W tym wpisie zamierzam wymienić i wyjaśnić najczęściej używaną terminologię w Active Directory i technologiach pokrewnych.
Jeśli jesteś początkującym użytkownikiem Active Directory, będzie to dla Ciebie świetne źródło wiedzy na temat podstaw Active Directory i podstawowych pojęć.
Pogrupowałem terminy w różnych sekcjach, aby ułatwić zrozumienie i odnoszenie się do nich. Niektóre tematy mogą być bardzo techniczne, dlatego podałem krótką i łatwą do zrozumienia terminologię. Na końcu każdej sekcji podaję dodatkowe zasoby, jeśli chcesz dowiedzieć się więcej.
Spis treści:
- Podstawy Active Directory – zacznij tutaj
- Usługi Active Directory
- Active Directory DNS
- Active Directory Replication
- Active Directory Security (Uwierzytelnianie, Protokoły bezpieczeństwa, Uprawnienia)
- Active Directory Management Consoles
- DHCP
- Group Policy
Podstawy Active Directory
To są podstawowe terminy, które powinieneś znać, mając do czynienia z Active Directory.
Active Directory
Active Directory to usługa katalogowa, która centralizuje zarządzanie użytkownikami, komputerami i innymi obiektami w sieci. Jego podstawową funkcją jest uwierzytelnianie i autoryzacja użytkowników i komputerów w domenie Windows. Na przykład, gdy użytkownik loguje się do komputera w domenie, sprawdza on nazwę użytkownika i hasło, które zostały podane w celu weryfikacji konta. Jeśli jest to poprawna nazwa użytkownika i hasło, użytkownik jest uwierzytelniany i logowany do komputera.
Nie należy mylić trzech poniższych terminów, wszystkie one odnoszą się do Active Directory.
- AD – jest to po prostu skrót od Active Directory
- AD DS – jest to serwer, na którym działa rola usług domenowych Active Directory
- Kontroler domeny – jest to również serwer, na którym działa rola usług domenowych Active Directory. Zaleca się posiadanie wielu kontrolerów domeny z powodów awaryjnych.
Active Directory Web Services (ADWS)
Domena
Domena jest logiczną strukturą kontenerów i obiektów w ramach Active Directory. Domena zawiera następujące komponenty:
- Hierarchiczna struktura dla użytkowników, grup, komputerów i innych obiektów
- Usługi bezpieczeństwa, które zapewniają uwierzytelnianie i autoryzację do zasobów w domenie i innych domenach
- Polityki, które są stosowane do użytkowników i komputerów
- Nazwa DNS do identyfikacji domeny. Kiedy logujesz się do komputera, który jest częścią domeny, logujesz się do nazwy domeny DNS. Moja domena DNS to ad.activedirectorypro.com, w ten sposób moja domena jest identyfikowana.
Drzewo domen
Gdy dodajesz domenę dziecka do domeny rodzica, tworzysz to, co nazywa się drzewem domen. Drzewo domen jest po prostu serią domen połączonych razem w hierarchiczny sposób, wszystkie używają tej samej przestrzeni nazw DNS. Jeśli activedirectorypro.com miałaby dodać domenę o nazwie training, lub videos, nazwałaby się training.activedirectorypro.com i videos.activedirectorypro.com. Domeny te są częścią tego samego drzewa domen i zaufanie jest automatycznie tworzone pomiędzy domenami rodzicami i dziećmi.
Poziomy funkcjonalne
Las
Las jest zbiorem drzew domen. Drzewo domeny współdzieli wspólny schemat i kontener konfiguracyjny. Drzewa domen są połączone ze sobą poprzez zaufanie przechodnie. Kiedy po raz pierwszy instalujesz Active Directory i tworzysz domenę, tworzysz również las.
FQDN – Fully Qualified Domain Name
FSMO
Kontroler domeny posiada wiele funkcji, które są określane jako role FSMO. Wszystkie te role są instalowane na pierwszym kontrolerze domeny w nowym lesie, można przenieść role pomiędzy wieloma DC, aby pomóc w wydajności i failover.
-
Schema Master – Schema Master jest rolą obejmującą cały las, która obsługuje wszystkie zmiany w schemacie Active Directory.
-
Domain Naming Master – Jest to rola obejmująca cały las, która jest mistrzem nazw domen. Obsługuje przestrzeń nazw oraz dodawanie i usuwanie nazw domen.
-
Emulator PDC – Rola ta obsługuje zmiany haseł, blokady użytkowników, politykę grupową oraz jest serwerem czasu dla klientów.
-
RID Master – Rola ta jest odpowiedzialna za przetwarzanie żądań puli RID ze wszystkich DC w domenie. Kiedy tworzone są obiekty takie jak użytkownicy i komputery, otrzymują one unikalny identyfikator SID oraz identyfikator względny (RID). Rola RID Master zapewnia, że obiekty nie otrzymują tych samych identyfikatorów SID i RID.
-
Rola Infrastructure master – Jest to rola dla całej domeny, używana do odwoływania się do obiektów w innych domenach. Jeśli użytkownicy z domeny A są członkami grupy bezpieczeństwa w domenie B, rola Infrastructure Master jest używana do odwoływania się do kont we właściwej domenie.
Obiekty
Podczas pracy z Active Directory będziesz przede wszystkim pracował z obiektami. Obiekty są definiowane jako grupa atrybutów, które reprezentują zasób w domenie. Obiekty te mają przypisany unikalny identyfikator bezpieczeństwa (SID), który jest używany do przyznawania lub odmowy dostępu do zasobów w domenie. Domyślne typy obiektów tworzonych w nowej domenie w Active Directory to:
- Jednostka organizacyjna (OU) – OU jest obiektem kontenerowym, który może zawierać różne obiekty z tej samej domeny. Jednostki OU będą używane do przechowywania i organizowania kont użytkowników, kontaktów, komputerów i grup. Będziesz także łączył obiekty zasad grupy z OU.
- Użytkownicy – konta użytkowników są przypisane przede wszystkim do użytkowników, aby uzyskać dostęp do zasobów domeny. Mogą one być również wykorzystywane do uruchamiania programów lub usług systemowych.
- Komputer – Jest to po prostu komputer, który jest dołączony do domeny.
- Grupy – Istnieją dwa rodzaje obiektów, grupa bezpieczeństwa i grupa dystrybucji. Grupa bezpieczeństwa to grupa kont użytkowników, która może być użyta do zapewnienia dostępu do zasobów. Grupy dystrybucyjne są używane do tworzenia list dystrybucyjnych poczty elektronicznej.
- Kontakty – Kontakt jest używany do celów poczty elektronicznej. Nie można zalogować się do domeny jako kontakt i nie może być używany do zabezpieczenia uprawnień.
- Folder współdzielony – Kiedy publikujesz folder współdzielony w Active Directory, tworzy on obiekt. Publikowanie folderów współdzielonych w AD ułatwia użytkownikom znalezienie współdzielonych plików i folderów w domenie.
- Udostępnianie drukarki – Podobnie jak foldery współdzielone możesz publikować drukarki w Active Directory. To również ułatwia użytkownikom znalezienie i korzystanie z drukarek w domenie.
LDAP (Lightweight Directory Access Protocol)
Katalog globalny (GC)
Serwer katalogu globalnego zawiera pełną replikę wszystkich obiektów i jest używany do przeprowadzania wyszukiwań w całym lesie. Domyślnie pierwszy kontroler domeny w domenie jest wyznaczony jako serwer GC, zaleca się posiadanie co najmniej jednego serwera GC dla każdej witryny w celu poprawy wydajności.
Jet Database Engine
Baza danych Active Directory jest oparta na silniku Jet Blue firmy Microsoft i wykorzystuje Extensible Storage Engine (ESE) do pracy z danymi. Baza danych jest pojedynczym plikiem o nazwie ntds.dit, domyślnie jest przechowywana w folderze %SYSTEMROOT%NTDS na każdym kontrolerze domeny.
Kosz
Kosz Active Directory pozwala administratorom na łatwe odzyskiwanie usuniętych elementów, domyślnie nie jest to włączone. Jak włączyć kosz krok po kroku.
Read-Only Domain Controller (RODC)
Serwery RODC przechowują kopię bazy danych Active Directory tylko do odczytu i nie pozwalają na zmiany w AD. Jego głównym przeznaczeniem są biura oddziałów i lokalizacje o słabym bezpieczeństwie fizycznym.
Schemat
Schemat Active Directory definiuje każdą klasę obiektów, które mogą być tworzone i używane w lesie Active Directory. Definiuje również każdy atrybut, który może istnieć w obiekcie. Innymi słowy, jest to schemat tego, jak dane mogą być przechowywane w Active Directory. Na przykład, konto użytkownika jest instancją klasy user, używa atrybutów do przechowywania i dostarczania informacji o tym obiekcie. Konto komputera jest kolejną instancją klasy, która również jest definiowana przez swoje atrybuty.
Istnieje wiele klas i atrybutów, chyba że programujesz lub rozwiązujesz zaawansowane problemy, nie jest konieczne, aby wiedzieć wszystko o schemacie.
SYSVOL
Sysvol jest bardzo ważnym folderem, który jest współdzielony na każdym kontrolerze domeny. Domyślna lokalizacja to %SYSTEMROOT %SYSVOL i składa się z następujących elementów:
- Group Policy Objects
- Foldery
- Skrypty
- Junction Points
Tombstone
Tombstone jest usuniętym obiektem z AD, który nie został usunięty z bazy danych, obiekt technicznie pozostaje w bazie danych przez pewien okres czasu. W tym czasie obiekt może zostać przywrócony.
Atrybuty nazw obiektów
Następujące atrybuty są ważnymi atrybutami, które powinieneś znać podczas pracy z Active Directory.
- userPrincipalName (UPN) – Jest to powszechna nazwa logowania, która jest w formacie adresu e-mail. UPN wygląda tak, [email protected], UPN może być użyty do zalogowania się do domeny windowsowej.
- objectGUID – Ten atrybut jest używany do unikalnej identyfikacji konta użytkownika. Nawet jeżeli konto zostanie przemianowane lub przeniesione, objectGUID nigdy się nie zmieni.
- sAmAccountName – Atrybut ten służy do logowania konta w domenie. Był to podstawowy sposób logowania do domeny w starszych wersjach Windows, można go nadal stosować w nowoczesnych wersjach Windows.
- objectSID – Atrybut ten jest identyfikatorem bezpieczeństwa (SID) użytkownika. SID jest używany przez serwer do identyfikacji użytkownika i jego przynależności do grupy w celu autoryzacji dostępu użytkownika do zasobów domeny.
- sIDHistory – Atrybut ten zawiera poprzednie identyfikatory SID dla obiektu użytkownika. Jest to potrzebne tylko wtedy, gdy użytkownik przeniósł się do innej domeny.
- Relative Distinguished Name (RDN) – RDN jest pierwszym składnikiem nazwy wyróżnionej. Jest to nazwa obiektu w Active Directory względem jego położenia w hierarchicznej strukturze AD
- Distinguished Name (DN) – Atrybut DN lokalizuje obiekty w katalogu. Atrybut ten jest powszechnie używany przez usługi i aplikacje do lokalizowania obiektów w Active Directory. a DN składa się z następujących komponentów:
- CN – nazwa zwyczajowa
- OU – jednostka organizacyjna
- DC – składnik domeny
Grupy
Grupy służą do zbierania kont użytkowników, obiektów komputerów i kontaktów w jednostki zarządzania. Tworzenie grup ułatwia kontrolę uprawnień do zasobów oraz przypisywanie zasobów takich jak drukarki i foldery. Istnieją dwa rodzaje grup
- Dystrybucja – grupy dystrybucyjne są używane przez aplikacje poczty elektronicznej do łatwego wysyłania wiadomości e-mail do grupy użytkowników.
- Bezpieczeństwo – Grupy bezpieczeństwa są grupą kont, które mogą być użyte do łatwego przypisania do zasobu lub ubiegania się o uprawnienia. Na przykład, gdybym chciał zablokować folder dla działu HR, mógłbym po prostu umieścić wszystkich pracowników w grupie bezpieczeństwa i zastosować grupę do folderu zamiast każdego indywidualnego konta.
Zakres grupy
Zakres grupy określa czy grupa może być zastosowana w domenie lub lesie. Oto trzy zakresy grup:
- Uniwersalny – Może zawierać obiekty z innych grup uniwersalnych i każdej domeny w drzewie lub lesie.
- Globalny – może zawierać obiekty z domeny i być stosowany w dowolnym drzewie lub lesie domeny.
- Domain Local – może zawierać obiekty z dowolnej domeny, ale może być zastosowany tylko w domenie, w której został utworzony.
Zasoby:
Zrozumienie nagrobków, Active Directory i jak je chronić
Schemat Active Directory
Poziomy funkcjonalne lasu i domeny
Active Directory: Concepts Part 1
Usługi Active Directory
Active Directory zawiera kilka innych usług, które wchodzą w zakres Active Directory Domain Services, usługi te obejmują:
Active Directory Certificate Services (AD CS)
Jest to rola serwera, która pozwala zbudować infrastrukturę klucza publicznego (PKI) i zapewnić certyfikaty cyfrowe dla organizacji. Certyfikaty mogą być używane do szyfrowania ruchu sieciowego, ruchu aplikacji oraz do uwierzytelniania użytkowników i komputerów. Gdy w adresie przeglądarki widzisz https, oznacza to, że używa ona certyfikatu do szyfrowania komunikacji z klienta do serwera.
Usługi domenowe Active Directory (AD DS)
Zobacz opis usługi Active Directory
Usługi federacyjne Active Directory (AD FS)
Active Directory Lightweight Directory Services (AD LDS)
Usługi zarządzania prawami w usłudze Active Directory (AD RMS)
Active Directory DNS
Domain Name System to usługa zapewniająca rozwiązywanie nazw, najczęściej rozwiązywanie nazw hostów z adresami IP. W tej sekcji dowiesz się o niektórych ważnych komponentach DNS.
Resource Records
Rekord zasobu to wpis w systemie DNS, który pomaga zlokalizować zasoby na podstawie IP lub nazwy domeny. Istnieje wiele typów rekordów zasobów, poniżej znajduje się lista popularnych typów rekordów:
- A – mapuje nazwę hosta na adres IPv4
- AAAA – mapuje nazwę hosta na adres IPv6
- CNAME – mapuje alias na nazwę hosta
- MX – służy do lokalizowania serwera pocztowego
- NS – określa serwer nazw dla domeny
- PTR – mapuje adres IPv4 na nazwę hosta. Jest to odwrotność rekordu A.
- SOA – Zawiera informacje administracyjne
- SRV – Służy do lokalizowania serwerów, które hostują określone usługi
- TXT – Może zawierać różne dane. Często używany do weryfikacji domen i ze względów bezpieczeństwa.
Dynamiczny DNS (DDNS)
Dynamiczny DNS jest metodą umożliwiającą klientom rejestrację i dynamiczną aktualizację ich rekordów zasobów na serwerze DNS. Pozwala to klientom, którzy używają DHCP na automatyczną aktualizację ich rekordów DNS, gdy ich adres IP się zmienia.
Nazwa hosta
Strefy
DNS Aging and Scavenging
To jest funkcja, która może być włączona aby pomóc zautomatyzować czyszczenie nieświeżych rekordów DNS. Stworzyłem osobny post, który wyjaśnia więcej i dostarcza instrukcji krok po kroku jak skonfigurować DNS Aging i Scavenging.
Rekordy SRV używane przez Active Directory
W domenie Windows, rekordy SRV są używane przez klientów do zlokalizowania kontrolerów domeny dla Active Directory. Po zainstalowaniu usługi AD DS proces ten automatycznie utworzy rekordy SRV dla usługi Active Directory.
- Active Directory tworzy swoje rekordy SRV w następujących folderach, gdzie Domain_Name jest nazwą domeny:
- Forward Lookup Zones/Domain_Name/_msdcs/dc/_sites/Default-First-Site-Name/_tcp Forward Lookup Zones/Domain_Name/_msdcs/dc/_tcp
Tutaj jest zrzut ekranu z mojego DNS:
Forwardery
Forwardery DNS to serwery, które rozwiązują nazwy hostów, których Twój wewnętrzny serwer DNS nie może rozwiązać, przede wszystkim domeny zewnętrzne, takie jak przeglądanie Internetu. Możesz ustawić przekazywanie żądań DNS do dowolnego serwera, często jest to dostawca usług internetowych.
Serwer podpowiedzi root
Serwer podpowiedzi root jest inną metodą rozwiązywania nazw hostów, których twój wewnętrzny serwer nie może rozwiązać. Różnica polega na tym, że serwery te służą jako główna strefa DNS dla internetu. Są one zarządzane przez kilka dużych zorganizowanych dla bezpieczeństwa i redundancji. Możesz użyć albo podpowiedzi root lub forward do rozwiązywania nazw zewnętrznych.
Zasoby:
Kompletna lista typów rekordów zasobów DNS
Jak sprawdzić, czy rekordy SRV DNS zostały utworzone dla kontrolera domeny
Root Hints vs Forwarders
DNS Best Practices
Replikacja Active Directory
Replikacja jest procesem, który zapewnia, że zmiany dokonane na jednym kontrolerze domeny są replikowane do innych kontrolerów domeny w domenie.
Obiekty połączeń
Obiekty połączeń określają, które kontrolery domeny replikują się między sobą, jak często i w jakim kontekście nazewniczym.
KCC
Sprawdzanie spójności wiedzy (KCC) jest procesem, który działa na wszystkich kontrolerach domeny i generuje topologię replikacji na podstawie obiektów sites, subnets i site link.
Podsieci
Podsieć jest logiczną częścią sieci IP. Podsieci są używane do grupowania urządzeń w określonej sieci, często według lokalizacji, budynku lub piętra. Jeśli masz środowisko wielodostępne, Active Directory musi wiedzieć o Twoich podsieciach, aby móc prawidłowo zidentyfikować najbardziej wydajne zasoby. Jeśli ta informacja nie jest dostarczona, klienci mogą uwierzytelnić się i użyć niewłaściwego kontrolera domeny.
Site
Site to zbiór podsieci. Witryny Active Directory pomagają zdefiniować przepływ replikacji i lokalizację zasobów dla klientów, takich jak kontroler domeny.
Łącze witryny
Łącze witryny pozwala skonfigurować, które witryny są ze sobą połączone.
Most łącza witryny
Most łącza witryny to logiczne połączenie między witrynami. Jest to metoda logicznego przedstawiania połączeń przechodnich między witrynami.
Topologia witryny
Topologia witryny to mapa określająca łączność sieciową dla replikacji i lokalizację dla zasobów w lesie Active Directory. Topologia witryny składa się z kilku komponentów, w tym witryn, podsieci, łączy witryn, mostów łączy witryn i obiektów połączeń.
Replikacja wewnątrz witryny
Jest to replikacja, która zachodzi pomiędzy kontrolerami domeny w tej samej witrynie.
Inter-Site Replication
W środowisku z wieloma witrynami, zmiana w jednej witrynie musi być replikowana do drugiej. Nazywa się to replikacją między lokalizacjami.
Zasoby:
Jak działa replikacja Active Directory
Koncepcje replikacji Active Directory
Bezpieczeństwo Active Directory (Uwierzytelnianie, Protokoły bezpieczeństwa, Uprawnienia)
Kerberos
Kerberos jest protokołem bezpieczeństwa, który w bezpieczny sposób pozwala użytkownikom potwierdzić swoją tożsamość, aby uzyskać dostęp do zasobów domeny.
Key Distribution Center (KDC)
KDC to usługa, która działa na kontrolerach domeny i dostarcza bilety sesyjne używane w protokole uwierzytelniania Kerberos.
Service Principal Names (SPN)
SPN to unikalny identyfikator instancji usługi.
NTLM
NTLM to zbiór protokołów bezpieczeństwa używanych do uwierzytelniania, zapewniania integralności i poufności użytkownikom. Kerberos jest preferowanym protokołem uwierzytelniania i jest używany w nowoczesnych wersjach systemu Windows, NTLM jest nadal dostępny dla starszych klientów i systemów w grupie roboczej.
Uprawnienia NTFS
Uprawnienia NTFS pozwalają zdefiniować, kto jest uprawniony do dostępu do pliku lub folderu. Poniżej znajduje się lista podstawowych uprawnień, które możesz ustawić:
- Pełna kontrola – Daje użytkownikom prawa do dodawania, modyfikowania, przenoszenia i usuwania plików i folderów.
- Modyfikuj – Daje użytkownikom widok i prawa do modyfikacji
- Czytaj & Wykonaj – Daje użytkownikom widok i prawa do wykonywania
- Odczyt – tylko gotowe prawa
- Write – prawo do pliku i dodawania nowych folderów
Uprawnienia współdzielone
Uprawnienia współdzielone definiują poziom dostępu do zasobów współdzielonych takich jak folder. Istnieją trzy podstawowe uprawnienia współdzielone:
- Read – Daje użytkownikom prawa widoku do folderu i podfolderów
- Change – Daje użytkownikom prawa odczytu i modyfikacji
- Full Control – Daje użytkownikom prawa modyfikacji, zmiany i odczytu.
Dyskrecjonalna lista kontroli dostępu (DACL)
DACL określa, które konto ma dostęp do obiektu, takiego jak plik lub folder.
Access Control Entries (ACE)
DACL zawiera ACE, ACE określa jakie konto i jaki poziom dostępu ma być przyznany do zasobu. W przypadku braku ACE system odmawia wszelkiego dostępu do obiektu.
Systemowa lista kontroli dostępu (SACL)
SACL umożliwia administratorom rejestrowanie prób dostępu do obiektu zabezpieczeń.
Drobnoziarnista polityka haseł
Zasoby:
Kerberos for the Busy Admin
Windows Authentication Technical Overview
Differences Between Share and NTFS Permissions
Access Control Lists
Active Directory Management Consoles
Ta sekcja zawiera konsole zarządzające, których będziesz potrzebował do zarządzania różnymi technologiami Active Directory. Aby uzyskać dostęp do tych konsol zarządzania, należy zainstalować narzędzia Remote Server Administration Tools (RSAT).
Active Directory Users and Computers (ADUC)
Jest to najczęściej używana konsola do zarządzania użytkownikami, komputerami, grupami i kontaktami.
Skrót: dsa.msc
Active Directory Administrative Center (ADAC)
Active Directory Domains and Trusts
Ta konsola jest używana do podniesienia trybu domeny lub poziomu funkcjonalnego domeny lub lasu. Służy również do zarządzania relacjami zaufania.
Active Directory Sites and Services
Jest to główna konsola do zarządzania replikacją. Konsola ta służy do zarządzania obiektami topologii witryn, obiektami połączeń, harmonogramem replikacji, ręcznym wymuszaniem replikacji, włączaniem katalogu globalnego oraz włączaniem uniwersalnego buforowania grupowego.
ADSI Edit
Zarządzanie DFS
Konsola ta służy do zarządzania przestrzeniami nazw DFS i replikacją DFS.
DHCP
Ta konsola służy do tworzenia zakresów DCHP, przeglądania informacji o dzierżawie i wszystkich innych rzeczy związanych z DHCP.
DNS
Ta konsola służy do tworzenia stref DNS, rekordów zasobów i zarządzania wszystkim, co dotyczy DNS.
Zarządzanie politykami grup
PowerShell
Zasoby:
Dynamiczny protokół kontroli hostów (DHCP)
Zakres
- Nazwa zakresu – Jest to nazwa zakresu. Należy nadać mu nazwę opisową, aby można było łatwo zidentyfikować urządzenia, dla których jest przeznaczony.
- Zakres adresów IP – Jest to zakres adresów IP, które mają być używane przez urządzenia. Na przykład 10.2.2.0/24
- Wykluczenia adresów IP – Można określić wykluczenie adresów IP z zakresu. Jest to przydatne, jeśli w podsieci znajdują się urządzenia wymagające statycznego adresu IP, takie jak router lub serwer.
- Czas trwania dzierżawy – Dzierżawa określa jak długo klient posiada adres IP zanim zwróci go do puli.
- Opcje DHCP – Istnieje wiele różnych opcji, które możesz włączyć, gdy DHCP przypisuje adres IP. Więcej na ten temat poniżej
Opcje DHCP
Istnieje wiele opcji DCHP, poniżej znajdują się najczęściej używane opcje w domenie Windows.
- 003 router – Brama domyślna podsieci
- 005 serwer DNS – Adres IP serwera DNS, którego klienci powinni używać do rozwiązywania nazw.
- 015 Nazwa domeny DNS – Sufiks DNS, którego klient powinien używać, często taki sam jak nazwa domeny.
Filtrowanie DHCP
Filtrowanie DHCP może być użyte do odrzucania lub dopuszczania urządzeń na podstawie ich adresu MAC. Na przykład, używam go do blokowania urządzeń mobilnych przed połączeniem się z naszym bezpiecznym wifi.
Superscopy
Superscope jest zbiorem indywidualnych zakresów DHCP. Może być użyty, gdy chcesz połączyć zakresy razem. Szczerze mówiąc, nigdy tego nie używałem.
Split Scopes
To jest metoda zapewnienia odporności na błędy dla zakresu DHCP. Używanie DHCP failover nie jest preferowaną metodą odporności na błędy.
Przełączanie DHCP
Przełączanie DHCP failover to nowa funkcja, która pojawiła się w wersji serwera 2012. Umożliwia ona dwóm serwerom DHCP współdzielenie informacji o dzierżawie, zapewniając wysoką dostępność usług DCHP. Jeśli jeden serwer staje się niedostępny, drugi przejmuje jego rolę.
Zasoby:
Parametry DHCP
Polityka grupowa
Polityka grupowa pozwala na centralne zarządzanie ustawieniami użytkowników i komputerów. Możesz użyć zasad grupy do ustawienia zasad haseł, zasad audytu, ekranu blokady, mapowania dysków, wdrażania oprogramowania, jednego dysku, ustawień Office 365 i wielu innych.
Obiekty polityki grupowej (GPO)
GPO to zbiór ustawień polityki, których używasz do stosowania na komputerach lub użytkownikach.
Częstotliwość odświeżania polityk grupowych
Klientowskie stacje robocze i serwery członkowskie odświeżają swoje polityki co 90 minut. Aby uniknąć przeciążenia kontrolerów domeny, do każdej maszyny dodawany jest losowy interwał odświeżania. Zapobiega to sytuacji, w której wszystkie maszyny żądają aktualizacji polityk grupowych z DC w tym samym czasie i potencjalnie mogą je zepsuć.
Przetwarzanie polityk
Polityki grupowe są stosowane w następującej kolejności
- Local
- Site
- Domain
- Organizational Unit (OU)
Block inheritance
Domyślnie, obiekty polityk grupowych są dziedziczone. Aby zmienić to zachowanie można użyć opcji blokowania dziedziczenia na poziomie OU.
No Override
Jeśli chcesz wymusić przestrzeganie zasad i zapobiec ich blokowaniu, użyj opcji no override.
Ustawienia użytkownika
W GPO znajdują się ustawienia użytkownika i komputera. Ustawienia użytkownika odnoszą się tylko do obiektów użytkownika. Jeśli skonfigurujesz ustawienia użytkownika w GPO, GPO musi być zastosowane do obiektów użytkownika.
Ustawienia komputera
Ustawienia komputera w GPO to ustawienia, które mogą być zastosowane do komputera. Jeśli skonfigurujesz ustawienia komputera, GPO musi być zastosowane do obiektów komputera.
Resultant Set of Policy (RsoP)
Resultant Set of Policy to narzędzie firmy Microsoft, które jest wbudowane w system Windows 7 i późniejsze wersje. Dostarcza ono administratorom raport o tym, jakie ustawienia zasad grupy są stosowane do użytkowników i komputerów. Może być również używany do symulowania ustawień w celach planistycznych.
Pełny tutorial znajduje się w moim artykule Jak używać RSoP do sprawdzania i rozwiązywania problemów z ustawieniami zasad grupy.
Preferencje polityki grupowej
Preferencje polityki grupowej są głównie używane do konfiguracji ustawień, które mogą być później zmienione na poziomie klienta. Preferencje mają również możliwość wykonania zaawansowanych zadań, takich jak zastosowanie do określonego OU, wersji Windows, użytkowników w grupie i tak dalej. Preferencje są powszechnie używane do konfigurowania następujących elementów:
- Mapowanie dysków
- Ustawienia rejestru
- Instalowanie drukarek
- Zaplanowanie zadań
- Ustawianie uprawnień do plików i folderów
- Ustawianie ustawień zasilania
Szablony
Można zainstalować dodatkowe szablony zasad grupy, aby rozszerzyć domyślne GPO dostarczane przez Microsoft. Niektóre często używane szablony to Office 365, Chrome, Firefox i te dostarczane przez aplikacje innych firm. Szablony są plikami opartymi na xml, zazwyczaj w formacie ADM lub z rozszerzeniem ADMX.
Zasoby:
Group Policy Architecture
Group Policy Overview
Czy coś pominąłem? Masz coś do przekazania? Daj mi znać w komentarzach poniżej.
Zalecane narzędzie: SolarWinds Server & Application Monitor
To narzędzie zostało zaprojektowane do monitorowania Active Directory i innych krytycznych usług, takich jak DNS & DHCP. Szybko wykryje problemy z kontrolerami domen, zapobiegnie awariom replikacji, śledzi nieudane próby logowania i wiele więcej.
To, co najbardziej podoba mi się w SAM, to łatwy w użyciu pulpit nawigacyjny i funkcje alertów. Posiada również możliwość monitorowania maszyn wirtualnych i pamięci masowej.
Download Your Free Trial Here