Active Directory OU, bruker- og gruppeopprettelse

Planlegg OU-treet først

En OU er ikke bare en mappe. Det er enheten du senere bruker til å bruke gruppepolicy og til å delegere små jobber som tilbakestilling av passord - så design treet rundt hvordan kontoret faktisk drives, før du oppretter en enkelt konto:

Én topp OU per nettsted eller filial - for eksempel Delhi Office, Jaipur Office. Inne på hvert nettsted, underordnede OU-er etter avdeling eller funksjon – kontoer, salg. Hold atskilte organisasjonsenheter for brukere, datamaskiner og grupper på hvert nettsted, fordi retningslinjer for mennesker og maskiner er forskjellige. Legg til to organisasjonsenheter for verktøy øverst: Nye datamaskiner (et oppsamlingsområde for nye maskiner) og Deaktiverte brukere (forlater blir her før sletting).

Opprett OU-ene i dsa.msc

På domenekontrolleren åpner du Active Directory-brukere og datamaskiner fra Kjør-boksen:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

Opprett brukere med en navneregel

Høyreklikk på avdelingens OU → Ny → Bruker, og opprett hver konto i dens planlagte OU - aldri i standardbeholderen for brukere. To avgjørelser her bestemmer hvor ren katalogen din forblir:

Bruk én navneregel for påloggingsnavn - for eksempel fornavn.etternavn - bestemt én gang og aldri brutt, selv for lignende navn. Kryss av for Bruker må endre passord ved neste pålogging, slik at passordet du angir kun er et engangsstartpassord. Fyll inn avdelingen og beskrivelsen nå - fremtiden vil du takke presentere deg under hver revisjon.

Samme konto fra PowerShell:

Opprett én sikkerhetsgruppe per ressurs

Grupper er hvordan tillatelser forblir håndterbare. Inne i nettstedets Groups OU, opprett én sikkerhetsgruppe per ressurs - for eksempel GRP-Accounts-Share for kontoens fildeling. Et tydelig prefiks som GRP- gjør hver gruppe gjenkjennelig på et øyeblikk, og gruppen er en sikkerhetsgruppe med globalt omfang.

Gi deretter delingens tillatelse kun til gruppen – aldri til en person. Når noen bytter avdeling, flytter du gruppemedlemskapet deres; selve delingen blir aldri rørt igjen.

Legg til medlemmer, gi rettigheter til gruppen

Legg til hver bruker i gruppene jobben deres trenger. Fra PowerShell kan du legge til eksempelbrukeren i kontodelingsgruppen på én linje:

Beskytt strukturen og bekreft den

Avslutt med de to vanene som skiller en vedlikeholdt katalog fra en heldig. Først må du bekrefte at hver organisasjonsenhet virkelig er beskyttet: høyreklikk på organisasjonsenheten → Egenskaper → Objekt-fanen og sjekk at Beskytt objekt mot utilsiktet sletting er på - én uforsiktig sletting av en organisasjonsenhet tar med seg alle brukere og datamaskiner i den.

For det andre, bekreft resultatet: åpne hver OU og bekreft at brukerlisten viser kun kontoer i deres planlagte OU-er, og at ingen ble etterlatt i standardbeholderne. Skriv deretter ned navneregelen og OU-planen på én side og oppbevar den sammen med serverdokumentasjonen, slik at neste administrator følger samme struktur i stedet for å finne opp en ny.