Active Directory OU, skapande av användare och grupper

Planera OU-trädet först

En organisationsenhet är inte bara en mapp. Det är enheten du senare använder för att tillämpa gruppolicy och för att delegera små jobb som lösenordsåterställning - så designa trädet runt hur kontoret faktiskt körs, innan du skapar ett enda konto:

En topporganisation per webbplats eller filial - till exempel Delhi Office, Jaipur Office. Inom varje webbplats, underordnade organisationsenheter efter avdelning eller funktion - konton, försäljning. Håll separata organisationsenheter för användare, datorer och grupper på varje webbplats, eftersom policyer för människor och maskiner är olika. Lägg till två verktygsorganisationer högst upp: Nya datorer (ett uppställningsområde för nyligen anslutna maskiner) och funktionshindrade användare (lämnare stannar här innan de tas bort).

Skapa organisationsenheterna i dsa.msc

På domänkontrollanten öppnar du Active Directory-användare och -datorer från rutan Kör:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

Skapa användare med en namnregel

Högerklicka på avdelningens organisationsenhet → Ny → Användare och skapa varje konto i dess planerade organisationsenhet - aldrig i standardbehållaren för användare. Två beslut här avgör hur ren din katalog förblir:

Använd en namnregel för inloggningsnamn - till exempel förnamn.efternamn - bestämd en gång och aldrig bruten, även för liknande namn. Kryssa för Användaren måste byta lösenord vid nästa inloggning, så att lösenordet du anger endast är ett engångslösenord för start. Fyll i avdelningen och beskrivningen nu - i framtiden kommer du att tacka presentera dig under varje revision.

Samma konto från PowerShell:

Skapa en säkerhetsgrupp per resurs

Grupper är hur behörigheter förblir hanterbara. Inuti webbplatsens Groups OU skapar du en säkerhetsgrupp per resurs - till exempel GRP-Accounts-Share för kontons filandel. Ett tydligt prefix som GRP- gör att varje grupp kan kännas igen på ett ögonblick, och gruppen är en Säkerhetsgrupp med Global omfattning.

Ge sedan delningens tillåtelse endast till gruppen - aldrig till en person. När någon byter avdelning flyttar du deras gruppmedlemskap; själva andelen rörs aldrig igen.

Lägg till medlemmar, ge rättigheter till gruppen

Lägg till varje användare i de grupper som deras jobb behöver. Från PowerShell lägger du till exempelanvändaren till kontodelgruppen på en rad:

Skydda strukturen och verifiera den

Avsluta med de två vanorna som skiljer en underhållen katalog från en lycklig. Bekräfta först att varje organisationsenhet verkligen är skyddad: högerklicka på organisationsenheten → Egenskaper → fliken Objekt och kontrollera att Skydda objekt från oavsiktlig radering är aktiverat - en slarvig radering av en organisationsenhet tar med sig alla användare och datorer i den.

För det andra, verifiera resultatet: öppna varje organisationsenhet och bekräfta att användarlistan endast visar konton i deras planerade organisationsenheter och att ingen lämnades kvar i standardbehållarna. Skriv sedan ner din namnregel och OU-plan på en sida och behåll den med serverdokumentationen, så att nästa administratör följer samma struktur istället för att uppfinna en ny.