MODUL 127 Dokumentation msrv-dc01

Transkript

1 msrv-dc01 Inhaltsverzeichnis Ausgangslage... 3 Organigramm MED-IT GmbH... 3 Logischer Netzwerkplan... 3 IP-Konzept:... 4 Namenskonzept... 4 Geräte... 4 Benutzernamen... 4 Globale Gruppen im Active Directory... 4 Domänenlokale Gruppen im Active Directory... 5 Benutzerkonzept... 5 Passwortbedingungen... 5 Benutzerpasswörter:... 5 Logon-Skript... 5 Globale Gruppen in Domänenlokalen Gruppen... 6 Berechtigungsmatrix... 7 Laufwerkkonfigurationen... 8 Server... 8 Client... 8 Ordnerstruktur auf Datenpartition des Servers... 8 DATA:... 8 HOME:... 8 Server-Hardware (VMware)... 9 Windows Server 2008 R2 x64 - Installation... 9 Partitionierung von DATA Partitionierung von AD Servereinstellungen Computername LAN-Verbindung AD-Domänencontroller einrichten DHCP-Server-Rolle installieren Dateidienste-Rolle installieren Druck- und Dokumentendienste installieren HP-Drucker einrichten AD-Einrichten Gruppenrichtlinien Berechtigungen auf Verzeichnisse setzen Gewisse Ordner bei Benutzern ausblenden Reverse-Lookupzonen einrichten Übersicht der Freigaben auf dem Server Übersicht der DNS Lookupzonen Forward-Lookupzonen _msdcs.dwdom.local dwdom.local Reverse-Lookupzonen in-addr.arpa Test mit cmd Anhang Installationsprotokoll von AD-Installation Konfigurationsprotokoll von AD David Wenger Seite 1 von 20

2 msrv-dc01 Installationsprotokoll von DHCP-Server Installationsprotokoll Dateidienste Installationsprotokoll Druck- und Dokumentendienste David Wenger Seite 2 von 20

3 msrv-dc01 Ausgangslage Eine Firma namens MED-IT möchte das bestehende Netzwerk zu erneuern und dabei auf die Client-Server - Umgebung von Microsoft umsteigen. Der Auftrag besteht nun darin einen AD-Server mit zusätzlichen Rollen wie DNS, DHCP, Datei-, und Druck- und Dokumentendiensten aufzusetzen. Organigramm MED-IT GmbH Mike Rosoft Geschäftsleitung Sam Sung Administration Ann Droid Verkauf Lee Novo Entwicklung Xe Rocks Schulung Miro Philips Mo Torola Dana Sonic Hitaro Achi Logischer Netzwerkplan David Wenger Seite 3 von 20

4 msrv-dc01 IP-Konzept: Netzwerk-ID Subnetz-ID /24 Subnetzmaske Broadcast Gateway AD DS-Server msrv-dc01 Beinhaltet zusätzlich: - DNS - DHCP - Dateidienst - Drucker- und Dokumentendienst Dynamischer IP-Bereich für Workstation und Schüler-PC Namenskonzept Geräte - m = steht für MED-IT GmbH - ws = steht für Workstation - nb = steht für Notebook - srv = steht für Server Zusammensetzung: [Firma][Gerät]-[fortlaufende Nummerierung] Besipiel: mws-01 Benutzernamen - ausgeschriebene Umlaute ä=ae, ö=oe, ü=ue - klein geschriebener Benutzername - Zusammensetzung: [ersten Buchstaben aus Vorname][Nachname] Beispiel: bmuellheim Globale Gruppen im Active Directory - Kürzel von Globale Gruppe mit Unterstrich vor Gruppennamen binden Beispiel: gg_entwicklung David Wenger Seite 4 von 20

5 msrv-dc01 Domänenlokale Gruppen im Active Directory - Kürzel von Access Control List mit Unterstrich vor Gruppennamen anbinden - Kürzel für Rechte (r = Read, w = Write, x = Execute) mit Unterstrich nach Gruppennamen anbinden Beispiel: acl_administration_rwx Benutzerkonzept Passwortbedingungen - Mindest-Passwortlänge: 7 Zeichen - Passwortgültigkeit: 100 Tage Benutzerpasswörter: msrv-dc01 Administrator AD-Benutzer Administrator neue Benutzer DWindowsM12345 DWindowsM12345 gibbix12345 Logon-Skript das Anmeldeskript ist im Verzeichnis \\msrv-dc01\netlogon off ::NET TIME NET USE /PERSISTENT:YES W: \\msrv-dc01\data rundll32 printui.dll,printuientry /in /n \\msrv-dc01\hp_universal_printing_ps David Wenger Seite 5 von 20

6 acl_administration_rwx acl_administration_rx acl_entwicklung_rwx acl_gl_rwx acl_lehrer_rwx acl_lehrer_rx acl_ Schueler_rwx acl_ Schueler_rx acl_verkauf_rwx acl_verkauf_rx MODUL 127 msrv-dc01 Globale Gruppen in Domänenlokalen Gruppen Benutzer Mitglieder von Globaler Gruppe gg_administration X X gg_entwicklung X gg_gl X gg_lehrer X X gg_schueler X X gg_verkauf X X David Wenger Seite 6 von 20

7 gg_gl gg_administration gg_verkauf gg_entwicklung gg_lehrer gg_ Schueler Geschäftsleitung Administration Verkauf Entwicklung Lehrer Schulungen Software Public HOME (%Username% = Persönlicher Ordner für jeden Benutzer) MODUL 127 msrv-dc01 Berechtigungsmatrix Benutzer Mitglieder von Globaler Gruppe Zugriffsrechte auf die Ordnerstruktur mrosoft X rwx rwx rwx rwx rwx rwx rwx rwx rwx ssung X - rwx rx rwx rwx adroid X - - rwx rx rwx rwx mphilips X - - rwx rx rwx rwx lnovo X rwx - - rwx rwx rwx mtorola X rwx - - rwx rwx rwx hachi X rwx - - rwx rwx rwx xrocks X rwx rwx rx rwx rwx dsonic X rx - - rwx Legende: Zugriffsrechte auf Ordnerstruktur - r = Lesen - w = Schreiben - x = Ausführen David Wenger Seite 7 von 20

8 Laufwerkkonfigurationen Server Laufwerkbuchstabe Bezeichnung Beschreibung C: OS Systempartition E: DATA Datenpartition D: AD Active Directory (AD-Datenbank, AD-Log-Dateien) F: DVD-Laufwerk Optisches Laufwerk Client Laufwerkbuchstabe Bezeichnung Beschreibung C: SYSTEM Systempartition D: DATA Lokale Partition E: DVD-Laufwerk Optisches Laufwerk H: Home Privates Laufwerk der Benutzer (\\msrv-dc01\home\%username%) W: WORK Servergespeicherte Daten von (\\msrv-dc01\data) Ordnerstruktur auf Datenpartition des Servers DATA: - Geschäftsleitung - Administration - Verkauf - Entwicklung - Lehrer - Schulungen - Software - Public HOME: - Persönlicher Ordner für jeden Benutzer (%Username%) David Wenger Seite 8 von 20

9 Server-Hardware (VMware) Windows Server 2008 R2 x64 - Installation 1. Installationssprache: Deutsch 2. Uhrzeit und Währungsformat: Deutsch (Schweiz) 3. Tastatur und Eingabemethode: Deutsch (Schweiz) 4. Installation starten (Jetzt Installieren) 5. Betriebssystem: Windows Server R2 Standard (Vollständige Installation) 6. Lizenzbedingungen annehmen 7. Installationsart: Benutzerdefiniert (erweitert) 8. Partitionen einrichten: 9. mit Weiter die Installation durchführen 10. nach Installation dafür sorgen, dass der Laufwerkbuchstabe F dem DVD-Laufwerk zugewiesen ist David Wenger Seite 9 von 20

10 Partitionierung von DATA - Volumentyp: Einfaches Volume - Gewählte Datenträger: Datenträger 0 - Volumengrösse: MB - Laufwerkbuchstabe: E: - Dateisystem: NTFS - Grösse der Zuordnungseinheit: Standard - Volumenbezeichnung: DATA - Schnellformatierung: Ja - Dateien- und Ordnerkomprimierung aktivieren: Nein Partitionierung von AD - Volumentyp: Einfaches Volume - Gewählte Datenträger: Datenträger 1 - Volumengrösse: 5120 MB - Laufwerkbuchstabe: D: - Dateisystem: NTFS - Grösse der Zuordnungseinheit: Standard - Volumenbezeichnung: AD - Schnellformatierung: Ja - Dateien- und Ordnerkomprimierung aktivieren: Nein Servereinstellungen Computername msrv-dc01 LAN-Verbindung David Wenger Seite 10 von 20

11 AD-Domänencontroller einrichten 1. Rolle Active Directory-Domänendienste installieren (inklusive.net Framework 3.5.1) 2. in cmd dcpromo /adv eingeben um AD einzurichten 3. Neue Domäne in neuer Gesamtstruktur erstellen auswählen 4. FQDN (Full Qualified Domain Name) = dwdom.local 5. NetBIOS-Domänenname = DWDOsM 6. Gesamtstrukturebene auf Windows Server 2008 R2 7. bei zusätzlichen Optionen für den Domänencontroller DNS-Server zusätzlich anwählen 8. Datenbankordner: D:\NTDS 9. Ordner für Protokolldateien: D:\NTDS 10. Ordner "SYSVOL": D:\SYSVOL 11. für das Administratorkennwort das aktuelle Passwort vom Administrator angeben 12. nach Neustart im Server-Manager den Standort umbenennen in Bern DHCP-Server-Rolle installieren 1. Rolle DHCP-Server auswählen 2. prüfen, ob IPv4-Adresse gewählt ist 3. Übergeordnete Domäne: dwdom.local 4. IPv4-Adresse des bevorzugten DNS-Servers: WINS ist für Anwendungen in diesem Netzwerk nicht erforderlich wählen 6. neuen Bereich hinzufügen: - Bereichsname: Workstation & Notebook - Start-IP-Adresse: End-IP-Adresse: Subnetztyp: Verkabelt (Leasedauer beträgt 8 Tage) - Diesen Bereich aktivieren - Subnetzmaske: Standardgateway: Statusfreien FHCPv6-Modus für diesen Server deaktivieren wählen 8. Aktuelle Anmeldeinformationen verwenden wählen David Wenger Seite 11 von 20

12 Dateidienste-Rolle installieren 1. Dateidienste auswählen 2. Rollendienste: - Dateiserver auswählen 3. Rolle installieren Druck- und Dokumentendienste installieren 1. Druck- und Dokumentendienste auswählen 2. Rollendienste: - Druckserver auswählen 3. Rolle installieren HP-Drucker einrichten - Drucker auf Server installieren - Drucker mit dem Freigabenamen HP_Universal_Printing_PS freigeben David Wenger Seite 12 von 20

13 AD-Einrichten 1. im Server-Manager mit einem Rechtsklick auf dwdom.local das Kontextmenü öffnen 2. über Neu eine neue Organisationseinheit mit dem Namen MEDIT erstellen 3. via Rechtsklick auf MEDIT die weiteren OUs (ACL, GLOBAL_GROUP, ) erstellen 4. in der OU PERSONAL die Mitarbeiter eintragen: dabei Benutzername nach Namenskonzept bei Benutzeranmeldenamen (Prä-Windows 2000) eintragen im Eigenschaftenfenster des Benutzers beim Benutzerprofil (Registerkarte Profil) folgendes eintragen: - Profilpfad: \\msrv-dc01\home\[benutzername] - Anmeldeskript: logon.cmd - Verbinden von: H: mit: \\msrv-dc01\home\[benutzername] (das entsprechende Benutzerverzeichnis wird automatisch erstellt) 5. In der OU SCHUELER den Schüler eintragen dabei gleiches beachten, wie bei Punkt 4 6. in der OU ACL die domänenlokalen Gruppen erstellen und diesen die globalen Gruppen zuweisen 7. in der OU GLOBAL_GROUP die globalen Gruppen erstellen und diesen die Benutzer zuweisen 8. mit Rechtsklick auf GLOBAL_GROUP eine Objektverwaltung zuweisen: - Ausgewählte Benutzer und Gruppen: gg_entwicklung - Setzt Benutzerkennwörter zurück und erzwingt Kennwortänderung bei der nächsten Anmeldung selektieren Gruppenrichtlinien 1. in der Gruppenrichtlinienverwaltung in Verzeichnis Computerkonfiguration/Richtlinien/Windows-Einstellungen/ Sicherheitseinstellungen/Kontorichtlinien/Kennwortrichtlinien navigieren 2. Maximales Kennwortalter: 100Tage 3. Minimale Kennwortlänge: 7 Zeichen 4. Minimales Kennwortalter: 30 Tage (automatisch) 5. in der Gruppenrichtlinienverwaltung in Verzeichnis Computerkonfiguration/Richtlinien/Administrative Vorlagen /System/Benutzerprofile navigieren 6. Sicherheitsgruppe "Administratoren" zu servergespeicherten Profil aktivieren David Wenger Seite 13 von 20

14 Berechtigungen auf Verzeichnisse setzen 1. die Ordner DATA und HOME freigeben 2. im Ordner DATA die Berechtigungen gemäss der Berechtigungsmatrix verteilen Gewisse Ordner bei Benutzern ausblenden Mit dieser Methode sehen die Benutzer nur die Ordner, auf welche sie Zugriff haben: 1. bei der Server-Rolle Dateidienste unter Freigabe- und Speicherverwaltung die Eigenschaften des freigegebenen Ordners DATA aufrufen 2. in den erweiterten Einstellungen bei Zugriffsbasierte Aufzählungen aktivieren einen Haken setzen Reverse-Lookupzonen einrichten 1. bei Server-Rolle DNS-Server in Reverse-Lookupzonen eine neue Zone erstellen: - Zonentyp: Primäre Zone Zone in Active Directory speichern aktivieren - Replikation der Zonendaten: Auf allen DNS-Servern, die auf Domänencontrollern in dieser Domäne ausgeführt werden: dwdom.local - IP-Version: IPv4 Reverse-Lookupzone - Name der Reverse-LookupZone: in-addr.arpa - Nur sichere dynamische Updates zulassen (für Active Directory empfohlen) aktivieren 2. in neu erstellten Zone einen neuen Zeiger erstellen: - Host-IP-Adresse: Hostname: msrv-dc01.dwdom.local. 3. Einen weiteren Zeiger erstellen: - Host-IP-Adresse: Hostname: msrv-dc02.dwdom.local. David Wenger Seite 14 von 20

15 Übersicht der Freigaben auf dem Server Übersicht der DNS Lookupzonen Forward-Lookupzonen _msdcs.dwdom.local dwdom.local David Wenger Seite 15 von 20

16 Reverse-Lookupzonen in-addr.arpa Test mit cmd David Wenger Seite 16 von 20

17 Anhang Installationsprotokoll von AD-Installation <Information>: Der Server muss nach Abschluss der Installation möglicherweise neu gestartet werden. Active Directory-Domänendienste <Information>: Ändern Sie den Server nach der Installation der Rolle "Active Directory- Domänendienste" mithilfe des Assistenten zum Installieren von Active Directory- Domänendiensten in einen voll funktionsfähigen Domänencontroller..NET Framework Features.NET Framework <Warnung>: Die automatische Aktualisierungsfunktion von Windows ist nicht aktiviert. Verwenden Sie in der Systemsteuerung die Option "Windows Update", um sicherzustellen, dass die neu installierte Rolle oder das Feature automatisch aktualisiert wird. Active Directory-Domänendienste: Installation war erfolgreich Die folgenden Rollendienste wurden installiert: Active Directory-Domänencontroller <Information>: Verwenden Sie den Assistenten zum Installieren von Active Directory- Domänendiensten (dcpromo.exe), um den Server in einen voll funktionsfähigen Domänencontroller zu ändern. <>: Schließen Sie diesen Assistenten, und starten Sie den Assistenten zum Installieren von Active Directory-Domänendiensten (dcpromo.exe)..net Framework Features: Installation war erfolgreich Die folgenden Features wurden installiert:.net Framework Lesen Sie im vollständigen Protokoll unter "C:\Windows\logs\ServerManager.log" nach. David Wenger Seite 17 von 20

18 Konfigurationsprotokoll von AD ; DCPROMO unattend file (automatically generated by dcpromo) ; Usage: ; dcpromo.exe /unattend:c:\users\administrator\documents\ad [dwdom.local] einrichten.txt ; [DCInstall] ; New forest promotion ReplicaOrNewDomain=Domain NewDomain=Forest NewDomainDNSName=dwdom.local ForestLevel=4 DomainNetbiosName=DWDOM DomainLevel=4 InstallDNS=Yes ConfirmGc=Yes CreateDNSDelegation=No DatabasePath="D:\NTDS" LogPath="D:\NTDS" SYSVOLPath="D:\SYSVOL" ; Set SafeModeAdminPassword to the correct value prior to using the unattend file SafeModeAdminPassword= ; Run-time flags (optional) ; RebootOnCompletion=Yes Installationsprotokoll von DHCP-Server <Information>: Der Server muss nach Abschluss der Installation möglicherweise neu gestartet werden. DHCP-Server Bindungen für Netzwerkverbindung IPv4-DNS-Einstellungen Übergeordnete DNS- Domäne (IPv4) dwdom.local DNS-Server WINS-Server Bereiche Name Keine Standardgateway Workstation & Notebook Subnetzmaske IP-Adressbereich Subnetztyp Bereich aktivieren Verkabelt (Leasedauer beträgt 8 Tage) Ja Statusfreier DHCPv6- Deaktiviert David Wenger Seite 18 von 20

19 Modus DHCP- Serverautorisierung Mit DWDOM\Administrator verknüpfte Anmeldeinformationen zum Autorisieren verwenden <Warnung>: Die automatische Aktualisierungsfunktion von Windows ist nicht aktiviert. Verwenden Sie in der Systemsteuerung die Option "Windows Update", um sicherzustellen, dass die neu installierte Rolle oder das Feature automatisch aktualisiert wird. DHCP-Server: Installation war erfolgreich Lesen Sie im vollständigen Protokoll unter "C:\Windows\logs\ServerManager.log" nach. Installationsprotokoll Dateidienste <Information>: Der Server muss nach Abschluss der Installation möglicherweise neu gestartet werden. Dateidienste Dateiserver <Warnung>: Die automatische Aktualisierungsfunktion von Windows ist nicht aktiviert. Verwenden Sie in der Systemsteuerung die Option "Windows Update", um sicherzustellen, dass die neu installierte Rolle oder das Feature automatisch aktualisiert wird. Dateidienste: Installation war erfolgreich Die folgenden Rollendienste wurden installiert: Dateiserver Lesen Sie im vollständigen Protokoll unter "C:\Windows\logs\ServerManager.log" nach. David Wenger Seite 19 von 20

20 Installationsprotokoll Druck- und Dokumentendienste <Information>: Der Server muss nach Abschluss der Installation möglicherweise neu gestartet werden. Druck- und Dokumentdienste Druckerserver <Warnung>: Die automatische Aktualisierungsfunktion von Windows ist nicht aktiviert. Verwenden Sie in der Systemsteuerung die Option "Windows Update", um sicherzustellen, dass die neu installierte Rolle oder das Feature automatisch aktualisiert wird. Druck- und Dokumentdienste: Installation war erfolgreich Die folgenden Rollendienste wurden installiert: Druckerserver Lesen Sie im vollständigen Protokoll unter "C:\Windows\logs\ServerManager.log" nach. David Wenger Seite 20 von 20