Материал: Книга Active directory

Автоматизация управления членством в группах и теневыми группами

В этом задании вы создадите теневую группу с учетными записями пользователей в подразделении Кадры. Для обновления членства в этой группе вы используете команды Dsquery и Dsmod.

Для выполнения задания в домене contoso.com должны быть созданы такие объекты: подразделение первого уровня Группы; подразделение Кадры; несколько учетных записей пользователей в подразделении Кадры.

•Упражнение 1 В подразделении Группы создайте глобальную группу безопасности с именем Кадры. Затем в дереве консоли Active Directory — пользователи и компьютеры (Active Directory Users And Computers) выберите подразделение Кадры. Щелкните в панели сведений учетную запись любого пользователя и нажмите комбинацию клавиш Ctrl+A, чтобы выбрать все учетные записи. Щелкните правой кнопкой мыши и примените команду

Добавить в группу (Add То Group). Добавьте пользователей в группу Кадры. Просмотрите данные на вкладке Члены группы (Members) диалогового окна свойств группы Кадры и убедитесь, что все пользователи введены в нее.

•Упражнение 2 Откройте окно командной строки. Удалите группу Кадры, созданную в упражнении 1. Введите две следующие команды, чтобы создать теневую группу Кадры:

dsadd group "CN=Kaflpu,Ои=Группы,DC=contoso, DC=com" -secgrp yes -scope g dsquery user "OU=Kaflpu,DC=contoso,DC=com" | dsmod group "СН=Кадры,Ои=Группы,

DC=contoso,DC=com" -addmbr

•Упражнение 3 В окно командной строки введите две следующие команды, чтобы удалить всех членов группы и заново заполнить ее текущими пользователями подразделения Кадры:

dsget group "CN=People,OU=Groops,DC=contoso,DC=com" -members | dsmod group "CN= People,OU=Groups,DC=contoso,DC=com" -rmmbr

dsquery user "OU=People,DC=contoso,DC=com" | dsmod group "CN=People,OU=Groups, DC=contoso,DC=com" -addmbr

Пробный экзамен

На прилагаемом к книге компакт-диске представлено несколько вариантов тренировочных тестов. Проверка знаний выполняется или только по одной теме сертификационного экзамена 70-640, или по всем экзаменационным темам. Тестирование можно организовать таким образом, чтобы оно проводилось как экзамен, либо настроить на режим обучения. В последнем случае вы сможете после каждого своего ответа иа вопрос просматривать правильные ответы и пояснения.

ПРИМЕЧАНИЕ Пробный экзамен Подробнее о пробном экзамене рассказано во введении к данной книге.

Компьютеры

Компьютеры в домене, как и пользователи, являются принципалами безопасности. Они имеют учетные записи и пароли, которые система Microsoft Windows автоматически изменяет каждые 30 дней или около того. Проверка их подлинности выполняется с помощью домена. Компьютеры могут принадлежать к группам, получать доступ к ресурсам и конфигурироваться групповой политикой. Как и пользователи, компьютеры иногда теряют свои пароли, и тогда требуется производить сброс пароля, а также имеют учетные записи, которые нужно включать или отключать.

Управление компьютерами, которые,представляют собой объекты в доменных службах Active Directory (Active Directory Domain Services) и одновременно физические устройства, входит в повседневные обязанности большинства IT-профессионалов. В организации появляются новые системы, компьютеры отключаются от сети для ремонта, а также передаются пользователям или ролям, а старое оборудование удаляется или обновляется, в результате чего нужно приобретать новые или менять существующие системы. Все это требует управления идентификацией компьютера, представленного в качестве объекта или учетной записи.

К сожалению, большинство предприятий не производят инвестиций в создание и управление компьютерными учетными записями в той же мере, как в учетные записи пользователей, хотя и те и другие представляют собой принципалы безопасности. В этой главе мы рассмотрим процесс создания объектов компьютеров, которые содержат атрибуты, необходимые для представления объекта в качестве учетной записи. Будет также описана поддержка учетных записей компьютеров на протяжении их жизненного цикла, включающая настройку, устранение неполадок, восстановление и повторную инициализацию объектов компьютеров. Наконец, мы обсудим процесс присоединения компьютера к домену, чтобы вы могли выявить потенциальные ошибки и избежать их в будущем.

Темы экзамена:

•Создание и поддержка объектов Active Directory.

аАвтоматизация создания учетных записей Active Directory. Q Поддержка учетных записей Active Directory.

Прежде всего

В данной главе для автоматизации процесса создания учетных записей компьютеров используются средства Microsoft Windows PowerShell, Microsoft VBScript, CSVDE и LDIFDE. Поэтому, приступая к ее изучению, перечитайте занятия 1 и 2 главы 3.

История из жизни

Дэн Холме

«Компьютеры тоже люди» — по крайней мере, так они воспринимаются в Active Directory. Компьютеры имеют атрибут objectClass пользователя. Как и пользователи, компьютеры имеют учетные записи. Подобно пользователям, компьютеры могут забывать свои пароли. Поскольку компьютеры — это принципалы безопасности и могут подпадать под действие групповой политики (как описано в следующей главе), учетные записи компьютеров следует интерпретировать аналогично учетным записям пользователей.

Многим из вас наверняка приходилось удалять компьютер из домена, а затем заново присоединять его к домену. Как описано на занятии 3, такая методика аналогична удалению и воссозданию учетных записей пользователей, поэтому применять ее не рекомендуется. Я привел лишь один из примеров пренебрежительного отношения администраторов к учетным записям компьютеров.

В этой главе мы обсудим рекомендуемые методы поддержки учетных записей компьютеров в домене на уровне поддержки остальных принципалов безопасности (включая пользователей и группы). Кроме того, мы рассмотрим способы применения инструментов командной строки, а.также сценариев VBScript и Windows PowerShell для автоматизации создания объектов компьютеров и управления ими. Многие из этих процедур похожи на описанные в главе 3. Почему? Потому, что, как сказано в начале врезки, «компьютеры тоже люди».

Занятие 1. Создание компьютеров и присоединение

их к домену

В конфигураций Windows Server 2008 по умолчанию, как и в Microsoft Windows Server 2003, Windows Vista, Windows XP и Windows 2000, компьютер принадлежит к рабочей группе. Перед входом иа компьютер с помощью доменной учетной записи нужно присоединить компьютер к домену. Д л я присоединения к домену компьютер должен располагать учетной записью в домене, которая, аналогично пользбйательской учетной записи,1 содержит имя входа (атрибут sAMAccountName), пароль и идентификатор безопасности (SID), который уникальным образом представляет компьютер в домене как принципал безопасности. Эти учетные данные позволяют компьютеру проходить проверку подлинности в домене и создать безопасную связь, с помощью которой пользователи

затем смогут войти в систему с применением учетных записей домена. На этом занятии мы рассмотрим подготовку домена для присоединения нового компьютера, а также само присоединение компьютера к домену.

Изучив материал этого занятия, вы сможете:

УПроектировать структуру подразделений компьютеров.

УСоздавать объекты компьютеров в домене.

УДелегировать создание объектов компьютеров.

УПрисоединять компьютеры к домену.

УПеренаправлять контейнер компьютеров по умолчанию.

/ Запрещать иеадминистративным пользователям создавать компьютеры и присоединять их к домену.

Продолжительность занятия — около 45 мин.

Рабочие группы, домены и доверие

В рабочей группе каждая система поддерживает хранилище учетных записей пользователей и групп. Л о к а л ь н о е хранилище объектов идентификации на каждом компьютере называется базой данных диспетчера безопасности учетных записей SAM (Security Accounts Manager). Если пользователь входит на компьютер рабочей группы, система выполняет проверку подлинности этого пользователя в своей локальной базе данных SAM. Если пользователь подключается к еще одной системе, например д л я получения доступа к файлу, вновь выполняется проверка подлинности пользователя в хранилище объектов и д е н т и ф и к а ц и и удаленной системы. В отношении безопасности компьютер рабочей группы по всем параметрам — независимая автономная система.

Компьютер, присоединяемый к домену, делегирует ему задачу проверки подлинности пользователей. Хотя компьютер продолжает поддерживать свою базу данных SAM учетных записей локальных пользователей и групп, учетные записи пользователей, как правило, будут создаваться в центральном каталоге домена. Пользователь, входящий на компьютер посредством доменной учетной записи, теперь проходит проверку подлинности на контроллере домена, а не в базе данных SAM. Другими словами, компьютер доверяет контроллеру домена и д е н т и ф и к а ц и ю пользователя . Доверительные отношения обычно рассматриваются в контексте двух доменов, как описано в главе 12, однако доверие устанавливается также между каждым рядовым компьютером и его доменом; это происходит при присоединении компьютера к домену.

Требования по присоединению компьютера к домену

Д л я присоединения к домену Active Directory, компьютер должен соответствовать трем требованиям:

•В службе каталогов должен быть создан объект компьютера.

•Вы должны иметь соответствующие разрешения доступа к объекту компьютера, в к л ю ч а я право присоединения к домену компьютера с тем же именем, что у объекта в домене.