Active Directory
Процесс входа в домен Active Directory
1. Запрос списка ближайших DC (DNS, SRV)
2. Выбор DC, определение IP (DNS, A)
3. Проверка доступности DC (ICMP PING/LDAP)
4. Синхронизация времени с DC (NTP)
5. Аутентификация компьютера в домене (Kerberos)
6. Проверка скорости соединения с DC (ICMP PING)
7. Получение групповых политик компьютера (LDAP/SMB)
8. Аутентификация пользователя в домене (Kerberos)
9. Получение групповых политик пользователя (LDAP/SMB)
10. Загрузка профиля пользователя
Компоненты AD
Логические:
Домены Подразделения Деревья Леса
Физические:
Контроллеры домена Сайты
Контроллер домена - сервер, на котором установлено ПО Active Directory, а так же расположена база данных данной службы.
Домен - область, объединяющая группу компьютеров(и других объектов), которые при работе в сети, при поиске доступных ресурсов, ориентируются на единый справочник (Active Directory). Данный справочник распространяет на эти компьютеры свои политики безопасности. Домен указывает область влияния какой-либо отдельной службы каталогов, определяет границы действия политик безопасности этой службы каталогов.
Дерево - несколько доменов, которые используют общее пространство имён Active Directory.
Лес - несколько деревьев доменов, принадлежащих одной структуре(предприятию).
Сайт - область, которая содержит в себе одну или несколько подсетей (при наличии быстрого и надежного подключения между этимим подсетями). Использование такого компонента, как сайт, позволяет учитывать топологию и характеристики сети, в которой устанавливается Active Directory.
Подразделения (Organizational Unit - OU) - своего рода «контейнеры», используя которые можно значительно упростить управление объектами, находящимися в Active Directory. Благодаря подразделениям в базе данных Active Directory становится возможным выстроить объекты, которые находятся в AD, в некую иерархию. Данная иерархия совсем не обязана отражать реальную иерархию (департаменты, отделы) предприятия, а должна выстраиваться в виде, при котором становится максимально удобно управлять теми объектами, которые находятся в AD.
Используя OU, можно осуществлять делегирование управления, т.е. можно предоставлять какому либо пользователю (помощнику админа) право управлять теми объектами, которые находятся в определенной OU.
Подразделения (OU):
Компьютеры Контакты Группы Принтеры Пользователи Сетевые папки Подразделения
ФУНКЦИОНАЛЬНЫЕ УРОВНИ(РЕЖИМЫ РАБОТЫ)
Функциональные уровни домена:
Windows 2000 mixed(смешанный)
уровень по умолчанию || Windows NT Windows 2000 Windows 2003 | |
| Windows 2000 native(основной) | Windows 2000
Windows 2003 |
| Windows Server 2003 interim(переходный) | Windows NT
Windows 2003 |
| Windows Server 2003 | Windows 2003 |
Функциональные уровни леса: Windows 2000 уровень
по умолчанию Windows NT Windows 2000 Windows Server 2003 Windows Server 2003 interim(переходный) Windows NT Windows Server 2003 Windows Server 2003 Windows Server 2003
Группа (Group) - объект AD, который может хранить в себе другие объекты AD, такие как:
Учётные записи пользователей
Контакты
Компьютеры
Другие группы
Типы групп: Группы безопасности. Предоставлять доступ к сетевым ресурсам можно только группам безопасности. Именно для предоставления доступа к сетевым ресурсам и используются группы безопасности. Группа распространения. Группы распространения не могут использоваться для предоставления доступа к сетевым ресурсам тем объектам, которые находятся внутри этих групп. Группы распространения используются просто как списки пользователей. Данные списки могут использовать какие-либо программы которые могут работать в AD.
Область действия группы - показывает в какой части сети можно назначить разрешения данной группе, а так же кто может входить в данную группу. В зависимости от области действия, группы бывают следующих типов:
Локальная группа домена - В данную группу можно вносить объекты из любых доменов. Может использоваться для назначения доступа только к тем ресурсам, которые расположены в том же домене, где и была создана группа.
Глобальная группа - В данную группу можно вносить объекты только того домена , в котором и была создана группа. Может получать разрешения на доступ к ресурсам в любом домене.
Универсальная группа - В данную группу можно вносить объекты из любых доменов. Может получать разрешения на доступ к ресурсам в любом домене.
Способы создания учётной записи компьютера.
1. Скриптами.
2. Автоматически. Если подключить компьютер к домену, предварительно не создав в базе AD для него учётную запись, то она создастся автоматически в контейнере computers. Права на создание учётной записи компьютера имеют пользователи, входящие в группы: Администраторы предприятия(Enterprise Admins) или Администраторы домена(Domain Admins) или Операторы учёта(Accounts Operators) + каждый пользователь домена может подключить к домену 10 компьютеров* и следовательно создать 10 учётных записей компьютеров. *Пользователь должен обладать правами локльного Администратора на подключаемом компьютере.
3. Вручную, используя оснастку «Active Directory - Пользователи и Компьютеры»(Active Directory - Users and Computers). Используя этот способ, можно предоставить любому пользователю право на подключение компьютера к домену. GPO - Group Policy Object
GPO - Сгруппированный в единое целое набор определённых настроек (конфигураций) групповой политики.
Типы GPO
Локальный GPO. На всех компьютерах (на всех на то, входит ли данный компьютер в домен или нет) с Windows 2000, Windows Server 2003 и Windows XP существует локальная GroupPolicy. Локальный GPO хранится в c:\windows\system32\GroupPolicy. Локальный GPO воздействует только на тот компьютер на котором он хранится. Правом на редактирование локальной политики обладает администратор на данном компьютере.
Доменный GPO. Доменные групповые политики создются в AD. GPO хранятся в c:\windows\sysvol\DomainName\Policies\GROUPID\ , где DomainName - имя домена AD, а GROUPID - глобально уникальный идентификатор GPO. Узнать соответствие между «непонятным» GPO GUID и именем GPO можно посмотреть в свойствах контейнера CN=GROUPID, CN=Policies, CN=Systems, DC=Test, DC=ru, используя ADSEDIT.MSC из пакета Support Tools, и там посмотреть значение атрибута displayName. Объекты GPO могут быть связаны с: САЙТОМ, ДОМЕНОМ, OU. Количество компьютеров, на который распространяется определённая политика зависит от того, к чему прилинкована групповая политика. Если политика прилинкована к сайту, то её обрабатываеют все компьютеры, которые принадлежат данному сайту, если политика прилинкована к некой OU, то её получат только те компьютеры, которые находятся в этой OU. Политики отрабатываются в следующем порядке: Локальная→Сайт→Домен→OU
В Групповой политике Конфигурация компьютера, приоритетней Конфигурации пользователя.
Зарезервированные места в реестре для политик из Административных шаблонов
В подавляющем большинстве случаев, информация, задаваемая групповыми политиками, хранится в ветках:
HKEY_LOCAL_MACHINE\Software\Policies* HKEY_CURRENT_USER\Software\Policies**
Иногда информация, задаваемая групповыми политиками сохраняется в:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies* HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies**
* для политик, которые определены в части «Конфигурация компьютера» ** для политик, которые определены в части «Конфигурация пользователя»
GPO = GPT + GPC GPT - Group Policy Template (Шаблон Групповой Политики). «Представительство» GPO в файловой системе. GPC - Group Policy Container (Контейнер Групповой Политики). «Представительство» GPO в Active Directory.
История о применённых ранее GPO хранится в реестре GPO нацеленных на компьютер:
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\GroupPolicy\History
GPO нацеленных на пользователя:
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\GroupPolicy\History
Порядок применения GPO
Локальный > Сайт > Домен > Подразделение 1-го уровня > Подразделение n-го уровня Аббревиатура для запоминания - LSDOU
Local group policy > Site-level group policy > Domain-level group policy > OU-level group policy
Время применения групповых политик
Групповые политики отрабатывают в следующих случаях: 1. При загрузке компьютера(отрабатывают GPO нацеленные на компьютер). 2. При входе пользователя в систему(отрабатывают GPO нацеленные на пользователя). 3. При работе компьютера и пользователя за ним, групповые политики обновляются каждые 90минут + случайно от 0 до 30минут. Такое обновление называется фоновым и предназначено для передачи клиенту самых «свежих» политик(если они изменились). 4. На контроллере домена расписание фонового обновления политик - каждые 5 минут. 5. Применение политик можно вызвать принудительно, используя консольную утилиту GPUPDATE.
Расписание фонового обновления можно самостоятельно изменять, используя сами же групповые политики: Для пользователя - Некий GPO > Конфигурация Пользователя > Административные Шаблоны > Система > Групповая Политика > Интервал обновления групповой политики для пользователей Для компьютера - Некий GPO > Конфигурация Компьютера > Административные Шаблоны > Система > Групповая Политика > Интервал обновления групповой политики для компьютеров Для контроллера домена - Некий GPO > Конфигурация Компьютера > Административные Шаблоны > Система > Групповая Политика > Интервал обновления групповой политики для контроллера домена Отключение фонового обновления - Некий GPO > Конфигурация Компьютера > Административные Шаблоны > Система > Групповая Политика > Отключить фоновое обновление групповой политики
Блокировка наследования(Block Inheritance)
Блокировка наследования позволяет влиять на стандартное распространение групповых политик. Будучи установленной на каком-либо контейнере, блокировка наследования НЕ пропустит ни в сам этот контейнер, ни в контейнеры, которые существуют ниже ни одну политику из GPO, прилинкованных выше.
Блокировку наследования можно устанавливать на такие контейнеры как: 1 - Домен 2 - Любое подразделение(OU), существующее в домене * установить блокировку наследования на сайт невозможно.
У всех контейнеров, у которых можно включить блокировку наследования, существует атрибут gPOptions, значения которого могут иметь вид: Значение Блокировка Наследования 0 или <Not Set> Выключена 1 Включена
Опция Enforced(Запрет на переопределение)
На любой из «линков» можно поставить запрет на переопределение(опция enforced). Если у некоего GPO существует «линк» с включенной функцией Enforced, то значения его политик НЕ сможет перезаписать ни один другой GPO.
Опция Enforced позволяет политикам «проникать» даже в те контейнеры, в которых установлена Блокировка Наследования.
Если существуют несколько GPO с Enforced-линками, нацеленных на один параметр, то выигрывает тот GPO, который согласно LSDOU, отработает первым.
Информация о включенном.выключенном состоянии опции Enforced хранится в gPlink-флаге: Значение LINK ENABLED? LINK FORCED 0 YES NO 1 NO NO 2 YES YES 3* NO YES
* когда линк отключен, enforced-установка YES игнорируется.
Фильтрация групповых политик при помощи групп Active Directory
Для того чтобы некий объект(пользователь или компьютер) смог применить назначенные ему политики, ему необходимо по отношению к этим политикам иметь следующие права: Чтение политик - РАЗРЕШЕНО Применение политик - РАЗРЕШЕНО
