Protokoll: Active Directory Einrichtung. Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 1 / 10 lfd. Nr.:

Transkript

1 Protokoll: Active Directory Einrichtung Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 1 / 10 lfd. Nr.: Christoph Mallau (T Training) für: OSZimt

2 Protokoll: Active Directory Einrichtung Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 2 / 10 lfd. Nr.: Inhaltsverzeichnis: 1. Ist Zustand... S.3 2. Soll Zustand... S.3 3. Arbeitsauftrag... S.2 4. Zeitplanung... S.3,4 5. A.) Einrichten des Active Directorys... S.4 6. B.) Einrichten der Verwaltungsumgebung und d. Replikationsoperators... S.6 7. C.) Definition der OUs... S.8 8. D.) Netzlaufwerke erstellen und per Loginscript zum Systemstart mounten... S.7 9. Qualitätssicherung/PrüfungArbeitsauftrag... S Protokoll/KundenübergabeArbeitsauftrag... S Einweisung/SchulungArbeitsauftrag... S ResumeeArbeitsauftrag... S.10

3 Protokoll: Active Directory Einrichtung Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 3 / 10 lfd. Nr.: Arbeitsauftrag: Die Mitarbeiter einer Werbeagentur, welche in Abteilungen zusammengefasst sind, sollen einer zu erstellenden Domäne (SLD: der Gruppenname; TLD:.edu) zugeordnet werden. Innerhalb der Domäne sollen die User mit Active Directory Zugriff auf persönliche Verzeichnisse erhalten. Dafür ist zunächst ein Benutzer mit administrativen Rechten zu erstellen, der als Replikationsoperator dient. Dieser kann dann alle administrativen Aufgaben ohne Eingreifen des Systemadministrators erledien. Ist Zustand: Es befinden sich insgesammt vier Rechner vor Ort, von denen drei mit Windows2000 Prof. und einer mit der entspr. Servervariante bespielt sind. Ein DNS Server ist bereits eingerichtet. Die Clienten sind grob vorkonfiguriert. Soll Zustand: Nach Vollzug der Inbetriebnahme stehen der Werbeagentur vier Abteilungen und jeweils fünf Nutzer pro Abteilung im Active Directory des LAN zur Verfügung. Einen Gruppenoperator und vier Standardnutzer. Des Weiteren Verbleiben ein oder mehrere Konten mit der Gruppenzugehöhrigkeit: Replikationsoperatoren, zur späteren Pflege der bestehenden bzw. hinzukommender Konten. Zeitplanung: 1. Einrichten des Active Directorys auf dem AD Server geplant: ca. 10 Min. für Einrichtung tatsächlich: ca. 30 Min. 2. Erstellen der Replikationsoperatoren geplant: ca. 5 Min. pro Operatokonto tatsächlich: ca. 40 Min. insges. 3. Lokale Installation der VerwaltungsSnapIns für das Active Directory geplant: ca. 10 Min. für Installation tatsächlich: ca. 10 Min. 4. Einrichten der OUs geplant: ca. 10 Min. für Einrichtung tatsächlich: ca. 30 Min. 5. Einrichten der Gruppenshareds, und Gruppenaccounts geplant: ca. 10 Min. für Einrichtung tatsächlich: ca. 20 Min.

4 Protokoll: Active Directory Einrichtung Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 4 / 10 lfd. Nr.: 6. Erstellen der Loginscripts und Test auf Funktionsfähigkeit. geplant: ca. 10 Min. für Einrichtung tatsächlich: ca. 20 Min. 7. Erstellen der Dokumentation geplant: ca. 30 Min. für Einrichtung tatsächlich: ca. 4.5 h. Realisierung: A.) Einrichten eines Active Directorys Um ein Active Directory einzurichten, ist ein DNS Server im LAN erforderlich. Bequqemer Weise kann dieser gleich mit einem praktischen SnapIn eingerichtet werden. Unter Start >Programme >Verwaltung finden wir das entspr. SnapIn. Nach einem Klick darauf öffnet sich eine Managementconsole in der wir die nötigen Einstellungen vornehemen in dem wir die Kontextmenus der jeweiligen Unterpunkte 'abarbeiten':

5 Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 5 / 10 lfd. Nr.: Es muss eine Zone für die Auflösung des Domänennamens (ForwardLookUp) definiert werden, die dann einer TopLevelDomain zugeordnet wird (Bsp.: IhreDomain.edu), gleichermaßen muss eine NetzID angegeben sein um eine umgekehrte Namensauflösung via IP Adresse (ReverseLookUp)zu garantieren. Sind alle Einstellungen getätigt, bietet es sich an den DNS Server neu zu starten. Dies kann erledigt werden mit dem Aufruf einer Commandline und der Eingabe von services.msc. Nun noch den DNS Dienst via Kontextmenubefehl Task >Neu Starten reloaden, und dann das Ergebnis auf einem Clientrechner testen. Dessen TCP/IP Konfiguration sollten Sie überprüfen. Natürlich muss der Primäre DNS Suffix identisch mit der IP Adresse des DNS Servers sein. Als nächstes müssen alle in Frage kommenden Clienten der Domäne hinzugef. werden. Mit einem 'Rechtsklick' auf den Arbeitsplatz >Eigenschaften >Netzwerkkennung wird das passende SnapIn geöffnet. Wenn Sie die nötigen Einstellungen vorgenommen haben (Radiobutton auf: 'Domäne' und entspr. besetzen), können Sie die Commandline verwenden um Vorwärts wie Rückwärtsauflösungen zu testen. Geben Sie: nslookup IhreDomain.TopLevelDomain ein. Das Ergebnis sollte etwa wie folgt aussehen:

6 Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 6 / 10 lfd. Nr.: Jetzt muss auf dem Netzwerkserver ein Active Directory eingerichtet werden. Hierzu gibt es einen einfach zu bedienenden Assistenten den Sie wieder unter Start >Verwaltung >Active Directory Domänen finden. Haben Sie alles richtig gemacht, so erhalten Sie folgende Meldung: Active Directory ist jetzt auf diesem Computer für die Domäne "IhreDomäne.TDL" installiert. Dieser Domänencontroller wurde dem Standort "Standardname-des-ersten-Standorts" zugeordnet. Standorte werden mit dem Standort- und Dienstverwaltungsprogramm von Active Directory verwaltet. Erhalten Sie jedoch eine Fehlermeldung, so gehen Sie noch einmal zum Anfang zurük, und schauen ob Sie vielleicht einen Fehler gemacht haben. Nun gilt es die Active Directorys auf den Clientrechnern einzurichten. B.) Einrichten der Verwaltungsumgebung und d. Replikationsoperators Als Erstes müssen die dafür nötigen SnapIns 'impotiert' werden. Hierfür kopieren Sie das Microsoft Installerpaket: adminpak.msi aus dem Verzeichnis I386 Ihrer Windows2000 Server InstallationsCD am Besten auf eine, den Clienten zugängliche, Windows Netzwerkfreigabe. Von dort aus können Sie es dann von jedem Clienten aus abrufen:

7 Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 7 / 10 lfd. Nr.: Nach der installation des Pakets (Rootprivilegien!) stehen nun mehr die benötigten SnapIns auch dem lokalen Administrator Konto zur Verfügung: Jetzt müssen auf Seiten des Active Directoryservers Nutzer definiert werden die in der Lage sind, dem bestehenden AD Nutzer, Organization Units, und gesharete, sowie pers. Netzlaufwerke und der Gleichen hinzu zu fügen. Für die vorliegende Aufgabe müssen also vier solche 'Replikationsoperatoren' definiert werden, eine für jede Abteilung. Dies geschieht mit dem SnapIn welches Sie unter: Start Programme >Verwaltung >Activbe Directory Benutzer und Gruppen finden. Sie müssen für jede der Abteilungen einen Replikationsoperator einplanen, denen Sie jedoch individuell Zugriffsrechte erteilen können. Für unser Beispiel haben alles Replikationsoperatoren die gleichen Zugriffsrechte auf das AD.

8 Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 8 / 10 lfd. Nr.: C.) Definition der OUs Ist nun der Replikationsoperator erst einaml erstellt, (z.bsp.: Admin3 für die Grafikabt.) kann er sich an einem beliebigen Clienten einloggen und dann selbstständig innerhalb der Verwaltungsconsole neue Organisation Units definieren. Mit einem 'Rechtsclick' auf das bereits durch den Systemadmin definierte Active Directory: Werbeagentur öffnet sich ein Kontextmenu. Hier muss über Neu >Organisation Units dann die entsprechende OU definiert werden. In unserem Fall sind das die Abteilungen der Werbeagentur, also: OU Betriebsleitung OU Produktion OU Verwaltung OU Grafik Nun müssen innerhalb der OUs (Grafik) durch den Replikationsoperator (: Admin3) User definiert werden. Hierzu muss wieder mittels 'Rechtsclick' ein Kontextmenu geöffnet werden und: Neu >User ausgewählt werden. Im daraufhin erscheinenden SnapIn müssen dann die wesentlichsten Daten (Name und Anmeldename) eingegeben werden. Zum Abschluss wird dann ein Kennwort definiert, und der Nutzer ist Einsatzbereit. Auf diese Weise werden dann alle designierten Benutzer hinzugefügt: Admin_Grafx (Gruppenoperator) User1G User2G User3G User4G Weiterhin muss noch eine Gruppe definiert werden, der man die neuen User dann zuordnet. Wiederum über einen 'Rechtsclick' und Wahl des Punkts: Neu >Group wird dann eine entspr. Nutzergruppe erstellt. Anschließend wird mit einem 'Rechtclick' auf einen Nutzer des Active Directorys der Kontextmenupunkt: Mitglied einer Gruppe zuweisen... gewählt. Im sich öffnenden SnapIn wird dann die entsprechende Gruppe (Bspw.: GRP_Grafx) dem User zugewiesen. Dieser Vorgang ist bei allen Nutzern zu bwiederholen. Jetz müssen Sie noch ein 'geteiltes Netzlaufwerk' definieren. Hierfür 'rechtsklicken' Sie auf die OU Grafik, und wählen Neu >Shared Directory. Jetzt definieren Sie im sich öffnenden SnapIn eine Freigabe auf Ihrem AD Server als 'Shared Directory'. Falls Sie noch keine entspr. Freigabe erstellt haben, öffnen Sie eine Konsole und legen Sie auf einem Laufwerk Ihrer Wahl mit: mkdir IhrLaufwerk:\IhrFreigabeOrdner einen loaklen Ordner an. Mittels: net share Freigabename=IhrLaufwerk:\IhrFreigabeOrdner (Bsp. Shared_Grafx) haben Sie Ihre Freigabe erstellt. Haben Sie alles erledigt, können sich die erstellten Nutzer nun von jedem beliebigen Clienten innerhalb der Domäne anmelden. Als letzte Amtshandlungen gilt es Loginscripte zu erstellen. Welche die eben erstellten Freigabe den sich anmeldenden Nutzern (und nur Ihnen!) als Netzlaufwerk zur Verfügung stellen.

9 Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 9 / 10 lfd. Nr.: D.) Netzlaufwerke erstellen und per Loginscript zum Systemstart mounten Als letzte Amtshandlungen müssen auf dem AD Server innerhalb der pers. Verzeichnisse der designierten User noch Loginscripte zum automatischen mounten der Netzlaufwerke beim Logon erstellt werden. Hierzu wechseln Sie an die Eingabeaufforderung des AD Servers und geben folgendes ein: edit login.cmd LokalesLaufwerkdasFreigaben_enthält:\persönlicheFreigabe_des_UsersXY\login.cmd (Bsp.: edit D:\shared_Grafx\User1G\login.cmd) nun müssen Sie mittels net use innerhalb des Scripts für das Mounten sorgen. Eine mögliche Lösung wäre dieses off rem # rem # Loginscript für User: 'User1G' rem # x0r:catfish:2005 für: rem # rem # 'Redlich & Partner' Werbeagentur rem # mounting Networkfilesstem (personaldir) net use z: \\Server\shared_Gruppenfreigabe\pers._Userdirectory rem # mounting Networkfilesstem (shareddir) net use y: \\Server\shared_Gruppenfreigabe rem # and open it... cd /D z: start. Haben Sie das Script erstellt, speichern Sie es. Ändern Sie jetzt nur jeweils das Ziel der Verknüpfung, und speichern Sie das Script nach jeder Änderung unter ein und dem Selben Namen in allen anderen Userverzeichnissen. Wenn Sie mit allen Usern durch sind, müssen sie jedem noch unter: Start >Programme >Verwaltung >Active Directory Benutzer und Gruppen mittels 'Rechtsklick' auf jeden User, und Auswahl von Eigenschaften das jeweilige Script zuordnen. Trageb Sie hierfür nun unter dem Reiter: Profil im Eingabefeld mit dem Label: Loginscript den vollständigen UNC Pfad zu diesem Script ein (Bspw.: \\server\shared_gruppendirectory\pers.userdirectory), klicken auf Übernehmen und schließen das SnapIn schliesslich. Es bietet sich nun an auf dem AD Server die Loginscripts als Versteckte Dateien auszuweisen, und unter den Gruppensicherheitsrichtlinien (Commandline aufrufen und gpedit.msc eingeben) das Aufrufen der Ordneroptionen des Windows Explorers per 'Dekret' zu verbieten.

10 Name: Mallau, Christoph Klasse: FS48 Datum: 24/11/2005 Blatt Nr.: 10 / 10 lfd. Nr.: Damit sind diese grob gegen unbefugten Zugriff gesichert. Qualitätssicherung/Prüfung: Beim nächsten Logon steht nun jedem User neben einem Gruppenverzeichnis auf das alle User Zugriff haben, auch sein persönliches Verzeichnis als Laufwerk im Arbeitsplatz zur Verfügung. Dieses nist jedoch gegen den Zugriff anderer Nutzer geschützt. Damit ist das Active Directory inkl. aller designierten Nutzer und zus. Spezifikationen erstellt. Kundenübergabe u. Protokoll: Eine Übergabe an den Kunden fand in Folge der gerade noch rechtzeitigen Fertigstellung des Arbeitsauftrags und der Fehlenden Dokumentation nicht statt. Kundeneinweisung/Schulung: Der Kunde wurde bei Fertigstellung nicht mehr in die Funktionalität eingewiesen. Resumee: Der Auftrag konnte vollständig und noch rechtzeitig erfüllt werden. Die geforderten Funktionen wurden nach Kundenwunsch implementiert und eine Einweisung wird in naher Zukunft statt finden. Leider konnte die Dokumentation nicht mit dem Auftrag abgeschlossen werden, wurde jedoch am nächsten Tag nachgereicht.