4 Einrichtung des Netzwerkes mit Active Directory

Transkript

1 45 4 Einrichtung des Netzwerkes mit Active Directory Für das Unternehmen soll mit Netzwerkbetriebssystem Windows 2000 Server eine Domäne im Mixed Mode eingerichtet werden. Der Mixed Mode wird gewählt, um gegebenenfalls einen Zugriff auch mit anderen Systemen (z. B. Windows98, WinNT 4.0 etc.) zu ermöglichen. 4.1 Aufbau einer Testumgebung Um das zukünftige Netzwerk der Creativ GmbH testen zu können, wird folgende Umgebung aufgebaut: Arbeitsstation 1 Creativ-SRV1 Hub Laserdrucker Arbeitsstation 2 Abbildung Die ADS der Creativ GmbH Mit den Active Directory Services (ADS), die mit Windows 2000 eingeführt wurden, ist es möglich, Unternehmensstrukturen in Netzwerken abzubilden. Die Netzwerkplanungsgruppe der Firma, bestehend aus Herrn Mahn, Frau Schneider und Herrn Peters, möchte deswegen innerhalb der Domäne zur übersichtlichen Gestaltung organisatorische Einheiten einrichten. Der Aufbau ergibt sich aus dem folgenden Bild:

2 46 Einrichtung des Netzwerkes mit Active Directory Domäne CREATIV.LOCAL GL AB SuS SuT NW MM Abbildung 60 Erklärung der Abkürzungen: GL: Geschäftsleitung AB: Auftragsbearbeitung SuS: Service- und Support SuT: Software und Training NW: Netzwerk und Werkstatt MM: Multimedia Der Server soll zusätzlich zu den Active Directory Diensten die folgenden Services bereitstellen: Als Domänencontroller fungiert er als Anmelde-, File- und Printserver. Über DHCP werden den Clients die IP-Adressen zugeteilt. Mit DNS und WINS wird für die Auflösung von Host- und NetBIOS-Namen in IP-Adressen gesorgt.

3 Die ADS der Creativ GmbH 47 Um diese Struktur im Active Directory abzubilden, muss die Managementkonsole für das Active Directory aufgerufen werden: Start Verwaltung Active Directory - Benutzer und Computer Das vorgegebene Active Directory erscheint im folgenden Bild: Abbildung 61 Über die folgenden Schritte können die Organizational Units (OUs) angelegt werden: Creativ.local Rechte Maustaste Neu Organizational Unit

4 48 Einrichtung des Netzwerkes mit Active Directory Anlage der Organizational Units Abbildung 62 Es ist mit allen OUs so zu verfahren. Sind alle Organizational Units angelegt, ergibt sich folgendes Bild der ADS: Abbildung Anlegen der User In den einzelnen Organizational Units können die User angelegt werden: Geschäftsleitung anklicken Rechte Maustaste Neu User Zunächst genügen die allgemeinen Angaben Vorname, Nachname und Benutzeranmeldename. Alle weiteren Benutzereigenschaften werden erst später definiert.

5 Anlegen der User 49 Abbildung 64 Im weiteren Schritt wird ein temporäres Kennwort angegeben, das der User bei der ersten Anmeldung ändern muss: Beispiel: Kennwort test Abbildung 65 Um die Useranlage zu vervollständigen, soll jedem User ein eigenes Verzeichnis für seine Daten zugeordnet werden. Dazu wird auf der Serverfestplatte ein Verzeichnis USER angelegt, in dem alle Unterverzeichnisse aufgenommen werden sollen:

6 50 Einrichtung des Netzwerkes mit Active Directory Abbildung 66 Über die Eigenschaften des jeweiligen Benutzers können die Homeverzeichnisse im Ordner User erstellt werden: User anklicken Rechte Maustaste Eigenschaften Abbildung 67

7 Anlegen der User 51 Im Profil des Users werden die Homeverzeichnisse angelegt und automatisch mit den für den Zugriff notwendigen Rechten versehen: Wenn man statt des Usernamens die Variable %username% verwendet, kann die Angabe mit STRG+C in den Speicher kopiert und für weitere User verwendet werden! Abbildung 68 Um für die Benutzer die Zeit von 0:00 Uhr bis 4:00 Uhr wegen der Datensicherung zu sperren, erfolgt folgende Einstellung im Benutzerkonto:

8 52 Einrichtung des Netzwerkes mit Active Directory Abbildung 69 Abbildung 70

9 Anlegen der User 53 Damit der Benutzer Mahn später über ein Loginskript auf sein Verzeichnis zugreifen kann, muss er über die Ordnereigenschaften freigegeben werden: Abbildung 71 Zum Abschluss der Useranlage sollen die Rechte des Users Mahn in seinem Homeverzeichnis überprüft werden: Verzeichnis Mahn anklicken Rechte Maustaste Eigenschaften Sicherheitseinstellungen

10 54 Einrichtung des Netzwerkes mit Active Directory Abbildung Gruppen Im Netzwerk werden die Rechte in der Regel nicht direkt einem User, sondern an eine Gruppe vergeben. Dies vereinfacht in größeren Netzwerken die Arbeit wesentlich, da nicht mehr jedem einzelnen User ein bestimmtes Zugriffsrecht gewährt werden muss, sondern nur einer Gruppe von Usern. Windows 2000 arbeitet dabei mit globalen und lokalen Gruppen: Globale Gruppen dienen der Organisation von Usern, die ähnliche Anforderungen an den Netzwerkzugriff stellen. Hierzu gehören z. B. alle Abteilungsleiter oder alle Mitarbeiter, die Personaldaten bearbeiten. Lokale Gruppen werden verwendet, um den tatsächlichen Zugriff auf Ressourcen (z. B. freigegebene Verzeichnisse, Drucker etc.) zu steuern. Diesen lokalen Gruppen werden die NTFS-Rechte auf die entsprechenden Verzeichnisse gegeben.

11 Für die Zuordnung gilt die AGDLP-Regel: Gruppen 55 Im ersten Schritt wird dabei der Benutzer (A = Access) Mitglied in einer globalen Gruppe (G = Global Group). AGDLP-Regel Im zweiten Schritt wird die globale Gruppe in eine lokale Gruppe (DL = Domain Local Group) platziert. Im dritten Schritt erfolgt die Vergabe von Zugriffsberechtigungen (P = Permission) an die lokale Gruppe. Microsoft kombiniert für die Rechtevergabe zwei unterschiedliche Ansätze: Zugriffsberechtigungen, die sich aus der Freigabe einer Netzwerkressource ergeben. Hier können allerdings nur die drei Stufen Vollzugriff, Ändern und Lesen für eine Share vergeben werden. NTFS-Rechte, die sich aus den Sicherheitsrichtlinien des auf Windows 2000 Servern eingesetzten Dateisystems NTFS ergeben. NTFS-Rechte lassen eine sehr genaue Steuerung der Rechte, die einem Benutzer oder einer Gruppe für eine Datei oder ein Verzeichnis gewährt werden sollen, zu. Bei der Kombination von Zugriffsberechtigungen aus der Freigabe einer Ressource und den NTFS-Rechten aus den Sicherheitseinstellungen wird dem Benutzer immer das einschränkendere Recht zugeteilt. Beispiel: Erhält der User für ein Verzeichnis die Freigabeberechtigung Vollzugriff, allerdings nur das NTFS-Recht Lesen, so besitzt er auch nur das Recht Lesen für dieses Verzeichnis. Deswegen empfiehlt es sich, nach folgendem Schema bei der Rechtevergabe vorzugehen: Die Ressource wird einfach freigegeben, damit die Benutzer auch auf diese Ressource zugreifen können. Die Steuerung der Rechte, die einem Benutzer für die Ressource zugestanden werden, wird über die NTFS-Rechte in den Sicherheitseinstellungen geregelt Die globalen Gruppen Für die spätere Vergabe von Rechten müssen die Mitarbeiter globalen Gruppen zugeordnet werden. Als Grundlage soll die folgende Zuordnung verwendet werden: Globale Gruppe Mitglieder Begründung Geschäftsleitung.G Mahn Für die Vergabe besonderer Rechte an den Geschäftsinhaber

12 56 Einrichtung des Netzwerkes mit Active Directory Personal.G Mahn Schneider Zet Alle Mitarbeiter, die Personaldaten bearbeiten Globale Gruppe Mitglieder Begründung Management.G Auftrag.G Support.G Software.G Lemmon Wolz Klein Lemmon Mall Schmidt Wolz Peters Uhland Inner Klein Fling Werner alle Abteilungsleiter der Firma alle Mitarbeiter der Auftragsabteilung alle Mitarbeiter der Supportabteilung alle Mitarbeiter der Softwareabteilung Multimedia.G Inner für die Vergabe besonderer Rechte an den Multimediabereich Training.G Klein Werner alle Trainer der Firma Um eine gewisse Struktur zu wahren, soll für die Gruppen in der ADS eine neue Organizational Unit Group generiert werden. Anlage der globalen Gruppen Abbildung 73

13 Sind alle Gruppen angelegt, ergibt sich folgendes Bild: Gruppen 57 Abbildung 74 Über den Namen der globalen Gruppen werden die User den Gruppen hinzugefügt: Name der globalen Gruppe Rechte Maustaste Eigenschaften Abbildung 75

14 58 Einrichtung des Netzwerkes mit Active Directory Hinweis: Bei gedrückter Shift-Taste können mehrere User gleichzeitig markiert werden. Abbildung 76 Abbildung 77

15 Gruppen Vordefinierte Gruppen Windows 2000 verfügt über sogenannte vordefinierte Gruppen, in denen zukünftigen Mitgliedern bereits fest definierte Rechte im Netzwerk zugewiesen werden können. Dieses sollten für bestimmte Benutzer gleich ausgenutzt werden: Vordefinierte Gruppen Jeder Domänen-Benutzer Administratoren Domämen-Admins Sicherungsoperator Serveroperator Mitglieder alle Mitarbeiter alle, die sich an der Domäne anmelden Wolz Wolz Peters Peters Im Ordner Builtin befinden sich alle vordefinierten Gruppen: Abbildung 78 Nach dem gleichen Prinzip können die User auch hier den Gruppen hinzugefügt werden:

16 60 Einrichtung des Netzwerkes mit Active Directory Abbildung Freigaben für gemeinsame Daten Um die Arbeit und die Geschäftsprozesse in der Creativ GmbH effektiv gestalten zu können, sollen folgende Verzeichnisse auf dem Windows 2000 Server eingerichtet und für die verschiedenen Benutzer mit unterschiedlichen NTFS-Rechten freigegeben werden: Für die Projekte der Firma ein Verzeichnis Projekte, auf das alle Mitarbeiter Lesezugriff haben, das aber nur von den globalen Gruppen Auftrag und Support geändert und bearbeitet werden kann. Ein Verzeichnis Auftragsbearbeitung für das Programm und die Daten der Firma, das von allen Mitarbeitern gelesen, aber nur von der globalen Gruppe Auftrag geändert und bearbeitet werden kann. Für die Technischen Dokumente ein Verzeichnis TechDok, auf das die globalen Gruppen Geschäftsleitung und Software Leserechte haben, die globale Gruppe Support aber Bearbeitungsrechte hat. Ein Verzeichnis SoftwareLib für die Programmierer (globale Gruppe Software), in dem sich die Programmbibliotheken (Libraries) befinden. Ein Verzeichnis Personal für die Personaldaten und Personalabrechnung, auf das die Gruppe Personal alle Zugriffsrechte, die Gruppe Management nur Leserecht haben soll.

17 Ein Verzeichnis BusinessDaten, in dem wichtige Geschäftsdaten abgelegt werden können. Dieses Verzeichnis soll für Herrn Mahn und die Abteilungsleiter mit allen Rechten zugänglich sein. Für die Techniker soll ein Installationsverzeichnis Install eingerichtet werden, in dem Software, aktuelle Patches und Treiber abgelegt werden können. Der gemeinsame Drucker der Firma wird mit drei Freigaben installiert: Druckermanagement: Diese Mitarbeiter verfügen über alle Rechte auf dem Drucker (also auch die Druckerverwaltung). Druckermultimedia: Die Druckzeiten des Multimediabereich werden auf bestimmte Zeiten beschränkt. Druckernormal: Diese Mitarbeiter verfügen über Druck-, aber nicht über Verwaltungsrechte (z. B. auf den Drucker). Mit dem Netzwerkbetriebssystem Windows 2000 können die folgenden Rechte für Verzeichnisse vergeben werden: Gruppen 61 NTFS-Ordnerberechtigungen Lesen (Read) Schreiben (Write) Ordnerinhalt auflisten (RX)(R) Lesen, Ausführen (RX)(RX) Ändern (RWXD)(RWXD) Vollzugriff (RWXOP) Zulässige Aktionen Anzeigen der Dateien und Unterordner im Ordner Anzeigen der Ordnerattribute, der Besitzrechte und der Berechtigungen Erstellen neuer Dateien und Unterordner innerhalb des Ordners Ändern von Ordnerattributen sowie Anzeigen der Besitzrechte und der Berechtigungen des Ordners. Anzeigen der Namen von Dateien und Unterordnern im Ordner Durchsuchen der Ordner und Ausführen von Aktionen, die von den Berechtigungen Lesen und Ordnerinhalt auflisten zugelassen werden. Löschen des Ordners und Ausführen von Aktionen, die von den Berechtigungen Schreiben, Lesen und Ausführen zugelassen werden. Ändern von Berechtigungen, Übernehmen von Besitzrechten, Löschen von Unterordnern und Dateien sowie Ausführen von Aktionen, die von allen anderen NTFS-Ordnerberechtigungen zugelassen werden.

18 62 Einrichtung des Netzwerkes mit Active Directory CREATIV-SRV1 Festplatte Freigabe Projekte Auftragsbearbeitung TechDoc SoftwareLib Personaldaten Businessdaten Install Drucker Lokale Gruppe ProjekteLesen.L ProjekteÄndern.L ProjekteBearbeiten.L AufträgeLesen.L AufträgeBearbeiten.L TechDocLesen.L TechDocBearbeiten.L SoftwareLibraries.L PersonalLesen.L PersonalBearbeiten.L BusinessDatenBearb.L BusinessDatenÄndern.L Install.L DruckerNormal.L DruckerManagement.L DruckerMultimedia.L Nötige Rechte Nur Lesen Lesen und Schreiben Lesen, Schreiben, Ändern Lesen Lesen, Schreiben, Ändern Lesen Lesen, Schreiben, Ändern Lesen, Schreiben, Ändern Lesen Lesen, Schreiben, Ändern Lesen, Schreiben Lesen, Schreiben, Ändern Lesen, Schreiben, Ändern Drucken Drucker verwalten eingeschränkte Druckzeiten Globale Gruppe Domänen-Benutzer Auftrag.G Support.G Domänen-Benutzer Auftrag.G Software.G Support.G Software.G Management.G Personal.G Management.G Geschäftsleitung.G Support.G Domänenbenutzer Admin., Serveroperat. Multimedia.G

19 Damit ergeben sich die folgenden lokale Gruppen mit ihren Mitgliedern und Rechten: R = Read, X = execute, W = Write, D = Delete Gruppen 63 Freigabe Lokale Gruppe Mitglieder Rechte Projekte ProjekteLesen.L Domänen-Benutzer (RX)(R) ProjekteÄndern.L Auftrag.G (RWXD) ProjekteBearbeiten.L Support.G (RWX) Auftragsbearbeitung AufträgeLesen.L Domänen-Benutzer (RX)(R) AufträgeBearbeiten.L Auftrag.G (RWXD) TechDoc TechDocLesen.L Software.G (RX)(R) TechDocBearbeiten.L Support.G (RWXD) SoftwareLib SoftwareLibraries.L Software.G (RWXD) Personaldaten PersonalLesen.L Management.G (RX)(R) PersonalBearbeiten.L Personal.G (RWXD) BusinessDaten GdatenBearbeiten.L Management.G (RWX) GdatenÄndern Geschäftsleitung.G (RWXD) Install Install.L Support.G (RWXD) Drucker DruckerNormal.L Domänen-Benutzer - DruckerManagement.L Administratoren, Serveroperatoren - DruckerMultimedia.L Multimedia.G Anlegen der Freigaben Zunächst sollen auf der Serverfestplatte die einzelnen Freigaben angelegt werden (dies wird am Ordner Projekte. demonstriert): Abbildung 80

20 64 Einrichtung des Netzwerkes mit Active Directory Dann wird der Ordner Projekte freigegeben: Abbildung Erstellen der lokalen Gruppen Nun werden die lokalen Gruppen in den OU-Groups erstellt: Abbildung 82

21 Einfügen der globalen Gruppen in die lokale Gruppe Anschließend muss man die globalen Gruppen in die lokale Gruppe einfügen: Lokale Gruppe anklicken Rechte Maustaste Eigenschaften Gruppen 65 Abbildung 83 Über die Schaltfläche Hinzufügen wird die Liste der User und Gruppen ausgegeben: Abbildung 84

22 66 Einrichtung des Netzwerkes mit Active Directory Vergabe der NTFS-Rechte Jetzt kann für die Verzeichnisse die Rechtevergabe aufgebaut werden. An die jeweilige lokale Gruppe werden die NTFS- Rechte vergeben, was wiederum am Beispiel des Ordners Projekte für die lokale Gruppe ProjekteLesen.L gezeigt werden soll. Abbildung 85 Dieses Prinzip wird nun mit allen Ordnern und allen lokalen Gruppen durchgeführt. Danach ergibt sich für die Freigaben das folgende Bild: Abbildung 86