Active Directory OU, User at Group Creation

Plano muna ang OU Tree

Ang OU ay hindi lamang isang folder. Ito ang unit na gagamitin mo sa ibang pagkakataon upang ilapat ang Patakaran ng Grupo at magtalaga ng maliliit na trabaho tulad ng pag-reset ng password - kaya idisenyo ang puno sa paligid kung paano aktwal na pinapatakbo ang opisina, bago ka lumikha ng isang account:

Isang nangungunang OU bawat site o branch - halimbawa Delhi Office, Jaipur Office. Sa loob ng bawat site, ang mga child OU ayon sa kagawaran o function - Mga Account, Benta. Panatilihin ang mga hiwalay na OU para sa Mga User, Computer at Grupo sa loob ng bawat site, dahil magkaiba ang mga patakaran para sa mga tao at machine. Magdagdag ng dalawang utility OU sa itaas: Mga Bagong Kompyuter (isang staging area para sa mga bagong pinagsamang machine) at Mga Disabled User (ang mga umaalis ay mananatili dito bago matanggal).

Gumawa ng mga OU sa dsa.msc

Sa domain controller, buksan ang Active Directory Users and Computers mula sa Run box:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

Gumawa ng Mga User na may Panuntunan sa Pangalan

I-right-click ang departamentong OU → Bago → User, at gawin ang bawat account sa loob ng nakaplanong OU nito - hindi kailanman sa default na lalagyan ng Mga User. Dalawang desisyon dito ang magpapasya kung gaano kalinis ang iyong direktoryo:

Gumamit ng isang panuntunan sa pagpapangalan para sa mga pangalan ng logon - halimbawa firstname.apelyido - nagpasya nang isang beses at hindi kailanman nasira, kahit na para sa mga katulad na pangalan. Lagyan ng tsek ang Dapat baguhin ng user ang password sa susunod na logon, kaya ang password na iyong itinakda ay isang beses lamang na panimulang password. Punan ang departamento at paglalarawan ngayon - sa hinaharap ay magpapasalamat ka sa kasalukuyan sa bawat pag-audit.

Ang parehong account mula sa PowerShell:

New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true

Gumawa ng Isang Security Group bawat Resource

Ang mga grupo ay kung paano nananatiling mapapamahalaan ang mga pahintulot. Sa loob ng Groups OU ng site, lumikha ng isang pangkat ng seguridad sa bawat mapagkukunan - halimbawa GRP-Accounts-Share para sa pagbabahagi ng file ng mga account. Ang isang malinaw na prefix tulad ng GRP- ay ginagawang makikilala ang bawat pangkat sa isang sulyap, at ang grupo ay isang Security na pangkat na may Pandaigdigan na saklaw.

Pagkatapos ay ibigay ang pahintulot ng pagbabahagi sa grupo lamang - hindi kailanman sa isang tao. Kapag may nagpalit ng departamento, ililipat mo ang kanilang membership sa grupo; ang bahagi mismo ay hindi na muling ginalaw.

Magdagdag ng Mga Miyembro, Magbigay ng Mga Karapatan sa Grupo

Idagdag ang bawat user sa mga pangkat na kailangan ng kanilang trabaho. Mula sa PowerShell, ang pagdaragdag ng halimbawang user sa grupo ng pagbabahagi ng mga account ay isang linya:

Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"

Protektahan ang Istraktura at I-verify Ito

Tapusin gamit ang dalawang gawi na naghihiwalay sa isang pinananatili na direktoryo mula sa isang masuwerteng direktoryo. Una, kumpirmahin na ang bawat OU ay talagang protektado: i-right-click ang OU → Properties → Object tab at tingnan kung ang Protektahan ang bagay mula sa hindi sinasadyang pagtanggal ay naka-on - isang walang ingat na pagtanggal ng isang OU ay dadalhin ang bawat user at computer sa loob nito kasama nito.

Pangalawa, i-verify ang resulta: buksan ang bawat OU at kumpirmahin na ang listahan ng user ay nagpapakita lang ng mga account sa kanilang mga nakaplanong OU, at walang naiwan sa mga default na container. Pagkatapos ay isulat ang iyong panuntunan sa pagpapangalan at plano ng OU sa isang page at panatilihin ito kasama ng dokumentasyon ng server, upang ang susunod na admin ay sumusunod sa parehong istraktura sa halip na mag-imbento ng bago.