Лабораторная работа 5

Лабораторная работа №6

Основы администрирования Active Directory

Средства администрирования Active Directory

Одним из средств администрирования является — оснастка Схема Active Directory (Active Directory Schema) — позволяет управлять и модифицировать схему каталога. Если вы загрузили пакет AdminPak, для добавления оснастки Схема Active Directory (Active Directory Schema) в консоль ММС нужно выполнить следующие действия.

1. Введите в командной строке regsvr32 schmmgmt.dll, чтобы зарегистрировать схему Active Directory.

2. Щелкните кнопку Пуск (Start) и выберите команду Выполнить (Run).

3. Введите mmc в поле Открыть (Open) и щелкните ОК. Откроется пустая консоль ММС.

4. Выберите в меню Консоль (Console) команду Добавить или удалить оснастку (Add/Remove Snap-In). Откроется одноименное диалоговое окно.

5. Перейдите на вкладку Изолированная оснастка (Standalone) и щелкните Добавить (Add).

6. В диалоговом окне Добавить изолированную оснастку (Add Standalone Snap-In) выделите оснастку Схема Active Directory (Active Directory Schema) и щелкните Добавить (Add).

7. Щелкните Закрыть (Close), а затем — ОК.

Открытие консоли Active Directory

Для запуска Active Directory — пользователи и компьютеры (Active Directory Users and Computers) выберите одноименную команду в меню Администрирование (Administrative Tools). Также можно добавить Active Directory — пользователи и компьютеры (Active Directory Users and Computers) как оснастку в любую настраиваемую консоль.

1. В меню Файл (File) консоли ММС выберите команду Добавить или удалить оснастку (Add/Remove Snap-In). Откроется одноименное окно.

2. На вкладке Изолированная оснастка (Standalone) щелкните Добавить (Add).

3. В окне Добавить изолированную оснастку (Add Standalone Snap-In) выделите Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и щелкните Добавить (Add).

4. Щелкните Закрыть (Close), а затем — ОК.

Соединение с контроллером домена

Соединение с контроллером домена позволяет решать несколько задач. Если после запуска Active Directory — пользователи и компьютеры (Active Directory Users and Computers) вы не видите загруженного объекта, следует связаться с контроллером другого домена, чтобы проверить, нет ли этого объекта там. Вы можете также связаться с контроллером домена, если подозреваете, что репликация выполняется неправильно. Подключившись, вы выявите несоответствия в недавно обновленных объектах.

Чтобы связаться с контроллером домена, выполните следующие действия.

1. В дереве консоли щелкните правой кнопкой элемент Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и выберите команду Подключение к контроллеру домена (Connect to Domain Controller). Откроется одноименное окно (рис. 6.1).

Рис. 6.1. Выбор контроллера домена в окне Подключение к контроллеру домена (Connect to Domain Controller)

2. В списке Доступные контроллеры (Available Controllers) перечислены доступные контроллеры заданного домена. По умолчанию выбран вариант Любой контроллер домена с возможностью записи (Any writable domain controller). Если вы сохраните этот параметр, то свяжетесь с контроллером, который первым ответит на запрос. При необходимости выберите конкретный контроллер, с которым нужно связаться.

3. Щелкните ОК.

Соединение с доменом

Если у вас есть соответствующие права доступа, в консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) разрешается работать с любым доменом в лесу.

Вот как связаться с доменом.

1. В дереве консоли щелкните правой кнопкой элемент Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и выберите Подключение к домену (Connect to Domain).

2. В одноименном окне отображается текущий или принятый по умолчанию домен. Введите имя нового домена и щелкните ОК или щелкните Обзор (Browse), а потом укажите домен в диалоговом окне.

##### Поиск учетных записей и общих ресурсов

В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) предусмотрена встроенная функция поиска учетных записей, общих ресурсов и других объектов каталога в текущем или указанном домене или во всем каталоге.

1. В дереве консоли щелкните правой кнопкой текущий домен или конкретный контейнер, и котором хотите вести поиск, и выберите команду Найти (Find). Откроется окно Поиск (Find), подобное показанному на рис. 6.2.

2. Выберите в списке Найти (Find) нужный вариант:

• Пользователи, контакты и группы (Users, Contacts, and Groups) — учетные записи пользователей и групп, а также контакты, перечисленные в службе каталогов;

• Компьютеры (Computers) — учетные записи компьютеров, отсортированные по типу, имени и владельцу;

• Принтеры (Printers) — принтеры, отсортированные по имени, модели и свойствам;

Рис. 6.2. Это диалоговое окно предназначено для поиска ресурсов в Active Directory

• Общие папки (Shared Folders) — общие папки, отсортированные но имени или ключевому слову;

• Организационные подразделения (Organizational Units) — ОП, отсортированные по имени;

• Пользовательский поиск (Custom Search) — углубленный поиск или запрос но протоколу LDAP;

• Общие запросы (Common Queries) — упрощенный поиск имен и описаний учетных записей, отключенных учетных записей, паролей с неограниченным сроком действия и др.

3. Задайте область поиска в списке В (In). Если вы до этого щелкнули правой кнопкой контейнер, например Computers, он будет выбран по умолчанию. Чтобы искать все объекты в каталоге, выберите в списке вариант Целиком Active Directory (Entire Directory).

4. Введя параметры поиска, щелкните Найти (Find Now). Все отвечающие условиями поиска разделы отображаются в нижней части окна (рис. 6.3). Дважды щелкните объект для просмотра или изменения его свойств. Щелкните объект правой кнопкой для отображения меню команд управления объектом.

Примечание Тип поиска определяет, какие поля и вкладки

доступны в диалоговом окне Поиск (Find). Как правило, вы просто вводите имя искомого объекта в поле Имя (Name), но есть и другие параметры поиска. Например, вы можете искать цветной принтер, принтер, который может печатать на обеих сторонах листа, и т. п.

Рис. 6.3. Отвечающие условиями поиска объекты отображаются в нижней части окна

Создание учетной записи компьютера

Вот как создать учетную запись компьютера с помощью консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

1. В дерене консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) щелкните правой кнопкой контейнер, в котором хотите разместить учетную запись компьютера.

2. Щелкните Создать (New), а потом — Компьютер (Computer). Будет запущен мастер Новый объект - компьютер (New Object — Computer), первое окно которого показано на рис. 6.4.

Введите имя клиентского компьютера.

Рис. 6.4. Создание новой учетной записи компьютера

3. По умолчанию присоединять компьютеры к домену вправе только члены группы Администраторы домена (Domain Admins). Чтобы разрешить это другим пользователям или группам, щелкните Изменить (Change) и укажите их учетные записи.

4. Если с этой учетной записью будут работать системы Windows NT, установите флажок Назначить учетной записи статус пред-Windows 2000 компьютера (Assign this computer account as a pre-Windows 2000 computer).

5. Два раза щелкните Далее (Next), а потом — Готово (Finish).

Просмотр и редактирование свойств учетной записи компьютера

1. Запустите Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. В дереве консоли раскройте узел домена, щелкнув значок «плюс» (+) рядом с его именем.

3. Найдите контейнер или ОП, в котором расположена учетная запись компьютера.

4. Щелкните правой кнопкой нужную учетную запись и выберите Свойства (Properties).

Удаление, отключение и включение учетных записей компьютера

Если вам больше не нужна учетная запись какого-то компьютера, вы можете навсегда удалить ее из Active Directory или временно отключить, чтобы активизировать ее позднее.

1. В меню Администрирование (Administrative Tools) выберите команду Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. В дереве консоли щелкните контейнер, где расположена учетная запись компьютеру. Затем щелкните правой кнопкой саму запись компьютера.

3. Выберите одну из команд контекстного меню:

• Удалить (Delete), чтобы навсегда удалить учетную запись;

• Отключить учетную запись (Disable Account), чтобы временно отключить учетную запись (отключенные записи отмечены красным крестиком);

• Включить учетную запись (Enable Account), чтобы разрешить вновь использовать выключенную учетную запись.

Сброс заблокированных учетных записей компьютера

У учетных записей компьютеров, как и у учетных записей пользователей, есть пароли. Разница в том, что работа с компьютерными паролями полностью автоматизирована. Каждой учетной записи компьютера назначен простой пароль и пароль закрытого ключа, необходимый для безопасной связи с контроллерами домена. Оба пароля по умолчанию меняются каждые 30 дней и должны быть синхронизированы. Без синхронизации компьютеру не удастся зарегистрироваться в домене.

Если это рассинхронизация же случилась, сбросьте учетную запись компьютера, выполнив следующие действия.

1. В меню Администрирование (Administrative Tools) выберите Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. В дереве консоли щелкните контейнер, где расположена учетная запись компьютера. Затем щелкните правой кнопкой саму запись.

3. Выберите Переустановить учетную запись (Reset Account). Если операция удалась, вы увидите окно подтверждения. Щелкните ОК.

Перемещение учетных записей компьютера

Учетные записи компьютера обычно хранятся в контейнерах Computers, Domain Controllers или в созданных вами ОП. Чтобы переместить учетную запись в другой контейнер, в Windows Server 2003 вы можете просто перетащить ее мышью. Если этот способ вам почему-либо не подходит, выполните следующие действия.

1. В меню Администрирование (Administrative Tools) выберите Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. В дереве консоли щелкните контейнер, где расположена учетная запись.

3. Щелкните правой кнопкой учетную запись компьютера, которую хотите переместить, и выберите Переместить (Move). Откроется одноименное окно (рис. 6.5).

4. Щелкните узел домена, а затем — контейнер, куда хотите переместить компьютер. Щелкните ОК.

Рис. 6.5. Это диалоговое окно предназначено для перемещения учетных записей компьютеров в контейнеры

Присоединение компьютера к домену или рабочей группе

Эта операция позволяет компьютерам с Windows NT/2000/XP и Windows Server 2003 входить в сеть и получать доступ к домену. Компьютеры с Windows 95/98 не нуждаются в учетных записях компьютера и не присоединяются к сети этим методом, а настраиваются как клиенты Active Directory.

Сначала убедитесь, что на компьютере корректно устранены сетевые компоненты. Это, как правило, происходит одновременно с ОС. Если службы DHCP, WINS и DNS правильно установлены в сети, рабочим станциям не потребуются постоянные IP-адреса или специальная настройка. Единственные обязательные параметры — имя компьютера и имя домена, которые вы можете задать непосредственно в процессе присоединения к домену.

1. Войдите в систему на рабочей станции или сервере, который хотите сконфигурировать.

2. Откройте панель управления и дважды щелкните значок Система (System). В окне свойств системы перейдите на вкладку Имя компьютера (Computer Name), показанную нa рис. 6.6.

3. Щелкните кнопку Изменить (Change).

4. Чтобы переименовать компьютер, введите новое имя в поле Имя компьютера (Computer Name), например Zeta.

5. Чтобы присоединиться к новому домену, и области Является членом (Member of) выберите вариант Домена (Domain) и введите локальную часть имени домена, например Seattle для домена scattle.microsofi.com.

Рис. 6.6. Изменение сетевой идентификации компьютера

6. Чтобы присоединиться к новой рабочей группе, в области Является членом (Member of) выберите Рабочей группы (Workgroup) и введите имя группы, например TestDevGroup.

7. Закончив внесение изменений, щелкните ОК. В ответ на запрос «ведите имя и пароль учетной записи администратора, имеющего полномочия на такие коррективы. Снова щелкните ОК.

8. Если изменения успешны, вы увидите на экране окно подтверждения. Щелкните ОК, чтобы перезагрузить компьютер.

9. Если изменения не удались, вы увидите сообщение об ошибке, например, что учет пая запись уже используется. Последнее означает, что вы изменяете имя компьютера, уже подключенного к домену и имеющего в этом домене активные сеансы. Закройте приложения, которые могут соединяться с доменом, например Проводник (Windows Explorer), подключенный к общей папке в сети, и повторите процесс.

Установка и понижение контроллеров домена

Чтобы создать контроллер домена, нужно установить Active Directory на рядовом сервере. Переместить контроллер домена в другой домен нельзя. Сначала его придется понизить.

Вот как установить или понизить контроллер домена.

1. Войдите на сервер, который хотите настроить.

2. В меню Пуск (Start) выберите команду Выполнить (Run).

3. Наберите dcpromo и щелкните ОК. Запустится мастер установки Active Directory.

4. Если компьютер — рядовой сервер, то запускается мастер установки службы каталогов Active Directory. Вам нужно указать, будет ли это контроллер нового домена или дополнительный контроллер существующего домена.

5. Если компьютер — контроллер домена, тот же мастер понизить его до рядового сервера.

Просмотр и передача доменных ролей

Консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers) позволяет просмотреть или изменить расположение доменных ролей хозяина операций. На уровне домена вы можете работать с ролями хозяина относительных идентификаторов (Relative ID, RID), эмулятора PDC и хозяина инфраструктуры.

Для настройки роли хозяина именования служит консоль Active Directory — домены и доверие (Active Directory Domains and Trusts), а для изменения роли хозяина схемы — Схема Active Directory (Active Directory Schema).

Вот как передать роль хозяина операций.

1. В дереве консоли щелкните правой кнопкой элемент Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и выберите Хозяева операций (Operations Masters). Откроется окно, показанное на рис. 6.7.

Рис. 6.7. Это диалоговое окно позволяет передавать роль хозяев операций

2. Па вкладке RID показано местоположение текущего хозяина относительно IMX идентификаторов. Щелкните Изменить (Change) и выберите новый контроллер домена для передачи роли.

3. На вкладке PDC покачано местоположение текущего эмулятора РОС. Щелкните Изменить (Change) и выберите новый контроллер домена для передачи роли.

4. На вкладке Инфраструктура (Infrastructure) показано местоположение текущего хозяина инфраструктуры. Щелкните Изменить (Change) и выберите новый контроллер домена для передачи роли. Щелкните ОК.

Просмотр и передача роли хозяина именования домена

Консоль Active Directory — домены и доверие (Active Directory Domains and Trusts) позволяет просмотреть или изменить расположение хозяина именования домена в лесу. В ней корневой уровень дерева консоли соответствует выбранному домену.

Вот как передать роль хозяина именования домена.

1. Откройте консоль Active Directory — домены и доверие (Active Directory Domains and Trusts).

2. В дереве консоли щелкните правой кнопкой элемент Active Directory — домены и доверие (Active Directory Domains and Trusts) и выберите Хозяин операций (Operations Master). Откроется окно Изменение хозяина операций (Change Operations Master).

3. В поле Хозяин именования доменов (DomainNaming Operations Master) отображается текущий хозяин именования домена.

Щелкните Изменить (Change), а затем укажите новый контроллер. Роль будет передана этому контроллеру.

4. Щелкните Закрыть (Close).

Просмотр и передача роли хозяина схемы

Консоль Схема Active Directory (Active Directory Schema) позволяет просмотреть или изменить расположение хозяина схемы. Делается это так.

1. Добавьте оснастку Схема Active Directory (Active Directory Schema) в консоль ММС.

2. В дереве консоли щелкните правой кнопкой элемент Схема Active Directory (Active Directory Schema) и выберите Изменение контроллера домена (Change Domain Controller).

3. Установите переключатель Любой контроллер (Any Domain Controller), чтобы позволить Active Directory выбрать новый хозяин схемы автоматически, или переключатель Укажите имя (Specify Name), чтобы указать конкретный сервер.

4. Щелкните ОК.

5. В дереве консоли щелкните правой кнопкой элемент Схема Active Directory (Active Directory Schema) и выберите Хозяин операций (Operations Master).

6. Щелкните Сменить (Change) и задайте в качестве хозяина другую систему.

7. Щелкните Закрыть (Close).

Передача ролей с помощью командной строки

Как передать роли с помощью утилиты командной строки Ntdsutil.exe,

1. Локально или с помощью удаленного рабочего стола зарегистрируйтесь на сервере, которому хотите назначить роль нового хозяина операций.

2. Щелкните кнопку Пуск (Start), выберите команду Выполнить (Run), введите cmd в поле Открыть (Open) и щелкните ОК.

3. В командной строке введите ntdsutil.

4. В командной строке утилиты Ntdsutil введите roles. Утилита перейдет в режим обслуживания хозяев операций.

5. После приглашения Fsmo Maintenance введите connections. Затем после приглашения Server Connections введите connect to server и полное доменное имя текущего хозяина схемы для данной роли, например:

connect to server engdcO.1. technology, adatum.com

6. Когда соединение будет установлено, введите quit, чтобы покинуть приглашение Server Connections, а затем в строке приглашения Fsmo Maintenance введите transfer и идентификатор переносимой роли:

• pdc — роль эмулятора РОС;

rid master — роль хозяина относительных идентификаторов;

• infrastructure master — роль хозяина инфраструктуры;

• schema master — роль хозяина схемы;

• domain naming master — роль хозяина именования домнов.

7. Введите quit в строках приглашения Fsmo Maintenance и Ntsdutil.

Захват ролей с помощью командной строки

Изредка возникают ситуации, когда обычная передача роли невозможна. Например, у контроллера домена, который исполнял роль хозяина RID, может выйти из строя жесткий диск. Просто передать роль другому серверу уже не удастся — ее придется за-

хватить. Захват роли — это очень серьезное действие, и прибегать к нему следует лишь в безвыходной ситуации, когда сервер, исполнявший роль, окончательно и бесповоротно вышел из строя. После захвата роли сервера на нем придется переформатировать жесткий диск.

Вот как захватить роль сервера.

1. Убедитесь, что сервер, роль которого вы хотите захватить, действительно нельзя вернуть к жизни. Если сервер может продолжать работу, захватывайте его роль, только если вы собираетесь полностью переустанавливать на нем ОС.

2. Зарегистрируйтесь на сервере, который хотите сделать новым хозяином операций, локально или через удаленный рабочий стол.

3. Щелкните кнопку Пуск (Start), выберите команду Выполнить (Run), введите cmd в поле Открыть (Open) и щелкните ОК.

4. В командной строке введите ntdsutil.

5. В командной строке утилиты Ntdsutil введите roles. Утилита перейдет в режим обслуживания хозяев операций.

6. После приглашения Fsmo Maintenance введите connections. Затем после приглашения Server Connections введите connect to server и полное доменное имя текущего хозяина схемы для данной роли, например:

connect to server engdc01.technology.adatum.com

7. Когда соединение будет установлено, введите quit, чтобы покинуть приглашение Server Connections, а затем в строке приглашения Fsmo Maintenance введите seize и идентификатор захватываемой роли (один из тех, что перечислены в предыдущем разделе).

8. Введите quit в строках приглашения Fsmo Maintenance и Ntdsutil.

Настройка глобальных каталогов

Для того чтобы включить или отключить глобальный каталог необходимо выполнить:

1. Откройте консоль Active Directory — сайты и службы (Active Directory Sites and Services).

2. В дереве консоли раскройте сайт, с которым хотите работать, щелкнув значок «плюс» (+) рядом с его именем.

3. Раскройте папку Servers и щелкните сервер, который хотите использовать для хранения глобального каталога.

4. Щелкните правой кнопкой элемент NTDS Settings и выберите команду Свойства (Properties).

5. Чтобы активизировать глобальный каталог, установите флажок Глобальный каталог (Global Catalog) на вкладке Общие (General), как показано на рис. 7-8.

6. Чтобы отключить глобал ьпый каталог, сбросьте этот флажок.

Рис. 6.8. Включение или отключение глобального каталога через NTDS-параметры сервера

Настройка кэширования членства в универсальных группах

Кэширование членства в универсальных группах позволяет регистрироваться в системе независимо от доступности сервера глобального каталога. Если в домене Windows Server 2003 разрешено кэширование членства, любой контроллер домена способен разрешать запросы на регистрацию, не обращаясь к серверу глобального каталога.

Чтобы разрешить или запретить кэширование членства в универсальных группах на сервере Windows Server 2003, который в данный момент не является сервером глобального каталога, выполните следующие действия.

1. Откройте консоль Active Directory — сайты и службы (Active Directory Sites and Services).

2. В дереве консоли раскройте нужный сайт.

3. Раскройте папку Servers и щелкните нужный сервер.

4. Щелкните правой кнопкой элемент NTDS Settings и выберите команду Свойства (Properties).

5. Чтобы разрешить кэширование, установите флажок Разрешить кэширование членства в универсальных группах (Enable Universal Group Membership Caching) на вкладке Общие (General). Чтобы запретить кэширование, этот флажок нужно сбросить.

Создание ОП

Обычно ОП создают для отражения функциональной или организационной структуры организации. Вы можете создавать ОП как подгруппы домена или дочерние подразделения внутри существующего ОП.

1. Откройте консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. В дереве консоли раскройте узел домена, щелкнув значок «плюс» (+) рядом с его именем.

3. Щелкните правой кнопкой узел домена или папку существующего ОП, в которую хотите добавить ОП. Выберите в контекстном меню команду Создать (New), а затем — Подразделение (Organizational Unit).

4. Введите название ОП и щелкните ОК. Теперь вы можете переметать в подразделение учетные записи и общие ресурсы.

Просмотр и изменение свойств ОП

1. Откройте консоль Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. В дереве консоли раскройте узел домена, щелкнув значок «плюс» (+) рядом с именем домена.

3. Щелкните правой кнопкой нужное ОП и выберите команду Свойства (Properties). Откроется окно свойств, позволяющее просматривать и изменять параметры.

Переименование и удаление ОП

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) щелкните правой кнопкой ОП, с которым хотите работать.

2. Чтобы удалить ОП. выберите Удалить (Delete). Затем подтвердите действие, щелкнув Да (Yes).

3. Чтобы переименовать ОП, выберите Переименовать (Rename). Введите новое имя для ОП и нажмите Enter.

Перемещение ОП

Чтобы переместить ОП в другое положение в пределах домена, в Windows Server 2003 можно просто перетащить его мытью. Если этот способ вам почему-либо не подходит, выполните следующие действия.

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) щелкните правой кнопкой ОП, которое хотите переместить, и выберите Переместить (Move).

2. В открывшемся диалоговом окне щелкните узел домена, а затем — контейнер, куда хотите переместить ОП. Щелкните ОК.