Книга Active directory

Упражнение 1. Создание подразделений для объектов компьютеров клиентов и серверов

Прежде чем создавать учетные записи компьютеров, нужно создать подразделения для этих объектов. В этом упражнении вы создадите подразделения для объектов серверов и компьютеров.

1.Войдите на машину SERVER01 как администратор.

2.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers) и разверните домен.

3.Щелкните правой кнопкой мыши домен contoso.com, выберите опцию Создать (New) и примените команду Подразделение (Organizational Unit).

4.Введите имя Клиенты и щелкните ОК.

5.Щелкните правой кнопкой мыши домен contoso.com, выберите опцию Создать (New) и примените команду Подразделение (Organizational Unit).

6.Введите имя Серверы и щелкните ОК.

Упражнение 2. Создание объектов компьютеров

После создания подразделений для объектов компьютеров можно заняться предварительным размещением учетных записей для компьютеров, которые будут присоединены к домену. В этом упражнении вы предварительно разместите учетную запись для клиента и учетную запись для сервера, после чего делегируете разрешение на присоединение компьютера к домену.

1.Щелкните правой кнопкой мыши подразделение Клиенты, выберите опцию Создать (New) и примените команду Компьютер (Computer) .

2.Откроется диалоговое окно Новый объект — Компьютер (New Object — Computer), показанное на рис. 5-3.

3.В поле Имя компьютера (Computer Name) введите'DESKTOP101.

4.Щелкните кнопку Изменить (Change) возле поля Имя пользователя или группы (User Or Group).

5.В открывшемся диалоговом окне Выбор: "Пользователь" или "Группа" (Select User Or Group) нужно указать имя пользователя или группы, которой будет разрешено присоединить компьютер к домену. Введите имя Справка. Щелкните ОК.

6.Щелкните ОК, чтобы закрыть диалоговое окно Новый объект — Компьютер (New Object — Computer).

7.Щелкните правой кнопкой мыши подразделение Серверы, выберите опцию Создать (New) и примените команду Компьютер (Computer) .

8.Откроется диалоговое окно Новый объект — Компьютер.

9.В поле Имя компьютера (Computer Name) введите SERVER02.

10.Щелкните Изменить (Change) возле поля Имя пользователя или группы (User Or Group).

11.В открывшемся диалоговом окне Выбор: "Пользователь" или "Группа" (Select User Or Group) введите имя Администраторы сервера. Щелкните ОК .

12. Щелкните ОК, чтобы закрыть диалоговое окно Новый объект — Компьютер (New Object — Computer).

Упражнение 3. Делегирование разрешения на создание объектов компьютеров

Для создания учетных записей нужно иметь разрешение на создание объектов компьютеров. Учетная запись Администратор (Administrator) располагает такими разрешениями, а другим группам разрешение создавать учетные записи компьютеров можно делегировать. В этом упражнении вы делегируете минимальный уровень разрешений на создание объектов компьютеров.

1.На машине SERVER01 откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers)?

2.Щелкните меню Вид (View) и установите флажок Дополнительные компоненты (Advanced Features).

3.Щелкните правой кнопкой мыши подразделение Клиенты и примените команду Свойства (Properties).

4.Перейдите на вкладку Безопасность (Security).

5.Щелкните кнопку Дополнительно (Advanced).

6.Щелкните кнопку Добавить (Add).

7.Введите имя Справка и щелкните ОК.

8.В открывшемся окне перейдите на вкладку Объект (Object).

9.В раскрывающемся списке Применять (Apply То) выберите уровень Этот объект и все дочерние объекты (This Object And All Descendant Objects).

10.В списке Разрешения (Permissions).установите флажок Разрешить (Allow) напротив Создание объектов: Компьютер (Create Computer Objects).

11.Трижды щелкните OK, чтобы закрыть все диалоговые окна.

12.Можете проверить делегирование, запустив командную строку под именем пользователя Линды Митчелл и выполнив упражнение 1 занятия 2.

Упражнение 4. Перенаправление контейнера компьютеров по умолчанию

Рекомендуется перенаправить контейнер компьютеров по умолчанию, чтобы все новые объекты компьютеров, генерируемые в случае присоединения компьютеров к домену без предварительного размещения учетной записи, создавались в управляемом подразделении, а не в контейнере Computers. В этом упражнении вы используете команду Redircmp.exe для перенаправления контейнера компьютеров по умолчанию.

1.На машине SERVER01 откройте окно командной строки.

2.Введите следующую команду и нажмите клавишу Enter:

redircmp "Ои=Клиенты,DC=contoso,DC=com"

Упражнение 5 (по желанию). Присоединение компьютера к домену

В этом упражнении вы присоедините компьютер к домену. Для этого необходим еще один компьютер: сервер SERVER02 с системой Windows Server 2008

или клиентская машина DESKTOPlOl с системой Windows Vista. Если компьютеру присвоено другое имя, нужно переименовать его или создать объект для этого компьютера в подразделении Кадры в соответствии с инструкциями упражнения 2.

1.Войдите на компьютер рабочей группы с учетными данными, принадлежащими к локальной группе Администраторы (Administrators) компьютера.

2.Откройте окно свойств системы, применив один из следующих методов:

•откройте апплет Система (System) в панели управления;

•в меню Пуск (Start) щелкните правой кнопкой мыши ссылку Компьютер (Computer);

•нажмите клавишу Windows и клавишу Pause.

3.В секции Имя компьютера, имя домена и параметры рабочей группы (Computer Name, Domain, and Workgroup Settings) щелкните ссылку Изменить параметры (Change Settings).

4.Перейдите на вкладку Имя компьютера (Computer Name).

5.Щелкните кнопку Изменить (Change).

6.В секции Является членом (Member Of) выберите опцию Домен (Domain).

7.Введите имя домена contoso.com, к которому хотите присоединить компьютер.

8.Щелкните ОК. Компьютер попытается связаться с доменом. Система Windows предложит ввести учетные данные пользователя домена.

9.Введите учетные данные и щелкните ОК ..

•Если вы присоединяете к домену машину SERVER02, введите учетные данные пользователя Джеффа Форда, входящего в группу Администраторы сервера.

•Если вы присоединяете к домену машину D E S K T O P l O l , введите учетные данные пользователя Линды Митчелл из группы Справка.

10. Вам будет предложено перезагрузить компьютер. Щ е л к н и т е О К, чтобы закрыть это окно сообщения.

11.Щелкните кнопку Закрыть (Close), чтобы закрыть диалоговое окно свойств системы.

12.Перезагрузите компьютер.

Резюме

•Контейнер Computers не поддерживает связывание объектов групповой политики и создание дочерних подразделений. Поэтому рекомендуется создать структуру подразделений, соответствующую модели управления организации.

•Всегда предварительно размещайте учетные записи компьютеров: перед присоединением системы к домену нужно создать в Active Directory объект для этого компьютера.

•Для успешного присоединения компьютера к домену необходимо следующее: вы должны быть локальным администратором компьютера, должна

При импорте компьютеров необходимо обязательно включить атрибут userAccountControl и присвоить ему значение 4096. Этот атрибут обеспечивает возможность присоединения компьютера к домену. Кроме того, включите в файл имя входа пред - Windows 2000 д л я компьютера, которое представлено атрибутом sAMAccountName со знаком доллара (см. рис. 5-5).

КСВЕДЕНИЮ

Вглавах 3 и 4 рассматривалось применение команды CSVDE для импорта пользователей и групп. Чтобы получить подробную информацию о команде CSVDE, в том числе о параметрах и экспорте объектов каталогов, введите команду csvde/? или выполните поиск в центре справки и поддержки Windows Server 2008 (Windows Server 2008 Help and Support Center).

Импорт компьютеров при помощи команды LDIFDE

В главе 3 также описана команда Ldifde.exe, которая импортирует данные из файлов в формате L D I F (Lightweight Directory Access Protocol Data Interchange Format). В текстовых файлах L D I F операции указываются в виде блоков строк, разделенных пустой строкой. Каждая операция начинается с атрибута DN объекта, который является субъектом операции. Следующая строка, changeType, указывает тип операции: add, modify или delete.

Далее приведен пример ф а й л а LDIF, который может создать две учетные записи серверов:

dn: CN=SERVER10,ои=Серверы,DC=contoso,DC=com changetype: add

objectClass: top objectClass: person

objectClass: organizationalPerson objectClass: user

objectClass: computer cn: SERVER10 userAccountControl: 4096

sAMAccountName: SERVER10S

dn: CN=SERVER11,0и=Серверы,DC=contoso,DC=com changetype: add

objectClass: top objectClass: person

objectClass: organizationalPerson . objectClass: user

objectClass: computer cn: SERVER 11 . userAccountControl: 4096 sAMAccountName:

Базовый синтаксис команды LDIFDE аналогичен синтаксису команды

CSVDE:

ldifde [-1] [-f "Иня_файла"] [-k]

По умолчанию команда LDIFDE работает в режиме экспорта. Параметр -г указывает режим импорта. Параметр -/ идентифицирует файл д л я импорта или экспорта. Если не указать значение - k, команда LDIFDE остановит выполнение при ошибке. Если же указать параметр -k, команда LDIFDE будет игнорировать возникающие ошибки.

СОВЕТ К ЭКЗАМЕНУ

Помните, что по умолчанию команды CSVDE и LDIFDE работают в режиме экспорта. Для импорта объектов нужно задействовать параметр -i.

Создание компьютеров посредством команды Dsadd

В предыдущих главах говорилось об использовании команды Dsadd для создания объектов в Active Directory. Чтобы создать объект компьютера, просто введите команду dsadd computer DNjcoMmiomepa, указав отличительное имя (DN) компьютера, например CN=Desktopl23,OU=Desktops,DC=contoso,DC=com.

Если отличительное имя компьютера содержит символ пробела, заключите все имя в кавычки. Параметр DN_компыотера может содержать несколько отличительных имен новых объектов компьютеров, так что команду Dsadd Computers удобно применять для одновременного генерирования множества объектов. Ввести этот параметр можно так:

•поместить в конвейер Dsadd список DN-имен, извлеченный другой командой, например Dsquery;

•ввести отличительные имена в командную строку, разделив их пробелами;

•оставить параметр DA!_компъютера пустым и вводить отличительные имена в окно командной строки по отдельности. После ввода каждого имени следует нажимать клавишу Enter. Введя последнее отличительное имя, нажмите комбинацию клавиш Ctrl+Z, а затем Enter.

Команда Dsadd Computer может принимать опциональные параметры, следующие за отличительным именем:

• -samid SAM_umx;

•-desc Описание;

•-loc Размещение.

Создание компьютеров с помощью команды Netdom

Благодаря команде Netdom можно также решать различные задачи безопасности и управления учетной записью в командной строке. На занятии 1 мы использовали команду Netdom для присоединения компьютера к домену. Эту команду можно также применять для создания учётной записи компьютера:

netdom add Иня_конпыотера /domain-.Имя_домена [/ои\ОН_подразделения]

[/userd-.Пользователь /PasswordD:Пароль]

Импорт компьютеров из базы данных с помощью Windows PowerShell

На сертификационном экзамене 70-640 у вас вряд ли спросят о способах подключения к базе данных и создания компьютеров с помощью Windows PowerShell. Тем не менее наличие подобных знаний обеспечит реальное преимущество при работе в производственной среде. Предположим, что вы получили список компьютеров от поставщика. Вам нужно предварительно разместить учетные записи для этих систем. Сделать это без труда можно, воспользовавшись Windows PowerShell. С помощью сценариев также можно реализовать такую бизнес-логику, как внедрение стандартов именования. В этом подразделе мы опишем способы решения таких задач.

Командная оболочка Windows PowerShell может подключаться и открывать такие источники данных, как файлы .csv, которые создаются в программах Excel и Блокнот (Notepad). Например, вы можете вставить в таблицу Excel инвентарные номера (asset tag) из списка полученных компьютеров и сохранить эту таблицу как файл .csv с именем Assets.csv.

Предположим, что вам нужно импортировать эти компьютеры в домен с соблюдением двух правил. Во-первых, ноутбуки и настольные системы должны располагаться в отдельных дочерних подразделениях Laptops и Desktops подразделения Клиенты. Во-вторых, в соответствии с соглашениями об именовании, к инвентарному номеру требуется добавлять п р е ф и к с ы L или D, означающие соответственно ноутбуки и настольные системы. Например, имя компьютера, первого в списке на рис. 5-6, — DA849XD. Эти два простых правила — примеры так называемой логики в контексте программирования.

Для импорта компьютеров из файла можно использовать следующий сценарий (чтобы упростить последующее описание кода, мы добавили номера строк):

1.$dataSource=import-csv "Assets.csv"

2.foreach($dataRecord In Sdatasource) {

3.«map variables to data source

4.SAssetTag = SdataRecord.AssetTag

5.$Type = SdataRecord.Type

6.((determine name

7.SComputerName = SType.substrings, 1) + SAssetTag

8.$sAMAccountName=$ComputerName + "S"

9.«determine OU