Первый шаг навстречу Active Directory

Сергей «grinder» Яремчук

Хакер, номер #100, стр. 100-146-3

* «Active Directory – домены и доверие» – для работы с доменами, деревьями и лесами доменов, установки доверительных отношений;

* «Active Directory – сайты и службы» – для управления сайтами, службами и подсетями, репликацией;

* «Политика безопасности домена» и «Политика безопасности контроллера домена» – для просмотра и изменения политик безопасности домена и контроллера домена, прав пользователей и аудита.

Они доступны в «Панели управления –> Администрирование». Альтернативный вариант - после вызова mmc выбрать «File –> Add/Remove Snap-In», нажать кнопку «Добавить» и указать необходимую оснастку из списка. Последний способ удобнее тем, что все инструменты всегда будут под рукой.

Итак, вызываем «Active Directory - пользователи и компьютеры», по умолчанию будет произведено подключение к домену, к которому относится компьютер. Для подключения к другому домену, например, если есть подозрение, что репликация еще не произведена и поэтому информация об объектах неправильна, щелкаем по заголовку «Active Directory - пользователи и компьютеры», нажимаем «Подключение к контроллеру домена»; доступные КД будут выведены в списке.

Подключившись к нужному КД, первым делом создадим новое ОП, для чего нажимаем правой кнопкой мыши на название домена, выбираем «New/Создать –> Подразделение (Organisation Unit)» и вводим название организационного подразделения. Аналогичным путем в сделанном контейнере можно создать произвольное количество вложенных ОП. Для подключения к ресурсам домена локальная учетная запись не подойдет, необходима доменная учетная запись. Для ее создания в этом же меню выбираем «Пользователь». В появившемся окне «Новый объект —> Пользователь» вводим имя и фамилию пользователя, а также имя для входа в домен (сам домен указывается, если их несколько). Нажимаем «Далее» и переходим к следующей странице, где вбиваем пароль пользователя. Здесь же можно установить некоторые флаги для управления этой учетной записью:

* «Требовать смены пароля при следующем входе в систему» — установлено по умолчанию, необходимо для того, чтобы пароль знал только пользователь; при первом входе от него обязательно потребуют сменить пароль, иначе в систему он не попадет;

* «Запретить смену пароля пользователя» — этот флажок полезен в том случае, если одной учетной записью пользуются несколько пользователей, чтобы случайное или умышленное изменение пароля не блокировало доступ остальным;

* «Срок действия пароля неограничен» — любой пароль следует периодически менять, а этот флаг стоит использовать в случае, указанном выше, а также в сетях, не требующих серьезной защиты;

* «Отключить учетную запись» — может пригодиться, если пользователь пока не собирается или не должен входить в сеть.

Пароль должен удовлетворять требованиям политик. Чтобы их просмотреть, вызываем редактор групповых политик, набрав «gpedit.msc», затем переходим в «Конфигурация компьютера –> Конфигурация Windows –> Параметры безопасности –> Политики учетных записей –> Политика паролей». В домене и контроллере домена политика паролей устанавливается в «Политике безопасности домена» и «Политике безопасности контроллера домена» («Параметры безопасности –> Политики учетных записей –> Политика паролей»). Здесь же настраиваются политики блокировки учетной записи и Kerberos. Учти, что политики доменов, сайтов, подразделений имеют более высокий приоритет, чем локальные.