Книга Active directory

88

Пользователи

Глава 3

и задавать каждое свойство, можно скопировать существующую учетную запись пользователя.

Со времен Windows NT 4.0 системы Windows поддерживали концепцию шаблонов учетных записей пользователей. Шаблон учетной записи пользователя — это типовая учетная запись, предварительно заполненная основными свойствами. Например, вы можете создать шаблонную учетную запись д л я менеджеров по продажам, которая предварительно заполнена параметрами членства в группах, времени входа в систему, домашней папки и путей к перемещаемому профилю.

ПРИМЕЧАНИЕ

Отключение шаблонных учетных записей

Шаблонную учетную запись нельзя использовать для входа в сеть, поэтому ее следует отключить.

Чтобы создать учетную запись пользователя на основе шаблона, в контекстном меню выберите команду Копировать (Сору). Когда откроется мастер Копировать объект — Пользователь (Copy Object — User Wizard), вам потребуется ввести имя, имя входа и пароль для нового пользователя. Многие свойства шаблона копируются в новую учетную запись пользователя. После создания учетной записи пользователя ее свойства можно просмотреть на вкладках диалогового окна Свойства (Properties). Некоторые из этих вкладок и свойств описаны далее.

•	Общие (General)	Свойства на вкладке Общие не копируются.
•	Адрес (Address)	Почтовый ящик, город, область или край, почтовый ин-
	декс, а также страна или регион. Отметим, что адрес улицы не копируется.
•	Учетная запись (Account)		Время входа, рабочие станции для входа, па-
	раметры учетной записи и срок действия учетной записи.
•	Профиль (Profile)	Путь к профилю, сценарий входа, д о м а ш н я я папка
	и путь к диску домашней папки.
•	Организация (Organization)		Отдел, организация и руководитель.
•	Член групп (Member Of) Членство в группах и основная группа.

ПРИМЕЧАНИЕ Дополнительные свойства учетных записей пользователей

Пользовательские учетные записи обладают дополнительными свойствами, которые не отображаются на стандартных вкладках оснастки Active Directory — пользователи и компьютеры (Active Directory Users and Computers). Среди этих скрытых атрибутов есть такие полезные свойства, как assistant, division, employee type и employeelD.

Для их просмотра в оснастке Active Directory — пользователи и компьютеры щелкните меню Вид (View) и установите флажок Дополнительные компоненты (Advanced Features). Затем откройте свойства учетной записи пользователя и перейдите на вкладку Редактор атрибутов (Attribute Editor). Некоторые из этих атрибутов, включая assistant, division и employeeType, также копируются из шаблона в новую учетную запись.

Занятие 1	Автоматизация процесса создания учетных записей пользователей	g-f

Что, если к о п и р о в а н и я н е д о с т а т о ч н о

Многие администраторы считают список копируемых атрибутов несколько ограниченным. Например, вам может потребоваться скопировать название задания и .адрес улицы. Вы можете модифицировать схему Active Directory и включить дополнительные атрибуты при дублировании пользователя. Инструкции можно найти в статье 827832 базы знаний по адресу http://support.microsoft. com/kb/827832.

Тем не менее в вашем распоряжении будут расширенные методы автоматизации процесса создания учетных записей пользователей. Позже в этой главе мы обсудим принципы использования команд служб каталогов (DS), CommaSeparated Values Data Exchange (CSVDE), LDAP Data Interchange Format Data Exchange (LDIFDE) и Windows PowerShell для автоматизации административных задач. С помощью этих инструментов можно обеспечить полный контроль над процессом создания новой учетной записи.

Инструменты командной строки Active Directory

В главе 2 мы описали инструмент Dsquery.exe, который входит в набор утилит командной строки Active Directory, называемый командами DS. В Windows Server 2008 поддерживаются следующие команды DS.

•	D s a d d		Создает объект в каталоге.
•	D s g e t		Возвращает указанные атрибуты объекта.
•	D s m o d		М о д и ф и ц и р у е т указанные атрибуты объекта.
•	D s m o v e		Перемещает объект в новый контейнер или подразделение.
•	Dsrm		Удаляет объект и все его дочерние объекты.
•	D s q u e r y		Выполняет запрос на основе параметров, указанных в команд-
	ной строке, и возвращает список объектов с аналогичными параметрами.
	По у м о л ч а н и ю р е з у л ь т и р у ю щ и й				набор содержит	отличительные имена
	DN	(Distinguished		N a m e ) каждого	объекта, однако	вы	можете	использо-
	вать	параметр -о		с т а к и м и модификаторами, как dn,			rdn, ирп	или samid,

для получения результатов с именами DN, относительными именами DN, основными именами пользователей U P N или именами входа предыдущих версий Windows ( и д е н т и ф и к а т о р ы диспетчера безопасности учетных записей SAM).

Большинство команд DS принимают два модификатора после самой команды: тип объекта и и м я DN объекта. Например, следующая команда добавляет учетную запись пользователя Mike Fitzmaurice:

dsadd user "cn=Mike Fitzmaurice,ou=People,dc=contoso,dc=com"

Сразу после команды указывается тип объекта user. После типа объекта вводится имя DN объекта. Если в имени DN объекта есть пробелы, заключите DN в кавычки. Следующая команда удаляет того же пользователя:

dsrm user "cn=Mike Fitzmaurice, ou=People,dc-contoso,dc=com"

90

Пользователи

Глава 3

Для чтения или манипуляций с атрибутами объектов используются D S - K O - манды Dsquery.exe, Dsget.exe и Dsmod.exe. Чтобы указать атрибут, включите его в качестве параметра после имени DN объекта. Например, следующая команда извлекает путь к домашней папке пользователя Mike Fitzmaurice:

dsget user "cn=Mike Fitzmaurice.ou=People,dc=contoso,dc=com" -hmdir

Параметр DS-команды, представляющий такой атрибут, как, например, hmdir, не всегда соответствует имени атрибута в оснастке Active Directory — пользователи и компьютеры или схеме.

Создание пользователей с помощью команды Dsadd

Для создания объектов в Active Directory используется команда Dsadd. Команда DSADD USER UserDN создает объект пользователя и принимает параметры, указывающие его свойства. Следующая команда содержит параметры, необходимые для создания учетной записи пользователя:

dsadd user "User DH~ -samid pre-Windows 2000 logon name

-pwd (Password | •) -mustchpwd yes

Параметр pwd определяет пароль. Если указать символ звездочки (*), будет предложено ввести пароль пользователя. Параметр mustchpwd указывает, что пользователь должен изменить свой пароль при следующем входе в систему.

Команда DSADD USER принимает много параметров со свойствами объекта пользователя. Большинство названий параметров очевидны, например -email, -profiler -company. Вы можете получить соответствующую информацию, введя команду DSADD USER/? или выполнив поиск в центре справки и поддержки Windows Server 2008.

Специальный маркер $usemame$ представляет идентификатор SAM в значениях параметров -email, -hmdir, -profile и -webpg. Например, чтобы отконфигурировать домашнюю папку пользователя при созданий пользовательской учетной записи с помощью команды DSADD USER, добавьте следующий параметр:

-hmdir \\server01\users\$username$\documents

Импорт пользователей с помощью команды CSVDE

Утилита командной строки CSVDE импортирует и экспортирует объекты Active Directory в виде текстового файла с разделительными запятыми (текстовый файл разделенных запятыми значений или файл ..csv). Ф а й л ы с разделительными запятыми можно создавать, модифицировать и открывать с помощью таких инструментов, как Блокнот (Notepad) и Microsoft Office Excel. Утилита CSVDE обеспечивает способ автоматизации создания учетных записей пользователей на основе информации пользователей из баз данных Excel и Microsoft Office Access.

Далее приведен базовый синтаксис команды CSVDE: csvde [ - i ] [ - f ит_файла] [-k]

Занятие 1

Автоматизация процесса создания учетных записей пользователей

g-f

Параметр i указывает р е ж и м импорта. Если не указать этот параметр, по умолчанию команда CSVDE будет использовать режим экспорта. Параметр -/ идентифицирует имя файла д л я импорта или экспорта. Параметр - k удобно использовать для операций импорта, поскольку он указывает команде CSVDE игнорировать ошибки.

Команда импортирует текстовый файл с разделительными запятыми (.csv или . txt), в котором первая строка определяет атрибуты импорта с помощью их имен L D A P (Lightweight Directory Access Protocol). Каждый объект представлен одной строкой и должен содержать атрибуты, перечисленные в первой строке. Далее приведен пример такого файла:

DN,objectClass, sAMAccountName,sn.givenName,userPrincipalName "cn=Lisa Andrews, ou=People, dc=contoso,dc=com",user,lisa.andrews, Lisa,Andrews, l i s a . a n d [e-mail]\

При импорте этого ф а й л а с помощью команды CSVDE в подразделении People (Люди) создается объект пользователя Lisa Andrews. Ф а й л конфигурирует имя и ф а м и л и ю пользователя . Команду CSVDE нельзя использовать для импорта паролей, а без пароля учетная запись изначально будет отключена. После сброса пароля можно включить объект.

В главах 4 и 5 мы используем команду			CSVDE д л я импорта компьютеров
и групп. Более п о д р о б н у ю		и н ф о р м а ц и ю о	ней, в том числе о параметрах и
принципах использования д л я экспорта объектов каталога,				можно получить,
введя	команду csvde /? и л и	воспользовавшись справкой и		поддержкой Win-
dows	Server 2008.

Импорт пользователей с помощью команды LDIFDE

С помощью команды Ldifde.exe можно импортировать и экспортировать объекты Active Directory, в том числе и пользователей. Д л я выполнения групповых операций с каталогами, соответствующими стандартам LDAP, можно использовать стандарт Интернета ф а й л о в о г о формата L D I F (Lightweight Directory Access Protocol Data Interchange Format) . Ф о р м а т L D I F поддерживает операции импорта и экспорта, а также групповые операции, модифицирующие объекты в каталоге. Команда LDIFDE реализует эти групповые операции с помощью файлов LDIF.

Ф а й л о в ы й формат L D I F состоит из блока строк, которые вместе образуют одну операцию. О п е р а ц и и в одном ф а й л е разделены пустой строкой. Каждая строка, составляющая операцию, содержит имя атрибута, после которого

следуют двоеточие и		з н а ч е н и е атрибута . П р е д п о л о ж и м , что	вам	требуется
импортировать объекты п о л ь з о в а т е л е й д л я двух менеджеров			по	продажам,
Эприл Стюарт и Тони		Крайней . Содержимое ф а й л а L D I F может быть при-
мерно таким:
ON: CN=3npnn	Стюарт,СШ=Кадры,DC=contoso,DC=com
changeType:	add

CN: Эприл Стюарт

92

Пользователи

Глава 3

objectClass: user sAMAccountName: april.Stewart

userPrincipalName: [e-mail] givenName: Эприл

sn: Стоарт

displayName: Стоарт. Эприл mail: april.stewart§contoso.com

description: Менеджер no продажам США title: Менеджер no продажам department: Продажи

company: Contoso. Ltd.

D N : C N = T O H H Крайней,01)=Кадры, DC=Contoso.DC=Com changeType: add

CN: Тони Крайней objectClass: user sAHAccountNaee: tony.krijnen

userPrincipalName: tony.krijnengcontoso.com givenName: Тони

sn: Крайней

displayNane: Крайней, Тони mail: tony.krijnengcontoso.com

description: Менеджер no продажам Нидерланды title: Менеджер no продажам

department: Продажи соврапу: Contoso, Ltd.

Каждая операция начинается с атрибута DN объекта, который я в л я е т с я целью операции. Следующая строка changeType указывает тип операции: add, modify или delete.

Файловый формат LDIF не настолько очевиден и понятен, как текстовый с разделительными запятыми. Тем не менее, поскольку формат L D I F также является стандартом, многие службы каталогов и базы данных могут экспортировать файлы LDIF.

После создания или получения файла LDIF команду LDIFDE можно использовать для выполнения операций, указанных в файле. Д л я получения сведений о синтаксисе и методах использования в командную строку введите команду Idifde/?. Далее описаны два самых важных переключателя команды LDIFDE .

• -;' Включает режим импорта. Без этого параметра команда LDIFDE выполняет экспорт информации.

•-/ имя_файла Файл для импорта или экспорта.

Так, следующая команда импортирует объекты из файла Newusers.ldf:

Idifde -i -f newusers.ldf

Эта команда принимает множество модификаций с помощью параметров, самые удобные из которых описаны в табл. 3-1.

Занятие 1		Автоматизация процесса создания учетных записей пользователей		g-f
Табл. 3-1.		Параметры LDIFDE
Команда			Применение
Общие параметры
-1			Режим импорта (по умолчанию используется режим экспорта)
-/имя_файла			Импорт или экспорт указанного файла
-s имя_сервера			Контроллер домена, привязываемый к запросу
-5 FromDN ToDN			Преобразует вхождения FromDN в ToDN. Например, этот параметр
			удобно использовать при импорте объектов из еще одного домена
-v			Включает режим подробной информации Verbose
-j путь			Расположение файла журнала
- ?			Справка
Параметры экспорта
-d RootDN			Корень поиска LDAP. По умолчанию им является корень домена
-гFilter			Фильтр поиска LDAP. По умолчанию используется фильтр
-р SearchScope			(objectClass=*), означающий все объекты
			Область или глубина поиска. Для области поиска можно указать
			значение subtree (контейнер со всеми дочерними контейнерами),
			base (только непосредственные дочерние объекты контейнера) и
-I list			onelevel (контейнер и все его непосредственные дочерние объекты)
			Список атрибутов с разделительными запятыми, который будет
			включен в экспорт результирующих объектов. Этот параметр удоб-
-о list			но использовать для экспорта ограниченного числа атрибутов
			Список атрибутов (разделенных запятыми), которые не будут вклю-
			чены в экспорт результирующих объектов. Этот параметр удобно
			использовать для экспорта всех атрибутов, за исключением лишь
			некоторых
Атрибуты импорта
-k			Игнорирует ошибки и продолжает обработку в случае возникнове-
			ния ошибок Constraint Violation и Object Already Exists

СОВЕТ К Э К З А М Е Н У

Для сдачи сертификационного экзамена 70 - 640 нужно понимать, что команды CSVDE и LDIFDE могут импортировать и экспортировать объекты, используя соответствующие файловые форматы. Обе команды по умолчанию работают в режиме экспорта и требуют параметр -i для указания режима импорта. Только команда LDIFDE может модифицировать существующие объекты и удалять их. Ни одна из этих команд не позволяет импортировать пароль пользователя. Только команда Dsadd поддерживает назначение пароля. В случае импорта пользователей с помощью команды CSVDE или LDIFDE учетные записи будут отключены, пока вы не сбросите их пароли и не включите эти учетные записи.

Практические занятия. Автоматизация создания учетных записей пользователей

В процессе выполнения предложенных далее упражнений вы создадите учетные записи пользователей с помощью автоматизированных методов, которые

94

Пользователи

Глава 3

были рассмотрены на этом занятии. Для этого необходимы следующие объекты в домене contoso.com:

•подразделение первого уровня Кадры;

•подразделение первого уровня Группы;

•глобальная группа безопасности Продажи в подразделении Группы.

Упражнение 1. Создание пользователей с помощью ш а б л о н а пользовательской учетной записи

В этом упражнении вы создадите для менеджеров по продажам шаблон пользовательской учетной записи, предварительно заполненный свойствами. Затем вы создадите учетную запись пользователя для нового менеджера по продажам, скопировав шаблон пользовательской учетной записи.

1.Войдите на машину SERVER01 как администратор.

2.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и разверните узел домена.

3.Щелкните правой кнопкой мыши подразделение Кадры, выберите опцию Создать (New) и примените команду Пользователь (User).

4.В поле Имя (First Name) введите имя _Продажи с символом подчеркивания.

5.В поле Фамилия (Last Name) введите имя Шаблон.

6.В поле Имя входа пользователя (User Logon Name) введите имя _шаблон_ продаж с символами подчеркивания. Щелкните кнопку Далее (Next).

7.В поля Пароль (Password) и Подтверждение (Confirm Password) введите сложный пароль.

8.Установите флажок Отключить учетную запись (Account Is Disabled). Щелк - ните кнопку Далее (Next), а затем кнопку Готово (Finish).

Благодаря символу подчеркивания в начале имени учетной записи шаблон следует первым в списке пользователей в подразделении Кадры. Кроме того, обратите внимание, что значок объекта пользователя содержит стрелку, направленную вниз. Это означает, что учетная запись отключена.

9.Дважды щелкните шаблонную учетную запись, чтобы открыть ее диалоговое окно Свойства (Properties).

10.Перейдите на вкладку Организация (Organization).

11.В поле Отдел (Department) введите имя Продаэюи.

12.В поле Организация (Company) введите имя Contoso, Ltd.

13.Перейдите на вкладку Член групп (Member of).

14.Щелкните кнопку Добавить (Add).

15.Введите имя Продажи и щелкните ОК.

16.Перейдите на вкладку Профиль (Profile).

17.В поле Путь к профилю (Profile Path) введите \\server01\profiles\%u$ername%.

18.Щелкните ОК. Вы создали шаблонную учетную запись, которую можно

копировать с целыо генерирования учетных записей для новых менеджеров по продажам. Далее вы создадите учетную запись на ОСНОВе ШабЛОНЯ,

Занятие 1 Автоматизация процесса создания учетных записей пользователей g-f

19.Щелкните правой кнопкой мыши учетную запись _ Продажи Шаблон и примените команду Копировать (Сору) . Откроется диалоговое окно Копировать объект — Пользователь (Copy Object — User).

20. В поле И м я (First N a m e ) введите Джефф. 21. В поле Ф а м и л и я (Last Name) введите Форд.

22.В поле И м я входа пользователя (User Logon Name) введите /е// . ford . Щелкните кнопку Далее (Next) .

23.В поля Пароль (Password) и Подтверждение (Confirm Password) введите сложный пароль.

24.	Сбросьте ф л а ж о к О т к л ю ч и т ь учетную запись (Account is	Disabled).
25.	Щелкните кнопку Далее (Next), а затем кнопку Готово (Finish).
26.	Откройте свойства учетной записи пользователя Д ж е ф ф	Форд и убеди-
	тесь, что отконфигурированные в шаблоне атрибуты скопированы в новую
	учетную запись.

Упражнение 2. Создание пользователя с помощью команды Dsadd

В этом упражнении вы используете команду Dsadd д л я создания учетной за-

писи пользователя М а й к	Ф и т ц м о р и с в подразделении Кадры.
1. Откройте командную	строку.

2. Введите следующую команду в одной строке и нажмите клавишу Enter,

dsadd	user "cn=Mike Fitzmaurice,ou=People,dc=contoso,dc=com"
-samid	m i k e . f i t z -pwd * -mustchpwd yes -hmdir

\\server01\users\%username%\documents -hmdrv U:

3. Вам будет предложено д в а ж д ы ввести пароль для пользователя. Введите сложный пароль, состоящий м и н и м у м из семи символов.

4. Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и откройте свойства учетной записи пользователя Майк. Убедитесь, что учетная запись содержит свойства, введенные в командную строку.

Упражнение 3. Импорт пользователей с помощью команды CSVDE

В двух предыдущих у п р а ж н е н и я х вы создавали пользователей по отдельности. Сейчас вы используете текстовый ф а й л с разделительными запятыми для импорта двух пользователей.

1. Откройте Блокнот ( N o t e p a d ) и введите следующие три строки (каждый абзац представляет отдельную строку текста):

• DN, o b j e c t C l a s s , sAMAccountName,sn,givenName,userPrincipalName

•"сп=Лиза Эндрюс, ои=Кадры,dc=contoso,dc=com",user,lisa.andrews,Эндрюс, Лиза [e-mail]

•"сп=Дзвид Джонс,ои=Кадры,dc=contoso,dc=com",user,david.jones,Джонс,Дзвид, [e-mail]

2. Сохраните файл в папке Документы (Documents) под именем Newusers.txt. 3. Откройте окно командной строки.

96

Пользователи

Глава 3

4. Введите команду cd %userprofile%\Documents и нажмите клавишу Enter.

5.Введите команду csvde -i -f newusars.txt -к и нажмите клавишу Enter. Будут импортированы три пользователя. В случае возникновения ошибок исправьте синтаксические ошибки в текстовом файле.

6.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и убедитесь в успешном создании пользователей.

Если во время выполнения данного упражнения оснастка Active Directory — пользователи и компьютеры была открыта, обновите представление д л я отображения новых учетных записей.

7.Проанализируйте учетные записи и проверьте соответствие имени, фами - лии, основного имени пользователя UPN и имени входа пред-Windows 2000 параметрам в текстовом файле NewUsers.txt.

Упражнение 4. Импорт пользователей с помощью к о м а н д ы LDIFDE

Как и CSVDE, команду LDIFDE можно использовать д л я импорта пользователей. Однако команда LDIFDE не использует текстовый файл с разделительными запятыми, а вместо него применяет файловый формат LDIF.'B этом упражне - нии вы импортируете двух пользователей с помощью команды LDIFDE.

1. Откройте Блокнот (Notepad) и введите следующие строки (не забудьте между двумя операциями добавить пустую строку):

DN: СИ=Эприл Стоарт,OU=KaflPbi,DC=contoso,DC=com changeType: add

CN: Эприл Стоарт objectClass: user

sAMAccountName: april.Stewart userPrincipalName: [e-mail] givenName: Эприл

sn: Стоарт

displayName: Стюарт, Эприл mail: [e-mail]

description: Менеджер no продажам США title: Менеджер no продажам department: Продажи

company; Contoso, Ltd.

DN: C N = T O H H Крайней,OU=KaflpH,DC=contoso,DC=com changeType: add

CN: Тони Крайней objectClass: user sAMAccountName: tony.krijnen

userPrincipalName: [e-mail] givenName: Тони

sn: Крайнен

displayName: Крайнен, Тони mail: [e-mail]

Занятие 1	Автоматизация процесса создания учетных записей пользователей	g-f

description: Менеджер по продажам Нидерланды title: Менеджер по продажам

department: Продажи company: Contoso, Ltd.

2. Сохраните файл в папке Документы (Documents) под именем NewUsers.ldf. Заключите имя файла в кавычки, поскольку в противном случае программа Блокнот (Notepad) добавит расширение .txt.

Хотя файлы L D I F можно импортировать с любым расширением, мы следуем соглашению, в соответствии с которым используется расширение .ldf.

3. Откройте окно командной строки.

4. Введите команду cd %userprofile%\Documents и нажмите клавишу Enter.

5.Введите команду Idifde -i -/ newusers.ldf -k и нажмите клавишу Enter. Будут импортированы два пользователя. В случае возникновения ошибок исправьте синтаксические ошибки в текстовом файле.

6.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers) и убедитесь в успешном создании пользователей.

Если во время выполнения данного упражнения оснастка Active Directory — пользователи и компьютеры была открыта, обновите представление для отображения новых учетных записей.

7.Проанализируйте учетные записи и проверьте их соответствие параметрам в текстовом ф а й л е NewUsers.ldf.

Резюме

• Вы можете скопировать учетную запись в Active Directory для создания новой учетной записи. Копируется лишь небольшой поднабор свойств учетной записи. Ч т о б ы создать шаблон учетной записи пользователя, создайте п о л ь з о в а т е л я и п р е д в а р и т е л ь н о заполните соответствующие атрибуты. Затем отключите ш а б л о н н у ю учетную запись, чтобы ее нельзя было использовать д л я прохождения проверки подлинности. Копируйте шаблон как основу д л я создания новых учетных записей.

•Команда Dsadd позволяет создавать объекты пользователей с помощью

командной строки и параметров, указывающих свойства пользователя.

• С помощью команды CSVDE можно импортировать пользователей и их свойства в текстовом файле с разделительными запятыми.

• Команда LDIFDE используется для выполнения операций в Active Directory, в частности таких, как добавление, изменение и удаление пользователей. Д л я назначения этих операций используется файл LDIF, который обеспечивает обмен д а н н ы м и между каталогами.

Закрепление материала

Приведенные далее вопросы можно использовать для проверки знаний, полученных на занятии 1. Эти вопросы есть на сопроводительном компакт-диске.