Administrowanie serwerem sieci lokalnej cz. 2

5. Uprawnienia w Windows Administrowanie serwerem sieci lokalnej cz. 2 Z każdym kontem związane są pewne prawa i przywileje, na których podstawie system podejmuje decyzję, czy zezwolić na wykonanie czynności, czy też zabronić jej wykonywania. Każdy użytkownik ma swój unikatowy identyfikator (SID), który tworzony jest w momencie zakładania konta. Na podstawie SID (a nie nazwy logowania) identyfikowany jest użytkownik oraz jego prawa. Kontrolą i badaniem praw dostępu zajmuje się ważny element jądra Windows 2003 - Menedżer obieków (Objęci Manager). Ogólnie można podzielić możliwości związane z kontem na: Ogólnie można podzielić możliwości związane z kontem na: - przywileje - uprawnienia pozwalające na wykonanie określonych zadań administracyjnych, np. dodawanie stacji roboczych do domeny, - prawa logowania - pozwalające użytkownikowi na załogowanie się do systemu, np. prawo do logowania lokalnego, - uprawnienia wbudowane - uprawnienia wstępnie zdefiniowane, przypisane grupom. Uprawnień tych nie możemy zmieniać. Możemy je przekazać innym użytkownikom, dołączając ich do grupy posiadającej uprawnienie, np. prawo do tworzenia nowych kont. - prawa dostępu - definiują operacje, które mogą być wykonane na zasobach sieciowych, np. prawo tworzenia plików. W warunkach szkolnych problem przyznania przywilejów i praw logowania rozwiązany będzie poprzez dołączenie wybranych użytkowników do grup posiadających odpowiednie uprawnienia wbudowane. Na przykład, jeżeli użytkownik jkowalski powinien mieć prawo do tworzenia nowych kont sieciowych, to możemy dołączyć go do grupy Administratorzy domeny. 5.1. Prawa dostępu W systemach z rodziny Windows Server uprawnienia na poziomie udostępniania zasobów i na poziomie systemu plików NTFS bazują na listach kontroli dostępu (ACL). Pozwalają one na bardzo szczegółowe zdefiniowanie uprawnień do poszczególnych obiektów (np. plików, folderów, udostępnień). Na poziomie systemu plików NTFS istnieje dużo bardzo szczegółowych uprawnień, jakie można przypisać. Poszczególne uprawnienia nazywane są uprawnieniami specjalnymi. Aby ułatwić zarządzanie uprawnieniami specjalnymi, łączy się je w grupy, które tworzą uprawnienia. Innymi słowy uprawnienie składa się z wielu uprawnień specjalnych. Wykaz tych uprawnień przedstawiony jest w tab. 2. Uprawnienia specjalne (lewa kolumna) przypisane są do konkretnych grup uprawnień (górny wiersz). Tabela Tabela uprawnień NTFS Uprawnienia specjalne Pełna kontrola Modyfikacja Zapis i wykonanie Wyświetlanie zawartości folderu (tylko foldery) Odczyt Zapis Przechodzenie przez X X X X folder/ Wykonywanie pliku Wyświetlanie zawartości X X X X X folderu/odczyt danych Odczyt atrybutów X X X X X Odczyt atrybutów X X X X X rozszerzonych Tworzenie plików/ Zapis X X X X 1

danych Tworzenie folderów/ X X X X Dołączanie danych Zapis atrybutów X X X X Zapis atrybutów X X X X rozszerzonych Usuwanie podfolderów X i plików Usuwanie X X Odczyt uprawnień X X X X X Zmiana uprawnień Przejęcie na własność X X Uprawnienia można nadawać (Zezwalaj) lub odbierać (Odmów). Zaznaczenie pola Zezwalaj nadaje użytkownikowi (grupie) dane uprawnienia (rys.26 ). Uprawnienia każdego użytkownika do danego obiektu są sumą uprawnień wynikających z praw, jakie ma dany użytkownik oraz z praw, jakie mają grupy, do których on przynależy. Zaznaczenie Odmawiaj ma zastosowanie wtedy, gdy użytkownikowi chcemy zabrać prawo do danego obiektu mimo posiadania przez niego praw wynikających z jego przynależności do danej grupy użytkowników. Odmowa uprawnienia ma w tym wypadku wyższy priorytet niż Zezwolenie. Stosowana jest, gdy chcemy stworzyć wyjątek. Załóżmy, że kowalski jest członkiem grupy uczniowie. Jeżeli nadamy uprawnienie (Zezwalaj) do folderu grupie uczniowie, to z faktu przynależności do niej, otrzyma to uprawnienie również kowalski. Jeżeli odmówimy uprawnienia (Odmów) użytkownikowi kowalski, to nie będzie go on posiadał, pomimo iż powinien je mieć z racji przynależności do grupy uczniowie. Jedną z ważniejszych cech mechanizmu uprawnień jest możliwość dziedziczenia uprawnień. Dziedziczenie uprawnień pozwala, aby np. wszystkie pliki czy podfoldery dziedziczyły uprawnienia z folderu nadrzędnego. Rys. 26 Uprawnienia użytkownika do foloderu 2

Jeżeli istnieje potrzeba bardziej precyzyjnego przypisywania uprawnień, to po kliknięciu na przycisk Zaawansowane (rys. 26) otwieramy okno Zaawansowane ustawienia zabezpieczeń (rys. 27). Rys. 27. Okno zaawansowanych ustawień zabezpieczeń Włączenie opcji Zezwalaj na propagowanie... (rys. 27) spowoduje dziedziczenie uprawnień we wszystkich podfolderach, poczynając od folderu bieżącego. W oknie wskazujemy użytkownika, któremu modyfikujemy uprawnienia i klikamy przycisk Edytuj, co spowoduje otwarcie okna pozwalającego na przypisywanie uprawnień specjalnych (rys.28). Rys. 28. Uprawnienia specjalne do folderu Każdy obiekt, np. plik, ma swojego właściciela. Domyślnie jest nim ten, kto obiekt stworzył. Bez względu na uprawnienia, właściciel zawsze może zmienić ustawione prawa do swojego obiektu, a w szczególności zabrać sobie samemu prawa do tego obiektu. Wtedy nie ma możliwości, np. odczytać danego pliku, jeżeli wcześniej nie przywróci sobie tych praw. 3

5.2. Udostępnianie zasobów i przypisywanie uprawnień do zasobów Udostępniając zasób w sieci, możemy każdemu użytkownikowi lub grupie przydzielić uprawnienia (rys.29): - Pełna kontrola - użytkownik ma pełne prawa - może tworzyć nowe pliki, odczytywać, modyfikować, zapisywać i usuwać już istniejące oraz zmieniać uprawnienia i przejmować na własność. - Zmiana - użytkownik ma te same uprawnienia, co pełna kontrola, poza prawem do zmiany uprawnień i przejmowania na własność, czyli może tworzyć nowe pliki, odczytywać, modyfikować, zapisywać i usuwać już istniejące. - Odczyt - użytkownik ma prawo do odczytywania plików (w tym ich uruchamiania), nie może tworzyć nowych plików i usuwać ani modyfikować już istniejących. Uprawnienia do udostępnionego zasobu sieciowego, np. folderu, są wypadkową (różnicą) wynikającą z uprawnień nadanych na poziomie udostępniania udziału oraz na poziomie systemu plików NTFS. Oznacza to, że zawsze zostaną zastosowane uprawnienia bardziej rygorystyczne Rys. 29. Uprawnienia do udostępnianego zasobu 5.3. Foldery domowe użytkowników Domena umożliwia przypisywanie folderów domowych użytkownikom. Dzięki temu użytkownicy mogą korzystać z własnych dokumentów przechowywanych na serwerze, wykorzystując dowolny komputer przyłączony do domeny. Po załogowaniu zostanie on zmapowany przez system jako dysk sieciowy. Na dysku serwera tworzymy folder home z przeznaczeniem na foldery macierzyste użytkowników i udostępniamy go w sieci dla grupy Wszyscy. W folderze tworzymy podfoldery o takich samych nazwach, jak nazwy użytkowników, np. j kowalski. Następnie w konsoli Active Directory Users and Computers i wybieramy użytkownika jkowalski. Na karcie Profile, w polu Podłącz wybieramy literę dysku, który posłuży do reprezentowania folderu, a w polu Do wpisujemy ścieżkę do zasobu, np.\\serwer\home\%username% Rys. 30. 4

Rys. 30. Konfigurowanie folderu domowego użytkownika 5.4. Polisy bezpieczeństwa W Windows Server 2003 administrator określa zestaw uprawnień obowiązujących w danej sieci za pomocą tzw. polis bezpieczeństwa. Polisy, dzięki mechanizmowi dystrybucji, mogą być dystrybuowane na każdy z komputerów w sieci. Polisa jest zbiorem zasad określających ogólne uprawnienia komputera lub użytkownika. Polisy mogą obowiązywać na lokalnym komputerze lub w domenie, a sposób ich konfiguracji oraz zakres jest bardzo podobny. Wraz z instalacją Windows Server 2003, instalowane są polisy standardowe, które określają zabezpieczenia w zależności od tego, jaką rolę ma pełnić dany komputer. Administrator może opracowywać nowe polisy lub modyfikować istniejące, a następnie dystrybuować je w sieci, tak by w sieci obowiązywała wspólna polityka bezpieczeństwa. W zależności od zakresu stosowania rozróżniamy następujące polisy bezpieczeństwa: - zasady lokalne określają one ustawienia związane z bezpieczeństwem na lokalnym komputerze (mogą być stosowane, gdy komputer nie jest przyłączony do sieci), - zasady kontrolera domeny - określaj ą ustawienia związane z bezpieczeństwem dla kontrolera domeny (obowiązują tylko na kontrolerze domeny), - zasady domenowe - określają ustawienia związane z bezpieczeństwem dla całej domeny (obowiązują na wszystkich komputerach w sieci z wyjątkiem kontrolera domeny). 5.5. Zasady haseł domeny Jedną z ważnych możliwości wykorzystania polisy bezpieczeństwa jest stworzenie polityki haseł w domenie. Do zdefiniowania polityki haseł możemy wykorzystać okno Zasady haseł, uruchamiane przez Start/Narzędzia administracyjne /Zasady zabezpieczeń domeny (Rys. 31) Aby zasady obowiązywały, musimy włączyć opcję Hasło musi spełniać wymagania co do złożoności. Pozostałe opcje oznaczają: - Maksymalny czas ważności hasła - co ile dni użytkownik musi zmienić hasło, - Minimalna długość hasła - nie wymaga komentarza, - Minimalny okres ważności- czas, jaki musi upłynąć, aby użytkownik mógł ponownie zmienić hasło, - Wymuszaj tworzenie historii haseł - tyle haseł system będzie pamiętał i nie pozwoli na ponowne wprowadzenie hasła wcześniej używanego, - Zapisz hasła, korzystając z szyfrowania odwracalnego - niektóre aplikacje wymagają włączenia 5

szyfrowania haseł, ale w większości przypadków powinno być wyłączone. 6. Konfigurowanie roli serwera wydruku Rys. 31. Okno zasad haseł w domenie W sieci Windows możemy skonfigurować drukarkę lokalną (przyłączoną do komputera) lub sieciową (przyłączoną do zdalnego komputera). Drukarka sieciowa musi być udostępniona na komputerze, do którego jest przyłączona. Do zarządzania usługami drukowania na serwerze możemy skonfigurować rolę serwera wydruku. Kreator roli serwera wydruku pozwala na zainstalowanie drukarki i jej udostępnienie. Kreatora uruchamiamy za pomocą aplikacji Zarządzanie tym serwerem. Podczas pracy kreator gromadzi niezbędne informacje. Między innymi o tym: - jakie urządzenia zewnętrzne, np. drukarka, są podłączone do serwera, - jakie są wersje systemów operacyjnych na komputerach klientów korzystających z drukarek-jeżeli wybierzemy opcję Wszyscy klienci systemu Windows, wtedy podczas dodawania drukarek należy podać lokalizację sterowników dla systemów Windows 9x, ME czy NT, - jaki jest port, do którego podłączona jest drukarka (jeżeli nie obsługuje ona mechanizmu Plug&Play), - jaki sterownik drukarki udostępnianej za pośrednictwem serwera został wybrany, pod jaką nazwą dana drukarka będzie udostępniona, a także, czy jest to drukarka domyślna. Szczegółowy proces instalacji drukarki przedstawiony jest w dodatku instalacja drukarki windows.ppt. Po zainstalowaniu drukarki możemy przypisać użytkownikom uprawnienia do korzystania z niej. W tym celu w oknie Start /Drukarki i faksy klikamy prawym klawiszem na ikonę drukarki i z menu kontekstowego wybieramy opcję Udostępnianie (rys. 32). W zakładce Zabezpieczenia możemy przypisać poszczególnym użytkownikom uprawnienia związane z drukowaniem. 6

Rys. 32. Uprawnienia do drukarki 7. Instalowanie oraz zarządzanie serwerem DHCP Klient DHCP pobiera dane konfiguracyjne od pierwszego serwera DHCP, od którego może je uzyskać. Aby uniknąć problemów, w sieci powinien być jeden serwer DHCP lub inne rozwiązania gwarantujące przydzielanie odpowiednich danych. Przed przystąpieniem do instalacji serwera DHCP, należy odłączyć pracownię od reszty sieci lub połączyć po dwa komputery za pomocą kabla skrosowanego (crossover). Jeden z komputerów będzie serwerem, a drugi klientem DHCP. Podczas dodawania roli kontrolera domeny powinna zostać również dodana rola serwera DHCP. Jeżeli z jakiegoś powodu rola ta nie została dodana, należy ją teraz dodać. W tym celu w oknie zarządzania rolami klikamy opcję Dodaj lub usuń rolę. Kreator roli serwera DHCP zainstaluje wszystkie niezbędne składniki, uruchomi kreatora konfiguracji strefy, a w końcu dokona autoryzacji serwera. W systemie Windows Server 2003 serwery DHCP należące do środowiska domeny opartego na usłudze Active Directory muszą być autoryzowane, aby zapobiec włączaniu się do sieci obcych serwerów DHCP. Serwer sygnalizuje w konsoli mmc swój stan poprzez ikonę przy nazwie serwera: - serwer działa i jest aktywny, - serwer DHCP jest połączony, ale bieżący użytkownik nie ma poświadczeń administracyjnych wymaganych do zarządzania serwerem, - serwer DHCP nie otrzymał autoryzacji w Active Directory, - ostrzeżenie (np. problem z zakresem). Przy nazwie zakresu znajduje się ikona określająca stan zakresu: - zakres nie został aktywowany, - ostrzeżenie (np. problem z zakresem). Przykład skonfigurowanej strefy pokazano na rys.33. W strefie do przydzielania dynamicznego wybrano zakres adresów od 192.168.0.101 do 192.168.0.254. Ponadto z podanego zakresu wykluczono adresy od 192.168.0.100 do 192.168.0.100. Adresy wykluczone mogą być przydzielane w inny sposób, np. serwerom lub innym urządzeniom, które wymagaj ą zawsze tego samego adresu. 7

Ćw 1. Konfiguracja puli adresów serwera DHCP W serwerze może być utworzonych wiele zakresów. Procedura tworzenia nowego zakresu składa się z następujących kroków: 1. W konsoli na drzewie serwera DHCP klikamy prawym przyciskiem myszy w miejscu, w którym należy utworzyć nowy zakres DHCP, a następnie z menu kontekstowego wybieramy Nowy zakres 2. Wprowadzamy nazwę zakresu, np. sala114 i jego opis, np. pracownia komputerowa. 3. Wprowadzamy adres początkowy i końcowy, które można wydzierżawiać klientom w ramach tego zakresu (np. od i92.168.0.200 do 192.168.0.250). Pole maski podsieci zostanie wypełnione automatycznie, lecz można je zmienić w razie potrzeby. 4. Wprowadzamy adresy IP, które należy wykluczyć z wprowadzonego zakresu, np. już przydzielone statycznie innym komputerom. 5. Wprowadzamy czas, po upływie którego wygaśnie dzierżawa adresu IP. 6. Wprowadzamy dodatkowe opcje dla zakresu, takie jak: - domyślna brama, np. 192.168.75.1, - adresy serwerów DNS, np. 194.204.159.1 i 194.204.152.34 - adres serwera WINS (możemy pozostawić niewypełniony). 7. Aktywujemy zakres. W oknie konsoli są dostępne zakładki zawierające informacje o użyciu zakresu: - Pula adresów - zakres adresów IP przydzielanych klientom oraz adresy wykluczone, - Dzierżawy adresów - adresy aktualnie dzierżawione przez klientów, - Zastrzeżenia - adresy zarezerwowane do przypisywania adresów IP na podstawie adresu MAC. Aby zarezerwować nowy adres, klikamy prawym klawiszem myszy na Zastrzeżenia, a następnie z menu konteksttowego wybieramy Nowe zastrzeżenie. W otwartym oknie (rys.34) wpisujemy nazwę, rezerwowany adres IP i adres MAC komputera, dla którego ma być zachowany adres IP. - Opcje zakresu - ustawienia pobierane przez klientów, np. adres bramy, serwery DNS. Rys.34. Okno nowego zastrzeżenia W sytuacji, gdy nie ustawiono statycznego adresu IP, a stacja nie mogła pobrać adresu z serwera DHCP, system Windows ustawia adres automatyczny z puli 169.254.x.x z maską sieci 255.255.0.0. 8

8. Konfigurowanie serwera DNS System DNS jest oparty na hierarchicznej i logicznej strukturze drzewa, zwanej obszarem nazw domen. Każdy węzeł drzewa DNS reprezentuje nazwę DNS, np. domenę DNS. Domeny DNS mogą zawierać hosty (np. komputery) oraz inne domeny nazywane poddomenami. Węzły w drzewie domen DNS identyfikowane są poprzez pełną nazwę domeny FQDN (Fully Qualified Domain Name) i wskazują położenie węzła względem domeny głównej. Serwer DNS pozwala na tłumaczenie nazw w sieciach opartych na TCP/IP na adresy IP odpowiadające nazwom. Dzięki DNS użytkownik może posługiwać się nazwami domen - zamiast adresami IP konkretnych serwerów. DNS może być wykorzystany do tłumaczenia nazw w sieci lokalnej, a po integracji z Active Directory, w miarę dodawania nowych obiektów do katalogu, automatycznie pojawiają się odpowiednie wpisy w serwerze DNS. Serwer DNS umożliwia dwa rodzaje przeszukiwania strefy: - do przodu - na podstawie nazwy określamy adres IP, - wstecz - na podstawie adresu IP szukamy odpowiadającej mu nazwy. Do przeszukiwania stref serwer wykorzystuje rekordy zasobów: A - mapuje nazwę hosta na adres IP, CNAME - ustawia alias (inną nazwę) dla nazwy hosta, MX - określa serwer wymiany poczty dla domeny, NS - określa serwer nazw dla domeny (DNS), PTR - tworzy powiązanie adresu IP z nazwą w strefie przeszukiwania wstecz, SOA - jest wymagany dla każdej strefy i określa hosta, który jest najlepszym źródłem informacji DNS dla danej strefy. Istnieją trzy główne sposoby konfigurowania usługi DNS: - podstawowy serwer nazw (Prirmary Name Sewer) - posiada główną kopię bazy danych z nazwami wszystkich hostów w strefie oraz rekordy dla wszystkich poddomen. - pomocniczy serwer nazw (Secondary Name Server) - zawiera kopię bazy danych z rekordami dla domeny i poddomen; zmiany wprowadzane do podstawowego DNS są replikowane do wszystkich serwerów pomocniczych, - buforujący serwer nazw (Caching Name Server) - nie przechowuje bazy danych rekordów. Gdy otrzyma zapytanie o nazwę, poprosi o obsłużenie żądania inny serwer nazw i umieści jaw swoim buforze, dzięki czemu będzie ona zawsze dostępna. Serwer DNS powinien być skonfigurowany w każdej domenie i poddomenie. W małej sieci szkolnej wystarczy tylko serwer podstawowy, aczkolwiek ze względów bezpieczeństwa lepiej byłoby skonfigurować zarówno serwer podstawowy, jak i zapasowy. Serwer ten będzie posiadał informacje o wszystkich komputerach w szkole (domenie). Jeżeli na serwerze jest skonfigurowana rola kontrolera domeny (Active Directory) to serwer DNS powinien być również zainstalowany. W innym przypadku należy dodać rolę serwera DNS dla naszego komputera Ćw2. Instalacja serwera DNS Aby zainstalować serwer DNS, możemy skorzystać z kreatora w oknie Zarządzanie tym serwerem. Klikamy na odnośnik Dodaj lub usuń rolę, wskazujemy serwer DNS do zainstalowania, po czym wprowadzamy niezbędne informacje: 1. Rodzaj strefy, która ma być zainstalowana. Dla małych sieci zalecana jest instalacja tylko strefy przeszukiwania do przodu, my wybierzemy jednak utworzenie obu stref. 2. Dane dotyczące konfiguracji strefy przeszukiwania do przodu: - typ przechowywanej strefy - wybierzemy strefę podstawową, - nazwę strefy, np. zsp.edu.pl, - nazwę pliku, w którym przechowywane będę informacje pozostawiamy wartość domyślną, T - informacje o aktualizacjach dynamicznych - nie zezwalamy na aktualizacje dynamiczne, 9

3. Dane dotyczące konfiguracji strefy przeszukiwania wstecz: - typ przechowywanej strefy - wybierzemy strefę podstawową, - identyfikator (adres IP) sieci, np. 192.168.0, - nazwę pliku, w którym przechowywane będą informacje - pozostawiamy wartość domyślną, - informacje o aktualizacjach dynamicznych - nie zezwalamy na aktualizacje dynamiczne, 4. Czy serwer powinien przesyłać zapytania dalej? Wybierzemy odpowiedź nie, aby nie zakłócać pracy serwerów DNS w Internecie. Ponieważ nie włączyliśmy aktualizacji dynamicznych, będziemy musieli umieścić wpisy dotyczące obsługiwanych w sieci nazw. Ćw3. Dodawanie rekordów do konfiguracji serwera DNS Aby dodać nowy wpis hosta (rekord typu A): 1. Klikamy prawym klawiszem myszy na wybranej strefie (np. zsp.edu.pl). 2. Z menu kontekstowego wybieramy opcję Nowy host. 3. W oknie tworzenia nowego hosta (rys. 10.35) wpisujemy nazwę hosta, np. uczeń, oraz adres IP komputera, do którego ma się odwoływać nazwa, np. 192.168.0.10. Zaznaczenie opcji Utwórz skojarzony rekord wskaźnika spowodowałoby utworzenie odpowiedniego wskaźnika w strefie przeszukiwania wstecz. Rys. 35 Tworzenie wpisu rekordu typu A System DNS zezwala, aby do jednego adresu IP można było odwoływać się za pomocą różnych nazw. Możemy to uzyskać, tworząc aliasy do nazw. Ćw 4. Dodawanie aliasu do konfiguracji serwera DNS Dodawanie nowego aliasu (rekordu typu CNAME): 1. Klikamy prawym klawiszem myszy na wybranej strefie (np. zsp.edu.pl). 2. Z menu kontekstowego wybieramy opcję Nowy alias 3. W oknie tworzenia nowego aliasu (rys.36) wpisujemy nazwę aliasu, np. student, oraz nazwę rekordu typu A, do którego ma się alias odwoływać, np. uczen.zsp.edu.pl. 3. Po wprowadzeniu danych do DNS nazwa student.zsp.edu.pl będzie wskazywać na ten sam adres, co nazwa uczen.zsp.edu.pl. Rys. 36 Tworzenie aliasu 10

Ćw.5. Dodawanie wskaźnika przeszukiwania wstecz do konfiguracji serwera DNS Dodawanie nowego wskaźnika przeszukiwania wstecz (rekordu typu PTR): 1. Klikamy prawym klawiszem myszy na wybranej strefie przeszukiwania wstecz. 2. Z menu kontekstowego wybieramy opcję Nowy wskaźnik PTR. 3. W oknie tworzenia nowego wskaźnika (rys. 37) wpisujemy adres IP oraz nazwę rekordu typu A, do którego ma się odwoływać wskaźnik, np. uczeń. zsp.edu.pl. Rys. 37. Tworzenie wskaźnika dla strefy przeszukiwania wstecz 11