Geum.ru

Опубликовано: ноябрь 2008 г

Вид материалаРуководство

Содержание


Более эффективное управление удостоверениями
Новые возможности для всех ролей серверов Active Directory
Повышение эффективности автоматизированного управления и работы со средствами командной строки
Командлеты PowerShell для Active Directory: описание возможностей
Общее описание задачи
Просмотр перечня доступных командлетов
Просмотр домена Active Directory
Просмотр перечня все объектов пользователя
Включение объекта пользователя-гостя
Отображение сведений о группе «Администраторы домена»
Отображение сведений о домене
Отображение сведений о контроллерах домена
Отображение сведений о политике паролей домена
Создание подразделения
Отображение свойств нового подразделения
Удаление нового подразделения
Усовершенствования в службах домена Active Directory
Усовершенствованный процесс подключения к доменам
Повышение эффективности управления учетными записями пользователей, применяемыми в качестве удостоверений для служб
Снижение трудоемкости типичных административных задач
...
Полное содержание
Подобный материал:
1   ...   5   6   7   8   9   10   11   12   13

Более эффективное управление удостоверениями


Управление удостоверениями всегда было одной из важнейших задач управления сетями на основе Windows, а развертывание систем управления удостоверениями, обладающих низкой управляемостью, является одной из основных проблем при обеспечении безопасности.

Windows Server 2008 R2 содержит усовершенствования в системе управления удостоверениями для ролей сервера «Доменные службы Active Directory» и «Федеративные службы Active Directory».

Новые возможности для всех ролей серверов Active Directory


Windows Server 2008 R2 для управления удостоверениями предлагает следующие новые возможности, затрагивающие все роли серверов Active Directory.
  • Новый функциональный уровень леса. Windows Server 2008 R2 поддерживает новый функциональный уровень леса Active Directory. Для получения доступа ко многим новым возможностям ролей сервера Active Directory необходимо, чтобы лес Active Directory был настроен с использованием этого функционального уровня.
  • Повышение эффективности автоматизированного управления и работы со средствами командной строки. Командлеты PowerShell позволяют полностью управлять ролями серверов Active Directory.
  • Более эффективный автоматизированный мониторинг и уведомления. Обновленный пакет управления System Center Manager 2007 повышает эффективность мониторинга и управления ролями серверов Active Directory.

Командлеты PowerShell для Active Directory: описание возможностей


При выполнении этого задания вы будете осуществлять типичные операции по управлению пользователями и группами с помощью графической консоли PowerShell V2. Чтобы выполнить задание, необходимо загрузить модуль Active Directory, который предоставляет доступ более чем к 75 командлетам для Active Directory, а затем использовать эти командлеты для администрирования Active Directory.

Чтобы посмотреть, как работают командлеты PowerShell для Active Directory, выполните задания, перечисленные в следующей таблице. Для выполнения заданий необходимо войти в систему с учетной записью, являющейся членом группы безопасности «Администраторы предприятия».

Таблица 4. Командлеты PowerShell для Active Directory

Общее описание задачи
Подробное описание

Запуск графической консоли PowerShell V2

  1. В меню «Пуск» последовательно выберите Все программы, затем Windows PowerShell V2 и щелкните пункт Графическая консоль (Windows PowerShell V2).

Загрузка модуля Active Directory
  1. В области команд графической консоли PowerShell V2 введите следующие команды. После ввода каждой команды нажимайте клавишу Ввод.

Add-Module ActiveDirectory

Get-Module

Просмотр перечня доступных командлетов
  1. В области команд графической консоли PowerShell V2 введите следующую команду и нажмите клавишу Ввод.

Get-Command *ad*

Просмотр домена Active Directory
  1. В области команд графической консоли PowerShell V2 введите следующие команды. После ввода каждой команды нажимайте клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена, а вместо домен_верхнего_уровня — свой домен верхнего уровня.

Cd AD:

PWD

DIR | Format-Table -Auto

CD "DC=имя_домена,_name DC=домен_верхнего_уровня"

DIR | ft –a

Совет. Нажатие клавиши TAB позволяет сэкономить много времени, поскольку таким образом автоматически завершаются многие перчисленные в этой таблице команды.

Просмотр перечня все объектов пользователя
  1. Введите в области команд следующие команды. После ввода каждой команды нажимайте клавишу Ввод.

CD CN=Users

Dir | ft –a

Get-ADObject –Filter {name -like “*”}

Get-ADUser –Filter {name -like “*”}

Get-ADUser -Filter {name -like "*"} | Select Name, Enabled | Format-Table -Auto

Включение объекта пользователя-гостя
  1. Введите в области команд следующие команды. После ввода каждой команды нажимайте клавишу Ввод.

Enable-ADAccount –Identity Guest

Get-ADUser -Filter {name -like "*"} | Select Name, Enabled | Format-Table -Auto

Отображение сведений о группе «Администраторы домена»
  1. В области команд графической консоли PowerShell V2 введите следующие команды. После ввода каждой команды нажимайте клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена, а вместо домен_верхнего_уровня — свой домен верхнего уровня.

Get-ADGroup -SearchBase "DC=имя_домена,DC=домен_верхнего_уровня" -SearchScope Subtree -Filter {Name -Like "*Domain Admins*"} -Properties Extended

Отображение сведений о домене
  1. Введите в области команд следующую команду и нажмите клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена.

Get-ADDomain имя_домена

Результаты выполнения этой команды позволяют узнать роли хозяев операций и другие сведения.

Отображение сведений о контроллерах домена
  1. Введите в области команд следующую команду и нажмите клавишу Ввод.

Get-ADDomainController –Discover

Отображение сведений о политике паролей домена
  1. Введите в области команд следующую команду и нажмите клавишу Ввод. Вместо параметра имя_домена укажите полное доменное имя своего домена.

Get-ADDefaultDomainPasswordPolicy имя_домена

Создание подразделения
  1. Введите в области команд следующую команду и нажмите клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена, а вместо домен_верхнего_уровня — свой домен верхнего уровня.

New-ADOrganizationalUnit –Name “Europe” –Path "DC=имя_домена,DC=имя_домена_верхнего_уровня"

Отображение свойств нового подразделения
  1. Введите в области команд следующую команду и нажмите клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена, а вместо домен_верхнего_уровня — свой домен верхнего уровня.

Get-ADOrganizationalUnit "OU=Europe,DC=имя_домена,DC=имя_домена_верхнего_уровня" –Properties Extended

Удаление нового подразделения
  1. Введите в области команд следующие команды. После ввода каждой команды нажимайте клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена, а вместо домен_верхнего_уровня — свой домен верхнего уровня.

CD AD:

CD "DC=имя_домена,DC=имя_домена_верхнего_уровня"

Set-ADorganizationalUnit Europe –ProtectedFromAccidentalDeletion $False

Remove-ADOrganizationalUnit Europe

Закрытие графической консоли PowerShell V2
  1. Закройте графическую консоль PowerShell V2.


Усовершенствования в службах домена Active Directory


В Windows Server 2008 R2 роль сервера службы домена Active Directory содержит следующие усовершенствования.
  • Возможность восстановления удаленных объектов. Домены в Active Directory теперь содержат корзину, позволяющую восстанавливать удаленные объекты. Если объект Active Directory был удален по неосторожности, его можно восстановить из корзины. Эта возможность требует обновленного уровня функциональности леса в версии R2.
  • Усовершенствованный процесс подключения к доменам. Версия R2 позволяет включать компьютеры в домен на этапе развертывания, когда компьютер еще не подключен к домену. Эта процедура называется автономным присоединением к домену и дает возможность полностью автоматизировать присоединение к домену на этапе развертывания. Администраторы домена создают XML-файл, который содержит сведения, необходимые для присоединения конечного компьютера к домену, и используется при автоматизированном развертывании.
  • Повышение эффективности управления учетными записями пользователей, применяемыми в качестве удостоверений для служб. Поддержка паролей учетных записей служб (учетных записей пользователей, применяемых в качестве удостоверений для служб) — одна из тех задач, которые отнимают у ИТ-специалистов больше всего времени. Если пароль учетной записи службы изменяется, службам, которые используют соответствующие удостоверение, также необходимо указать новый пароль. Чтобы разрешить эту проблему, Windows Server 2008 R2 поддерживает управляемые учетные записи служб — новый компонент, который при изменении пароля учетной записи службы автоматически изменяет пароли для всех служб, использующих эту учетную запись.
  • Снижение трудоемкости типичных административных задач. Как показано на следующем рисунке, в состав Windows Server 2008 R2 входит новая консоль управления службами домена Active Directory — центр администрирования Active Directory.



Рисунок 22. Консоль управления центра администрирования Active Directory

Центр администрирования Active Directory — это входящая в состав Windows Server 2008 R2 ориентированная на задачи консоль управления, основанная на командлетах PowerShell и снижающая трудоемкость типичных административных задач.

Центр администрирования Active Directory: описание возможностей


Что посмотреть, как работают командлеты PowerShell для центра администрирования Active Directory, выполните задания, перечисленные в следующей таблице. Для выполнения заданий необходимо войти в систему с учетной записью, являющейся членом группы безопасности «Администраторы предприятия».

Таблица 5. Знакомство с центром администрирования Active Directory

Общее описание задачи
Подробное описание

Запуск центра администрирования Active Directory

  1. В меню Пуск выделите пункт Администрирование и щелкните элемент Центр администрирования Active Directory.

Выбор подразделения
  1. В окне центра администрирования Active Directory щелкните на панели Проводник элемент Обзор.
  2. Выберите во всплывающих меню пункт подразделение (где подраз­деление — название подразделения организации, в котором нужно создать новое подразделение).

Совет. Щелкните стрелку вправо около корня домена, чтобы воспользоваться всплывающими меню. Чтобы быстрее найти нужное подразделение, в процессе выбора вводите первые буквы названия каждого подразделения.

Создание подразделения
  1. В области Задачи щелкните элемент Создать и выберите Подразделение.

Появится окно создания.
  1. В окне создания подразделения введите в поле Имя название Демонстрационное и нажмите кнопку ОК.

Создание пользователя
  1. Выберите во всплывающих меню подразделение Демонстрационное.
  2. В области Задачи щелкните элемент Создать и выберите элемент Пользователь.

Появится окно создания.
  1. Введите в окне создания пользователя следующие сведения и нажмите кнопку ОК.
  • Имя: Иван
  • Фамилия: Петров
  • Вход пользователя: ipetrov
  • Установите флажок Срок действия пароля не ограничен.
  • Снимите флажок Требовать смену пароля при следующем входе в систему.
  • Пароль: P@ssw0rd

Создание группы
  1. Выберите во всплывающих меню подразделение Демонстрационное.
  2. В области Задачи щелкните элемент Создать и выберите элемент Группа.

Появится окно создания.
  1. Введите в окне создания группы следующие сведения и нажмите кнопку ОК.
  • Название: Поддержка
  • Установите флажок Защитить от случайного удаления.

Добавление пользователя в группу
  1. В поле Поиск введите Иван Петров.
  2. На панели Результаты щелкните результат Иван Петров.
  3. В области Задачи щелкните элемент Добавить в группу.
  4. В окне Выбор групп введите в поле Введите имена выбираемых объектов строку Поддержка, нажмите кнопку Проверить имена, а затем нажмите кнопку ОК.

Корзина Active Directory: описание возможностей


Что посмотреть, как работает корзина Active Directory, выполните следующие задачи:

  1. Включите корзину
  2. Удалите объекты в Active Directory
  3. Убедитесь, что удаленные объекты находятся в корзине Active Directory
  4. Восстановите удаленные объекты из корзины Active Directory
  5. Убедитесь, что удаленные объекты восстановлены



Примечание. Выполняйте эти действия в тестовой среде, поскольку они могут отрицательно повлиять на рабочую среду.
Включение корзины Active Directory

Для выполнения заданий необходимо войти в систему с учетной записью, являющейся членом группы безопасности «Администраторы предприятия». Чтобы восстанавливать объекты в инфраструктуре Active Directory, необходимо включить корзину Active Directory.

Таблица 6. Включение корзины Active Directory

Общее описание задачи
Подробное описание

Запуск оснастки Active Directory PowerShell

  1. В меню Пуск выделите пункт Администрирование и щелкните элемент Active Directory PowerShell.

Проверка состояния корзины
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод.

Get-ADOptionalFeature –Filter ‘Name –Like “*”’

В результатах работы должны отображаться следующие сведения.
  • Свойство EnabledScopes должно быть пустым. Это свидетельствует, что данная функция отключена.
  • Свойство RequiredForestMode содержит требования, которые необходимо выполнить для включения этой функции.

Включение корзины
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод. Вместо параметра лес укажите название своего леса.

Enable-ADOptionalFeature ‘Recycle Bin Feature’ –Scope Forest –Target ‘лес’

Примечание. По умолчанию данная функция отключена.
  1. Нажмите клавишу Ввод, чтобы подтвердить выполнение команды.

Примечание. После включения этой функции отключить ее будет нельзя.

Проверка того, что корзина включена
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод.

Get-ADOptionalFeature –Filter ‘Name –Like “*”’

Значение свойства EnabledScopes показывает, что корзина включена.
Удаление объектов в Active Directory

Для выполнения заданий необходимо войти в систему с учетной записью, являющейся членом группы безопасности «Администраторы предприятия».

Таблица 7. Удаление объектов в Active Directory

Общее описание задачи
Подробное описание

Запуск центра администрирования Active Directory

  1. В меню Пуск выделите пункт Администрирование и щелкните элемент Центр администрирования Active Directory.

Выбор подразделения
  1. Выберите во всплывающих меню подразделение Демонстрационное.

Совет. Щелкните стрелку вправо около корня домена, чтобы воспользоваться всплывающими меню. Чтобы быстрее найти нужное подразделение, в процессе выбора вводите первые буквы названия каждого подразделения.

Удаление подразделения
  1. В области задач щелкните элемент Удалить.
  2. В диалоговом окне Подтверждение удаления нажмите кнопку Да.



Проверка наличия удаленных объектов в корзине Active Directory

Для выполнения заданий необходимо войти в систему с учетной записью, являющейся членом группы безопасности «Администраторы предприятия».

Таблица 8. Проверка наличия удаленных объектов в корзине Active Directory

Общее описание задачи
Подробное описание

Запуск оснастки Active Directory PowerShell

  1. В меню Пуск выделите пункт Администрирование и щелкните элемент Active Directory PowerShell.

Отображение содержимого корзины
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена, а вместо домен_верхнего_уровня — свой домен верхнего уровня.

Get-ADObject –SearchBase “CN=Deleted Objects,DC=имя_домена,DC=домен_верхнего_уровня” –ldapFilter “(objectClass=*)” -includeDeletedObjects


Эта команда отображает все содержимое корзины.
  1. Не удаляйте с экрана результаты выполнения этой команды — они понадобятся на следующем шаге.

Проверка наличия в корзине объекта пользователя Иван Петров
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод.

Get-ADObject –Filter ‘Name –Like “*Иван Петров*”’ –SearchScope Subtree –includeDeletedObjects


Эта команда отображает информацию об объекте пользователя Иван Петров. Различающееся имя показывает, что объект находится в корзине.

Проверка наличия в корзине подразделения «Демонстрационное»
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод.

Get-ADObject –Filter ‘Name –Like “*Демонстрационное*”’ –SearchScope Subtree –IncludeDeletedObjects


Эта команда отображает информацию о подразделении «Демонстрационное». Различающееся имя показывает, что объект находится в корзине.
Восстановление удаленных объектов из корзины Active Directory

Для выполнения заданий необходимо войти в систему с учетной записью, являющейся членом группы безопасности «Администраторы предприятия».

Таблица 9. Восстановление удаленных объектов из корзины Active Directory

Общее описание задачи
Подробное описание

Запуск оснастки Active Directory PowerShell

  1. В меню Пуск выделите пункт Администрирование и щелкните элемент Active Directory PowerShell.

Попытка восстановления объекта пользователя Иван Петров
  1. В Windows PowerShell скопируйте в буфер обмена значение свойства objectGUID для объекта пользователя Иван Петров.

Совет. Чтобы скопировать текст из командной строки, щелкните правой кнопкой мыши и выберите команду «Пометить». Выделите нужный текст и нажмите клавишу «Ввод». Значение свойства objectGUID отображалось ранее.
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод. Вместо параметра objectGUID укажите значение свойства objectGUID для пользователя Иван Петров.

Restore-ADObject –Identity objectGUID

Совет. Чтобы вставить текст из буфера обмена, щелкните правой кнопкой мыши и выберите команду «Вставить».
  1. Выполнение команды завершится с сообщением об ошибке, указывающим, что родительский объект рассматриваемого объекта не существует.

Определение родительского контейнера для объекта пользователя Иван Петров
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод.

Get-ADObject –Filter ‘Name –Like “*Иван Петров*”’ –SearchScope Subtree –includeDeletedObjects –properties lastKnownParent

Эта команда отображает последний известный родительский объект, который также находится в корзине.

Восстановление удаленного подразделения
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод. Вместо параметра objectGUID укажите значение свойства objectGUID для подразделения «Демонстрационное».

Restore-ADObject –Identity objectGUID

Совет. Чтобы выполнить эту команду, скопируйте значение свойства objectGUID из объекта подразделения «Демонстрационное». Это значение указано в результатах работы последней команды.

Восстановление всех удаленных объектов
  1. В Windows PowerShell введите следующую команду и нажмите клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена, а вместо домен_верхнего_уровня — свой домен верхнего уровня.
  2. Get-ADObject –ldapFilter “(lastKnownParent=OU=Демонстрационное, DC=имя_домена,DC=домен_верхнего_уровня)” –includeDeletedObjects | Restore-ADObject

Эта команда получает сведения обо всех объектах, у которых атрибут последнего известного родительского объекта имеет такое же значение, как у «Демонстрационного ОП», и передает эти сведения командлету Restore-ADObject.



Проверка того, что удаленные объекты восстановлены

Для выполнения заданий необходимо войти в систему с учетной записью, являющейся членом группы безопасности «Администраторы предприятия».

Таблица 10. Проверка того, что удаленные объекты восстановлены

Общее описание задачи
Подробное описание

Запуск центра администрирования Active Directory

  1. В меню Пуск выделите пункт Администрирование и щелкните элемент Центр администрирования Active Directory.

Проверка: восстановлено ли подразделение «Демонстрационное»
  1. Выберите во всплывающих меню подразделение Демонстрационное.

Совет. Щелкните стрелку вправо около корня домена, чтобы воспользоваться всплывающими меню. Чтобы быстрее найти нужное подразделение, в процессе выбора вводите первые буквы названия каждого подразделения.

Проверка: восстановлен ли объект пользователя Иван Петров
  1. В поле Поиск введите Иван Петров.

В результатах поиска должен отобразиться объект пользователя Иван Петров.

Автономное присоединение к домену: описание возможностей


Автономное присоединение к домену состоит из двух шагов. На первом шаге в Active Directory создается учетная запись компьютера, а учетные сведения сохраняются в файле. На втором шаге выполняется команда, которая помещает эти сведения в автономную копию Windows.

Для выполнения заданий необходимо войти в систему с учетной записью, являющейся членом группы безопасности «Администраторы предприятия».

Таблица 11. Автономное присоединение к домену

Общее описание задачи
Подробное описание

Создание учетной записи компьютера

  1. В меню Пуск введите в поле Начать поиск строку cmd и нажмите клавишу Ввод.
  2. Введите в командной строке следующую команду и нажмите клавишу Ввод. Вместо параметра имя_домена укажите имя своего домена.

DJOIN /Provision /Domain имя_домена/Machine DEN-SRV-01 /SaveFile DEN-SRV-01.DJoin

Эта команда создает учетную запись компьютера в Active Directory и сохраняет пароль созданной учетной записи и сопутствующие сведения в зашифрованном файле, который в дальнейшем можно будет использовать для автономного присоединения компьютера к домену.

Отображение содержимого файла инициализации
  1. В командной строке введите следующую команду и нажмите клавишу Ввод.

Type DEN-SRV-01.DJoin

Примечание. Содержимое файла .DJoin зашифровано.

Проверка: создана ли учетная запись компьютера в Active Directory
  1. В меню Пуск выделите пункт Администрирование и щелкните элемент Центр администрирования Active Directory.
  2. С помощью всплывающих меню выберите элемент имя_домена\Компьютеры (где имя_домена — название вашего домена).

Совет. Щелкните стрелку вправо около корня домена, чтобы воспользоваться всплывающими меню. Чтобы быстрее найти нужное подразделение, в процессе выбора вводите первые буквы названия каждого подразделения.
  1. Проверьте, появилась ли в панели сведений учетная запись компьютера DEN-SVR-01.

Присоединение компьютера к домену
  1. Чтобы присоединить компьютер DEN-SRV-01 к домену, на нем нужно выполнить следующую команду.

DJOIN /Requestodj /LoadFile DEN-SVR-01.DJoin /WindowsPath \Mount\Windows

Примечание. Не выполняйте эту команду — она приведена только для ознакомительных целей.

Приведенную выше команду следует выполнять для автономных копий Windows (таких как файл WIM или VHD), подключенных как диск или папка в файловой системе.


Усовершенствования в федеративных службах Active Directory


В Windows Server 2008 R2 федеративные службы Active Directory поддерживают контроль проверки подлинности — новую возможность, с помощью которой администраторы могут устанавливать политики проверки подлинности для учетных записей, проходящих проверку подлинности в федеративных доменах. Это позволяет выполнять проверку подлинности с помощью смарт-карт и использовать другие сценарии проверки подлинности.