הפוך את בקר הדומיין בחינם 😳 Synology NAS + הגדרת מדיניות קבוצתית!

דע מה אתה בונה

Synology NAS יכול לעבוד כבקר תחום אמיתי באמצעות החבילה החינמית Synology Directory Server ממרכז החבילות. מתחת למכסה המנוע זה בקר תחום Active Directory מבוסס Samba: הוא מדבר Kerberos, מחזיק את חשבונות המשתמש והמחשבים שלך במסד נתונים אחד, ואוכף מדיניות קבוצתית במחשבי Windows - אותן עבודות יומיות שבקר תחום של Windows Server עושה במשרד קטן.

מה שהופך אותו לאטרקטיבי הוא מה שחסר: ללא רישיון Windows Server וללא CALs (רישיונות גישה ללקוח). החבילה היא בחינם, ה-NAS שכבר בבעלותך עבור קבצים הופך לשרת הכניסה, וחשבון אחד לאדם עובד עבור המחשב האישי, התיקיות המשותפות ושאר שירותי ה-DSM.

הכן את ה-NAS לפני שתתחיל

בצע את הבדיקות הללו תחילה, מכיוון ששתיים מהן קבועות. דגם תואם: שרת Directory מותקן רק ברשימת הדגמים הנתמכים של Synology - בדרך כלל סדרת Plus ומעלה - אז בדוק את הדגם המדויק שלך בדף הדגמים היישומים הרשמי של Synology לפני שמתכננים משהו. DSM 7.1 ואילך וIP סטטי קבוע עבור ה-NAS: בקר תחום שהכתובת שלו משתנה היא משרד מקולקל.

לאחר מכן, שם המארח הסופי של NAS - לאחר הפעלת שרת Directory, לא ניתן לשנות את שם המארח של NAS, אז תן לו כראוי עכשיו (לדוגמה NAS01), לא מאוחר יותר. ובחר שם דומיין שתשמור, משהו כמו office.local: לפחות שני חלקים, תווים פשוטים, וזה לא יכול להיות זהה לשם שרת ה-NAS.

התקן את שרת הספריות וצור את הדומיין

פתח את Package Center ב-NAS והתקן את Synology Directory Server. זה עובד יחד עם החבילה שרת DNS, שהדומיין צריך לפתרון שם - התקן גם את זה אם DSM מבקש. לאחר מכן הפעל את שרת המדריך והפעל את אשף ההתקנה בפעם הראשונה.

הזן את שם הדומיין (שם קבוצת העבודה / NetBIOS מתמלא אוטומטית - עבור office.local הוא הופך ל-OFFICE), והגדר סיסמה חזקה לחשבון מנהל הדומיין. אחסן סיסמה זו במנהל סיסמאות - זהו המפתח הראשי של המשרד. אשר ולחץ על החל: DSM יוצר כעת את התחום ומקדם את ה-NAS לבקר תחום. תן לזה להסתיים ללא הפרעה.

כוונו DNS אל ה-NAS ובדקו אותו

דומיין פועל רק אם מחשבים אישיים יכולים למצוא אותו, ומחשבים אישיים מוצאים אותו דרך DNS. הגדר את הגדרות ה-DHCP של הנתב (או כל מחשב ידני) כך שכתובת שרת ה-DNS היא ה-IP של ה-NAS. בדוק תחילה במחשב אחד - פקודה זו צריכה לענות עם כתובת ה-IP של ה-NAS:

nslookup office.local

צור מדיניות משתמשים, קבוצות וסיסמאות

פתח את שרת המדריך ב-NAS וצור את האנשים שלך: חשבון אחד לכל אדם אמיתי, אף פעם לא חשבונות משותפים. הוסף קבוצות שמתאימות לאופן שבו המשרד עובד - חשבונות, מכירות, צוות משרד - והכנס אנשים לקבוצות. מאוחר יותר, הרשאות ומדיניות קבצים יתמקדו בקבוצות, כך שמצטרף חדש מוגדר על ידי הוספת חברות בקבוצה, לא על ידי בנייה מחדש של הגדרות PC על ידי PC.

הגדר את מדיניות הסיסמאות בזמן שאתה כאן: Directory Server תומך בכללי חוזק סיסמאות (אורך, תפוגה, היסטוריה) ונעילת חשבון לאחר סיסמאות שגויות חוזרות ונשנות. הפעל את הנעילה - זוהי ההגנה הזולה שלך מפני ניחוש סיסמאות.

הצטרף למחשב Windows לדומיין

במחשב, אשר את נקודות ה-DNS שלו ל-NAS (שלב 4) וששעון המחשב תקין - Kerberos מסרבת להתחבר כאשר השעונים מתרחקים. פתח את מאפייני מערכת עם תיבת הדו-שיח 'הפעלה' (Win + R):

sysdm.cpl

Use the Computer Name tab → Change, select Domain and enter office.local, then give the domain administrator credentials when asked. (The same join is available under Settings → System → About → Join a domain.) Restart the PC and log in with a domain user account, then verify the login in Command Prompt:

whoami

It should show the domain name before the username — for example office\anshu — which confirms the PC is on the domain and you are signed in with a domain account.

הגדר את המדיניות הקבוצתית הראשונה שלך עם RSAT

אין עורך מדיניות קבוצתית בתוך DSM - על פי התכנון, אתה מנהל מדיניות בצורה הנכונה של Windows, עם RSAT (כלי ניהול שרת מרחוק) במחשב Windows 10/11 Pro מצטרף לדומיין. התקן אותו מהגדרות → אפליקציות → תכונות אופציונליות → הוסף תכונה: הוסף את הכלים RSAT: כלים לניהול מדיניות קבוצתית ו-RSAT: Active Directory Domain Services. לאחר מכן פתח את ניהול מדיניות קבוצתית:

gpmc.msc

It connects to your Synology domain automatically when the PC is domain-joined. Create a first harmless policy — a mapped network drive to the NAS share, or a standard desktop wallpaper — link it to your users, then apply it on a test PC right away:

gpupdate /force

Confirm the policy applied. Drive mapping, folder redirection and roaming profiles all work through these policies — that is exactly what the video demonstrates end to end.

דע את הגבולות הכנים

זהו בקר תחום מקורי עבור משרדים קטנים, לא שיבוט של 100% של Windows Server Active Directory. דע את הקצוות: הוא תומך בדומיין בודד; הרמה הפונקציונלית שווה ל-Windows Server 2008 R2; מודול Active Directory PowerShell אינו נתמך; DFSR אינו נתמך; והוא אינו יכול ליצור נאמנויות עם תחום נפרד של Windows Server. Synology שני יכול להצטרף כבקר נוסף, אבל רק עבור תחום שיצרה Synology.

עבור משרד של 5-30 אנשים שזקוק לכניסות, מדיניות וחשבונות מרכזיים, כל זה לא חוסם את העבודה - ודילגת לחלוטין על רישיון Windows Server ו-CAL.