Active Directory Domain Services
Active Directory Domain Services (AD DS) on palvelu, jolla luodaan toimialue. Toimialue on yleinen organisaatiossa, jossa halutaan keskitää kaikki yhteen palvelimeen. Tämä palvelu mahdollistaa samalla käyttäjätunnuksella kirjautumisen kaikkiin toimialueen työasemiin, ellei rajoiteta Group Policy Managementin avulla.
Toimialue on vaatimus seuraavalle roolille Windows Deployment Services
HUOM! Toimialueen ohjauskoneena oleva palvelimen nimi pitää muutettava ennen asennusta. Asennuksen jälkeen nimeä ei voi muuttaa. Määritä kiinteä IP-osoite ennen roolin asennusta.
Sisällysluettelo
Asentaminen
HUOM! Windows Server 2008 R2 ja vanhemmat versiossa asennetaan dcromo.exe komennolla, ei Server Managerista. Tässä ohje: http://www.ictmanuaali.net/windows2008r2#toc7
- Avaa Server Manager
- Avaa Add Roles and Features (Lisää rooleja ja toimintoja)
- Valitse asennustyyppi.
- Valitse palvelin, johon asennetaan rooleja.
- Valitse rooleista Active Directory Domain Service ja DNS Server ja valitse NEXT.
- Voit ohittaa Feature välilehden ja jatka NEXT.
- Tarkista että olet määrittänyt oikein ja valitse Install
Konfigurointi
Asennuksen suoriuduttuaan jatketaan palvelimen määritystä toimialueen ohjauskoneeseen.
Nyt sinun tulisi tietää miten AD toimialueen ohjain asennetaan.
- Luomalla New Forest, eli kokonaan uuden toimialueen.
- Lisäämällä Domain Controller aikaisemmin luotuun toimialueeseen. Vaatii siis että on olemassa toimialue.
- Luomalla uusi toimialue aikaisemmin luotuun Forest. Vaatii aikaisemmin luotuun Forest.
Add a new forest
- Avaa Server Managerista ylhäältä lipun kohtaa Promote this server domain controller.
- Luodaan uuteen metsään toimialue. Valitse Add new domain new forest. (Windows Server 2008 R2 ja vanhemmat käyttöjärjestelmän käyttäjät voivat seurata tästä kohtaa eteenpäin. Anna toimialueelle nimi, käytän nyt tässä esimerkissä domain.local, mutta voit käyttää myös .fi / .com jne. päätteitä jos omistat ne. .local on hyvä pääte jos vain yksityinen palvelin.Suositus on AD.domain.local / AD.domain.com
- Forest level määritetään toimialueiden käyttöjärjestelmien mukaan. Suositus on korkein taso, jos mahdollista. Alimmassa tasossa toimii myös kaikki uusimmat käyttöjärjestelmät. Esimerkki: Windows 7 vaatii Windows Server 2008 R2 metsän tasoksi, kuitenkin Windows 8.X toimii siinäkin. Windows Vista ei toimi, jos metsän taso on Windows Server 2008 R2 tai korkeampi. Huomioithan, että Windows XP ei ole tuettu Windows Server 2012 R2 toimialueelle. Domain Functional Level kannattaa laittaa sama kuin Forest Level. Määritä AD DS palvelulle salasana jonka muistat, tätä tarvitaan AD palvelun varmuuskopioinnissa.
- DNS Delegation voidaan useammassa tapauksessa ohittaa.
- Tarkista että NETBIOS nimi on oikein. Yleensä tämä tulee automaattisesti.
- Määritä asennuspolku. Yleensä oletuspolku riittää.
- Tarkista määrittämäsi asetukset
- Jatka painamalla Install ja odota että palvelin on käynnistynyt uudelleen. Tämä voi kestää jonkin aikaa. Uudelleen käynnistyksen jälkeen kirjautuminen on muodossa domain\käyttäjätunnus
Add new a domain controller to an existing forest
Lisätään uusi toimialueen ohjauskone aikaisempaan luotuun metsään.
- Kirjoita domainiksi domain, johon haluat yhdistää. Sinulta kysytään tämän jälkeen käyttäjäoikeuksia. Anna toimialueen järjestelmävalvojan domain, käyttäjätunnus ja salasana. Sen jälkeen odota hetki, metsän domainit pitäisi listautua sen jälkeen. Valitse domain ja jatka NEXT painikkeella.
- Määritä DSRM salasana.
- DNS välilehden voit ohittaa
- Sallitaan toistaminen kaikilta toimialueen ohjauskoneilta.
- Määritetään oletussijainnit Active Directory Domain Servicen tietokannalle, lokitiedostoille ja SYSVOL:ille.
- Vahvista asetukset
- Odota hetki, dcpromo tarkistaa asetuksia.
- Kun dcpromo on vahvistanut asetukset jatka valitsemalla asenna.
Tätä ohjetta testatessamme dcpromo ei hyväksynyt staattisia IPv4-osoitteita
- Windows Server 2012 vaatii että metsän taso on vähintään Windows Server 2003
Add new a domain to an existing forest
Tämä ohje ei vielä toimi. dcpromo jää jumiin
Käyttäjät, ryhmät, organisaatioyksiköt ja tietokoneet
Avaa Server Managerista -> Tools -> Active Directory Users and Computers.
Käyttäjät (CN)
Uusi käyttäjä toimialueelle
Nyt luodaan toimialueellemme uusi käyttäjätili, jolla on perusoikeus kirjautua kaikille toimialueen työasemille. Esimerkissämme luomme käyttäjälle Matti Meikäläiselle toimialueelle käyttäjätilin.
- Avaa Users
- Avaa hiiren kaksoispainikkeella New - User
- Anna käyttäjälle etunimi, sukunimi ja kirjautumisen nimi.
- Anna salasana Matti Meikäläiselle. Oletuksena on rastitettu: User must change password at next logon = Käyttäjän on vaihdettava salasana seuraanan kirjautumisen yhteydessä.
- Nyt on käyttäjälle Matti Meikäläiselle luotu käyttäjätili. Oletuksena käyttäjätili on ryhmässä Domain Users (Toimialueen käyttäjä) ja sillä on oikeus kirjautua kaikille työasemille. Domain Users käyttäjällä ei ole oletuksena järjestelmävalvojan oikeuksia.
Organisaatioyksiköt (OU)
Organisaatioyksiköt (Organisaational Unit = OU) helpottavat suurissa organisaatiossa tietokoneiden, ryhmien ja käyttäjien hallintaa.
- Avaa hiiren kaksoispainikkeella domain.local -> New -> Organisational Unit
- Luodaan organisaatioyksikkö Tampere.
- Nyt on luotu 3 eri organisaatioyksikköä
- Luodaan Tampere OU:n alle kaksi OU:ta koneet ja kayttajat
Organisaatioyksikön poistaminen
- Organisaatioyksikköä ei voi vain poistaa joka käy ilmi ensimmäisestä kuvasta. Se on suojattu ns. "poistaminen vahingossa"
- Avaa valikosta View -> Advance Features
- Avaa hiiren kaksoispainikkeella poistettavasta organisaatioyksiköstä Properties.
- Poista rasti Object välilehdestä Protect object from accidental deletion.
- Nyt voit poistaa organisaatioyksikön.
Suositeltavaa poiston jälkeen Advance Features ottaminen pois käytöstä.
Powershell
Suunnitelmissamme on asentaa Active Directory Domain Services konfiguroida sitä. Määritä kiinteä IP-osoite ennen asennusta sconfigin avulla.
Avaa Powershell
powershell
Tämän jälkeen anna komento
Install-WindowsFeature
AD-Domain-Services
DNS
Tämän jälkeen luodaan uusi Forest.
Install-ADDSforest
Tehdään DNS reverse lookup zone:
Add-DnsServerPrimaryZone -NetworkId "10.5.26.0/24" -ReplicationScope "Forest"
Users and Computers
Seuraavaksi neuvomme miten näet toimialueesi käyttäjätilit, organisaatioyksiköt, ryhmät ja tietokoneet.
Import-Module ActiveDirectory cd AD:
dir
Tulostuu:
Name ObjectClass DistinguishedName ---- ----------- ----------------- domain domainDNS DC=domain,DC=local Configuration configuration CN=Configuration,DC=domain,DC=local Schema dMD CN=Schema,CN=Configuration,DC=domain,DC=local DomainDnsZones domainDNS DC=DomainDnsZones,DC=domain,DC=local ForestDnsZones domainDNS DC=ForestDnsZones,DC=domain,DC=local
cd "DC=domain,DC=local" dir
Sivulle tulostuu sama kuin Active Directory Users and Computers
Builtin builtinDomain CN=Builtin,DC=domain,DC=local COMPUTER organizationalUnit OU=COMPUTER,DC=domain,DC=local Computers container CN=Computers,DC=domain,DC=local Domain Controllers organizationalUnit OU=Domain Controllers,DC=domain,DC=local ForeignSecurityPr... container CN=ForeignSecurityPrincipals,DC=domain,DC=local Infrastructure infrastructureUpdate CN=Infrastructure,DC=domain,DC=local LostAndFound lostAndFound CN=LostAndFound,DC=domain,DC=local Managed Service A... container CN=Managed Service Accounts,DC=domain,DC=local CN=NTDS Quotas,DC=domain,DC=local Program Data container CN=Program Data,DC=domain,DC=local SERVER organizationalUnit OU=SERVER,DC=domain,DC=local System container CN=System,DC=domain,DC=local CN=TPM Devices,DC=domain,DC=local Users container CN=Users,DC=domain,DC=local
jatka siirtymällä esimerkiksi
dir "CN=Users"
niin näet käyttäjätilit palvelimessasi.
Konetilit
Luo konetili komennolla:
New-ADComputer
Tiedot komentotilistä saat komennolla:
GetADComputer
Poista konetili komennolla:
Remove-ADComputer
Käyttäjätilit
Luodaan uusi käyttäjätili nimellä testi
New–ADUser -Name ’Testi Käyttäjä’ - SamAccountName 'testik'
Määritetään salasana käyttäjälle testikäyttäjä ja salasanana on Password2014
Set-ADAccountPassword ’Testikäyttäjä’ –NewPassword (ConvertTo-SecureString - AsPlainText -string 'Password2014' -force).
Pakota käyttäjätilin vaihtamaan salasanan seuraavan kirjautumisen yhteydessä:
Set-ADUser testi - hangePasswordAtLogon $true
Tarkastele käyttäjän tietoja
Get-ADUser 'testi'
Usealle eri käyttäjätilille suoritettavat toiminnot onnistuu filter parametrillä. Esimerkiksi otetaan kaikki käyttäjät käyttöön organisaatioyksikössä tamk.
Get-ADUser -Filter "Organization -eq 'tamk'" | Enable-ADAccount.
Käyttäjätilin poisto onnistuu komennolla
Remove-ADUser
Aktiivihakemistossa objektien siirto onnistuu Move-ADObject komennolla. Esimerkissä siirretään testikäyttäjä OU1 -> OU2.
Move-ADObject -Identity testi -TargetPath '.\OU=OU2'
Käyttöoikeusryhmät
Luo uusi käyttöoikeusryhmä komennolla:
New-ADGroup
New-ADGroup -Name 'Ryhmä A' - GroupScope DomainLocal.
Lisää käyttäjätili käyttäjäoikeusryhmään:
AddADGroupMember
Add-ADGroupMember -Identity 'Ryhmä A' -Members testi
Poista käyttjätili ryhmästä:
Remove-ADGroup.
Organisaatioyksiköt
Luodaan organisaatioyksikkö komennolla:
New-ADOrganizationalUnit -name OU1 -Path '.\DC=ONT,DC=local
Powershellin avulla toimialueelle
Tällä PowerShell komennolla saat liitettyä palvelimen toimialueelle nimeltä testi.local. Varmista ennen liitosta että tämä palvelin käyttää ensisijaisena DNS palvelimena liitettävän toimialueen ohjauskonetta.
Add-Computer -DomainName domain.local
Voit myös liittää sconfigin avulla toimialueelle Server Coressa.
Katso myös
Lähteet
http://www.ictmanuaali.net/windows2008r2
http://www.ictmanuaali.net/windows8server
https://www.theseus.fi/bitstream/handle/10024/78424/Koivisto_Iiro.pdf?sequence=1