Bài giảng 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment - Chương 4: Hiện thực và quản lý các tài khoản Group và Computer - Trần Bá Nhiệm

70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment Chương 4: Hiện thực và quản lý các tài khoản Group và Computer 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 2 Mục tiêu • Hiểu mục đích của việc dùng các tài khoản group là để đơn giản hóa việc quản trị • Tạo các đối tượng group dùng công cụ giao diện đồ họa cũng như dòng lệnh • Quản lý các group security và các group distribution • Ý nghĩa các group xây dựng sẵn được tạo ra khi cài đặt AD • Quản lý và tạo các tài khoản computer 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 3 Giới thiệu các tài khoản Group • Một group là 1 đối tượng container • Dùng để tổ chức tập hợp các user, computer, contacts, và các group khác • Dùng để đơn giản hóa việc quản trị • Giống như OU, ngoại trừ: • Các OU không có nguyên lý bảo mật, các group có • Các OU chỉ chứa các đối tượng từ domain cha của chúng, các group có thể chứa cả các đối tượng từ trong forest 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 4 Các kiểu Group • Các group security • Định nghĩa bởi Security Identifier (SID) • Có thể gán quyền cho các tài nguyên • Trong các DACL • Có thể gán các quyền để thực hiện những nhiệm vụ khác nhau • Có thể cũng dùng như các thực thể email • Các group distribution • Chủ yếu dùng như các thực thể email • Không có SID liên kết 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 5 Các phạm vi Group • Phạm vi ý nói tới ranh giới lôgíc của những quyền đ/v những tài nguyên đặc biệt • Cả các group security và group distribution đều có phạm vi • 3 phạm vi • Các đối tượng có thể trong mỗi phạm vi phụ thuộc trên mức chức năng đã cấu hình của 1 domain • Các kiểu phạm vi là: global, domain local và universal 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 6 Các phạm vi Group (tt) • 3 mức chức năng domain: • Windows 2000 mixed: cấu hình mặc định hỗ trợ kết hợp cả các DC của Windows NT Server 4.0, 2000 Server và Server 2003 • Windows 2000 native: hỗ trợ kết hợp cả các DC của Windows 2000 Server và Server 2003 • Windows Server 2003: chỉ hỗ trợ DC Windows Server 2003 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 7 Các Global Group • Tổ chức các group của các user, computer, group trong cùng domain • Thường thể hiện vị trí địa lý của group chức năng công tác • Các kiểu của các đối tượng trong group liên quan tới mức chức năng đã cấu hình của domain • Phụ thuộc vào các kiểu của các DC trong môi trường 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 8 Các Domain Local Group • Được tạo trên các DC • Có thể gán quyền cho bất kỳ tài nguyên nào trong cùng domain • Có thể chứa các group từ domain khác • Xác định các đối tượng cho phép trong group liên hệ đến mức chức năng đã cấu hình của domain 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 9 Các Universal Group • Điển hình được tạo ra cho các user hay những group trong những domain khác nhau • Lưu trên các DC được cấu hình như các global catalog server • Có thể gán quyền cho bất kỳ tài nguyên nào trong forest • Chỉ có thể được tạo trong mức chức năng domain Windows 2000 native / Windows Server 2003 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 10 Các Universal Group (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 11 Tạo các đối tượng Group • Các đối tượng Group lưu giữ trong cơ sở dữ liệu AD • Nhiều loại công cụ khác nhau có thể dùng để tạo và quản lý: • Active Directory Users and Computers • ứng dụng dòng lệnh • DSADD, DSMOD, DSQUERY, 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 12 Active Directory Users and Computers • Công cụ chính: • Tạo các tài khoản group • Có thể dùng để cấu hình các thuộc tính của các tài khoản group • Các group có thể được tạo trong bất kỳ container có sẵn, tại gốc của đối tượng domain hoặc trong các đối tượng OU tùy ý • Các phạm vi group được xác định bởi mức chức năng của domain được cấu hình như thế nào 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 13 Active Directory Users and Computers (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 14 Thực tập 4-1: Tạo và thêm các thành viên vào Global Group • Mục tiêu: Dùng Active Directory Users and Computers để tạo các global group • Start  Administrative Tools  Active Directory Users and Computers  Users container  New  Group • Theo các chỉ dẫn để tạo một số global groups và thêm các tài khoản user vào các group 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 15 Thực tập 4-1 (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 16 Thực tập 4-2: Tạo và thêm các thành viên vào Domain Local Groups • Mục tiêu: Dùng Active Directory Users and Computers để tạo các domain local group • Active Directory  Users  New  Group • Theo các chỉ dẫn để tạo Domain Local group và thêm các global groups vào đó 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 17 Thực tập 4-3: Thay đổi mức chức năng của 1 Domain. Tạo và thêm các thành viên vào Universal Group • Mục tiêu: Thay đổi mức chức năng của 1 Domain Windows Server 2003 và dùng Active Directory Users and Computers để tạo các universal group • Mở đối tượng domain trong Active Directory Users and Computers 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 18 Thực tập 4-3 (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 19 Thực tập 4-3 (tt) • Theo các chỉ dẫn để nâng mức chức năng của domain • Tiếp tục bài tập tạo 1 universal group mới • Tiếp tục bài tập thêm các group đã có vào group mới này 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 20 Thực tập 4-3 (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 21 Chuyển đổi các kiểu Group • Có thể cần thay đổi một group security thành group distribution hoặc ngược lại • Kiểu của group chỉ có thể thay đổi nếu mức chức năng domain là Windows 2000 native hoặc cao hơn 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 22 Thực tập 4-4: Chuyển đổi các kiểu Group • Mục tiêu: Dùng Active Directory Users and Computers để thay đổi kiểu group • Theo các chỉ dẫn để tạo 1 global group mới với kiểu distribution • Kiểm tra kiểu của group mới • Tiếp tục bài tập với việc thay đổi kiểu thành security và kiểm tra sự thay đổi đó 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 23 Thực tập 4-4 (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 24 Thực tập 4-4 (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 25 Chuyển đổi các phạm vi Group • Phạm vi Group có thể thay đổi được • Mức chức năng domain phải ít nhất là Windows 2000 native • Các thay đổi đã được hỗ trợ: • Global  universal • Domain local  universal • Universal  global • Universal  domain local 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 26 Thực tập 4-5: Chuyển đổi các phạm vi Group • Mục tiêu: Dùng Active Directory Users and Computers để thay đổi phạm vi group • Theo các chỉ dẫn để tạo 1 global group mới • Thêm vào 1 group thành viên • Ghi nhớ các hạn chế và cảnh báo theo từ cấu trúc phạm vi nhóm như đã mô tả trong bài tập • Thay đổi phạm vi của nhóm thành universal 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 27 Các ứng dụng dòng lệnh • Một cách thay thế Active Directory Users and Computers • Một số administrator thích dùng dòng lệnh • Ứng dụng dòng lệnh linh hoạt hơn trong việc quản lý group trong 1 số tình huống 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 28 DSADD • Được giới thiệu trong Windows Server 2003 • Dùng để tạo các tài khoản user và group mới • Cú pháp: • dsadd group distinguished-name switches • Switches gồm: -secgrp, -scope, -memberof, -members • Xem thêm Help and Support Center 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 29 DSADD (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 30 Thực tập 4-6: Tạo các Group dùng DSADD • Theo các chỉ dẫn để thực thi lệnh • Kiểm tra nhóm đã tạo với Active Directory Users and Computers • Tạo 1 domain local group với các thành viên dùng lệnh này và kiểm tra group đã tạo đúng 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 31 DSMOD • Được giới thiệu trong Windows Server 2003 • Cho phép một số kiểu đối tượng khác nhau được sửa đổi từ dòng lệnh • Cú pháp: • dsmod group distinguished-name switches • Switches gồm: -desc, -rmmbr, -addmbr • Xem thêm Help and Support Center 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 32 DSMOD (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 33 Thực tập 4-7: Sửa đổi group dùng DSMOD • Theo các chỉ dẫn để thực thi lệnh thêm 1 mô tả vào group đã có • Kiểm tra lại với Active Directory Users and Computers • Sửa đổi group bằng cách thêm vào và gỡ bỏ các thành viên và kiểm tra thay đổi 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 34 DSQUERY • Được giới thiệu trong Windows Server 2003 • Dùng để truy vấn các kiểu đối tượng khác nhau bằng dòng lệnh, trả về các giá trị • Cú pháp cho group: • dsquery group query • Hỗ trợ ký tự đại diện (*) • Xuất có thể điều hướng thành nhập cho các công cụ dòng lệnh khác • Xem thêm Help and Support Center 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 35 DSMOVE • Dùng để gỡ bỏ hoặc đổi tên các kiểu đối tượng khác nhau từ dòng lệnh • Cú pháp cho group • dsmove group distinguished-name switches • Switches gồm: -newparent, -newname • Chỉ có thể dùng cho các group trong 1 domain đơn • Xem thêm Help and Support Center 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 36 DSRM • Dùng để xóa các kiểu đối tượng khác nhau từ dòng lệnh • Cú pháp cho group • dsrm group distinguished-name switches • Switches gồm: -noprompt • Xem thêm Help and Support Center 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 37 Quản lý các Security Group • Chiến lược quản lý có thể tóm tắt bằng các từ A G U DL P: 1. Tạo các user Account (A) và tổ chức chúng bên trong các Global group (G) 2. Tùy chọn: Tạo Universal groups (U) và đặt các global groups từ bất kỳ domain nào trong các universal group 3. Tạo các Domain Local group (DL) và thêm các group global và universal 4. Gán quyền Permissions (P) cho các domain local group 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 38 Xác định thành viên Group • Tác vụ quan trọng với các administrator để chắc chắn rằng các user là thành viên đúng group • 1 cách là thông qua Member Of tab trong trang đặc tính của 1 tài khoản user • Chỉ hiển thị mức đầu tiên của các group • Cách thứ 2 là dùng DSGET 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 39 Xác định thành viên Group (tt) • Cú pháp: • dsget group distinguished-name switches • Switches gồm: -members, -memberof • Cũng có thể dùng như dsget user để lấy thông tin thành viên • Xuất liệu có thể lưu vào file: • dsget group distinguished-name switches >> filename 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 40 Các Group có sẵn • Khi Windows Server 2003 Active Directory được cài đặt • Các group có sẵn được cài tự động • Các quyền được gán trước • Lưu trong Builtin container và Users container • Nên dùng các group có sẵn khi nào có thể • Dễ dàng hiện thực các quyền bảo mật 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 41 Builtin Container • Chứa một số lượng các tài khoản local group • Cấp phát các quyền user khác nhau dựa trên chính sách quản trị chung hoặc các tác vụ liên quan mạng 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 42 Builtin Container (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 43 Users Container • Chứa một số lượng các tài khoản domain local và global group • Một số group chỉ thấy trong root domain của một Active Directory forest chứ không phải trong các domain riêng lẻ 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 44 Users Container (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 45 Tạo và quản lý các tài khoản Computer • Các tài khoản Computer cần thiết trong Windows NT 4.0, 2000, XP, Server 2003 • Có thể tạo trong quá trình cài đặt hay sau đó • Các công cụ tạo và quản lý: • Active Directory Users and Computers • System applet trong Control Panel • Các ứng dụng dòng lệnh 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 46 Thực tập 4-8: Tạo và quản lý các tài khoản Computer • Mục tiêu: Dùng Active Directory Users and Computers để tạo và quản lý các tài khoản Computer • Theo các chỉ dẫn để tạo 1 tài khoản computer mới từ Active Directory Users and Computers • Cấu hình và xem lại các tài khoản 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 47 Thực tập 4-8 (tt) 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 48 Thiết lập lại các tài khoản Computer • Bảo mật channel • Dùng bởi các computer nào là domain thành viên để truyền thông với các DC • Dùng các mật khẩu được thay đổi mỗi 30 ngày • Tự động đồng bộ giữa các DC và workstation • Những vấn đề đồng bộ hóa thỉnh thoảng xuất hiện • Administrator phải reset lại tài khoản computer • Dùng Active Directory Users and Computers hoặc Netdom.exe từ Windows Support Tools 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 49 Tổng kết • Các tài khoản group giảm khối lượng công việc quản trị bằng cách cho phép gán quyền chung cho nhiều user đồng thời • 2 kiểu group: • Security group • Distribution group • 3 kiểu phạm vi cho các group • Global group • Domain local group • Universal group 70-290: MCSE Guide to Managing a Microsoft Windows Server 2003 Environment 50 Tổng kết (tt) • Các tài khoản group và computer có thể được tạo và quản lý • Từ Active Directory Users and Computers • Từ ứng dụng dòng lệnh • Các group Builtin và User và các container được tạo tự động khi cài đặt với một số quyền thiết lập trước • Windows NT 4.0, 2000, XP và Server 2003 y/c các tài khoản computer trong Active Directory