Kontroler domeny (w trakcie tworzenia)

Zalety:
1. Scentralizowana baza użytkowników,
2. Scentralizowany sposób instalacji oprogramowania.
3. Scentralizowanie polityką bezpieczeństwa.

Rozróżniamy dwa typy domen:
1. NT4 - stary typ
2. Active Directory - zastąpił NT4.

Domena tworzy drzewo a drzewo las:

firma.pl (korzeń) -> ksiegowosc.firma.pl
                             -> zastepcy.firma.pl
                             -> administracja.firma.pl
           

W przypadku małej firmy wystarczy jedna domena.

Instalacja kontrolera domeny.

W Server Manager klikamy na Add roles and features

Wybieramy podstawowy kontroler domeny

Wybieramy serwer lokalny, na którym ma być zainstalowany DC

Wybieramy usługę domenową Active Directory Domain Services

Pojawi się okienko, gdzie zatwierdzamy dodanie wymaganych funkcji

Klikamy NEXT z ustawieniami jak niżej

Zatwierdzamy konieczność instalacji serwera DNS

Rozpoczynamy instalację przyciskiem INSTALL

Po zakończonej instalacji należy zrestartować serwer.

Konfiguracja kontrolera domeny.

W Server Manager w menu po lewej klikamy na AD DS (A) a następnie w prawym rogu na przycisk More... (B)

Następnie klikamy na napis Promote this server to a domain Controler.

Serwer który tworzymy będzie głównym kontrolerem i jedynym dlatego wybieramy opcję 3. Wprowadzamy też nazwę domeny i klikamy NEXT

Wprowadzamy hasło przywracania usługi katalogowej (w tym 8 znaków znak specjalny itp)

Następnie klikamy NEXT wg rysunków poniżej

Jeśli wszystko przebiegnie prawidłowo powinien się pojawić komunikat jak w poniższym rysunku. Wówczas klikamy INSTALL.

Po zakończonej instalacji restartujemy serwer.



Tworzenie jednostek organizacyjnych, grup użytkowników, użytkowników i komputerów.
Założenie: nasza firma posiada jedną domenę firma.lab, w ramach tej firmy utworzymy dwie jednostki organizacyjne tj. administracja oraz klasy. Następnie utworzymy grupy (które należeć będą do grupy Users) odzwierciedlające biura jakie znajdują się w tych jednostkach i tak dla :
1. j.o. administracja => grupa sekretariat, kancelaria, ksiegowosc, zastepcy, finanse, kadry
2. j.o. klasy => 207a, 204a, 202a, 201a
Następnie w ramach poszczególnych jednostek stworzymy użytkowników i tak dla :
1. j.o. administracja => ku123 (grupa sekretariat), ku124 (grupa kancelaria) itd
2. j.o. klasy => u207a (grupa 207a), u204a (grupa 204a)

Wybrać w Server Manager - AD DS. Następnie prawym klawiszem myszy wybieramy Active Directory Users and Computers. W tym miejscu strukturę organizacyjną naszej firmy wg powyższych założeń.

Klikamy na nazwie domeny firma.lab  i tworzymy nową jednostkę organizacyjną: Administracja

Następnie w Administracji tworzymy jednostki organizacyjne group (działy), users, komputery:

W dalszej kolejności nadajemy grupie finanse prawa zwykłego użytkownika. Klikamy na nazwie grupy finanse prawym klawiszem myszy i wybieramy Properties:

Zakładka Member Of, Add...

Advanced...

.... wybieramy grupę Users

Zatwierdzamy wszystkie okna OK.

Tworzenie użytkownika.

Na wybranej jednostce Administracja->Users  klikamy prawym przyciskiem myszy i wybieramy New->User

Wypełniamy wszystkie pola:

ustalamy hasło (ze znakiem specjalnym)

Następnie utworzonego użytkownika przydzielamy do wcześniej utworzonej grupy np. finanse:

Klikamy prawym klawiszem myszy na użytkownika ku123 i wybieramy Properties->Member Of->Add...->dodajemy grupę finanse i ustawiamy Set Primary Group, po czym usuwamy domyślną grupę Users.

Tworzenie kont komputerów.

Wewnątrz jednostki Administracja utworzymy nową jednostkę o nazwie Komputery, w której będą przechowywane konta komputerów. Komputery możemy tworzyć ręcznie:

wprowadzamy unikatową nazwę komputera

we właściwościach nowo utworzonego komputera widzimy iż został komputer przypisany automatycznie do grupy Domain Computers

Lub logujemy się z komputera klienckiego (poraz pierwszy) do domeny a następnie z sekcji Computers przeciągamy daną nazwę komputera do określonej jednostki komputery:

Jeśli komputer ulegnie awarii i będzie trzeba go wymienić na nowy to wówczas należy kliknąć na komputerze prawym przyciskiem i wybrać opcję Reset Account. W menu można też wybrać Disable Account.

We właściwościach danego użytkownika np. ku123 w zakładce Account -> Log On To.. można ustalić harmonogram logowania:

Przed utworzeniem zasobu profile musimy uaktualnić GPO dla jednostki organizacyjnej tak aby do profilu miał dostęp właściciel i administrator

Edytor zarządzania zasadami grupy->Konfiguracja komputera->System->Profile użytkowników->Dodaj grupę zabezpieczeń administratorzy do profilów użytkowników

W zakładce Profile określamy ścieżkę dla profilu:

Jednocześnie :
1. tworzymy na dysku serwera katalog c:\profile
2. klikamy na właściwości katalogu i wybieramy Sharing->Advance Sharing

Zaznaczamy opcję udostępniania i klikamy na Permission

Wyszukujemy użytkownika Everyone i zaznaczamy wszystkie opcje dostępu

W zakładce Sessions ustalamy czas trwania sesji, tak aby użytkownicy, którzy zapomną się wylogować byli po upływie określonego czasu wylogowani automatycznie.

Ograniczenia polityki bezpieczeństwa dla organizacji Administracja:

Wybieramy z Server Manager -> AD DS -> Tools -> Group Policy Management

W otwartym okienku Group Policy Managament klikamy i rozwijamy naszą domenę wraz z jednostką organizacyjną Administracja, na którą klikamy prawym przyciskiem i wybieramy Create a  GPO in this domain...

Polityce nadajemy nową nazwę np.: Ograniczenia dla administracji

Następnie na utworzonej polityce klikamy prawym klawiszem myszy i zaznaczamy Enforced (wymuszenie tej polityki o najwyższym priorytecie), a następnie wybieramy z menu Edit

rozpoczynamy edycję polityki bezpieczeństwa dla administracji tj:

Przygotowujemy ekran logowania komputerów.
Założenie:
- wymuszenie ctrl+alt+del
- brak wyświetlenia ostatniego zalogowanego użytkownika
- wyświetlenie tytułu i treści informującej o pracy w domenie
- wyświetlanie powiadomienia o zmianie hasła na 3 dni przed


edytujemy GPO ograniczenie_komputery i ustawiamy nw. parametry

parametry z założenia powyżej:
interactive logon: Do not display last user name: Enabled 
interactive logon: Do not require CTRL+ALT+DEL: Disabled
interactive logon: Message text for users attempting to log on: Zapraszamy do ....
interactive logon: Message title for users attempting to log on: Tytuł...
interactive logon: Prompt user to chenge password before expiration: 3 days

lub możemy ustawić politykę zabezpieczenia konta i haseł

Po zmianach na serwerze na komputerze klienckim :

- z linii komend CMD wydajemy polecenie aktualizacji polityk GPO

gpupdate /force 

- restartujemy komputer klienta

lub samo zrestartowanie komputera klienckiego powinno uaktualnić politykę grupy

=========================================================

Profil mobilny i obowiązkowy

=========================================================

Na dysku serwera tworzymy katalog profili np c:\profilki 

Udostępniamy utworzony katalog dla użytkowników domeny (Domain Users) oraz dla Administratora.

Odhaczamy (jeśli istnieje) opcję dziedziczenia (Replace all child object permission...)

Sprawdzamy katalog właściwości katalogu użytkownika domeny czy dostęp ma tylko użytkownik profilu i czy dostęp ma administrator:

Edytujemy politykę  GPO Ograniczenie_komputery ustawiamy możliwość dostępu do katalogu z profilami użytkowników dla administratora oraz ustalamy ścieżkę dostępu do profili dla wszystkich użytkowników domeny znajdujących się w organizacji komputery

Computer Configuration->Administrative templates: ...->System->User Profiles

-> Add Administrators security group to roaming user profiles...: Enabled

->Set roaming profile path for all users...

Po zakończonych ustawieniach GPO jak zwykle restartujemy polityki GPO

gpupdate /force

Profil obowiązkowy

wchodzimy do katalogu profilu użytkownika i zmieniamy rozszerzenie pliku z ntuser.DAT na ntuser.MAN
Aby były widoczne wszystkie pliki w eksploatorze Windows Serwer należy :