3-2 Основи планування та адміністрування служб доступу до інформаційних ресурсів / ЛБ / Книга Active directory

38 Администрирование

Рлава 2

Рис. 2-2. Ввод административных учетных данных в диалоговом окне контроля учетных записей пользователей

Если вы регулярно запускаете приложения от имени а д м и н и с т р а т о р а , создайте новый ярлык для команды Запуск от имени а д м и н и с т р а т о р а ( R u n As Administrator). Создайте ярлык и откройте диалоговое окно С в о й с т в а ( P r o p e r - ties) этого ярлыка. Щелкните кнопку Дополнительно (Advanced) и у с т а н о в и т е флажок Запуск от имени администратора (Run As Administrator) . П р и щ е л ч к е на этом ярлыке откроется диалоговое окно контроля учетных з а п и с е й п о л ь - зователей.

Создание настраиваемой консоли с оснастками Active Directory

Систему Windows проще администрировать, когда все необходимые инструмен - ты находятся в одном месте, где их можно настраивать в соответствии с требованиями. Для этого лучше создать настраиваемую а д м и н и с т р а т и в н у ю к о н с о л ь ММС, к которой, как к поясному ремню монтажника, и будут крепиться инстру - менты. Настраиваемая консоль ММС обеспечивает такие в о з м о ж н о с т и :

• добавить множество оснасток, чтобы не переключаться между к о н с о л я м и при выполнении заданий и запускать лишь одну консоль от и м е н и адми - нистратора;

•сохранить консоль для постоянного использования;

•распространить консоль среди других администраторов;

•централизовать консоли в общем ресурсе для у н и ф и ц и р о в а н н о г о настраиваемого администрирования.

Чтобы создать настраиваемую консоль М М С , откройте п у с т у ю к о н с о л ь ММС. Для этого откройте меню Пуск (Start), в поле Начать поиск (Search) введите команду ттс.ехе и нажмите клавишу Enter. С п о м о щ ь ю к о м а н д ы До - бавить или удалить оснастку (Add/Remove Snap-in) в меню К о н с о л ь (File) можно добавлять оснастки в консоль, удалять их, изменять их порядок и управлять ими.

ПРИМЕЧАНИЕ

В упражнениях 1, 2 и 3 в конце этого занятия пошагово описано создание настраиваемой консоли М М С с множеством оснасток.

Сохранение и распространение настраиваемой консоли

Е с л и вы п л а н и р у е т е р а с п р о с т р а н и т ь консоль, рекомендуется сохранить ее в пользовательском режиме. Ч т о б ы изменить режим консоли, в меню Консоль (File) щ е л к н и т е П а р а м е т р ы (Options) . По умолчанию новые консоли сохра- н я ю т с я в а в т о р с к о м р е ж и м е , п о з в о л я ю щ е м добавлять и удалять оснастки, просматривать все секции дерева консоли и сохранять настройки. Пользова- т е л ь с к и й р е ж и м о г р а н и ч и в а е т функциональность консоли, чтобы ее нельзя было изменять. Существует три типа пользовательского режима — они описаны в табл. 2-1. Р е ж и м Пользовательский — полный доступ (User Mode — Full Access) часто п р и м е н я е т с я д л я консолей опытными администраторами, которые в ы п о л н я ю т свою работу, ш и р о к о используя оснастки консоли. Режим Пользовательский — о г р а н и ч е н н ы й доступ (User Mode — Limited Access) с множеством окон и л и с одним окном — это режим с ограниченной функциональностью,

Когда консоль больше не хранится в авторском режиме, вы как автор консоли можете внести изменения, щелкнув сохраненную консоль правой кнопкой м ы ш и и применив команду Автор (Author).

ПРИМЕЧАНИЕ

В упражнении 4 в конце этого занятия пошагово описано, как сохранить консоль в пользовательском режиме для ограничения ее функциональности при распространении среди других администраторов.

гI

I Консоли сохраняются с файловым расширением .msc, по умолчанию — I в папке Administrative Tools, но на самом деле это не папка, а апплет панели | управления. Если сказать точнее, сохраняются консоли в папке главного меню I (Start) профиля пользователя %«ie^oro/z7e%\AppData\Roaming\Microsoft\ J \Vindo\vs\S tart Menu.

I Указанная папка защищена, так что только ваша учетная запись имеет I доступ к консоли. Лучше всего входить на компьютер с использованием учет- I ной записи без привилегий, а затем запускать административные инструмен - ты, включая настраиваемую консоль, с альтернативными учетными данными, I обеспечивающими достаточные права для задач администрирования . Но из-за I участия двух учетных записей в работе при сохранении консоли в ггодпапке главного меню пользовательского профиля одной учетной записи потребуется дополнительная навигация, что может привести к ошибкам отказа в доступе.

Сохраните свою консоль в папке, доступ к которой можно получить с пользовательскими или административными учетными данными. Рекомендуется сохранять консоли в общей сетевой папке, чтобы получать к н и м доступ с других компьютеров. Как вариант можно открыть доступ к папке для других администраторов, создав таким образом централизованное хранилище настраиваемых консолей. Консоли также можно сохранять на таком переносном устройстве, как USB-диск, а также пересылать как вложения электронной почты.

Важно не забывать, что консоли, по сути,— это набор инструкций, которые интерпретируются программой ттс.ехе. Эти инструкции указывают добавля - емые оснастки и компьютеры, управление которыми осуществляется с помощью этих оснасток. Консоли не содержат сами оснастки. Поэтому консоль не будет функционировать, если предусмотренная в ней оснастка не установлена. Следует не забывать установить соответствующие оснастки из набора средств RSAT в системах, где будет использоваться консоль.

Контрольный вопрос

•Опишите разницу между сохранением консоли в пользовательском и авторском режиме.

Ответ на контрольный вопрос

•Авторский режим позволяет пользователю добавлять и удалять оснастки

инастраивать консоль. Пользовательский — запрещает пользователям изменять консоль.

Практические занятия. Создание настраиваемой консоли ММС и управление ею

На этом практическом занятии вы создадите настраиваемую консоль М М С . Для этого вы добавите оснастки, удалите некоторые из н и х и и з м е н и т е их порядок. Затем вы подготовите консоль д л я распространения среди других администраторов.

10. Щ е л к н и т е меню Консоль (File). В авторском режиме отображается команда Добавить или удалить оснастку ( A d d / R e m o v e Snap-in).

11. З а к р о й т е консоль .

Резюме

ш А д м и н и с т р а т и в н ы е средства Windows представляют собой оснастки, которые м о ж н о добавлять в консоль М М С . Оснастки Active Directory — пользователи и к о м п ь ю т е р ы (Active Directory Users And Computers) и другие

•Администраторы не д о л ж н ы входить на свои компьютеры с использованием

ад м и н и с т р а т и в н ы х учетных данных. Вместо этого лучше применять для входа стандартную пользовательскую учетную запись, а административные

сохранить в папке, где вы и другие администраторы можете получать к ней доступ и запускать ее с административными привилегиями. В идеале лучше создать одну консоль со всеми нужными оснастками и запускать только ее от имени администратора .

•Н а с т р а и в а е м у ю консоль рекомендуется сохранить в пользовательском режиме, чтобы в консоль и ее оснастки нельзя было вносить изменения.

• Д л я работы консоли следует установить соответствующие административ- н ы е средства, иначе оснастки консоли не будут действовать.

Закрепление материала

С л е д у ю щ и й вопрос можно использовать для проверки знаний, полученных на занятии 1. Этот вопрос есть на сопроводительном компакт-диске.

ПРИМЕЧАНИЕ Ответы

Ответ на это вопрос с пояснениями, почему тот или иной вариант ответа правилен или неверен, вы найдете в разделе -«Ответы» в конце книги.

1. Вы профессионал из группы поддержки в компании Contoso, Ltd. Администраторы домена распространили настраиваемую консоль с оснасткой Active D i r e c t o r y — пользователи и компьютеры (Active Directory Users And Computers) . При открытии консоли и попытке сбросить пароль поль-

. зователя вы получаете ошибки отказа в доступе. Вы точно знаете, что вам

Создание подразделения

П о д р а з д е л е н ия (Organizational Unit, O U ) в Active Directory представляют собой а д м и н и с т р а т и в н ы е контейнеры, которые служат для группирования объектов с о б щ и м и т р е б о в а н и я м и администрирования, конфигурации или видимости. Смысл сказанного станет понятным при изучении дизайна и управления ОU . А сейчас просто нужно знать, что подразделения ( O U ) обеспечивают административную иерархию, аналогичную иерархии на диске: подразделения представляют собой коллекции объектов, которые предназначены для администрирования. В данном случае делается акцент на слове «администрирование», поскольку подразделения не используются для назначения разрешений доступа к ресурсам — д л я этого существуют группы. Пользователи помещаются в группы, которым назначаются разрешения доступа к ресурсам. Подразделения же ( O U ) представляют собой административные контейнеры, внутри которых администраторы управляют этими пользователями и группами. Далее описан процесс создания подразделения.

1.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers) .

2. Щ е л к н и т е правой кнопкой мыши узел домена или подразделения, в которое хотите добавить новое подразделение, выберите опцию Создать (New)

и щелкните команду Подразделение (Organizational Unit).

3.Введите имя подразделения в соответствии с правилами именования вашей организации .

4. Установите ф л а ж о к З а щ и т и т ь контейнер от случайного удаления (Protect Container From Accidental Deletion).

Этот параметр мы рассмотрим подробнее далее. 5. Щ е л к н и т е О К .

Подразделения имеют и другие свойства, которые можно конфигурировать; определить их можно после создания объекта.

Соблюдайте правила именования, а также другие стандарты и процедуры вашей организации .

В поле О п и с а н и е (Description) можно указать назначение подразделения. Если п о д р а з д е л е н и е представляет физическое пространство, например офис, в свойствах можно указать почтовый адрес подразделения.

Вкладку Управляется (Managed By) можно применить для привязки к пользователю и л и группе, которая несет ответственность за подразделение. Щ е л к н и т е кнопку Изменить (Change) под полем И м я (Name). Откроется диалоговое окно Выбор: "Пользователь", "Контакт" или "Группа" (Select User, Contact, or Group); по умолчанию оно не выполняет поиск групп. Д л я поиска нужно вначале щелкнуть кнопку Типы объектов (Object Types)