Active Directory OU, käyttäjien ja ryhmien luominen

Suunnittele OU-puu ensin

O-yksikkö ei ole vain kansio. Se on yksikkö, jota käytät myöhemmin ryhmäkäytännön soveltamiseen ja pienten töiden, kuten salasanan nollauksen, delegoimiseen. Suunnittele siis puu toimiston todellisen toiminnan mukaan, ennen kuin luot yhden tilin:

Yksi ylin organisaatioyksikkö sivustoa tai haaraa kohden – esimerkiksi Delhin toimisto, Jaipurin toimisto. Jokaisen sivuston sisällä aliyksiköt osaston tai toiminnon mukaan - Tilit, myynti. Pidä erilliset organisaatioyksiköt käyttäjille, tietokoneille ja ryhmille kussakin sivustossa, koska ihmisiä ja koneita koskevat käytännöt ovat erilaisia. Lisää yläosaan kaksi apuyksikköä: Uudet tietokoneet (asennusalue juuri liitetyille koneille) ja Disabled Users (poistujat pysyvät täällä ennen poistamista).

Luo organisaatioyksiköt tiedostossa dsa.msc

Avaa toimialueen ohjaimen Active Directory -käyttäjät ja -tietokoneet Suorita-ruudusta:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

Luo käyttäjiä nimeämissäännöllä

Napsauta hiiren kakkospainikkeella osaston organisaatioyksikköä → Uusi → Käyttäjä ja luo kukin tili suunniteltuun organisaatioyksikköön - ei koskaan oletusarvoiseen Users-säilöön. Tässä kaksi päätöstä ratkaisee, kuinka puhtaana hakemistosi pysyy:

Käytä yhtä nimeämissääntöä kirjautumisnimille - esimerkiksi etunimi.sukunimi -, joka on päätetty kerran eikä koskaan rikkoudu, edes samankaltaisille nimille. Valitse Käyttäjän on vaihdettava salasana seuraavan kirjautumisen yhteydessä, joten määrittämäsi salasana on vain kertakäyttöinen aloitussalasana. Täytä osasto ja kuvaus nyt - tulevaisuudessa kiität sinua jokaisen auditoinnin yhteydessä.

Sama tili PowerShellistä:

New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true

Luo yksi suojausryhmä resurssia kohden

Ryhmien avulla käyttöoikeudet pysyvät hallittavissa. Luo sivuston Groups OU:n sisällä yksi suojausryhmä resurssia kohden – esimerkiksi GRP-Accounts-Share tilitiedostojen jakamista varten. Selkeä etuliite, kuten GRP-, tekee jokaisen ryhmän tunnistettavissa yhdellä silmäyksellä, ja ryhmä on Turvallisuus-ryhmä, jolla on maailmanlaajuinen laajuus.

Anna sitten lupa jakoon vain ryhmälle – ei koskaan kenellekään. Kun joku vaihtaa osastoa, siirrät hänen ryhmän jäsenyytensä. itse osuuteen ei kosketa enää koskaan.

Lisää jäseniä, anna oikeudet ryhmälle

Lisää jokainen käyttäjä ryhmiin heidän työtarpeensa. PowerShellissä esimerkkikäyttäjän lisääminen tilien jakoryhmään on yksi rivi:

Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"

Suojaa rakenne ja varmista se

Lopeta kaksi tapaa, jotka erottavat ylläpidetyn hakemiston onnekkaasta. Varmista ensin, että jokainen organisaatioyksikkö on todella suojattu: napsauta hiiren kakkospainikkeella OU → Ominaisuudet → Objekti -välilehteä ja tarkista, että Suojaa objektia tahattomalta poistamiselta on päällä – yksi OU:n huolimaton poistaminen vie kaikki käyttäjät ja tietokoneet mukanaan.

Toiseksi, tarkista tulos: avaa jokainen organisaatioyksikkö ja varmista, että käyttäjäluettelo näyttää tilit vain heidän suunnitelluissa organisaatioyksiköissään ja ettei kukaan jäänyt oletussäilöihin. Kirjoita sitten nimeämissääntösi ja organisaatioyksikkösuunnitelmasi yhdelle sivulle ja säilytä se palvelindokumentaation kanssa, jotta seuraava järjestelmänvalvoja noudattaa samaa rakennetta uuden keksimisen sijaan.