Книга Active directory

Рис. 2-9. Имена, разрешенные в ссылки с помощью кнопки проверки имен

Вам не нужно вводить полное имя. Вы можете вводить только неполные имена. Например, на рис. 2-8 показаны имена Игорь н Света. Если щелкнуть кнопку ОК или Проверить имена (Check Names), система Windows попытается преобразовать неполное имя в корректный объект. Если найден лишь один соответствующий объект, например имя входа Игорь, оно будет разрешено (см. рис. 2-9). Если же найдено несколько соответствующих объектов, как в случае с именем Света, откроется диалоговое окно Найдено несколько имен (Multiple Names Found), показанное на рис. 2-10. Выберите корректное имя (имена) и щелкните ОК. Выбранное имя будет разрешено (см. рис. 2-9).

I S

Рис. 2-10. Диалоговое окно Найдено несколько имен

По умолчанию диалоговое окно выбора выполняет поиск во всем домене. Если вам нужно ограничить область поиска или искать в другом домене, щелкните кнопку Размещение (Locations).

Кроме того, диалоговое окно выбора пользователей, контактов, компьютеров или групп редко выполняет поиск всех четырех типов объектов. Например, при добавлении членов в группу поиск компьютеров не выполняется по умолчанию. Если ввести имя компьютера, оно не будет корректно разрешено. При указании имени на вкладке Управляется (Managed By) поиск групп не выполняется по умолчанию. Чтобы корректно разрешать объекты, вы ДОЛЖНЫ

Команды поиска

Системы Windows также обеспечивают средство запросов Active Directory, которое многие администраторы называют окном поиска (Find) . Один из способов запустить окно Поиск (Find) — щелкнуть кнопку Поиск объектов в доменных службах Active Directory (Find Objects in Active Directory Domain Services) в панели инструментов оснастки Active Directory — пользователи и компьютеры (Active Directory Users and Computers). На рис. 2-13 показана эта кнопка и соответствующее окно поиск (Find).

Рис. 2-13. Окно поиска

С помощью раскрывающегося списка Найти (Find) укажите тип ( т и п ы ) объектов, поиск которых хотите выполнить, или выберите Пользовательский поиск (Custom Search) или Общие запросы (Common Queries). В раскрывающемся списке Где (In) укажите область поиска. Рекомендуется по возможности ограничивать поиск, поскольку его быстродействие на уровне крупного домена будет снижено. В совокупности раскрывающиеся списки Найти (Find) и Где (In) определяют область поиска.

Затем отконфигурируйте критерий поиска. Поля, доступные для критерия, зависят от типа выполняемого запроса. Чтобы получить расширенный контроль над запросом, в раскрывающемся списке Найти (Find) выберите Пользовательский поиск (Custom Search). Если выбрать этот тип поиска и перейти на вкладку Дополнительно (Advanced), можно создавать мощные запросы LDAP. Например, запрос OU=*main* выполняет поиск подразделения с именем, содержащим слово main, и возвращает подразделение Domain Controllers. Другие типы поиска используют только текст в начале имени. Пользовательский поиск с групповыми символами позволяет создавать запросы содержимого.

Указав область и критерий поиска, щелкните кнопку Найти (Find Now). Отобразятся результаты поиска. Вы можете щелкнуть правой кнопкой мыши

любой элемент в списке результатов и выполнить такие команды, как Переместить (Move), Удалить (Delete) и Свойства (Properties).

Занятие 2 Созданиеобъектов в Active Directory 61" т

Окно поиска (Find) также отображается в других компонентах Windows, в том числе в мастере Установка принтера (Add Printer Wizard) при локализации сетевого принтера. Папка Сеть (Network) также содержит кнопку Поиск в Active Directory (Search Active Directory). Д л я удобства поиска можно добавить на рабочий стол или в главное меню настраиваемый ярлык. Конечным объектом ярлыка должна быть команда rundll32 dsquery,OpenQueryWindow.

Поиск объектов с помощью команды Dsquery

В Windows есть утилиты командной строки с функциями, аналогичными функциям таких пользовательских интерфейсов, как оснастка Active Directory — пользователи и компьютеры (Active Directory Users and Computers). Многие из этих команд начинаются с букв DS, поэтому они называются командами DS.

Введите команду dsquery.exe/?, чтобы получить сведения о ее синтаксисе и применении. Д л я большинства команд DS требуется указать класс объекта, к которому нужно применить команду. Например, вы можете ввести команду dsquery

запроса. Например, к а ж д ы й объект м о ж н о локализовать, отыскать по имени с

свойства (в данном случае п а т е ) м о ж н о ввести к р и т е р и й (без учета регистра)

Имена DN, RDN и CN

Параметр DN представляет тип пути к объекту в Active Directory. Каждый объект в Active Directory имеет уникальный параметр DN. Например, пользователь Джеймс Файи имеет DN-путь CN—James Fine,OU=People,DC=contoso,

DC=com.

Как видите, DN-путь начинается с объекта и доходит до домена верхнего уровня в пространстве DNS-имен contoso.com. Как мы уже говорили, CN означает общее имя (Common Name). При создании пользователя данные поля Полное имя (Full Name) используются для создания общего имени CN объекта пользователя. Параметр 0U означает подразделение (Organizational Unit), a DC — компонент домена (Domain Component).

Секция DN до первого 0U или контейнера называется относительным отличительным именем, или RDN (Relative Distinguished Name). В случае с Джеймсом Файном именем RDN объекта будет С N "James Fine. Не каждое RDN-имя становится CN-именем. Именем RDN подразделения People соответственно станет OU=People.

Поскольку имя DN объекта должно быть уникальным в службе каталогов, RDN-имя объекта должно быть уникальным внутри своего контейнера. Поэтому при приеме на работу еще одного служащего с именем Джеймс Файн и размещении объектов обоих пользователей в одном подразделении ( O U ) второй пользователь получит другое имя CN. Та же логика применяется к файлам в папке: в одной папке не может быть двух файлов с идентичными именами.

При работе с Active Directory вам часто придется иметь дело с именами DN, как н в случае с файловыми путями при работе с файлами и папками. Поэтому нужно уметь читать и интерпретировать имена DN.

Практические занятия. Создание и поиск объектов

вActive Directory

Впредложенных далее упражнениях вы создадите и отыщете объекты в Active Directory. Вы создадите подразделения, пользователей, группы и компьютеры. Затем вы создадите сохраненный запрос и настроите представление этого сохраненного запроса. Объекты, созданные в этом упражнении, будут использоваться на других практических занятиях этого руководства.

Упражнение 1. Создание подразделений

Контейнеры Users и Computers, создаваемые по умолчанию, упрощают установку домена Active Directory и миграцию в него. Рекомендуется создавать подразделения в соответствии с моделью управления компанией и использовать эти подразделения для создания объектов в службе каталогов и управления ими. В этом упражнении вы создадите подразделения для домена contoso.com. Они будут использоваться на последующих практических занятиях данного руководства.

1.Войдите на машину SERVER01 как администратор.

2.Откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers).

3. Разверните узел домена.

4. Щелкните правой кнопкой м ы ш и узел домена, выберите опцию Создать (New) и примените команду Подразделение (Organizational Unit).

5. Введите для подразделения и м я Кадры.

6. Установите ф л а ж о к З а щ и т и т ь контейнер от случайного удаления (Protect

Упражнение 2. Создание пользователей

Теперь созданные в домене contoso.com подразделения можно заполнить объек-

Active Directory — пользователи и к о м п ь ю т е р ы (Active Directory Users And Computers) .

2. Следуйте и н с т р у к ц и я м из подраздела « С о з д а н и е объекта пользователя» (см. ранее в этой главе) и создайте в подразделении Кадры указанных ниже пользователей. Д л я каждого пользователя предусмотрите сложный безопасный пароль. З а п о м н и т е н а з н а ч е н н ы е пароли, поскольку вы будете входить в систему с помощью этих учетных записей на п о с л е д у ю щ и х практических занятиях данного руководства.

3. В дереве консоли разверните узел домена contoso . com и выберите подразделение Кадры.

4 . Щелкните правой к н о п к о й м ы ш и подразделение Кадры, выберите о п ц и ю Создать (New) и примените к о м а н д у П о л ь з о в а т е л ь (User) .

Откроется диалоговое окно Н о в ы й объект — пользователь ( N e w Object — User).

5. В поле И м я (First N a m e ) введите д л я п о л ь з о в а т е л я и м я Дэн.

6.В поле Фамилия (Last Name) введите фамилию Холме.

7.В поле Имя входа пользователя (User Logon Name) введите имя dholme.

8.В поле Имя входа пользователя (пред-Windows 2000) (User Logon Name (Pre-Windows 2000)) введите имя dholme.

9.Щелкните кнопку Далее (Next).

10.Введите начальный пароль пользователя в поля Пароль (Password) и Подтверждение (Confirm Password). Политика паролей домена Active Directory по умолчанию требует назначить пароль как минимум из семи символов.

Кроме того, пароль должен содержать три из четырех типов символов: прописные буквы (A-Z), строчные буквы (a - z), цифры ( 0 - 9 ) и особые символы (такие, как, например, I, #, $, %). Пароль не может содержать атрибуты имени пользователя.

Запомните пароль, назначенный пользователю, поскольку эта учетная запись понадобится вам на практических занятиях далее в этом руководстве. Во многих руководствах рекомендуется использовать групповой пароль, например, P@ssword. Такой пароль можно использовать на практических занятиях данного руководства, но рекомендуется создавать у н и к а л ь н ы е пароли даже в упражнениях, чтобы следовать корректным методикам и в лабораторной среде.

11.Установите флажок Требовать смену пароля при следующем входе в систему (User Must Change Password At Next Logon).

12.Щелкните кнопку Далее (Next).

13.Просмотрите введенные параметры и щелкните кнопку Готово (Finish).

14.Щелкните правой кнопкой мыши созданный объект пользователя и примените команду Свойства (Properties).

15.Просмотрите атрибуты, которые можно конфигурировать в диалоговом окне свойств. Не изменяйте пока свойства пользователя.

16.Щелкните ОК.

17.Повторите шаги 3-12 и создайте следующих пользователей в подразделении Кадры.

•Джеймс Файн

•Имя (First Name): Джеймс;

•Фамилия (Last Name): Файн;

•Полное имя (Full Name): Джеймс Файн;

•Имя входа пользователя (User Logon Name): jfine.

•Барбара Майер

•Имя: Барбара;

•Фамилия: Майер;

•Полное имя: Барбара Майер;

•Имя входа пользователя: bmayer;

•Имя входа пользователя пред-Windows 2000: bmayer.

шБарбара Морленд

•Имя: Барбара;

•Ф а м и л и я : Морленд;

•Полное имя: Барбара Морленд;

аИ м я входа пользователя: bmorelend;

аИ м я входа пользователя пред-Windows 2000: bmorelend.

18.Еще раз повторите шаги 3 - 1 2 : создайте в подразделении Кадры учетную запись для себя. Создайте сложный безопасный пароль и запомните его, поскольку эта учетная запись будет использоваться в других упражнениях данного руководства.

19.Снова повторите шаги 3 - 1 2 и создайте для себя административную учетную запись в подразделении Администраторы . Этой учетной записи будут предоставлены административные привилегии. Создайте объект пользователя

вподразделении Администраторы, а не в подразделении Кадры. В качестве имени входа пользователя д л я административной учетной записи возьмите имя и ф а м и л и ю с с у ф ф и к с о м _ admin, например dholme_admin. Создайте сложный безопасный пароль и запомните его, поскольку эта учетная запись будет задействована в других у п р а ж н е н и я х данного руководства.

Упражнение 3. Создание компьютеров

Учетные записи компьютеров н у ж н о создать до присоединения машин к до-

Active Directory — пользователи и компьютеры (Active Directory Users and Computers) .

2. В дереве консоли разверните узел домена contoso.com и выберите подразделение Серверы .

3. Щелкните правой кнопкой м ы ш и подразделение Серверы, выберите опцию Создать (New) и п р и м е н и т е к о м а н д у К о м п ь ю т е р (Computer) .

Откроется диалоговое окно Н о в ы й объект — Компьютер (New Object — Computer) .

6. Обратите внимание на учетную запись, у к а з а н н у ю в текстовом поле И м я • пользователя или группы (User Or G r o u p Field). He меняйте пока эту учет-

dows 2000 (Assign This Computer Account As A Pre-Windows 2000 Computer).

8.Щелкните ОК.

9.Щелкните правой кнопкой мыши компьютер и примените команду Свойства (Properties).

10.Просмотрите доступные свойства компьютера. Не меняйте пока данные атрибуты.

И.Щелкните ОК.

12.Повторите шаги 3 - 8 и создайте два объекта компьютеров:

•SHAREPOINT02;

•EXCHANGE03.

13.Повторите шаги 3 - 8 и создайте еще три объекта компьютеров в подразделении Клиенты:

•DESKTOPlOl;

« DESKTOP102;

•LAPTOP103.

Упражнение 4. Создание групп Объектами лучше всего управлять с помощью групп. В данном упражнении

вы создадите несколько групп в двух подразделениях, созданных в упраж - нении 1. Эти группы будут использоваться на практических з а н я т и я х далее

внастоящем руководстве.

1.Войдите на машину SERVER01 как администратор и откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users And Computers).

2.В дереве консоли разверните узел домена contoso.com и выберите подразделение Группы.

3.Щелкните подразделение Группы правой кнопкой мыши, выберите опцию Создать (New) и примените команду Группа (Group).

Откроется диалоговое окно Новый объект — Группа (New Object — Group).

4.В текстовое поле Имя группы (Group Name) введите для группы и м я Фи-

нансы.

5.Не меняйте имя в поле Имя группы (пред-Windows 2000) ( G r o u p Name (Pre-Windows 2000)).

6.Выберите для группы тип Группа безопасности (Security).

7.Выберите область действия Глобальная (Global).

8.Щелкните ОК.

Многие свойства объектов групп можно конфигурировать. Эти свойства можно определить после создания объекта.

9.Щелкните группу правой кнопкой мыши и примените команду Свойства (Properties).

10.Просмотрите доступные свойства группы. Не меняйте пока эти атрибуты.

11.Щелкните ОК.

12.Повторите шаги 3 - 8 д л я создания следующих глобальных групп безопасности в подразделении Группы:

•Финансовые менеджеры;

•Продажи;

•APP _ Office 2007.

13.Повторите шаги 3 - 8 и создайте две глобальные группы безопасности в подразделении Администраторы:

•Справка;

•Администраторы Windows .

Упражнение 5. Добавление пользователей и компьютеров в группы

Теперь в созданные группы можно добавлять объекты в качестве членов. В этом упражнении вы добавите в группы компьютеры и пользователей. Заодно вы попрактикуетесь в поиске объектов Active Directory с помощью диалогового окна выбора объектов.

1. Войдите на м а ш и н у S E R V E R 0 1 как администратор и откройте оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

2. Откройте свойства своей административной учетной записи в подразделении Администраторы .

3. Перейдите на вкладку Ч л е н групп (Member Of). 4. Щелкните кнопку Д о б а в и т ь (Add) .

5. В диалоговое окно Выбор: "Группы" (Select Groups) введите имя Админис-

траторы домена (Domain Admins).

6. Щелкните О К .

7. Вновь щелкните О К, чтобы закрыть окно свойств учетной записи.

8. Откройте свойства г р у п п ы Справка в подразделении Администраторы. 9. Перейдите на вкладку Ч л е н ы группы (Members) .

10. Щелкните к н о п к у Д о б а в и т ь (Add) .

11.В диалоговое окно Выбор (Select) введите имя Барб.

12.Щелкните кнопку Проверить имена (Check Names).

Откроется д и а л о г о в о е о к н о Н а й д е н о несколько имен (Multiple Names Found).

13. Выберите имя Барбара Майер и щ е л к н и т е О К .

14. Щелкните О К , чтобы закрыть диалоговое окно Выбор (Select). 15. Вновь щелкните О К, чтобы закрыть окно свойств группы.

16. Откройте свойства группы A P P _ O f f i c e 2007 в подразделении Группы. 17. Перейдите на вкладку Ч л е н ы группы (Members) .

18.Щелкните кнопку Добавить (Add) .

19.В диалоговое окно Выбор (Select) введите имя DESKTOP1Q1.