Tee Domain Controller ILMAISEKSI 😳 Synology NAS + ryhmäkäytännön asetukset!

Tiedä mitä rakennat

Synology NAS voi toimia oikeana toimialueen ohjaimena käyttämällä Package Centerin ilmaista Synology Directory Server -pakettia. Kotelon alla se on Samba-pohjainen Active Directory -toimialueen ohjain: se puhuu Kerberosta, pitää käyttäjätilit ja tietokoneet yhdessä tietokannassa ja pakottaa ryhmäkäytännön Windows-tietokoneisiin – samat päivittäiset työt kuin Windows Server -toimialueen ohjain tekee pienessä toimistossa.

Siitä kiinnostaa se, mikä puuttuu: ei Windows Server -lisenssiä eikä CAL-käyttöoikeuksia (Client Access Licenses). Paketti on ilmainen, tiedostoille jo omistamastasi NAS:sta tulee kirjautumispalvelin, ja yksi tili henkilöä kohden toimii tietokoneessa, jaetuissa kansioissa ja muissa DSM-palveluissa.

Valmista NAS ennen aloittamista

Tee nämä tarkistukset ensin, koska kaksi niistä on pysyviä. Yhteensopiva malli: Directory Server asennetaan vain Synologyn tuettuun malliluetteloon – yleensä Plus-sarjaan ja sitä uudempiin – joten tarkista tarkka mallisi Synologyn viralliselta sovellettujen mallien sivulta ennen kuin suunnittelet mitään. DSM 7.1 tai uudempi ja kiinteä staattinen IP NAS:lle: toimialueen ohjain, jonka osoite muuttuu, on rikki.

Seuraavaksi lopullinen NAS-isäntänimi – Kun Directory Server on aktivoitu, NAS-isäntänimeä ei voi muuttaa, joten nimeä se oikein nyt (esimerkiksi NAS01), älä myöhemmin. Valitse säilytettävä verkkotunnus, esimerkiksi office.local: vähintään kaksi osaa, yksinkertaisia merkkejä, ja se ei voi olla sama kuin NAS-palvelimen nimi.

Asenna Directory Server ja luo verkkotunnus

Avaa Package Center NAS:ssa ja asenna Synology Directory Server. Se toimii yhdessä DNS-palvelin-paketin kanssa, jota verkkotunnus tarvitsee nimenselvitykseen – asenna myös se, jos DSM pyytää. Käynnistä sitten Directory Server ja käynnistä ohjattu asennustoiminto.

Anna verkkotunnuksen nimi (työryhmän/NetBIOS-nimi täyttyy automaattisesti – kohteelle office.local siitä tulee OFFICE) ja aseta vahva salasana toimialueen järjestelmänvalvojan tilille. Tallenna tämä salasana salasanan hallintaan – se on toimiston pääavain. Vahvista ja napsauta Käytä: DSM luo nyt toimialueen ja siirtää NAS:n toimialueen ohjaimeksi. Anna sen päättyä keskeytyksettä.

Osoita DNS NAS:iin ja testaa se

Verkkotunnus toimii vain, jos tietokoneet löytävät sen ja tietokoneet löytävät sen DNS:n kautta. Aseta reitittimen DHCP-asetukset (tai jokaisen tietokoneen manuaalisesti) niin, että DNS-palvelimen osoite on NAS:n IP. Testaa ensin yhdellä PC:llä – tämän komennon pitäisi vastata NAS:n IP-osoitteella:

nslookup office.local

Luo käyttäjiä, ryhmiä ja salasanakäytäntö

Avaa Directory Server NAS:ssa ja luo henkilösi: yksi tili oikeaa henkilöä kohden, ei koskaan jaettuja tilejä. Lisää ryhmiä, jotka vastaavat toimiston toimintaa – tilit, myynti, toimistohenkilöstö – ja laita ihmiset ryhmiin. Myöhemmin tiedostojen käyttöoikeudet ja käytännöt kohdistetaan ryhmiin, joten uusi liittäjä määritetään lisäämällä ryhmäjäsenyydet, ei luomalla asetuksia uudelleen PC-tietokoneelta.

Aseta salasanakäytäntö ollessasi täällä: Hakemistopalvelin tukee salasanan vahvuussääntöjä (pituus, vanheneminen, historia) ja tilin lukitsemista toistuvien väärien salasanojen jälkeen. Ota lukitus käyttöön – se on halpa suojasi salasanan arvailua vastaan.

Liitä Windows-tietokone verkkotunnukseen

Vahvista PC:llä sen DNS-pisteet NAS:iin (vaihe 4) ja että PC:n kello on oikea – Kerberos kieltäytyy kirjautumasta, kun kellot ajautuvat erilleen. Avaa Järjestelmän ominaisuudet Suorita-valintaikkunalla (Win + R):

sysdm.cpl

Use the Computer Name tab → Change, select Domain and enter office.local, then give the domain administrator credentials when asked. (The same join is available under Settings → System → About → Join a domain.) Restart the PC and log in with a domain user account, then verify the login in Command Prompt:

whoami

It should show the domain name before the username — for example office\anshu — which confirms the PC is on the domain and you are signed in with a domain account.

Aseta ensimmäinen ryhmäkäytäntösi RSAT:lla

DSM:ssä ei ole ryhmäkäytäntöeditoria. Suunnittelun mukaan voit hallita käytäntöjä oikealla Windows-tavalla RSAT:lla (Remote Server Administration Tools) toimialueeseen liitetyssä Windows 10/11 Pro -tietokoneessa. Asenna se kohdasta Asetukset → Sovellukset → Valinnaiset ominaisuudet → Lisää ominaisuus: lisää RSAT: Ryhmäkäytännön hallintatyökalut ja RSAT: Active Directory Domain Services -työkalut. Avaa sitten Ryhmäkäytäntöjen hallinta:

gpmc.msc

It connects to your Synology domain automatically when the PC is domain-joined. Create a first harmless policy — a mapped network drive to the NAS share, or a standard desktop wallpaper — link it to your users, then apply it on a test PC right away:

gpupdate /force

Confirm the policy applied. Drive mapping, folder redirection and roaming profiles all work through these policies — that is exactly what the video demonstrates end to end.

Tiedä rehelliset rajat

Tämä on aito toimialueen ohjain pienille toimistoille, ei Windows Server Active Directoryn 100-prosenttinen klooni. Tunne reunat: se tukee yksittäistä verkkotunnusta; toiminnallinen taso on sama kuin Windows Server 2008 R2; Active Directory PowerShell -moduulia ei tueta; DFSR:ää ei tueta; eikä se voi muodostaa luottamusryhmiä erillisen Windows Server -toimialueen kanssa. Toinen Synology voi liittyä ylimääräisenä ohjaimena, mutta vain Synologyn luomalle toimialueelle.

5–30 hengen toimistossa, joka tarvitsee kirjautumistunnuksia, käytäntöjä ja keskitettyjä tilejä, mikään näistä ei estä työtä – ja ohitit Windows Server -lisenssin ja CAL-käyttöoikeudet kokonaan.