Установка

1. Как отключить проверку цифровой подписи драйверов при установке Windows 2003?
   

2. Как проверить правильность установки при разворачивании домена AD?
   

3. Можно ли сделать обновление (upgrade) Windows XP до Windows Server 2003?
   

4. Как правильно произвести миграцию домена с Windows NT4 на Windows 2003 Server?
   

5. Как правильно установить Office 2000 на сервер терминалов?
   

6. Подскажите как правильно задать имя домена Windows при установке?
   

7. Как правильно создать и настроить дополнительный контроллер домена Windows 2003?
   

---

Q: Как отключить проверку цифровой подписи драйверов при установке Windows 2003?

A: Необходимо создать файл ответов winnt.sif
В разделе [Unattended] файла winnt.sif вы должны внести такую строку:

DriverSigningPolicy=Ignore

Данная строка вынудит программу установки проинсталлировать неподписанные драйверы (not WHQL certified).
Эта строка используется в сочетании с OemPnPDriversPath:
В разделе [Unattended] файла winnt.sif вы должны внести примерно такую строку:
OemPnPDriversPath="Drivers\000_intel_INF;Drivers\001_gigabit_LAN;Drivers\002_monitor"
Впрочем, по информации с форума msfn.org, этот трюк не всегда срабатывает, так что по возможности используйте подписанные драйверы. Или устанавливайте неподписанные вручную в случае проблем.

вверх

---

Q: Как проверить правильность установки при разворачивании домена AD?

A: Чтобы узнать правильно ли было сделано - нужно задать другой вопрос - вы не велосипеди изобретаете - поэтому как нужно делать новую сетевую службу/компонент - конечно уже описано.
Как пример - в серверной системе уже есть встроенная справка (не подумайте ничего плохого, это я не посылаю вас на F1 - просто подвожу к ней.. знакомиться так сказать.. те представляю), а еще есть мастер управления конфигурацией.. Manage your server (Administrative Tools) при выборе пункта Add/Remove Role и режима Custom конфигурации он отображает список тех ролей, которые можно сделать, используя встроенные в ваше серверную систему возможности.
так вот при указании на пункт Domain Controller (Active Directory) - справа появляется, появляется ссылка на конкретные ЦУ о том как правильно нужно сделать именно ее и как (подготовка, развертывание и дальнейшие шаги). Да и под самим пунктом Add/Remove Role - есть тоже самое - Read about server roles - но это уже по всем.
вот поэтому развертывание инфраструктуры компонент нужно разделить на несколько этапов:
-изучение темы, постановка задачи (удобство управления и обслуживания)
-поиск возможных решений (Microsoft Windows systems)
-получение ЦУ о развертывании (deployment guide)
-тестирование на полигоне (your server or Virtual Servers/PC)
-планирование внедрения и подготовка плана действий на случай отката ("to do" lists)
-наладка и тестирование (log files and managing)
-мониторинг и обслуживание (new events and new backups)

Так же для проверки используйте Support Tools из дистрибутива серверной системы и используйте команды netdiag /v dcdiag /v и другие тоже.. в журналы системы и компонент заглядываейте.

вверх

---

Q: Можно ли сделать обновление (upgrade) Windows XP до Windows Server 2003?

A: Компанией Microsoft заявлена возможность обновления до Windows 2003 Server со следующих платформ:
Windows NT Server 4.0 with Service Pack 5 or later
Windows NT Server 4.0, Terminal Server Edition, with Service Pack 5 or later
Windows NT Server 4.0, Enterprise Edition, with Service Pack 5 or later
Windows 2000 Server
Windows 2000 Advanced Server
Windows Server 2003, Standard Edition
В рабочих средах так и следует поступать. Рекомендовать выполнения обновления систем с рабочей станции до уровня сервера вам никто не будет, тк слишком велика вероятность некорректной работы подобным образом мутированной системы.
Однако, для тестового использования, возможен следующий метод обновления (upgrade) систем Windows XP до Windows Server 2003:
В исходном дистрибутиве необходимо выполнить модификацию файла: dosnet.inf
i386\dosnet.inf
в нем есть параметр, определяющий какая операционная система будет устанавливаться:

[Miscellaneous]
ProductType = х

где x это:
0 - Professional
1 - Standart
2 - Enterprise Edition
поэтому перед обновлением заменяем тип продукта на соответствующий номер исходной системы.
не забудьте выполнить резервное копирование исходной системы и не забывать, в дальнейшем, о проведенной операции мутации и делать поправку на будущие ошибки.

вверх

---

Q: Как правильно произвести миграцию домена с Windows NT4 на Windows 2003 Server?

A: Этап первый: Настройка домена назначения

Для миграции журнала SID и сведений о паролях на контроллере домена должно быть установлено средство «Миграция в Active Directory». Для этого выполните следующие действия: 1. Включите в политике по умолчанию для контроллеров домена аудит успешных и неудачных операций «Аудит управления учетными записями». Для этого выполните следующие действия.
a. Запустите оснастку «Active Directory — пользователи и компьютеры».
b. Разверните домен, щелкните правой кнопкой мыши раздел Контроллеры домена и выберите пункт Свойства.
c. На вкладке Групповая политика выберите объект Политика контроллеров домена по умолчанию и нажмите кнопку Изменить.
d. Последовательно разверните узлы Конфигурация компьютера, Конфигурация Windows, Параметры безопасности, Локальные политики, а затем Политика аудита.
e. В правой части окна дважды щелкните Аудит управления учетными записями.
f. Установите флажок Определить следующие параметры политики, а также флажки:

Успех
Отказ

g. Нажмите кнопку ОК, закройте редактор объектов групповой политики и снова нажмите кнопку ОК.
h. Дождитесь, пока изменения групповой политики распространятся на домен.
2. Войдите от имени администратора на контроллер домена с установленным средством «Миграция в Active Directory».
3. Введите следующую команду, чтобы создать файл ключа экспорта паролей (PES)

admt key исходный_доменпутьпароль

где исходный_домен — это сетевое имя исходного домена Windows NT 4.0, путь — это путь к файлу экспорта паролей, а пароль — это необязательный пароль или символ звездочки (*), помогающие защитить файлы PES.
Примечание. Необходимо указывать локальный путь для файлов PES. Путь может указывать на сменный носитель, например на дисковод гибких дисков, дисковод ZIP или дисковод для дисков CD-R или CD-RW. Кроме того, если указать пароль, средство «Миграция в Active Directory» сможет защитить файл. Если ввести звездочку (*), то средство «Миграция в Active Directory» предложит ввести и подтвердить пароль. При вводе пароль скрывается операционной системой.
4. Переместите созданный файл PES на сервер экспорта паролей в исходном домене. Этим сервером может быть любой контроллер домена в домене Windows NT 4.0, имеющий быстрое и надежное соединение с компьютером под управлением Windows Server 2003, на котором установлено средство «Миграция в Active Directory».

Этап второй: Настройка исходного домена

Чтобы настроить исходный домен Windows NT 4.0 для миграции паролей, выполните следующие действия.
1. Создайте новую локальную группу с именем исходный_домен$$$, где исходный_домен — это NetBIOS-имя исходного домена Windows NT 4.0. Данная группа должна быть пустой.
2. На основном контроллере домена необходимо включить аудит успешных и неудачных операций управления пользователями и группами. Для этого выполните следующие действия.
a. Запустите диспетчер пользователей в домене.
b. В меню Политики выберите пункт Аудит.
c. Выберите пункт Аудит следующих событий и установите следующие флажки для пункта Управление пользователями и группами:

Успех
Отказ

d. Нажмите кнопку ОК.
3. Разрешите на исходном домене доступ к базе данных диспетчера учетных записей безопасности с помощью удаленного вызова процедур, изменив значение параметра реестра TcpipClientSupport на 1. Для этого выполните следующие действия. Внимание! Неправильное использование редактора реестра может привести к возникновению серьезных неполадок, требующих переустановки операционной системы. Корпорация Майкрософт не несет ответственности за неправильное использование редактора реестра. При изменении реестра полагайтесь на свой опыт и знания.
a. На основном контроллере домена нажмите кнопку Пуск, выберите пункт Выполнить, в поле Открыть введите команду regedit и нажмите кнопку ОК.
b. Найдите и выделите следующий раздел реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

c. В меню Правка выберите пункт Создать, а затем — Параметр DWORD.
d. Введите имя нового параметра TcpipClientSupport.
e. Щелкните правой кнопкой мыши параметр TcpipClientSupport и выберите команду Изменить.
f. В поле Значение введите 1 и нажмите кнопку ОК.
g. Закройте редактор реестра.
>Примечание. Необходимо перезапустить компьютер, чтобы изменения вступили в силу. Тем не менее нет необходимости перезагружать компьютер до установки компонента DLL миграции паролей средства «Миграция в Active Directory».
4. Установите компонент DLL миграции паролей средства «Миграция в Active Directory» на основном контроллере домена. Для этого запустите программу Pwdmig.exe из папки I386\ADMT\Pwdmig на компакт-диске Windows Server 2003 или из папки, в которую было загружено средство «Миграция в Active Directory».

После запуска мастера установки компонента DLL миграции паролей средства «Миграция в Active Directory» необходимо указать путь к файлу PES, перенесенному из домена Windows NT 4.0. Для этого файла необходимо указывать локальный путь. Кроме того, будет предложено ввести пароль, заданный при создании этого файла.
5. После успешного завершения установки компонента DLL миграции паролей средства «Миграция в Active Directory» нажмите кнопку Да, когда появится приглашение перезагрузить компьютер.
6. Перед началом миграции паролей из домена Windows NT 4.0 измените значение параметра реестра AllowPasswordExport на 1. Для этого выполните следующие действия. Внимание! Неправильное использование редактора реестра может привести к возникновению серьезных неполадок, требующих переустановки операционной системы. Корпорация Майкрософт не несет ответственности за неправильное использование редактора реестра. При изменении реестра полагайтесь на свой опыт и знания.
a. На основном контроллере домена нажмите кнопку Пуск, выберите пункт Выполнить, в поле Открыть введите команду regedit и нажмите кнопку ОК.
b. Найдите и выделите следующий раздел реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa

c. На правой панели щелкните правой кнопкой мыши параметр AllowPasswordExport и выберите команду Изменить.
d. В поле Значение введите 1 и нажмите кнопку ОК.
e. Закройте редактор реестра.

За более подробной информацией по данному вопросу вы можете обратиться к этой статье MS KB
Если решений предложенных в статье оказалось недостаточно для решения проблемы, то вы можете обратиться в эту тему на форуме OSzone.net

вверх

---

Q: Как правильно установить Office 2000 на сервер терминалов?

A: Чтобы установить Office 2000 на компьютер с установленными службами терминалов с помощью командной строки, выполните следующие действия.
1. Установите пакет ресурсов Office Resource Kit.
2. В командной строке введите:

change user /install

3. Установите средства сервера терминалов из пакета ресурсов Office Resource Kit.
4. Чтобы установить соответствующий компонент Office с помощью файла преобразований, введите в командной строке:

путь_к_папке_office_2000\setup transforms="путь_к_пакету_office_resource_kit\termsrvr.mst"

5. Если переключение в режим установки было выполнено вручную, после установки переключитесь обратно в режим выполнения. Для этого в командной строке введите:

change user /execute

Для пояснения рассмотрим следующий пример. Установите пакет ресурсов Office Resource Kit в папку по умолчанию на диск C. Затем вставьте в дисковод компакт-диск Office 2000. В командной строке введите:

D:\Setup.exe TRANSFORMS="C:\Program Files\ORKTools\ToolBox\Tools\Terminal Server Tools\TermSrvr.MST"

На время этой установки специально отключены некоторые возможности Office 2000. Доступен только неподвижный агент. Выбор другого агента невозможен.
Так как установить Office 2000 может только администратор, в службах терминалов не поддерживаются компоненты установки по требованию, а также компоненты поиска и восстановления.

вверх

---

Q: Есть зарегестрированный домен воторого уровня firma.ru. Как шлюз стоит Linux, на нем крутиться DNS этого домена, прокси, почта и WWW. Нужно в локальной сети поднять домен на Windows. Вопрос - как правильно задать имя домена?

A: Есть два варианта:
Вариант 1:
1. ресурсы домена АД локального должны быть доступны пользователям из вне. те, например, аутентификация пользователей которые в Инет кафе - в Мельбурне. Аутентификация для этих пользователей бывает нужна в основном для авторизации доступа к ресурсам (например в вашему доменному ВЕБ серверу или SQL серверу..)
1.1 тогда можно сделать ваш локальный домен с именем firma.ru (но тогда будет необходимо, чтобы сервер DNS на Linux поддерживал некоторые особенности для поддержки домена , кажется с версии BIND 8.2.1 все поддерживается)
1.2 можно проще. создать делегированную зону с именеме, к примеру corp.firma.ru и разместить ее на DNS Windows Server`e.
тогда все замечательно. и из вне все будет находиться, если контроллерам внешние IP назначить, и локально все будет работать (разрешение имен)
Вариант 2:
2. Не нужна внешняя аутентификация (90% случаев), только интересует домен.
2.1 Задаем название firma.local, делаем домен, сервер DNS настраиваем на пересылку (forvarding) на DNS Linux. Если вдруг есть зона "." - удаляем ее совсем (будьте внимательны, при создании первого контроллера он должен иметь пустое поле в свойствах Предпочитаемого сервера DNS, а не указывать на внешние сервера, иначе dcpromo будет пытаться настроить необходимую зону как раз на внешних DNS`сах - 97% ее с этими изменениями "отошьют".
2.2 Далее можно вручную добисать в первичной зоне домена A (www=local IP your Linux with WWW service)записи для вашего WWW (на LINUX), тогда из локальной сети пользователи смогут обращаться в нему, например по имени www.firma.local.
но можно этого и не делать, все равно разрешения получат из локальной сети, но тогда уже по имени внешнему www.firma.ru (те, вернет им на этот запрос DNS LInux сервер - внешний свой IP адрес). оба варианта годятся (выбор только за приложениями, которые ваши пользователи локально используют - нужно им именно www.firma.ru или сойдет и .local)

вверх

---

Q: Как правильно создать и настроить дополнительный контроллер домена Windows 2003

A:

1. Выполняем проверку конфигурации первого контроллера домена
Например как указано в этой статье MS KB:
"Рекомендации по настройке контроллеров домена Windows"
конфигурация TCP/IP контроллера: IP статический, Предпочитаемый DNS указывает на собственный IP адрес.
проверям Журналы событий на предмет наличия ошибок при настройке этого КД
также можно выполнить команды netdiag.exe и dcdiag.exe из дополнительного набора инструментов Resource Kit Tools для Windows 2003)

2. Делаем резервную копию первого КД
(Например удачным решением будет использовать Автоматический набор восстановления системы ASR - в ntbackup.exe)

3. На новый сервер устанавливаем ОС

4. Выполняем настройки TCP/IP: IP адрес статический и уникальный, Предпочитаемый DNS указывает на IP адрес первого контроллера - тк он и есть DNS сервер.

5. Выполняем подключение этой системы к домену по DNS имени домена (Servers - - [NTDS Settings] -> Servers - your.domain.local - [NTDS Settings]).

Если на этом этапе возникают ошибки - значит инфраструктура DNS развернута не правильно.

6. Регистрируемся учетной записью Администратора домена и запускаем мастер Управление данным сервером (Manage Your Server)

7. Если спросят указываем выборочную конфигурацию (Custom) и выбираем новую роль Контроллера домена (Domain Controller)

(Если есть необходимость развернуть новый контроллер удаленно можно использовать резервную копию первого КД для оперции загрузки базы AD)

8. В мастере создания контроллера домена выбираем режим Дополнительного контроллера домена и указываем DNS имя домена

9. Выполняем дополнительные настройки (пути к каталогам, пароли и тп) и дожидаемся окончания процесса конфигурации и переноса базы данных

10. Выполняем перезагрузку нового контроллера домена и выполняем проверку журналов системы (Event Viewer)

11. Если все в порядке, то открываем мастер Управления данным сервером (Manage Your Server) второй раз и выполняем добавление роли DNS сервера на эту систему (кстати эту операцию можно выполнить перед поднятием роли контроллера домена)

12. На предложение мастера о создании зоны DNS следует отказаться (необходимые зоны уже были интегрированы в базу Active Directory и реплицировались с первого КД)

13. Используем консоль управления DNS сервером для того чтобы убедиться что необходимые зоны появились (_msdcs.your.domain.local> и your.domain.local). Иначе перезагружаем сервер.

14. Теперь в сети инфраструктура DNS была изменена и DNS сервера теперь 2. Поэтому на всех ОС, входящих в домен необходимо эти изменения отобразить:

15. В качестве предпочитаемого DNS сервера на системах уже должен был быть установлен IP адрес первого КД, а вот теперь в качестве альтернативного нужно указать IP адрес второго контроллера домена.

16. Особо отмечу что эта конфигурация должна быть отображена на всех системах в домене: контроллеры, сервера и клиенты.
(Если только не используется особые режимы настрйки инфраструктыры DNS)

17. Также добавить на второй КД роль Глобального Каталога (в дополнении к первому):
На втором КД - открываем консоль [Active Directory Сайты и службы] - [Default-First-Site-Name] - Servers - ДК2 - [NTDS Settings] открываем свойства и помечаем данный сервер как носитеть Глобального Каталога.

18. Анализируем журнал Directory Service на втором контроллере, дожидаемся репликации и подтверждения принятия роли ГК. Перегружаемся.

Что это даст? Это методика позволяет в случае выхода из строя первого контроллера домена - находить второй контроллер и работать с базой данных Active Directory.
Конечно, если первый контроллер будет отключен, то не будут доступны хозяева операций - 5 штук. Самым нужным кторым для клиента является Хозяин - "Эмулятор PDC". Например он нужен клиентским системам чтобы выполнять некоторые операции для осблуживания клиентов.

Как это все проверить? очень просто: отключаем от сети первый контроллер, далее:

а. перезагружаем клиентскую систему и выполняем пробную регистрацию от имени сторого доменного пользователя и пробуем обратиться к какому-либо сетевому ресурсу
б. перезагружаем клиентскую систему и выполняем пробную регистрацию от имени нового для этой станции доменного пользователя и пробуем обратиться к какому-либо сетевому ресурсу опять
в. можно пойти еще дальше и перезагрузить в таком состоянии сети второй контроллер домена (и повторить операцию а. или б.)

конечно на всех операциях нужно выполнить анализ Журналов Системы (локальной станции и второго контроллера).

выход из строя второго контроллера наверно интересно проэмулировать только с целью получения данных об ошибках в журналах работы доменных служб на первом КД.

Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете задать вопрос в этой теме форума:
Создание дополнительного контроллера домена Windows 2003