| Новые программы oszone.net |  |
ВведениеК очередному типу объектов Active Directory относятся объекты компьютеров. В доменных службах Active Directory компьютеры представлены в качестве учетных записей и объектов аналогично пользователям и используются для представления контроллеров доменов, клиентских компьютеров, а также рядовых серверов. Компьютеры входят в сеть домена так же, как и пользователи, проходя проверку подлинности. Также как и пользовательские учетные записи, компьютеры можно заключать в группы, назначать им доступ к сетевым ресурсам, управлять ими средствами групповых политик. У учетных записей компьютеров, аналогично записям пользователей есть атрибут objectClass. Но в отличие от пользовательской учетной записи, учетная запись компьютера состоит из имени с прикрепленным знаком доллара, а также пароля, который присваивается автоматически и автоматически меняется каждые 30 дней. Управление идентификацией компьютеров в качестве объектов учетных записей обусловлено тем, что абсолютно в любой организации компьютеры могут переходить от одного пользователя к другому, могут быть приобретены новые компьютеры, компьютеры могут устаревать и списываться, а также могут выходить из строя и отправляться на ремонт. Помимо создания учетных записей компьютеров, к основным административным задачам, выполняемым во время поддержки учетных записей компьютеров на протяжении их жизненного цикла можно отнести присоединение компьютеров к домену, сброс учетной записи, делегирование разрешения создания компьютеров, а также удаление компьютеров из домена. Стоит помнить, что изначально учетная запись компьютера состоит в рабочей группе и для того, чтобы пользователь смог зайти в доменную сеть под своей учетной записью, нужно присоединить компьютер к домену. Основным недостатком рабочей группы является то, что каждая система поддерживает локальное хранилище объектов идентификации, которое называется базой данных диспетчера безопасности учетных записей (Security Accounts Manager) SAM и при входе пользователя система выполняет проверку подлинности на локальной машине. Причем присоединяемый компьютер должен содержать учетную запись в домене, которая включает в себя имя входа, идентификатор безопасности SID и пароль, указывающие, что данная учетная запись является принципалом безопасности. Перед тем как присоединять компьютер к домену вы должны убедиться, что данных компьютер соответствует следующим требованиям: у вас есть право на присоединение компьютера к домену, объект компьютера создан в домене, а также вы должны войти в присоединяемый компьютер как локальный администратор. По умолчанию учетные записи компьютеров создаются в контейнере Computers, который является классом container и отличается от подразделения тем, что в данном контейнере вы не можете создавать дочернее подразделение и к нему невозможно привязать объекты групповых политик, что в производственной среде считается крайне неудобным. Поэтому вам перед тем как создавать учетные записи компьютеров, нужно спланировать подразделения, в которых будут храниться учетные записи компьютеров. В этой статье не будут описываться такие моменты, как создание подразделения для учетных записей компьютеров, присоединение компьютеров к домену, смена пароля для учетной записи компьютера, делегирование разрешений на создание учетных записей компьютера и удаление компьютеров. Все эти вопросы будут рассмотрены в одной из следующих статей. Из этой статьи вы узнаете о том, как можно создавать учетные записи компьютеров. Создание компьютеров при помощи оснастки «Active Directory – пользователи и компьютеры»Создание учетной записи компьютера перед тем, как учетная запись будет присоединяться к домену, называется предварительным размещением компьютера. Для того чтобы предварительно разместить учетную запись компьютера при помощи оснастки «Active Directory – пользователи и компьютеры», выполните следующие действия:
Рис. 1. Добавление учетной записи компьютера при помощи графического интерфейса Создание учетной записи компьютера средствами командной строкиВ отличие от учетных записей пользователей и групп, вы можете создавать учетные записи компьютеров при помощи двух команд: команды Dsadd и команды Netdom. Команда Dsadd, как говорилось в статьях, в которых я описывал методы создания пользовательских учетных записей и учетных записей групп требует указания модификатора computer, который задает команду применения параметров для создания учетной записи компьютера. Опять же, как и в предыдущих случаях, после модификатора вам нужно указать отличительное имя компьютера, которое должно быть заключено в кавычки в том случае, если оно содержит пробелы, а также, при необходимости, дополнительные параметры. Синтаксис команды следующий: Dsadd computer DN_компьютера –дополнительные_параметры где вы можете воспользоваться следующими дополнительными параметрами:
Пример использования: Dsadd computer “CN=COMPUTER357,OU=Компьютеры филиала,DC=testdomain,DC=com” –samid COMPUTER357 –desc “Компьютер отдела Маркетинг” Рис. 2. Создание компьютеров средствами Dsadd Команда Netdom в большинстве случаев используется для присоединения компьютера к домену, но вы как администратор при помощи данной команды можете также создавать учетные записи компьютеров. Также как и команда Dsadd computer, текущая команда позволяет создавать учетную запись компьютера в указанном домене, используя учетные данные, которые будут указаны вами. С текущей командой вы можете указать следующие параметры:
Пример использования: Netdom Add COMPUTER358 /Domain:testdomain Рис. 3. Создание компьютеров средства Netdom Создание компьютеров при помощи команд CSVDE и LDIFDEУтилита командной строки Comma-Separated Values Data Exchange (SCVDE) была подробным образом рассмотрена в статьях, где были описаны способы создания учетных записей компьютеров и групп. Вы уже должны знать о том, что данная команда позволяет импортировать и экспортировать объекты Active Directory из csv-файла. Для этой команды вы можете применять следующие параметры:
Как вы уже знаете, файлы Lightweight Directory Access Protocol Data Interchange Format (LDIF) также указываются в виде текстовых файлов, где все операции задаются в виде блоков строк, разделенных пустой строкой. В этих файлах каждая новая операция начинается с атрибута DN объекта, после чего идут дополнительные параметры. Как вам уже известно, с этой командой могут применяться следующие параметры:
Создание учетных записей компьютеров, используя Windows PowerShellСтоит обратить внимание на то, что при помощи VBScript учетные записи компьютеров создаются также как и учетные записи пользователей. То есть, для начала вам нужно подключиться к контейнеру, затем создать сам объект, а после чего заполнить его атрибуты и подтвердить изменение. Как и в случае с учетными записями пользователей и групп, вы можете создавать учетные записи компьютеров при помощи командлета New-ADComputer. Стоит обратить внимание на то, что при помощи текущего командлета вы можете редактировать почти все доступные атрибуты, вы не можете присоединять компьютер к домену, используя функционал данного командлета. Во всех случаях, данный командлет используется до того как пользователь попробует присоединить компьютер к домену. Также как и в случае с командлетами New-ADUser и New-ADGroup, параметр Path позволяет задавать подразделение, в котором будет размещена учетная запись компьютера. Если вы заранее знаете точную дату выведения компьютера из эксплуатации, вы можете задать дату окончания срока действия учетной записи компьютера при помощи параметра –AccountExpirationDate. Значением этого параметра выступают дата и время в формате DateTime, причем, если значением данного параметра будет указан 0, срок действия учетной записи никогда не истечет. Пароль для текущей учетной записи компьютера вы можете задать, используя параметр -AccountPassword. Длина пароля не должна превышать 240 символов. Параметры –DisplayName и –Description отвечают за имя и описание объекта. В некоторых случаях сразу после создания, учетная запись отключается. Это можно реализовать при помощи параметра –Enabled, указав значение $false. Пользователя или группу, которые управляют этим объектом, задают при помощи параметра –ManagedBy. Синтаксис командлета следующий: New-ADComputer [-Name] <string> [-AccountExpirationDate <System.Nullable[System.DateTime]>]
[-AccountNotDelegated <System.Nullable[bool]>] [-AccountPassword <SecureString>] [-AllowReversiblePasswordEncryption <System.Nullable[bool]>]
[-AuthType {<Negotiate> | <Basic>}] [-CannotChangePassword <System.Nullable[bool]>] [-Certificates <X509Certificate[]>]
[-ChangePasswordAtLogon <System.Nullable[bool]>] [-Credential <PSCredential>] [-Description <string>] [-DisplayName <string>] [-DNSHostName <string>]
[-Enabled <System.Nullable[bool]>] [-HomePage <string>] [-Instance <ADComputer>] [-Location <string>] [-ManagedBy <ADPrincipal>] [-OperatingSystem <string>]
[-OperatingSystemHotfix <string>] [-OperatingSystemServicePack <string>] [-OperatingSystemVersion <string>] [-OtherAttributes <hashtable>]
[-PassThru <switch>] [-PasswordNeverExpires <System.Nullable[bool]>] [-PasswordNotRequired <System.Nullable[bool]>] [-Path <string>] [-SAMAccountName <string>]
[-Server <string>] [-ServicePrincipalNames <string[]>] [-TrustedForDelegation <System.Nullable[bool]>] [-UserPrincipalName <string>] [-Confirm]
[-WhatIf] [<CommonParameters>]Пример использования: New-ADComputer -Name “DESKTOP360” -sAMAccountName “DESKTOP360” -Path “OU=Компьютеры филиала,DC=testdomain,DC=com” -AccountPassword $null -Enabled $true -OperatingSystem “Windows 7” -PasswordNeverExpires $true Рис. 4. Создание учетной записи компьютера, используя PowerShell ЗаключениеИз этой статьи вы узнали о пяти методах создания учетных записей компьютеров. Подробно было рассмотрено создание учетных записей компьютеров при помощи графического интерфейса, утилит командной строки Dsadd и Netdom, а также средствами командлета New-ADGroup командной оболочки Windows PowerShell. Вкратце были рассмотрено создание компьютеров средствами утилит CSVDE, LDIFDE и при помощи функционала VBScript.
Теги:
Active Directory, Дмитрий Буланов, компьютеры.
Комментарии посетителей
26.02.2011/21:51
crev
Добрый день. А где галочка "управляемый"? У меня с ней проблема. Если ставлю WDS на AC DC то галочка есть, а если на отдельно стоящий сервер, то ее нет. В связи с этим не могу добавлять GUID. Не подскажите в чем причина. Сервак с WDS в той же подсети. Спасибо. Комментарии отключены. С вопросами по статьям обращайтесь в форум.
|
|
+R для открытия диалога «Выполнить» и в диалоговом окне «Выполнить», в поле «Открыть» ввести dsa.msc, а затем нажать на кнопку «ОК»;
