Книга Active directory

48

Администрирование

Глава 2

и выбрать тип объектов Группы (Groups). (Позже на этом з а н я т и и мы рассмотрим диалоговое окно Выбор: "Пользователь", "Контакт" и л и "Группа".) Остальная контактная информация на вкладке Управляется (Managed By) заполняется данными учетной записи, указанной в поле И м я (Name). Вкладка Управляется используется исключительно д л я контактной информации. Указанные пользователи и группы не получают р а з р е ш е н и я или доступ к подразделению. Щелкните О К .

В административных средствах Windows Server 2008 п о я в и л а с ь н о в а я опция — Защитить контейнер от случайного удаления ( P r o t e c t C o n t a i n e r From Accidental Deletion). Она предусматривает для подразделения ( O U ) возмож - ность использовать переключатель безопасности, п о з в о л я ю щ и й и з б е ж а т ь случайного удаления OU. В подразделение добавляются два разрешения: Everyone:: Deny::Delete и Everyone::Deny::Delete Subtree. Поэтому п о л ь з о в а т е л и и даже администраторы не могут случайно удалить подразделение и его содержимое . Настоятельно рекомендуется включать эту защиту д л я всех новых подразделений.

Для того чтобы все же удалить подразделение, вначале следует отключить переключатель безопасности. Чтобы удалить защищенное подразделение, выполните следующие действия.

1. В оснастке Active Directory — пользователи и к о м п ь ю т е р ы (Active Directory Users and Computers) щелкните меню Вид (View) и в ы б е р и т е команду Дополнительные компоненты (Advanced Features).

2. Щелкните подразделение правой кнопкой м ы ш и и п р и м е н и т е к о м а н д у Свойства (Properties).

3. Перейдите на вкладку Объект (Object).

Если вкладка Объект не отображается, значит, вы не в к л ю ч и л и дополни - тельные компоненты в шаге 1.

4. Сбросьте флажок Защитить контейнер от	случайного у д а л е н и я	( P r o t e c t
Container From Accidental Deletion).
5. Щелкните ОК.
6. Щелкните подразделение правой к н о п к о й	м ы ш и и п р и м е н и т е	к о м а н д у
Удалить (Delete).

7. Вам будет предложено подтвердить удаление OU . Щелкните кнопку Да (Yes).

8. Если подразделение содержит другие объекты, в диалоговом окне Подтвердить удаление поддерева (Confirm Subtree Deletion) вам будет предложено подтвердить удаление подразделения и всех содержащихся в нем объектов. Щелкните кнопку Да (Yes).

Контрольный вопрос

• Вы пытаетесь удалить подразделение и получаете, сообщение о недостаточном уровне прав. Вы вошли в систему как член группы Администраторы домена (Domain Admins) и определенно должны располагать правом удаления OU. В чем состоит проблема и что сделать для удаления подразделения?

Занятие 2

Создание объектов в Active Directory

49" т

О т в ет на к о н т р о л ь н ы й вопрос

• Подразделение защищено от случайного удаления. Вы должны сбросить флажок опции защиты от случайного удаления. Этот флажок находится в диалоговом окне Свойства (Properties) подразделения на вкладке Объект (Object), которая отображается только при включении параметра Дополнительные компоненты (Advanced Features).

Создание объекта пользователя

Чтобы в Active Directory создать нового пользователя, выполните следующие действия . Соблюдайте правила именования и процедуры вашей организации.

1.О т к р о й т е оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers).

2.В дереве консоли разверните узел, представляющий ваш домен (например, contoso.com), и найдите подразделение или контейнер (например, Users), в котором хотите создать учетную запись пользователя.

3. Щ е л к н и т е подразделение или контейнер правой кнопкой мыши, выберите опцию Создать (New) и примените команду Пользователь (User).

О т к р о е т с я диалоговое окно Новый объект — Пользователь (New Object — User), представленное на рис. 2-5.

	«**оло сот/Кмры/Спужащи*
M ud
	>|Петрович
Г^з/woe mi:	|Ивам Петрович
Има (»одв пол>зователя
|ra>ef	j@corfosocom

Ии» вхраа пользователя Цкд-Wndow» 200(5 |CONTOSO\

Рис. 2-5. Диалоговое окно нового объекта пользователя

4. В поле И м я (First Name) введите имя пользователя, в поле Инициалы (Initials) — его инициалы, а в поле Фамилия (Last Name) — фамилию.

5. Поле Полное имя (Full Name) заполняется автоматически. При необходимости вы можете внести изменения. Поле Полное имя используется для создания нескольких атрибутов объекта пользователя, включая основное

50 Администрирование Глава 2

имя CN (Common Name), а также для отображения свойств имени. И м я CN пользователя отображается в панели сведений оснастки. Оно должно быть уникальным в контейнере или подразделении. Поэтому при создании объекта пользователя для лица с тем же именем, что и у существующего пользователя в том же подразделении, вам потребуется ввести уникальное имя в поле Полное имя (Full Name).

6.В поле Имя входа пользователя (User Logon Name) введите имя входа пользователя и в раскрывающемся списке выберите суффикс основного имени пользователя UPN (User Principle Name), который будет прикреплен к имени входа пользователя с символом

Имена пользователей в Active Directory могут содержать некоторые особые символы (включая точки, дефисы и апострофы), что позволяет генерировать точные имена пользователей, например О'Хара или Смит-Бейтс. Тем не менее определенные приложения могут иметь другие ограничения, поэтому рекомендуется использовать только стандартные буквы и цифры, пока все приложения на предприятии не будут тщательно протестированы на совместимость с особыми символами в именах входа.

Списком доступных суффиксов UPN можно управлять с помощью оснастки Active Directory — домены п доверие (Active Directory Domains And Trusts). Щелкните правой кнопкой мыши корень оснастки Active Directory — домены и доверие, примените команду Свойства (Properties) и на вкладке Суффиксы UPN (UPN Suffixes) добавьте или удалите суффиксы. Имя DNS домена Active Directory всегда будет доступно в качестве суффикса и не может быть удалено.

7.В поле Имя входа пользователя (пред-Windows 2000) (User Logon Name (Pre-Windows 2000)) оснастки Active Directory — пользователи и компьютеры (Active Directory Users And Computers) введите имя входа для систем, предшествовавших Windows 2000, которое часто называется низкоуровневым именем входа. В главе 3 мы рассмотрим эти два различных имени входа.

8.Щелкните кнопку Далее (Next).

9.Введите начальный пароль пользователя в поля Пароль (Password) и Подтверждение (Confirm Password).

10.Установите флажок Требовать смену пароля при следующем входе в систему (User Must Change Password At Next Logon).

Рекомендуется всегда устанавливать этот флажок, чтобы пользователь мог создать новый пароль, неизвестный персоналу IT. Соответствующие члены группы поддержки всегда могут сбросить пароль пользователя, чтобы,

кпримеру, войти в систему как пользователь или получить доступ к ресурсам пользователя. Но только пользователи должны знать свои ежедневные пароли.

11.Щелкните кнопку Далее (Next).

12.Просмотрите введенные параметры и щелкиите кнопку Готово (Finish). Интерфейс Новый объект — Пользователь (New Object — User) позволяет конфигурировать лишь немногие свойства учетной записи, например имя

Занятие 2

Создание объектов в Active Directory

51" т

и пароль. Но объект пользователя в Active Directory поддерживает десятки дополнительных свойств — конфигурировать их можно после создания объекта.

13.Щелкните правой кнопкой мыши созданный объект пользователя и примените команду Свойства (Properties).

14. ( С к о н ф и г у р и р у й т е свойства пользователя.

Соблюдайте правила именования и другие стандарты вашей организации. Подробнее мы рассмотрим свойства пользователя в главах 3 и 8.

15. Щ е л к н и т е О К .

Создание объекта группы

Группы — это важный класс объектов, поскольку они служат для единого управления коллекциями пользователей, компьютеров и других групп. Простейший пример применения группы — предоставление разрешений доступа к общей папке. Например, если группе предоставить доступ чтения к папке, все члены группы смогут читать содержимое этой папки. Вам не понадобится предоставлять доступ чтения непосредственно д л я каждого отдельного члена группы. Д л я управления доступом проще всего добавлять пользователей в группы или удалять их. Чтобы создать группы, выполните следующие действия.

1. Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers) .

2. В дереве консоли разверните узел, представляющий ваш домен (например, contoso.com) и найдите подразделение и л и контейнер (например, Users), в котором хотите создать группу.

3. Щ е л к н и т е правой к н о п к о й м ы ш и подразделение или контейнер, выберите опцию Создать (New) и примените команду Группа (Group) .

Откроется диалоговое окно Н о в ы й объект — Группа (New Object — Group), показанное на рис. 2-6.

С о з д а ть в; cDntoea.com/npynrw

Инн г р у п п ы (пред-Windows 2000);

Область действия г р у н т ы Поклгы-ля и д о и г т ^ Гпобальная Универсальна*

"Гил г р у п г ы	—	;	.
Группа	б е з о л а о ю с т *
С Группа	р а с п р о с т р а н е н »

Рис. 2-6. Диалоговое окно нового объекта группы

52 Администрирование Глава 2

4. В поле Имя группы (Group Name) введите имя новой группы. Большинство организаций используют соглашения об именовании групп. Соблюдайте эти инструкции и стандарты вашей организации.

По умолчанию введенное имя также вводится как имя пред-Windows 2000 новой группы. Настоятельно рекомендуется, чтобы эти два имени были идентичны, поэтому не меняйте имя в поле Имя группы (пред-Windows 2000) (Group name (Pre-Windows 2000)).

5.Выберите тип группы.

•Группе безопасности (Security) можно предоставлять разрешения, доступа к ресурсам. Ее также можно отконфигурировать как список распространения электронной почты.

•Группа распространения (Distribution) — это группа электронной почты, которой нельзя предоставлять разрешения доступа к ресурсам; она используется только для распространения электронной почты.

6.Выберите область действия группы (Group Scope).

•Глобальная (Global) группа используется для идентификации пользователей на основе такого критерия, как рабочая функция или, скажем, расположение.

• Локальная группа в домене (Domain Local) содержит пользователей и группы с идентичными потребностями в доступе к ресурсам, напри- i мер всех пользователей, которым необходимо модифицировать отчет проекта.

•Универсальная (Universal) группа включает пользователей и группы из множества доменов.

Область действия группы подробно описана в главе 4.

Отметим, что если домен, где создается объект группы, работает на смешанном или промежуточном функциональном уровне, выбрать можно будет только области действия Глобальная (Global) и Локальная в домене (Domain Local). Функциональные уровни домена описаны в главе 13.

7.Щелкните ОК.

Объекты групп имеют множество свойств, которые можно конфигурировать. Назначить их можно после создания объекта.

8.Щелкните группу правой кнопкой мыши и примените команду Свойства (Properties).

9.Задайте свойства для группы.

Соблюдайте соглашения об именовании и другие стандарты вашей организации.

На вкладках Члены группы (Members) и Член групп (Member Of) указано, кто принадлежит к группе и в какие другие группы входит сама эта группа. Членство в группах описано в главе 4.

В поле Описание (Description) группы можно ввести сведения о ее назна-
чении и контактную информацию лиц, принимающих решение о членстве
в группе.	I

Занятие 2

Создание объектов в Active Directory

53" т

Вполе Заметки (Notes) группы можно указать дополнительные сведения

оней.

Вкладку Управляется (Managed By) можно использовать д л я привязки к пользователю или группе, которая управляет данной группой. Щелкните кнопку И з м е н и т ь ( C h a n g e ) под полем И м я (Name). Д л я поиска группы нужно вначале щелкнуть кнопку Типы объектов (Object Types) и выбрать Группы (Groups) . Диалоговое окно Выбор: "Пользователь", "Контакт" или "Группа" (Select User, Contact, or G r o u p ) описано далее на этом занятии.

Остальная контактная и н ф о р м а ц и я на вкладе Управляется (Managed By) з а п о л н я е т с я д а н н ы м и учетной записи, у к а з а н н о й в поле И м я (Name) . Вкладка Управляется, как правило, используется для хранения контактной информации, чтобы пользователь, желающий присоединиться к группе, мог обратиться к лицу, ответственному за авторизацию членов группы. Однако если установить ф л а ж о к Менеджер может изменять членов группы ( M a n - ager Can U p d a t e Membership List), учетная запись, указанная в поле И м я (Name), получит право добавлять и удалять членов группы. Это один из способов делегирования административного контроля над группой. Другие возможности делегирования описаны в занятии 3.

10. Щ е л к н и т е О К .

Создание объекта компьютера

В Active D i r e c t o r y к о м п ь ю т е р ы п р е д с т а в л е н ы в качестве у ч е т н ы х записей и объектов аналогично пользователям . Компьютер входит в сеть домена точно так же, как и пользователь. Компьютер располагает именем с п р и к р е п л е н н ы м знаком доллара (например, D E S K T O P I O I S ) и паролем, который устанавливается при присоединении компьютера к домену и автоматически меняется как м и н и м у м к а ж д ы е т р и д ц а т ь дней. Д а л е е описан механизм создания объекта компьютера в Active Directory.

1. Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers) .

2. В дереве консоли разверните узел, п р е д с т а в л я ю щ и й ваш домен (например, contoso.com) и найдите подразделение или контейнер (предположим, Users), в котором хотите создать компьютер .

3 . Щ е л к н и т е правой к н о п к о й м ы ш и подразделение и л и контейнер, выберите опцию Создать ( N e w ) и примените команду Компьютер ( C o m p u t e r ) . Откроется диалоговое окно Н о в ы й объект — Компьютер (New Object — Computer), показанное на рис. 2-7.

4. В поле И м я компьютера ( C o m p u t e r Name) введите и м я компьютера . Введенные данные автоматически заполнят поле И м я компьютера (пред- W i n d o w s 2000) ( C o m p u t e r N a m e ( P r e - W i n d o w s 2000)) . Н е м е н я й т е и м я в этом поле.

5. Учетная запись, указанная в поле И м я пользователя или группы (User Or Group), сможет присоединить компьютер к домену. По умолчанию указаны Администраторы домена ( D o m a i n Admins). Щ е л к н и т е к н о п к у И з м е н и т ь (Change), чтобы выбрать еще одну группу или пользователя .

	Администрирование	Глава 2
J L	С о н е т ы согаяа.сож/Computers

JCOfTOPlOl

»» KOKtegrtpa (прьд-HVxto^ 2000):

Гкэсоеа»»»''» к доиему этот к о и г ь ю т е р могут полъзоеател . h t v группа

кУы rjC/ЫОвателв и/V груты:

Р

Отмена Справка

Рис. 2-7. Диалоговое окно нового объекта компьютера

Обычно принято выбирать группу, представляющую команду развертывания, поддержки настольных систем или справки. Вы также можете указать пользователя, для которого предназначен компьютер. Присоединение компьютера к домену описано в главе 5.

6. На устанавливайте флажок Назначить учетной записи статус пред - Windows 2000 (Assign This Computer Account As A P r e - W i n d o w s 2000 Computer), если эта учетная запись не предназначена д л я компьютера Microsoft Windows NT 4.0.

7.Щелкните ОК.

Многие свойства объектов компьютеров подлежат конфигурированию. Их можно назначить после создания объекта.

8.Щелкните компьютер правой кнопкой мыши и примените команду Свойства (Properties).

9.Укажите свойства компьютера.

Соблюдайте соглашения об именовании и другие стандарты вашей организации.

Вполе Описание (Description) компьютера можно указать лицо, д л я которого предназначен компьютер, его роль (например, компьютер в учебном кабинете) и другую информацию. Поскольку описание отображается в панели сведений оснастки Active Directory — пользователи и компьютеры (Active Directory Users And Computers), в это поле следует ввести данные, которые необходимо знать о компьютере.

Существует несколько свойств для описания компьютера, включая DNSимя (DNS Name), Типы DC (DC Туре), Сайт (Site), И м я операционной системы (Operating System Name), Версия (Version) и Пакет обновления (Service Pack). Эти свойства будут автоматически заполнены при присоединении компьютера к домену.

Занятие 2		Создание объектов в Active Directory	55" т
,	Вкладку Управляется (Managed By) можно применить для привязки поль-
	зователя или группы, ответственной за компьютер. Щелкните кнопку Изме-
	нить (Change) под полем И м я (Name). Д л я поиска группы нужно вначале
>	щелкнуть кнопку Типы объектов (Object Types) и выбрать Группы (Groups).
'	Диалоговое окно Выбор: "Пользователь", "Контакт" или "Группа" (Select
	User, Contact, or Group) описано далее на этом занятии.
	Остальная контактная и н ф о р м а ц и я на вкладе Управляется (Managed By)
	заполняется данными учетной записи, указанной в поле И м я (Name). Вклад-
	ка Управляется, как правило, используется для контактной информации.
	Некоторые организации используют эту вкладку для указания группы под-
	держки, ответственной за компьютер. В других компании эта вкладка слу-
	жит д л я отслеживания пользователей, которым выделяются компьютеры.
10.	Щ е л к н и т е	О К .

Поиск объектов в Active Directory

Итак, мы обсудили, как создавать объекты в Active Directory, но какой смысл в и н ф о р м а ц и и с л у ж б ы каталогов, если ее нельзя извлечь из каталога? Поиск объектов в Active Directory требуется во многих случаях.

•	Предоставление р а з р е ш е н и й доступа		При настройке разрешений доступа
	к ф а й л у и л и папке	н у ж н о в ы б р а т ь	группу ( и л и пользователя), которой
	будут назначены разрешения .
•	Д о б а в л е н и е ч л е н о в в группу Ч л е н а м и группы могут стать пользователи,
	компьютеры, группы и их комбинации . При добавлении объекта в качестве
	члена г р у п п ы понадобится выбрать этот объект.
•	С о з д а н и е п р и в я з о к	С в я з а н н ы е свойства одного объекта ссылаются на
	другой объект. Ч л е н с т в о в группе — это связанное свойство. Другие свя-
	занные свойства, такие как атрибут Управляется (Managed By), описанный
	ранее, также представляют собой привязки. П р и указании имени на вкладке
	Управляется нужно выбрать соответствующего пользователя или группу.

Поиск объектов в Active Directory может потребоваться и в других ситуациях; д л я него предусмотрено несколько пользовательских интерфейсов . В этом разделе мы рассмотрим некоторые технологии поиска.

Управление представлением объектов в оснастке Active Directory — пользователи и компьютеры

Панель	сведений	о с н а с т к и		Active D i r e c t o r y —	п о л ь з о в а т е л и и	к о м п ь ю т е р ы
(Active	Directory	Users And		C o m p u t e r s ) можно	настроить д л я	э ф ф е к т и в н о й
работы с объектами в			каталоге. С п о м о щ ь ю к о м а н д ы Добавить			или удалить
столбцы	( A d d / R e m o v e		C o l u m n s ) меню В и д (View) в панель сведений можно

добавить столбцы. В столбцах можно отображать не все атрибуты, но вы опре- деленно-оцените преимущество отображения таких столбцов, как И м я входа пользователя (User Logon Name). Вы также можете исключить ненужные столбцы. Если ваше подразделение содержит только один тип объектов (например, пользователи или компьютеры), столбец Тип (Туре) можно исключить .

56

Администрирование

Глава 2

Порядок расположения видимых столбцов можно менять, перетаскивая' заголовки столбцов влево и вправо. Вы также можете сортировать представлен ние в панели сведений, щелкнув столбец. При первом щелчке будет выполнен^ сортировка в порядке возрастания, при втором — по убыванию, аналогичная производимой в Проводнике Windows (Windows Explorer). Обычно в представление добавляется столбец Фамилия (Last Name) для просмотра пользователей с сортировкой по фамилиям. Поиск пользователей проще выполнять по фамилии, а не имени в столбце Имя (Name), которое является основным именем CN (Common Name).

Использование сохраненных запросов

В оснастке Active Directory — пользователи и компьютеры (Active Directory Users and Computers) системы Windows Server 2003 появился узел Сохраненные запросы (Saved Queries). Эта функция позволяет создавать управляемые правилами представления домена, отображающие объекты из одного или нескольких подразделений (OU). Далее описано создание сохраненного запроса.

1.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

Узел Сохраненные запросы (Saved Queries) недоступен в оснастке Active Directory — пользователи и компьютеры в Диспетчере сервера (Server Manager). Вы должны использовать консоль Active Directory — пользователи и компьютеры или настраиваемую консоль М М С с этой оснасткой.

2. Щелкните правой кнопкой мыши узел Сохраненные з а п р о с ы (Saved Queries), выберите опцию Создать (New) и примените команду З а п р о с (Query).

3.Введите имя запроса. (При желании введите его описание.)

4.Щелкните кнопку Обзор (Browse), чтобы отыскать корень запроса.

Понск будет ограничен выбранным доменом или подразделением. Д л я ускорения запроса рекомендуется максимально ограничить поиск.

5.Щелкните кнопку Запрос (Define Query), чтобы определить запрос.

6.В диалоговом окне Поиск: Общие запросы (Find Common Queries) выберите тип запрашиваемого объекта. Вкладки диалогового окна и элементы управления вводом данных на каждой вкладке изменяются в зависимости от выбранного типа запроса.

7.Щелкните ОК.

Созданный запрос сохраняется в экземпляре оснастки Active Directory — пользователи и компьютеры (Active Directory Users and Computers), так что при следующем открытии одноименной консоли (dsa.msc) ваш запрос будет доступен. Если сохраненный запрос создается в настраиваемой консоли, он доступен в этой консоли. Для переноса сохраненных запросов в другие консоли или другим пользователям эти запросы можно экспортировать в виде X M L - файлов, а затем импортировать в конечную оснастку.

Представление сохраненного запроса в панели сведений можно настроить, как описано ранее, выбрав конкретные столбцы и тип сортировки, ВаЖНОС

Занятие 2

Созданиеобъектов в Active Directory

57" т

^преимущество сохраненных запросов в том, что настраиваемое представление специфично для каждого сохраненного запроса. При добавлении столбца Фамилия (Last Name) в стандартное представление подразделения ( O U ) этот столбец добавляется в представление каждого подразделения, и вы увидите пустой столбец Ф а м и л и я даже для подразделений компьютеров и групп. В сохраненные запросы можно добавить столбец Ф а м и л и я для поиска объектов пользователей, а также другие столбцы.

Сохраненные запросы — это важное средство виртуализации представления каталога, а также отслеживания отключенных и блокированных учетных записей. Сохраненные запросы позволяют значительно экономить время администратора.

К СВЕДЕНИЮ

Сохраненные запросы

Подробные сведения и примеры сохраненных запросов можно найти по адресу http://www.petri.co.il/saved_queries_in_windows_2003_dsa.htm.

Д и а л о г о в о е о к н о в ы б о р а п о л ь з о в а т е л е й , к о н т а к т о в , к о м п ь ю т е р о в и групп

При добавлении члена в группу, назначении разрешения доступа и создании связанного свойства используется диалоговое окно Выбор: "Пользователи", "Контакты", "Компьютеры" или "Группы" (Select Users, Contacts, Computers, or Groups), показанное на рис. 2-8. В данном руководстве это диалоговое окно будет называться диалоговым окном выбора. Если вам нужен пример, откройте свойства объекта группы, перейдите на вкладку Ч л е н ы группы (Members) и щелкните кнопку Добавить (Add) .

Выбор: "Пользователи", "Контакты",		•2Ш
£Ьберит® тип объекта:
^'Пользователи", Труппы" или "Другие объекты"		TWibt объектов.
В следующем месте;	_______
jc0rt03o.com
Введите имена выбираемых объекте® (примеры):
Игорь .Света		{Доверить имена

Дополнительно.

Рис. 2-8. Выбор пользователей, контактов, компьютеров и групп

Если вам известны имена нужных объектов, можете ввести их прямо в текстовое поле Введите имена в ы б и р а е м ы х объектов ( E n t e r T h e Object Names To Select). Вы можете ввести множество имен, разделенных точкой с запятой (см. рис. 2-8). Когда вы щелкнете ОК, система Windows выполнит поиск каждого элемента в списке и преобразует его в ссылку на объект, после чего закроет диалоговое окно. Щ е л ч к о м кнопки Проверить имена (Check Names) каждое имя также преобразуется в ссылку, однако диалоговое окно остается открытым (рис. 2-9).