Tài liệu môn học Hệ điều hành (operating systems) - Chương 4: Hiện thực và quản lý các tài khoản Group và Computer
• Các tài khoản group và computer có thể được tạo
và quản lý
• Từ Active Directory Users and Computers
• Từ ứng dụng dòng lệnh
• Các group Builtin và User và các container được
tạo tự động khi cài đặt với một số quyền thiết lập
trước
• Windows NT 4.0, 2000, XP và Server 2003 y/c
các tài khoản computer trong Active Directory
50 trang |
Chia sẻ: nguyenlam99 | Lượt xem: 997 | Lượt tải: 0
Bạn đang xem trước 20 trang tài liệu Tài liệu môn học Hệ điều hành (operating systems) - Chương 4: Hiện thực và quản lý các tài khoản Group và Computer, để xem tài liệu hoàn chỉnh bạn click vào nút DOWNLOAD ở trên
70-290: MCSE Guide to Managing
a Microsoft Windows Server 2003
Environment
Chương 4:
Hiện thực và quản lý các
tài khoản Group và
Computer
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
2
Mục tiêu
• Hiểu mục đích của việc dùng các tài khoản group
là để đơn giản hóa việc quản trị
• Tạo các đối tượng group dùng công cụ giao diện
đồ họa cũng như dòng lệnh
• Quản lý các group security và các group
distribution
• Ý nghĩa các group xây dựng sẵn được tạo ra khi
cài đặt AD
• Quản lý và tạo các tài khoản computer
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
3
Giới thiệu các tài khoản Group
• Một group là 1 đối tượng container
• Dùng để tổ chức tập hợp các user, computer, contacts,
và các group khác
• Dùng để đơn giản hóa việc quản trị
• Giống như OU, ngoại trừ:
• Các OU không có nguyên lý bảo mật, các group có
• Các OU chỉ chứa các đối tượng từ domain cha của
chúng, các group có thể chứa cả các đối tượng từ trong
forest
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
4
Các kiểu Group
• Các group security
• Định nghĩa bởi Security Identifier (SID)
• Có thể gán quyền cho các tài nguyên
• Trong các DACL
• Có thể gán các quyền để thực hiện những nhiệm vụ
khác nhau
• Có thể cũng dùng như các thực thể email
• Các group distribution
• Chủ yếu dùng như các thực thể email
• Không có SID liên kết
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
5
Các phạm vi Group
• Phạm vi ý nói tới ranh giới lôgíc của những quyền
đ/v những tài nguyên đặc biệt
• Cả các group security và group distribution đều có
phạm vi
• 3 phạm vi
• Các đối tượng có thể trong mỗi phạm vi phụ thuộc trên
mức chức năng đã cấu hình của 1 domain
• Các kiểu phạm vi là: global, domain local và universal
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
6
Các phạm vi Group (tt)
• 3 mức chức năng domain:
• Windows 2000 mixed: cấu hình mặc định hỗ trợ kết
hợp cả các DC của Windows NT Server 4.0, 2000
Server và Server 2003
• Windows 2000 native: hỗ trợ kết hợp cả các DC của
Windows 2000 Server và Server 2003
• Windows Server 2003: chỉ hỗ trợ DC Windows Server
2003
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
7
Các Global Group
• Tổ chức các group của các user, computer, group
trong cùng domain
• Thường thể hiện vị trí địa lý của group chức năng
công tác
• Các kiểu của các đối tượng trong group liên quan
tới mức chức năng đã cấu hình của domain
• Phụ thuộc vào các kiểu của các DC trong môi trường
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
8
Các Domain Local Group
• Được tạo trên các DC
• Có thể gán quyền cho bất kỳ tài nguyên nào trong
cùng domain
• Có thể chứa các group từ domain khác
• Xác định các đối tượng cho phép trong group liên
hệ đến mức chức năng đã cấu hình của domain
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
9
Các Universal Group
• Điển hình được tạo ra cho các user hay những
group trong những domain khác nhau
• Lưu trên các DC được cấu hình như các global
catalog server
• Có thể gán quyền cho bất kỳ tài nguyên nào trong
forest
• Chỉ có thể được tạo trong mức chức năng domain
Windows 2000 native / Windows Server 2003
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
10
Các Universal Group (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
11
Tạo các đối tượng Group
• Các đối tượng Group lưu giữ trong cơ sở dữ liệu
AD
• Nhiều loại công cụ khác nhau có thể dùng để tạo
và quản lý:
• Active Directory Users and Computers
• ứng dụng dòng lệnh
• DSADD, DSMOD, DSQUERY,
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
12
Active Directory Users and
Computers
• Công cụ chính:
• Tạo các tài khoản group
• Có thể dùng để cấu hình các thuộc tính của các tài
khoản group
• Các group có thể được tạo trong bất kỳ container
có sẵn, tại gốc của đối tượng domain hoặc trong
các đối tượng OU tùy ý
• Các phạm vi group được xác định bởi mức chức
năng của domain được cấu hình như thế nào
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
13
Active Directory Users and
Computers (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
14
Thực tập 4-1: Tạo và thêm các
thành viên vào Global Group
• Mục tiêu: Dùng Active Directory Users and
Computers để tạo các global group
• Start Administrative Tools Active Directory
Users and Computers Users container New
Group
• Theo các chỉ dẫn để tạo một số global groups và
thêm các tài khoản user vào các group
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
15
Thực tập 4-1 (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
16
Thực tập 4-2: Tạo và thêm các
thành viên vào Domain Local
Groups
• Mục tiêu: Dùng Active Directory Users and
Computers để tạo các domain local group
• Active Directory Users New Group
• Theo các chỉ dẫn để tạo Domain Local group và
thêm các global groups vào đó
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
17
Thực tập 4-3: Thay đổi mức chức
năng của 1 Domain. Tạo và thêm
các thành viên vào Universal
Group
• Mục tiêu: Thay đổi mức chức năng của 1 Domain
Windows Server 2003 và dùng Active Directory
Users and Computers để tạo các universal group
• Mở đối tượng domain trong Active Directory
Users and Computers
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
18
Thực tập 4-3 (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
19
Thực tập 4-3 (tt)
• Theo các chỉ dẫn để nâng mức chức năng của
domain
• Tiếp tục bài tập tạo 1 universal group mới
• Tiếp tục bài tập thêm các group đã có vào group
mới này
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
20
Thực tập 4-3 (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
21
Chuyển đổi các kiểu Group
• Có thể cần thay đổi một group security thành
group distribution hoặc ngược lại
• Kiểu của group chỉ có thể thay đổi nếu mức chức
năng domain là Windows 2000 native hoặc cao
hơn
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
22
Thực tập 4-4: Chuyển đổi các
kiểu Group
• Mục tiêu: Dùng Active Directory Users and
Computers để thay đổi kiểu group
• Theo các chỉ dẫn để tạo 1 global group mới với
kiểu distribution
• Kiểm tra kiểu của group mới
• Tiếp tục bài tập với việc thay đổi kiểu thành
security và kiểm tra sự thay đổi đó
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
23
Thực tập 4-4 (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
24
Thực tập 4-4 (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
25
Chuyển đổi các phạm vi Group
• Phạm vi Group có thể thay đổi được
• Mức chức năng domain phải ít nhất là Windows
2000 native
• Các thay đổi đã được hỗ trợ:
• Global universal
• Domain local universal
• Universal global
• Universal domain local
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
26
Thực tập 4-5: Chuyển đổi các
phạm vi Group
• Mục tiêu: Dùng Active Directory Users and
Computers để thay đổi phạm vi group
• Theo các chỉ dẫn để tạo 1 global group mới
• Thêm vào 1 group thành viên
• Ghi nhớ các hạn chế và cảnh báo theo từ cấu trúc
phạm vi nhóm như đã mô tả trong bài tập
• Thay đổi phạm vi của nhóm thành universal
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
27
Các ứng dụng dòng lệnh
• Một cách thay thế Active Directory Users and
Computers
• Một số administrator thích dùng dòng lệnh
• Ứng dụng dòng lệnh linh hoạt hơn trong việc quản lý
group trong 1 số tình huống
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
28
DSADD
• Được giới thiệu trong Windows Server 2003
• Dùng để tạo các tài khoản user và group mới
• Cú pháp:
• dsadd group distinguished-name switches
• Switches gồm: -secgrp, -scope, -memberof,
-members
• Xem thêm Help and Support Center
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
29
DSADD (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
30
Thực tập 4-6: Tạo các Group
dùng DSADD
• Theo các chỉ dẫn để thực thi lệnh
• Kiểm tra nhóm đã tạo với Active Directory Users
and Computers
• Tạo 1 domain local group với các thành viên dùng
lệnh này và kiểm tra group đã tạo đúng
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
31
DSMOD
• Được giới thiệu trong Windows Server 2003
• Cho phép một số kiểu đối tượng khác nhau được
sửa đổi từ dòng lệnh
• Cú pháp:
• dsmod group distinguished-name switches
• Switches gồm: -desc, -rmmbr, -addmbr
• Xem thêm Help and Support Center
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
32
DSMOD (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
33
Thực tập 4-7: Sửa đổi group
dùng DSMOD
• Theo các chỉ dẫn để thực thi lệnh thêm 1 mô tả
vào group đã có
• Kiểm tra lại với Active Directory Users and
Computers
• Sửa đổi group bằng cách thêm vào và gỡ bỏ các
thành viên và kiểm tra thay đổi
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
34
DSQUERY
• Được giới thiệu trong Windows Server 2003
• Dùng để truy vấn các kiểu đối tượng khác nhau
bằng dòng lệnh, trả về các giá trị
• Cú pháp cho group:
• dsquery group query
• Hỗ trợ ký tự đại diện (*)
• Xuất có thể điều hướng thành nhập cho các công
cụ dòng lệnh khác
• Xem thêm Help and Support Center
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
35
DSMOVE
• Dùng để gỡ bỏ hoặc đổi tên các kiểu đối tượng
khác nhau từ dòng lệnh
• Cú pháp cho group
• dsmove group distinguished-name switches
• Switches gồm: -newparent, -newname
• Chỉ có thể dùng cho các group trong 1 domain đơn
• Xem thêm Help and Support Center
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
36
DSRM
• Dùng để xóa các kiểu đối tượng khác nhau từ
dòng lệnh
• Cú pháp cho group
• dsrm group distinguished-name switches
• Switches gồm: -noprompt
• Xem thêm Help and Support Center
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
37
Quản lý các Security Group
• Chiến lược quản lý có thể tóm tắt bằng các từ A
G U DL P:
1. Tạo các user Account (A) và tổ chức chúng bên
trong các Global group (G)
2. Tùy chọn: Tạo Universal groups (U) và đặt các
global groups từ bất kỳ domain nào trong các
universal group
3. Tạo các Domain Local group (DL) và thêm các
group global và universal
4. Gán quyền Permissions (P) cho các domain local
group
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
38
Xác định thành viên Group
• Tác vụ quan trọng với các administrator để chắc
chắn rằng các user là thành viên đúng group
• 1 cách là thông qua Member Of tab trong trang
đặc tính của 1 tài khoản user
• Chỉ hiển thị mức đầu tiên của các group
• Cách thứ 2 là dùng DSGET
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
39
Xác định thành viên Group (tt)
• Cú pháp:
• dsget group distinguished-name switches
• Switches gồm: -members, -memberof
• Cũng có thể dùng như dsget user để lấy thông tin
thành viên
• Xuất liệu có thể lưu vào file:
• dsget group distinguished-name switches >> filename
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
40
Các Group có sẵn
• Khi Windows Server 2003 Active Directory được
cài đặt
• Các group có sẵn được cài tự động
• Các quyền được gán trước
• Lưu trong Builtin container và Users container
• Nên dùng các group có sẵn khi nào có thể
• Dễ dàng hiện thực các quyền bảo mật
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
41
Builtin Container
• Chứa một số lượng các tài khoản local group
• Cấp phát các quyền user khác nhau dựa trên chính
sách quản trị chung hoặc các tác vụ liên quan
mạng
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
42
Builtin Container (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
43
Users Container
• Chứa một số lượng các tài khoản domain local và
global group
• Một số group chỉ thấy trong root domain của một
Active Directory forest chứ không phải trong các
domain riêng lẻ
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
44
Users Container (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
45
Tạo và quản lý các tài khoản
Computer
• Các tài khoản Computer cần thiết trong Windows
NT 4.0, 2000, XP, Server 2003
• Có thể tạo trong quá trình cài đặt hay sau đó
• Các công cụ tạo và quản lý:
• Active Directory Users and Computers
• System applet trong Control Panel
• Các ứng dụng dòng lệnh
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
46
Thực tập 4-8: Tạo và quản lý
các tài khoản Computer
• Mục tiêu: Dùng Active Directory Users and
Computers để tạo và quản lý các tài khoản
Computer
• Theo các chỉ dẫn để tạo 1 tài khoản computer mới
từ Active Directory Users and Computers
• Cấu hình và xem lại các tài khoản
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
47
Thực tập 4-8 (tt)
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
48
Thiết lập lại các tài khoản
Computer
• Bảo mật channel
• Dùng bởi các computer nào là domain thành viên để
truyền thông với các DC
• Dùng các mật khẩu được thay đổi mỗi 30 ngày
• Tự động đồng bộ giữa các DC và workstation
• Những vấn đề đồng bộ hóa thỉnh thoảng xuất hiện
• Administrator phải reset lại tài khoản computer
• Dùng Active Directory Users and Computers hoặc
Netdom.exe từ Windows Support Tools
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
49
Tổng kết
• Các tài khoản group giảm khối lượng công việc
quản trị bằng cách cho phép gán quyền chung cho
nhiều user đồng thời
• 2 kiểu group:
• Security group
• Distribution group
• 3 kiểu phạm vi cho các group
• Global group
• Domain local group
• Universal group
70-290: MCSE Guide to Managing a Microsoft
Windows Server 2003 Environment
50
Tổng kết (tt)
• Các tài khoản group và computer có thể được tạo
và quản lý
• Từ Active Directory Users and Computers
• Từ ứng dụng dòng lệnh
• Các group Builtin và User và các container được
tạo tự động khi cài đặt với một số quyền thiết lập
trước
• Windows NT 4.0, 2000, XP và Server 2003 y/c
các tài khoản computer trong Active Directory
Các file đính kèm theo tài liệu này:
- chuong4_827.pdf