Active Directory và Controller

Tìm hiểu về Active Directory và Controller MỤC LỤC 1 Tổng quan về activer directory 5 1.1 Chức năng của Active Directory 5 1.2 cấu trúc của activer directory 5 1.2.1 cấu trúc luận lý 5 1.2.1.1 Objects. 5 1.2.1.2 Organizational Units 6 1.2.1.3 Domain. 6 1.2.1.4 Domain Tree 7 1.2.1.5 Forest. 8 1.2.2 cấu trúc vật lý 9 1.2.2.1 siter 9 1.2.2.2 Domain controllers 9 1.2.3 Giao diện của Active Directory 10 1.2.4 Sử Dụng Active Directory 10 2 Cơ chế hoạt động của Active Directory 15 2.1 Directory service 15 2.2 Active directory schema 15 2.3 Global catalog (GC) 15 2.4 Global catalog server 16 2.5 Distinguished và relative distinguished name 16 2.6 Cơ chế single signon 17 3 Cơ chế quản lý Active Directory 17 4 Công cụ quản lý Active Directory 18 5 Active directory Domain Forest 19 5.1 Forest Domain function level 19 5.2 Tạo Relationships 19 6 Organization Unit ( OU ) 20 6.1 Tìm hiểu OU 20 6.2 Ủy quyền quản lý OU 21 7 Tài khoản Users, Group, Computer 22 7.1 Giới thiệu Tài khoản 22 7.2 Giới thiệu tài khoản người dùng 23 7.2.1 Tài khoản người dùng cục bộ 23 7.2.2 Tài khoản người dùng miền 23 7.2.3 Yêu cầu về tài khoản người dùng 23 7.3 Tài khoản nhóm 23 7.3.1 Nhóm bảo mật 24 7.3.2 Nhóm phân phối 24 7.3.3 Tài khoản người dùng tạo sẵn 25 7.3.4 Các nhóm tạo sẵn đặc biệt 27 7.4 Tạo quản lý account 27 8 Chính sách nhóm 30 8.1 Group Policy là gì? 30 8.2 Chức năng của Group Policy 30 8.3 quản ly GPO 31 9 Site and Replication 32 9.1 Giới thiệu về active directory replication 32 9.2 Tạo và cấu hình site 33 9.3 Quản lý site topology 34 10 Bố trí Domain contronller 35 10.2 Customize Global Catalog Server 36 10.3 Phân bổ domain contronller trong AD 36 11 Operation Master 36 11.1 Giới thiệu Operation Master Role 36 11.2 Chuyển giao chiếm đoạt Master Role 40 11.3 Di chuyển chống phân mảnh database của AD 42 1 Tổng quan về activer directory Active Directory là một cơ sở dữ liệu của các tài nguyên trên mạng (còn gọi là đối tượng) cũng như các thông tin liên quan đến các đối tượng đó. Active Directory cung cấp một mức độ ứng dụng mới cho môi trường xí nghiệp. Dịch vụ thư mục trong mỗi domain có thể lưu trữ hơn mười triệu đối tượng, đủ để phục vụ mười triệu người dùng trong mỗi domain. 1.1 Chức năng của Active Directory lưu giữ một danh sách tập trung các tên tài khoản người dùng, mật khẩu tương ứng và các tài khoản máy tính. Cung cấp một Server đóng vai trò chứng thực (authentication server) hoặc Server quản lý đăng nhập (logon Server), Server này còn gọi là domain controller (máy điều khiển vùng). Duy trì một bảng hướng dẫn hoặc một bảng chỉ mục (index) giúp các máy tính trong mạng có thể dò tìm nhanh một tài nguyên nào đó trên các máy tính khác trong vùng. Cho phép chúng ta tạo ra những tài khoản người dùng với những mức độ quyền (rights) khác nhau như: toàn quyền trên hệ thống mạng, chỉ có quyền backup dữ liệu hay shutdown Server từ xa… Cho phép chúng ta chia nhỏ miền của mình ra thành các miền con subdomain) hay các đơn vị tổ chức OU (Organizational Unit). Sau đó chúng ta có thể ủy quyền cho các quản trị viên bộ phận quản lý từng bộ phận nhỏ.

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC MỎ ĐỊA CHẤT HÀ NỘI KHOA CÔNG NGHỆ THÔNG TIN MẠNG MÁY TÍNH BÁO CÁO THỰC TẬP TIN HỌC CƠ SỞ MẠNG MÁY TÍNH Giảng Viên: Đào Anh Thư Nhóm: 04 Lớp: Mạng Máy Tính K56 Đề Tài: Tìm hiểu về Active Directory và Controlle Hà Nội – Ngày 04 Tháng 01 Năm 2014 10 Giảng Viên: Đào Anh Thư DANH SÁCH NHÓM STT Họ và tên 1 Trần Văn Thành 2 Phạm Văn Thực 3 Mạc Văn Mỹ 4 Nguyễn Quang Vũ 5 Nguyễn Chí Thanh 10 Giảng Viên: Đào Anh Thư Tìm hiểu về Active Directory và Controller MỤC LỤC 1 Tổng quan về activer directory Active Directory là một cơ sở dữ liệu của các tài nguyên trên mạng (còn gọi là đối tượng) cũng như các thông tin liên quan đến các đối tượng đó. Active Directory cung cấp một mức độ ứng dụng mới cho môi trường xí nghiệp. Dịch vụ thư mục trong mỗi domain có thể lưu trữ hơn mười triệu đối tượng, đủ để phục vụ mười triệu người dùng trong mỗi domain. 1 Chức năng của Active Directory - lưu giữ một danh sách tập trung các tên tài khoản người dùng, mật khẩu tương ứng và các tài khoản máy tính. - Cung cấp một Server đóng vai trò chứng thực (authentication server) hoặc Server quản lý đăng nhập (logon Server), Server này còn gọi là domain controller (máy điều khiển vùng). - Duy trì một bảng hướng dẫn hoặc một bảng chỉ mục (index) giúp các máy tính trong mạng có thể dò tìm nhanh một tài nguyên nào đó trên các máy tính khác trong vùng. - Cho phép chúng ta tạo ra những tài khoản người dùng với những mức độ quyền (rights) khác nhau như: toàn quyền trên hệ thống mạng, chỉ có quyền backup dữ liệu hay shutdown Server từ xa… - Cho phép chúng ta chia nhỏ miền của mình ra thành các miền con subdomain) hay các đơn vị tổ chức OU (Organizational Unit). Sau đó chúng ta có thể ủy quyền cho các quản trị viên bộ phận quản lý từng bộ phận nhỏ. 2 cấu trúc của activer directory 1 cấu trúc luận lý 1 Objects. Trước khi tìm hiểu khái niệm Object, chúng ta phải tìm hiểu trước hai khái niệm Object classes và Attributes.  Object classes là một bản thiết kế mẫu hay một khuôn mẫu cho các loại đối tượng mà bạn có thể tạo ra trong Active Directory. Có ba loại object classes thông dụng là: User, Computer, Printer.  Attributes, nó được định nghĩa là tập các giá trị phù hợp và được kết hợp với một đối tượng cụ thể. Như vậy Object là một đối tượng duy nhất được định nghĩa bởi các giá trị được gán cho các thuộc tính của object classes. 10 Giảng Viên: Đào Anh Thư Như vậy Object là một đối tượng duy nhất được định nghĩa bởi các giá trị được gán cho các thuộc tính của object classes. Ví dụ hình sau minh họa hai đối tượng là: máy in ColorPrinter1 và người dùng KimYoshida. 2 Organizational Units Organizational Unit hay OU là đơn vị nhỏ nhất trong hệ thống AD, nó được xem là một vật chứa các đối tượng (Object) được dùng để sắp xếp các đối tượng khác nhau phục vụ cho mục đích quản trị của bạn. OU cũng được thiết lập dựa trên subnet IP và được định nghĩa là “một hoặc nhiều subnet kết nối tốt với nhau”. Việc sử dụng OU có hai công dụng chính sau:  Trao quyền kiếm soát một tập hợp các tài khoản người dùng, máy tính hay các thiết bị mạng cho một nhóm người hay một phụ tá quản trị viên nào đó (sub- administrator), từ đó giảm bớt công tác quản trị cho người quản trị toàn bộ hệ thống.  Kiểm soát và khóa bớt một số chức năng trên các máy trạm của người dùng trong OU thông qua việc sử dụng các đối tượng chính sách nhóm (GPO) 3 Domain. 10 Giảng Viên: Đào Anh Thư Domain là đơn vị chức năng nòng cốt của cấu trúc logic Active Directory. Nó là phương tiện để qui định một tập hợp những người dùng, máy tính, tài nguyên chia sẻ có những qui tắc bảo mật giống nhau từ đó giúp cho việc quản lý các truy cập vào các Server dễ dàng hơn. Domain đáp ứng ba chức năng chính sau:  Đóng vai trò như một khu vực quản trị (administrative boundary) các đối tượng, là một tập hợp các định nghĩa quản trị cho các đối tượng chia sẻ như: có chung một cơ sở dữ liệu thư mục, các chính sách bảo mật, các quan hệ ủy quyền với các domain khác.  Giúp chúng ta quản lý bảo mật các các tài nguyên chia sẻ.  Cung cấp các Server dự phòng làm chức năng điều khiển vùng (domain controller), đồng thời đảm bảo các thông tin trên các Server này được đồng bộ với nhau. 4 Domain Tree 10 Giảng Viên: Đào Anh Thư Domain Tree là cấu trúc bao gồm nhiều domain được sắp xếp có cấp bậc theo cấu trúc hình cây. Domain tạo ra đầu tiên được gọi là domain root và nằm ở gốc của cây thư mục.Tất cả các domain tạo ra sau sẽ nằm bên dưới domain root và được gọi là domain con (child domain). Tên của các domain con phải khác biệt nhau. Khi một domain root và ít nhất một domain con được tạo ra thì hình thành một cây domain. 5 Forest. Forest là một thuật ngữ được đặt ra nhằm định nghĩa một mô hình tổ chức của AD, một forest gồm nhiều domain trees có quan hệ với nhau, các domain trees trong forest là độc lập với nhau về tổ chức, Một forest phải đảm bảo thoả các đặc tính sau:  Toàn bộ domain trong forest phải có một schema chia sẻ chung  Các domain trong forest phải có một global catalog chia sẻ chung  Các domain trong forest phải có mối quan hệ trust hai chiều với nhau  Các tree trong một forest phải có cấu trúc tên(domain name) khác nhau  Các domain trong forest hoạt động độc lập với nhau, tuy nhiên hoạt động của forest là hoạt động của toàn bộ hệ thống tổ chức doanh nghiệp. 10 Giảng Viên: Đào Anh Thư 2 cấu trúc vật lý 1 siter Một site bao gồm một hay nhiều mạng con liên kết với nhau. Có thể cấu hình việc truy xuất và tạo bản sao cho Active Directory hiệu quả nhất và lập ra một lịch cập nhật để không ảnh hưởng đến thông lượng của mạng 2 Domain controllers Domain Controller là một máy tính hay server chuyên dụng được setup Windows Server và lưu trữ bản sao của Domain Directory (local domain database). Một domain có thể có một hay nhiều domain controller, mỗi domain controller đều có bản sao dữ liệu của Domain Directory. Domain Controller chịu trách nhiệm chứng thực cho users và chịu trách nhiệm đãm bảo các chính sách bảo mật được thực thi. Các chức năng chính của domain controller:  Mỗi domain controller lưu trữ các bản sao thông tin của Active Directory cho chính domain đó, chịu trách nhiệm quản lí thông tin và tiến hành đồng bộ dữ liệu với các domain controller khác trong củng một domain.  Domain Controller trong một Domain có khả năng tự động đồng bộ dữ liệu với các domain controller khác trong cùng một domain. Khi bạn thực hiện một tác vụ đối với thông tin lưu trữ trên domain controller, thì thông tin này sẽ tự động được đồng bộ hóa đến các domain controller khác. Tuy nhiên để đảm bảo sự ổn định cho hệ thống mạng, chúng ta cần phải có một chính sách hợp lí cho các domain trong việc đồng bộ hóa thông tin dữ liệu với một thời điểm phù hợp. 10 Giảng Viên: Đào Anh Thư  Domain Controller tự động đồng bộ hóa ngay lập tức các thay đổi quan trọng đối với cả Domain như disable một user account.  Active Directory sử dụng việc đồng bộ hóa dữ liệu theo cơ chế multimaster, nghĩa là không có domain controller nào đóng vai trò là master cả, mà thay vào đó thì tất cả domain controller đểu ngang hàng với nhau, mỗi domain controller lưu trữ một bản sao của database hệ thống. Các domain controller lưu trữ các thông tin dữ liệu khác nhau trong một khỏang thời gian ngắn cho đến khi thông tin các domain controller trong hệ thống đều được đồng bộ với nhau, hay nói cách khác là thống nhất dữ liệu cho toàn domain.  Mặc dù là Active Directory hỗ trợ hoàn toàn việc đồng bộ dữ liệu theo cơ chế multimaster nhưng thực tế thì không phải lúc nào cũng theo cơ chế này (việc thực thi không được cho phép ở nhiều nơi trong hệ thống mạng trong cùng một thời điểm). Operations master roles là các roles đặc biệt được assigned với 1 hoặc nhiều domain ontrollers khác để thực hiện đồng bộ theo cơ chế single- master, ta có thể dễ dàng nhận thấy việc thực thi operations của multimaster là sự thực thi của nhiều single-master đồng thời.  Hệ thống có nhiều hơn một domain hỗ trợ trong trường hợp dự phòng backup domain controller, khi một domain controller có vấn đề xảy ra thì các domain sẽ tự động chạy dự phòng, đảm bảo hệ thống luôn được ổn định.  Domain Controller quản lí các vấn đề trong việc tương tác với domain của users, ví dụ xác định đối tượng trong Active Directory hay xác thực việc logon của user. 1.2.3 Giao diện của Active Directory Bạn có thể truy cập Active Directory Users and Computers console từ bộ điều khiển miền của Windows Server 2003 bằng cách chọn Active Directory Users and Computers từ menu Start / All Programs / Administrative Tools của máy chủ. Giao diện của nó được thể hiện như những gì bạn thấy trong hình A dưới đây : 10 Giảng Viên: Đào Anh Thư Hình A 1.2.4 Sử Dụng Active Directory Bây giờ chúng ta sẽ tìm hiểu kỹ hơn về giao diện và cách sử dụng bởi vì nó giúp chúng ta khám phá một chút về cấu trúc của Active Directory. Nếu nhìn vào hình A thì bạn sẽ thấy được rằng ở đây có một số thư mục lớn, mỗi một thư mục này tương ứng với một loại đối tượng cụ thể. Mỗi đối tượng trong Active Directory đều được gán một kiểu đối tượng (được biết đến như là lớp đối tượng). Mỗi đối tượng cũng có một số thuộc tính liên quan. Các thuộc tính cụ thể thay đổi phụ thuộc vào kiểu đối tượng. Ví dụ, thư mục Users chứa các tài khoản người dùng, tất cả được phân loại thành các đối tượng người dùng như trong hình B. Nếu kích chuột phải vào một trong các đối tượng người dùng này và chọn Properties từ menu chuột phải thì bạn sẽ thấy được trang thuộc tính của đối tượng (như trong hình C). 10 Giảng Viên: Đào Anh Thư Hình B [...]... chế hoạt động của Active Directory Directory service Active directory schema Trong Active Directory, database lưu trữ chính là AD Schema, Schema định nghĩa các đối tượng được lưu trữ trong Active Directory Nhưng Schema lưu trữ các đối tượng thế nào? Thực chất, schema là một danh sách các định nghĩa xác định các loại đối tượng và các loại thông tin về đối tượng lưu trữ trong Active Directory Về bản chất,... cho quản trị viên khác  Quản trị hệ thống Active Directory quy mô lớn linh hoạt hơn 4 Công cụ quản lý Active Directory 10 Giảng Viên: Đào Anh Thư Những công cụ quản lý Active Directory thường cung cấp ở dạng Snap-in cho MMC (Microsoft Management Console)  Active Directory users and Computer: quản trị người dùng, nhóm, máy tính, và đơn vị tổ chức  Active Directory and Trusts: dùng làm việc với vùng,... trúc Active Directory trên phạm forest: các domain và các site, các domain controller, các dịch vụ và được đồng bộ trên tất cả các Domain Controller trong forest • Domain partition: Lưu thông tin về đối tượng trong 1 domain: user, groups, computer và organization units và được đồng bộ với tất cả các Domain Controller trong cùng miền • Application partition: Lưu thông tin các ứng dụng trong Active Directory. .. nhưng nằm trên máy Domain Controller Các máy Domain Controller có một cơ sở dữ liệu Active Directory chung và được sao chép đồng bộ với nhau do đó một local group trên một Domain Controller này thì cũng sẽ có mặt trên các Domain Controller anh em của nó, như vậy local group này có mặt trên miền nên được gọi với cái tên nhóm cục bộ miền Các nhóm trong mục Built-in của Active Directory là các domain local... Role  Schema Master • Active Directory schema định nghĩa các loại đối tượng và các loại thông tin của đối tượng được lưu trữ trong Active Directory • Active Directory schema thực hiện các roles • Điều khiển tất cả update trong schema • Chứa danh sách chính các object class và atrribute của object dùng để tạo các object trong AD • Sao chép update đến tất cả AD Schema đến các domain controller trong forest... tài khoản máy và tài khoản nhóm Tuy nhiên họ không có quyền xóa, sửa các nhóm trong container Built-in và OU Nhóm này chỉ có trên các Domain Controller và mặc định Domain không có thành viên nào, thành viên của nhóm có thể đăng Controllers nhập cục bộ vào các Domain Controller nhưng không có quyền quản trị các chính sách bảo mật Thành viên của nhóm này có quyền lưu trữ dự phòng (Backup) và phục hồi (Retore)... hành Windows NT dựa trên máy chủ, bao gồm 2000, 2003, và 2008 Group Policy cung cấp cho quản lý tập trung cùng với cấu hình cho người dùng từ xa và các máy tính bên trong một môi trường máy chủ Active Directory Group Policy là tập hợp các quy tắc và tiêu chuẩn mà dictates những gì người dùng có thể và không thể làm trên một mạng lưới máy tính Active Directory, cũng như những gì máy tính mà họ có thể làm... lấy thông tin từ Active Directory, một phần của một sản phẩm khác của Microsoft Tuy nhiên có rất nhiều người không nhận ra một điều, đó là khá dễ dàng cho bất cứ ai có sự cho phép thích hợp để lấy thông tin từ Active Directory Thực tế, có rất nhiều sản phẩm của nhóm thứ ba được thiết kế để tương tác với Active Directory Một trong số chúng có khả năng lưu dữ liệu trong các phần Active Directory đặc biệt... Global Catalog và Sự đồng bộ Partition • Global catalog: là domain controller chứa 2 phân vùng: schema và configuration Ngoài ra còn lưu trữ domain partition của nó và một phần domain partition của domain khác trong forest • Khi tạo mới một domain vào forest, configuration partition chứa thông tin của về domain đó Active Directory sao chép configuration partition đến tất cả các domain controller, các... domain controller đầu tiên của rừng Domain controller này được gọi là Global Catalog Server Một global catalog server duy trì một bản copy đầy đủ cơ sở dữ liệu của Active Directory của domain điều khiển của nó Nó duy trì một phần copy của cơ sở dữ liệu Active Directory của domain khác trong rừng Một Global Catalog Server cũng xử lý các truy vấn được xây dựng trở lại và cho ra kết quả 5 Distinguished và . của Active Directory 1 Directory service 2 Active directory schema Trong Active Directory, database lưu trữ chính là AD Schema, Schema định nghĩa các đối tượng được lưu trữ trong Active Directory. . Nguyễn Chí Thanh 10 Giảng Viên: Đào Anh Thư Tìm hiểu về Active Directory và Controller MỤC LỤC 1 Tổng quan về activer directory Active Directory là một cơ sở dữ liệu của các tài nguyên trên mạng. của users, ví dụ xác định đối tượng trong Active Directory hay xác thực việc logon của user. 1.2.3 Giao diện của Active Directory Bạn có thể truy cập Active Directory Users and Computers console