Chương 2: actidirectory

windows server 2008

I CÁC MÔ HÌNH MẠNG TRONG MÔI TRƯỜNG MICROSOFT

1.Mô hình Workgroup

Mô hình mạng workgroup còn gọi là mô hình mạng peer-to-peer, là mô hình mà trong đó các máy tính có vai trò như nhau được nối kết với nhau Các dữ liệu và tài nguyên được lưu trữ phân tán tại các máy cục bộ, các máy tự quản lý tài nguyên cục bộ của mình Trong hệ thống mạng không có máy tính chuyên cung cấp dịch vụ và quản lý

hệ thống mạng Mô hình này chỉ phù hợp với các mạng nhỏ, dưới mười máy tính và yêu cầu bảo mật không cao

Đồng thời trong mô hình mạng này các máy tính sử dụng hệ điều hành hỗ trợ đa người dùng lưu trữ thông tin người dùng trong một tập tin SAM (Security Accounts Manager) ngay chính trên máy tính cục bộ Thông tin này bao gồm: username (tên đăng nhập), fullname, password, description… Tất nhiên tập tin SAM này được mã hóa nhằm tránh người dùng khác ăn cấp mật khẩu để tấn công vào máy tính Do thông tin người dùng được lưu trữ cục bộ trên các máy trạm nên việc chứng thực người dùng đăng nhập máy tính cũng do các máy tính này tự chứng thực

2.Mô hình Domain

Khác với mô hình Workgroup, mô hình Domain hoạt động theo cơ chế server, trong hệ thống mạng phải có ít nhất một máy tính làm chức năng điều khiển vùng (Domain Controller), máy tính này sẽ điều khiển toàn bộ hoạt động của hệ thống mạng Việc chứng thực người dùng và quản lý tài nguyên mạng được tập trung lại tại các Server trong miền Mô hình này được áp dụng cho các công ty vừa và lớn

client-Trong mô hình Domain của Windows Server 2008 thì các thông tin người dùng

điều khiển vùng (domain controller) với tên tập tin là NTDS.DIT Tập tin cơ sở dữ liệu này được xây dựng theo công nghệ tương tự như phần mềm Access của Microsoft nên nó có thể lưu trữ hàng triệu người dùng, cải tiến hơn so với công nghệ cũ chỉ lưu trữ được khoảng 5 nghìn tài khoản người dùng Do các thông tin người dùng được lưu trữ tập trung nên việc chứng thực người dùng đăng nhập vào mạng cũng tập trung và do máy điều khiển vùng chứng thực

II Active Directory là gì ?

Là một cơ sở dữ liệu với các chức năng như:

- Lưu trữ thông tin về tài khoản người dùng và các tài nguyên mạng máy tính

- Cung cấp một Server đóng vai trò chứng thực (authentication server) hoặc Server quản lý đăng nhập (logon Server), Server này còn gọi là domain controller (máy điều khiển vùng)

- Duy trì một bảng hướng dẫn hoặc một bảng chỉ mục (index) giúp các máy tính trong mạng có thể dò tìm nhanh một tài nguyên nào đó trên các máy tính khác trong vùng

- Xác định tính hợp lệ của người truy cập tài nguyên mạng

- Lưu trữ thông tin mạng như là các đối tượng trong một cấu trúc phân cấp

- Cho phép chúng ta tạo ra những tài khoản người dùng với những mức độ quyền (rights) khác nhau như: toàn quyền trên hệ thống mạng, chỉ có quyền backup dữ liệu hay shutdown Server từ xa…

- Cho phép chúng ta chia nhỏ miền của mình ra thành các miền con (subdomain) hay các đơn vị tổ chức OU (Organizational Unit) Sau đó chúng ta có thể ủy quyền cho các quản trị viên bộ phận quản lý từng bộ phận nhỏ

Users +

+

+

+

1 Cấu trúc của Domain Controller :

Là nơi lưu trữ thư mục Sysvol

Tham gia vào việc mô hình hoá Active Directory

2 Các thành phần của Active Directory

Domain – Tree – Forest

- Giúp chúng ta quản lý bảo mật các các tài nguyên chia sẻ

- Cung cấp các Server dự phòng làm chức năng điều khiển vùng (domain controller), đồng thời đảm bảo các thông tin trên các Server này được được đồng bộ với nhau

Tóm lại :

- Người dùng có quyền truy cập dữ liệu của các máy tính khác nhau qua mạng máy tính

- Quá trình đăng nhập đơn giản cho tất cà các máy tính

- Người dùng và thông tin được lưu trữ tập trung

- Triển khai mô hình mạng lớn

Các máy tính trong Domain :

- Một Domain có thể chứa nhiều máy tính khác nhau

- Máy tính có thể chạy các phiên bản khác nhau của Windows

2.2 Tree – Forest :

2.2.1 Domain Tree

Domain Tree là cấu trúc bao gồm nhiều domain được sắp xếp có cấp bậc theo cấu trúc hình cây Domain tạo ra đầu tiên được gọi là domain root và nằm ở gốc của cây thư mục Tất cả các domain tạo ra sau sẽ nằm bên dưới domain root và được gọi

là domain con (child domain) Tên của các domain con phải khác biệt nhau Khi một domain root và ít nhất một domain con được tạo ra thì hình thành một cây domain Khái niệm này bạn sẽ thường nghe thấy khi làm việc với một dịch vụ thư mục Bạn có thể thấy cấu trúc sẽ có hình dáng của một cây khi có nhiều nhánh xuất hiện

2.2.2 Forest (rừng) :

Forest (rừng) được xây dựng trên một hoặc nhiều Domain Tree, nói cách khác Forest là tập hợp các Domain Tree có thiết lập quan hệ và ủy quyền cho nhau Ví dụ giả

sử một công ty nào đó, chẳng hạn như Microsoft, thu mua một công ty khác Thông

thường, mỗi công ty đều có một hệ thống Domain Tree riêng và để tiện quản lý, các cây này sẽ được hợp nhất với nhau bằng một khái niệm là rừng

Trong ví dụ trên, công ty mcmcse.com thu mua được techtutorials.com và xyzabc.com và hình thành rừng từ gốc mcmcse.com

 DNS phổ biến nhất là được kết hợp với Internet

 Tuy nhiên các mạng riêng cũng sử dụng DNS một cách rộng rãi để phân giải tên máy tính và định vị máy tính trong một mạng cục bộ và Internet

 Domain name space là một lưu đồ tên, cung cấp một cấu trúc phân cấp cho CSDL

của DNS Mỗi một nút biểu diễn một vùng trong CSDL DNS Những nút này được xem như các domain

 CSDL DNS được chỉ mục bởi tên; do đó mỗi domain phải có một cái tên Khi thêm các domain vào cấu trúc, tên của domain cha được nhập vào domain con (subdomain) Do đó tên của domain chỉ rõ vị trí của nó trong cấu trúc Ví dụ: sales.microsoft.com

BÀI 1 :Tạo Domain và Domain Controller

I Cài đặt dịch vụ thư mục Active Directory Domain Services ( Tạo Domain và

Domain Controller )

Để cài đặt thành công dịch vụ thư mục Active Directory trên một máy tính Windows Server 2008, ta phải xác định thành công các yêu cầu sau:

- Có ít nhất 1 card mạng tương thích

- Card mạng phải nối với Switch thích hợp

- Card mạng phải cấu hình IP tỉnh

- Ổ đĩa hệ thống (C:) phải định dạng NTFS

Sau khi cài xong Windows 2008 , thực hiện các bước sau:

Bước 1 Click phải Network , chọn Properties, khai báo IP sau :

Click OK đóng hộp thọai Internet Protocol (TCP/IP) Properties

Bước2 Thực hiện cài đặt dịch vụ thư mục Active Directory trên một máy tính

Windows Server 2008

1 Cửa sổ Server Manager -> Roles -> Add Role

Phải cùng IP server

2 Màn hình Before You Begin kiểm tra các thông số đã cài đặt như :

mật khẩu phức tạp cho Administrator, IP tỉnh cho card mạng Nhấn nút

5 Màn hình Conrm Installation Selections ghi nhận các chú ý quan trọng như: hệ thống sẽ khởi động lại sau khi cài đặt thành công; sau khi cài đặt AD DS cần chạy file dcpromo.exe để cấu hình hệ thống trở thành

Domain Controller ( Máy điều khiển miền) Nhấn Install để cài đặt

6 Tiến trình đang cài đặt

7 Màn hình Installation Results xem thông tin kết quả cài đặt thành công

Nhấn Close

8 Cửa sổ Server Manager chọn Active Directory Domain Services

Chọn Run the Active Directory Domain Services Installation Wizard

9 Màn hình Welcome Active Directory Domain Services

Installation Wizard nhấn Next

10 Màn hình Choose a Deplayoment Configuration chọn Create a

new Domain in a new forest

11 Màn hình Name the Forest Root Domain nhập tên Domain

TDC.COM

12 Màn hình Set Forest Function Level chọn phiên bản hệ điều hành Nhấn Next

13 Màn hình Addional Domain Controller Option trình cài đặt tự động dò tìm van đánh dấu mục DNS Server Nhấn Next

14 Màn hình Location for Database, Lod Files and Sysvol chấp

nhận mặc định

15 Màn hình Directory Services Restore Mode Administrator

Password nhập mật khẩu tài khoản Administrator để sử dụng trong

chế độ Restore Mật khẩu nầy khác với mật khẩu đăng nhập vào hệ thống domain Nhấn Next

16 Màn hình Sumary tổng kết các thông tin Nhấn Next để bắt đầu tiến trình cài đặt DNS Server

18 Màn hình Complete the Active Directory Domain Services

Installation Wizard Nhấn Finish hoàn tất cài đặt DNS server và

cấu hình máy tính này là Domain Controller

19 Sau khi hoàn tất sẽ khởi động lại máy

20 Kiểm tra DNS cài đặt thành công có hình dạng như sau:

Bài 2 : Join 1 máy tính WIN7 vào Domain TDC.COM

1 Yêu cầu : tại máy Client cấu hình IP cho phù hợp để join vào Domain TDC.COM

- Địa chỉ IP phải cùng NetID với máy tính Domain Controller

- Địa chỉ Preferred DNS server phải là IP của Domain Controller

2 Right click -> My Computer -> Change Setting Hộp thọai System Properties xuất

hiện

4 Hộp thọai yêu cầu nhập Username và password của tài khỏan Administrator của

Domain

Hộp thọai Welcome xuất hiện :

6 Click OK để khởi động máy

7 Log on tại máy Client để kiểm chứng đã kết nối thành cộng

- Tại máy Client, logon với tài khoản Administrator của domain ( vì chưa có User

Domain nào được tạo ra )

III CÁC LỔI THƯỜNG GẶP :

Trong kết nối Domain và Client thường gặp các lổi sau :

- Pre DNS sai

- DNS cài đặt bị lổi - Khai báo IP Server

trong Pre DNS

- Cài lại Domain

IV GỞ BỎ DOMAIN : khi vì lý do nào đó domain không còn sử dụng máy server sẽ bị

hạ thành Workgroup, ta tiến hành như sau :

Dùng lệnh tương tự như khi lên domain : DCPROMO

1 Hộp thoai RUN nhập lệnh : DCPROMO

2 Màn hình Welcome, nhấn Next

3 Hộp thoại cảnh báo Global catalog server, nhấn OK

5 Mản hình Application Directory Partition nhấn Next

6 Màn hình Confirm Deletion chọn Delete all application directory partition onthis Active

Directory domain controller nhấn Next

7 Màn hình Remove DNS Delegation chọn Delete the DNS delegation pointing to this server nhấn Next

8 Nhập mật khẩu mới cho Administrator

9 Màn hình Summary tổng kết các thông tin Nhấn Next

10 Màn hình tiến trình diễn ra Màn hình Completing the Active Directory Domain Services

Installation Wizard xuất hiện Nhấn Finish

11 Khởi động hệ thống

12 Màn hình Server Manager Tại Roles Summary chọn Remove Roles

13 Màn hình Remove server Roles bỏ chọn 2 mục Active Directory Domain Services van DNS Server Nhấn Next

14 Màn hình Confirm Removal Selection xem thông tin cần loại bỏ Nhấn Remove

15 Tiến trình bắt đầu Màn hình Removal Results xuất hiện Nhấn Close

16 Restart máy tính

Thay đổi tên : SERVER: click phải Computer -> Properties -> Change

Nhấn More : xoá TDC.COM

Hệ thống khởi động lại

b Domain User : User được tạo ra từ DomainController do Administrator của Domain

tạo ra và có ý nghĩa trên toàn Domain ( các máy kết nối vào Domain)

2 Tạo và quản lý các tài khoản người dùng (Domain User) : Sử dụng Actidirectory

User And Computer trong 2 cách sau :

- Cách 1 : Server Manager -> Roles -> Active Directory Domain Services -> Active

Directory Users and Computers

- Cách 2 (thường sử dụng )

B1: Start ->Program ->Admnistrator Tool->Active Directory Users and Computers

B2 Hộp thoại Active Directory Users and Computers

B3 Chọn Users Clickphải -> New User

B4 Hộp thoại New Object – User :

B5 Nhập các thông tin, nhấp Next

Nhập Password phức tạp

a Hiệu chỉnh đặc tính User :

Nhấp phải vào tên User ->Properties

b Thay đổi Password :

Click phải vào tên user ->Reset Password-> Nhập vào Passwor

c Qui định user đăng nhập theo vị trí máy : Mặc nhiên User có thể đăng nhập bất

kỳ máy trạm nào, để có thể qui định User đăng nhập theo máy ta thiết lập trong hộp thoại sau:

- Nhập tên máy vào ô The Following Computers

d Qui định thời gian đăng nhập

Mặc nhiên User có thể đăng nhập bất kỳ lúc nào, để có thể qui định User đăng nhập theo

thời gian ta thiết lập trong hộp thoại sau:

- Click Logon Hours

- Chọn Logon Permited : Cho phép ( mặc nhi ên)

- Chọn Logon Denied: Không cho phép, và drag

B3 Nhập tên Nhóm

B4 Nhấp kép vào tên nhóm để bổ sung thành viên của nhóm

 Xem đặc tính của nhóm : Mở trang Member Of

 Tên của nhóm :

2 Global Group :Nhóm chứa các thành viên trong 1 miền

3.1 Các Container trong Active Directory Users and Computer

1 Builtin : là Container dành cho Local Group được tạo sẳn đặc biệt như :

Administrator, Acccount, Operator, Guest và User

2 User and computer : nơi đặt tài khoản người dùng nhóm và tài khoản máy

3 Domain Controller :mặc định dành cho các máy DC

4 ForeignSecurity : mặc định dành cho các đối tượng từ các miền bên ngoài

3.2 Các Domain Local group đƣợc tạo sẳn trong Users:

- Administrator : Cấp quyền quản trị

- Server Operator : toàn quyền cần thiết quản trị các server của miền

- Print Operator : tạo ra, quản lý và xoá bỏ các đối tượng in

- BackUp Operator : quyền dự phòng và khôi phục

- Everyone: truy cập máy nầy từ mạng

- Users: tạo và quản lý Local group

- Guest : có quyền đăng nhập và chạy các ứng dụng

a.Các Global group được tạo sẳn:

- Domain Admins

- Domain User

- Domain guest

4 Mô hình OU (Organization Unit – Đơn vị tổ chức):

4.1 Giới thiệu :Là nhóm con trong phạm vi vùng thường phản ánh chức năng

hay cấu trúc của vùng OU là một đối tượng nằm trong Domain Trong OU có thể chứa người dùng ( User) và máy tính (Computer ) và các nhóm (Group)

- OU là đơn vị nhỏ nhất được liên kết đến các đối tượng chính sách nhóm ( Group Policy Objects)

4.2.Khả năng :

- - OU cho phép áp dụng các chính sách nhóm cho 1 nhóm nhỏ tài nguyên trong vùng mà không ban hành chính sách toàn vùng, giúp thiết lập và quản lý chính sách nhóm ở cấp độ thích hợp nhất

- c Domain Controller: các máy điều khiển vùng

- d User: tập hợp các tài khoản người dùng trong miền

- Ví dụ: Lớp có 2 nhóm chính là : NHOM1 và NHOM2 Trong NHOM1 có TO1

và TO2, NHOM2 có TO3 và To4 ta tổ chức mô hình OU như sau:

- B1 Vào Active Directory Users and Computers, click phải vào tên Domain

- Chọn New-> organization Unit

- B2 Nhập vào tên OU: NHOM1 từ hộp thoại new Object

Nếu muốn cho phép thao tác xoáđược thực hiện trên OU nầy ta bỏ dấu chọn mục

Protect container from accidental deletion

- B3 Nhấn OK và tương tự cho NHOM2 và các OU con ta có mô hình OU sau :

-