Articles

Słowniczek Active Directory – terminy i podstawowe pojęcia

Posted on

W tym wpisie zamierzam wymienić i wyjaśnić najczęściej używaną terminologię w Active Directory i technologiach pokrewnych.

Jeśli jesteś początkującym użytkownikiem Active Directory, będzie to dla Ciebie świetne źródło wiedzy na temat podstaw Active Directory i podstawowych pojęć.

Pogrupowałem terminy w różnych sekcjach, aby ułatwić zrozumienie i odnoszenie się do nich. Niektóre tematy mogą być bardzo techniczne, dlatego podałem krótką i łatwą do zrozumienia terminologię. Na końcu każdej sekcji podaję dodatkowe zasoby, jeśli chcesz dowiedzieć się więcej.

Spis treści:

  • Podstawy Active Directory – zacznij tutaj
  • Usługi Active Directory
  • Active Directory DNS
  • Active Directory Replication
  • Active Directory Security (Uwierzytelnianie, Protokoły bezpieczeństwa, Uprawnienia)
  • Active Directory Management Consoles
  • DHCP
  • Group Policy

Podstawy Active Directory

To są podstawowe terminy, które powinieneś znać, mając do czynienia z Active Directory.

Active Directory

Active Directory to usługa katalogowa, która centralizuje zarządzanie użytkownikami, komputerami i innymi obiektami w sieci. Jego podstawową funkcją jest uwierzytelnianie i autoryzacja użytkowników i komputerów w domenie Windows. Na przykład, gdy użytkownik loguje się do komputera w domenie, sprawdza on nazwę użytkownika i hasło, które zostały podane w celu weryfikacji konta. Jeśli jest to poprawna nazwa użytkownika i hasło, użytkownik jest uwierzytelniany i logowany do komputera.

Nie należy mylić trzech poniższych terminów, wszystkie one odnoszą się do Active Directory.

  • AD – jest to po prostu skrót od Active Directory
  • AD DS – jest to serwer, na którym działa rola usług domenowych Active Directory
  • Kontroler domeny – jest to również serwer, na którym działa rola usług domenowych Active Directory. Zaleca się posiadanie wielu kontrolerów domeny z powodów awaryjnych.

Active Directory Web Services (ADWS)

Usługa ta została wprowadzona w Windows Server 2008 R2. Jest ona automatycznie instalowana z rolą ADDS lub ADLDS i jest skonfigurowana do automatycznego działania. Usługa ta zapewnia zdalne zarządzanie dowolnymi lokalnymi usługami katalogowymi.

Domena

Domena jest logiczną strukturą kontenerów i obiektów w ramach Active Directory. Domena zawiera następujące komponenty:

  • Hierarchiczna struktura dla użytkowników, grup, komputerów i innych obiektów
  • Usługi bezpieczeństwa, które zapewniają uwierzytelnianie i autoryzację do zasobów w domenie i innych domenach
  • Polityki, które są stosowane do użytkowników i komputerów
  • Nazwa DNS do identyfikacji domeny. Kiedy logujesz się do komputera, który jest częścią domeny, logujesz się do nazwy domeny DNS. Moja domena DNS to ad.activedirectorypro.com, w ten sposób moja domena jest identyfikowana.

Drzewo domen

Gdy dodajesz domenę dziecka do domeny rodzica, tworzysz to, co nazywa się drzewem domen. Drzewo domen jest po prostu serią domen połączonych razem w hierarchiczny sposób, wszystkie używają tej samej przestrzeni nazw DNS. Jeśli activedirectorypro.com miałaby dodać domenę o nazwie training, lub videos, nazwałaby się training.activedirectorypro.com i videos.activedirectorypro.com. Domeny te są częścią tego samego drzewa domen i zaufanie jest automatycznie tworzone pomiędzy domenami rodzicami i dziećmi.

Poziomy funkcjonalne

Poziomy funkcjonalne określają, jakie możliwości są dostępne w domenie. Wyższe poziomy funkcjonalne pozwalają na wykorzystanie najnowszych i najwspanialszych technologii w domenie Active Directory. Jeśli to możliwe, używaj najwyższych poziomów funkcjonalnych dla kontrolerów domeny.

Las

Las jest zbiorem drzew domen. Drzewo domeny współdzieli wspólny schemat i kontener konfiguracyjny. Drzewa domen są połączone ze sobą poprzez zaufanie przechodnie. Kiedy po raz pierwszy instalujesz Active Directory i tworzysz domenę, tworzysz również las.

FQDN – Fully Qualified Domain Name

Fully Qualified Domain name to nazwa hosta + domena, na przykład moja domena to ad.activedirectorypro.com, komputer w domenie o nazwie hosta PC1, więc FQDN będzie pc1.ad.activedirectorypro.com

FSMO

Kontroler domeny posiada wiele funkcji, które są określane jako role FSMO. Wszystkie te role są instalowane na pierwszym kontrolerze domeny w nowym lesie, można przenieść role pomiędzy wieloma DC, aby pomóc w wydajności i failover.

  • Schema Master – Schema Master jest rolą obejmującą cały las, która obsługuje wszystkie zmiany w schemacie Active Directory.
  • Domain Naming Master – Jest to rola obejmująca cały las, która jest mistrzem nazw domen. Obsługuje przestrzeń nazw oraz dodawanie i usuwanie nazw domen.
  • Emulator PDC – Rola ta obsługuje zmiany haseł, blokady użytkowników, politykę grupową oraz jest serwerem czasu dla klientów.
  • RID Master – Rola ta jest odpowiedzialna za przetwarzanie żądań puli RID ze wszystkich DC w domenie. Kiedy tworzone są obiekty takie jak użytkownicy i komputery, otrzymują one unikalny identyfikator SID oraz identyfikator względny (RID). Rola RID Master zapewnia, że obiekty nie otrzymują tych samych identyfikatorów SID i RID.
  • Rola Infrastructure master – Jest to rola dla całej domeny, używana do odwoływania się do obiektów w innych domenach. Jeśli użytkownicy z domeny A są członkami grupy bezpieczeństwa w domenie B, rola Infrastructure Master jest używana do odwoływania się do kont we właściwej domenie.

Obiekty

Podczas pracy z Active Directory będziesz przede wszystkim pracował z obiektami. Obiekty są definiowane jako grupa atrybutów, które reprezentują zasób w domenie. Obiekty te mają przypisany unikalny identyfikator bezpieczeństwa (SID), który jest używany do przyznawania lub odmowy dostępu do zasobów w domenie. Domyślne typy obiektów tworzonych w nowej domenie w Active Directory to:

  • Jednostka organizacyjna (OU) – OU jest obiektem kontenerowym, który może zawierać różne obiekty z tej samej domeny. Jednostki OU będą używane do przechowywania i organizowania kont użytkowników, kontaktów, komputerów i grup. Będziesz także łączył obiekty zasad grupy z OU.
  • Użytkownicy – konta użytkowników są przypisane przede wszystkim do użytkowników, aby uzyskać dostęp do zasobów domeny. Mogą one być również wykorzystywane do uruchamiania programów lub usług systemowych.
  • Komputer – Jest to po prostu komputer, który jest dołączony do domeny.
  • Grupy – Istnieją dwa rodzaje obiektów, grupa bezpieczeństwa i grupa dystrybucji. Grupa bezpieczeństwa to grupa kont użytkowników, która może być użyta do zapewnienia dostępu do zasobów. Grupy dystrybucyjne są używane do tworzenia list dystrybucyjnych poczty elektronicznej.
  • Kontakty – Kontakt jest używany do celów poczty elektronicznej. Nie można zalogować się do domeny jako kontakt i nie może być używany do zabezpieczenia uprawnień.
  • Folder współdzielony – Kiedy publikujesz folder współdzielony w Active Directory, tworzy on obiekt. Publikowanie folderów współdzielonych w AD ułatwia użytkownikom znalezienie współdzielonych plików i folderów w domenie.
  • Udostępnianie drukarki – Podobnie jak foldery współdzielone możesz publikować drukarki w Active Directory. To również ułatwia użytkownikom znalezienie i korzystanie z drukarek w domenie.

LDAP (Lightweight Directory Access Protocol)

LDAP jest protokołem otwartej platformy używanym do dostępu do usług katalogowych. LDAP zapewnia mechanizm komunikacyjny dla aplikacji i innych systemów do korzystania z interakcji z serwerami katalogowymi. W prostych słowach, LDAP jest sposobem łączenia się i komunikowania z Active Directory.

Katalog globalny (GC)

Serwer katalogu globalnego zawiera pełną replikę wszystkich obiektów i jest używany do przeprowadzania wyszukiwań w całym lesie. Domyślnie pierwszy kontroler domeny w domenie jest wyznaczony jako serwer GC, zaleca się posiadanie co najmniej jednego serwera GC dla każdej witryny w celu poprawy wydajności.

Jet Database Engine

Baza danych Active Directory jest oparta na silniku Jet Blue firmy Microsoft i wykorzystuje Extensible Storage Engine (ESE) do pracy z danymi. Baza danych jest pojedynczym plikiem o nazwie ntds.dit, domyślnie jest przechowywana w folderze %SYSTEMROOT%NTDS na każdym kontrolerze domeny.

Kosz

Kosz Active Directory pozwala administratorom na łatwe odzyskiwanie usuniętych elementów, domyślnie nie jest to włączone. Jak włączyć kosz krok po kroku.

Read-Only Domain Controller (RODC)

Serwery RODC przechowują kopię bazy danych Active Directory tylko do odczytu i nie pozwalają na zmiany w AD. Jego głównym przeznaczeniem są biura oddziałów i lokalizacje o słabym bezpieczeństwie fizycznym.

Schemat

Schemat Active Directory definiuje każdą klasę obiektów, które mogą być tworzone i używane w lesie Active Directory. Definiuje również każdy atrybut, który może istnieć w obiekcie. Innymi słowy, jest to schemat tego, jak dane mogą być przechowywane w Active Directory. Na przykład, konto użytkownika jest instancją klasy user, używa atrybutów do przechowywania i dostarczania informacji o tym obiekcie. Konto komputera jest kolejną instancją klasy, która również jest definiowana przez swoje atrybuty.

Istnieje wiele klas i atrybutów, chyba że programujesz lub rozwiązujesz zaawansowane problemy, nie jest konieczne, aby wiedzieć wszystko o schemacie.

SYSVOL

Sysvol jest bardzo ważnym folderem, który jest współdzielony na każdym kontrolerze domeny. Domyślna lokalizacja to %SYSTEMROOT %SYSVOL i składa się z następujących elementów:

  • Group Policy Objects
  • Foldery
  • Skrypty
  • Junction Points

Tombstone

Tombstone jest usuniętym obiektem z AD, który nie został usunięty z bazy danych, obiekt technicznie pozostaje w bazie danych przez pewien okres czasu. W tym czasie obiekt może zostać przywrócony.

Atrybuty nazw obiektów

Następujące atrybuty są ważnymi atrybutami, które powinieneś znać podczas pracy z Active Directory.

  • userPrincipalName (UPN) – Jest to powszechna nazwa logowania, która jest w formacie adresu e-mail. UPN wygląda tak, [email protected], UPN może być użyty do zalogowania się do domeny windowsowej.
  • objectGUID – Ten atrybut jest używany do unikalnej identyfikacji konta użytkownika. Nawet jeżeli konto zostanie przemianowane lub przeniesione, objectGUID nigdy się nie zmieni.
  • sAmAccountName – Atrybut ten służy do logowania konta w domenie. Był to podstawowy sposób logowania do domeny w starszych wersjach Windows, można go nadal stosować w nowoczesnych wersjach Windows.
  • objectSID – Atrybut ten jest identyfikatorem bezpieczeństwa (SID) użytkownika. SID jest używany przez serwer do identyfikacji użytkownika i jego przynależności do grupy w celu autoryzacji dostępu użytkownika do zasobów domeny.
  • sIDHistory – Atrybut ten zawiera poprzednie identyfikatory SID dla obiektu użytkownika. Jest to potrzebne tylko wtedy, gdy użytkownik przeniósł się do innej domeny.
  • Relative Distinguished Name (RDN) – RDN jest pierwszym składnikiem nazwy wyróżnionej. Jest to nazwa obiektu w Active Directory względem jego położenia w hierarchicznej strukturze AD
  • Distinguished Name (DN) – Atrybut DN lokalizuje obiekty w katalogu. Atrybut ten jest powszechnie używany przez usługi i aplikacje do lokalizowania obiektów w Active Directory. a DN składa się z następujących komponentów:
    • CN – nazwa zwyczajowa
    • OU – jednostka organizacyjna
    • DC – składnik domeny

Grupy

Grupy służą do zbierania kont użytkowników, obiektów komputerów i kontaktów w jednostki zarządzania. Tworzenie grup ułatwia kontrolę uprawnień do zasobów oraz przypisywanie zasobów takich jak drukarki i foldery. Istnieją dwa rodzaje grup

  • Dystrybucja – grupy dystrybucyjne są używane przez aplikacje poczty elektronicznej do łatwego wysyłania wiadomości e-mail do grupy użytkowników.
  • Bezpieczeństwo – Grupy bezpieczeństwa są grupą kont, które mogą być użyte do łatwego przypisania do zasobu lub ubiegania się o uprawnienia. Na przykład, gdybym chciał zablokować folder dla działu HR, mógłbym po prostu umieścić wszystkich pracowników w grupie bezpieczeństwa i zastosować grupę do folderu zamiast każdego indywidualnego konta.

Zakres grupy

Zakres grupy określa czy grupa może być zastosowana w domenie lub lesie. Oto trzy zakresy grup:

  • Uniwersalny – Może zawierać obiekty z innych grup uniwersalnych i każdej domeny w drzewie lub lesie.
  • Globalny – może zawierać obiekty z domeny i być stosowany w dowolnym drzewie lub lesie domeny.
  • Domain Local – może zawierać obiekty z dowolnej domeny, ale może być zastosowany tylko w domenie, w której został utworzony.

Zasoby:

Zrozumienie nagrobków, Active Directory i jak je chronić

Schemat Active Directory

Poziomy funkcjonalne lasu i domeny

Active Directory: Concepts Part 1

Usługi Active Directory

Active Directory zawiera kilka innych usług, które wchodzą w zakres Active Directory Domain Services, usługi te obejmują:

Active Directory Certificate Services (AD CS)

Jest to rola serwera, która pozwala zbudować infrastrukturę klucza publicznego (PKI) i zapewnić certyfikaty cyfrowe dla organizacji. Certyfikaty mogą być używane do szyfrowania ruchu sieciowego, ruchu aplikacji oraz do uwierzytelniania użytkowników i komputerów. Gdy w adresie przeglądarki widzisz https, oznacza to, że używa ona certyfikatu do szyfrowania komunikacji z klienta do serwera.

Usługi domenowe Active Directory (AD DS)

Zobacz opis usługi Active Directory

Usługi federacyjne Active Directory (AD FS)

Usługa federacyjna umożliwia jednokrotne logowanie do systemów zewnętrznych, takich jak witryny internetowe i aplikacje. Office 365 jest częstym zastosowaniem usług federacyjnych. Kiedy logujesz się do Office 365, nazwa użytkownika i hasło są przekierowywane przez serwer federacyjny, a dane uwierzytelniające są sprawdzane w oparciu o lokalną Active Directory. Pozwala to więc na zapewnienie uwierzytelniania do systemów zewnętrznych za pomocą lokalnej usługi Active Directory do uwierzytelniania nazwy użytkownika i hasła.

Active Directory Lightweight Directory Services (AD LDS)

Usługa ta zapewnia usługi katalogowe przy użyciu protokołu LDAP bez konieczności wdrażania kontrolerów domeny. Jest to głównie używane do zapewnienia usług katalogowych funkcjonalnie do aplikacji obsługujących katalogi. Nie zastępuje ona AD DS.

Usługi zarządzania prawami w usłudze Active Directory (AD RMS)

Usługa ta zapewnia metody ochrony informacji dotyczących treści cyfrowych. Chroni dokumenty poprzez określenie, kto może otwierać, modyfikować, drukować, przesyłać dalej lub podejmować inne działania na dokumentach. Można również użyć certyfikatów do szyfrowania dokumentów w celu zwiększenia bezpieczeństwa.

Active Directory DNS

Domain Name System to usługa zapewniająca rozwiązywanie nazw, najczęściej rozwiązywanie nazw hostów z adresami IP. W tej sekcji dowiesz się o niektórych ważnych komponentach DNS.

Resource Records

Rekord zasobu to wpis w systemie DNS, który pomaga zlokalizować zasoby na podstawie IP lub nazwy domeny. Istnieje wiele typów rekordów zasobów, poniżej znajduje się lista popularnych typów rekordów:

  • A – mapuje nazwę hosta na adres IPv4
  • AAAA – mapuje nazwę hosta na adres IPv6
  • CNAME – mapuje alias na nazwę hosta
  • MX – służy do lokalizowania serwera pocztowego
  • NS – określa serwer nazw dla domeny
  • PTR – mapuje adres IPv4 na nazwę hosta. Jest to odwrotność rekordu A.
  • SOA – Zawiera informacje administracyjne
  • SRV – Służy do lokalizowania serwerów, które hostują określone usługi
  • TXT – Może zawierać różne dane. Często używany do weryfikacji domen i ze względów bezpieczeństwa.

Dynamiczny DNS (DDNS)

Dynamiczny DNS jest metodą umożliwiającą klientom rejestrację i dynamiczną aktualizację ich rekordów zasobów na serwerze DNS. Pozwala to klientom, którzy używają DHCP na automatyczną aktualizację ich rekordów DNS, gdy ich adres IP się zmienia.

Nazwa hosta

Najczęściej jest to rekord DNS A, nazwa DNS urządzenia, z którym można się komunikować. Na przykład, serwer o nazwie DC1. Gdyby DC1 był zarejestrowany w DNS, odnosiłbyś się do tego jako do nazwy hosta.

Strefy

Strefa jest używana do przechowywania rekordów DNS dla konkretnej domeny. Najważniejszym i najczęściej używanym typem strefy są strefy zintegrowane Active Directory. Istnieje kilka innych stref, które powinieneś znać, omówiłem je w artykule Windows DNZ Zones Explained.

DNS Aging and Scavenging

To jest funkcja, która może być włączona aby pomóc zautomatyzować czyszczenie nieświeżych rekordów DNS. Stworzyłem osobny post, który wyjaśnia więcej i dostarcza instrukcji krok po kroku jak skonfigurować DNS Aging i Scavenging.

Rekordy SRV używane przez Active Directory

W domenie Windows, rekordy SRV są używane przez klientów do zlokalizowania kontrolerów domeny dla Active Directory. Po zainstalowaniu usługi AD DS proces ten automatycznie utworzy rekordy SRV dla usługi Active Directory.

  • Active Directory tworzy swoje rekordy SRV w następujących folderach, gdzie Domain_Name jest nazwą domeny:
    • Forward Lookup Zones/Domain_Name/_msdcs/dc/_sites/Default-First-Site-Name/_tcp Forward Lookup Zones/Domain_Name/_msdcs/dc/_tcp

Tutaj jest zrzut ekranu z mojego DNS:

Forwardery

Forwardery DNS to serwery, które rozwiązują nazwy hostów, których Twój wewnętrzny serwer DNS nie może rozwiązać, przede wszystkim domeny zewnętrzne, takie jak przeglądanie Internetu. Możesz ustawić przekazywanie żądań DNS do dowolnego serwera, często jest to dostawca usług internetowych.

Serwer podpowiedzi root

Serwer podpowiedzi root jest inną metodą rozwiązywania nazw hostów, których twój wewnętrzny serwer nie może rozwiązać. Różnica polega na tym, że serwery te służą jako główna strefa DNS dla internetu. Są one zarządzane przez kilka dużych zorganizowanych dla bezpieczeństwa i redundancji. Możesz użyć albo podpowiedzi root lub forward do rozwiązywania nazw zewnętrznych.

Zasoby:

Kompletna lista typów rekordów zasobów DNS

Jak sprawdzić, czy rekordy SRV DNS zostały utworzone dla kontrolera domeny

Root Hints vs Forwarders

DNS Best Practices

Replikacja Active Directory

Replikacja jest procesem, który zapewnia, że zmiany dokonane na jednym kontrolerze domeny są replikowane do innych kontrolerów domeny w domenie.

Obiekty połączeń

Obiekty połączeń określają, które kontrolery domeny replikują się między sobą, jak często i w jakim kontekście nazewniczym.

KCC

Sprawdzanie spójności wiedzy (KCC) jest procesem, który działa na wszystkich kontrolerach domeny i generuje topologię replikacji na podstawie obiektów sites, subnets i site link.

Podsieci

Podsieć jest logiczną częścią sieci IP. Podsieci są używane do grupowania urządzeń w określonej sieci, często według lokalizacji, budynku lub piętra. Jeśli masz środowisko wielodostępne, Active Directory musi wiedzieć o Twoich podsieciach, aby móc prawidłowo zidentyfikować najbardziej wydajne zasoby. Jeśli ta informacja nie jest dostarczona, klienci mogą uwierzytelnić się i użyć niewłaściwego kontrolera domeny.

Site

Site to zbiór podsieci. Witryny Active Directory pomagają zdefiniować przepływ replikacji i lokalizację zasobów dla klientów, takich jak kontroler domeny.

Łącze witryny

Łącze witryny pozwala skonfigurować, które witryny są ze sobą połączone.

Most łącza witryny

Most łącza witryny to logiczne połączenie między witrynami. Jest to metoda logicznego przedstawiania połączeń przechodnich między witrynami.

Topologia witryny

Topologia witryny to mapa określająca łączność sieciową dla replikacji i lokalizację dla zasobów w lesie Active Directory. Topologia witryny składa się z kilku komponentów, w tym witryn, podsieci, łączy witryn, mostów łączy witryn i obiektów połączeń.

Replikacja wewnątrz witryny

Jest to replikacja, która zachodzi pomiędzy kontrolerami domeny w tej samej witrynie.

Inter-Site Replication

W środowisku z wieloma witrynami, zmiana w jednej witrynie musi być replikowana do drugiej. Nazywa się to replikacją między lokalizacjami.

Zasoby:

Jak działa replikacja Active Directory

Koncepcje replikacji Active Directory

Bezpieczeństwo Active Directory (Uwierzytelnianie, Protokoły bezpieczeństwa, Uprawnienia)

Kerberos

Kerberos jest protokołem bezpieczeństwa, który w bezpieczny sposób pozwala użytkownikom potwierdzić swoją tożsamość, aby uzyskać dostęp do zasobów domeny.

Key Distribution Center (KDC)

KDC to usługa, która działa na kontrolerach domeny i dostarcza bilety sesyjne używane w protokole uwierzytelniania Kerberos.

Service Principal Names (SPN)

SPN to unikalny identyfikator instancji usługi.

NTLM

NTLM to zbiór protokołów bezpieczeństwa używanych do uwierzytelniania, zapewniania integralności i poufności użytkownikom. Kerberos jest preferowanym protokołem uwierzytelniania i jest używany w nowoczesnych wersjach systemu Windows, NTLM jest nadal dostępny dla starszych klientów i systemów w grupie roboczej.

Uprawnienia NTFS

Uprawnienia NTFS pozwalają zdefiniować, kto jest uprawniony do dostępu do pliku lub folderu. Poniżej znajduje się lista podstawowych uprawnień, które możesz ustawić:

  • Pełna kontrola – Daje użytkownikom prawa do dodawania, modyfikowania, przenoszenia i usuwania plików i folderów.
  • Modyfikuj – Daje użytkownikom widok i prawa do modyfikacji
  • Czytaj & Wykonaj – Daje użytkownikom widok i prawa do wykonywania
  • Odczyt – tylko gotowe prawa
  • Write – prawo do pliku i dodawania nowych folderów

Uprawnienia współdzielone

Uprawnienia współdzielone definiują poziom dostępu do zasobów współdzielonych takich jak folder. Istnieją trzy podstawowe uprawnienia współdzielone:

  • Read – Daje użytkownikom prawa widoku do folderu i podfolderów
  • Change – Daje użytkownikom prawa odczytu i modyfikacji
  • Full Control – Daje użytkownikom prawa modyfikacji, zmiany i odczytu.

Dyskrecjonalna lista kontroli dostępu (DACL)

DACL określa, które konto ma dostęp do obiektu, takiego jak plik lub folder.

Access Control Entries (ACE)

DACL zawiera ACE, ACE określa jakie konto i jaki poziom dostępu ma być przyznany do zasobu. W przypadku braku ACE system odmawia wszelkiego dostępu do obiektu.

Systemowa lista kontroli dostępu (SACL)

SACL umożliwia administratorom rejestrowanie prób dostępu do obiektu zabezpieczeń.

Drobnoziarnista polityka haseł

Funkcja w systemie Windows 2008 i nowszych, która umożliwia zdefiniowanie różnych zasad blokowania haseł i kont dla różnych kont. Ogólnie rzecz biorąc, wszystkie konta powinny mieć te same zasady, ale możesz mieć konto usługowe lub bardzo specyficzne konto, które wymaga innej polityki. Na przykład, nasze konto wifi dla gości ciągle dostawało blokady z powodu złych prób podania hasła. Użyłem polityki drobnych przyznanych haseł, aby ustawić wyższą blokadę konta niż reszta domeny.

Zasoby:

Kerberos for the Busy Admin

Windows Authentication Technical Overview

Differences Between Share and NTFS Permissions

Access Control Lists

Active Directory Management Consoles

Ta sekcja zawiera konsole zarządzające, których będziesz potrzebował do zarządzania różnymi technologiami Active Directory. Aby uzyskać dostęp do tych konsol zarządzania, należy zainstalować narzędzia Remote Server Administration Tools (RSAT).

Active Directory Users and Computers (ADUC)

Jest to najczęściej używana konsola do zarządzania użytkownikami, komputerami, grupami i kontaktami.

Skrót: dsa.msc

Active Directory Administrative Center (ADAC)

Począwszy od Server 2008 R2 Microsoft wprowadza ADAC do zarządzania swoimi obiektami usługi katalogowej. Konsola ta może być używana do tworzenia i zarządzania kontami użytkowników, kontami komputerów, grupami i jednostkami organizacyjnymi. Zapewnia ona taką samą funkcjonalność jak narzędzie Active Directory Users and Computers. Ze względu na skomplikowany interfejs, wolę ADUC od tej konsoli.

Active Directory Domains and Trusts

Ta konsola jest używana do podniesienia trybu domeny lub poziomu funkcjonalnego domeny lub lasu. Służy również do zarządzania relacjami zaufania.

Skrót: domain.msc

Active Directory Sites and Services

Jest to główna konsola do zarządzania replikacją. Konsola ta służy do zarządzania obiektami topologii witryn, obiektami połączeń, harmonogramem replikacji, ręcznym wymuszaniem replikacji, włączaniem katalogu globalnego oraz włączaniem uniwersalnego buforowania grupowego.

Skrót: dssite.msc

ADSI Edit

Active Directory Service Interfaces Editor jest narzędziem GUI, które może być używane do zarządzania obiektami w Active Directory. Narzędzie to zapewnia dostęp do danych obiektów, które nie są dostępne w Active Directory Users and Computers.
Skrót: adsiedit.msc

Zarządzanie DFS

Konsola ta służy do zarządzania przestrzeniami nazw DFS i replikacją DFS.

Skrót: dfsmgmt.msc

DHCP

Ta konsola służy do tworzenia zakresów DCHP, przeglądania informacji o dzierżawie i wszystkich innych rzeczy związanych z DHCP.

Skrót: dhcpmgmt.msc

DNS

Ta konsola służy do tworzenia stref DNS, rekordów zasobów i zarządzania wszystkim, co dotyczy DNS.

Skrót: dnsmgmt.msc

Zarządzanie politykami grup

Skrót: gpmc.msc

PowerShell

Mimo, że nie jest to konsola zarządzania, jest najpotężniejszym narzędziem do automatyzacji zadań administracyjnych. PowerShell może przyspieszyć wiele rutynowych zadań, których nie są w stanie wykonać narzędzia do zarządzania z GUI.

Zasoby:

Dynamiczny protokół kontroli hostów (DHCP)

Dynamiczny protokół konfiguracji hostów jest usługą, która zapewnia scentralizowaną kontrolę nad adresem IP. Kiedy komputer łączy się z siecią przewodową lub bezprzewodową, serwer DHCP kontaktuje się z nim, aby znaleźć i przypisać mu dostępny adres IP.

Zakres

Zakres DHCP to zbiór ustawień adresu IP, które są skonfigurowane dla urządzeń takich jak komputer. Można utworzyć wiele zakresów dla różnych typów urządzeń i podsieci. Na przykład ja mam zakres dla komputerów i różne zakresy dla telefonów IP. Po skonfigurowaniu zakresu należy skonfigurować następujące elementy:
  • Nazwa zakresu – Jest to nazwa zakresu. Należy nadać mu nazwę opisową, aby można było łatwo zidentyfikować urządzenia, dla których jest przeznaczony.
  • Zakres adresów IP – Jest to zakres adresów IP, które mają być używane przez urządzenia. Na przykład 10.2.2.0/24
  • Wykluczenia adresów IP – Można określić wykluczenie adresów IP z zakresu. Jest to przydatne, jeśli w podsieci znajdują się urządzenia wymagające statycznego adresu IP, takie jak router lub serwer.
  • Czas trwania dzierżawy – Dzierżawa określa jak długo klient posiada adres IP zanim zwróci go do puli.
  • Opcje DHCP – Istnieje wiele różnych opcji, które możesz włączyć, gdy DHCP przypisuje adres IP. Więcej na ten temat poniżej

Opcje DHCP

Istnieje wiele opcji DCHP, poniżej znajdują się najczęściej używane opcje w domenie Windows.

  • 003 router – Brama domyślna podsieci
  • 005 serwer DNS – Adres IP serwera DNS, którego klienci powinni używać do rozwiązywania nazw.
  • 015 Nazwa domeny DNS – Sufiks DNS, którego klient powinien używać, często taki sam jak nazwa domeny.

Filtrowanie DHCP

Filtrowanie DHCP może być użyte do odrzucania lub dopuszczania urządzeń na podstawie ich adresu MAC. Na przykład, używam go do blokowania urządzeń mobilnych przed połączeniem się z naszym bezpiecznym wifi.

Superscopy

Superscope jest zbiorem indywidualnych zakresów DHCP. Może być użyty, gdy chcesz połączyć zakresy razem. Szczerze mówiąc, nigdy tego nie używałem.

Split Scopes

To jest metoda zapewnienia odporności na błędy dla zakresu DHCP. Używanie DHCP failover nie jest preferowaną metodą odporności na błędy.

Przełączanie DHCP

Przełączanie DHCP failover to nowa funkcja, która pojawiła się w wersji serwera 2012. Umożliwia ona dwóm serwerom DHCP współdzielenie informacji o dzierżawie, zapewniając wysoką dostępność usług DCHP. Jeśli jeden serwer staje się niedostępny, drugi przejmuje jego rolę.

Zasoby:

Parametry DHCP

Polityka grupowa

Polityka grupowa pozwala na centralne zarządzanie ustawieniami użytkowników i komputerów. Możesz użyć zasad grupy do ustawienia zasad haseł, zasad audytu, ekranu blokady, mapowania dysków, wdrażania oprogramowania, jednego dysku, ustawień Office 365 i wielu innych.

Obiekty polityki grupowej (GPO)

GPO to zbiór ustawień polityki, których używasz do stosowania na komputerach lub użytkownikach.

Częstotliwość odświeżania polityk grupowych

Klientowskie stacje robocze i serwery członkowskie odświeżają swoje polityki co 90 minut. Aby uniknąć przeciążenia kontrolerów domeny, do każdej maszyny dodawany jest losowy interwał odświeżania. Zapobiega to sytuacji, w której wszystkie maszyny żądają aktualizacji polityk grupowych z DC w tym samym czasie i potencjalnie mogą je zepsuć.

Przetwarzanie polityk

Polityki grupowe są stosowane w następującej kolejności

  • Local
  • Site
  • Domain
  • Organizational Unit (OU)

Block inheritance

Domyślnie, obiekty polityk grupowych są dziedziczone. Aby zmienić to zachowanie można użyć opcji blokowania dziedziczenia na poziomie OU.

No Override

Jeśli chcesz wymusić przestrzeganie zasad i zapobiec ich blokowaniu, użyj opcji no override.

Ustawienia użytkownika

W GPO znajdują się ustawienia użytkownika i komputera. Ustawienia użytkownika odnoszą się tylko do obiektów użytkownika. Jeśli skonfigurujesz ustawienia użytkownika w GPO, GPO musi być zastosowane do obiektów użytkownika.

Ustawienia komputera

Ustawienia komputera w GPO to ustawienia, które mogą być zastosowane do komputera. Jeśli skonfigurujesz ustawienia komputera, GPO musi być zastosowane do obiektów komputera.

Resultant Set of Policy (RsoP)

Resultant Set of Policy to narzędzie firmy Microsoft, które jest wbudowane w system Windows 7 i późniejsze wersje. Dostarcza ono administratorom raport o tym, jakie ustawienia zasad grupy są stosowane do użytkowników i komputerów. Może być również używany do symulowania ustawień w celach planistycznych.

Pełny tutorial znajduje się w moim artykule Jak używać RSoP do sprawdzania i rozwiązywania problemów z ustawieniami zasad grupy.

Preferencje polityki grupowej

Preferencje polityki grupowej są głównie używane do konfiguracji ustawień, które mogą być później zmienione na poziomie klienta. Preferencje mają również możliwość wykonania zaawansowanych zadań, takich jak zastosowanie do określonego OU, wersji Windows, użytkowników w grupie i tak dalej. Preferencje są powszechnie używane do konfigurowania następujących elementów:

  • Mapowanie dysków
  • Ustawienia rejestru
  • Instalowanie drukarek
  • Zaplanowanie zadań
  • Ustawianie uprawnień do plików i folderów
  • Ustawianie ustawień zasilania

Szablony

Można zainstalować dodatkowe szablony zasad grupy, aby rozszerzyć domyślne GPO dostarczane przez Microsoft. Niektóre często używane szablony to Office 365, Chrome, Firefox i te dostarczane przez aplikacje innych firm. Szablony są plikami opartymi na xml, zazwyczaj w formacie ADM lub z rozszerzeniem ADMX.

Zasoby:

Group Policy Architecture

Group Policy Overview

Czy coś pominąłem? Masz coś do przekazania? Daj mi znać w komentarzach poniżej.

Zalecane narzędzie: SolarWinds Server & Application Monitor

To narzędzie zostało zaprojektowane do monitorowania Active Directory i innych krytycznych usług, takich jak DNS & DHCP. Szybko wykryje problemy z kontrolerami domen, zapobiegnie awariom replikacji, śledzi nieudane próby logowania i wiele więcej.

To, co najbardziej podoba mi się w SAM, to łatwy w użyciu pulpit nawigacyjny i funkcje alertów. Posiada również możliwość monitorowania maszyn wirtualnych i pamięci masowej.

Download Your Free Trial Here

Dodaj komentarz

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *