Книга Active directory

-) 08

Пользователи

Глава з

$cn=$dataRecord.cn SsAMAccountName=SdataRecord. sAMAccountName $givenName=SdataRecord. Fi rstName Ssn=SdataRecord.LastName

SdisplayName=Ssn + ", " + SgivenName SuserPrincipalName=SgivenName + "." + $sn + "©contoso. com" «create the user object SobjUser=SobjOU.Create("user","CN="+Scn)

SobjUser. Put ("sAMAccountName", SsAMAccountName) SobjUser. Put("userPrincipalName",SuserPrincipalName) SobjUser.Put("displayName",SdisplayNamB)

SobjUser. PutCgivenName", SgivenName) SobjUser. Put("sn",Ssn)

SobjUser. SetlnfoO SobjUser.SetPassword("COmp!exP@sswOrd")

SobjUser. psbase. InvokeSetC'AccountDisabled", Sfalse) SobjUser. SetlnfoO

}

Первая строка сценария подключается к контейнеру OU (подразделение), в котором будут созданы все новые пользователи. Следующие две строки подключаются к источнику данных и выполняют цикл по всем записям, присваивая каждую запись переменной SdataRecord. Блок foreach выполняет две операции. Во-первых, он сопоставляет поля в источнике данных с переменными. Затем он создает пользователя.

Обратите внимание на то, что некоторые переменные конструируются путем конкатенации (объединения) двух полей. Переменная SdisplayName использует формат LastName, FirstName, а переменная SuserPrincipalName — формат

FirstName, [e-mail].

Пользователь создается с помощью метода Create подразделения. Атрибуты пользователя заполняются и подтверждаются, после чего назначается пароль и выполняется включение учетной записи.

.Выполнение сценария Windows PowerShell

По умолчанию Windows PowerShell запрещает выполнение сценариев из соображений безопасности. Для запуска сценария требуется изменить политику выполнения Windows PowerShell с помощью следующей команды:

set-executionpolicy remotesigned

Политика выполнения указывает сценарии, которые м о ж н о запускать . Вышеприведенная команда конфигурирует Windows PowerShell д л я запуска локальных сценариев и требования подписи сценариев из удаленных источников. Изменение политики выполнения влияет на безопасность, поэтому рекомендуется прочитать информацию о запуске сценариев Windows PowerShell, находящуюся по адресу http://www.microsoft.com/technet/scriptcenter/topics/ winpsh/manual/run.mspx#EXC.

После назначения политики выполнения можно запустить сценарий, однако если указать для запуска лишь имя сценария, возникнет ошибка. Н у ж н о

Занятие 2 Создание пользователей с помощью Windows PowerShell и VBScript •) Q3

указать путь к сценарию. Вы можете использовать нотацию \имя_сценария, которая означает текущий каталог. Например, следующая команда выполняет сценарий импорта пользователей:

.\UserImport. ps1

Введение в VBScript

Язык сценариев VBScript поддерживает автоматизацию административных задач во всех текущих версиях Windows. Сценарии VBScript представляют собой текстовые файлы, которые, как правило, редактируются с помощью программы Блокнот (Notepad) или редактора сценариев и сохраняются с расширением

.vbs. Д л я выполнения сценария можно дважды щелкнуть его значок. Сценарий откроется с применением команды Wsctipt.exe. В качестве альтернативы сценарий можно запустить в командной строке с помощью команды Cscript. ехе, применив следующий синтаксис:

cscript.exe имя_сценария

Обе команды, Wscript.exe и Cscript.exe, являются компонентами сервера сценариев W S H ( W i n d o w s Scripting Host), представляющего собой структуру автоматизации, у с т а н о в л е н н у ю во всех текущих версиях Windows, которая поддерживает несколько я з ы к о в сценариев, в том числе и VBScript.

Создание пользователя с помощью VBScript

Поскольку VBScript т а к ж е использует интерфейс ADSI для манипулирова- н и я объектами в Active Directory, процесс создания пользователя в VBScript идентичен созданию пользователя в Windows PowerShell. Приведем простой пример сценария создания пользователя:

' Set objOU=GetObject("LDAP://OU=People,DC=contoso, DC=com") Set objUser=objOU.Create("user","CN=Mary North")

objUser.Put "sAMAccountName","тагу.north" o b j U s e r . S e t l n f o O

Вначале сценарий подключается к контейнеру OU (подразделение), в котором будет создан пользователь. Сценарий VBScript применяет инструкцию GetObject д л я подключения к объекту ADSI в соответствии с его отличительным именем. П р и присвоении объекта переменной в VBScript для создания объектной ссылки используется инструкция Set.

Вторая строка кода активизирует метод Create подразделения для создания объекта конкретного класса с конкретным отличительным именем точно так же, как в примере Windows PowerShell. Поскольку результатом выполнения метода является объект, д л я присвоения объектной ссылки переменной можно вновь использовать инструкцию Set.

Третья строка кода использует метод Put объекта пользователя, однако в VBScript аргумент не заключается в круглые скобки. Четвертая строка кода идентична Windows PowerShell: она подтверждает изменения. Сохраните сценарий в виде файла Newuser.vbs и выполните его в командной оболочке или оболочке Windows PowerShell с помощью следующей команды:

cscript.exe newusers.vbs

-) 110 Пользователи Глава з

Сценарии VBScript и Windows PowerShell

Сценарии VBScript имеют два значительных преимущества по сравнению с Windows PowerShell. Первое преимущество состоит в том, что сценарии VBScript можно запускать во всех текущих версиях Windows с помощью сервера сценариев WSH, а оболочку Windows PowerShell нужно загружать и устанавливать во всех версиях Windows до Windows Server 2008 вместе с платформой .NET Framework не ниже версии 2.0. Второе преимущество VBScript заключается в том, что этот язык используется уже много лет и в Интернете существует множество наработок, советов, рекомендаций и другой полезной информации сообществ.

Тем не менее сервер сценариев W S H не обеспечивает оболочку д л я непосредственного выполнения команд. Кроме того, язык VBScript не настолько богат и не полностью использует структуру .NET Framework. Хотя в Windows Server 2008 есть сервер сценариев W S H и поддерживается VBScript, будущее все же за Windows PowerShell. Поэтому оболочка Windows PowerShell представлена первой на этом занятии.

Недостатки Windows PowerShell являются противоположностью преимуществ VBScript. Сам факт того, что оболочка Windows PowerShel представляет собой новый продукт, означает, что она все еще пребывает в процессе разработки. В предыдущих разделах мы обсудили создание учетных записей с помощью Windows PowerShell. Описанные технологии и код достаточно сложные и практически идентичны VBScript.

Дело в том, что текущая версия Windows PowerShell обеспечивает весьма ограниченную поддержку администрирования Active Directory. В отличие от

интерфейса управления Windows	W M I (Windows M a n a g e m e n t Interface) и
Microsoft Exchange Server с очень	богатым набором поставщиков W i n d o w s

PowerShell, поддержка Active Directory ограничена н е у к л ю ж и м адаптером ADSI и в конечном счете полагается на ADSI, как и в сценариях VBScript . В будущих версиях Windows PowerShell будет обеспечен поставщик Active Directory, который упростит работу с объектами Active Directory аналогично работе с файлами в файловой системе.

Помните, что на сертификационном экзамене 7 0 - 6 4 0 вам не потребуется создавать сценарии Windows PowerShell или VBScript. О д н а к о вы д о л ж н ы распознавать сценарии, в которых выполняется процесс создания пользователя: подключение к подразделению, создание объекта, заполнение его свойств и подтверждение изменений.

Практические занятия. Создание пользователей с помощью сценариев Windows PowerShell и VBScript

В предложенных далее упражнениях вы создадите множество пользовательских учетных записей с помощью автоматизированных методов, описанных на этом занятии. Для выполнения упражнений вам понадобится объект OU (подразделение) первого уровня с именем Кадры в домене contoso.com.

Занятие 2 Создание пользователей с помощью Windows PowerShell и VBScript i 11

Упражнение 1. Установка Windows PowerShell

Чтобы использовать Windows PowerShell для выполнения административных задач, в этом упражнении вы установите компонент Windows PowerShell.

1. Откройте Диспетчер сервера (Server Manager).

2. В дереве консоли щелкните узел Компоненты (Features). 3. Щелкните ссылку Добавить компоненты (Add Features).

4. В списке Компоненты (Features) выберите Windows PowerShell. Щелкните

	кнопку Далее (Next).
5	. Щелкните кнопку Установить (Install).
6	. После завершения установки щелкните кнопку Закрыть (Close).
7	. Щ е л к н и т е	правой	к н о п к о й м ы ш и	значок Windows PowerShell в группе
	программ	W i n d o w s	PowerShell и	примените команду Закрепить в меню
	"Пуск" (Pin То Start Menu) .

Упражнение 2. Создание пользователя с помощью Windows PowerShell

Далее вы будете использовать Windows PowerShell для создания пользователя в Active Directory.

1. Откройте Windows PowerShell.

2.Подключитесь к подразделению Кадры, воспользовавшись командой: $obj 0U=[ADSI]"LDAP://0U=Кадры,DC=contoso,DC=com"

3.Создайте объект пользователя в подразделении с помощью команды: $objUser=$objOU.Create("user","CN=M3PM Норт")

4. Посредством указанной далее команды задайте обязательный атрибут имени входа пред - Windows 2000 пользователя:

$obj User.Put("sAMAccountName","тагу.north")

5. Подтвердите и з м е н е н и я в Active Directory с помощью команды: $objUser.SetInfo()

6. Подтвердите ф а к т создание объекта, воспользовавшись командой:

SobjUser.distinguishedName

Команда должна вернуть отличительное имя пользователя.

7. С помощью указанной н и ж е команды проанализируйте атрибуты пользователя, автоматически отконфигурированные в Active Directory:

SobjUser | get-member

Эта команда пропускает через конвейер объект, представляющий пользователя командлету Get-Memver, который перечисляет заполненные атрибуты.

Упражнение 3. Создание нового пользователя с помощью Windows PowerShell

В упражнении 2 вы создали пользователя, непосредственно набирая команды

вWindows PowerShell. В этом упражнении вы создадите сценарий Windows PowerShell, который автоматизирует создание пользователя.

-) 112

Пользователи

Глава з

1. Откройте программу Блокнот (Notepad). Введите такой код.

Sob J O U = [ ADSI ]" LDAP: //011=Кадри, DOcontoso, DC=Com"
SobjUser=$obJOU.Create("user", " C N = C K O T T Митчелл")
SobjUser. Put ("sAMAccountName", "scott . mitchell")
SobjUser.SetlnfoO
2. Сохраните сценарий под именем «Newuser . psl»	в папке	Д о к у м е н т ы
(Documents), включая кавычки, чтобы программа	Б л о к н о т	не добавила
расширение .txt.

3.Откройте Windows PowerShell.

4.Введите команду get-childitem и нажмите клавишу Enter. Командлет GetChildltem перечисляет все текущие дочерние объекты в конвейере. Папка, указанная в командной строке Windows PowerShell, находится в конвейере.

5.Введите команду dir и нажмите клавишу Enter.

Псевдоним dir ссылается на командлет Get-Childltem.

6.Введите команду cd documents и нажмите клавишу Enter. Вы должны перейти к папке Документы (Documents).

7.Запустите сценарии на выполнение с помощью команды set-executionpolicy remotesigned

8.Чтобы выполнить сценарий, введите .\newuser.ps1 и нажмите клавишу Enter. Нотация. \ указывает текущий путь в качестве пути к сценарию. Без данной нотации возникнет ошибка.

9.Проверьте, создан ли в Active Directory пользователь.

Упражнение 4. Создание нового пользователя с п о м о щ ь ю VBScript

В этом упражнении вы создадите сценарий VBScript, который автоматизирует процесс создания пользователя.

1.Откройте программу Блокнот (Notepad).

2.Введите следующие строки кода:

Set	obj0U=Get0bject("LDAP://0U=Кадры,DC=contoso,DC=com")
Set	objUser=objOU.Create("user","CN=JtoHfla Митчелл")
objUser.Put "sAMAccountName","linda.mitchell"
objUser.SetlnfoO
3. Сохраните сценарий под именем «Newuser.vbs»		в	папке	Д о к у м е н т ы
(Documents), включая кавычки, чтобы программа		Б л о к н о т		не добавила
расширение .txt.
4. Откройте окно командной строки.
5. Введите команду cd %userprofile%\documents и нажмите			клавишу Enter.

6. Выполните сценарий с помощью команды cscript.exe newuser.vbs. 7. Проверьте, был ли создан пользователь в Active Directory.

Занятие 2

Создание пользователей с помощью Windows PowerShell и VBScript •) Q3

Резюме

•Оболочка Windows PowerShell обеспечивает поддержку выполнения административных задач в командной строке и с помощью сценариев. Оболочка Windows PowerShell является компонентом Windows Server 2008. Ее также можно загрузить д л я Windows Server 2003, Windows Vista и Windows XP.

•Язык сценариев VBScript можно обрабатывать сервером сценариев Windows

Scripting Host. Этот компонент есть во всех текущих версиях Windows.

•Для создания объекта Active Directory с помощью Windows PowerShell или VBScript вначале выполняется подключение к контейнеру (например, к подразделению), затем создается объект, заполняются его свойства, после чего изменения подтверждаются в Active Directory с помощью команды Setlnfo.

Закрепление материала

Приведенные ниже вопросы можно использовать для проверки знаний, полученных на занятии 2. Эти вопросы есть на сопроводительном компакт-диске.

ПРИМЕЧАНИЕ Ответы

Ответы на эти вопросы с пояснениями к каждому варианту ответа помещены в разделе «Ответы» в конце книги.

1. Вам нужно создать объект пользователя с помощью Windows PowerShell. Какую операцию следует выполнить?

A. Использовать командлет Create-User.

Б. Использовать метод NewUser интерфейса ADSI.

B. Активизировать метод Create контейнера подразделения (OU) . Г. Применить инструкцию set objUser=CreateObject.

2. Вам нужно создать объект пользователя с помощью одной команды. Какую команду следует использовать?

A. Командлет Create - Item .

Б.Метод Setlnfo.

B. Метод Create подразделения ( O U ) .

Г.Команду Dsadd.

3. Какие из следующих строк кода необходимы для создания объекта пользователя в подразделении Кадры? (Укажите все варианты. Каждый правильный вариант я в л я е т с я частью полного ответа.)

A.	$ о ^ и 5 е г = $ о Ь ] О и . С г е а 1 е ( " ш е г " , " С Н = Д ж е ф ф Форд").
Б.	$obj User. SetInfo().

B. $ о ^ и 5 е г = С г е а 1 е О Ь ] е с 1 ( " Ь О А Р : / / С Н = Д ж е ф ф Ф о р д , О и = К а д р ы , О С = contoso,DC=cdm").

Г.$ objOU=[ADSI]"LDAP://OU=Kaflpbi,DC=contoso,DC=com" .

-) 4

Пользователи

Глава з

Занятие 3. Поддержка пользовательских объектов

и учетных записей

На первых двух занятиях в этой главе описаны методы, с помощью которых можно создавать учетные записи пользователей. Однако это л и ш ь первый шаг жизненного цикла пользователя в домене. После создания пользователя нужно отконфигурировать атрибуты, определяющие свойства принципала безопасности (учетной записи), а также свойства, управляющие пользователем. Кроме того, нужно знать, когда и как администрировать учетную запись для сброса паролей и разблокировки. И наконец, нужно уметь перемещать пользователя между подразделениями, а также отключать и удалять учетную запись. На этом занятии мы рассмотрим процедуры, используемые дляподдержки объектов пользователей на протяжении их жизненного цикла. Эти процедуры можно выполнять с помощью интерфейса Windows и командной строки или инструментов автоматизации.

Изучив материал этого занятия, вы сможете:

У Идентифицировать назначение и требования атрибутов учетной записи поль-

	зователя и свойств имени пользователя.
/	Просматривать и модифицировать скрытые атрибуты объектов пользова-
	телей.
У	Модифицировать атрибуты множества пользователей одновременно.
S	Управлять пользователями с помощью оснастки Active Directory — пользо-
	ватели н компьютеры (Active Directory Users and Computers), команд DS,
	Windows PowerShell и VBScript.

У Выполнять распространенные административные задачи для поддержки учетных записей пользователей.

Продолжительность занятия — около 90 мин.

Управление атрибутами пользователей с помощью оснастки Active Directory — пользователи и компьютеры

При создании учетной записи пользователя с помощью мастера Новый объект — Пользователь (New Object — User) оснастки Active Directory — пользователи и компьютеры (Active Directory Users and Computers) нужно указать некоторые свойства объекта, в том числе имена входа, пароль, и м я и ф а м и л и ю пользователя. Однако объект пользователя в Active Directory поддерживает десятки дополнительных свойств, которые можно конфигурировать с помощью оснастки Active Directory — пользователи и компьютеры.

Для чтения и модификации объекта пользователя щелкните его правой кнопкой мыши и примените команду Свойства (Properties). Откроется диалоговое окно свойств пользователя, показанное на рис. 3-4. Атрибуты объекта пользователя распределены по нескольким обширным категориям на вкладках диалогового окна.

Занятие 3 Поддержка пользовательских объектов и учетных записей 115

В-зыяезгшяк-.'"		н а
а л я ь л з » » » ,	j 1
П, они»	irrc I CQM* I	s^Ml/rae
	JVA. ) П* IV '. ! TVMO-™ j ..»- .ЧЧ-"

Рис. 3-4. Диалоговое окно свойств пользователя

• Атрибуты учетной записи: вкладка Учетная запись (Account) Эти свойства включают имена входа, пароль и параметры учетной записи. Многие из этих атрибутов можно конфигурировать при создании нового пользователя с помощью оснастки Active Directory — пользователи и компьютеры (Ас-

. tive Directory Users and Computers) . Атрибуты учетной записи описаны

вподразделе «Свойства учетной записи» далее в этой главе.

•Личные сведения: вкладки О б щ и е (General), Адрес (Address), Телефоны

	(Telephones) и О р г а н и з а ц и я (Organization) Вкладка			Общие содержит
	свойства	имени, к о н ф и г у р и р у е м ы е при создании объекта пользователя,
	а также основное описание и контактные данные. Вкладки Адрес и Телефо-
	ны содержат подробные контактные сведения. На вкладке Телефоны также
	размещено текстовое поле Заметки (Notes), которое сопоставлено с атри-
	бутом info и очень часто используется многими предприятиями. Вкладка
	Организация содержит должность, отдел, название и связи организации.
•	Управление конфигурацией пользователя: вкладка Профиль (Profile) На
	этой вкладке можно конфигурировать путь к профилю пользователя, сце-
	нарий входа и д о м а ш н ю ю папку.
•	Членство в группах: в к л а д к а Член групп (Member Of)			Вы можете добав-
	лять и удалять пользователя из групп, а также изменять основную группу
	пользователя. Членство в группах и основную группу мы обсудим в главе 5.
•	С л у ж б ы	т е р м и н а л о в :	П р о ф и л ь с л у ж б терминалов (Terminal		Services
	Profile),	С р е д а ( E n v i r o n m e n t ) , Удаленное управление		(Remote	Control)
	и Сеансы ( S e s s i o n s )		На этих четырех вкладках можно конфигурировать
	пользователей, которые подключаются к сеансу Служб терминалов (Termi-
	nal Services) и управлять ими.

116	Пользователи		Глава 3
К СВЕДЕНИЮ		Параметры служб терминалов

Более подробную информацию о параметрах служб терминалов можно найти в книге «MCTS: Configuring Windows Server 2008 Applications Infrastructure», авторами которой являются Дж. С. Макин и А. Десаи (Microsoft Press, 2008).

• Удаленный доступ: вкладка Входящие з в о н к и ( D i a l - i n ) Р а з р е ш е н и я удаленного доступа пользователя можно включить и конфигурировать на вкладке Входящие звонки.

• Приложения: вкладка СОМ+ На этой вкладке можно назначать пользователей для набора разделов С О М + каталогов Active Directory. Д а н н ы й компонент упрощает управление распределенными приложениями, в сертификационный экзамен 70-640 он не включен.

Просмотр всех атрибутов

Объект пользователя обладает дополнительными свойствами помимо указанных атрибутов в диалоговом окне Свойства (Properties). Некоторые из этих так называемых скрытых свойств могут оказаться довольно полезными в вашей организации. Чтобы просмотреть скрытые атрибуты пользователя, нужно перейти на вкладку Редактор атрибутов (Attribute Editor), которая является новым компонентом Windows Server 2008. Щелкните меню Вид (View) и установите флажок Дополнительные компоненты (Advanced Features) . Затем откройте диалоговое окно Свойства (Properties) пользователя, где д о л ж н а отображаться вкладка Редактор атрибутов, как показано на рис. 3-5.

Редактор атрибутов (Attribute Editor) отображает все системные атрибуты выбранного объекта. С помощью кнопки Фильтр (Filter) можно отобразить еще больше атрибутов, в том числе обратные ссылки и построенные атрибуты. Обратные ссылки — это атрибуты, получаемые в результате ссылок на объект из других объектов. Проще всего понять концепцию обратных ссылок можно на примере атрибута memberOf. При добавлении пользователя в группу изменяется атрибут группы member — в этот многозначный атрибут добавляется отличительное имя пользователя. Поэтому атрибут member группы называется атрибутом прямой ссылки. Атрибут memberOf пользователя автоматически обновляется в Active Directory при ссылке на пользователя атрибутом member группы. Вам даже не нужно выполнять прямую запись в атрибут memberOf, поскольку он динамически поддерживается в Active Directory.

Построенный атрибут получается в результате вычисления в Active Directory. В качестве примера можно привести атрибут tokenGroups, представляющий собой список идентификаторов безопасности SID (Security Identifier) всех групп, к которым принадлежит пользователь, включая в л о ж е н н ы е группы. Чтобы определить значение атрибута tokenGroups, структура Active Directory должна просчитать действующее членство пользователя в группах, д л я чего потребуется выполнить несколько циклов процессора. Поэтому этот атрибут не хранится как часть объекта пользователя и не поддерживается динамически — он вычисляется лишь при необходимости. Поскольку д л я п о л у ч е н и я

Занятие 3

Поддержка пользовательских объектов и учетных записей

117

построенных атрибутов необходима обработка, Редактор атрибутов (Attribute Editor) не отображает их по умолчанию. Построенные атрибуты нельзя использовать в запросах LDAP.

cern«e«w»»v1 ЧмигругоI Р«г*м(*>»м v*vr»> '

вомим*жо-ммI Oe**r | беоо-лмвеп|- Cow j

Эвщне| Лджс| У<*»шяткь-] j Ttrmo^! ОегагамииI

rVo««i» сгухб•чмеадм | COM.	Реле***» w*
AIJM^-TV
dcsJtOasiSiorvoi« »*»«»
deoatmert rfcnoaxw	~J
•iepaitraer*Numberомшаю)
deicnpttxi МенеджерnoгродежлмНидоп^м
Ь»;ИорРпУьеMOSHO-.
йеияЛюгЬлсв^аoit заимок

«feptoytomeTow Крайнем (4*JeyN«nePnr<нвebieзелено> delngujheriNemeCN-TwHp»*.*.O'J-Кец»».DC-ecrto» ctveor <nt мааио^

dSASgriati*BЛ» dSCorePropecatonD№>•{) dyr«T«eLDAPServer-лемоано>

i T ...		1		«г1
•• I				I
I <* I			I	I to— I

Рис. 3-5. Вкладка Редактор атрибутов

Как показано на рис. 3-5, некоторые атрибуты объекта пользователя, например division, employeelD, employeeNumber и employeefype, довольно удобно использовать. Хотя эти атрибуты не показаны на стандартных вкладках диалогового окна свойств объекта пользователя, они доступны в редакторе атрибутов. Кроме того, с помощью Windows PowerShell и VBScript к ним можно получить программный доступ.

К СВЕДЕНИЮ Скрытые атрибуты объектов

Более подробную информацию об использовании скрытых атрибутов объектов

и расширении	схемы путем добавления настраиваемых атрибутов можно найти
в руководстве	«Windows Administration Resource Kit: Productivity Solutions for IT

Professionals», автором которого является Дэн Холме (Microsoft Press, 2008).

Управление атрибутами множества пользователей

С помощью оснастки Active Directory — пользователи и компьютеры (Active Directory Users and Computers) можно одновременно модифицировать свойства множества объектов пользователей. Выберите несколько объектов пользователей, нажав клавишу Ctrl и щелкая каждого пользователя или применив другую технологию множественной выборки. Выберите объекты лишь одного класса, например класса Пользователи. После выбора множества объектов щелкните правой кнопкой мыши любой из них и примените команду Свойства (Properties).