Giới thiệu và các thao tác quản trị với Active Directory trong windows server 2008

Giới thiệu và các thao tác quản trị với Active Directory trong windows server 2008

VIỆN ĐẠI HỌC MỞ HÀ NỘI KHOA CÔNG NGHỆ TIN HỌC BÀI TẬP LỚN Môn: Quản trị mạng Đề tài (06): Giới thiệu thao tác quản trị với Active Directory Windows Server 2008 Sinh viên thực hiện: Qng Văn Liêm Giáo viên hướng dẫn: Đinh Tuấn Long Hà Nội - 2010 Active Directory – Windows Server 2008 MỤC LỤC I Giới thiệu Active Directory (DC) 1.1 Active Directory ? 1.2 Tại cần thực thi Active Directory? .3 1.3 Những đơn vị Active Directory 1.3.1 Directory .4 1.3.2 Domain 1.3.3 Domain Controller 1.3.4 Forest 1.3.5 Organizational unit .5 1.3.6 Object (đối tượng) .5 1.3.7 Schema 1.3.8 Site .6 1.3.9 Tree (cây) 1.3.10 Trust 1.3.11 Infrastructure Master Global Catalog 1.3.12 LDAP 1.3.13 Sự quản lý Group Policiy 1.4 Những điểm Active Directory Domain Services Windows Server 2008 1.4.1 Auditing .9 1.4.2 Password Policies .9 1.4.3 Read-Only Domain Controller 1.4.4 Restartable AD DS 1.4.5 Active Directory Certificate Services (AD CS) 1.4.6 Active Directory Federation Services (AD FS) 10 1.4.7 Active Directory Rights Management Services (ADRMS) 10 1.4.8 Active Directory Lightweght Directory Services (AD LDS) .10 1.4.9 Restartable Active Directory Domain Services 10 1.4.10 Fine-Grained Password Policies 11 II Các thao tác quản trị với Active Directory 11 1.5 Xây dựng cấu trúc Active Directory Domain Services .11 1.5.1 Các bước chuốn bị cài đặt 11 1.5.2 Cài đặt dịch vụ Active Directory Domain Services 16 1.5.3 Cài đặt domain (Domain chính) 22 1.5.4 Thêm DC khác vào Domain .33 1.5.5 Thêm domain 35 1.5.6 Hạ DC xuống client 36 1.5.7 Quản lý User, Group Organizational Unit (OU) 37 1.6 Kết nối máy Client vào Domain .53 Trang Active Directory – Windows Server 2008 Giới thiệu Active Directory (DC) 1.1 Active Directory ? Active Directory dịch vụ thư mục (directory service) đăng ký quyền Microsoft, phần khơng thể thiếu kiến trúc Windows Giống dịch vụ thư mục khác, chẳng hạn Novell Directory Services (NDS), Active Directory hệ thống chuẩn tập trung, dùng để tự động hóa việc quản lý mạng liệu người dùng, bảo mật nguồn tài nguyên phân phối, cho phép tương tác với thư mục khác Thêm vào đó, Active Directory thiết kế đặc biệt cho môi trường kết nối mạng phân bổ theo kiểu Nói cách khác Active Directory sở liệu với chức như:  Lưu trữ thông tin tài khoản người dùng tài nguyên mạng máy tính  Xác định tính hợp lệ người truy cập tài ngun mạng  Lưu trữ thơng tin mạng máy tính đối tượng cấu trúc phân cấp Ngồi cịn cung cấp:  Sự quản lý tập trung  Các khả tìm kiếm nâng cao  Ủy quyền đại diện Với người dùng quản trị viên, Active Directory cung cấp khung nhìn mang tính cấu trúc để từ dễ dàng truy cập quản lý tất tài nguyên mạng 1.2 Tại cần thực thi Active Directory? Có số lý để lý giải cho câu hỏi Microsoft Active Directory xem bước tiến triển đáng kể so với Windows NT Server 4.0 domain hay chí mạng máy chủ standalone Active Directory có chế quản trị tập trung tồn mạng Nó cung cấp khả dự phòng tự động chuyển đổi dự phòng hai nhiều domain controller triển khai domain Trang Active Directory – Windows Server 2008 Active Directory tự động quản lý truyền thông domain controller để bảo đảm mạng trì Người dùng truy cập vào tất tài nguyên mạng thông qua chế đăng nhập lần Tất tài nguyên mạng bảo vệ chế bảo mật mạnh, chế bảo mật kiểm tra nhận dạng người dùng quyền hạn truy cập tài nguyên Active Directory cho phép tăng cấp, hạ cấp domain controller máy chủ thành viên cách dễ dàng Các hệ thống quản lý bảo vệ thơng qua sách nhóm Group Policies Đây mơ hình tổ chức có thứ bậc linh hoạt, cho phép quản lý dễ dàng ủy nhiệm trách nhiệm quản trị Quan trọng Active Directory có khả quản lý hàng triệu đối tượng bên miền 1.3 Những đơn vị Active Directory 1.3.1 Directory Là kho lưu trữ để biết thông tin người dùng tài nguyên tổ chức Active Directory loại thư mục chứa thuộc tính thơng tin liên lạc cho loạt nguồn tài nguyên mạng để người dùng quản trị viên tìm thấy chúng dễ dàng 1.3.2 Domain Là đơn vị chức nòng cốt cấu trúc logic Avtive Directory Nó phương tiện để quy định tập hợp người dùng, máy tính, tài ngun, chia sẻ có quy tắc bảo mật giống từ giúp cho việc quản lý truy cập vào server dễ dàng Domain đáp ứng chức sau: - Đóng vai trò khu vực quản trị (administrative boundary) đối tượng, tập hợp định nghĩa quản trị cho đối tượng chia sẻ như: có chung sở liệu thư mục, sách bảo mật, quan hệ ủy quyền, sách bảo mật, quan hệ ủy quyền với domain khác - Giúp quản lý bảo mật tài nguyên chia sẻ Trang Active Directory – Windows Server 2008 - Cung cấp server dự phòng làm chức điều khiển vùng (domain Controller), đồng thời đảm bảo thông tin server đồng với 1.3.3 Domain Controller Một domain controller giữ thông tin bảo mật sở liệu đối tượng directory cho domain cụ thể có trách nhiệm xác thực đối tượng phạm vi kiểm sốt họ Nhiều domain controller liên kết với domain định, domain controller giữ vai trò quết định domain, tất domain controller miền bình đằng quyền lực Điều cho thấy tiến so với nhãn dự phịng phân cơng cho domain controller Windows NT 1.3.4 Forest Forest phận chứa đựng logic lớn Active Directory Domain Services bao gồm tất domain phạm vi hoạt động nó, tất liên kết với thông qua ủy thác bắc cầu xây dựng tự động Bằng cách này, tất domain forest tự động ủy thác domain khác forest Các Forest không bị hạn chế theo địa lý topo mạng Một forest gồm nhiều miền, miền lại chia sẻ lược đồ chung Các thành viên miền forest chí khơng cần có kết nối LAN WAN chúng Mỗi mạng riêng gia đình nhiều forest độc lập Nói chung, forest nên sử dụng cho thực thể Mặc dù vậy, cần đến forest bổ sung cho việc thực test nghiên cứu mục đích bên forest tham gia sản xuất 1.3.5 Organizational unit Nhóm mục domain Chúng tạo nên kiến trúc phân cấp cho domain tạo cấu trúc tổ chức Active Directory theo điều kiện tổ chức địa lý 1.3.6 Object (đối tượng) Trong Active Directory Domain Services, object phần direcrory, user, group, thư mục chia sẻ, máy in, liên hệ, chí organizational units Object thực thể directory bạn mà quản lý trực tiếp Trang Active Directory – Windows Server 2008 1.3.7 Schema Các schema Active Directory Domain Services cấu trúc thực tế sở liệu – trường Các loại thông tin khác lưu Active Directory Domain Services gọi thuộc tính Schema Active Directory Domain Services hỗ trợ chuẩn theo lớp, kiểu object Lớp mô tả object tài sản liên quan yêu cầu để tạo phiên đối tượng Ví dụ đối tượng user minh họa lớp user 1.3.8 Site Là tập hợp máy tính vị trí địa lý khác nhau, kết nối tối thiểu qua liên kết Site thường dùng để xác định cách điều khiển domain cập nhật liên tục Active Directory Domain Services lựa chọn phương pháp để phân phối cập nhật (một trình gọi tái tạo lại) dựa vào cách bạn cấu hình site để giữ cho lưu thông qua liên kết WAN đỡ tốn 1.3.9 Tree (cây) Cây tập hợp domain mà gốc rẽ nhánh ngoại vi, domain Cây liên kết với forest Và chia sẻ DNS tên miền không gian liên tục 1.3.10 Trust Trust Active Directory Domain Services phương pháp giao tiếp an toàn domain, tree, forest Cũng giống chúng làm việc Windows NT, trust cho phép người dùng Active Directory Domain Services domain phải xác thực để điều khiển miền khác vùng khác, domain khác directory Trust theo chiều (từ A đến B, từ B đến A), bắc cầu ( A trust B B trust C, A trust C), liên kết ngang (A đến C B đến D) 1.3.11 Infrastructure Master Global Catalog Một thành phần khác bên Active Directory Infrastructure Master Infrastructure Master (IM) domain-wide FSMO (Flexible Single Master of Operations) có vai trị đáp trả q trình tự động để sửa lỗi (phantom) bên sở liệu Active Directory Trang Active Directory – Windows Server 2008 Phantom tạo DC, yêu cầu tham chiếu chéo sở liệu đối tượng bên sở liệu riêng đối tượng từ miền bên forest Ví dụ bắt gặp bạn bổ sung thêm người dùng từ miền vào nhóm bên miền khác có forest Phantom bị hiệu lực chúng không chứa liệu cập nhật, điều xuất thay đổi thực cho đối tượng bên mà Phantom thể hiện, ví dụ đối tượng mục tiêu đặt lại tên, chuyển miền, hay vị xóa Infrastructure Master có khả định vị khắc phục số phantom Bất thay đổi xảy trình sửa lỗi tạo đến tất DC lại bên miền Infrastructure Master bị lẫn lộn với Global Catalog (GC), thành phần trì copy cho phép đọc domain nằm forest, sử dụng cho lưu trữ nhóm phổ dụng q trình đăng nhập,… Do GC lưu copy khơng hồn chỉnh tất đối tượng bên forest nên chúng tạo tham chiếu chéo miền khơng có nhu cầu phantom 1.3.12 LDAP LDAP (Lightweight Directory Access Protocol) phần Active Directory, giao thức phần mềm cho phép định vị tổ chức, cá nhân tài nguyên khác file thiết bị mạng, dù mạng bạn mạng Internet công cộng hay mạng nội công ty Trong mạng, thư mục cho bạn biết nơi cất trữ liệu Trong mạng TCP/IP (gồm có Internet), domain name system (DNS) hệ thống thư mục sử dụng gắn liền tên miền với địa mạng cụ thể (vị trí mạng) Mặc dù vậy, bạn khơng biết tên miền LDAP cho phép bạn tìm kiếm cụ thể mà không cần biết chúng định vị đâu Thư mục LDAP tổ chức theo kiến trúc đơn giản gồm có mức đây:  Thư mục gốc có nhánh  Country, Country lại có nhánh Trang Active Directory – Windows Server 2008  Organizations, Organization lại có nhánh  Organizational units (các đơn vị, phịng ban,…), OU có nhánh  Individuals (cá thể, gồm có người, file tài nguyên chia sẻ, chẳng hạn printer) Một thư mục LDAP phân phối nhiều máy chủ Mỗi máy chủ có phiên thư mục tổng thể đồng theo chu kỳ Các quản trị viên cần phải hiểu LDAP tìm kiếm thơng tin Active Directory, cần tạo truy vấn LDAP hữu dụng tìm kiếm thông tin lưu sở liệu Active Directory 1.3.13 Sự quản lý Group Policiy Khi nói đến Active Directory chắn phải đề cập đến Group Policy Các quản trị viên sử dụng Group Policy Active Directory để định nghĩa thiết lập người dùng máy tính tồn mạng Thiết lập cấu hình lưu Group Policy Objects (GPOs), thành phần sau kết hợp với đối tượng Active Directory, gồm có domain site Đây chế chủ yếu cho việc áp dụng thay đổi cho máy tính người dùng mơi trường Windows Thơng qua quản lý Group Policy, quản trị viên cấu hình tồn cục thiết lập desktop máy tính người dùng, hạn chế cho phép truy cập file thư mục bên mạng Thêm vào cầm phải hiểu GPO sử dụng Group Policy Object áp dụng theo thứ tự sau: Các sách máy nội sử dụng trước, sau sách site, sách miền, sách sử dụng cho OU riêng Ở thời điểm đó, đối tượng người dùng máy tính thuộc site miền, chúng nhận GPO liên kết với site miền Các GPO phân chia thành hai phần riêng biệt: Group Policy Template (GPT) Group Policy Container (GPC) Group Policy Template có trách nhiệm lưu thiết lập tạo bên GPO Nó lưu thiết lập cấu trúc thư mục file lớn Để áp Trang Active Directory – Windows Server 2008 dụng thiết lập thành công tất đối tượng người dùng máy tính, GPT phải tạo cho tất DC bên miền Group Policy Container phần GPO lưu Active Directory DC miền GPC có trách nhiệm giữ tham chiếu cho Client Side Extensions (CSEs), đường dẫn đến GPT, đường dẫn đến gói cài đặt khía cạnh tham chiếu khác GPO GPC khơng chứa nhiều thơng tin có liên quan đến GPO tương ứng với nó, nhiên thành phần cần thiết Group Policy Khi sách cài đặt phần mềm cấu hình, GPC giúp giữ liên kết bên GPO Bên cạnh giữ liên kết quan hệ khác đường dẫn lưu thuộc tính đối tượng Biết cấu trúc GPC cách truy cập thông tin ẩn lưu thuộc tính cần thiết bạn cần kiểm tra vấn đề có liên quan đến GP 1.4 Những điểm Active Directory Domain Services Windows Server 2008 1.4.1 Auditing lưu trữ kiện liên quan đến đối tượng Active Directory.Từ biết đối tượng thay đổi gì.Và giá trị tai giá trị trước thay đổi hệ thống ghi nhận lại 1.4.2 Password Policies cấu hình cho đối tượng riêng biệt domain Vì bạn khơng phải sử dụng chung sách mật cho tất người dùng domain 1.4.3 Read-Only Domain Controller Domain Controller với sở liệu Active Directory dạng read-only.Dịch vụ giúp bạn tạm bảo mật nơi mà bảo mật chưa đảm bảo cao độ, chẳng hạn văn phòng Read-Only Domain Controller không cho phép domain controller cấp thấp thực thay đổi lên Active Directory Trang Active Directory – Windows Server 2008 1.4.4 Restartable AD DS đặc điểm giúp bạn khởi động lại AD DS giữ nguyên trạng thái hoạt động Domain Controller,giúp bạn hồn thành thao tác offline mơt cách nhanh chóng 1.4.5 Active Directory Certificate Services (AD CS) dịch vụ dùng để sinh quản lý certificate hệ thống sử dụng cơng nghệ public key Bạn sử dụng ADCS để tạo máy chủ chúng thực CA ( Certification Authorities) Các CA có tác dụng nhận yêu cầu chứng thực, sau xử lý gửi chứng thực lại cho đối tượng gửi yêu cầu 1.4.6 Active Directory Federation Services (AD FS) dịch vụ cung cấp chế đăng nhập - single sign-on(SSO), cho phép bạn đăng nhập lần dùng nhiều ứng dụng Web có quan hệ với 1.4.7 Active Directory Rights Management Services (ADRMS) dịch vụ dùng để kết hợp với ứng dụng hỗ trợ AD RMS (AD RMS – enable application), nhằm bảo vệ liệu quan trọng ( báo cáo tài chính,thơng tin khách hàng,đơn hàng,sổ sách kê khai kế toán v v.) trước đối tượng người dùng khơng phép (unauthorized users).Với AD RMS, bạn xác định thực thao tác xem, chỉnh sửa, in ấn….trên liệu 1.4.8 Active Directory Lightweght Directory Services (AD LDS) dịch vụ thư mục LDAP (Lightweght Directory Access Protocol) Windows Server 2008.AD LDS cung cấp chế nhằm hỗ trợ ứng dụng directory-enabled ( sử dụng thư mục để lưu trữ liệu) Dịch vụ có chức tương tự AD DS, khơng đòi hỏi phải triển khai domain Domain Controller (Một ứng dụng directory – enabled ứng dụng không dùng sở liệu,file cấu trúc lưu trữ khác,mà thay vào thư mục để lưu trữ liệu mình.Các ứng dụng dạng hệ thống quản lý quan hệ khách hàng,hệ thống quản lý nhân lực….) Trang 10 ... 10 Active Directory – Windows Server 2008 Các thao tác quản trị với Active Directory 2.1 Xây dựng cấu trúc Active Directory Domain Services 2.1.1 Các bước chuốn bị cài đặt Khi cài đặt Active Directory. .. 16 Active Directory – Windows Server 2008 Tích vào Active Directory Domain Services nhấn Next để tiếp tục bước tiếp Trang 17 Active Directory – Windows Server 2008 Nhấn Next.Tại bảng Active Directory. .. vụ Active Directory Domain Services Ở Windows Server 2003, để cài đặt thêm dịch vụ DHCP,DNS …vào Add/Remove Windows Components Ở Windows Server 2008 thay công cụ quản trị Server Manager với