Бубнов / Лабораторная работа№3

Лабораторная работа №3

Администрирование Active Directory

1. Инструменты администрирования Active Directory

Административные инструменты Active Directory подразделяются на две категории:

• административные консоли Active Directory;

• инструменты в составе Программ поддержки Windows (Windows Support Tools), пред­назначенные специально для управления Active Directory.

Административные консоли Active Directory

Административные консоли Active Directory устанавливаются автоматически вместе с этой службой каталогов на контроллерах домена Windows Server 2003. Их также можно установить на других серверах, работающих под управлением Windows Server 2003, с помощью дополнительного инструментального пакета Администрирование (Administrative Tools). В последнем случае администратор получает возможность управлять Active Directory с компьютеров, не являющихся контроллерами домена. В меню Администрирование (Administrative Tools) на всех контроллерах домена Windows Server 2003 представлены следующие административные консоли:

• Active Directory — домены и доверие (Active Directory Domains And Trusts);

• Active Directory — сайты и службы (Active Directory Sites And Services);

• Active Directory — пользователи и компьютеры (Active Directory Users And Computers).

Что же касается оснастки Схема Active Directory (Active Directory Schema), то ее на контроллерах домена нужно устанавливать вручную.

Консоль Active Directory — домены и доверие

Консоль Active Directory — домены и доверие (Active Directory Domains And Trusts) представляет собой интерфейс, предназначенный для управления доменами и доверительными отношениями между лесами и доменами. Она предоставляет следующие возможности.

• За счет управления явными доверительными отношениями между доменами обеспечивается способность к взаимодействию с ними (в данном случае имеются в виду домены, управляемые старыми (пред-Windows 2000) операционными системами, а также домены, расположенные в других лесах Windows Server 2003).

• Режим работы домена (ранее он назывался просто режимом домена) Windows Server 2003 можно менять со смешанного Windows 2000 до основного Windows 2000 или Windows Server 2003.

• Режим работы леса можно менять с Windows 2000 на Windows Server 2003.

• Появляется возможность добавления и удаления суффиксов основных имен пользователей (user principal names, UPN), применяемых при создании имен входа.

• Можно переносить роль хозяина именования доменов доменов с одного контролле­ра на другой.

Режимы работы доменов

Режимы работы доменов (domain functional levels) позволяют активи­ровать функции Active Directory в масштабе домена. Существует четыре режима работы доменов: смешанный Windows 2000 (он устанавливается по умолчанию), основной Windows 2000, промежуточный Windows Server 2003 и, наконец, Windows Server 2003.

Смешанный режим работы домена Windows 2000

При назначении контроллера домена с операционной системой Windows Server 2003, а также при установке на нем этой системы он наделяется функциональностью в соответствии со смешанным режимом Windows 2000. Смешанный режим Windows 2000 позволяет контроллеру домена осу­ществлять взаимодействие с контроллерами того же домена, которые управляют­ся операционными системами Microsoft Windows NT 4, Windows 2000 или Windows Server 2003.

Основной режим работы домена Windows 2000

Основной режим работы Windows 2000 позволяет контроллеру домена, работающему под управлением операционной системы Windows Server 2003, осуществлять взаимодействие с контроллерами, управляемыми Windows 2000 или Windows Server 2003. Возможность установить основной режим работы Windows 2000 появляется в том случае, если все контроллеры в рамках домена управляются Windows 2000 Server или более поздними в ерсиями этой опера­ционной системы.

Промежуточный режим работы домена Wndows Server 2003

Промежуточный режим работы Windows Server 2003 позволяет контроллеру, управляемому Windows Server 2003, осуществлять взаимодействие с контроллерами, на которых установлены системы Windows NT 4 или Windows Server 2003. Включить этот режим можно только вручную и только после перевода первого домена Windows NT в новый лес. Этот режим работы не поддерживает контроллеры домена, управляемые операционной системой Windows 2000.

Режим работы домена Windows Server 2003

Режим работы Windows Server 2003 позволяет контроллеру домена, работающему под управлением Windows Server 2003, взаимодействовать только с теми контроллерами, которые управляются той же операционной системой. Включить его можно лишь в том случае, если все контроллеры в рамках домена управляются Windows Server 2003.

Интеграция Windows Server 2003 и существующих доменов

Если вы планируете ввести в существующий домен Windows 2000 ряд серверов Windows Server 2003, назначенных на роль контроллеров домена, без утилиты командной строки Adprep.exe не обойтись. Найти ее можно в каталоге 1386 установочного компакт-диска Windows Server 2003. Вам предстоит запустить на существующем контроллере домена Windows 2000 Server, исполняющем роль хозяина схемы, команду adprep /forestprep. Ее же следует выполнить на контроллере домена Windows 2000 Server, который исполняет роль хозяина инфраструктуры. Прежде чем браться за эти команды, обязательно ознакомьтесь с содержанием статей по ADPREP, опубликованных на сайте http://support.microsoft.com.

Возможность введения в домен контроллеров, управляемых устаревшими (до Windows 2000) операционными системами, соответственно, также пропадает.

Сервер, который во время перехода исполнял роль главного контроллера домена, более не является таковым; все контроллеры теперь являются одноранговыми.

Переход с одного режим работы домена на другой необратим. Иначе говоря, перейти с основного режима Windows 2000 или с режима Windows Server 2003 на смешанный режим Windows 2000 или промежуточный Windows Server 2003 нельзя.

Для того чтобы перейти в режим Windows Server 2003 или в основной режим Windows 2000, выполните следующие действия:

2. Выберите Пуск\Администрирование\Асtivе Directory — домены и доверие (Start\Admini- strative Tools\Active Directory Domains And Trusts).

3. Щелкнув на записи искомого домена правой кнопкой мыши, выберите пункт Изменение режима работы домена (Raise Domain Functional Level).

4. Когда на экране появится диалоговое окно Изменение режима работы домена (Raise Domain Functional Level), в списке Выберите режим работы домена (Select An Available Domain Functional Level) укажите нужную функциональность. Затем щелкните кноп­ку Изменить (Raise).

5. При появлении окна сообщения Изменение режима работы домена (Raise Domain Functional Level) щелкните кнопку ОК.

Режимы работы леса

Режимы работы леса позволяют задействовать функции Active Directory в масштабе леса. Существует всего три режима работы леса: режим Windows 2000 (устанавливается по умолчанию), промежуточный режим Windows Server 2003 и режим Windows Server 2003.

Режим работы леса Windows 2000

При установке на первом контроллере домена операционной системы Windows Server 2003 включается режим работы леса Windows 2000. Этот режим позволяет контроллеру, находящемуся под управлением Windows Server 2003, устанавливать взаимодействие с теми контроллерами в масштабах леса, которые управляются операционными системами Windows NT 4, Windows 2000 или Windows Server 2003.

Промежуточный режим работы леса Windows Server 2003

Промежуточный режим ра­боты Windows Server 2003 позволяет контроллеру, управляемому Windows Server 2003, налаживать в масштабах леса взаимодействие с контроллерами, на которых установ­лены операционные системы Windows NT 4 или Windows Server 2003. Включается этот режим можно вручную и только после перевода первого домена Windows NT в новый лес. Этот режим работы не предусматривает поддержку контроллеров домена, управляемых операционной системой Windows 2000.

Режим работы леса Windows Server 2003

Режим работы Windows Server 2003 позволяет контроллеру домена, работающему под управлением Windows Server 2003, взаимодействовать в масштабе леса только с теми контроллерами, которые управляются той же операционной системой. Включить его можно лишь в том случае, если все остальные контроллеры в рамках леса, во-первых, управляются Windows Server 2003, а, во-вторых, также работают в режиме Windows Server 2003.

После повышения режима работы леса теряется возможность введения в лес контроллеров, управляемых устаревшими операционными системами.

Для того чтобы сменить режим работы леса на Windows Server 2003, выполните следующие действия:

1. Выберите Пуск\Администрирование\Active Directory — домены и доверие (Start\Administrative Tools\Active Directory Domains And Trusts).

2. Щелкнув правой кнопкой мыши на записи Active Directory — домены и доверие (Active Directory Domains And Thists), выберите Изменение режима работы леса (Raise Forest Functional Level).

3. В диалоговом окне Изменение режима работы леса (Raise Forest Functional Level) щелкните кнопку Изменить (Raise).

4. В окне сообщения Изменение режима работы леса (Raise Forest Functional Level) щелкните кнопку ОК.

Суффиксы UPN

Суффиксом UPN (UPN suffix) называется та часть основного имени пользователя (UPN), которая расположена справа от символа @. По умолчанию в качестве суффикса UPN для учетной записи пользователя принимается имя DNS домена, в котором эта запись содержится. Чтобы упростить задачи администрирования и регистрации пользователей, можно установить общий для всех пользователей суффикс UPN. Имейте в виду, что он употребляется исключительно в рамках леса Active Directory, поэтому его регистрация в качестве имени DNS в Интернете не является обязательной.

Применение в качестве суффиксов UPN альтернативных доменных имен, во-первых, повышает уровень защиты, а, во-вторых, способствует упрощению структуры имен при регистрации в доменах леса. К примеру, если дерево доменов в вашей компании состоит из нескольких вложенных уровней (так, например, бывает при систематизации по отделам или регионам), доменные имена удлиняются. В таком случае весьма вероятно, что стандартное основное имя пользователя (UPN) будет выглядеть наподобие sales.chi.contoso.com. За счет введения суффикса UPN “contoso” регистрационное имя пользователя можно сократить до user@contoso. Альтернативное имя UPN становится готовым к применению при условии создания пользовательских учетных записей с помощью консоли Active Directory — пользователи и компьютеры (Active Directory Users And Computers).

Для того чтобы добавить или удалить суффикс UPN, выполните следующие действия:

1. Выберите Пуск\Администрирование\Асtivе Directory — домены и доверие (Active Diretory Domains And Trusts).

2. Щелкнув правой кнопкой мыши на записи Active Directory — домены и доверие (Active Directory Domains And TVusts), выберите пункт Свойства (Properties).

3. Когда на экране появится диалоговое окно Active Directory — домены и доверие (Active Directory Domains And Trusts), открытое на вкладке Суффиксы UPN (UPN Suffixes), выполните одно из следующих действий:

   1. для того чтобы добавить суффикс UPN, введите его в окне Дополнительные UPN- суффиксы (Alternative UPN Suffixes), после чего щелкните кнопку Добавить (Add);

   2. того чтобы удалить суффикс UPN, выберите его запись в окне Дополнительные UPN-суффиксы (Alternative UPN Suffixes) и щелкните кнопку Удалить (Remove); затем при появлении окна сообщения Active Directory — домены и доверие (Active Directory Domains And TVusts) щелкните кнопку Да (Yes).

4. Щелкните кнопку ОК.

Консоль Active Directory — сайты и службы (Active Directory Sites And Service) предназначена для публикации в Active Directory узлов и, соответственно, предоставления данных о физической структуре сети. Исходя из этих данных, Active Directory определяет механизм репликации информации каталога и обработки запросов на обслуживание. Консоль Active Directory — пользователи и компьютеры

Консоль Active Directory — пользователи и компьютеры (Active Directory Users And Computers) позволяет добавлять в каталог компании, изменять, удалять и систематизировать учетные записи пользователей и компьютеров Windows Server 2003, группы защиты и распространения, а также опубликованные ресурсы. Кроме того, она служит цели управления контроллерами домена и подразделениями (OU).

Оснастка Схема Active Directory

Оснастка Схема Active Directory (Active Directory Schema) помогает просматривать и изменять содержимое схемы Active Directory. По умолчанию, в меню Администрирование (Administrative Tools) она не представлена. Ее нужно установить с помощью командной строки, а затем создать специальную консоль ММС. Необходимость выполнения этих действий обусловлена намерением предотвратить случайное изменение схемы.

Для того чтобы установить оснастку Схема Active Directory (Active Directory Schema), сделайте следующее:

1. Зарегистрируйтесь в роли администратора.

2. Выберите Пуск\Командная строка (Start\Command Prompt).

3. Введите regsvr32 schmmgmt.dll.

4. Выберите Пуск\Выполнить (Start\Run).

5. После открытия диалогового окна Запуск программы (Run) введите mmc и щелкните кнопку ОК.

6. Выберите Файл\Добавить или удалить оснастку (File\Add/Remove Snap-In).

7. В открывшемся диалоговом окне Добавить или удалить оснастку (Add/Remove Snap- In) щелкните кнопку Добавить (Add).

8. При появлении диалогового окна Добавить изолированную оснастку (Add Standalone Snap-In) найдите столбец Оснастка (Snap-In), дважды щелкните на записи Схема Active Directory (Active Directory Schema), после чего щелкните кнопку Закрыть (Close).

9. Вернувшись в диалоговое окно Добавить или удалить оснастку (Add/Remove Snap-In), щелкните кнопку ОК.

10. Для того чтобы сохранить новую консоль, выберите Файл\Сохранить (File\Save). В поле Сохранить в (Save In) диалогового окна Сохранить как (Save As) укажите меню Администрирование (Administrative Tools). Затем введите в текстовом окне Имя файла (File Name) имя Active Directory Schema, и щелкните кнопку Сохранить (Save). Теперь оснастка Схема Active Directory (Active Directory Schema) появится в меню Администрирование (Administrative Tools).

11. Закройте оснастку Схема Active Directory (Active Directory Schema).

Чтобы установить и открыть Программы поддержки Windows, предназначенные для управления Active Directory

1. Если Программы поддержки Windows (Windows Support Tools) на вашем сервере еще не установлены, обратитесь к процедуре инсталляции, представленной ранее.

2. Выберите Пуск\Все программы\Windows Support Tools\Support Tools Help (Start\All Programs\Windows Support Tools\Support Tools Help).

3. В списке программ, отсортированном по именам файлов, найдите и прочтите справку по утилите Dsacls.exe.

4. Непосредственно из справки откройте командную строку (Open Command Prompt). В командной строке введите dsacls \\<имя_сервера>\DC=contoso, DC=com и нажмите клавишу Enter. В результате будет выведен список управления доступом Active Directory.

5. Закройте командную строку и справку по утилите Dsacls.

Настройка консолей управления Microsoft (MMC)

Консоль управления Microsoft (ММС)

ММС — это средство создания, сохранения и открытия наборов административных инструментов, называемых консолями (consoles). Фактически, при обращении к любой из рассмотренных ранее административной консолей открывается соответствующая ММС: Active Directory — домены и доверие (Active Directory Domains And Trusts), Active Directory — сайты и службы (Active Directory Sites And Services), Active Directory — пользователи и компьютеры (Active Directory Users And Computers) являются консолями. Сама по себе, консоль не предоставляет функций управления; она лишь размещает в себе программы управления, называемые оснастками (snap-ins).

Оснастки — это программы, с помощью которых администраторы управляют сетевыми службами.

Консоли ММС подразделяются на два типа: ММС с заданной конфигурацией и специальные ММС.

ММС с заданной конфигурацией содержат наиболее часто применяемые оснастки, и именно они представлены в меню Администрирование (Administrative Tools).

Специальные консоли ММС настраиваются с расчетом на выполнение конкретных административных задач; к этому типу, в частности, относится ММС для модификации схемы Active Directory. Для удаленного администрирования используются консоли обоих типов.

Консоли хранятся в виде файлов с расширением .msc. Все настройки оснасток со­храняются вместе с консолями, и при открытии файла (даже если он открывается на другом компьютере) восстанавливаются.

Дерево консоли и правая секция окна ММС

В каждой ММС есть дерево консоли (console tree), которое в иерархическом порядке демонстрирует входящие в консоль оснастки. К примеру, показанная на рис. 1 консоль имеет в своем составе оснастки Диспетчер устройств (Device Manager) и Дефрагментация диска (Disk Defragmenter).

Рис. 1 Консоль MMC

В каждой консоли ММС присутствуют меню Действие (Action) и Вид (View). Их содержимое в каждом конкретном случае зависит от того, какой элемент консоли выбран пользователем.

Оснастками называются приложения, предназначенные для работы в рамках ММС. Они помогают выполнять административные задачи. Оснастки подразделяются на два типа: изолированные оснастки (stand-alone snap-ins) и расширения оснасток (extension snap-ins).

Изолированные оснастки, как правило, называются просто оснастками. Именно они позволяют выполнять в Windows Server 2003 административные задачи. В каждой такой оснастке реализована одна функция или набор взаимосвязанных функций. В составе Windows Server 2003 довольно много стандартных оснасток.

Расширения оснасток чаще называются просто расширениями. Они расширяют функциональность других оснасток.

Расширения проектируются с расчетом на подключение к одной или сразу к нескольким изолированным оснасткам (это зависит от реализованных в оснастках функций). К примеру, консоль Active Directory — пользователи и компьютеры (Active Directory Users And Computers) можно дополнить расширением Групповая политика (Group Policy); в то же время, скажем, с оснасткой Дефрагментация диска (Disk Defragmenter) оно не сочетается — поскольку задача управления групповыми политиками не имеет ничего общего с задачей дефрагментации диска.

При попытке расширить ту или иную изолированную оснастку Windows Server 2003 отображает только те расширения, которые с ней совместимы. Одновременно с оснасткой в консоль ММС по умолчанию вводятся все доступные расширения. Впоследствии ненужные расширения можно удалить.

Одним и тем же расширением можно дополнить несколько оснасток.

Некоторые изолированные оснастки (например, Управление компьютером (Computer Management)) за счет подключения расширений получают дополнительную функциональность. Иные — такие как, скажем, Просмотр событий (Event Viewer) — могут, в зависимости от ситуации, исполнять одну из двух ролей — быть или оснасткой, или расширением.

У каждой консоли ММС есть набор параметров, которые позволяют переключать ее из одного режима в другой и тем самым корректировать характер работы. Режим консоли определяет, к какой функциональности сохраненной ММС может обращаться тот или иной пользователь. Существует два режима консоли: авторский и пользовательский.

Сохраняя ММС в авторском режиме, вы открываете полный доступ ко всей ее функциональности — то есть, помимо прочего, разрешаете модифицировать консоль. Сохраненная в авторском режиме консоль ММС предоставляет пользователям возможность выполнять следующие операции:

• добавлять и удалять оснастки;

• создавать новые окна;

• просматривать все элементы дерева консоли;

• сохранять консоли ММС.

Авторский режим устанавливается по умолчанию при сохранении новых консолей ММС.

Если вы намерены передать консоль ММС/другим администраторам, сохранить ее лучше в пользовательском режиме. Этот режим не предусматривает возможности добавления и удаления оснасток, равно как и сохранения настроек.

Пользовательский режим, в свою очередь, подразделяется на три типа, которые предоставляют разные полномочия доступа и разную функциональность. В табл. 1 перечислены ситуации, для которых лучше всего подходит тот или иной режим.

Табл. 1. Типы пользовательского режима консоли ММС

Создание специальных консолей ММС

Для того чтобы создать специальную консоль ММС, нужно открыть пустую консоль и внести в нее все необходимые для выполнения поставленных административных задач оснастки.

Выполните следующие действия:

1. Выберите Пуск\Выполнить (Start\Run).

2. Введите в окне Запуск программы (Run) команду MMC, после чего щелкните кнопку ОК. В результате на экране появится окно ММС под именем Console1, содержащее дочернее окно Корень консоли (Console Root). Это — пустая консоль.

3. Разверните окна Console1 и Корень консоли (Console Root) до максимального размера.

4. Выберите Файл\Добавить или удалить оснастку (File\Add/Remove Snap-In).

5. Оказавшись на вкладке Изолированная оснастка (Standalone) диалогового окна Добавить или удалить оснастку (Add/Remove Snap-In), щелкните кнопку Добавить (Add).

6. Выбрав нужную оснастку в диалоговом окне Добавить или удалить оснастку (Add Standalone Snap-In), щелкните кнопку Добавить (Add). Обычно указанная оснастка сразу вносится в состав консоли. В некоторых случаях ММС требует указать в диалоговом окне или в соответствующем мастере дополнительные параметры оснастки.

7. При необходимости укажите дополнительные параметры оснастки.

8. Если оснастка предусматривает возможность удаленного администрирования, на экране появится диалоговое окно. Выполните одно из следующих действий:

• если вы планируете управлять компьютером, на котором установлена консоль, выберите пункт локальным компьютером (Local Computer);

• если вы намерены выполнять административные задачи в отношении удаленного компьютера, выберите пункт другим компьютером (Another Computer), щелкните кнопку Обзор (Browse), а затем, указав в диалоговом окне Выбор компьютера (Select Computer) имя удаленного компьютера, щелкните кнопку ОК.

9. Щелкните кнопку Готово (Finish).

10. Укомплектовав консоль всеми необходимыми оснастками, нажмите в диалоговом окне Добавить изолированную оснастку (Add Standalone Snap-In) кнопку Закрыть (Close). В результате в диалоговом окне Добавить или удалить оснастку (Add/Remove Snap-In) появится список выбранных для установки оснасток.

11. Щелкните кнопку ОК в диалоговом окне Добавить или удалить оснастку (Add/Remove Snap-In). Теперь в дереве консоли ММС непосредственно под пунктом Корень консоли (Console Root) должны появиться все введенные в нее оснастки.

12. Выберите пункт Корень консоли (Console Root).

13. Выберите Файл\Параметры (File\Options). В консоли будет выведено диалоговое окно Параметры (Options), открытое на вкладке Консоль (Console).

14. Выберите в списке Режим консоли (Console Mode) нужный режим консоли, а затем нажмите ОК.

15. Выберите Файл\Сохранить как (File\Save As).

16. В текстовом окне Имя файла (File Name) диалогового окна Сохранить как (Save As) укажите имя новой специальной консоли ММС, а затем щелкните кнопку Сохранить (Save). После этого имя консоли появится в строке заголовка ММС.

17. Выберите Файл\Выход (File\Exit). Теперь к сохраненной консоли можно будет обращаться через меню Администрирование (Administrative Tools).

Возможности изменения специальных консолей ММС сводятся к введению в них новых оснасток и расширений и их удалению. Далеко не для всех оснасток предусмотрены расширения.

Для того чтобы добавить в существующую консоль ММС новую оснастку, выполните следующие действия:

1. Выберите Пуск\Все программы\Администрирование (Start\All Programs\Administrative Tools), после чего щелкните на имени искомой специальной консоли ММС.

2. Выберите Файл\Добавить или удалить оснастку (File\Add/Remove Snap-In).

3. Во вкладке Изолированная оснастка (Standalone) диалогового окна Добавить или удалить оснастку (Add/Remove Snap-In) щелкните кнопку Добавить (Add).

4. При появлении диалогового окна Добавить изолированную оснастку (Add Standalone Snap-In) выберите оснастку, которую планируется ввести в существующую консоль ММС, щелкните кнопку Добавить (Add).

5. Руководствуясь вышеизложенной процедурой, укажите дополнительные параметры оснастки.

6. Закончив с введением новых оснасток, нажмите в диалоговом окне Добавить изолированную оснастку (Add Standalone Snap-In) кнопку Закрыть (Close). В результате спи­сок новых оснасток появится в диалоговом окне Добавить или удалить оснастку (Add/ Remove Snap-In).

7. Щелкните кнопку OK в диалоговом окне Добавить или удалить оснастку (Add/Remove Snap-In). Все новые оснастки в дереве консоли будут размещены непосредственно под записью Корень консоли (Console Root).

Для того чтобы удалить оснастку из существующей консоли ММС, выполните следующие действия:

1. Выберите Пуск\Все программы\Администрирование (Start\All Programs\Administrative Tools). Затем щелкните на имени искомой специальной консоли ММС.

2. Выберите Файл\Добавить или удалить оснастку (File\Add/Remove Snap-In).

3. Выделите оснастку, которую предполагается удалить, во вкладке Изолированная оснастка (Standalone) диалогового окна Добавить или удалить оснастку (Add/Remove Snap-In), после чего щелкните кнопку Удалить (Remove). В результате указанная оснастка будет удалена из консоли.

Для того чтобы добавить к оснастке в консоли ММС новое расширение или, напротив, удалить таковое, выполните следующие действия:

1. Выберите Пуск\Все программы\Администрированис (Start\All Programs\Administrative Tools) и укажите имя искомой специальной консоли ММС.

2. Выберите Файл\Добавить или удалить оснастку (File\Add/Remove Snap-In).

3. Укажите оснастку, к (из) которой предполагается добавить (удалить) расширение, во вкладке Изолированная оснастка (Standalone) диалогового окна Добавить или удалить оснастку (Add/Remove Snap-In). Затем перейдите на вкладку Расширения (Extensions).

4. Оказавшись во вкладке Расширения (Extensions), укажите расширения, которые требуется добавить или удалить:

• чтобы добавить новое расширение, щелкните на его записи;

• чтобы удалить существующее расширение, установите флажок Добавить все расширения (Add All Extensions), а затем, в текстовом поле Доступные расширения (Available Extensions), снимите флажок искомого расширения.