| Новые программы oszone.net |  |
Q: Как правильно создать и настроить дополнительный контроллер домена Windows 2003? A: 1. Выполняем проверку конфигурации первого контроллера домена 2. Делаем резервную копию первого КД 3. На новый сервер устанавливаем ОС 4. Выполняем настройки TCP/IP: IP адрес статический и уникальный, Предпочитаемый DNS указывает на IP адрес первого контроллера - тк он и есть DNS сервер. 5. Выполняем подключение этой системы к домену по DNS имени домена (Servers - - [NTDS Settings] -> Servers - your.domain.local - [NTDS Settings]). Если на этом этапе возникают ошибки - значит инфраструктура DNS развернута не правильно.6. Регистрируемся учетной записью Администратора домена и запускаем мастер Управление данным сервером (Manage Your Server) 7. Если спросят указываем выборочную конфигурацию (Custom) и выбираем новую роль Контроллера домена (Domain Controller) (Если есть необходимость развернуть новый контроллер удаленно можно использовать резервную копию первого КД для оперции загрузки базы AD)8. В мастере создания контроллера домена выбираем режим Дополнительного контроллера домена и указываем DNS имя домена 9. Выполняем дополнительные настройки (пути к каталогам, пароли и тп) и дожидаемся окончания процесса конфигурации и переноса базы данных 10. Выполняем перезагрузку нового контроллера домена и выполняем проверку журналов системы (Event Viewer) 11. Если все в порядке, то открываем мастер Управления данным сервером (Manage Your Server) второй раз и выполняем добавление роли DNS сервера на эту систему (кстати эту операцию можно выполнить перед поднятием роли контроллера домена) 12. На предложение мастера о создании зоны DNS следует отказаться (необходимые зоны уже были интегрированы в базу Active Directory и реплицировались с первого КД) 13. Используем консоль управления DNS сервером для того чтобы убедиться что необходимые зоны появились (_msdcs.your.domain.local> и your.domain.local). Иначе перезагружаем сервер. 14. Теперь в сети инфраструктура DNS была изменена и DNS сервера теперь 2. Поэтому на всех ОС, входящих в домен необходимо эти изменения отобразить: 15. В качестве предпочитаемого DNS сервера на системах уже должен был быть установлен IP адрес первого КД, а вот теперь в качестве альтернативного нужно указать IP адрес второго контроллера домена. 16. Особо отмечу что эта конфигурация должна быть отображена на всех системах в домене: контроллеры, сервера и клиенты. (Если только не используется особые режимы настрйки инфраструктыры DNS) 17. Также добавить на второй КД роль Глобального Каталога (в дополнении к первому): 18. Анализируем журнал Directory Service на втором контроллере, дожидаемся репликации и подтверждения принятия роли ГК. Перегружаемся. Что это даст? Это методика позволяет в случае выхода из строя первого контроллера домена - находить второй контроллер и работать с базой данных Active Directory.Конечно, если первый контроллер будет отключен, то не будут доступны хозяева операций - 5 штук. Самым нужным кторым для клиента является Хозяин - "Эмулятор PDC". Например он нужен клиентским системам чтобы выполнять некоторые операции для осблуживания клиентов. Как это все проверить? очень просто: отключаем от сети первый контроллер, далее: а. перезагружаем клиентскую систему и выполняем пробную регистрацию от имени сторого доменного пользователя и пробуем обратиться к какому-либо сетевому ресурсуб. перезагружаем клиентскую систему и выполняем пробную регистрацию от имени нового для этой станции доменного пользователя и пробуем обратиться к какому-либо сетевому ресурсу опять в. можно пойти еще дальше и перезагрузить в таком состоянии сети второй контроллер домена (и повторить операцию а. или б.) конечно на всех операциях нужно выполнить анализ Журналов Системы (локальной станции и второго контроллера). выход из строя второго контроллера наверно интересно проэмулировать только с целью получения данных об ошибках в журналах работы доменных служб на первом КД. Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете задать вопрос в этой теме форума: Q: Как проверить правильность установки при разворачивании домена AD? A: Чтобы узнать правильно ли было сделано - нужно задать другой вопрос - вы не велосипеди изобретаете - поэтому как нужно делать новую сетевую службу/компонент - конечно уже описано. Так же для проверки используйте Support Tools из дистрибутива серверной системы и используйте команды netdiag /v dcdiag /v и другие тоже.. в журналы системы и компонент заглядываейте. Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете задать вопрос в этой теме форума. Q: Как переустановить учетную запись компьютера в домене? A: Есть несколько способов сделать это. Способ 1: Netdom.exeДля каждого компьютера, являющегося членом домена, существует отдельный канал связи с контроллером домена (безопасный канал). Безопасный канал используется службой «Сетевой вход в систему» для обмена данными между членами домена и контроллером домена. Средство Netdom дает возможность переустановить безопасный канал члена домена. Для этого необходимо ввести следующую команду: netdom reset «компьютер» /domain:«домен» где «компьютер» — имя локального компьютера, а «домен» — имя домена, которому принадлежит учетная запись этого компьютера. Эту команду можно выполнить на любом компьютере — члене данного домена или на контроллере домена, используя учетную запись с правами администратора для компьютера члена домена. Способ 2: Nltest.exe Средство Nltest.exe используется для проверки доверительных отношений между компьютером, работающим под управлением Windows 2000 или Windows XP и являющимся членом домена, и контроллером домена, которому принадлежит учетная запись этого компьютера. /SC_QUERY:имя_домена - Отображает состояние безопасного канала для домена имя_домена на сервере имя_сервера Способ 3: Active Directory - пользователи и компьютеры Windows 2000 и Windows XP позволяют переустановить учетную запись компьютера с помощью графического интерфейса пользователя. Для этого необходимо в оснастке «Active Directory - пользователи и компьютеры» щелкнуть правой кнопкой мыши элемент, соответствующий требуемому компьютеру, и выбрать команду Переустановить учетную запись. При этом учетная запись выбранного компьютера будет переустановлена. Этот способ не позволяет переустанавливать пароль контроллеров домена. Переустановка учетной записи компьютера прекращает его подключение к домену и требует заново ввести данный компьютер в домен. Способ 4: Сценарий Microsoft Visual Basic Переустановку учетной записи компьютера можно выполнить с помощью сценария Visual Basic. Для этого следует подключиться к учетной записи компьютера с помощью интерфейса IADsUser и установить начальное значение пароля с помощью метода SetPassword. Начальным паролем компьютера всегда является «имя_компьютера$». Dim objComputerПример 2 Dim objComputer Дополнительную информацию по данному вопросу вы можете получить из этой статьи MS KB: Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете задать вопрос в этой теме форума. Q: Как создать учетную запись из командной строки? A: net user User abc123 /add Таким образом мы добавляем пользователя User с паролем abc123 в группу Administrators. net user "Super User" abc123 /addДополнительную информацию вы можете получить из этой статьи: Автоматическая установка: Добавлeние учетных записей Q: Как ограничить возможность подключения нескольких пользователей под одной учетной записью? A: Способ 1: использование утилиты cconnect Способ 2: использование утилиты LimitLogin Здесь приведены только основные сведения о LimitLogin. Полная информация содержится в справочном файле, входящем в комплект установки. При использовании LimitLogin следует учитывать, что некоторые антивирусы и антишпионские программы могут попытаться заблокировать выполнение сценариев, то есть необходимо будет настроить эти программы для разрешения запуска используемых сценариев. Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете задать вопрос в этой теме форума. Q: Как переподключить членов домена к новому, после потери старого? A: Windows 2000, XP придется переподключать к новому домену в любом случае - при подключении будет создан объект "компьютер" в АД и настроено безопасное взаимодействие, путем определения пароля для каждого из них. Без этого системы не смогут аутентифицироваться в домене. NETDOM REMOVE %1 /Domain:mydomain /UserO:%1\%2 /PasswordO:%3 /REBoot:10 REM pause "для тестирования"Команда для выполнения: unjoin.bat client19 administrator passwordаналогично с подключением. Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете задать вопрос в этой теме форума. Q: Как организовать авторизацию из скрипта для доступа к общим папкам на внешнем сервере? A: net use t: \\servername_or_IP\sharename /user:username pwd Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете задать вопрос в этой теме форума. Q: Расскажите как перенести базы данных DHCP с Windows 2000 на Windows Server 2003 A: Этап 1: Экспорт базы данных DHCP с сервера Windows 2000 netsh dhcp dump >C:\dhcp.txt где C:\dhcp.txt – это имя и путь к файлу экспорта, который надо использовать. Примечание. Параметр экспорта не поддерживается командой netsh на сервере Windows 2000 Server. Команды netsh dhcp server dump и netsh dhcp server import несовместимы. При попытке импорта данных, созданных командой netsh dhcp server dump > C:\dhcp.txt, с помощью команды netsh DHCP server import > C:\dhcp.txt на компьютере под управлением Windows Server 2003 будет получено следующее сообщение об ошибке: The request is not supported. Можно перенести файл конфигурации на новый сервер Windows Server 2003 с помощью следующей команды: netsh exec c:\dhcp.txt Программа Dhcpexim.exe не поддерживается сервером Windows Server 2003. Если база данных экспортируется на компьютер под управлением Windows 2000 с помощью программы Dhcpexim.exe, то при попытке импортировать эти данные на сервер Windows Server 2003 программа Dhcpexim.exe прекращает работу, и появляется следующее сообщение об ошибке: An error occurred. An attempt was made to load a program with a incorrect format. В случае возникновения этой ошибки экспортируйте данные из Windows 2000 с помощью команды dhcpexim, а затем импортируйте эти данные в среду Windows Server 2003 с помощью команды netsh DHCP server import xyz.txt. Импорт базы данных DHCP Примечание. Во время этой процедуры может выдаваться сообщение «Отказано в доступе», если пользователь не является членом группы «Операторы архива». Если получено сообщение об ошибке «Невозможно определить версию DHCP-сервера для сервера», убедитесь, что на сервере работает служба DHCP-сервера и вошедший в систему пользователь входит в группу локальных администраторов. Внимание! Не используйте программу Dhcpexim.exe для импорта базы данных DHCP в Windows Server 2003. Кроме того, если сервер назначения с ОС Windows 2003 является рядовым сервером и его планируется сделать контроллером домена, то перед назначением этого сервера контроллером домена рекомендуется выполнить перенос базы данных DHCP. Базу данных DHCP можно перенести на контроллер домена Windows 2003, но легче выполнить перенос на рядовой сервер, воспользовавшись учетной записью локального администратора. 1. Войдите в систему с учетной записью, входящей в группу локальных администраторов. Учетная запись в группе, которая является подгруппой группы локальных администраторов, не подойдет. Если для контроллера домена отсутствует учетная запись локального администратора, перезагрузите компьютер в режиме восстановления службы каталогов и используйте учетную запись администратора для импорта базы данных, как описано далее. 2. Скопируйте экспортированный файл базы данных DHCP на локальный жесткий диск компьютера под управлением Windows Server 2003. 3. Убедитесь, что на компьютере под управлением Windows Server 2003 запущена служба DHCP. 4. Выберите в меню Пуск пункт Выполнить, введите в поле Открыть команду cmd и нажмите кнопку ОК. 5. В командной строке введите netsh dhcp server import c:\dhcpdatabase.txt all и нажмите клавишу ВВОД. Здесь c:\dhcpdatabase.txt является полным путем и именем файла базы данных, скопированного на сервер. 6. Для устранения этой неполадки добавьте компьютер с DHCP-сервером Windows Server 2003 в группу администраторов DHCP на уровне предприятия. 7. Если сообщение «отказано в доступе» появится после добавления компьютера с DHCP-сервером Windows Server 2003 в группу администраторов DHCP на уровне предприятия, упомянутого в шаге 4, убедитесь, что учетная запись пользователя, используемая для импорта, входит в группу локальных администраторов. Если эта учетная запись не входит в эту группу, для завершения импорта добавьте ее в эту группу или войдите в систему с правами локального администратора. Дополнительную информацию вы можете получить из этой статьи MS KB Q: Во время понижения роли контроллера домена под управлением Windows Server 2003 с помощью мастера установки AD (Dcpromo.exe) произошла ошибка. Теперь никакие учетные записи домена (и администратора домена) не доступны, домен не доступен, контроллер не доступен, в логах море ошибок. Как спсти положение без переустановки системы? A: Причина: dcpromo /forceremoval2. Нажмите кнопку ОК. 3. В диалоговом окне мастера установки Active Directory нажмите кнопку Далее. 4. На странице Принудительное удаление службы Active Directory нажмите кнопку Далее. 5. На странице Пароль администратора введите и подтвердите пароль, который должен быть назначен учетной записи администратора в локальной базе данных SAM, и нажмите кнопку Далее. 6. Нажмите кнопку Далее на странице Сводка. 7. На оставшемся в лесу контроллере домена выполните удаление метаданных пониженного в роли контроллера домена. За более подробной информацией по данному вопросу вы можете обратиться к этой статье MS KB Если решений предложенных в статье оказалось недостаточно для решения проблемы, то вы можете обратиться в эту тему на форуме OSzone.net Q: Можно ли как-то восстановить состояние объектов групповой политики по умолчанию, то есть чтоб они были такими как после установки ОС? A: Данное средство позволяет восстановить исходное состояние (имеющее место после установки) политики по умолчанию для домена и политики по умолчанию для контроллеров домена. При запуске программы dcgpofix будут утеряны все изменения этих объектов групповой политики. dcgpofix [/ignoreschema][/target: {domain | dc | both}]Параметры: /ignoreschemaНеобязательно. Игнорирование номера версии схемы Active Directory. /target: {domain | dc | both}Необязательно. Определение конечного домена, контроллера домена или того и другого. Если значение параметра /target не задано, программа dcgpofix по умолчанию использует значение both (то и другое). Примеры: Использование команды dcgpofix для восстановления объекта политики по умолчанию для домена показано в следующем примере: dcgpofix /target: domainЕсли данное решение не помогло вам решить вопрос вы можете обратиться в эту тему на форуме OSzone.net Q: Очень долгая загрузка компьютеров - членов домена и ошибка "Указанный домен не существует или к нему невозможно подключиться | Обработка групповой политики прекращена.подскажите пожалуйста в чем причина. A: Есть несколько вариантов решения проблемы: Вариант 1: Вариант 2: Тип события: Ошибка• В журнале системных событий регистрируется следующее сообщение об ошибке. Тип события: Ошибка• После отображения диалогового окна Вход в систему появляется следующее сообщение об ошибке. Lsass.exe — Системная ошибкаЕсли нажать кнопку OК в диалоговом окне Вход в систему, компьютер может перезагрузиться. • Компьютер автоматически перезагружается после появления диалогового окна Вход в систему. • Когда компьютер перезагружается, диалоговое окно Вход в систему появляется с большой задержкой. С помощью учетной записи домена не удается войти в систему или наблюдается большая задержка при входе. Кроме того, перемещение по списку доменов в диалоговом окне Вход в систему происходит очень медленно. • На компьютере под управлением Windows XP или Windows Server 2003 появляется уведомление о том, что оборудование системы с момента последней активации сильно изменилось. Кроме того, в уведомлении может содержаться сообщение о необходимости повторной активации. • В окне диспетчера устройств отображается пустой список оборудования. Сообщения об ошибках при этом не появляются. Если выделить пункт Диспетчер устройств в окне оснастки «Управление компьютером», то правое окно остается пустым. • Компьютер запускается, и появляется диалоговое окно Вход в систему, однако указатель ожидания не изменяется. Компьютер не отвечает на нажатие сочетания клавиш CTRL+ALT+DEL. • При загрузке компьютера на этапе Применение параметров компьютера появляется следующее сообщение об ошибке. Lsass.exe – Системная ошибкаЕсли нажать кнопку OК, компьютер запускается. После этого появляется сообщение о том, что не удается запустить службу. На контроллере домена перестают работать отдельные функции. Могут появляться сообщения об ошибках в таких средствах, как Dcdiag.exe. • При попытке запустить службу вручную появляется следующее сообщение об ошибке, а затем компьютер начинает перезагружаться. Lsass.exe — Системная ошибка Причина Решение • Sc query HTTPFilterЕсли службы, которые перечислены в разделе «Дополнительная информация», настроены правильно, то параметр TYPE имеет значение 20 WIN32_SHARE_PROCESS (выполняются в качестве общих процессов служб). Например, по результатам выполнения команды SC query Netlogon будут выведены следующие данные. C:\>sc query Netlogon SERVICE_NAME: Netlogon TYPE : 20 WIN32_SHARE_PROCESS STATE : 4 RUNNING (STOPPABLE,PAUSABLE,IGNORES_SHUTDOWN) WIN32_EXIT_CODE : 0 (0x0) SERVICE_EXIT_CODE : 0 (0x0) CHECKPOINT : 0x0 WAIT_HINT : 0x0Примечание. У служб, которые выполняются в качестве отдельных процессов памяти, параметр TYPE имеет значение 10 WIN32_OWN_PROCESS. После определения неправильно настроенных служб выполните следующие действия, чтобы изменить значение параметра TYPE. 1. Выберите в меню Пуск пункт Выполнить, введите команду cmd и нажмите кнопку ОК. 2. Введите sc config Имя службы type= share, после чего нажмите клавишу ВВОД. Примечание. В этом шаге служба Имя службы является одной из служб, перечисленных в разделе «Дополнительная информация». 3. Повторите действие 1 для каждой неправильно настроенной службы. Примечание. Даже если уведомление о необходимости активации появилось до выполнения этих действий, произведите повторную активацию ОС Windows. Дополнительная информация • HTTPFilter (HTTP SSL)Если данное решение не помогло вам решить вопрос вы можете обратиться в эту тему на форуме OSzone.net Q: Измененя групповой политики паролей не применяются на клиентах домена. В чем может быть дело? A: Возьмите с утилиту Group Policy Management Console от Microsoft и выполните анализ работы групповых политик. Q: Как организовать пакетное добавление пользователей в Active Directory на Windows 2000/2003? A: Вариант 1: - Применяется только для Windows 2000 AddUsers {/c|/d{:u}|/e} имя_файла [/s:x] [/?] [\\имя_компьютера|имя_домена] [/p:{l|c|e|d}]• \\имя_компьютера — имя компьютера, на котором создаются учетные записи пользователей или с которого производится их запись. Если параметр имя_компьютера опущен, по умолчанию используется локальный компьютер. • имя_домена — этот параметр может быть использован вместо параметра имя_компьютера. В этом случае программа Addusers обращается к основному контроллеру указанного домена. • /c — служит для создания учетных записей пользователей, локальных и глобальных групп в соответствии с данными файла имя_файла. • /d{:u} — служит для создания в указанном файле дампа учетных записей пользователей, локальных и глобальных групп. Для записи текущих учетных записей в указанный файл в формате Юникод применяется дополнительный параметр (:u). Создание дампа не приводит к сохранению паролей и прочих параметров безопасности текущих учетных записей пользователей. Для сохранения параметров безопасности учетных записей необходимо использовать программу архивации данных на магнитной ленте. Примечание. Дамп учетных записей не содержит сведений о паролях. С помощью этого файла учетные записи пользователей создаются с пустыми паролями. По умолчанию каждый пользователь должен изменить пароль при первом входе в систему. • /e — служит для удаления указанных в заданном файле учетных записей. Внимание! Воссоздать учетную запись пользователя с тем же идентификатором защиты (SID) невозможно. Данный параметр не предназначен для удаления встроенных учетных записей. • имя_файла — файл с разделителем запятой, который программа AddUsers использует для получения или записи данных. • /s:x — дополнительный параметр, который служит для изменения символа-разделителя. Вместо x необходимо подставить новый символ-разделитель полей файла. (например, /s:~, чтобы использовать символ «~» (тильда)). Если этот параметр опущен, по умолчанию используется запятая. • /? — служит для вывода окна справки. • На компьютере под управлением Windows NT 4.0 программа Addusers.exe более поздней версии, которая входит в состав Windows NT Resource Kit Supplement 3, дополнительно поддерживает параметр /p. С помощью этого параметра расширяются возможности по созданию новых учетных записей пользователей в среде Windows NT. • /p: — служит для определения свойств создаваемых учетных записей. Используется с произвольной комбинацией перечисленных ниже параметров. • l — пользователям не надо менять пароль при следующем входе в систему. • с — пользователи не имеют права менять пароль. • е — срок действия пароля не ограничен (подразумевается использование параметра l). • d — отключить учетные записи. Пример создания учетных записей пользователей и групп с помощью программы Addusers 1. Войдите на конечный компьютер в качестве члена группы «Администраторы». 2. Создайте текстовый файл с разделителем запятой, содержащий данные пользователей и групп. Синтаксис записей зависит от раздела. [Users]Записи разделов [Local] и [Global] после поля комментария могут содержать 0 и более полей имя_пользователя. Каждый из этих пользователей включается в состав группы. В конце каждой записи должна стоять запятая или другой символ-разделитель. Ниже приведен пример из файла справки Resource Kit Tools. [User]3. Сохраните файл. 4. Создание пользователей и групп выполняется с помощью пакетного файла или из командной строки. Приведенная ниже команда служит для создания учетных записей и пользователей, перечисленных в файле Users.txt (срок действия пароля не ограничен, поскольку использован параметр /p:е): C:\>AddUsers [\\имя_компьютера] /c c:\Users.txt /p:eили, если используется имя домена: C:\>AddUsers [\\имя_домена] /c c:\Users.txt /p:eПример создания списка учетных записей и групп на компьютере под управлением Windows 1. Войдите на целевой компьютер в качестве члена группы «Администраторы». 2. В командной строке введите Addusers \\имя_сервера /d имя_файла.txtгде имя_сервера — это имя контроллера домена, рядового сервера или рабочей станции Имея соответствующие разрешения, администраторы могут создавать списки пользователей других доменов. Список хранится в текстовом файле имя_файла.txt. Кроме того, в нем записаны данные о профиле, домашней папке и сценарии для каждого пользователя. Команда NET USERS также позволяет создавать, изменять и редактировать учетные записи пользователей, однако не поддерживает некоторых функций программы Addusers.exe. Вариант 2: - Применяется только для Windows 2003 Создание учетной записи 1. Нажмите кнопку Пуск и выберите команду Выполнить. 2. В поле Открыть введите команду cmd. 3. В командной строке введите команду: dsadd user userdn -samid sam_nameДанная команда использует следующие параметры командной строки: • userdn - различаемое имя (или DN) добавляемого объекта пользователя. • sam_name - имя диспетчера учетной записи безопасности (SAM), являющееся уникальным для данного пользователя (например, Linda). 4. Для задания пароля учетной записи пользователя, введите следующую команду, где password — это пароль для учетной записи: dsadd user userdn -pwd passwordПРИМЕЧАНИЕ. Для вывода полной информацию о синтаксисе данной команды и дополнительных параметрах учетной записи пользователя, введите в командной строке команду dsadd user /?. Создание новой группы 1. Нажмите кнопку Пуск и выберите команду Выполнить. 2. В поле Открыть введите команду cmd. 3. В командной строке введите команду: dsadd groupgroup_dn -samidsam_name -secgrp yes | no -scope l | g | uДанная команда использует следующие параметры командной строки: • group_dn - различаемое имя добавляемого объекта группы. • sam_name - имя диспетчера учетных записей безопасности, уникальное для данной группы (например, operators). • yes | no показывает, будет ли добавляемая группа группой безопасности (yes) или группой распространения (no). • l | g | u указывает область действия добавляемой группы ( domain local [l], global [g], или universal [u]). Если домен, в котором создается группа, работает в смешанном режиме Windows 2000, то выбрать можно только группы безопасности с областью действия в пределах домена или глобальной областью действия. Для вывода полной информацию о синтаксисе данной команды и дополнительных параметрах учетной записи пользователя, введите в командной строке команду dsadd group /?. Добавление пользователя в группу 1. Нажмите кнопку Пуск и выберите команду Выполнить. 2. В поле Открыть введите команду cmd. 3. В командной строке введите команду: dsmod groupgroup_dn -addmbr member_dnДанная команда использует следующие параметры командной строки: • group_dn - различаемое имя добавляемого объекта группы. • member_dn - уникальное имя объекта, добавляемого в группу. Кроме пользователей и компьютеров, в состав группы могут быть входить контакты и другие группы. Для вывода полной информации о синтаксисе данной команды и дополнительных параметрах учетной записи пользователя и группы, введите в командной строке команду dsmod group /?. Преобразование типа группы 1. Нажмите кнопку Пуск и выберите команду Выполнить. 2. В поле Открыть введите команду cmd. 3. В командной строке введите команду: dsmod group group_dn -secgrp {yes|no}Данная команда использует следующие параметры командной строки: • group_dn - различаемое имя объекта группы, тип которой будет изменен. • yes | no показывает, будет ли группа отнесена к категории групп безопасности (yes) или групп распространения (no). Для преобразования группы домен должен работать в основном режиме Windows 2000 или более высоком. Преобразование групп невозможно, если домена работает в смешанном режиме Windows 2000. Для вывода полной информации о синтаксисе данной команды введите в командной строке команду dsmod group /?. Изменение области действия группы 1. Нажмите кнопку Пуск и выберите команду Выполнить. 2. В поле Открыть введите команду cmd. 3. В командной строке введите команду: dsmod group group_dn -scope l|g|uДанная команда использует следующие параметры командной строки: • group_dn обозначает узнаваемое имя объекта группы, у которого будет изменена область действия. • l|g|u обозначает область действия, присваиваемую данной группе и может иметь значения «local» (локальная), «global» (глобальная) и «universal» (универсальная). В доменах, работающих в смешанном режиме Windows 2000, универсальная область действия не поддерживается. Преобразование локальной области действия в глобальную или наоборот невозможно. ПРИМЕЧАНИЕ. Изменение областей действия групп возможно только для доменов, работающих в основном режиме Windows 2000 или режимах более высокого уровня. Если данное решение не помогло вам решить проблему вы можете обратиться в эту тему на форуме OSzone.net Q: Подскажите как настроить автоматическое обновление компьютеров сети из источника в локальной сети, чтоб каждый клиент не тянул обновления с Windows Update? A: В решении данной задачи вам поможет развертывание служб Windows Server Update Services (WSUS) Q: Как можно организовать переименование рабочих станций в домене удаленно, то есть не вручную на каждой рабочей станции, а с сервера? A: Способ 1 Рекомендации из статьи MS KB How To Use the Netdom.exe Utility to Rename a Computer in Windows Server 2003: Изменение имени компьютера netdom renamecomputer Computername /newname:new_computernameДалее следует описание параметров данной команды: • Computername: Исходное имя компьютера. • New_computername: Имя компьютера после переименование. Оба имени компьютера: и DNS имя и NetBIOS будут изменены на новое. Если в новом имени компьютера больше 15 символов, то NetBIOS имя компьютера будет сокращено до первых 15 символов. • /userd:Domain\UserName: Учетная запись пользователя используемая для подключения к домену. Эта учетная запись используется для подключения к домену, членом которого является компьютер. Этот параметр обязателен, а в случае если домен не указан, подразумевается домен компьютера. • /usero:UserName: Учетная запись пользователя используемая для создания домена и имеющая права локального администратора (может быть одной из учетных записей указанных в параметре /userd:). Эта учетная запись используется для подключения к компьютеру который будет переименован. Если не указано, используется учетная запись (загруженного) сеанса пользователя. Пользователи домена могут быть указаны как "/uo:domain\user". Если домен не указан, то подразумевается локальная учетная запись компьютера. • /passwordd: password: Пароль учетной записи пользователя указанной в параметре /userd. • /passwordo: password: Пароль учетной записи пользователя указанной в параметре /usero. • force: Эта команда может неблагоприятно отразиться на некоторых запущенных на компьютере службах. Если параметр /force не указан, у пользователя будет запрошено подтверждение на выполнение команды. • Reboot: Этот параметр указывается в случае если необходима автоматическая перезагрузка компьютера после проведения переименования. Число секунд до автоматической перезагрузки может быть указано. По умолчанию секунд 30. Если этот параметр не указан, то компьютер должен быть перезагружен вручную. Например, есть рабочая станция с именем "Mycomputer" член домена с именем "Mydomain." Вам необходимо изменить имя компьютера на "Yourcomputer", после чего автоматически перезагрузить компьютер через 60 секунд после переименования. Вы можете использовать следующую команду. Примечание: Эта команда представлена в несколько строк для лучшего восприятия. Вводить команду необходимо в одну строку. netdom renamecomputer mycomputer /newname:yourcomputerБудет показано следующее предупреждение и будет показан запрос на подтверждение продолжения процедуры переименования компьютера: This operation will rename the computer "Mycomputer" to "Yourcomputer". Certain services, such as certification authority, rely on a fixed computer name. If any services of this type are running on "Mycomputer", a computer name change would have an adverse impact.Если вы не хотите подтверждать выполнение команды, то вместе с остальными параметрами используйте /force при вводе команды netdom Способ 2 Использование утилиты Workstation Name Changer (WSName.exe) В качестве альтернативного варианта возможно использование VB скриптов для переименования рабочих станций в составе домена.
' ------ SCRIPT CONFIGURATION ------
strComputer = "" e.g. joe-xp
strNewComputer = "" e.g. joe-pc
strDomainUser = "" e.g. administrator@domain
strDomainPasswd = ""
strLocalUser = "" e.g. joe-xp\administrator
strLocalPasswd = ""
' ------ END CONFIGURATION ---------
'###########################
' Connect to Computer
'###########################
set objWMILocator = CreateObject("WbemScripting.SWbemLocator")
objWMILocator.Security_.AuthenticationLevel = 6
set objWMIComputer = objWMILocator.ConnectServer(strComputer, _
"root\cimv2", _
strLocalUser, _
strLocalPasswd)
set objWMIComputerSystem = objWMIComputer.Get( _
"Win32_ComputerSystem.Name='" & _
strComputer & "'")
'###########################
' Rename Computer
'###########################
rc = objWMIComputerSystem.Rename(strNewComputer, _
strDomainPasswd, _
strDomainUser)
if rc 0 then
WScript.Echo "Rename failed with error: " & rc
else
WScript.Echo "Successfully renamed " & strComputer & " to " & _
strNewComputer
end if
WScript.Echo "Rebooting..."
set objWSHShell = WScript.CreateObject("WScript.Shell")
objWSHShell.Run "rundll32 shell32.dll,SHExitWindowsEx 2"
Вариант 2:
Dim RegKeyCompName, RegKeyTCPIP, WSHShell, ComputerName, HostName, DomainName, FQDN, ADRootDSE, ADSysInfo, ADComputerName, ADRenameOK, ADRNewName, vStartRenameCA, NewNAmeU, NewNameL, vStartRenameAD
On Error Resume Next
'###### READ IN EXISTING COMPUTERNAME AND FQDN ######
RegKeyCompName = "HKLM\SYSTEM\CurrentControlSet\Control\ComputerName\"
RegKeyTCPIP = "HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\"
Set WSHShell = CreateObject("WScript.Shell")
ComputerName = WSHShell.RegRead (RegKeyCompName & "ComputerName\ComputerName")
Hostname = WSHShell.RegRead (RegKeyTCPIP & "Hostname")
DomainName = WSHShell.RegRead (RegKeyTCPIP & "Domain")
FQDN = HostName & "." & DomainName
Set ADRootDSE = GetObject("LDAP://RootDSE")
If Err.Number 0 then
ADComputerName = "Unable to determine this information"
ADOU = "Unable to determine this information"
ADRenameOK = "0"
else
Set ADSysInfo = CreateObject("ADSystemInfo")
ADComputerName = ADSysInfo.ComputerName 'Get DN of local computer
ADRenameOK = "1"
ADOU = Mid(ADComputerName, InStr(ADComputerName, "=") + 1) 'Strip off just after the first = sign
ADOU = Mid(ADOU, InStr(ADOU, "=") - 2) 'Strip off at 2 before the second = sign
ComputerPath = "LDAP://" & ADComputerName
OUPath = "LDAP://" & ADOU
End if
'###### ASK USER FOR NEW DETAILS ###########
MsgBox "This script renames this computer and its active directory account" & vbCr & vbCr & "Name: " & ComputerName & vbCr & "FQDN: " & FQDN & vbCr & vbCr & "AD DN: " & ADComputerName & vbCr & "AD OU: " & ADOU, 0, "Information"
NewName = InputBox("Enter the new computer name below and click OK to continue","Rename: Step 1")
NewNameU = UCase(NewName)
NewNameL = LCase(NewName)
NewNameUCN = "CN=" & NewNameU
if NewName = "" then
wscript.echo "The computer name has not been changed"
else
vStartRenameCA = MsgBox ("Continue and rename computer to: " & NewName,vbYesNo or vbExclamation,"Rename: Step 2")
if vStartRenameCA = 6 then
With WSHShell
.RegDelete RegKeyTCPIP & "Hostname"
.RegDelete RegKeyTCPIP & "NV Hostname"
.RegWrite RegKeyCompName & "ComputerName\ComputerName", NewNameU
.RegWrite RegKeyCompName & "ActiveComputerName\ComputerName", NewNameU
.RegWrite RegKeyTCPIP & "Hostname", NewNameL
.RegWrite RegKeyTCPIP & "NV Hostname", NewNameL
End With
wscript.echo "The computer name and FQDN have been changed"
elseif vStartRenameCA = 7 then
wscript.echo "The computer name and FQDN have NOT been changed"
end if
if ADRenameOK = 1 then
vStartRenameAD = MsgBox ("Continue and rename AD Account to: " & NewName,vbYesNo or vbExclamation,"Rename: Step 3")
if vStartRenameAD = 6 then
Set objItem = GetObject(ComputerPath)
objItem.Put "dNSHostName", NewNameL & DomainName
objItem.SetInfo
objItem.Put "displayName", "DESKTOP_" & NewNameU & "$"
objItem.SetInfo
objItem.Put "sAMAccountName", NewNameU & "$"
objItem.SetInfo
Set objNewOU = GetObject(OUPath)
Set objMoveComputer = objNewOU.MoveHere _
(ComputerPath, NewNameUCN)
wscript.echo "The active directory computer account has been changed"
elseif vStartRenameAD = 7 then
wscript.echo "The computer account in AD has NOT been changed"
End If
else
wscript.echo "Insufficient information to rename AD account"
End If
End if
Если предоставленной информации оказалось недостаточно для решения вашей задачи вы можете Q: При добавлении пользователя выдается ошибка: "Не удалось проверить уникальность предлагаемого имени пользователя в глобальном каталоге по следующей причине......". Как исправить? A: Такая ошибка может возникать в случае если имя домена состоит из одной метки Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете Q: При добавлении станции к домену выдается сообщение, что превышено максимальное допустимое число записей. A: По умолчанию Windows 2000 предоставляет право подключения рабочих станций к домену группе «Прошедшие проверку». Решение Способ 1: Предварительное создание учетной записи для компьютера пользователя 1. В окне оснастки «Active Directory — пользователи и компьютеры» щелкните правой кнопкой мыши контейнер, в котором расположены учетные записи. Способ 2: Предоставление пользователю записей управления доступом (ACE) «Создание объектов компьютера» и «Удаление объектов компьютера» 1. В окне оснастки «Active Directory — пользователи и компьютеры», в меню Вид выберите команду Дополнительные функции так, чтобы при нажатии кнопки Свойства была видна вкладка Безопасность. Способ 3: Изменение установленного по умолчанию количества компьютеров, которое прошедший проверку пользователь может подключить к домену • С помощью программы Ldp.exe из состава Microsoft Windows 2000 Resource Kit. • С помощью сценария интерфейса службы Active Directory (ADSI) увеличить или уменьшить значение атрибута ms-DS-MachineAccountQuota. Если предоставленной информации оказалось недостаточно для решения вашей проблемы вы можете Q: Можно ли на терминальном сервере Windows Server 2003 ограничить одновременное количество запусков определённой программы терминальным пользователям? A: Как это реализовать стандартными средствами Windows найти не удалось, однако в WMI командах есть возможность выполнять отображение количество запущенных процессов. Пример скрипта: С целью информативности работы сценария принменены всплывающие окна, которые можно убрать. Если предоставленной информации оказалось недостаточно для решения вашей задачи вы можете Q: Как запретить использование USB портов, дисководов CD-ROM и Floppy с помощью Групповых Политик A: По умолчанию Групповые Политики не предоставляют возможности простого способа отключения устройств использования сменных носителей, таких как порты USB, дисководы CD-ROM, Floppy дисководы.
CLASS MACHINE
CATEGORY !!category
CATEGORY !!categoryname
POLICY !!policynameusb
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN !!explaintextusb
PART !!labeltextusb DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamecd
KEYNAME "SYSTEM\CurrentControlSet\Services\Cdrom"
EXPLAIN !!explaintextcd
PART !!labeltextcd DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 1 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynameflpy
KEYNAME "SYSTEM\CurrentControlSet\Services\Flpydisk"
EXPLAIN !!explaintextflpy
PART !!labeltextflpy DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
POLICY !!policynamels120
KEYNAME "SYSTEM\CurrentControlSet\Services\Sfloppy"
EXPLAIN !!explaintextls120
PART !!labeltextls120 DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY
[strings]
category="Custom Policy Settings"
categoryname="Restrict Drives"
policynameusb="Disable USB"
policynamecd="Disable CD-ROM"
policynameflpy="Disable Floppy"
policynamels120="Disable High Capacity Floppy"
explaintextusb="Disables the computers USB ports by disabling the usbstor.sys driver"
explaintextcd="Disables the computers CD-ROM Drive by disabling the cdrom.sys driver"
explaintextflpy="Disables the computers Floppy Drive by disabling the flpydisk.sys driver"
explaintextls120="Disables the computers High Capacity Floppy Drive by disabling the sfloppy.sys driver"
labeltextusb="Disable USB Ports"
labeltextcd="Disable CD-ROM Drive"
labeltextflpy="Disable Floppy Drive"
labeltextls120="Disable High Capacity Floppy Drive"
Enabled="Enabled"
Disabled="Disabled"
В случае если добавленные политики не отображаются в редакторе групповых политик проделайте следующее:1. В правой части окна редактора политик нажмите правую клавишу мыши, перейдите в пункт меню Вид и нажмите Фильтрация... 2. Снимите отметку с пункта "Показывать только управляемые параметры политики" 3. Нажмите ОК После этого добавленные политики будут отображены в правой части окна редактора групповых политик. Для получения дополнительной информации о файлах административных шаблонов обратитесь к этой статье: Using Administrative Template Files with Registry-Based Group Policy По материалам статьи MS HOWTO: Use Group Policy to disable USB, CD-ROM, Floppy Disk and LS-120 drivers
Теги:
|
|
