Strona używa cookies (ciasteczek). Dowiedz się więcej o celu ich używania i zmianach ustawień. Korzystając ze strony wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.    X

Na drodze do certyfikatu Microsoftu cz. 3

Witam po kolejnym dniu szkolenia.

Bez niepotrzebnych wstępów od razu zabraliśmy się do pracy

Managing Groups

Overview of Groups

Wyróżniamy dwa typy grup
  • Distribution groups
  • Security groups
Ta pierwsza jest używana tylko przy grupowaniu użytkowników pocztowych (aby była możliwość wysyłania maila do całej grupy). Grupa taka nie posiada numeru SID, więc nie można uruchomić żadnych zabezpieczeń
Security groups, jest już normalną grupą z numerem SID i możliwością implementacji zabezpieczeń. Można również używać do grupowania kont email.
Grupy mogą mieć różny zasięg
  • local
  • global
  • domain local
  • universal
Grupa lokalna, jak sama nazwa wskazuje jest grupą skonfigurowaną na konkretnym komputerze i swoim zasięgiem nie wychodzi dalej.
Grupa globalna służy przede wszystkim do określenia ról na poziomie całego drzewa bądź lasu.
Grupa lokalna dla domeny. Co ciekawe można do grupy domain local można podpiąć członka z całego lasu (użytkownika, komputer, grupę globalną), z zaufanej domeny oraz grupę uniwersalną z tego samego lasu.
Grupa uniwersalna jest replikowana do katalgu globalnego, dzięki temu może być również wysyłana do innych (zaufanych) lasów.
Rysunek może nie jest najlepszy, ale oddaje to o co chodzi z grupami. Mamy grupę użytkowników, do której należy (w domenie1) grupa sprzedawców, a ta należy do grupy z uprawnieniami do odczytu katalogu Sales umieszczonego na serwerze. Równocześnie z zaufanej domeny2 grupa audytorów ma takie same uprawnienia do katalogu Sales.

Administer Groups

Do zarządzania grupami możemy skorzystać z kilku narzędzi:
  • Active Directory Users and Computers
  • Active Directory Administrative Center (tylko w wersji R2)
  • PowerShell
  • DS

Best Practices for Group Management

Jak zawsze, im lepiej komentujemy to co robimy (w tym wypadku grupy) tym łatwiej jest nam później tym zarządzać. Jeśli z kolei przestaniemy pracować w tej firmie to nasz następca będzie miał troszkę ułatwione zadanie. Microsoft zaleca nadawanie uprawnień do zasobów grupom, nawet jeśli miałoby się okazać, że w jakiejś grupie ma być jeden członek. Poza tym dobrze jest (w przypadku grup określających uprawnienia) nadawanie im czytelnej nazwy. W rysunku powyżej jest grupa ACL_Sales_Read
Prefix ACL mówi nam o tym, że grupa ma dostęp do jakiegoś katalogu
Sales - to jest nazwa grupy, która powinna być taka sama jak katalog.
Sufix Read określa poziom uprawnień do katalogu.
Podobnie jak użytkownicy grupy mają numery SID. Jeśli przez przypadek skasujemy grupę, to w logach zniknie nazwa grupy, a zostanie zastąpiona nikomu nic nie mówiącym ciągiem znaków. Dlatego zalecane jest zaznaczenie we właściwościach grupy checkboxa dzięki któremu nie usuniemy grupy (do momentu jest odznaczenia).

Managing Computer Accounts

Create a Computers and Join the Domain

Dodawania komputerów do domeny jest sprawą banalną. Można to zarówno wyklikać, jak zrobić to za pomocą wiersza poleceń. Po dodaniu komputera do domeny, między komputerem a kontrolerem domeny nawiązana zostaje relacja zaufania, dzięki czemu uwierzytelnienie na podstawie bazy SAM zostaje zastąpione kontrolerem domeny. Do domeny może dodać użytkownik będący lokalnym administratorem i mieć uprawnienia do AD DS (Active Directory Domain Services). Komputer powinien istnieć w katalogach serwera, ale to akurat nie jest konieczne.

Administer Computer Objects and Accounts

Możemy również skorzystać z narzędzi dzięki którym automatycznie stworzymy konta komputerów. Są to:
  • CSVDE - importowanie (tworzenie) lub eksportowanie
  • LDIFDE - importowanie (tworzenie) modyfikacja lub eksportowanie
  • DSAdd - tworzenie i ustawianie wstępnych właściwości
  • NetDom tworzenie konta i dodawanie maszyny do domeny
  • PowerShell tworzenie i zarządzanie kontami komputerów
Komputer w domenie ma hasło, dzięki któremu może dostać się do domeny. Więc jeśli ktoś przez przypadek zresetuje hasło komputera, to może stracić połączenie z domeną. Jeśli z jakiś powodów komputer się nie łączy, to należy zresetować hasło i ponownie połączyć komputer z domeną.

Offline Domain Join

Wyobraźmy sobie, że naszą główną siedzibę i serwerownie mamy w Katowicach. Tam też pracujemy. Przełożeni postanowili uruchomić oddział firmy w Gdańsku. Mamy dla nowych pracowników komputery, ale kto pojedzie, żeby ich dołączyć do domeny?? Otóż możemy skorzystać z przygotowania do dołączenia do domenu offline. Jak to się odbywa?
Najpierw na naszym kontrolerze domeny uruchamiamy linię poleceń i piszemy:
djoin /provision /domain nasza_domena.pl /machine nazwa_hosta /savefile C:\nazwa_hosta.txt
W Active Directory Users and Computers w kontenerze Computers powinien się znaleźć ten skrypt. Kopiujemy skrypt nazwa_hosta.txt do katalogu C:\DJOIN. Po uruchomieniu w nowym oddziale komputera ktokolwiek wydaje polecenie (lub uruchamia skrypt):
djoin /requestodj /loadfile C:\DJOIN\nazwa_hosta.txt /windowspath %SystemRoot% /localos
a następnie restartujemy klienta:)

Implementing a Group Policy Infrastructure

Group Policy (GPO) jest sensem działania domeny. Za pomocą GPO możemy konfigurować jedno lub wiele ustawień dla jednego lub wielu użytkownikó (komputerów). Możemy za pomocą GPO instalować oprogramowanie, zarządzać pulpitem, użytkownikami, bezpieczeństwem, dostępem do folderów, ustawiać sieć - i to wszystko z naszego wygodnego krzesełka przy naszej maszynie. W narzędziu Group Policy Management dodajemy i konfigurujemy polisę, a następnie dopinamy ją jakiegoś obiektu. Polisy odświeżają się przy uruchomieniu (przy konfiguracji komputera) lub przy logowaniu (przy konfiguracji użytkownika), a następnie co 90-120 minut lub na żądanie (jeśli na komputerze na którym ma zadziałać wydamy komendę gpupdate /force.
Zagadnienia związane z GPO są bardzo obszerne i nie jest moim celem omówić wszystkiego, a jedynie zachęcić do nauki - naprawdę warto. Ciekawostką, moim zdaniem jest zastosowanie filtrów WMI, dzięki czemu bardzo konkretnie możemy rozsyłać polisy.
Przykład:SELECT * FROM Win32_OperatingSystem WHERE Caption="Microsoft Windows XP Professional" AND CSDVersion="Service Pack 3"Język bardzo zbliżony do T-SQL, a schemat dzięki któremu będziemy mogli wyciągać jakieś informacje znajdziemy w technecie:)
Kolejność stosowania polis:
1. Local
2. Site
3. Domain
4. OU (organization unit)
5. Enforced GPOs
Enforced GPO co prawda wczytuje się na końcu, ale ma moc do zmiany poprzednich, tak więc jego ustawienia są najważniejsze.

Za pomocą narzędzi The Group Policy Results Wizard, The Group Policy Modeling Wizard albo GPResult możemy zobaczyć jak działa nasza polisa:)
Narzędzia te umożliwiają raportowanie, dzięki czemu jak komuś coś ustawimy i wygenerujemy sobie raport to będziemy mieli podkładkę, że jak wyszliśmy to wszystko było ok i za zmiany nie odpowiadamy:)

Przepraszam za duże opóźnienie, ale naprawdę czasu mam bardzo mało, a zajęć bardzo dużo. 

windows oprogramowanie serwery

Komentarze

0 nowych
  #1 20.05.2012 20:58

Co do filtrów WMI to trochę wydajniej jest napisać:
SELECT Caption, CSDVersion
FROM Win32_OperatingSystem
WHERE Caption="Microsoft Windows XP Professional" AND CSDVersion="Service Pack 3"

  #2 20.05.2012 23:18

Pozwól że sprostuję parę rzeczy:
- grupa dystrybucyjna ma SID
- grupa dystrybucyjna może być skonwertowana do grupy zabezpieczeń, dlatego dostaje SID
- GPO odświeża się przy uruchamianiu i logowaniu TYLKO jak wystąpiły zmiany w samym GPO

parasite85   8 #3 21.05.2012 08:50

@kowi384
Wg. oficjalnego podręcznika Microsoftu oraz szkoleniowca nie ma - z ciekawości sam sprawdzę, jak tylko będę miał taką możliwość. Nie jest przypadkiem tak, że grupa dostaje numer SID jeśli jest konwertowana??
Co do odświeżania to oczywiste jest, że jeśli nic się nie zmieniło, to nie odświeża....bo po co?
@kaluzaaa
Zgadzam się - taki zapis jest wydajniejszy i czytelniejszy. Jednak co do wydajności, jaka musi być wielkość domeny, żeby różnica była rzeczywiście odczuwalna? ....moim zdaniem Twój zapis jest czytelniejszy, ale wydajność nie powinna być barierą (chociaż nie sprawdzałem i mogę się mylić).

  #4 21.05.2012 13:21

@parasite85
Przy kliku filtrach i parunastu politykach potrafi przymulić przy włączaniu/logowaniu się użytkownika. Sprawdzone już przy środowisku 450+.

  #5 21.05.2012 13:41

W takim razie podręcznik szkoleniowca jest źle napisany i wprowadza kursantów w błąd. Każdy obiekt który jest podmiotem bezpieczeństwa lub jest kandydatem do podmiotu bezpieczeństwa (jak grupa dystrybucyjna) musi posiadać SID. Najprościej będzie jak otworzysz adsiedit.msc i sam się przekonasz :)

deepone   10 #6 22.05.2012 20:36

Przeczytałem i generalnie fajnie ale (będę się czepiał). Opisałeś conieco jednak bez żadnych większych wyjaśnień.

Dla przykładu:
"Administer Computer Objects and Accounts
Możemy również skorzystać z narzędzi dzięki którym automatycznie stworzymy konta komputerów. Są to:
...
PowerShell tworzenie i zarządzanie kontami komputerów"
Brzmi to tak jakby PowerShell służył tylko i wyłącznie do tworzenia i zarządzania kontami komputerów. Owszem można ale wszystko zależy co chce się zrobić ponieważ czasami może się okazać to jak strzelanie z armaty do komara. Sam PowerShell jest świetnym narzędziem (może bardziej powłoką?) i służy do zdecydowanie większej liczby zadań.

Co do Offline Domain Join - fajnie, że napisałeś o tym, że jest taka funkcja dostępna ale warto by dodać dla jakich systemów - jest to bardzo istotne ponieważ w wielu firmach i instytucjach wciąż pracuje Windows XP! Z różnych powodów XP ale to inna kwestia.
Także miło by było opisać cokolwiek po co to robić, bo tak to ja rozumiem, że jest opcja to już użyjmy, po co? A bo fajnie wygląda.

Troszkę popraw to i się przyda może kilku osobom.

parasite85   8 #7 23.05.2012 15:07

@deepone
Nigdzie nie napisałem, że PowerShell służy tylko do tego. Napisałem natomiast, że do zarządzania zautomatyzowanego zarządzania komputerami możemy użyć....i lista. Zgadzam się natomiast w 100%, że narzędzie trzeba dostosować do sytuacji i/lub umiejętności. Co do samej świetności PowerShella - jak dla mnie jest bardzo nieintuicyjny - może dlatego, że od kilku lat mam do czynienia z linuksowymi środowiskami serwerowymi - tam jest moim zdaniem łatwiej.
Teraz jeśli chodzi o uwagi dotyczące Offline Domain Join nie rozumiem zarzutu braku opisu po co - przecież nawet hipotetyczną sytuację opisałem w jakiej opcja ta znajdzie zastosowanie, odnośnie uwagi dotyczącej wersji systemu....biję się w pierś - na szkoleniu nie zarejestrowałem, przy pisaniu tekstu (od czasu do czasu zerkam do książki) pominąłem - do tego stopnia, że chciałem wypróbować u siebie podczas wdrożenia......ale na prawie wszystkich komputerach mam Windowsa XP.....