Udělejte z řadiče domény ZDARMA 😳 Synology NAS + Nastavení skupinových zásad!

Vědět, co stavíte

Zařízení Synology NAS může fungovat jako skutečný řadič domény pomocí bezplatného balíčku Synology Directory Server z Centra balíčků. Pod kapotou je to řadič domény Active Directory založený na Sambě: mluví Kerberos, udržuje vaše uživatelské účty a počítače v jedné databázi a vynucuje zásady skupiny na počítačích se systémem Windows – stejné každodenní úlohy, jaké vykonává řadič domény Windows Server v malé kanceláři.

Atraktivní je to, co chybí: žádná licence Windows Server a žádné CAL (licence pro klientský přístup). Balíček je zdarma, NAS, který již vlastníte pro soubory, se stane přihlašovacím serverem a jeden účet na osobu funguje pro PC, sdílené složky a další služby DSM.

Připravte NAS, než začnete

Proveďte nejprve tyto kontroly, protože dvě z nich jsou trvalé. Kompatibilní model: Directory Server se instaluje pouze na seznam podporovaných modelů společnosti Synology – obecně řadu Plus a vyšší –, takže než něco naplánujete, zkontrolujte svůj přesný model na oficiální stránce aplikovaných modelů společnosti Synology. DSM 7.1 nebo novější a pevná statická IP pro NAS: řadič domény, jehož adresa se mění, je nefunkční.

Dále konečný název hostitele NAS – jakmile je adresářový server aktivován, název hostitele NAS nelze změnit, proto jej pojmenujte správně nyní (například NAS01), ne později. A vyberte název domény, který si ponecháte, něco jako office.local: alespoň dvě části, jednoduché znaky, které nesmí být stejné jako název serveru NAS.

Nainstalujte adresářový server a vytvořte doménu

Otevřete Package Center na NAS a nainstalujte Synology Directory Server. Funguje společně s balíčkem DNS Server, který doména potřebuje pro překlad názvů – nainstalujte jej také, pokud o to DSM požádá. Poté spusťte Directory Server a spusťte průvodce prvním nastavením.

Zadejte název domény (název pracovní skupiny / NetBIOS se vyplní automaticky — pro office.local se změní na OFFICE) a nastavte silné heslo pro účet správce domény. Uložte toto heslo ve správci hesel – je to hlavní klíč kanceláře. Potvrďte a klikněte na Použít: DSM nyní vytvoří doménu a povýší NAS na řadič domény. Nechte to dokončit bez přerušení.

Nasměrujte DNS na NAS a otestujte jej

Doména funguje pouze tehdy, když ji PC dokáže najít a PC ji najde prostřednictvím DNS. Nastavte DHCP nastavení routeru (nebo každý počítač ručně), aby adresa DNS serveru byla IP NAS. Nejprve otestujte na jednom PC — tento příkaz by měl odpovědět s IP adresou NAS:

nslookup office.local

Vytváření zásad uživatelů, skupin a hesel

Otevřete Directory Server na NAS a vytvořte své lidi: jeden účet na skutečnou osobu, nikdy nesdílené účty. Přidejte skupiny, které odpovídají tomu, jak kancelář funguje – účty, prodej, zaměstnanci kanceláře – a rozdělte lidi do skupin. Později se oprávnění k souborům a zásady zaměří na skupiny, takže nové připojení je nastaveno přidáním členství ve skupině, nikoli přestavbou nastavení PC po PC.

Nastavte zásady hesel, když jste zde: Adresářový server podporuje pravidla síly hesla (délka, expirace, historie) a uzamknutí účtu po opakovaných nesprávných heslech. Zapněte uzamčení – je to vaše levná obrana proti uhodnutí hesla.

Připojte počítač se systémem Windows k doméně

V počítači zkontrolujte, zda jeho DNS body k NAS (krok 4) a že hodiny počítače jsou správné – Kerberos odmítá přihlášení, když se hodiny od sebe oddálí. Otevřete Vlastnosti systému pomocí dialogu Spustit (Win + R):

sysdm.cpl

Use the Computer Name tab → Change, select Domain and enter office.local, then give the domain administrator credentials when asked. (The same join is available under Settings → System → About → Join a domain.) Restart the PC and log in with a domain user account, then verify the login in Command Prompt:

whoami

It should show the domain name before the username — for example office\anshu — which confirms the PC is on the domain and you are signed in with a domain account.

Nastavte svou první zásadu skupiny pomocí RSAT

V systému DSM není žádný editor zásad skupiny – zásady spravujete správným způsobem systému Windows pomocí RSAT (Nástroje pro správu vzdáleného serveru) na počítači se systémem Windows 10/11 Pro připojeným k doméně. Nainstalujte jej z Nastavení → Aplikace → Volitelné funkce → Přidat funkci: přidejte nástroje RSAT: Nástroje pro správu zásad skupiny a RSAT: Active Directory Domain Services. Poté otevřete Správa zásad skupiny:

gpmc.msc

It connects to your Synology domain automatically when the PC is domain-joined. Create a first harmless policy — a mapped network drive to the NAS share, or a standard desktop wallpaper — link it to your users, then apply it on a test PC right away:

gpupdate /force

Confirm the policy applied. Drive mapping, folder redirection and roaming profiles all work through these policies — that is exactly what the video demonstrates end to end.

Znejte poctivé limity

Toto je skutečný řadič domény pro malé kanceláře, nikoli 100% klon Windows Server Active Directory. Poznejte okraje: podporuje jedinou doménu; funkční úroveň se rovná Windows Server 2008 R2; modul Active Directory PowerShell není podporován; DFSR není podporován; a nemůže vytvářet vztahy důvěryhodnosti se samostatnou doménou Windows Server. Druhý Synology se může připojit jako další řadič, ale pouze pro doménu, kterou Synology vytvořila.

Pro kancelář pro 5–30 osob, která potřebuje přihlášení, zásady a centrální účty, nic z toho neblokuje úlohu – a vy jste zcela vynechali licenci Windows Server a licence CAL.