Tw-city.info

IT Новости
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Active directory подключение к домену

Предоставление разрешений на подключение к домену

Автоматизируйте процесс предоставления разрешения на присоединение компьютеров к домену в PowerShell с помощью сценария

Принцип предоставления минимальных прав в применении к Active Directory (AD) означает, что пользователям следует назначать только те разрешения, которые необходимы для выполнения их профессиональных обязанностей. Чем крупнее компания, тем больше вероятность, что разрешения AD даются различным группам. Типичный пример — предоставление разрешений группе службы поддержки для сброса паролей и разблокирования учетных записей пользователей. Дополнительные сведения о делегировании AD можно найти в тематическом разделе Delegating administra­tion («Делегирование админи­стри­рования») документации по продукту по адресу: https://technet.microsoft.com/en-us/library/cc778807.aspx.

Принцип предоставления минимальных прав также применяется для управления учетными записями компьютеров. По умолчанию пользователи домена могут создать и присоединить к домену до 10 компьютеров. Это значение в домене можно изменить с помощью атрибута ms-DS-MachineAccountQuota, как отмечается в статье базы знаний Microsoft Default limit to number of workstations a user can join to the domain (https://support.microsoft.com/en-us/kb/243327). Многие администраторы доменов устанавливают значение этого параметра равным нулю, чтобы обеспечить соответствие процессам и стандартам компании (например, запретить пользователям назначать компьютерам произвольные имена). В результате во многих компаниях требуется делегировать права для присоединения компьютеров к домену.

Предоставление разрешения на присоединение компьютеров к домену

Вы можете назначить разрешения на присоединение компьютера при создании учетной записи компьютера, нажав кнопку Change («Изменить») в обычном графическом интерфейсе Microsoft (см. метку 1 на экранах 1 и 2).

С помощью кнопки Change в средствах ADUC и ADAC графического интерфейса вы предоставляете набор разрешений на объект-компьютер. Далее я покажу, каким образом можно назначить разрешения вручную, а затем мы рассмотрим сценарий PowerShell для автоматизации процесса.

Предоставление разрешения на присоединение вручную с помощью графического интерфейса

Ниже последовательно описан процесс предоставления разрешений на присоединение учетной записи компьютера с консоли ADUC вручную.

  1. В меню View («Вид») выберите режим Advanced Features («Дополнительные параметры»). В противном случае вкладка Security («Безопасность») для объектов AD не будет видна.
  2. Дважды щелкните объект-компьютер, чтобы увидеть его свойства, а затем выберите вкладку Security.
  3. Нажмите кнопку Add («Добавить»), выберите пользователя или группу, которые смогут присоединить компьютер, а затем установите в столбце Allow («Разрешить») флажки Reset password («Сбросить пароль»), Validated write to DNS host name («Удостоверенная запись на узел с DNS-именем»), Validated write to service principal name («Удостоверенная запись на узел с именем участника службы») и Write account restrictions («Ограничения учетной записи для записи»), как показано на экране 3. Нажмите кнопку Apply («Применить»).

Ручное назначение разрешений на присоединение компьютера с помощью кнопки Change или вкладки Security — медленный процесс с высокой вероятностью ошибок. Поэтому давайте посмотрим, как можно его автоматизировать с помощью сценария PowerShell.

Сценарий Grant-ComputerJoinPermission.ps1

Я подготовил сценарий Grant-ComputerJoinPermission.ps1 (см. листинг), чтобы предоставить четыре необходимых разрешения (см. экран 3) для одной или нескольких учетных записей компьютеров. Синтаксис сценария следующий:

Параметр -Identity указывает, кто сможет присоединять компьютеры к домену. Вы можете ввести этот параметр в формате username (например, kendyer), domainusername (например, fabrikamkendyer) или username@domain (например, kendyer@fabrikam.com). Имя параметра (-Identity) вводить не обязательно, если вы указываете его первым в командной строке. Этот параметр не поддерживает подстановочные знаки.

Параметр -Name задает имена одной или нескольких учетных записей компьютеров. Имя параметра (-Name) можно опустить, если разместить имена учетных записей компьютеров на второй позиции в командной строке сценария. Этот параметр принимает входные данные конвейера, поэтому имя параметра тоже следует опустить, если имена компьютеров передаются в сценарий через конвейер. Данный параметр не поддерживает подстановочные знаки.

Параметр -Domain указывает имя домена, в котором размещаются учетные записи компьютеров (например, fabrikam или fabrikam.com).

Параметр -Credential указывает учетные данные, имеющие право назначать разрешения учетным записям компьютеров. Вы можете использовать этот параметр, если выполнили вход с учетной записью, не имеющей достаточных прав для предоставления разрешений учетным записям компьютеров.

Поведение параметров -WhatIf и -Confirm — такое же, как у команд PowerShell: -WhatIf указывает, какие действия выполняет сценарий, в то время как эти действия не совершаются, а -Confirm запрашивает подтверждение перед выполнением любого действия.

Примеры команд

1. Предоставить учетной записи kendyer разрешение для присоединения компьютера pc1 к домену:

2. Предоставить учетной записи kendyer разрешение для присоединения списка компьютеров к домену:

В этом примере файл Computers.txt содержит список имен компьютеров (по одному на строку). PowerShell покажет вносимые изменения из-за параметра -Verbose.

3. Предоставить учетной записи kendyer разрешение для присоединения компьютера pc1 к домену с использованием альтернативных учетных данных:

В этом примере команда Get-Credential запрашивает учетные данные, и PowerShell использует учетные данные, введенные в параметре -Credential (скобки вокруг Get-Credential обязательны).

Читать еще:  Как в word сделать альбомную страницу

4. Создать новую учетную запись компьютера и предоставить учетной записи kendyer разрешение для присоединения к домену:

В этом примере команда New-ADComputer создает объект-компьютер и выводит его с использованием параметра -PassThru. Затем объект-компьютер выводится в сценарий Grant-ComputerJoinPermission.ps1, который предоставляет учетной записи kendyer разрешение для присоединения компьютера к домену.

5. Создать список учетных записей компьютеров в подразделении и предоставить учетной записи lynndyer разрешение на их присоединение к домену:

В этом примере файл Computers.txt содержит список имен компьютеров, по одному в строке.

Автоматизация предоставления разрешения на присоединение

Итак, отныне предоставление разрешения на присоединение компьютеров к домену не обязательно медленный и подверженный ошибкам процесс графического интерфейса. Теперь вы можете автоматизировать его в PowerShell с помощью сценария Grant-ComputerJoinPermission.ps1.

Поделитесь материалом с коллегами и друзьями

ИТ База знаний

Полезно

— Узнать IP — адрес компьютера в интернете

— Онлайн генератор устойчивых паролей

— Онлайн калькулятор подсетей

— Калькулятор инсталляции IP — АТС Asterisk

— Руководство администратора FreePBX на русском языке

— Руководство администратора Cisco UCM/CME на русском языке

— Руководство администратора по Linux/Unix

Навигация

Серверные решения

Телефония

FreePBX и Asterisk

Настройка программных телефонов

Корпоративные сети

Протоколы и стандарты

Популярное и похожее

Пошаговый ввод в домен Windows 10

Погружение в Iptables – теория и настройка

Виртуализация сетевых функций (NVF)

Кто даст вам лучшее облачное хранилище?

Создание доменного пользователя и ввод компьютера в домен

4 минуты чтения

В прошлой статье мы создали и настроили контроллер домена (DC), настало время наполнить наш домен пользователями и рабочими станциями.

Конфигурация

Открываем Server Manager и выбираем опцию Roles.

Из доступных ролей выбираем недавно установленную — Active Directory Domain Services, далее Active Directory Users and Computers и находим созданный нами домен (в нашем случае — merionet.loc). В выпадающем списке объектов находим Users и кликаем по данной опции правой кнопкой мыши и выбираем NewUser.

Отметим также, что вы можете создать свою группу и добавлять пользователей туда.

Перед нами откроется окно добавления нового пользователя. Заполняем учетные данные нового пользователя. Как правило, в корпоративных доменах, принято создавать именные учетные записи для того, чтобы в дальнейшем можно было отслеживать действия конкретного пользователя в целях безопасности и однозначно его идентифицировать.

Далее, нас просят ввести пароль для новой учетной записи и выбрать дополнительные опции:

  • User must change password at next logon — при включении данной опции, пользователя попросят сменить пароль при следующем логине;
  • User cannot change password — пользователь не сможет самостоятельно изменить свой пароль;
  • Password never expires — срок действия пароля пользователя никогда не истечет;
  • Account is disabled — учетная запись пользователя будем отключена и он не сможет залогиниться с доменными учетными данными, даже если они будут введены верно.

После того, как все данные будут заполнены, нас попросят подтвердить создание нового объекта.

Отлично, новый пользователь домена создан. Теперь нам нужно зайти на компьютер пользователя и ввести его в домен. Для этого логинимся на компьютер пользователя с локальными учетными данными и открываем Свойства компьютера. Как видите, наш компьютер пока еще не стал частью домена, он ещё является частью рабочей группы WORKGROUP/. Убедитесь, что компьютер пользователя имеет версию Windows не ниже Professional. Чтобы ввести его в домен выбираем Change Settings

Важно! Поддержка доменной инфраструктуры начинается только с версии Windows Professional. На версиях Starter, Home Basic, Home Premium подключиться к домену не получится!

Далее напротив опции «To rename this computer or change its domain or workgroup, click Change» нажимаем собственно Change

Важно! Для того, чтобы наш компьютер узнал о существующем контроллере домена нам нужно указать ему на DNS сервер, который имеет такую информацию. В нашем случае – контроллер домена является по совместительству DNS сервером для пользовательских машин. Поэтому мы указываем контроллер домена в качестве DNS сервера для настраиваемого компьютера.

Далее в открывшемся окне в опции «Member of» вместо Workgroup выбираем Domain и вводим имя нашего домена (в нашем случае – merionet.loc)

Далее нас попросят ввести учетные данные для учетной записи, которая уже создана и имеет право присоединиться к домену. Вводим учетные данные ранее созданного пользователя.

Если все было сделано корректно, то мы увидим сообщение, свидетельствующее о том, что наш компьютер теперь является частью домена (в нашем случае — merionet.loc)

После чего, нас попросят перезагрузить компьютер для применения изменений.

После перезагрузки, мы можем логиниться уже с учетными данными доменного пользователя.

Теперь, если мы откроем свойства компьютера, то увидим, что наш компьютер принадлежит домену (в нашем случае – merionet.loc)

Полезна ли Вам эта статья?

Пожалуйста, расскажите почему?

Нам жаль, что статья не была полезна для вас 🙁 Пожалуйста, если не затруднит, укажите по какой причине? Мы будем очень благодарны за подробный ответ. Спасибо, что помогаете нам стать лучше!

Читать еще:  Делегирование прав в домене

Подпишитесь на нашу еженедельную рассылку, и мы будем присылать самые интересные публикации 🙂 Просто оставьте свои данные в форме ниже.

Как ввести компьютер в домен Server 2012

Из данной статьи вы узнаете, как ввести компьютер в домен Server 2012 что бы пользователь мог входить под учетной записью которая создается в Active Directory, помимо этого на него распространялись групповые политики и т.д

Перед тем как начать ввод компьютера в домен и создавать нового пользователя ознакомьтесь с первичными настройками Windows Server 2012 перейдя по этой ссылке

Ввод ПК в домен Server 2012:

Осуществим вход на наш сервер и откроем оснастку «Пользователи и компьютеры Active Directory» которая расположена в средствах диспетчера серверов

Зайдем в папку «Computers» и убедимся в том что пока что ни один компьютер пока что не подключен к домену

Давайте перейдем к настройкам:

Первой настройкой нам необходимо что бы на рабочих станциях был прописан IP адрес DNS сервера, в нашем случае DNS установлен на контроллере домена и если мы откроем в диспетчере сервером оснастку «DNS» то увидим, что ip адрес совпадает с адресом контроллера домена

Теперь создадим первого пользователя, и назовем его Тест. Для этого вновь откройте вкладку «Пользователи и компьютеры Active Directory» далее перейдите в парку «UzersСоздатьПользователь»

В появившимся окне заполняем необходимые параметры для новой учетной записи информация расположена ниже на картинке и жмем «Далее»

После чего заполняем поля с паролем. Пароль должен отвечать требованиям сложности (содержать латинские буквы с верхним регистром, символы и т.д) Для того что бы каждый раз вам не вводить сложные пароли необходимо отключить данную политику, как это сделать можете узнать их этой статьи.

После ввода паролей нажмите поставьте чекбоксы как указано на рисунке и жмите «Далее»

Кликаем «Готово» непосредственно для завершения создания нового пользователя

После чего в оснастке AD появится Тест Тестович!

Подключаем компьютер к домену

Первым делом проверяем настройки сетевых подключений, ориентируйтесь на картинку приведенную ниже:


Наконец то мы добрались до основной настройки компьютера.

У пользовательского ПК жмем ПКМ по значку «Мой компьютер» и открываем «Свойства»

В появившимся окне ищем вкладку «Изменить параметры» переходим по ней

В свойствах системы нам необходимо присоединить компьютер к домену для этого кликнем на кнопку «Изменить»

Переключаем курсор является членом Домена вводим доменное имя после чего нажимаем «Ок»

Всплывающее окно просит нас что бы мы напечатали «Имя пользователя» и «Пароль администратора домена» соответственно после ввода жмем «Ок»

Если вы выполнили все настройки корректно то компьютер перейдет к вам в домен

Перезагружаем компьютер для сохранения параметров

После перезагрузки входим под учетной записью которую мы создали выше а именно под «Тест Тестовичем»


Теперь перейдем на сервер и в оснастке AD в папке «Computers» у нас появится новый компьютер

На этом статья закончена возникшие вопросы пишите в комментарии и не забываем подписываемся на рассылку, всем спасибо и удачи в компьютерных начинаниях!

Как добавить сервер в существующий домен Windows

Одним из значимых событий роста и развития локальной сети является появление нового сервера. Рассмотрим как новый сервер добавить в уже существующий домен Windows.

Доменные службы Active Directory — это реализация службы каталогов Microsoft, представляющая централизованные службы авторизации и проверки подлинности. Active Directory Domain Services в Windows Server — это развитая служба каталогов предназначенная для централизованного хранения данных, а также управления безопасностью. В задачи “безопасности” входит управление компьютерами, пользователями и их группами, обеспечение безопасного и централизованного доступа к ресурсам сети. AD DS используют для организации ЛВС.

Перед началом настройки.

Для нормального функционирования сети и AD, в частности, необходимо создать серверы и контроллеры домена. Для этого, на этапе заказа VDS, в панели управления, в личном кабинете, следует отметить галочкой поле “Выполнить системную подготовку Windows”.

По окончании процесса формирования серверов, необходимо все машины объединить в одну частную сеть. В результате этих действий, серверы получат дополнительные сетевые адаптеры и локальные IP-адреса.

Предварительно должен быть настроен контроллер домена и создан пользователь.

Настраиваем сетевой адаптер.

Подключаемся к серверу по RDP.

Открываем настройки сети. Выбираем “IP версии 4”.

Указываем, в качестве первичного DNS-сервера, адрес сервера с контроллером домена. Нажимаем кнопку “OK”.

Добавляем сервер в домен.

Для добавления сервера в домен откроем свойства системы. Для этого открываем Панель управления → Система и безопасность → Система (Или кликаем правой кнопкой мыши по значку “Этот компьютер”, в контекстном меню выбираем “Свойства”).

Читать еще:  Управление доменом яндекс

В открывшемся окне кликаем по ссылка “Изменить параметры”.

В появившемся окне указываем описание сервера и нажимаем кнопку “Изменить” для смены рабочей группы на домен.

Кликаем по переключателю, что данный компьютер является членом домена и указываем имя домена.
Также, следует ввести понятное имя компьютера.
Для сохранения настроек кликаем по кнопке “OK”.

Система попросит ввести пользовательские данные, для того, чтобы можно было подключиться к домену.

В случае, если пользовательские данные корректны, появится системное уведомление.

А также появится уведомление о необходимости перезагрузки сервера.

О необходимости перезагрузки система напомнит еще раз.

И предложит принять решение. Если нет неотложных задач, то перезагружаем сервер.

Подключение к серверу.

Пробуем подключиться по протоколу RDP с учетными данными созданного пользователя, через значок “@” (“собака”) указываем домен.

Если подключение прошло успешно, значит сервер в домен добавлен верно.

Несмотря на то, что Windows рекомендует держать Брандмауэр включенным для всех сетей, мы рекомендуем, во избежание непредсказуемого поведения, отключить его для доменной и частной сетей. Для публичной сети, все же, рекомендуем оставить его включенным.

Active directory подключение к домену

author’s blog about my interests

Добавляем пользователей и компьютеры к домену Active Directory. (На Windows 2003 Server)

Итак мы будем считать что у нас установлен Windows 2003 Server и на нем развернута Active Directory (Далее AD). AD позволяет нам управлять компьютерами и пользователями: устанавливать ограничения или наоборот задавать различные благоприятные условия работы. Теперь самое время перейти к созданию пользователей и компьютеров. В первую очередь необходимо создать пользователя и делать мы это будем в специальной консоли, доступ к которой можно получить так:

  • «ПУСК» ? «Насройка» ? «Панель управления» ? «Администрирование» ? «Active Directory — пользователи и компьютеры»;
  • Или в меню: «ПУСК» ? «Выпонить» введите команду dsa.msc .

Некоторые скажут, что созание пользователей делается с помощью утилиты «Учетные записи пользователей», но после того как мы поставили Active Directory, эта утилита нам более не доступна. Убедиться в этом можно, если посмотреть в Панели управления.

Вам откроется программа «Active Directory — пользователи и компьютеры», состоящая из двух окон. Слева мы видим папки с параметрами, а справа сами параметры находящиеся в этих папках.

На данном этапе нас интересует папка «Users» (Пользователи). Нажимаем на ней правой кнопкой мышки и выбираем «Создать» ? «Пользователь»

Перед нами окно для создания пового пользователя. Задаем необходимые параметры и переходим дальше.

Далее ставим параметры как пожелаем (галочками), вводим пароль, подтверждаем и идем дальше.

Если все было сделано правильно, то программа выдаст сообщение о создании нового пользователя.

Давайте теперь зайдем в свойства только что созданного пользователя и посмотрим, что мы можем менять в его настройках.

Вкладка «Член групп»: тут можно включить нашего пользователя в различные группы.

Вкладка «Удаленное управление» позволяет разрешить/запретить пользователю подключаться к домену через удаленное соединение.

Еще одна интереная вкладка «Учетная запись», тут можно поменять имя пользователя и задать различные параметры для пароля.

Добавление компьютера в домен

Для подключения компьютера к домену все готово. Компьютеры, работающие под управлением Windows 2000/XP, при подключении к серверу будут добавляться автоматически в группу Computers. Для этого на каждом клиенте нужно выбрать «Мой Компьютер» ? «Свойства» ? «Имя компьютера .

После этого у нас есть два пути: либо вызвать мастера сетевой идентификации, нажав кнопку «Идентификация», либо сразу ввести необходимые параметры, нажав кнопку «Изменить» .

Если в вашей сети есть ПК, работающие под Windows 98, то они подключаются как клиенты Active Directory; в этом случае учетные записи компьютера не создаются. Для их работы необходимо установить программу dsclient.exe, которая имеется на установочном диске Win2k3.

Итак задаем имя домена и нажимаем ОК.

По умолчанию присоединять компьютер к домену имеют право только члены группы «Администраторы домена». Чтобы разрешить это действие другим пользователям, необходимо на контроллере домена, выбрать необходимого пользователя и сделать его участником группы «Администраторы домена». О том где это делать написано в начале статьи.

На следующем этапе, как раз и вводим логин и пароль пользователя которому разрешено добавлять компьютер к домену.

Если все хорошо, то мы увидим окно об успешном подключению к домену.

Перезагрузив компьютер мы можемзарегистрироваться в домене. Для этого воводим имя пользователя и пароль, которое мы зарегистрировали ранее на контроллере домена, выбираем домен и заходим.

После первой регистрации наш компьютер появится в контейнере Computers, где нам уже доступно управление данным компьютером.

На этом пока все, продолжение в следующих статьях…

Ссылка на основную публикацию
ВсеИнструменты 220 Вольт
Adblock
detector
×
×