Active Directory OU, crearea de utilizatori și de grup

Planificați mai întâi arborele OU

Un OU nu este doar un folder. Este unitatea pe care o utilizați ulterior pentru a aplica politica de grup și pentru a delega sarcini mici, cum ar fi resetarea parolei - așa că proiectați arborele în funcție de modul în care este de fapt rulat biroul, înainte de a crea un singur cont:

O unitate organizatorică de top per site sau sucursală - de exemplu Delhi Office, Jaipur Office. În interiorul fiecărui site, unități organizaționale secundare după departament sau funcție - Conturi, Vânzări. Păstrați OU-uri separate pentru utilizatori, computere și grupuri în interiorul fiecărui site, deoarece politicile pentru oameni și mașini sunt diferite. Adăugați două unități organizaționale utilitare în partea de sus: Computer noi (o zonă de pregătire pentru mașinile proaspăt conectate) și Utilizatori cu dezactivare (persătorii rămân aici înainte de ștergere).

Creați OU-uri în dsa.msc

Pe controlerul de domeniu, deschideți Active Directory Users and Computers din caseta Run:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

Creați utilizatori cu o regulă de denumire

Faceți clic dreapta pe departamentul OU → Nou → Utilizator și creați fiecare cont în OU planificat - niciodată în containerul implicit Utilizatori. Două decizii de aici decid cât de curat rămâne directorul dvs.:

Utilizați o singură regulă de denumire pentru numele de conectare - de exemplu firstname.lastname - hotărâtă o dată și nu este încălcată, chiar și pentru nume similare. Bifați Utilizatorul trebuie să schimbe parola la următoarea conectare, astfel încât parola pe care o setați este o singură parolă de pornire. Completați acum departamentul și descrierea - pe viitor veți mulțumi să vă prezentați în timpul fiecărui audit.

Același cont de la PowerShell:

New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true

Creați un grup de securitate per resursă

Grupurile reprezintă modul în care permisiunile rămân gestionabile. În cadrul OU Grupuri a site-ului, creați un grup de securitate per resursă - de exemplu GRP-Accounts-Share pentru partajarea fișierelor conturi. Un prefix clar, cum ar fi GRP-, face ca fiecare grup să fie recunoscut dintr-o privire, iar grupul este un grup de Securitate cu domeniul Global.

Apoi acordați permisiunea de distribuire numai grupului - niciodată unei persoane. Când cineva își schimbă departamentul, îi mutați apartenența la grup; cota în sine nu este niciodată atinsă din nou.

Adăugați membri, acordați drepturi grupului

Adăugați fiecare utilizator în grupurile de care are nevoie. Din PowerShell, adăugarea exemplului de utilizator la grupul de partajare a conturilor este o singură linie:

Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"

Protejați structura și verificați-o

Terminați cu cele două obiceiuri care separă un director întreținut de unul norocos. În primul rând, confirmați că fiecare OU este cu adevărat protejată: faceți clic dreapta pe OU → Proprietăți → fila Obiect și verificați dacă Protejați obiectul împotriva ștergerii accidentale este activată - o ștergere neglijentă a unei OU ia cu ea fiecare utilizator și computer din interior.

În al doilea rând, verificați rezultatul: deschideți fiecare OU și confirmați că lista de utilizatori arată conturile numai în OU-urile planificate și că nimeni nu a fost lăsat în urmă în containerele implicite. Apoi notează-ți regula de denumire și planul OU pe o singură pagină și păstrează-le împreună cu documentația serverului, astfel încât următorul administrator să urmeze aceeași structură în loc să inventeze una nouă.