من السهل إنشاء Active Directory الفوضوي وتنظيفه مؤلم. يبني هذا الدليل البنية بالترتيب الصحيح - الوحدات التنظيمية أولاً، ثم المستخدمون، ثم المجموعات - بحيث تظل السياسة والتفويض بسيطين لسنوات.
تنمو معظم الشبكات الصغيرة على هذا النحو: حاوية افتراضية واحدة، وخمسون حساب مستخدم مجمعة معًا، وأذونات تُمنح لكل شخص حتى لا يعرف أحد من يمكنه فتح ماذا. الإصلاح ليس أداة جديدة - بل هو بنية يتم تحديدها قبل إنشاء حساب واحد. يوجد أدناه نفس الترتيب المستخدم في الفيديو: تخطيط شجرة الوحدة التنظيمية، وإنشاء الوحدات التنظيمية، وإنشاء مستخدمين بداخلها، ثم إنشاء مجموعات أمان وتوزيع الحقوق من خلال المجموعات. افعل ذلك بهذا الترتيب وستصبح كل مهمة لاحقة - سياسة المجموعة، والتفويض، وعمليات التدقيق - أسهل بعشر مرات.
شجرة OU تعكس المكتب الحقيقي. الأسماء المذكورة أعلاه هي أمثلة - انسخ النمط وليس الأسماء.
الوحدة التنظيمية ليست مجرد مجلد. وهي الوحدة التي تستخدمها لاحقًا لتطبيق سياسة المجموعة ولتفويض المهام الصغيرة مثل إعادة تعيين كلمة المرور. لذا، قم بتصميم وحدات تنظيمية حول كيفية إدارة المكتب فعليًا:
قاعدة صادقة: إذا لم تغير الوحدة التنظيمية سياسة أو قرار تفويض، فهي زخرفة. أبقِ الشجرة ضحلة - ثلاثة مستويات كافية لمعظم المكاتب.
افتح dsa.msc على وحدة تحكم المجال، وانقر بزر الماوس الأيمن فوق المجال، واختر جديد → وحدة تنظيمية، وقم ببناء الشجرة من خطتك. يقوم PowerShell بنفس المهمة ويسهل تكرارها:
New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"New-ADOrganizationalUnit -Name "Accounts" -Path "OU=Delhi Office,DC=office,DC=local"استبدل office.local باسم النطاق الخاص بك في كل مكان في هذا الدليل. البنية مهمة، أما أسماء الأمثلة فلا أهمية لها.
انقر بزر الماوس الأيمن على القسم OU → جديد → المستخدم. هناك قراران هنا يحددان مدى نظافة الدليل الخاص بك:
firstname.lastname - تم تحديدها مرة واحدة ولا يتم كسرها أبدًا، حتى بالنسبة للأسماء المشابهةنفس الحساب من PowerShell: New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true
المجموعات هي الطريقة التي تظل بها الأذونات قابلة للإدارة. أنشئ مجموعة أمان واحدة لكل مورد - على سبيل المثال GRP-Accounts-Share لمشاركة ملف الحسابات - ثم أضف مستخدمين إلى المجموعة، وامنح إذن المشاركة للمجموعة فقط.
New-ADGroup -Name "GRP-Accounts-Share" -GroupScope Global -GroupCategory Security -Path "OU=Groups,OU=Delhi Office,DC=office,DC=local"Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"تحذير صادق: في اليوم الذي تمنح فيه إذن مجلد لشخص واحد مباشرة، تكون قد بدأت الفوضى التي يوجد هذا الدليل لمنعها.
انتهي من عادتين تفصلان الدليل المحفوظ عن الدليل المحظوظ:
Get-ADUser -Filter * -SearchBase "OU=Delhi Office,DC=office,DC=local" - يجب أن تظهر القائمة المستخدمين فقط في الوحدات التنظيمية المخططة الخاصة بهمهذا هو الأساس بأكمله: شجرة OU ضحلة تعكس المكتب، والمستخدمون الذين تم إنشاؤهم بموجب قاعدة تسمية، وكل إذن يتدفق عبر المجموعة.
عملية إنشاء الوحدة التنظيمية والمستخدم والمجموعة الكاملة - مباشرة على وحدة تحكم المجال الحقيقية، خطوة بخطوة.
▶️ Watch Full Videoتكون الحاويات مثل المستخدمين وأجهزة الكمبيوتر مدمجة ولا يمكنها قبول سياسة المجموعة أو التفويض. الوحدات التنظيمية هي الكائنات التي تقوم بإنشائها بنفسك، وهي تلك السياسات التي يتم ربطها بها ويتم تفويض الحقوق عليها. ولهذا السبب يتم دائمًا نقل الكائنات الجديدة من الحاويات الافتراضية إلى الوحدات التنظيمية الخاصة بك.
من خلال أيهما يغير السياسة أو مسؤولية الدعم. تحتاج معظم الشركات الصغيرة إلى موقع أولاً (كل فرع لديه شخص دعم خاص به)، ثم قسم داخل كل فرع. إذا كان مسؤول واحد يدير كل شيء وكانت السياسة تختلف من فريق إلى آخر، فإن القسم أولاً يكون صالحًا بنفس القدر - اختر منطقًا واحدًا وحافظ على الاتساق.
ضحلة. يغطي مستويان إلى ثلاثة مستويات كل مكتب تقريبًا: الموقع، ثم القسم، ثم تقسيم المستخدمين وأجهزة الكمبيوتر. تجعل الأشجار العميقة من الصعب التنبؤ بتوريث السياسة وتبطئ كل مسؤول مستقبلي يتعين عليه فهم تخطيطك.