IVV Naturwissenschaften IV der Fachbereiche Biologie Chemie Physik Arbeitsgruppenadministration Westfälische Wilhelms-Universität Münster Einführung für Administratoren im SS 2005 mit NWZnet Organizational Units (OUs) und Group Objects (GPOs) 28-APR-2005 Heinz-Hermann Adam (adamh@nwz.uni-muenster.de) 1 Termin 21-APR-2005 28-APR-2005 12-MAY-2005 02-JUN-2005 09-JUN-2005 16-JUN-2005 23-JUN-2005 30-JUN-2005 07-JUL-2005 14-JUL-2005 21-JUL-2005 Ausblick auf die Veranstaltungsreihe Thema IVV Naturwissenschaften und NWZnet Überblick und Konzepte (nicht nur für Windows-Administratoren) Arbeitsgruppenadministration mit NWZnet Organizational Units (OUs) und Group Objects (GPOs) Installation von NWZnet Windows-Clients Erzeugen und Verteilen von Referenzinstallationen mit SysPrep-Images und Symantec Ghost Installation und Konfiguration von Windows Servern Sicherheit Teil I: Windows Linux Active Directory-Integration Linux ZIV Unix-Integration mit DCE/DFS NWZnet-Fileserver mit Linux und SaMBa Sicherheit Teil II: Linux Einrichten eines NWZnet-Arbeitsplatzes als GRID-Rechner für MORFEUS 2 www.uni-muenster.de/ivvnwz 1
Agenda OU- und Gruppenstruktur in NWZnet Administration von Benutzern Gruppen Rechnern Group Objects Einführung Computer Konfiguration Benutzer Konfiguration Dokumentation Zusammenfassung 3 Vorteile von Windows 2000 und Active Directory Feinere Steuerung von Rechten (Permissions) und Richtlinien (Policies) (nur Windows) Stärkere Dezentralisierung der alltäglichen administrativen Aufgaben Vereinfachung von Client-Installationen (nur Windows) Erhöhte Ausfallsicherheit bei Servern und Diensten (nur Windows) Integration weiterer Betriebssysteme Benutzerverwaltung und Nutzung von Ressourcen 4 www.uni-muenster.de/ivvnwz 2
Flexible Konfiguration der Policies Individuelle Konfiguration der Policies gemäß der Anwendungs- und Risikostruktur Sichere Konfiguration für CIP-Pools mit allgemeinem Zugang Größtmögliche Freiheit für Mitarbeiter, z.b. bei Laborarbeitsplätzen mit spezieller Messtechnik Auch dezentral möglich 5 Delegation von Administration Entlastung der Domänenadministratoren von lästigen Aufgaben Betreuung durch Administratoren vor Ort Rechner (Hinzufügen und Entfernen von der Domäne) Benutzer (vergessene Passwörter) Stärkung der Administratoren vor Ort durch umfassende Rechte und Möglichkeiten zusätzliche parallele Strukturen werden überflüssig 6 www.uni-muenster.de/ivvnwz 3
OU-Struktur Abbildung der Organisationsstruktur > 600 OUs Entsprechen den administrativen Einheiten Bereiche mit besonderen Anforderungen ausgegliedert Computer-Pools für Studierende OUs der jeweils untersten Ebene der Struktur enthalten Rechner Benutzer a_muster PCFT69 adamh Physik Festkoerpertheorie PFT273 8 NWZnet.uni-muenster.de WBIO04 WCHEM2 WNWZ03 Biologie Chemie CIP-Pool Physik Sonstige IIS/SUS- SQL-Server NWZ WBIO03 WCHEM3 WNWZ02 Server ukmuenster.d e NWZnet wwu Controllers Member Server unimuenster.d e Biologie Chemie Physik Sonstige Festkoerper theorie WNWZ04 WNWZ05 Festkoerper Theoretisch e_physik theorie SR HS404 718 adamh Mobile_Wor p0zierau p2zierau kstations Demo-Rechner MAXWELL PCFT89 PFT273 PowerPoint Präsentation 10 www.uni-muenster.de/ivvnwz 4
Gruppen und Group Nesting Zu jeder Arbeitsgruppe eine korrespondierende Administratoren-Gruppe Administrative Aufgaben vor Ort Management der OU Minimierung der Anzahl der Gruppen, die pro Benutzer konfiguriert werden müssen, durch Schachtelung (Nesting) 12 Administrationsgruppen Zu jeder Arbeitsgruppe zwei korrespondierende Administratoren-Gruppen 1er Gruppe W-Account Administrative Aufgaben vor Ort 2er Gruppe Y-Account Administrative Aufgaben vor Ort Management der OU Mitgliedschaft der 1er Gruppe NWZnet Users Users p0zierau p1zierau wadamh p2zierau yadamh adamh 14 www.uni-muenster.de/ivvnwz 5
1er und 2er Gruppen 2er Gruppe hat Rechte im Active Directory Arbeitsgruppen OU 1er Gruppe auf lokalen Rechnern 1er Gruppe hat Rechte auf lokalen Rechnern Installation von Software Administration des Betriebssystems AG_Ziera u_adm p1zierau PFT273 p0zierau p2zierau 16 Delegation von administrativen Aufgaben Rechner zur Domäne hinzufügen/von ihr entfernen zwischen OUs verschieben Benutzern die Passwörter (zurück)setzen gesperrte Accounts wieder aktivieren Alle Accountinformationen lesen, z.b. Ablaufdatum Erzeugen von Sub-OUs Group Bearbeiten Erzeugen Ernennen von Sub- Administratoren 17 www.uni-muenster.de/ivvnwz 6
Administration in der OU: Benutzer, Gruppen, Rechner Demo 18 Group Objects (Security) Konfiguration (lokal/zentral) Flexibilität und Konsistenz Bsp.: Ordnerumleitung (Folder Redirection) Entlastet Roaming Profiles von Ballast und das Netzwerk beim Login/-out Software Installation Microsoft Installer Pakete Zu definiertem Zeitpunkt, z.b. beim Booten Auf Anforderung 19 www.uni-muenster.de/ivvnwz 7
Design von Group Policies So viel wie nötig, so wenig wie möglich Spezialkonfigurationen auf den unteren OU- Ebenen Anzahl der Policies minimieren Besser wenige komplexe Regeln, als viele einzelne Regeln OU-Verschachtelungen minimieren Performance sinkt bei 10 oder mehr OU-Ebenen 20 Anwendung von Policies Reihenfolge Lokale Konfiguration Site Domänen OU- 1 OU- 2 OU- N Last wins Computer Site Organizatio nal Unit 1 Organizatio nal Unit 2... Organizatio nal Unit N 22 www.uni-muenster.de/ivvnwz 8
Group im NWZnet Active Directory Default Site Default Site Default Default unimuenster.d e NWZnet Block Inheritance Default Controller Controllers NWZnet Member Server Default - Server Default CIP-Pool WBIO04 WCHEM2 WNWZ03 CIP-Pool Physik NWZ WBIO03 WCHEM3 WNWZ02 Physik Festkoerper theorie Theoretisch Festkoerper e_physik theorie SR HS404 718 adamh p0zierau p2zierau Mobile_Wor kstations Mobile_Wor kstation MAXWELL PCFT89 PFT273 You are here 24 Group Object Wirkt auf Computer Benutzer der OU und ihrer Sub-OUs. AG_Santo Kann an mehrere OUs gelinkt werden Wenn Benutzer und Rechner in verschiedenen OUs sind, gelten die Computerkonfiguration bzw. Benutzerkonfiguration der OU in der sich das jeweilige Objekt befindet. adamh Login AG_Santo PIKP05 26 www.uni-muenster.de/ivvnwz 9
Benutzung von Group Policies Demo 27 Dokumentation von Policies Dokumentation der zentralen Policies N:\admin\info\Windows\Grouppolicy\NWZ net_group_policies.xls Jede Setzung und Änderung dokumentieren Allgemeine Dokumentation zu Group Policies Settings N:\admin\info\Windows\Grouppolicy Explain-Tab in der Group Konsole 28 www.uni-muenster.de/ivvnwz 10
Zusammenfassung OU- und Gruppenstruktur in NWZnet Dezentrale Administration 1er/2er Gruppen W- und Y-Accounts Gruppenrichtlinien (Group ) Grundlagen GPO im AD Forest Anwendung und Auswirkung - Reihenfolge Benutzung und Konfiguration Dokumentation - unverzichtbar 29 Q & A Fragen und Antworten NWZnet.uni-muenster.de 30 www.uni-muenster.de/ivvnwz 11