Лабораторная работа №8

Управление учетными записями пользователей и групп

Настройка контактной информации

Для каждой учетной записи пользователя можно определить информацию о контактах.

1. Щелкните дважды имя пользователя в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers). Откроется диалоговое окно свойств записи.

2. Заполните поля на вкладке Общие (General), показанной на рис. 8.1:

• Имя (First Name), Инициалы (Initials), Фамилия (Last Name) — поля для ввода имени, инициалов и фамилии пользователя;

• Выводимое имя (Display Name) определяет, как будет отображаться имя пользователя в Active Directory и при входе в систему;

• Описание (Description) — описание пользователя;

• Комната (Office) — расположение пользователя;

• Номер телефона (Telephone Number) — номер основного служебного телефона; чтобы указать другие телефоны, щелкните кнопку Другой (Other);

• Эл. почта (E-Mail) — служебный почтовый адрес пользователя.

• Веб-страница (Web Page) — URL домашней страницы пользователя в Интернете или в интрасети; чтобы указать другие Web-страницы, щелкните кнопку Другой (Other).

Рис. 8.1. На вкладке Общие (General) указывается основная контактная информация пользователя

Совет Чтобы активизировать функции отправки почты и открытия домашней страницы в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers), обязательно заполните поля Эл. почта (E-Mail) и Веб-страница (Web Page).

3. Перейдите на вкладку Адрес (Address). Введите в соответствующие поля рабочий или домашний адрес пользователя.

4. Перейдите на вкладку Телефоны (Telephones). Введите основные номера контактных телефонов пользователя, например домашнего, мобильного или IP-телефона, а также факса и пейджера.

5. Чтобы ввести дополнительные номера, щелкните кнопку Другой (Other), соответствующую типу номера.

6. Перейдите на вкладку Организация (Organization) и введите должность, отдел и название компании.

7. Чтобы указать руководителя пользователя, щелкните кнопку Изменить (Change). После этого запись пользователя отобразится в графе прямых подчиненных в окне со свойствами учетной записи его руководителя.

8. Щелкните Применить (Apply) или ОК.

Поиск пользователей и создание записей в адресной книге

Active Directory упрощает задачу поиска пользователей в каталоге и создания записей в адресной книге на основе результатов этого поиска.

1. В классическом меню Пуск (Start) выберите команду Найти (Search), азатем — Людей (For People) и переходите к шагу 2. В упрощенном меню Пуск (Start) щелкните Поиск (Search). В диалоговом окне Результаты поиска (Search Results) щелкните ссылку Другие параметры поиска (Other Search Options), выберите Принтеры, компьютеры и людей (Printers, Computers, or People), азатем — Людей в адресной книге (People In Your Address Book).

2. В диалоговом окне, показанном на рис. 8.2, и списке Место поиска (Look In) выберите Active Directory и поедите имя или адрес электронной почты нужного пользователя.

3. Щелкните Найти (Find Now). Если поиск не завершится успехом, введите новые параметры и за) густите поиск снова.

4. Щелкните найденную учетную запись правой кнопкой и выберите Свойства (Properties), чтобы посмотреть свойства записи.

5. Чтобы добавить информацию о пользователе в адресную книгу, выберите имя и щелкните Добавить в адр. книгу (Add To Address Book).

Рис. 8.2. Поиск пользователей в Active Directory и создание записей в адресной книге

Параметры среды пользователя

С учетной записью можно связать профиль, сценарий входа в систему и домашнюю папку. Чтобы задать эти параметры, дважды щелкните имя в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и перейдите на вкладку Профиль (Profile). Заполните следующие поля (рис. 8.3).

Рис. 8.3. Профиль пользователя задается на вкладке Профиль (Profile)

• Путь к профилю (Profile Path) — путь к профилю пользователя. В профиле содержатся параметры среды пользователя. При каждом входе в систему профиль служит для определения параметров рабочего стола, панели управления, доступа к параметрам меню и приложениям и т. д.

• Сценарий входа (Logon Script) — путь к сценарию входа, т. е. пакетному файлу, который запускаются всякий раз при входе пользователя в систему.

• Домашняя папка (Home Folder) — папка, где хранятся файлы пользователя. Здесь можно указать как локальный путь, так и общий сетевой ресурс, к которому пользователь сможет обращаться с любого компьютера сети.

Один сценарий применяется как для одного, так и для нескольких пользователей; администратор определяет, с каким сценарием будет работать конкретный пользователь. Сценарий входа задается так.

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) откройте окно свойств пользователя и перейдите на вкладку Профиль (Profile).

2. В поле Сценарий входа (Logon Script) укажите полный путь к сценарию, например \\Zeta\user_logon\eng.vbs.

Примечание Сценарии входа и выхода можно определить иначе. Практически любая команда, набранная в командной строке, может быть включена в сценарий входа. Стандартная задача, реализуемая в сценариях, — привязка принтеров и сетевых путей с помощью команды NET USE. Вот примеры команд привязки сетевого принтера и дисков:

net use Ipt1: \\zeta\deskjet

net use g: \\gamma\corp\files

Если эти команды записаны в сценарий входа в систему, то сетевой принтер пользователя будет связан с портом LPT1, а сетевой диск получит букву G.

Назначение домашних папок

Создавать домашнюю папку специально не надо — ее автоматически создает консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers). Но если это сделать не удастся, консоль предложит создать папку вручную.

Чтобы указать локальную домашнюю папку, выполните следующие действия.

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) откройте окно свойств пользователя и выберите- вкладку Профиль (Profile).

2. Щелкните переключатель Локальный путь (Local Path) и введите путь к домашней папке, например C:\Home\%UserName%. Сетевая домашняя папка задается так.

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) откройте окно свойств пользователя и выберите вкладку Профиль (Profile).

2. Щелкните переключатель Подключить (Connect) в области Домашняя папка (Home Folder) и укажите диск для домашней папки. Логично, если на одном диске вы разместите домашние папки для всех пользователей. Убедитесь, что она не будет конфликтовать с текущими локальными или сетевыми дисками.

3. Введите полный UNC-путь к домашней папке, например \\Gamma\USER_D: RS\%UserName%. Чтобы обеспечить пользователю доступ к папке с любого компьютера сети, включите а путь имя сервера.

Примечание Если домашняя папка не указана, Windows Server 2003 будет использовать локальную домашнюю папку, заданную по умолчанию. Если ОС установлена в режиме обновления, эта папка — \Users\Default, в противном случае — корневой каталог.

Настройка времени входа в систему

Время входа в систему настраивается так.

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) откройте диалоговое окно свойств пользователя и перейдите на вкладку Учетная запись (Account).

2. Щелкните кнопку Время входа (Logon Hours). В одноименном окне задайте разрешенное и запрещенное время входа в систему (рис. 8.5). В этом диалоговом окне каждый час дня и ночи представлен в виде поля, который можно включить (синий цвет) или выключить (белый цвет).

3. Выделите мытью нужный интервал и установите переключатель в положение Вход разрешен (Logon Permitted) или Вход запрещен (Logon Denied).

Рис. 8.5. В этом окне конфигурируется время входа в систему

Действие по истечении разрешенного времени входа в систему Пользователей, время пребывания в системе, которых закончилось, можно отключить.

1. Откройте групповую политику для контейнера, с которым хотите работать.

2. В дереве консоли раскройте узел Конфигурация компьютсра\Параметры Wmdows\IIapaMeTpbi безопасности (Computer Configuration\Windows Settings\Security Settings). Далее раскройте узел Локальные политики (Local Policies) и выберите Параметры безопасности (Security Options).

3. Дважды щелкните политику Сетевая безопасность: Принудительный вывод из сеанса по истечении допустимых часов работы (Network Security: Force Logoff When Logon Hours Expire) — откроется окно ее свойств.

4. Щелкните Включен (Enabled), чтобы активизировать политику, а затем — ОК.

Настройка компьютеров, с которых пользователи входят в систему

Вы вправе разрешать или запрещать пользователям работать на определенных компьютерах и входить с них в сеть. На рабочих станциях с Windows Server 2003 пользователям по умолчанию разрешается входить в домен с любого компьютера, по любой действующей учетной записи, включая гостевые.

Разрешая пользователям работать на любой рабочей станции, вы резко снижаете безопасность, Определив список разрешенных рабочих станций, вы закроете потенциальную брешь в защите домена. Теперь хакерам придется отыскивать не только пароль и имя пользователя, но и рабочую станцию, на которой этому пользователю разрешено работать.

Примечание Внутри домена ограничение рабочих станций для входа в систему действует лишь при наличии Windows 2000, Windows NT и Windows XP. На компьютеры с Windows 95 или Windows 98 это ограничение не распространяется: для входа в систему требуется только пароль и имя пользователя.

Рабочие станции для входа в систему задаются так.

1. Раскройте окно свойств пользователя в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и перейдите на вкладку Учетная запись (Account).

2. Щелкните кнопку Вход на (Log On To), чтобы открыть диалоговое окно Рабочие станции для входа в систему (Logon Workstations).

3. Установите перекл ючатель Только па указанные компьютеры (The following computers), как показано на рис. 8.6.

Рис. 8.6. Чтобы ограничить доступ к сети, определите рабочие станции для входа в нее

4. Введите имя рабочей станции и щелкните Добавить (Add). Чтобы указать несколько рабочих станций, повторите эту операцию.

5. Если вы ошиблись при заполнении, выделите ошибочную запись и щелкните Изменить (Edit) или Удалить (Remove).

Настройка привилегий доступа по телефону и через VPN

На вкладке Входящие звонки (Dial-In) окна свойств пользователя можно настроить параметры удаленного доступа к сети, которые управляют подключением к ней по телефону и посредством виртуальной частной сети (virtual private network, VPN).

По умолчанию привилегии удаленного доступа управляются через Политику удаленного доступа (Remote Access Policy). Можно разрешить или запретить пользователю удаленный и в окне свойств его учетной записи, установив переключатель Разрешить доступ (Allow Access) или Запретить доступ (Deny Access), как показано на рис. 9-7. В любом случае, прежде чем пользователь сможет получить удаленный доступ к сети, необходимо выполнить следующие действия.

1. Установите Службу удаленного доступа (Remote Access Services) с помощью Мастера настройки сервера (Configure Your Server).

2. В окне редактора групповой политики для нужного сайта, домена или подразделения раскройте узлы Конфигурация пользователя\Адмшшстративные шаблоны\Сетъ (User Configuration\Administrative Templates\Nctwork) и выделите узел Сетевые подключения (Network Connections). Настройте групповую политику.

3. В консоли Управление компьютером (Computer Management) раскройте Службы и приложения (Services and Applications) и выберите Маршрутизация и удаленный доступ (Routing and Remote Access). Включите удаленный доступ, настроив службу Маршрутизация и удаленный доступ (Routing and Remote Access).

Когда пользователь получит разрешение на удаленный доступ к сети, на вкладке Входящие звонки (Dial-Гп) окна свойств учетной записи нужно настроить дополнительные параметры входящих звонков (рис. 8.7).

Рис. 8.7. Параметры вызова по телефону регулируют удаленный доступ к сети

1. Если пользователь должен дозваниваться с определенного номера, выберите Проверять код звонящего (Verify Caller-ID), а затем введите номер телефона, с которого пользователь будет входить в систему. При этом ваша телефонная система должна поддерживать функции АОН (автоматического определения номера).

2. Задайте параметры ответного вызова:

• Ответный вызов не выполняется (No Callback) — пользователь дозванивается, подключается и при необходимости сам оплачивает телефонное соединение;

• Устанавливается вызывающим (Set by Caller) — сервер узнает номер телефона дозвонившегося пользователя, отключает его и звонит ему сам, при этом телефонное соединение оплачивает компания;

• Всегда по этому номеру (Always Callback to) — позволяет заранее указать номер ответного вызова с целью повышения безопасности; сервер перезванивает дозвонившемуся пользователю по этому номеру, компания оплачивает телефонное соединение.

Примечание Назначать ответный вызов пользователям, которые дозваниваются через коммутатор, нежелательно. Коммутатор может помешать пользователю правильно подключиться к сети. Также нельзя использовать предварительно назначенные номера ответного вызова на многоканальных линиях. Такие линии не всегда работают надлежащим образом.

3. При необходимости укажите статические IP-адреса и статические маршруты телефонных соединений в полях Статический IP-адрес пользователя (Assign a Static IP Address) и Использовать статическую маршрутизацию (Apply Static Routes).

Создание локальных профилей

В Windows 2000 и более поздних версиях профили пользователей хранятся в папке по умолчанию или в папке, заданной в поле Путь к профилю (Profile Path) окна свойств пользователя.

Стандартное расположение папки профилей зависит от конфигурации рабочей станции.

- ОС Windows установлена в режиме обновления — профиль пользователя расположен по адресу %SystemRoot%\PTO~files\% UserName% \NTUSER.DAT, где %SystemRoot% - корневой каталог ОС (например, C:\Winnt), a %UserName% — имя пользователя.

- ОС Windows установлена в режиме новой установки — профиль пользователя расположен по адресу %SystemDrive%\Documents and Settingp\%UserName%.%UserDomain%, например F:\Documents and Settings\wrstanek.adatum\ntuser.dat. На контроллере домена профиль расположен по адресу %SystemDrive%\Documents and Settings\%UserName%, например F:\Documents and Settings\wrstanek.

Если не изменить каталог по умолчанию, пользователю придется работать с локальным профилем.

Создание перемещаемых профилей

Перемещаемые профили хранятся на серверах Windows Server 2003. Чтобы пользователь имел перемещаемый профиль, его папка должна располагаться на сервере.

1. Создайте общую папку на сервере Windows Server 2003 и убедитесь, что группа Все (Everyone) имеет к пей доступ.

2. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) в окне свойств пользователя перейдите па вкладку Профиль (Profile). Введите путь к общей папке в поле Путь к профилю (Profile Path) и введите \имя_cepвepa\имяпапки,профuля\uмя_naaьзoвaтеля (например, \\Zeta\user_profiles\georgej), где Zeta — имя сервера, user_profiles — общая папка, a georgej — имя пользователя.

Перемещаемый профиль будет храниться в файле NTUSER.DAT указанной папки.

Примечание Обычно создавать папку профиля не требуется. Она создается автоматически при входе пользователя в систему.

3. При необходимости создайте профиль пользователя или скопируйте в папку существующий профиль. Если вы этого не сделаете, в следующий раз пользователь войдет в систему по стандартному локальному профилю. Любые изменения этого профиля будут сохранены, когда пользователь выйдет из системы. Таким образом, при очередном входе пользователь получит личный профиль.

Создание обязательных профилей

Обязательные профили хранятся на серверах Windows Server 2003. Чтобы назначить пользователю обязательный профиль, сделайте так.

1. Выполните пункты 1 -2 предыдущего раздела.

2. Переименуйте файл NTUSER.DAT в %UserName%\NTUSER.MAN. Теперь при следующем входе в систему пользователь будет обладать обязательным профилем..

Примечание Файл NTUSER.DAT содержит пользовательские параметры системного реестра. Замена расширения файла на NTUSER.MAN заставляет Windows Server 2003 создавать обязательный профиль.

Управление локальными профилями из окна свойств системы

Для управления системными профилями нужно войти на компьютер пользователя и дважды щелкнуть значок Система (System) в Панели управления (Control Panel). Чтобы просмотреть текущий профиль, перейдите на вкладку Дополнительно (Advanced) и щелкните кнопку Параметры (Settings) в области Профили пользователей (User Profiles).

В окне Профили пользователей (User Profiles) отражена информация обо всех профилях на локальной системе (рис. 8.8).

Поля имеют следующие значения.

• Имя (Name) — имя локального профиля, обычно содержащее имя домена или компьютера и имя записи пользователя. Например, имя webatwork\wrstanek означает, что первоначальный профиль получен от домена webatwork, а запись пользователя — wrstanek.

Примечание Если удалить учетную запись, не удаляя соответствующий профиль, можно увидеть строку Запись удалена (Account Deleted) или Неизвестная запись (Account

Unknown). He беспокойтесь, профиль все еще доступен для копирования.

Размер (Size) - размер профиля. Обычно чем больше файл профиля, тем больше параметров окружения настроил пользователь.

Тип (Туре) — тип профиля: локальный или перемещаемый.

Состояние (Status) — текущее состояние профиля.

Изменен (Modified) — дата последнего изменения профиля.

Рис. 8.8. В окне Профили пользователей (User Profiles) можно управлять локальными профилями

Создание профиля вручную

Чтобы создать профиль вручную, надо войти в систему по учетной записи пользователя, полностью настроить среду и выйти. Так как это занимает много времени, лучше создать базовую запись пользователя, настроить ее среду, а затем применять ее как основу для других записей.

Копирование профиля в новую учетную запись пользователя

Чтобы скопировать существующий профиль в новую учетную запись, воспользуйтесь окном свойств системы.

1. Щелкните дважды значок Система (System) в панели управления и перейдите па вкладку Дополнительно (Advanced). Затем щелкните кнопку Параметры (Settings) в области Профили пользователей (User Profiles).

2. В списке Профили, хранящиеся на этом компьютере (Profiles stored on this computer) выделите профиль, который нужно скопировать.

3. Щелкните кнопку Копировать (Сору То) и введите путь к новой папке профиля в поле Копировать профиль па (Сору Profile To), как показано на рис. 8.9. Например, если вы создали профиль для пользователя georgej, введите \\Zeta\user_profiles\georgej.

Рис. 8.9. Диалоговое окно Копирование профиля (Сору То) позволяет ввести адрес папки профиля и разрешить ее использование определенному пользователю

4. Теперь нужно открыть пользователю доступ к профилю. Щелкните кнопку Изменить (Change) в области Разрешите использование (Permitted to use) и в диалоговом окне Выбор:

Пользователь или группа (Select User Or Group) укажите учетную запись пользователя.

5. Щелкните ОК, и Windows Server 2003 скопирует профиль в новый каталог.

При работе с, рабочими фуппами, в которых каждый компьютер управляется: независимо, приходится часто копировать профиль пользователя с одного компьютера на другой. Копирование профилей позволяет пользователям работать с едиными параметрами среды на разных компьютерах. Естественно, в домене Windows Server 2003 для реализации этой возможности предназначены перемещаемые профили. Но лаже и в этом случае иногда может понадобиться скопировать существующий локальный профиль поверх перемещаемого профиля пользователя (когда перемещаемый профиль поврежден) или в перемещаемый профиль другого домена.

Копирование профиля поверх существующего производится точно так же, как описано в предыдущем разделе. Разница лишь в том, что в пункте 3 вы вводите путь не к повой, а к уже существующей папке профиля. Когда вы щелкнете ОК в диалоговом окне Копирование профиля (Сору То), на экране появится предупреждение о том, что текущее содержимое папки будет удалено. Щелкните Да (Yes).

Удаление локального профиля и назначение нового

В Windows Server 2003 пользователи, не имеющие перемещаемых профилей, работают с локальными профилями. Кроме того, локальный профиль применяется, если у него более поздняя дата изменения, чем у перемещаемого. В некоторых обстоятельствах локальный профиль приходится удалять, например, если он поврежден. Делается это так.

1. Войдите на компьютер пользователя.

2. Щелкните дважды значок Система (System) в панели управления и перейдите на вкладку Дополнительно (Advanced). Затем щелкните кнопку Параметры (Settings) в области Профили пользователей (User Profiles).

3. Выделите удаляемый профиль и щелкните Удалить (Delete). Затем щелкните Да (Yes).

Примечание Нельзя удалить применяемый профиль. Если пользователь работает на локальной системе (компьютер, с которого вы удаляете профиль), то ему следует выйти из системы. Иногда Windows Server 2003 помечает профили как занятые, хотя на самом деле это не так. Обычно это происходит в результате некорректного изменения среды пользователя. Чтобы исправить эту ошибку, перезагрузите компьютер.

При следующем входе пользователя в систему Windows Server 2003 произведет одну из двух операций: предоставит пользователю локальный профиль системы по умолчанию или найдет перемещаемый профиль пользователя на другом компьютере.

Если ни тот, пи другой варианты вас не устраивают, сделайте следующее:

• скопируйте существующий профиль в папку профиля пользователя (подробнее об этом — и следующем разделе);

• обновите параметры профиля пользователя в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

Изменение типа профиля

В окне свойств системы можно изменить тип перемещаемого профиля. Чтобы сделать это, выделите профиль и щелкните кнопку Сменить тип (Change Type). Параметры диалогового окна позволяют:

• сделан, перемещаемый профиль локальным, чтобы пользователь всегда работал па этом компьютере с локальным профилем (исходный перемещаемый профиль остается неизменным);

• сделать локальный профиль перемещаемым. Это возможно только в случае, если профиль пользователя изначально был перемещаемым, а затем его преобразовали в локальный.

Примечание Недоступность этих параметров означает, что профиль пользователя изначально определен как локальный.

Обновление учетных записей пользователей и групп

Консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers) позволяет обновить доменную учетную запись пользователя или группы. Для обновления локальной учетной записи пользователя или группы предназначена оснастка Локальные пользователи и группы (Local Users and Groups).

Когда вы работаете е Active Directory, вам иногда требуется полный список учетных записей, например, чтобы найти в нем тех пользователей, которые перестали работать в компании, и отключить их учетные записи. Это можно сделать так.

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) правой кнопкой мыши щелкните имя домена и выберите Найти (Find).

2. В списке Найти (Find) выберите вариант Пользовательский поиск (Custom Search). В диалоговом окне Поиск (Find) появится вкладка Пользовательский поиск (Custom Search).

3. В списке В (In) задайте область поиска. Для поиска по всему каталогу выберите Целиком Active Directory (Entire Directory).

4. Щелкните кнопку Поле (Field), раскройте подменю Пользователь (User) и выберите Имя входа (пред-Windows 2000) [Logon Name (Prc-Windows 2000)].

5. В списке Условие (Condition) выберите вариант Присутствует (Present) и щелкните Добавить (Add). При необходимости щелкните Да (Yes).

6. Щелкните Найти (Find Now). В нижней части окна появится список всех пользователей из консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

7. Выделите одну или несколько учетных записей, при необходимости воспользовавшись клавишами Ctrl и Shift.

8. Правой кнопкой мыши щелкните выделенные записи и выберите в контекстном меню нужное действие, например Отключить учетную запись (Disable Account).

Примечание С несколькими учетными записями вы можете выполнить следующие действия: добавить их в группу, включить, отключить, удалить и переместить.

Точно таким же образом можно получить список компьютеров, групп или других ресурсов Active Directory.

Переименование учетных записей пользователей и групп

1. Раскройте консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers) или Локальные пользователи и группы (Local Users and Groups) и найдите нужную учетную запись.

2. Щелкните ее правой кнопкой, выберите Переименовать (Rename) введите новое имя. Идентификаторы SID

При переименовании учетной записи пользователя ей назначается новое имя. Имена пользователей облегчают управление учетными записями, но реально для идентификации, контроля и обработки учетных записей Windows Server 2003 применяет дескриптор безопасности SID, не зависящий от имени пользователя. SID — уникальный идентификатор, генерируемый при создании учетной записи.

Поскольку для идентификации записи необходимо не ее имя, a SID, при переименовании записи вам не придется заново задавать ее разрешения и привилегии. Windows Server 2003 просто связывает старый STD с новым именем.

Частая причина переименования учетной записи — изменение фамилии пользователя. Например, если Линда Мартин (lindam) вышла замуж, став Линдой Роберте, и захотела изменить свое пользовательское имя на lindar, вы просто переименовываете пользователя lindani в lindar. Все связанные с именем lindam привилегии и разрешения сохранятся и за именем lindar. Если раньше lindam имела доступ к файлу, то теперь доступ открыт для lindar, а имя lindam будет исключено из списка доступа.

Копирование доменных учетных записей пользователей

Создавать новые доменные учетные записи «на пустом месте» довольно утомительно. В качестве отправной точки можно взять уже существующую запись.

1. Откройте консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers), щелкните правой кнопкой запись, которую нужно скопировать, и выберите Копировать (Сору). Откроется окно Копировать объект — Пользователь (Copy Object — User).

2. Задайте параметры новой учетной записи. Затем при необходимости исправьте свойства, перенесенные из исходной записи.

При копировании учетной записи консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers) переносит в копию не всю информацию из исходной учетной записи, пропуская данные, которые так или иначе потребуют обновления. К сохраняемым свойствам относятся:

• город, область, индекс и страна на вкладке Адрес (Address);

• отдел и компания на вкладке Организация (Organization);

• параметры записи, заданные на вкладке Учетная запись (Account);

• допустимое время и рабочие станции для входа в систему;

• срок действия учетной записи;

• членство в группах;

• параметры профиля;

• параметры доступа по телефону.

Примечание Если для определения параметров профиля исходной учетной записи вы использовали переменные среды, то они будут применяться и в копии учетной записи. Например, если переменная в исходной записи — %UserName%, то она же будет применяться и в ее копии.

Изменение и переустановка пароля

Администратору приходится часто изменять или обнулять пароли пользователей. Обычно это требуется, когда пользователь забывает спой пароль или когда время действия пароля истекло.

1. Откройте консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers) или Локальные пользователи и группы (Local Users and Groups) в зависимости от типа учетной записи.

2. Щелкните правой кнопкой имя записи и в контекстном меню выберите Смена пароля (Reset Password) или Задать пароль (Set Password).

3. Введите новый пароль пользователя и подтвердите его. Пароль должен соответствовать набору правил паролей компьютера или домена.

4. Дважды цел книге имя пользователя и при необходимости сбросьте флажок Отключить учетную запись (Account is disabled) или Заблокировать учетную запись (Account is locked out). Эти флажки располагаются на вкладке Учетная запись (Account).

Включение учетных записей пользователей

Учетные записи пользователей могут быть отключены по нескольким причинам: пользователь забыл пароль и пытался угадать его; пользователь нарушил правила учетной записи; другой администратор отключил учетную запись на время отпуска пользователя; закончился срок действия учетной записи.

Включение отключенной учетной записи

Если учетная запись отключена, для ее включения выполните следующие действия.

1. Откройте консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers) или Локальные пользователи и группы (Local Users and Groups) в зависимости от типа учетной записи.

2. Дважды щелкните имя пользователя и сбросьте флажок Отключить учетную запись (Account is disabled). Этот флажок находится на вкладке Учетная запись (Account).

Включение заблокированной учетной записи

Если учетная запись заблокирована, для ее включения выполните следующие действия.

1. Откройте консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers) или Локальные пользователи и группы (Local Users and Groups) в зависимости от типа учетной записи.

2. Дважды щелкните имя учетной записи пользователя и снимите флажок Заблокировать учетную запись (Account is locked out). Этот флажок находится на вкладке Учетная запись (Account).

Примечание Если учетные записи блокируются слишком часто, скорректируйте правила учетных записей в домене: увеличьте количество допустимых попыток входа в систему и сократите продолжительность хранения счетчика неудачных попыток.

Включение просроченной учетной записи

В отличие от локальных учетных записей доменные учетные записи имеют ограниченный срок действия. Если срок действия учетной записи истек, сделайте так.

1. Откройте консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. Дважды щелкните имя учетной записи пользователя и перейдите на вкладку Учетная запись (Account).

3. В области Срок действия учетной записи (Account Expires) выберите Истекает (End Of) и раскройте список. Появится календарь, в котором можно назначить новый срок действия.

Управление несколькими учетными записями пользователей

С помощью консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) вы можете одновременно изменить свойства нескольких учетных записей. Вот что для этого нужно сделать:

• чтобы «поштучно» выбрать для редактирования несколько имен пользователей, нажмите клавишу Ctrl и, не отпуская ее, щелкните все нужные учетные записи;

• чтобы выбрать для редактирования несколько последовательных имен пользователей, нажмите клавишу Shift и, не отпуская ее, щелкните сначала первую, а затем последнюю запись диапазона.

Выделив все нужные учетные записи, щелкните их правой кнопкой мыши, чтобы открылось контекстное меню. Вам доступны следующие возможности:

• Добавить в группу (Add to a Group) — открывает диалоговое окно Выбор: Группа (Select Group); в нем можно выбрать группу, членами которой должны стать выделенные записи;

• Отключить учетную запись (Disable Account) — выключает все выделенные учетные записи;

• Включить учетную запись (Enable Account) — включает все выделенные учетные записи;

• Переместить (Move) — перемещает выделенные учетные записи и новый контейнер или ОП;

• Свойства (Properties) — позволяет конфигурировать ограниченный набор свойств для нескольких учетных записей.

Обратите внимание на следующие изменения:

поля для ввода имени учетной записи и пароля недоступны. Однако вы вправе задать имя домена DNS (суффикс UPN), время входа, разрешенные компьютеры, параметры учетной записи, срок действия учетной записи и параметры профиля;

вы должны с помощью флажком указать поля, с которыми хотите работать. После этого введенное в ноле значение применяется ко всем выделенным учетным записям.

Назначение времени входа для нескольких учетных записей

1. Выделите нужные учетные записи в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. Щелкните выделенные записи правой кнопкой мыши и выберите Свойства (Properties). В открывшемся диалоговом окне перейдите на вкладку Учетная запись (Account).

3. Установите флажок Время входа (Logon Hours) и щелкните кнопку Время входа (Logon Hours). Задайте допустимое время входа.

Примечание Имейте в виду, что при выделении нескольких учетных записей в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) вы не увидите, какие времена входа были назначены им до этого. И консоль не предупредит вас, что назначаемое вами время входа отличается от предыдущих параметров.

Настройка разрешенных рабочих станций для нескольких учетных записей

Настроить разрешенные рабочие станции для нескольких учетных записей можно в диалоговом окне Рабочие станции для входа в систему (Logon Workstations). Делается это следующим образом.

1. Выделите нужные учетные записи в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. Щелкните выделенные записи правой кнопкой мыши и выберите Свойства (Properties). В открывшемся диалоговом окне перейдите на вкладку Учетная запись (Account).

3. Установите флажок Ограничения компьютера (Computer Restrictions) и щелкните кнопку Вход на (Log On To).

4. Чтобы разрешить пользователям регистрироваться на всех рабочих станциях, установите переключатель На все компьютеры (All Computers). Чтобы разрешить использование лишь некоторых рабочих станций, щелкните переключатель Только на указанные компьютеры (The Following Computers) и введите имена до восьми рабочих станций. Когда вы щелкнете ОК, эти параметры будут применены ко всем выделенным учетным записям.

Настройка свойств входа, пароля и срока действия для нескольких учетных записей

Параметры, управляющие процессом входа, паролями и сроком действия записи, задаются на вкладке Учетная запись (Account) диалогового окна свойств учетной записи. Когда вы работаете с несколькими учетными записями, вы должны установить на этой вкладке соответствующий флажок в крайнем левом столбце, а затем сделать следующее:

- установите флажок во втором слева столбце, чтобы включить параметр. Например, если вы установите оба флажка параметра Срок действия пароля неограничен (Password Never Expires), для указанных пользователей срок действия пароля истекать не будет;

- не устанавливайте флажок во втором слева столбце, чтобы отключить параметр. Например, если вы включите крайний левый флажок для параметра Отключить учетную запись (Account is disabled), а второй слева флажок оставите пустым, учетные записи для выбранных пользователей будут включены.

Чтобы задать срок действия выбранных учетных записей, установите флажок Срок действия учетной записи (Account Expires), а затем укажите соответствующее значение срока действия. Переключателем tie ограничен (Never) вы удалите все существующие ограничения на сроки действия выделенных учетных записей

Дополнительные разрешения Active Directory

Учетные записи пользователей, групп и компьютеров представлены в Active Directory как объекты. С ними сопоставлены стандартные и расширенные разрешения безопасности, посредством которых вы предоставляете или запрещаете доступ к объектам. Ознакомиться с дополнительными разрешениями безопасности для объектов можно, выполнив следующие действия.

1. Запустите консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers). В меню Вид (View) включите команду Дополнительные функции (Advanced Features) — выберите ее, если возле нее не стоит галочка. Если галочка уже проставлена, делать с командой ничего не нужно.

2. Раскройте нужный контейнер, правой кнопкой мыши щелкните учетную запись пользователя, группы или компьютера, с которой хотите работать, и выберите в контекстном меню команду Свойства (Properties).

3. Перейдите на вкладку Безопасность (Security) диалогового окна свойств учетной записи и выделите пользователя, группу или компьютер, разрешения которых хотите просмотреть. Если флажки затемнены, разрешения наследуются от родительского объекта.

Основные сведения о дополнительных разрешениях

Дополнительные разрешения для объектов Active Directory не так очевидны, как другие разрешения. В частности, они могут быть уникальными для объектов данного типа или для данного контейнера.

Чтобы настроить дополнительные разрешения для объектов Active Directory, выполните следующие действия.

1. Запустите консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и правой кнопкой мыши щелкните учетную запись пользователя, группы или компьютера, с которой хотите работать.

2. Выберите в контекст ном меню команду Свойства (Properties) и перейдите на вкладку Безопасность (Security) диалогового окна свойств учетной записи (рис. 8.10).

Рис. 8.10. В этом окне настраиваются разрешения объектов

3. Выберите пользователя или группу и задайте или отмените соответствующие разрешения в списке Разрешения для (Permissions for). Флажки унаследованных разрешений затемнены. Чтобы отказаться от наследования, задайте противоположное по смыслу разрешение.

4. Чтобы настроить доступ к разрешениям для пользователей, компьютеров или групп, которые не указаны в окне, щелкните кнопку Добавить (Add).

5. Введите имя пользователя, компьютера или группы и щелкните ОК. Затем в списке Разрешения для (Permissions for) задайте или отмените разрешения. При необходимости повторите эти действия для других пользователей, компьютеров или групп.

6. Щелкните ОК.