Лабораторная работа 5

Лабораторная работа № 7

Создание учетных записей пользователей и групп

Настройка политик учетных записей

Групповые политики разрешается применять на разных уровнях внутри сетевой структуры. В контейнере групповой политики вы можете настроить учетные политики.

1. Раскройте узел Политики учетных записей (Account Policies) консоли Групповая политика (Group Policy), как показано на рис. 7.1.

Рис. 7.1. Используйте элементы узла Политики учетных записей (Account Policies) для настройки политик паролей и общих правил использования учетных записей

2. Задайте параметры политик учетных записей в узлах Политика паролей (Password Policy), Политика блокировки учетных записей (Account Lockout Policy) и Политика Kerberos (Kerbcros Policy).

Примечание Политики Kerberos не используются на локальных компьютерах. Они доступны только в групповых политиках, которые влияют на сайты, домены и ОП.

3. Для настройки политики дважды щелкните соответствующий элемент или, щелкнув политику правой кнопкой, выберите Свойства (Properties) — откроется окно свойств политики. Примерный вид окна свойств локальной политики показан на рис. 7.2. Действующая политика для компьютера в домене отображается, но вы не можете изменить ее. Однако вы вправе корректировать параметры локальной политики для изолированных серверов. В последнем случае пропустите остальные пункты — они применяются для глобальных групповых политик. Окно свойств политики для сайтов, доменов или подразделений показано на рис. 7.3.

Рис. 7.2. Окно локальных политик позволяет просмотреть действующую политику, так же как и локальную

Рис. 7.3. Создавайте и конфигурируйте глобальные групповые политики из окна свойств

Примечание Политики сайтов, доменов и подразделений имеют приоритет над локальными политиками. Все политики либо определены, либо нет. Политика, не определенная в текущем контейнере, может быть унаследована от другого контейнера. Чтобы включить политику, установите флажок Определить следующий параметр политики (Define this policy setting).

Примечание Некоторые политики имеют отрицательный смысл — их включение означает невозможность выполнения действия. Например, параметр Отказать во входе в качестве службы (Deny log on as a service) является отрицанием параметра Вход в качестве службы (Log on as a service).

Просмотр действующих политик

При работе с политиками учетных записей и назначением прав пользователей часто необходимо просмотреть действующую в системе политику, чтобы выяснить происхождение определенного параметра политики. Действующая политика определяется иерархическим порядком применения политик.

Политику, действующую на локальной системе, просматривают следующим образом.

1. Щелкните кнопку Пуск (Start)n выберите Выполнить (Run).

2. В поле Открыть (Open) введите mmc и щелкните ОК. Откроется пустая консоль ММС.

3. Выберите в меню Файл (File) команду Добавить или удалить оснастку (Add/Remove Snap-In), чтобы открыть одноименное диалоговое окно.

4. На вкладке Изолированная оснастка (Standalone) щелкните кнопку Добавить (Add).

5. В диалоговом окне Добавить изолированную оснастку (Add Standalone Snap-In) щелкните вариант Результирующая политика (Resultant Set of Policy), а затем — Добавить (Add).

6. Щелкните кнопку Закрыть (Close) и затем — ОК.

7. Правой кнопкой мыши щелкните узел Результирующая политика (Resultant Set of Policy) и выберите Создать данные RSoP (Generate RSoP Data). Откроется Мастер результирующей политики (Resultant Set of Policy Wizard). Два раза щелкните Далее (Next).

8. Чтобы просмотреть параметры узла Конфигурация компьютера (Computer Configuration) для локального компьютера, выберите Этот компьютер (This Computer). В противном случае выберите Другой компьютер (Another Computer) и введите его имя. При необходимости щелкните Обзор (Browse), чтобы найти нужную систему. Затем щелкните Далее (Next).

9. Чтобы просмотреть параметры узла Конфигурация пользователя (User Configuration) для текущего пользователя, выберите Текущий пользователь (Current User). В противном случае выберите Другого пользователя (Select a Specific User) и затем выделите учетную запись другого пользователя, зарегистрировавшегося в системе.

10. Два раза щелкните Далее (Next), а затем — Готово (Finish). Теперь, открыв нужный узел консоли Результирующая политика (Resultant Set of Policy), вы увидите текущие параметры соответствующей политики и их источник — объект GPO (рис. 7.4).

Рис. 7.4. В перечне локальных политик отображаются действующие политики, а также их источник

###### Настройка политик прав пользователя

Права пользователя назначаются через узел Локальные политики (Local Policies) консоли групповых политик. Как и подразумевает имя, локальные политики принадлежат локальному компьютеру, но вы также вправе импортировать их в Active Directory. Локальные политики можно настраивать как часть существующей групповой политики для сайта, домена или подразделения. Тогда они применяются к учетным записям компьютеров в сайте, домене или подразделении.

Политиками прав пользователя управляют так.

1. Раскройте нужный контейнер групповой политики и затем узлы Конфигурация компьютера (Computer Configuration), Конфигурация Windows (Windows Settings), Параметры безопасности (Security Sellings) и Локальные политики (Local Policies).

2. Раскройте узел Назначение прав пользователя (User righl assignments). Для настройки политики щелкните ее дважды или щелкните правой кнопкой и выберите в контекстном меню команду Безопасность (Security).

3. Настройте права пользователя как описано в пп. 1-3 раздела «Локальная настройка прав пользователя» или в пп. 1-6 следующего раздела.

Глобальная настройка прав пользователя

Вы можете настраивать индивидуальные права пользователя на уровне сайта, домена или подразделения.

1. Откройте диалоговое окно свойств для прав пользователя (рис. 8-5). Если эта политика не определена, установите флажок Определить следующие параметры политики (Define this policy setting).

Рис. 7.5. Определите право пользователя, а затем примените его к пользователям или группам

2. Для применения права к пользователю или группе щелкните кнопку Добавить пользователя или группу (Add User or Group). Затем в диалоговом окне Имя группы (Group Name) щелкните кнопку Обзор (Browse) — откроется диалоговое окно Выбор: пользователи, компьютеры или группы (Select Users, Computers, or Groups), показанное на рис. 7.6.

Рис. 7.6. Диалоговое окно Выбор: пользователи, компьютеры или группы (Select Users, Computers, or Groups) позволяет применить права пользователя к пользователям и группам

3. Введите имя пользователя или группы, которое хотите использовать, и щелкните Проверить имена (Check Name). По умолчанию поиск проводится среди встроенных участников безопасности и пользовательских учетных записей. Чтобы добавить в поиск группы, щелкните кнопку Типы объектов (Object Types), выделите Группы (Groups) и щелкните ОК.

4. Закончив выбор, щелкните ОК. Теперь в окне Добавление пользователей, компьютеров или групп (Add Users, Computers, Or Groups) должны отображаться выбранные учетные записи. Щелкните ОК.

5. Диалоговое окно свойств обновится, отображая ваш выбор. Если вы допустили ошибку, выберите имя и удалите его, щелкнув кнопку Удалить (Remove).

6. Щелкните ОК.

Локальная настройка прав пользователя

На локальных компьютерах права пользователя применяются так.

1. Откройте диалоговое окно свойств, подобное тому, что показано на рис. 7.7.

Рис. 7.7. Определив право пользователя, примените его к пользователям или группам

Примечание Помните, что политики сайтов, доменов или подразделений приоритетнее локальных политик.

2. В диалоговом окне Свойства (Properties) отображаются имена пользователей и групп, которым было дано соответствующее право. Чтобы отменить это назначение, выберите пользователя или группу и щелкните Удалить (Remove).

3. Назначьте право другим пользователям и группам, щелкнув кнопку Добавить пользователя или группу (Add User or Group).

######

###### Создание учетной записи пользователя

Вам придется создать учетную запись для каждого пользователя, который хочет обращаться к вашим сетевым ресурсам. Вы можете создать доменную учетную запись в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) или локальную — из консоли Локальные пользователи и группы (Local Users and Groups).

Создание доменной учетной записи пользователя

Создать новые доменные учетные записи можно двумя способами.

- Создание абсолютно новой учетной записи пользователя. Щелкните правой кнопкой контейнер, в который вы хотите поместить учетную запись пользователя, выберите в контекстном меню Создать (New), а затем — Пользователь (User). Откроется окно мастера Новый объект — Пользователь (New Object — User), показанное на рис. 7.8. К созданной учетной записи применяются системные параметры по умолчанию.

- Создание новой учетной записи на основе существующей. Вызовите контекстное меню правым щелчком учетной записи пользователя, которую хотите скопировать в консоль Active Directory — пользователи и компьютеры (Active Directory

Users and Computers), и выберите Копировать (Сору). Откроется мастер Копировать объект — Пользователь (Сору Object — User). Созданная копия учетной записи получает

большинство значений параметров существующей.

Рис. 7.8. Настройка отображаемого имени и имени для входа

Учетная запись создается с помощью мастеров Новый объект — Пользователь (New Object — User) или Копировать объект — Пользователь (Copy Object — User).

1. Запустите нужный мастер.

2. Введите имя, инициал и фамилию пользователя в соответствующих полях. Эти данные потребуются для создания отображаемого имени пользователя.

3. Отредактируйте введенное имя. Оно должно быть уникальным в домене и иметь длину не более 64 символов.

4. Введите имя для входа. С помощью раскрывающегося списка выберите домен, с которым будет связана учетная запись. Это задает полное имя для входа.

5. При необходимости измените имя пользователя для входа в системы с ОС Windows NT 4.0 или более ранними версиями. По умолчанию в качестве имени для входа в системы с предыдущими версиями Windows используются первые 20 символов полного имени пользователя. Это имя также должно быть уникальным в домене.

6. Щелкните Далее (Next). Укажите пароль для пользователя в открывшемся окне (рис. 7.9). Его параметры таковы:

• Пароль (Password) — пароль учетной записи, соответствующий вашей политике паролей;

• Подтверждение (Confirm Password) — поле, используемое для подтверждения правильности введенного пароля;

Требовать смену пароля при следующем входе в систему (User must change password at next logon) — если этот флажок установлен, пользователю придется изменить пароль при следующем входе в систему;

• Запретить смену пароля пользователем ( User cannot change password) — если этот флажок установлен, пользователь не может изменить пароль;

• Срок действия пароля не ограничен (Password never expires) — если этот флажок установлен, время действия пароля для этой учетной записи не ограничено; этот параметр перекрывает доменную политику учетных записей (неограниченный по сроку действия пароль устанавливать не рекомендуется, так как это противоречит самой цели использования паролей);

Отключить учетную запись (Account is disabled) — если этот флажок установлен, учетная запись не действует; параметр удобен для временного запрета использования кем-либо этой учетной записи.

Рис. 7.9. Настройка пароля пользователя

7. Щелкните Далее (Next), а затем Готово (Finish). Настройка дополнительных параметров учетной записи обсуждается далее в этой главе.

Создание локальных учетных записей пользователя

Локальные учетные записи создаются в консоли Локальные пользователи и группы (Local Users and Groups).

1. Откройте консоль Управление компьютером (Computer Management) с помощью одноименной команды меню Администрирование (Administrative Tools).

2. Щелкните правой кнопкой элемент Управление компьютером (Computer Management) в дереве консоли и выберите Подключиться к другому компьютеру (Connect to Another Computer). Укажите систему, локальными учетными записями которой будете управлять. На контроллерах домена нет локальных пользователей и групп.

3. Разверните узел Служебные программы (System Tools) и выделите Локальные пользователи и группы (Local Users and Groups).

4. Щелкните правой кнопкой элемент Пользователи (Users) и выберите в меню Новый пользователь (New User). Откроется одноименное окно (рис. 7.10) со следующими полями:

Рис. 7.10. Настройка локальной учетной записи пользователя отличается от доменной

• Пользователь (Username) — имя для входа учетной записи пользователя; должно соответствовать политике назначения имен локальным пользователям;

• Полное имя (Full Name) — полное имя пользователя;

• Описание (Description) — дополнительная информация о пользователе (должность, название отдела и т. д.);

• Пароль (Password) — пароль; должен соответствовать правилам политики паролей;

• Подтверяедение пароля (Confirm Password) — поле для подтверждения правильности введенного пароля;

• Требовать смену пароля при следующем входе в систему (User must change password at next logon) — если отмечено, пользователь должен изменить пароль при следующем входе в систему;

• Запретить смену пароля пользователем (User cannot change password) — если отмечено, пользователь не может самостоятельно изменить пароль;

• Срок действия пароля не ограничен (Password never expires) — если отмечено, время действия пароля для этой учетной записи не ограничено; этот параметр перекрывает локальную политику учетных записей;

• Отключить учетную запись (Account is disabled) — если отмечено, учетная запись заблокирована и не может применяться; это поле удобно для временного запрета использования кем-либо учетной записи.

5. Закончив настрой ку новой учетной записи, щелкните Создать (Create).

Создание глобальной группы

Глобальная группа создается так.

1. Запустите консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers). Щелкните правой кнопкой контейнер, в который хотите поместить учетную запись пользователя. Выберите Создать (New), а затем Группа (Group). Откроется диалоговое окно Новый объект — группа (New Object — Group), показанное на рис. 7.11.

Рис. 7.11. Диалоговое окно Новый объект — группа (New Object — Group) позволяет добавлять новые глобальные группы в домен

2. Введите имя группы. Имена глобальных учетных записей групп следуют тем же правилам, что и отображаемые имена для учетных записей пользователей. Они нечувствительны к регистру и могут содержать до 64 символов.

3. Первые 20 символов имени группы будут соответствовать имени группы в Windows NT версии 4.0 и более ранних версий. Это имя группы должно быть уникальным в домене. Если нужно, измените его.

4. Укажите область видимости группы — Локальная в домене (Domain Local), Глобальная (Global) или Универсальная (Universal).

Примечание Универсальные группы доступны только при работе Active Directory в основном режиме Windows 2000 и Windows Server 2003.

5. Выберите тип группы: Группа безопасности (Security) или Группа распространения (Distribution).

6. Щелкните ОК.

Создание локальных групп и выбор членов группы

Локальные группы создаются в консоли Локальные пользователи и группы (Local Users and Groups).

1. Откройте консоль Управление компьютером (Computer Management) с помощью одноименной команды меню Администрирование (Administrative Tools).

2. Щелкните правой кнопкой элемент Управление компьютером (Computer Management) в дерене консоли и выберите Подключиться к другому компьютеру (Connect to Another Computer). Выберите систему, локальными учетными записями которой будете управлять, На контроллерах домена нет локальных пользователей и групп.

3. Разверните узел Служебные программы (System Tools) и выделите Локальные пользователи и группы (Local Users and Groups).

4. Щелкнув правой кнопкой Группы (Groups), выберите Создать группу (New Group). Откроется диалоговое окно, показанное на рис. 7.12.

Рис. 7.12. Диалоговое окно для создания новой локальной группы

5. Введите имя и описание группы и щелкните кнопку Добавить (Add), чтобы добавить пользователей и группу.

6. В диалоговом окне Выбор - Пользователи (Select Users) введите имя нужного подпользователя и щелкните Проверить имена (Check Names). Если совпадения найдены, укажите нужную учетную запись и щелкните ОК. Если совпадения не найдены, исправьте введенное имя и выполните поиск снова. При необходимости повторите этот шаг и по окончании щелкните ОК.

7. Если вы допустили ошибку, выберите имя пользователя и удалите его, щелкнув кнопку Удалить (Remove).

8. Завершив добавлять или удалять членов группы, щелкните Создать (Create).

######

Выбор группы для учетной записи

Вы можете добавить в группу или удалить из нее учетную запись любого типа.

1. Дважды щелкните имя пользователя, компьютера или группы в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. В окне свойств выберите вкладку Член групп (Member of).

3. Чтобы сделать учетную запись членом группы, щелкните Добавить (Add). Откроется окно Выбор: Группы (Select Groups). Укажите группы, к которым будет принадлежать текущая учетная запись.

4. Чтобы удалить учетную запись из группы, выберите группу и щелкните Удалить (Remove).

5. Щелкните ОК.

Если вы работаете исключительно с пользовательскими учетными записями, вы можете добавить пользователей в группы следующим образом.

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users And Computers) выделите одну или несколько пользовательских учетных записей (для выделения нескольких записей воспользуйтесь клавишами Ctrl или Shift).

2. Правой кнопкой мыши щелкните выделенные элементы и выберите Добавить в группу (Add To Group) — откроется диалоговое окно Выбор: Группы (Select Groups). Теперь вы можете выбрать группы, членами которых должны быть выделенные учетные записи.

3. Щелкните ОК.

Включение в группу нескольких записей

Членством в группе можно управлять и через диалоговое окно свойств группы.

1. Дважды щелкните название группы в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers). Откроется окно свойств группы.

2. Выберите вкладку Члены группы (Members).

3. Для добавления учетных записей в группу щелкните Добавить (Add) и выберите пользователей, компьютеры и группы, которые должны быть членами текущей группы.

4. Для удаления членов группы выберите учетную запись и щелкните Удалить (Remove).

5. Щелкните ОК.

Настройка основной группы для пользователей и компьютеров

Основная группа назначается файлам или папкам, созданным пользователями Windows Server 2003 через службы для Macintosh. Все учетные записи пользователей и компьютеров должны иметь основную группу независимо от того, получает учетная запись доступ к системе, работающей под Windows Server 2003, через службы для Macintosh или нет. Эта группа должна быть глобальной или универсальной, как, например, глобальная группа Пользователи домена (Domain Users) или глобальная группа Компьютеры домена (Domain Computers). Основная группа настраивается так.

1. Дважды щелкните имя пользователя или компьютера в окне консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers). Откроется окно свойств.

2. Перейдите на вкладку Член групп (Member of).

3. В списке укажите группу с глобальной или универсальной областью видимости.

4. Щелкните кнопку Задать основную группу (Set Primary Group). Все пользователи должны быть членами хотя бы одной основной группы. Вы не можете отменить членство в основной группе, пока не выберете для пользователя другую основную группу.

1. Выберите в списке другую грУппУ с глобальной или универсальной областью видимости и щелкните кнопку Задать основную группу (Set Primary Group).

2. В этом же списке выберите предыдущую основную группу и щелкните кнопку Удалить (Remove). Теперь членство в группе отменено.