Текст книги "Настройка Active Directory. Windows Server 2008"

f, Егсйвсв Мзс t*nc>d«nd

eorto»cem/Ke

Рис. 4-5. Добавление члена в группу

Д а л е е п р и в е д е н ы н е к о т о р ы е р е к о м е н д а ц и и .

• В п о л е В в е д и т е и м е н а в ы б и р а е м ы х объектов ( E n t e r The Object Name) диа-

логового о к н а В ы б о р ( S e l e c t ) м о ж н о ввести множество учетных записей,

р а з д е л е н н ы х т о ч к о й с з а п я т о й . Н а п р и м е р , на рис. 4-5 введены учетные

з а п и с и П р о д а ж и и Ф и н а н с ы , р а з д е л е н н ы е точкой с запятой.

• Вы м о ж е т е ввести н е п о л н ы е имена учетных записей – полное имя вводить

н е о б я з а т е л ь н о . С и с т е м а W i n d o w s в ы п о л н и т в Active Directory поиск учет-

н ы х записей, к о т о р ы е н а ч и н а ю т с я с введенного имени. Если найдено лишь

одно им я, с и с т е м а в ы б е р е т его автоматически. Если же найдено множество

имен, о т к р о е т с я д и а л о г о в о е окно Н а й д е н о несколько имен (Multiple Names

F o u n d ) , где м о ж н о у к а з а т ь н у ж н ы е объекты. Ввод неполных имен может

с э к о н о м и т ь время, необходимое д л я добавления членов в группы, и помочь,

если в ы з а б у д е т е т о ч н о е и м я члена.

• По у м о л ч а н и ю W i n d o w s в ы п о л н я е т поиск л и ш ь тех пользователей и групп,

к о т о р ы е с о о т в е т с т в у ю т и м е н а м , введенным в диалоговое окно Выбор (Se-

lect). Ч т о б ы д о б а в и т ь в г р у п п у компьютеры, щелкните кнопку Типы объ-

ектов ( O b j e c t Types) и у с т а н о в и т е ф л а ж о к Компьютеры (Computers).

• По у м о л ч а н и ю W i n d o w s в ы п о л н я е т поиск л и ш ь групп домена. Чтобы до-

бавить л о к а л ь н ы е у ч е т н ы е записи, в диалоговом окне Выбор (Select) щел-

к н и т е к н о п к у Р а з м е щ е н и е (Locations).

• Е с л и вы не м о ж е т е н а й т и член, к о т о р ы й необходимо добавить в группу,

в д и а л о г о в о м о к н е В ы б о р (Select) щ е л к н и т е кнопку Дополнительно (Ad-

v a n c e d ) . О т к р о е т с я о к н о з а п р о с о в с д о п о л н и т е л ь н ы м и о п ц и я м и поиска

в Active Directory.

Д о б а в и т ь объект в группу м о ж н о также в оснастке Active Directory – поль-

з о в а т е л и и к о м п ь ю т е р ы (Active D i r e c t o r y Users And Computers). Д л я этого

откройте диалоговое окно свойств объекта и перейдите на вкладку Член групп

152 Группы t

Глава 4

(Member Of)– Щелкните кнопку Добавить ( A d d ) и в ы б е р и т е группу. Вы так-

же можете щелкнуть правой кнопкой м ы ш и один и л и н е с к о л ь к о в ы д е л е н н ы х

объектов и применить команду Добавить в группу (Add То G r o u p ) .

Атрибуты member и memberOf

При добавлении члена в группу изменяется атрибут member группы. Атрибут

member многозначен. Каждый член представлен з н а ч е н и е м DN (отличительное

имя) в группе. При перемещении или п е р е и м е н о в а н и и члена Active Directory

автоматически обновляет атрибуты member групп, к о т о р ы м он п р и н а д л е ж и т .

При добавлении члена в группу т а к ж е к о с в е н н о о б н о в л я е т с я а т р и б у т

memberOf. Атрибут memberOf относится к особому т и п у а т р и б у т о в , который

называется обратной ссылкой. Он о б н о в л я е т с я в A c t i v e D i r e c t o r y , когда на

объект ссылается атрибут прямой ссылки, н а п р и м е р member. П р и д о б а в л е н и и

члена в группу атрибут member всегда изменяется. П о э т о м у п р и и с п о л ь з о в а н и и

вкладки Член групп (Member Of) для д о б а в л е н и я объекта в г р у п п у на самом

деле изменяется атрибут member. Атрибут memberOf о б н о в л я е т с я в Active Di-

rectory автоматически.

Быстрое изменение членства в группе

При добавлении пользователя в группу параметры ч л е н с т в а в с т у п а ю т в с и л у

не сразу. Членство в группах оценивается при входе п о л ь з о в а т е л я ( и л и запуске

компьютера). Поэтому пользователю нужно в ы й т и и в н о в ь в о й т и в систему,

чтобы членство в группе было указано в маркере п о л ь з о в а т е л я .

Кроме того, задержки может создавать р е п л и к а ц и я и з м е н е н и й ч л е н с т в а

в группах (репликация описана в главе 11). В частности, р е п л и к а ц и я замед-

ляется, когда предприятие содержит несколько с а й т о в Active Directory. П р и -

менение изменений членства к пользователю м о ж н о у с к о р и т ь , е с л и в н е с т и

изменение на контроллере домена в сайте п о л ь з о в а т е л я . В о с н а с т к е A c t i v e

Directory – пользователи и компьютеры (Active D i r e c t o r y U s e r s And C o m -

puters) щелкните правой кнопкой мыши домен и в ы б е р и т е к о м а н д у С м е н и т ь

контроллер домена (Change Domain Controller).

Разработка стратегии управления группами

Включая группы в другие группы (это называемое вложением), м о ж н о создавать

иерархию групп, поддерживающих бизнес-роли и п р а в и л а . И з у ч и в б и з н е с -

цели и технические характеристики групп, вы можете п р и с т у п а т ь к разработке

стратегии управления группами.

Ранее на этом занятии мы говорили, какие т и п ы о б ъ е к т о в могут б ы т ь чле-

нами каждой группы. Теперь выясним, к а к и е т и п ы о б ъ е к т о в д о л ж н ы б ы т ь

членами каждой группы. В результате мы определим о п т и м а л ь н у ю м е т о д и к у

вложения групп AGDLA.

• Учетные записи (Accounts), то есть пользователи и компьютеры, становятся

членами...

• ...глобальных групп (Global), п р е д с т а в л я ю щ и х б и з н е с – р о л и . Э т и г р у п п ы

ролей (глобальные группы) могут быть членами...

Занятие 1

Создание групп и управление ими 53

• ...локальных групп в домене ( D o m a i n Local), которые представляют бизнес-

правила, н а п р и м е р р а з р е ш е н и е доступа чтения к конкретной коллекции па-

пок. Т а к и е г р у п п ы п р а в и л ( л о к а л ь н ы е г р у п п ы в домене) добавляются в...

• ...списки к о н т р о л я доступа (Access control list), обеспечивающие уровень

доступа, т р е б у е м ы й р о л ы о .

В лесу из м н о ж е с т в а д о м е н о в существуют также универсальные группы,

которые занимают место между глобальными и локальными группами в домене.

Глобальные г р у п п ы из множества доменов будут членами одной универсальной

группы. Эта у н и в е р с а л ь н а я группа я в л я е т с я членом доменных локальных групп

во м н о ж е с т в е д о м е н о в . И м е н н о т а к а я методика называется AGDLA.

Эта о п т и м а л ь н а я методика в л о ж е н и я групп отлично работает даже в сцена-

риях с м н о ж е с т в о м д о м е н о в . С х е м а у п р а в л е н и я группами показана на рис. 4-6.

О н а о т р а ж а е т т е х н и ч е с к и е д е т а л и м е т о д и к и AGDLA; на этом рисунке также

представлен б и з н е с – о б з о р у п р а в л е н и я на основе ролей и правил.

V Папка Продажи

Рис. 4-6. Реализация схемы управления группами

Р а с с м о т р и м с л е д у ю щ и й с ц е н а р и й . О т д е л продаж компании Contoso, Ltd.

з а в е р ш и л ф и н а н с о в ы й год. Ф а й л ы д а н н ы х о п р о д а ж а х за п р е д ы д у щ и й год

х р а н я т с я в п а п к е П р о д а ж и . Р у к о в о д и т е л ю отдела продаж требуется доступ

ч т е н и я к п а п к е П р о д а ж и . К р о м е того, г р у п п е аудиторов из банка Woodgrove

Bank – п о т е н ц и а л ь н о г о и н в е с т о р а – т а к ж е нужен доступ чтения к папке Про-

д а ж и д л я аудита. Д а л е е о п и с а н ы шаги, к о т о р ы е нужно в ы п о л н и т ь д л я обеспе-

ч е н и я безопасности, т р е б у е м о й в т а к о м сценарии.

1. О п р е д е л и т е д л я п о л ь з о в а т е л е й с т а н д а р т н ы е обязанности или другие биз-

н е с – х а р а к т е р и с т и к и , ч т о б ы создать г р у п п ы р о л е й в качестве глобальных

групп безопасности.

154 Группы t

Глава 4

Эту операцию следует выполнить отдельно в к а ж д о м домене. С о т р у д н и к и

отдела продаж Contoso добавляются в группу р о л и П р о д а ж и . Аудиторы

Woodgrove Bank добавляются в группу р о л и Аудиторы.

2-. Создайте группу, представляющую б и з н е с – п р а в и л о д л я д о с т у п а ч т е н и я

к папке Продажи.

Эта операция выполняется в домене, с о д е р ж а щ е м ресурс, к к о т о р о м у при-

меняется правило. В данном случае им будет д о м е н C o n t o s o , в к о т о р о м

размещена папка Продажи. Группа правила создается как л о к а л ь н а я группа

в домене.

3. В группу правила добавьте группы ролей, к к о т о р ы м будет п р и м е н я т ь с я

бизнес-правило.

Эти группы могут располагаться в любом д о м е н е леса и л и д о в е р е н н о м до-

мене, как, например, Woodgrove Bank. Ч л е н о м л о к а л ь н о й г р у п п ы в д о м е н е

могут быть глобальные группы из внешних д о в е р е н н ы х д о м е н о в , а т а к ж е

из любого домена в том же лесу.

4. Назначьте разрешения для реализации требуемого у р о в н я д о с т у п а .

В данном случае локальной группе в домене п р е д о с т а в л я е т с я д о с т у п чтения

(Allow Read).

В результате мы получаем единую точку у п р а в л е н и я , где о п р е д е л я ю т с я

члены групп Продажи и Аудиторы. П о м и м о доступа ч т е н и я к п а п к е П р о д а -

жи эти роли, естественно, могут иметь и другие р а з р е ш е н и я д о с т у п а . П а п к а

Продажи может быть не просто папкой на одном сервере, а ц е л о й к о л л е к ц и е й

папок на множестве серверов, к каждой из которых н а з н а ч а е т с я д о с т у п ч т е н и я

для отдельной локальной группы в домене.

Практические занятия. Создание групп и управление ими

В предложенных далее упражнениях вы создадите г р у п п ы , п о п р а к т и к у е т е с ь

с назначением членства группы, а также преобразуете т и п и о б л а с т ь д е й с т в и я

группы. Перед выполнением упражнения в д о м е н е c o n t o s o . c o m н у ж н о создать

следующие объекты:

« подразделение первого уровня Группы;

• подразделение первого уровня Кадры;

• объекты пользователей в подразделении К а д р ы д л я п о л ь з о в а т е л е й Л и н д ы

Митчелл, Скотта Митчелла, Д ж е ф ф а Ф о р д а , М а й к а Ф и т ц м о р и с а , М а й к а

Дансеглио и Тони Крайнена.

Упражнение 1. Создание групп

В этом упражнении вы создадите группы с р а з л и ч н ы м и о б л а с т я м и д е й с т в и я

и типами.

1. Войдите на машину SERVER01 как а д м и н и с т р а т о р и о т к р о й т е оснастку

Active Directory – пользователи и компьютеры (Active Di re c to r y Users And

Computers). В дереве консоли выберите п о д р а з д е л е н и е Группы.

2. Щелкните правой кнопкой мыши подразделение Группы, в ы б е р и т е о п ц и ю

Создать (New) и примените команду Группа ( G r o u p ) .

Занятие 1

Создание групп и управление ими

155

3. В поле И м я г р у п п ы ( G r o u p N a m e ) введите и м я Продажи.

4. В ы б е р и т е д л я г р у п п ы область д е й с т в и я Глобальная (Global) и тип Безо-

пасность ( S e c u r i t y ) . Щ е л к н и т е О К .

5. Щ е л к н и т е п р а в о й к н о п к о й м ы ш и группу Продажи' и примените команду

С в о й с т в а ( P r o p e r t i e s ) .

6. П е р е й д и т е на в к л а д к у Ч л е н ы г р у п п ы (Members).

7. Щ е л к н и т е к н о п к у Д о б а в и т ь ( A d d ) .

8. Введите и м е н а Джефф;Тони и щ е л к н и т е О К .

9. Щ е л к н и т е О К , чтобы з а к р ы т ь диалоговое окно Свойства (Properties).

10. П о в т о р и т е ш а г и 2 – 4 , ч т о б ы создать две глобальные группы безопаснос-

ти – М а р к е т и н г и К о н с у л ь т а н т ы .

11. П о в т о р и т е ш а г и 2 – 4 , чтобы создать локальную группу безопасности домена

A C L _ S a l e s F o l d e r _ R e a d .

12. О т к р о й т е с в о й с т в а г р у п п ы A C L _ S a l e s _ F o l d e r _ R e a d .

13. П е р е й д и т е на в к л а д к у Ч л е н групп ( M e m b e r Of).

14. Щ е л к н и т е к н о п к у Д о б а в и т ь ( A d d ) .

15. В в е д и т е и м е н а Продажи; Маркетинг; Консультанты и щелкните ОК.

16. Щ е л к н и т е к н о п к у Д о б а в и т ь ( A d d ) .

17. В в е д и т е и м я Линда и щ е л к н и т е О К .

18. Щ е л к н и т е О К, ч т о б ы з а к р ы т ь д и а л о г о в о е окно Свойства (Properties).

19. О т к р о й т е д и а л о г о в о е о к н о С в о й с т в а ( P r o p e r t i e s ) группы Маркетинг.

20. П е р е й д и т е на в к л а д к у Ч л е н г р у п п ( M e m b e r O f ) и щелкните кнопку Доба-

в и т ь ( A d d ) .

21. В в е д и т е и м я ACL_Sales Folder_Read и щ е л к н и т е О К .

Вы не м о ж е т е д о б а в и т ь л о к а л ь н у ю группу домена в глобальную группу.

22. О т м е н и т е о п е р а ц и и и з а к р о й т е все д и а л о г о в ы е окна.

23. На д и с к е С: с о з д а й т е п а п к у с и м е н е м Продажи.

24. Щ е л к н и т е п р а в о й к н о п к о й м ы ш и п а п к у Продажи, п р и м е н и т е команду

С в о й с т в а ( P r o p e r t i e s ) и п е р е й д и т е на вкладку Безопасность (Security).

25. Щ е л к н и т е к н о п к у И з м е н и т ь (Edit), а затем щелкните кнопку Добавить (Add).

26. Щ е л к н и т е к н о п к у Д о п о л н и т е л ь н о (Advanced), а затем кнопку Поиск (Find

N o w ) . С п о м о щ ь ю п р е ф и к с а и м е н групп, н а п р и м е р п р е ф и к с а ACL_ д л я

групп у п р а в л е н и я д о с т у п о м к ресурсам, можно быстро найти и сгруппи-

ровать эти г р у п п ы в н а ч а л е списка.

27. О т м е н и т е о п е р а ц и и во всех о т к р ы т ы х диалоговых окнах.

28. Щ е л к н и т е п р а в о й к н о п к о й м ы ш и подразделение Группы, выберите опцию

Создать ( N e w ) и п р и м е н и т е к о м а н д у Группа ( G r o u p ) .

29. В п о л е И м я г р у п п ы ( G r o u p N a m e ) введите и м я Служащие.

30. Выберите д л я г р у п п ы область д е й с т в и я Л о к а л ь н а я в домене (Domain Local)

и т и п Б е з о п а с н о с т ь ( S e c u r i t y ) . Щ е л к н и т е О К .

1 5 6 Группы t

Глава 4

Упражнение 2. Преобразование области действия и т и п а г р у п п ы

В этом упражнении вы преобразуете тип и область д е й с т в и я г р у п п ы .

1. Щелкните правой кнопкой мыши группу С л у ж а щ и е и п р и м е н и т е к о м а н д у

Свойства (Properties).

2. Назначьте тип группы Распространение ( D i s t r i b u t i o n ) . 1

3. Щелкните кнопку Применить (Apply).

4. Щелкните ОК, чтобы закрыть диалоговое окно С в о й с т в а ( P r o p e r t i e s ) .

Резюме

• Существуют два типа групп: группы безопасности и г р у п п ы р а с п р о с т р а н е -

ния. Группе безопасности можно назначать р а з р е ш е н и я доступа, а группа

распространения используется в качестве списка р а с с ы л к и э л е к т р о н н о й

почты.

• Помимо локальных групп, которые поддерживаются т о л ь к о в л о к а л ь н о й

базе данных SAM на рядовом сервере домена, с у щ е с т в у ю т еще т р и т и п а

области действия групп: глобальная, л о к а л ь н а я в д о м е н е и у н и в е р с а л ь н а я .

• Область действия группы влияет на ее р е п л и к а ц и ю , на т и п ы о б ъ е к т о в , ко-

торые могут быть членами группы, и на возможность г р у п п ы в о й т и в состав

другой группы или на решение таких задач у п р а в л е н и я , к а к н а з н а ч е н и е

разрешений доступа группе.

• После создания группы можно преобразовать ее т и п и о б л а с т ь д е й с т в и я .

Закрепление материала

Следующие вопросы можно использовать д л я п р о в е р к и з н а н и й , п о л у ч е н н ы х

на занятии 1. Эти вопросы есть на сопроводительном к о м п а к т – д и с к е .

ПРИМЕЧАНИЕ Ответы

Ответы на эти вопросы с пояснениями, почему тот или иной вариант" ответа пра-

вилен или неверен, вы найдете в разделе «Ответы» в конце книги.

1. В новом проекте требуется, чтобы пользователи в в а ш е м д о м е н е и , д о м е н е

партнерской организации имели доступ к о б щ е й папке на в а ш е м ф а й л о -

вом сервере. Группу какого типа следует создать д л я у п р а в л е н и я д о с т у п о м

к этой общей папке?

A. Универсальную группу безопасности.

Б. Локальную группу безопасности в домене.

B. Глобальную группу безопасности.

Г. Локальную группу распространения в домене.

2. Ваш домен содержит группу распространения с именем О б н о в л е н и е компа-

нии. Указанная группа используется д л я п е р е с ы л к и ее ч л е н а м новостей

компании по электронной почте. Вы решили позволить всем членам группы

участвовать в подготовке информационного бюллетеня и создали д л я этого

Занятие 2

Автоматизация создания групп и контроля за ними -| 57

о б щ у ю п а п к у на ф а й л о в о м сервере. Ч т о н у ж н о сделать, чтобы разрешить

ч л е н а м г р у п п ы доступ к этой общей папке?

A. Н а з н а ч и т ь д л я г р у п п ы л о к а л ь н у ю область действия в домене.

Б. Н а з н а ч и т ь д л я г р у п п ы у н и в е р с а л ь н у ю область действия.

B. Д о б а в и т ь группу р а с п р о с т р а н е н и я в группу Пользователи домена (Do-

main Users).

Г. И с п о л ь з о в а т ь к о м а н д у Dsmod. с переключателем -secgrp yes.

3. В д о м е н е contoso.com вы создали глобальную группу безопасности с име-

нем К о р п о р а т и в н ы е м е н е д ж е р ы . К а к и е члены могут быть включены в эту

г р у п п у ? ( У к а ж и т е все в а р и а н т ы . )

A. Г л о б а л ь н а я г р у п п а М е н е д ж е р ы по п р о д а ж а м в доверенном д о м е н е

f a b r i k a m . c o m п а р т н е р с к о й к о м п а н и и .

Б. Г л о б а л ь н а я г р у п п а М е н е д ж е р ы по продажам в домене tailspintoys.com