Підрозділ Active Directory, створення користувачів і груп

Спочатку сплануйте дерево підрозділів

Організація — це не просто папка. Це одиниця, яку ви пізніше використовуєте для застосування групової політики та делегування невеликих завдань, як-от скидання пароля, тому спроектуйте дерево відповідно до того, як насправді працює офіс, перш ніж створювати єдиний обліковий запис:

Один верхній OU на сайт або відділення - наприклад, Офіс у Делі, Офіс у Джайпурі. Всередині кожного сайту дочірні організаційні підрозділи за відділами чи функціями - облікові записи, продажі. Тримайте окремі OU для користувачів, комп’ютерів і груп на кожному сайті, оскільки політики для людей і машин відрізняються. Додайте два підрозділи утиліти вгорі: Нові комп’ютери (проміжна зона для щойно приєднаних машин) і Відключені користувачі (вихідні залишаються тут до видалення).

Створіть OU у dsa.msc

На контролері домену відкрийте Active Directory Users and Computers у вікні «Виконати»:

dsa.msc

Right-click the domain, choose New → Organizational Unit, and build the tree from your plan. On the creation dialog, tick Protect container from accidental deletion for every OU. PowerShell does the same job and is easier to repeat - and it protects the OU by default:

New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"

Створення користувачів за допомогою правила імен

Натисніть правою кнопкою миші OU відділу → Новий → Користувач і створіть кожен обліковий запис у запланованому OU – ніколи не в контейнері Users за замовчуванням. Два рішення тут вирішують, наскільки чистим буде ваш каталог:

Використовуйте одне правило іменування для імен для входу - наприклад, ім'я.прізвище - вирішується один раз і ніколи не порушується, навіть для схожих імен. Поставте прапорець Користувач повинен змінити пароль під час наступного входу, тому встановлений вами пароль буде лише одноразовим початковим паролем. Заповніть відділ і опис зараз - у майбутньому ви будете дякувати вам під час кожного аудиту.

Той самий обліковий запис із PowerShell:

New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true

Створіть одну групу безпеки на ресурс

Групи — це спосіб керування дозволами. Усередині підрозділу груп сайту створіть одну групу безпеки на ресурс, наприклад GRP-Accounts-Share для спільного використання файлів облікових записів. Чіткий префікс, наприклад GRP-, робить кожну групу впізнаваною з першого погляду, і ця група є групою Безпеки з Глобальною сферою дії.

Тоді надайте дозвіл на спільний доступ лише групі, а не особі. Коли хтось змінює відділ, ви змінюєте його членство в групі; сам спільний ресурс більше ніколи не торкатиметься.

Додайте учасників, надайте права групі

Додайте кожного користувача до груп, які потрібні для його роботи. З PowerShell додавання прикладу користувача до групи спільного використання облікових записів здійснюється одним рядком:

Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"

Захистіть структуру та перевірте її

Покінчіть із двома звичками, які відрізняють підтримуваний каталог від щасливого. По-перше, переконайтеся, що кожен підрозділ дійсно захищений: клацніть правою кнопкою миші підрозділ → Властивості → вкладка Об’єкт і перевірте, чи ввімкнено параметр Захист об’єкта від випадкового видалення – одне необережне видалення підрозділу забирає з собою кожного користувача та комп’ютер у ньому.

По-друге, перевірте результат: відкрийте кожну організаційну одиницю та переконайтеся, що список користувачів відображає облікові записи лише в запланованих організаційних одиницях і що ніхто не залишився в контейнерах за замовчуванням. Потім запишіть своє правило іменування та план підрозділу на одній сторінці та зберігайте його разом із документацією сервера, щоб наступний адміністратор дотримувався тієї самої структури, а не винаходив нову.