Active Directory OU، User & Group Creation

ابتدا درخت OU را برنامه ریزی کنید

یک OU فقط یک پوشه نیست. این واحدی است که بعداً برای اعمال خط مشی گروه و واگذاری کارهای کوچک مانند بازنشانی رمز عبور استفاده می کنید - بنابراین قبل از ایجاد یک حساب کاربری، درختی را در مورد نحوه اجرای واقعی دفتر طراحی کنید:

یک OU برتر در هر سایت یا شعبه - برای مثال دفتر دهلی، دفتر جیپور. در داخل هر سایت، OU های فرزند بر اساس بخش یا عملکرد - حساب ها، فروش. کاربران، رایانه‌ها و گروه‌ها را مجزا در هر سایت نگه دارید، زیرا خط‌مشی‌ها برای افراد و ماشین‌ها متفاوت است. دو OU ابزار در بالا اضافه کنید: رایانه‌های جدید (منطقه‌ای برای ماشین‌هایی که تازه به هم متصل شده‌اند) و کاربران غیرفعال (برگ‌ها قبل از حذف در اینجا می‌مانند).

OU ها را در dsa.msc ایجاد کنید

در کنترل‌کننده دامنه، Active Directory Users and Computers را از کادر Run باز کنید:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

ایجاد کاربران با یک قانون نامگذاری

روی بخش OU → جدید → کاربر کلیک راست کرده و هر حساب را در داخل OU برنامه ریزی شده خود ایجاد کنید - هرگز در محفظه پیش فرض کاربران. دو تصمیم در اینجا تعیین می کند که دایرکتوری شما چقدر تمیز بماند:

از یک قانون نامگذاری برای نام‌های ورود استفاده کنید - برای مثال firstname.lastname - یک بار تصمیم گرفته شده و هرگز شکسته نشده است، حتی برای نام‌های مشابه. کاربر باید در ورود بعدی رمز عبور را تغییر دهد را علامت بزنید، بنابراین رمز عبوری که تنظیم می‌کنید فقط یک رمز عبور شروع یکبار مصرف است. اکنون بخش و توضیحات را پر کنید - در آینده در طول هر ممیزی از شما سپاسگزاری خواهید کرد.

همان حساب از PowerShell:

New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true

یک گروه امنیتی در هر منبع ایجاد کنید

گروه‌ها نحوه مدیریت شدن مجوزها هستند. در داخل گروه‌های OU سایت، یک گروه امنیتی برای هر منبع ایجاد کنید - برای مثال GRP-Accounts-Share برای اشتراک فایل حساب‌ها. یک پیشوند واضح مانند GRP- باعث می شود هر گروه در یک نگاه قابل تشخیص باشد و گروه یک گروه امنیتی با دامنه جهانی

سپس مجوز اشتراک را فقط به گروه بدهید - هرگز به شخص. هنگامی که شخصی تغییر بخش می دهد، عضویت گروه او را تغییر می دهید. خود اشتراک دیگر هرگز لمس نمی شود.

افزودن اعضا، دادن حقوق به گروه

هر کاربر را به گروه‌هایی که شغل آنها نیاز دارد اضافه کنید. از PowerShell، افزودن کاربر نمونه به گروه اشتراک‌گذاری حساب‌ها یک خط است:

Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"

از ساختار محافظت کنید و آن را تأیید کنید

با دو عادتی که یک دایرکتوری نگهداری شده را از یک دایرکتوری خوش شانس جدا می کند به پایان برسانید. ابتدا، تأیید کنید که هر OU واقعاً محافظت شده است: روی OU → Properties → Tab Object کلیک راست کنید و بررسی کنید که محافظت از شیء در برابر حذف تصادفی روشن باشد - یک حذف بی دقت از یک OU هر کاربر و رایانه ای را که در داخل آن قرار دارد با خود همراه می کند.

ثانیاً، نتیجه را تأیید کنید: هر OU را باز کنید و تأیید کنید که فهرست کاربران حساب‌ها را فقط در OU برنامه‌ریزی‌شده‌شان نشان می‌دهد و هیچ‌کس در کانتینرهای پیش‌فرض باقی نمانده است. سپس قانون نامگذاری و طرح OU خود را در یک صفحه بنویسید و آن را با مستندات سرور نگه دارید، بنابراین مدیر بعدی به جای اختراع ساختار جدید، از همان ساختار پیروی می کند.