 𝐓𝐨𝐦𝐛𝐬𝐭𝐨𝐧𝐞 𝐋𝐢𝐟𝐞𝐭𝐢𝐦𝐞

Microsoft ရဲ့ Directory Service တစ်ခုဖြစ်တဲ့ Active Directory ကိုတော့ လူတိုင်း ရင်းနှီးကြမယ်လို့ ထင်ပါတယ်။ သူက Objects တွေ Attributes တွေ Group Policies တွေနဲ့ Hierarchically တည်ဆောက်ထားပြီး စနစ်ကျတာကြေင့်Organization ကြီးကြီးမားမားတွေမှာ AD ကို အသုံးပြုကြပါတယ်။ Object ဆိုတာ တနည်းအားဖြင့် user account တစ်ခု လို့သတ်မှတ်လို့ရပါတယ်။ Object ထဲမှာမှ နောက် Attributes ဆိုတာရှိပါသေးတယ်။ ဒီ user account မှာမှ credentials တွေပေးရတော့ username နဲ့ password တွေဟာ Attributes တွေပဲပေါ့။အဲ့တော့ User Account ကို Object လို့မှတ်ယူပြီး Username/Password ကတော့ Object ထဲက Attributes တွေပေါ့။

AD ထဲမှာ ကျနော်တို့ Group တွေ OU တွေဆောက်တယ် User တွေ create လုပ်တယ်။အဲ့ Object တွေကို ကျနော်တို့ဟာ AD ရဲ့ Database တစ်ခုဖြစ်တဲ့ Ntds.dit ထဲမှာသွားသိမ်းထားတယ်။ နောက် Domain User တွေရဲ့ Password Hash တွေဟာလည်း အဲ့ Database ထဲမှာပဲ Store လုပ်ထားပါတယ်။အကယ်လို့ ကျနော်တို့က user account တစ်ခုကို Delete လုပ်လိုက်ပြီဆိုရင် ဖျက်လိုက်တဲ့ account ဟာ ချက်ချင်းကြီး ပျက်မသွားပါဖူး။ အချိန်အကန့်အသတ် တစ်ခုထိတော့ Database ထဲမှာ ရှိနေဦးမှာပါ။ အဲ့ကာလကို Tombstone Lifetime လို့ခေါ်တာပါ။

Technically ပြောရရင်သူ့ကို Special Container အဖြစ် သီးသန့်ထားရှိပါတယ်။ ပထမဆုံး AD Database ထဲကနေဖျက်လိုက်တဲ့ Objects တွေဟာ Later Date တစ်ခုမှာDeletion လုပ်ဖို့ Marked လုပ်ခံရပြီးTombstone Container ထဲရောက်ရှိသွားပါတယ်။ ပြီးရင် တခြား DC တွေဆီ replicate လုပ်လိုက်ပါတယ်။ပြီးတဲ့အခါ Microsoft ဟာ Garbage Collection ဆိုတဲ့ Process ကို Domain Controller တွေမှာ ၁၂နာရီ တစ်ခါ run ပါတယ်။အဲ့ Tombstone Objects တွေဟာ သတ်မှတ်ထားတဲ့ Lifetime ကျော်လွန်သွားရင်တော့ GCP ဟာ Kill သွားမှာပဲဖြစ်ပါတယ်။

Tombstone Lifetime (TSL)Value ဟာ Forest ထဲက ပထမဆုံး DC ပေါ်မှာ install လုပ်တဲ့ OS ပေါ်မူတည်ပါတယ်။ ဥပမာ Windows Server 2012 ဆိုရင် Default TSL ဟာ ရက်ပေါင်း ၁၈၀ ဖြစ်ပါတယ်။ (Minimum TSL Value ဟာ ၂ရက်ပါ။)TSL ရဲ့ Benefit ကတော့ restore ပြန်လုပ်လို့ရတာပါပဲ။ မှားဖျက်လိုက်တဲ့ user account တစ်ခုကို same SID နဲ့ ပြန် restore လုပ်နိုင်တာပါပဲ။ ဒါပေမဲ့ သတ်မှတ်ထားတဲ့ TSL Period ကျော်သွားရင်တော့ restore လုပ်လို့မရတော့ပါဖူး။Tombstone Lifetime က ပြင်လို့လည်းရပါတယ်။ ဒီ Link ကနေ တဆင့် စမ်းသပ်လို့ရပါတယ်။

Link - 

https://www.windowstechno.com/how-can-i-check-the-tombstone-lifetime-of-my-active-directory-forest/?fbclid=IwAR02FNwBlP1xqDk4U4ziSX79jOYSza0wSeIWHzQbX58jLr7k_Rn69YnO5vY

𝐄𝐧𝐣𝐨𝐲 | 𝐏𝐞𝐚𝐜𝐞 | 𝐂𝐡𝐢𝐥𝐥 𝐎𝐮𝐭

𝟏𝟏𝟐𝟏𝟏-𝐕𝐈𝐁𝐄