Część I Omówienie usługi Windows Server 2008 Active Directory

Transkrypt

1 Spis treści

2 Podziękowania... xv Wstęp... xvii Omówienie ksiąŝki... xviii Część I Omówienie usługi Windows Server 2008 Active Directory... xviii Część II Projektowanie i implementacja usługi Windows Server 2008 Active Directory... xviii Część III Administracja usługi Windows Server 2008 Active Directory... xix Część IV Konserwacja usługi Windows Server 2008 Active Directory... xix Część V Zarządzanie toŝsamością i dostępem za pomocą usługi Active Directoryxx Konwencje uŝywane w tekście... xx Notki ostrzegawcze... xx Ramki... xxi Przykłady wiersza polecenia... xxi Dysk CD... xxii Skrypty zarządzania... xxii Korzystanie ze skryptów... xxiii Wyszukiwanie dodatkowych informacji w trybie online... xxiii Pomoc techniczna dla zbioru Resource Kit... xxiv Część I Omówienie usługi Windows Server 2008 Active Directory 1 Nowości w usłudze Active Directory dla systemu Windows Server Nowości w usługach AD DS (Active Directory Domain Services)... 3 Kontrolery RODC (Read-Only Domain Controllers)... 3 Inspekcja usług AD DS (Active Directory Domain Services)... 6 Dokładne zasady haseł... 7 MoŜliwość ponownego uruchamiania usług AD DS (Active Directory Domain Services)... 9 Narzędzie instalowania bazy danych Udoskonalenia interfejsu uŝytkownika Dodatkowe role usług Active Directory Service Rola AD CS (Active Directory Certificate Services) Rola AD FS (Active Directory Federation Services) Rola AD LDS (Active Directory Lightweight Directory Services) Rola AD RMS (Active Directory Rights Management Services) Podsumowanie Składniki usług AD DS Struktura fizyczna usług AD DS Magazyn danych katalogu Kontrolery domeny Serwery wykazu globalnego Kontrolery domeny przeznaczone tylko do odczytu Wzorce operacji Transfer ról wzorców operacji Schemat... 35

3 Struktura logiczna usług AD DS Partycje usług AD DS Domeny Lasy Relacje zaufania Lokacje Jednostki organizacyjne Podsumowanie Źródła dodatkowe Narzędzia Zasoby znajdujące się na dysku CD Powiązane tematy modułów Pomoc Usługi AD DS i DNS Integracja systemu DNS i usług AD DS Rekordy zasobu lokalizacji usługi (SRV) Rekordy SRV zarejestrowane przez kontrolery domen usług AD DS Usługa lokalizacji DNS Automatyczne pokrycie lokacji Zintegrowane strefy usługi AD DS Korzyści uŝywania stref zintegrowanych z usługami AD DS Domyślne partycje aplikacji dla DNS Zarządzanie strefami zintegrowanymi z usługami AD DS Integracja przestrzeni nazw DNS i domen usług AD DS Delegowanie w systemie DNS Usługa przesyłania dalej i wskazówki dotyczące serwerów głównych Rozwiązywanie problemów związanych z integracją systemu DNS i usług AD DS 94 Rozwiązywanie problemów systemu DNS Rozwiązywanie problemów związanych z rejestracją rekordu SRV Podsumowanie Porady praktyczne Źródła dodatkowe Informacje pokrewne Narzędzia Zasoby znajdujące się na dysku CD Powiązane tematy modułów Pomoc Replikacja usług AD DS Model replikacji usług AD DS Proces replikacji Typy aktualizacji Replikowanie zmian Replikowanie katalogu SYSVOL Replikacja wewnątrz lokacji i pomiędzy lokacjami Replikacja wewnątrz lokacji Replikacja pomiędzy lokacjami Opóźnienie replikacji

4 Pilne replikacje Generowanie topologii replikacji KCC (Knowledge Consistency Checker) Obiekty połączenia Topologia replikacji wewnątrz lokacji Replikacja wykazu globalnego Topologia replikacji pomiędzy lokacjami Kontrolery RODC a topologia replikacji Konfigurowanie replikacji pomiędzy lokacjami Tworzenie dodatkowych lokacji Łącza lokacji Mosty łączy lokacji Protokoły transportu replikacji Konfigurowanie serwerów czołowych Rozwiązywanie problemów dotyczących replikacji Proces rozwiązywania problemów awarii replikacji usług AD DS Narzędzia przeznaczone do rozwiązywania problemów replikacji usług AD DS 142 Podsumowanie Porady praktyczne Źródła dodatkowe Informacje pokrewne Narzędzia Zasoby znajdujące się na dysku CD Powiązane tematy modułów Pomocy Część II Projektowanie i implementacja usługi Windows Server 2008 Active Directory 5 Projektowanie struktury usług AD DS Definiowanie wymagań usługi katalogowej Definiowanie wymagań biznesowych i technicznych Dokumentowanie aktualnego środowiska Projektowanie struktury lasu Projekt lasów i usług AD DS Pojedynczy las lub wiele lasów Projektowanie lasów dla bezpieczeństwa usług AD DS Modele projektu lasu Definiowanie własności lasu Zasady kontroli zmian lasu Projektowanie integracji wielu lasów Projektowanie relacji zaufania pomiędzy lasami Projektowanie integracji katalogu pomiędzy lasami Projektowanie struktury domeny Określanie liczby domen Projektowanie domeny głównej lasu Projektowanie hierarchii domeny

5 Drzewa domen i relacje zaufania Zmiana hierarchii domen po zainstalowaniu Definiowanie własności domeny Projektowanie poziomów funkcjonalnych domeny i lasu Funkcje włączane na poziomach funkcjonalnych domeny Funkcje włączane na poziomach funkcjonalnych lasu Implementowanie poziomu funkcjonalnego domeny i lasu Projektowanie infrastruktury systemu DNS Projektowanie przestrzeni nazw Projektowanie struktury jednostki organizacyjnej Jednostki organizacyjne a projekt usług AD DS Projektowanie struktury jednostki organizacyjnej Tworzenie projektu jednostek organizacyjnych Projektowanie topologii lokacji Projekt lokacji i usług AD DS Projektowanie lokacji Projekt replikacji Projektowanie lokalizacji serwerów Podsumowanie Porady praktyczne Źródła dodatkowe Informacje pokrewne Zasoby znajdujące się na dysku CD Instalowanie usług AD DS Wymagania wstępne instalowania usług AD DS Wymagania dotyczące miejsca na dysku twardym Połączenia sieci DNS Uprawnienia administracyjne Kompatybilność systemu operacyjnego Działanie opcji instalacji usług AD DS Kreator zadań konfiguracji początkowej i dostosowywania serwera Server Manager Instalacja usług AD DS (Active Directory Domain Services) Instalacja nienadzorowana UŜywanie programu Active Directory Domain Services Installation Wizard Konfiguracja instalacji Nadanie nazwy domenie Definiowanie poziomów funkcjonalnych systemu Windows Server Dodatkowe opcje kontrolera domeny Lokalizacja plików Dokończenie instalacji Sprawdzanie instalacji usług AD DS Przeprowadzanie nienadzorowanej instalacji Instalowanie z nośnika Instalowanie kontrolerów RODC

6 Instalacja typu Server Core w systemie Window Server Instalowanie kontrolera RODC Usuwanie usług AD DS Usuwanie dodatkowych kontrolerów domeny Usuwanie ostatniego kontrolera domeny Nienadzorowane usunięcie usług AD DS Wymuszone usunięcie kontrolera domeny systemu Windows Server Podsumowanie Źródła dodatkowe Informacje pokrewne Narzędzia Migracja do usług AD DS ŚcieŜki migracji ŚcieŜka migracji aktualizowania domeny Restrukturyzacja domeny Określanie ścieŝki migracji Aktualizowanie domeny Aktualizowanie z systemu Windows 2000 Server i Windows Server Restrukturyzacja domeny Migracja pomiędzy lasami Migracja wewnątrz lasu Konfigurowanie relacji zaufania pomiędzy lasami Podsumowanie Porady praktyczne Źródła dodatkowe Informacje pokrewne Narzędzia Część III... Administracja usługi Windows Server 2008 Active Directory 8 Zabezpieczenia usług AD DS Podstawy zabezpieczeń usług AD DS Podmioty zabezpieczeń Listy kontroli dostępu śetony dostępu Uwierzytelnienie Autoryzacja Zabezpieczenia protokołu Kerberos Wprowadzenie do protokołu Kerberos Uwierzytelnienie Kerberos Delegowanie uwierzytelnienia Konfigurowanie protokołu Kerberos w systemie Windows Server Integracja z infrastrukturą klucza publicznego Integracja za pomocą kart inteligentnych Współpraca z innymi systemami Kerberos Rozwiązywanie problemów protokołu Kerberos

7 Uwierzytelnienie NTLM Implementacja zabezpieczeń kontrolerów domeny Ograniczanie moŝliwości ataków na kontrolery domeny Konfigurowanie domyślnej zasady kontrolerów domeny Konfigurowanie narzędzia SYSKEY Zalecenia praktyczne dotyczące administrowania zabezpieczeniami Podsumowanie Porady praktyczne Źródła dodatkowe Informacje pokrewne Narzędzia Zasoby znajdujące się na dysku CD Powiązane tematy modułów Pomocy Delegowanie administracji usług AD DS Zadania administracyjne usług Active Directory Uzyskiwanie dostępu do obiektów usług Active Directory Sprawdzenie wpisów ACE (zezwalaj i odmów) w liście DACL Uprawnienia obiektu usługi Active Directory Uprawnienia standardowe Uprawnienia specjalne Dziedziczenie uprawnień Uprawnienia czynne Własność obiektów usług Active Directory Delegowanie zadań administracyjnych Inspekcja uŝycia uprawnień administracyjnych Konfigurowanie zasady inspekcji dla kontrolerów domeny Konfigurowanie inspekcji dla obiektów usług Active Directory Narzędzia delegowania administracji Dostosowywanie konsoli MMC (Microsoft Management Console) Planowanie delegowania administracji Podsumowanie Źródła dodatkowe Informacje pokrewne Zarządzanie obiektami usług Active Directory Zarządzanie uŝytkownikami Obiekty uŝytkowników Obiekt inetorgperson Obiekty kontaktów Konta usług Zarządzanie grupami Typy grup Zakres grupy Grupy domyślne w usłudze Active Directory ToŜsamości specjalne Projektowanie grup zabezpieczeń

8 Zarządzanie komputerami Zarządzanie obiektami drukarek Publikowanie drukarek w usługach Active Directory Śledzenie lokalizacji drukarek Zarządzanie opublikowanymi folderami udostępnionymi Automatyzacja zarządzania obiektami usług Active Directory Narzędzia wiersza polecenia dotyczące zarządzania usługą Active Directory Stosowanie narzędzi LDIFDE i CSVDE Korzystanie z języka VBScript do zarządzania obiektami usług Active Directory 415 Podsumowanie Porady praktyczne Źródła dodatkowe Informacje pokrewne Narzędzia Zasoby znajdujące się na dysku CD Omówienie zasad grupy Przegląd zasad grupy Działanie zasad grupy Nowości zasad grupy w systemie Windows Server Składniki zasad grupy Kontener zasad grupy GPC Składniki szablonu zasad grupy Replikacja składników obiektu zasad grupy Przetwarzanie zasad grupy Sposób przetwarzania obiektów GPO przez systemy klienckie Początkowe przetwarzanie obiektu GPO OdświeŜanie w tle obiektów GPO Historia GPO a odświeŝanie zasad grupy Wyjątki dotyczące domyślnych interwałów przetwarzania Implementowanie zasad grupy Omówienie konsoli GPMC UŜywanie konsoli GPMC do tworzenia obiektów GPO i tworzenia połączeń tych obiektów Modyfikowanie zakresu przetwarzania obiektu GPO Delegowanie administracji obiektów GPO Implementowanie zasad grupy pomiędzy domenami i lasami Zarządzanie obiektami zasad grupy Tworzenie kopii zapasowych i przywracanie obiektów GPO Kopiowanie obiektów zasad grupy Importowanie ustawień obiektu zasad grupy Modelowanie i raportowanie wyników zasad grupy Tworzenie skryptów zarządzania zasadami grupy Planowanie implementacji zasad grupy Rozwiązywanie problemów zasad grupy Podsumowanie Źródła dodatkowe

9 Informacje pokrewne Zarządzanie pulpitem uŝytkownika za pomocą zasad grupy Zarządzanie pulpitem przy uŝyciu zasad grupy Zarządzanie danymi uŝytkowników i ustawieniami profilu Zarządzanie profilami uŝytkowników Zarządzanie mobilnymi profilami uŝytkowników za pomocą zasad grupy Przekierowanie folderu Szablony administracyjne Działanie plików szablonów administracyjnych Zarządzanie plikami szablonów odnoszących się do domeny Zalecane działania dotyczące zarządzania plikami szablonów ADMX UŜywanie skryptów do zarządzania środowiskiem uŝytkownika Instalowanie oprogramowania przy uŝyciu zasad grupy Technologia Windows Installer Instalowanie aplikacji UŜywanie zasad grupy do dystrybucji aplikacji, które nie są instalowane za pomocą technologii Windows Konfigurowanie właściwości pakietów oprogramowania Stosowanie zasad grupy do konfigurowania programu Windows Installer Planowanie instalacji oprogramowania przy uŝyciu zasad grupy Ograniczenia w korzystaniu z zasad grupy do zarządzania oprogramowaniem. 538 Omówienie funkcji preferencji zasad grupy Preferencje zasad grupy w porównaniu do ustawień zasad Ustawienia preferencji zasad grupy Opcje preferencji zasad grupy Podsumowanie Źródła dodatkowe Informacje pokrewne Zasoby znajdujące się na dysku CD Korzystanie z zasad grupy do zarządzania zabezpieczeniami Konfigurowanie zabezpieczeń domeny za pomocą zasad grupy Omówienie domyślnej zasady domeny Omówienie domyślnej zasady kontrolerów domen Ponowne tworzenie domyślnych obiektów GPO dla domeny Szczegółowe zasady haseł Wprowadzanie zasad ograniczeń oprogramowania przy uŝyciu zasad grupy Zasady ograniczeń oprogramowania Konfigurowanie zabezpieczeń sieci za pomocą zasad grupy Konfigurowanie zabezpieczeń sieci przewodowych Konfigurowanie zabezpieczeń sieci bezprzewodowych Konfigurowanie zasad zapory systemu Windows i zabezpieczeń IPsec Konfigurowanie ustawień zabezpieczeń za pomocą szablonów Instalowanie szablonów zabezpieczeń Podsumowanie Źródła dodatkowe

10 Informacje pokrewne Część IV...Konserwacja usługi Windows Server 2008 Active Directory 14 Monitorowanie i konserwacja usług Active Directory Monitorowanie usług Active Directory Uzasadnienie monitorowania usług Active Directory Monitorowanie wydajności i niezawodności serwera Metody monitorowania usług Active Directory Obszary monitorowania Monitorowanie replikacji Konserwacja bazy danych usług Active Directory Usuwanie zbędnych elementów Defragmentacja w trybie online Defragmentacja w trybie offline bazy danych usług Active Directory Zarządzanie bazą danych usług Active Directory przy uŝyciu narzędzia Ntdsutil623 Podsumowanie Źródła dodatkowe Informacje pokrewne Przywracanie usługi Active Directory po awarii Planowanie operacji przywracania po awarii Magazyn danych usług Active Directory Tworzenie kopii zapasowej usługi Active Directory Potrzeba tworzenia kopii zapasowych Czas istnienia obiektów reliktowych Częstotliwość tworzenia kopii zapasowych Przywracanie usługi Active Directory Przywracanie usługi Active Directory poprzez utworzenie nowego kontrolera domeny Wykonywanie nieautorytatywnego przywracania usługi Active Directory Przeprowadzanie autorytatywnego przywracania usługi Active Directory Przywracanie członkostwa grupy Reanimacja obiektów reliktowych Korzystanie z narzędzia instalowania bazy danych usługi Active Directory Przywracanie informacji folderu SYSVOL Przywracanie serwerów wzorców operacji i wykazu globalnego Podsumowanie Porady praktyczne Źródła dodatkowe Informacje pokrewne Narzędzia Część V Zarządzanie toŝsamościami i dostępem za pomocą usługi Active Directory 16 Usługi AD LDS

11 Omówienie usług AD LDS Cechy usług AD LDS Scenariusze instalowania usług AD LDS Architektura i składniki usług AD LDS Serwery usług AD LDS Instancje usług AD LDS Partycje katalogu Replikacja usług AD LDS AD LDS Security Implementacja usług AD LDS Konfigurowanie instancji i partycji aplikacji Narzędzia zarządzania usługami AD LDS Konfigurowanie replikacji Tworzenie kopii zapasowych i przywracanie usług AD LDS Konfigurowanie synchronizacji usług AD DS i AD LDS Podsumowanie Porady praktyczne Źródła dodatkowe Narzędzia Zasoby znajdujące się na dysku CD Pokrewne tematy pomocy Usługi Active Directory Certificate Services Omówienie usług AD CS (Active Directory Certificate Services) Składniki infrastruktury klucza publicznego Urzędy certyfikacji Scenariusze instalacji usług certyfikatów Implementowanie usług AD CS Instalowanie głównych urzędów certyfikacji usług AD CS Instalowanie podrzędnych urzędów certyfikacji usług AD CS Konfigurowanie rejestrowania w sieci Web Konfigurowanie odwoływania certyfikatów Zarządzanie archiwizacją i odzyskiwanie kluczy Zarządzanie certyfikatami w usługach AD CS Konfigurowanie szablonów certyfikatów Konfigurowanie automatycznej rejestracji certyfikatów Zarządzanie akceptowaniem certyfikatu za pomocą zasad grupy Konfigurowanie mobilnego dostępu do poświadczeń Projektowanie implementacji usług AD CS Projektowanie hierarchii urzędu certyfikacji Projektowanie szablonów certyfikatów Projektowanie dystrybucji i odwoływania certyfikatu Podsumowanie Porady praktyczne Źródła dodatkowe Informacje pokrewne Narzędzia

12 18 Usługi Active Directory Rights Management Services Omówienie usług AD RMS Funkcje usług AD RMS Składniki usług AD RMS Działanie usług AD RMS Scenariusze instalowania usług AD RMS Implementacja usług AD RMS Analiza wstępna instalacji usług AD RMS Instalowanie klastrów usług AD RMS Konfigurowanie punktu połączenia usługi AD RMS Praca z klientami usług AD RMS Administracja usług AD RMS Zarządzanie zasadami zaufania Zarządzanie szablonami zasad uprawnień Konfigurowanie zasad wykluczeń Konfigurowanie zasad zabezpieczeń Przeglądanie raportów Podsumowanie Źródła dodatkowe Informacje pokrewne Usługi Active Directory Federation Services Omówienie usług AD FS Federacja toŝsamości Usługi sieci Web Składniki usług AD FS Projekty wdroŝenia usług AD FS Implementacja usług AD FS Wymagania instalacji usług AD FS Implementowanie usług AD FS w projekcie Federation Web SSO Konfigurowanie usługi federacyjnej partnera kont Konfigurowanie składników usług AD FS partnera zasobów Konfigurowanie usług AD FS dla aplikacji korzystających z Ŝetonu systemu Windows NT Implementowanie projektu Web SSO Implementowanie projektu Federated Web SSO with Forest Trust Podsumowanie Porady praktyczne Źródła dodatkowe Zasoby znajdujące się na dysku CD Pokrewne temat modułów Pomoc Indeks