Active Directory OU, vytváření uživatelů a skupin

Naplánujte si nejprve strom organizačních jednotek

Organizační jednotka není jen složka. Je to jednotka, kterou později použijete k aplikaci zásad skupiny a k delegování malých úloh, jako je resetování hesel – navrhněte proto strom podle toho, jak kancelář skutečně běží, než vytvoříte jeden účet:

Jedna hlavní organizační jednotka na místo nebo pobočku – například Dillí Office, Jaipur Office. Uvnitř každého webu podřízené organizační jednotky podle oddělení nebo funkce – účty, prodej. Udržujte samostatné organizační jednotky pro uživatele, počítače a skupiny na každém webu, protože zásady pro lidi a stroje se liší. Nahoře přidejte dvě organizační jednotky obslužných programů: Nové počítače (prostor pro čerstvě připojené počítače) a Zakázání uživatelé (odcházející zůstanou před smazáním zde).

Vytvořte organizační jednotky v souboru dsa.msc

Na řadiči domény otevřete položku Uživatelé a počítače služby Active Directory z pole Spustit:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

Vytvoření uživatelů s pravidlem pojmenování

Klikněte pravým tlačítkem na organizační jednotku oddělení → Nový → Uživatel a vytvořte každý účet v jeho plánované organizační jednotce – nikdy ve výchozím kontejneru Uživatelé. O tom, jak čistý zůstane váš adresář, rozhodují dvě rozhodnutí:

Použít jedno pravidlo pojmenování pro přihlašovací jména – například jméno.příjmení – rozhodnuté jednou a nikdy neporušené, a to ani pro podobná jména. Zaškrtněte Uživatel si musí při příštím přihlášení změnit heslo, takže vámi nastavené heslo je pouze jednorázové heslo pro spuštění. Nyní vyplňte oddělení a popis - v budoucnu vám poděkujete při každém auditu.

Stejný účet z PowerShellu:

New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true

Vytvořte jednu skupinu zabezpečení pro každý zdroj

Skupiny umožňují spravovat oprávnění. Uvnitř organizační jednotky skupin na webu vytvořte jednu skupinu zabezpečení pro každý zdroj – například GRP-Accounts-Share pro sdílení souborů účtů. Jasná předpona jako GRP- činí každou skupinu rozpoznatelnou na první pohled a skupina je skupinou Zabezpečení s globálním rozsahem.

Potom udělte oprávnění ke sdílení pouze skupině – nikdy žádné osobě. Když někdo změní oddělení, přesunete jeho členství ve skupině; samotného sdílení se již nikdy nedotknete.

Přidat členy, dát skupině práva

Přidejte každého uživatele do skupin, které jejich úlohy potřebují. Z PowerShellu je přidání vzorového uživatele do skupiny sdílení účtů jeden řádek:

Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"

Chraňte strukturu a ověřte ji

Skončete se dvěma zvyky, které oddělují udržovaný adresář od šťastného. Nejprve se ujistěte, že je každá organizační jednotka skutečně chráněna: klikněte pravým tlačítkem myši na organizační jednotku → Vlastnosti → karta Objekt a zkontrolujte, zda je zapnuta možnost Chránit objekt před náhodným smazáním – jedno neopatrné smazání organizační jednotky vezme s sebou každého uživatele a počítač.

Za druhé ověřte výsledek: otevřete každou organizační jednotku a potvrďte, že seznam uživatelů zobrazuje účty pouze v jejich plánovaných organizačních jednotkách a že nikdo nezůstal pozadu ve výchozích kontejnerech. Poté si zapište své pravidlo pro pojmenování a plán organizační jednotky na jednu stránku a uschovejte je spolu s dokumentací serveru, takže další správce bude postupovat podle stejné struktury, místo aby vymýšlel novou.