Na drodze do certyfikatu Microsoftu cz. 3

Witam po kolejnym dniu szkolenia.

Bez niepotrzebnych wstępów od razu zabraliśmy się do pracy

Managing Groups

Overview of Groups

Wyróżniamy dwa typy grup

• Distribution groups
• Security groups

Ta pierwsza jest używana tylko przy grupowaniu użytkowników pocztowych (aby była możliwość wysyłania maila do całej grupy). Grupa taka nie posiada numeru SID, więc nie można uruchomić żadnych zabezpieczeń Security groups, jest już normalną grupą z numerem SID i możliwością implementacji zabezpieczeń. Można również używać do grupowania kont email. Grupy mogą mieć różny zasięg

• local
• global
• domain local
• universal

Grupa lokalna, jak sama nazwa wskazuje jest grupą skonfigurowaną na konkretnym komputerze i swoim zasięgiem nie wychodzi dalej. Grupa globalna służy przede wszystkim do określenia ról na poziomie całego drzewa bądź lasu. Grupa lokalna dla domeny. Co ciekawe można do grupy domain local można podpiąć członka z całego lasu (użytkownika, komputer, grupę globalną), z zaufanej domeny oraz grupę uniwersalną z tego samego lasu. Grupa uniwersalna jest replikowana do katalgu globalnego, dzięki temu może być również wysyłana do innych (zaufanych) lasów.

Rysunek może nie jest najlepszy, ale oddaje to o co chodzi z grupami. Mamy grupę użytkowników, do której należy (w domenie1) grupa sprzedawców, a ta należy do grupy z uprawnieniami do odczytu katalogu Sales umieszczonego na serwerze. Równocześnie z zaufanej domeny2 grupa audytorów ma takie same uprawnienia do katalogu Sales.

Administer Groups

Do zarządzania grupami możemy skorzystać z kilku narzędzi:

• Active Directory Users and Computers
• Active Directory Administrative Center (tylko w wersji R2)
• PowerShell
• DS

Best Practices for Group Management

Jak zawsze, im lepiej komentujemy to co robimy (w tym wypadku grupy) tym łatwiej jest nam później tym zarządzać. Jeśli z kolei przestaniemy pracować w tej firmie to nasz następca będzie miał troszkę ułatwione zadanie. Microsoft zaleca nadawanie uprawnień do zasobów grupom, nawet jeśli miałoby się okazać, że w jakiejś grupie ma być jeden członek. Poza tym dobrze jest (w przypadku grup określających uprawnienia) nadawanie im czytelnej nazwy. W rysunku powyżej jest grupa ACL_Sales_Read Prefix ACL mówi nam o tym, że grupa ma dostęp do jakiegoś katalogu Sales - to jest nazwa grupy, która powinna być taka sama jak katalog. Sufix Read określa poziom uprawnień do katalogu. Podobnie jak użytkownicy grupy mają numery SID. Jeśli przez przypadek skasujemy grupę, to w logach zniknie nazwa grupy, a zostanie zastąpiona nikomu nic nie mówiącym ciągiem znaków. Dlatego zalecane jest zaznaczenie we właściwościach grupy checkboxa dzięki któremu nie usuniemy grupy (do momentu jest odznaczenia).

Managing Computer Accounts

Create a Computers and Join the Domain

Dodawania komputerów do domeny jest sprawą banalną. Można to zarówno wyklikać, jak zrobić to za pomocą wiersza poleceń. Po dodaniu komputera do domeny, między komputerem a kontrolerem domeny nawiązana zostaje relacja zaufania, dzięki czemu uwierzytelnienie na podstawie bazy SAM zostaje zastąpione kontrolerem domeny. Do domeny może dodać użytkownik będący lokalnym administratorem i mieć uprawnienia do AD DS (Active Directory Domain Services). Komputer powinien istnieć w katalogach serwera, ale to akurat nie jest konieczne.

Administer Computer Objects and Accounts

Możemy również skorzystać z narzędzi dzięki którym automatycznie stworzymy konta komputerów. Są to:

• CSVDE - importowanie (tworzenie) lub eksportowanie
• LDIFDE - importowanie (tworzenie) modyfikacja lub eksportowanie
• DSAdd - tworzenie i ustawianie wstępnych właściwości
• NetDom tworzenie konta i dodawanie maszyny do domeny
• PowerShell tworzenie i zarządzanie kontami komputerów

Komputer w domenie ma hasło, dzięki któremu może dostać się do domeny. Więc jeśli ktoś przez przypadek zresetuje hasło komputera, to może stracić połączenie z domeną. Jeśli z jakiś powodów komputer się nie łączy, to należy zresetować hasło i ponownie połączyć komputer z domeną.

Offline Domain Join

Wyobraźmy sobie, że naszą główną siedzibę i serwerownie mamy w Katowicach. Tam też pracujemy. Przełożeni postanowili uruchomić oddział firmy w Gdańsku. Mamy dla nowych pracowników komputery, ale kto pojedzie, żeby ich dołączyć do domeny?? Otóż możemy skorzystać z przygotowania do dołączenia do domenu offline. Jak to się odbywa? Najpierw na naszym kontrolerze domeny uruchamiamy linię poleceń i piszemy: djoin /provision /domain nasza_domena.pl /machine nazwa_hosta /savefile C:\nazwa_hosta.txt W Active Directory Users and Computers w kontenerze Computers powinien się znaleźć ten skrypt. Kopiujemy skrypt nazwa_hosta.txt do katalogu C:\DJOIN. Po uruchomieniu w nowym oddziale komputera ktokolwiek wydaje polecenie (lub uruchamia skrypt): djoin /requestodj /loadfile C:\DJOIN\nazwa_hosta.txt /windowspath %SystemRoot% /localos a następnie restartujemy klienta:)

Implementing a Group Policy Infrastructure

Group Policy (GPO) jest sensem działania domeny. Za pomocą GPO możemy konfigurować jedno lub wiele ustawień dla jednego lub wielu użytkownikó (komputerów). Możemy za pomocą GPO instalować oprogramowanie, zarządzać pulpitem, użytkownikami, bezpieczeństwem, dostępem do folderów, ustawiać sieć - i to wszystko z naszego wygodnego krzesełka przy naszej maszynie. W narzędziu Group Policy Management dodajemy i konfigurujemy polisę, a następnie dopinamy ją jakiegoś obiektu. Polisy odświeżają się przy uruchomieniu (przy konfiguracji komputera) lub przy logowaniu (przy konfiguracji użytkownika), a następnie co 90-120 minut lub na żądanie (jeśli na komputerze na którym ma zadziałać wydamy komendę gpupdate /force. Zagadnienia związane z GPO są bardzo obszerne i nie jest moim celem omówić wszystkiego, a jedynie zachęcić do nauki - naprawdę warto. Ciekawostką, moim zdaniem jest zastosowanie filtrów WMI, dzięki czemu bardzo konkretnie możemy rozsyłać polisy. Przykład:

SELECT *
FROM Win32_OperatingSystem
WHERE Caption="Microsoft Windows XP Professional" AND CSDVersion="Service Pack 3"

Język bardzo zbliżony do T-SQL, a schemat dzięki któremu będziemy mogli wyciągać jakieś informacje znajdziemy w technecie:) Kolejność stosowania polis: 1. Local 2. Site 3. Domain 4. OU (organization unit) 5. Enforced GPOs Enforced GPO co prawda wczytuje się na końcu, ale ma moc do zmiany poprzednich, tak więc jego ustawienia są najważniejsze.

Za pomocą narzędzi The Group Policy Results Wizard, The Group Policy Modeling Wizard albo GPResult możemy zobaczyć jak działa nasza polisa:) Narzędzia te umożliwiają raportowanie, dzięki czemu jak komuś coś ustawimy i wygenerujemy sobie raport to będziemy mieli podkładkę, że jak wyszliśmy to wszystko było ok i za zmiany nie odpowiadamy:)

Przepraszam za duże opóźnienie, ale naprawdę czasu mam bardzo mało, a zajęć bardzo dużo.