Laboratoriya ishi №3. Markaziy infratuzilma xizmatlari Reja: Active Directory domen xizmatlari

Kompyuter hisoblarini oldindan sozlash
Yangi foydalanuvchi qayd yozuvlarini yaratish uchun foydalanuvchilar va kompyuterlar Active Directory- dan foydalanish juda keng tarqalgan bo'lsa-da, sizning domeningizga yangi kompyuterlar qo'shilganda, ushbu vositani ochish haqida o'ylash juda kam uchraydi. Bu , o'rnatilgan domenlarning aksariyati, ya'ni yangi kompyuterlar uchun oldindan sozlanmagan holda domenga qo'shilishlari sababli sodir bo'ladi . Boshqacha qilib aytganda, kimdir domendagi ma'muriy huquqlarga ega bo'lgan foydalanuvchi nomi va parolni bilganligi sababli, ular sizning tarmoq muhitingizga ulanish va shu kompyuterda domenga qo'shilish jarayonini o'tkazish uchun ushbu mahalliy kompyuterda joylashgan bo'lishi mumkin . U ushbu domenga muvaffaqiyatli qo'shiladi va Active Directory avtomatik ravishda unga yangi kompyuter ob'ekti yaratadi. Kompyuter ob'ektlarining ushbu avtomatik avlodi ularni sukut bo'yicha kompyuterlar OU-ga joylashtiradi , shuning uchun ko'plab tarmoqlarda, agar siz kompyuterlar papkasini bosgan bo'lsangiz, siz bir qator mashinalarni ko'rasiz va ular tarkibida yaqinda qo'shilgan ish stollari va serverlarning aralashmasi ham bo'lishi mumkin. ushbu domenga joylashtirilgan va hali tegishli, yanada mos OU ga ko'chirilmagan. O'sib borayotgan laboratoriya sharoitida men o'z domenimga bir nechta mashinalarni qo'shdim. Men ilgari Active Directory-da ushbu mashinalarni ushbu domenga qo'shilish uchun hech narsa qilmaganman va shuning uchun biz kompyuterning yangi ob'ektlari hanuzgacha ushbu standart kompyuterlar konteynerida joylashganligini ko'rishimiz mumkin :

Rasm 4

Kompyuterlarning yangi hisob qaydnomalarini o'zlarining standart kompyuterlari OU-da joylashtirishlariga ruxsat berish, odatda mijoz tizimlari uchun katta muammo tug'dirmaydi, ammo agar siz serverlarga avtomatik ravishda bitta papkada yaratishga ruxsat bersangiz, bu katta muammolarni keltirib chiqarishi mumkin. Ko'pgina kompaniyalar o'zlarining tarmoq muhiti davomida xavfsizlik siyosatiga amal qilishadi va bu qoidalar ko'pincha umumiy OU-da joylashtirilgan har qanday kompyuter hisobiga avtomatik ravishda amal qiladigan tarzda yaratiladi. Xavfsizlik qoidalarini qo'llash, foydalanuvchilarning kirishi mumkin bo'lmagan yoki foydalanmasliklari mumkin bo'lgan mijozlar mashinalarining qismlarini blokirovka qilishning ajoyib usuli bo'lishi mumkin, ammo agar siz ushbu blokirovka qoidalarini domenga qo'shilishlari bilanoq yangi serverlaringizga tatbiq etishni majbur qilsangiz aslida uning sozlamalarini ishga tushirishdan oldin ham serverni ishdan chiqarishingiz mumkin. Ishoning, men buni qildim. Va afsuski, sizning Active Directory-ga qo'shilgan yangi server hisoblaringiz domenga qo'shilgan har qanday mijoz ish stantsiyasiga o'xshash tarzda aniqlanadi va tasniflanadi , shuning uchun siz serverlar uchun turli xil standart konteynerlarni aniqlay olmaysiz. ular oddiy ish stantsiyasi emas, balki serverdir.
Xo'sh, ushbu mumkin bo'lgan muammoni engillashtirish uchun nima qilishimiz kerak? Javob yangi serverlar uchun hisobni oldindan aniqlashda . Hatto printsipial ravishda barcha yangi kompyuter hisob-kitoblarini oldindan taqdim etishingiz mumkin, ammo men odatda bunday talabni faqat yirik korporatsiyalarda ko'raman. Kompyuter hisobini oldindan tayyorlash, yangi foydalanuvchi hisobini yaratish bilan bir xil. Ushbu domenga kompyuter qo'shilishidan oldin, siz u uchun Active Directory ichida shunday qayd yozuvini yaratasiz . Domenni ulash jarayonidan oldin ushbu ob'ektni yaratishni tugatgandan so'ng, ushbu kompyuter ushbu domenga ulanganda qaysi tashkiliy birlikda (OU) joylashgan bo'lishini tanlash imkoniyatiga egasiz . Keyinchalik, ushbu yangi kompyuter yoki server o'rniga siz o'rnatmoqchi bo'lgan xavfsizlik sozlamalari va qoidalarini qabul qiladigan yoki qabul qilmaydigan OU ekanligiga ishonch hosil qilishingiz mumkin. Siz boshlagan har qanday yangi server uchun Active Directory -ga kompyuter hisoblarini oldindan joylashtirishni tavsiya etaman . Agar siz ushbu amaliyotga rioya qilsangiz , doimiy ravishda talab qilinmasa ham, siz yaxshi odat yaratasiz, chunki ma'lum bir kun sizni o'zingizning domeningizga qo'shilish orqali yo'q qilgan serverni qayta tiklashdan xalos qiladi .
Kompyuter ob'ektini oldindan tayyorlash tez va oson; buni siz bilan birga qilamiz. Kelajakda men Windows serverini yaratmoqchiman , bu sizning roumingdagi foydalanuvchingizni o'zingizning uyingiz, qahvaxonalaringiz va boshqa narsalaringizdan o'zingizning tarmoq muhitingizda ulash uchun masofaviy kirish ( Masofaviy kirish ) rolini o'ynaydi . Bu rol ba'zi qismlariga, masofaviy erkin foydalanish kichik qay tarmoq xavfsizlik siyosati kelsa, va shuning uchun men bu mening domenga ulangan mening yangi RA1 server bilanoq to'sib ri bir poda qabul qilmasa ishonch hosil qilish uchun istardim. Masofaviy kirish serverlari deb nomlangan ma'lum bir OU yaratdim va endi ushbu OUda ma'lum bir kompyuter ob'ektini RA1 serverim uchun oldindan tayyorlayman.
Yaratilgan masofaviy erkin foydalanish serverlari OU-ni o'ng tugmasini bosing va New | -ni tanlang Kompyuter. So'ngra kompyuteringiz nomi maydonini serveringiz nomi bilan to'ldiring . Hatto da , men hali bu server qurilgan yo'q, men kabi, unga murojaat qilish uchun reja , men faqat bu sohada, bu yozing, shuning uchun, RA1:
Rasm 5

Va bu hammasi! Sichqonchani bir necha marta bosish va bitta server nomini yozish bilan men hozirda ma'lum bir RA1-server uchun kompyuterim ob'ektini oldindan tayyorladim (oldindan yaratdim). Agar avvalgi skrinshotni yaqindan ko'rib chiqsangiz, siz o'zingizning domeningizdagi ushbu kompyuterga ulanishga ruxsat berilgan foydalanuvchilar yoki guruhlarni sozlash qobiliyatiga ega ekanligingizni sezasiz. Agar siz yangi server yaratmoqchi bo'lsangiz va unga o'zingizning domeningizdan ulanishga ruxsat berilgan yagona shaxs ekanligingizga ishonch hosil qilishni istasangiz, ushbu maydon osongina yangilanishi mumkin, shunda u ushbu talabga javob beradi.
Aslida bunday serverni yaratmoqchi bo'lganim uchun, men uni davom ettirib , o'z domenimga ulash uchun ushbu bosqichlarni bajaraman, Active Directory yangi kompyuterimni bunday oldindan tuzilgan RA1 ob'ekti bilan bog'laydi , buning o'rniga umumiy kompyuterlar konteynerida butunlay yangi ob'ekt yaratadi :
6-rasm