Windows Server Active Directory Configuration

.


CSVDE . ./



ابتدایی ترین ابزار برای Import و Export کردن اطلاعات از اکتیو دایرکتوری CSVDE است. بزرگ ترین مزیت CSVDE آن است که فایل خروجی آن می تواند در برنامه های SpreedSheet همانند Microsoft Excel باز شوند. موضوع قابل توجه آن است که CSVDE به عنوان یک ابزار Backup تلقی نمی شود. فایل خروجی CSVDE بر اساس CSV یا Comma Seprated Value است. CSVDE به کلمه های عبور کاری ندارد و بنابراین نمی توان با استفاده از آن Password ها را Export کرد.

CSVDE ها محدودیت های قابل توجهی دارند و نمی توانند برای ویرایش اطلاعات به کار گرفته شوند. ممکن است فایل CSV از Microsoft Exchange Server ابتدا Export شود و AD DS یا AD LDS لازم باشد Import شود. این سناریوی متداول در سازمان هایی است که Exchange Server استفاده می کردند و برای امنیت بیشتر قصد دارند از AD DS نیز استفاده کنند.

همچنین ممکن است در ملحق شدن شرکت ها به هم از این سناریو استفاده شود. با توجه به آنکه ساختار دایرکتوری Exchange با Active Directory یکسان نیست، لازم است نام Header برخی ستون ها تغییر کند. به عنوان مثال لازم است Display Name به displayName و obj-class به objectClass تغییر کند. برای استفاده از فرمان Command Prompt را با سطح دسترسی مناسب باز کنید. به عنوان مثال با یک اکانت عضو گروه Domain Admins در جستجوی منوی استارت تایپ کنید CMD و سپس Run As Administrator را از منوی right click روی آن بزنید. فرم کلی دستور به صورت زیر است:



Csvde [-i] [-f <FileName>] [-s <ServerName>] [-c <String1> <String2>] [-v] [-j <Path>] [-t <PortNumber>] [-d <BaseDN>] [-r <LDAPFilter>] [-p <Scope] [-l <LDAPAttributeList>] [-o <LDAPAttributeList>] [-g] [-m] [-n] [-k] [-a <UserDistinguishedName> {<Password> | *}] [-b <UserName> <Domain> {<Password> | *}]


سوییچ عملکرد

i به صورت پیش فرض دستور در Export Mode کار می کند. این سوییچ تعیین کننده Import Mode است. برای Export Mode نباید این سوییچ استفاده شود.
F تعیین نام فایل. در هر دو Mode
s تعیین دامین کنترلر
C جایگزین کردن تمام عبارت مشخص شده در رشته دوم به جای رشته اول. زمانی کاربرد دارد که از یک اطلاعات از یک دامین به یک دامین جدید Import می شوند و لازم است DN ها تغییر کند.
j تعیین محل قرار گیری Log File به صورت پیش فرض در مسیر مورد اشاره است.
U تعیین استفاده از uni Code
T تعیین پورت LDAP به صورت پیش فرض 389 است و پورت GC به صورت پیش فرض 3268 است.
r یک فیلتر LDAP برای Export اطلاعات می سازد.
d یک فیلتر بر اساس DN برای Export اطلاعات می سازد.
l لیستی از ویژگی های که در Export درج می شود را تعیین می کند.
o حذف کردن برخی از ویژگی ها. زمانی کاربرد دارد که از AD DS به دایرکتوری دیگری انتقال صورت می گیرد.




مثال 1: محتوای یک فایل CSV

objectClass,dn,givenName,sn,samAccountName,Descrip tion
user,distinguishedName,1stUserFirstName,1stUserSur name,FirstUserLogonName,Manager
user,distinguishedName,2ndUserFirstName,2ndUserSur name,SecondUserLogonName,President




مثال2: استفاده از سوییچ r برای Export کردن تمام کاربرانی که نام خانوادگی مشخصی دارند.

csvde -r (&(objectClass=User)(sn=Surname))





مثال 3: استفاده از سوییچ d برای Export کردن تمام اشیاء یک OU

csvde -d "ou=marketing,dc=contoso,dc=com" -f marketingobjects.csv




مثال 4: استفاده از سوییچ i برای Import کردن اطلاعات

csvde -i -f input.csv

توجه: از آنجایی که CSVDE از Password ها پشتیبانی نمی کند مقدار پیش فرض userAccountControl را در فایل CSV می توان به 514 ویرایش کرد تا اکانت کاربری Disable باشد. همچنین برخی از مدیران حتی در شرایطی که تمام اشیاء لازم باشد Import شود، عمل Export را برای اشیاء مختلف جدا انجام می دهند و ادعا می کنند که مدیریت ساده تر است.



به نقل از پورت 80




.

.


LDIFDE . ./



مشابه CSVDE این دستور نیز برای import و export اطلاعات به کار می رود.
LDIFDE محدودیت های کمتری نسبت به CSVDE دارد اما توسط تعداد کمی از نرم افزار های پشتیبانی می شود. این دستور خروجی فایلی بر اساس LDIF یا LDAP Data Exchange Format دارد.

بر خلاف CSVDE این فایل نمی تواند در Excel باز شود اما در Text Editor های قابلیت باز شدن دارد. بزرگترین مزیت آن نسبت به CSVDE آن است که می توان با استفاده از آن یک شیئ را ویرایش و یا حتی پاک کرد.
البته امکان تغییر در عضویت گروه ها وجود ندارد. همانند CSVDE ، این دستور نیز با Password ها کاری ندارد. بنابراین نمی توان Password ها را با آن Export کرد. از LDIFDE برای گسترش Schema نیز می توان استفاده کرد. فرمت کلی دستور کاملا مشابه CSVDE است و سوییچ های یکسانی دارد.


Ldifde [-i] [-f ] [-s ] [-c ] [-v] [-j ] [-t ] [-d ] [-r ] [-p ] [-l ] [-o ] [-g] [-m] [-n] [-k] [-a ] [-b ] [-?]


زمانی که از LDIFDE برای ویرایش، حذف یا افزودن یک شیء استفاده می شود باید مقدار ChangeType در فایل LDIF ویرایش یابد. مقادیر add , modify و delete مقادیری هستند که این attribute ممکن است دریافت کند. به مثال زیر توجه کنید:


مثال ۵: تعیین مقدار ChangeType

DN: CN=SampleUser,DC=DomainName
changetype: add
CN: SampleUser
description: DescriptionOfFile
objectClass: User
sAMAccountName: SampleUser


مثال ۶: خروجی فقط DN ، CN ، نام و شماره تلفن در یک DN معین شده.
Ldifde -d dc=fabrikam,dc=com -r (objectClass=User) -l distinguishedname,cn,givenname,sn,telephone


مثال ۷: حذف کردن تاریخ ساخت و GUID شیئ از فایل
Ldifde -d dc=fabrikam,dc=com -r (objectClass=User) -o whenCreated,objectGUID




منبع : server2008
.

.


شروع در Powershell . ./

Powershell یک رابط متنی بر اساس دستور مبتنی بر وظیفه است که از زبان های اسکریپی پشتیبانی به عمل می آورد. به جهت سهولت این ابزار جهت مدیریت روی Windows Server توصیه می شود.دستورات Powershell را cmdlets می گوییم و با استفاده از این ابزار قصد داریم عملیات پیچیده ای را با ساده ترین شکل ممکن روی Active Directory Domain Services انجام دهیم. در اینجا هدف ساخت اسکریپت نمی باشد و فقط از cmdlets ها استفاده می کنیم. اگر می خواهید در خصوص Powershell اطلاعات با عمق بیشتری به دست آورید، کتاب Windows PowerShell 2.0 Administrator’s Pocket Consultant نوشته ی William R. Stanek از انتشارات مایکروسافت می تواند به شما کمک کند. اطلاعاتی که در این سری مطالب ارائه می گردند، برای اکثر مدیریت ها روی Active Directory کفایت می کنند.


Powershell به صورت پیش فرض در Windows Server 2008/2012 نصب شده است و برای دسترسی به آن کافی است آیکون آن را از روی Task Bar باز کنید و یا در run وارد کنید: Powershell.exe




.

.



ماژول ها در powershell . ./

Powershell به صورت خودکار از صد ها cmdlets پشتیبانی می کند و برای افزودن کارایی آن می توان از snap-inها یا Module (ماژول ها) استفاده کرد. یک ماژول عبارت است از پکیجی از cmdlets ها که لیست cmdlet های Powershell اضافه می گردد و قابلیت های جدیدی را در اختیار قرار می دهد. به صورت پیش فرض در زمان نصب سرویس، Active Directory Module در powershell اضافه شده است. علاوه بر cmdlets ها می توان از همان دستورات پیشین cmd نیز در powershell با همان syntax (نحو) استفاده کرد. cmdlet ها حساس به حروف بزرگ و کوچک نیستند.


برای نصب Active Directory Module ابتدا لازم است Remote Ser ver Administration Tools یا به اختصار RSAT را نصب کنید و سپس در Turn Windows Features On Or Off گزینه Active Directory Module For Windows PowerShell که تحت گزینه Remote Server Administration Tools در قسمت AD DS است را انتخاب کنید.


این Module در سمت کلاینت نصب می گردد و لازم است Active Directory Web Services روی حداقل یکی از دامین کنترلرها (DC) در دامین مورد نظر نصب شده باشد. ADWS در Windows Server 2008 R2/2012 به صورت خودکار در زمان Promote کردن DC نصب می گردد. اگر قصد دارید از نسخ پیشین استفاده کنید لازم است Active Directory Management Gateway Service را دانلود و نصب کنید.
جهت دسترسی به ابزار مجهز شده به Module می توانید Active Directory Module For Windows PowerShell موجود در Administrative Tools را باز کنید و یا در powershell وارد کنید:

Import-Module ActiveDirectory

.

در ادامه لیستی از cmdlet های قابل اجرا در محیط powershell که جهت کار و مدیریت دایرکتوری سرویس می باشد رو براتون لیست کردم . بعد هم چند ابزار کاربردی جهت کار در محیط اکتیو دایرکتوری معرفی خواهد شد :


[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ] . ./

Add-ADDomainControllerPasswordReplicationPolicy
Add-ADGroupMember
Clear-ADAccountExpiration
Disable-ADOptionalFeature
Enable-ADOptionalFeature
Get-ADAccountResultantPasswordReplicationPolicy
Get-ADComputerServiceAccount
Get-ADDomain
Get-ADDomainControllerPasswordReplicationPolicy
Get-ADFineGrainedPasswordPolicy
Get-ADForest
Get-ADGroupMember
Get-ADOptionalFeature
Get-ADPrincipalGroupMembership
Get-ADServiceAccount
Get-ADUserResultantPasswordPolicy
Move-ADDirectoryServer
Move-ADObject
New-ADFineGrainedPasswordPolicy
New-ADObject
New-ADServiceAccount
Remove-ADComputer
Remove-ADDomainControllerPasswordReplicationPolicy
Remove-ADFineGrainedPasswordPolicySubject
Remove-ADGroupMember
Remove-ADOrganizationalUnit
Remove-ADServiceAccount
Rename-ADObject
Restore-ADObject
Set-ADAccountControl
Set-ADAccountPassword
Set-ADDefaultDomainPasswordPolicy
Set-ADDomainMode
Set-ADForest
Set-ADGroup
Set-ADOrganizationalUnit
Set-ADUser
Unlock-ADAccount

————————————————� �———————




منبع : omid4admins

دوستان به این تاپیک جتما سر بزنید :


[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

خوب دوباره بعد ازیک وقفه کوتاه سلام . ./

+



برای نصب powershell روی ویندوز 7 : . ./


RSAT ( REMOTE SERVER ADMINISTRATOR TOOLS ) رو دانلود کنید

توی کنترل پنل کیک کنید روی PROGRAM and feature و انتخاب کنید turn windows feature on or off

expand کنید RSAT را و سپس EXPANT کنید AD DS و AD LDS را

انتخاب کنید مازول AD DS WINDOWS POWERSHELL

.





ماژول ها . ./

Powershell به صورت خودکار از صد ها cmdlets پشتیبانی می کند و برای افزودن کارایی آن می توان از snap-inها یا Module (ماژول ها) استفاده کرد. یک ماژول عبارت است از پکیجی از cmdlets ها که لیست cmdlet های Powershell اضافه می گردد و قابلیت های جدیدی را در اختیار قرار می دهد. به صورت پیش فرض در زمان نصب سرویس، Active Directory Module در powershell اضافه شده است. علاوه بر cmdlets ها می توان از همان دستورات پیشین cmd نیز در powershell با همان syntax (نحو) استفاده کرد. cmdlet ها حساس به حروف بزرگ و کوچک نیستند.


برای نصب Active Directory Module ابتدا لازم است Remote Ser ver Administration Tools یا به اختصار RSAT را نصب کنید و سپس در Turn Windows Features On Or Off گزینه Active Directory Module For Windows PowerShell که تحت گزینه Remote Server Administration Tools در قسمت AD DS است را انتخاب کنید.


این Module در سمت کلاینت نصب می گردد و لازم است Active Directory Web Services روی حداقل یکی از دامین کنترلرها (DC) در دامین مورد نظر نصب شده باشد. ADWS در Windows Server 2008 R2/2012 به صورت خودکار در زمان Promote کردن DC نصب می گردد. اگر قصد دارید از نسخ پیشین استفاده کنید لازم است Active Directory Management Gateway Service را دانلود و نصب کنید.
جهت دسترسی به ابزار مجهز شده به Module می توانید Active Directory Module For Windows PowerShell موجود در Administrative Tools را باز کنید و یا در powershell وارد کنید:

Import-Module ActiveDirectory

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]


ماژول اکتیو دایرکتوری دارای بیش از ۷۶ cmdlets است که به خاطر سپردن آن ها امری دشوار خواهد بود. از این رو لازم است روش آنکه چگونه بتوان به cmdlet مورد نظر دسترسی پیدا کرد و از آن استفاده کرد بسیار حیاتی خواهد بود. با استفاده از دستور زیر می توانید لیست cmdlet ها را دریافت کنید.

Get-Command



cmdlet ها همیشه یه فرمت فعل-مفعول دارند. به عنوان مثال برای دریافت لیست پروسه های در حال اجرا کافی است دستور زیر را وارد کنید:

Get-Service

با استفاده از دستور زیر می توانید لیست تمام افعال به کار گرفته شده را ببینید. مفعول ها از یک استاندارد که توسط مایکروسافت معین شده اند استفاده می کنند به عنوان مثال تمام اسامی مربوط به Active Directory با AD آغاز می گردد.

Get-Verb

دستور زیر، لیستی از cmdlet های مربوط AD را فراهم می آورد:

Get-Command -Noun AD* | More

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]




همانند cmd استفاده از more| سبب می شود نتایج به صورت صفحه بندی شده نمایش داده شود. روش بهتر برای نمایش cmdlet های یک ماژول استفاده از دستور زیر است:
Get-Command -Module ActiveDirectory

منبع : پورت 80

.

.


پارامتر ها . ./

اکثر cmdlet ها دارای ورودی می باشند به آن ورودی ها پارامتر می گوییم. پارامتر ها با یک فاصله و یک – (dash) از cmdlet جدا می شوند و حساس به حروف کوچک و بزرگ نمی باشند. پارامتر Identity- در اکثر cmdlet های AD مورد استفاده قرار می گیرد و کاربرد آن تعیین distinguished name یا sAMAccountName است. sAMAccountName همان Pre-Windows 2000 Logon Name می باشد. پس از پارامتر مقدار آن مشخص می گردد. اگر حاوی فاصله است لازم است در کوتیشن ‘ ‘ قرار گیرد. به مثال زیر توجه کنید:
Get-ADGroupMember -Identity “cn=Sales,ou=Groups,dc=contoso,dc=com”
Get-ADGroupMember -Identity Sales




راهنما . ./

برای آنکه اطلاعاتی در خصوص هر cmdlet کسب کنید کافی است از دستور Get-Help استفاده کنید.
Get-Help cmdlet
Get-Help Get-ADGroupMember (مثال)




.

.


اشیاء . ./

بر خلاف cmd که تنها یک متن خروجی دارد، خروجی در powershell می تواند یک شیئ یا به عبارت دیگر یک ساختار (construct) باشد. دستور زیر سبب می شود برخی از ویژگی های یک شیئ کاربر نمایش داده شود. مسئله قابل توجه آن است که خروجی فقط قدری نوشته نیست، بلکه حاوی یک شیئ است که می تواند برای یک عملیات به کار گرفته شود. اشیاء می تواند دارای Attribute و Method ها باشند.
Get-ADUser -Identity GetMe
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]


متغیر ها . ./

یک متغیر فضایی از حافظه است که می تواند جهت نگه داری یک مقدار یا شیئ به کار گرفته شود. در PowerShell متغیر ها با حرف $ آغاز می گردند. نام متغیر نیز Case-Sensitive نمی باشد. برای تعریف متغیر فرم عمومی زیر به کار می رود:

$variable = value

اکنون قصد داریم شیئ دریافت شده از دستور قبل را در یک متغیر قرار دهیم:


$catched= Get-ADUser GetMe




[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اکنون قصد داریم با استفاده از متغیر ساخته شده، اکانت کاربر GetMe را Disable (غیر فعال) کنیم. برای آنکه قصد داریم مقداری را تنظیم کنیم، از فعل set در ابتدای cmdlet استفاده می شود:

Set-ADUser -Identity $user -Enabled $false



همانطور که حدس می زنید استفاده از متغیر در این مثال الزام آور نبود و امکان استفاده از دستور زیر نیز وجود داشت:
Set-ADUser -Identity GetMe -Enabled $false



PowerShell دارای تعدادی متغییر از پیش تعریف شده است به عنوان مثال، متغییر های true$ و false$ دو نمونه متغییر boolean هستند و یا متغیر $error شامل خطای عملیات می باشد.

خطوط لوله . ./

امکان pipe کردن اشیاء نیز وجود دارد. pipe کردن به آن معنا است که خروجی یک cmdlet به عنوان ورودی یک cmdlet دیگر به کار گرفته شود. به عبارت دقیق تر؛ یک pipline یا خط لوله، عبارت است از: یک کانال میان خروجی یک cmdlet که در یک خط دستور به یک cmdlet منتقل می گردد. به عنوان مثال، دستور فوق را می توان با این بیان نیز وارد کرد:

Get-ADUser GetMe| Set-ADUser -Enabled $false

دستور Get-ADUser شیئ یک کاربر را می گیرد و آن را از طریق لوله | به Set-ADUser منتقل می کند. یک مثال کاربری می تواند غیرفعال کردن تمام اعضای یک گروه باشد.

Get-ADGroupMember -Identity Sales | Set-ADUser -Enabled $false

در این مثال اگر گروه sales یک Nested Group باشد به این معنا که حاوی گروهی دیگری باشد، به دلیل عدم امکان اجرای قسمت دوم pipe دستور با خطا رو به رو می شود و می توان از روش فیلتر کردن خروجی ها با Where-Object این خطا را بر طرف کرد.







.

.




لوله ها وحشی می شوند . ./


عملیات پیچیده تر می تواند شامل تعداد بیشتر pipe باشد و ممکن است شامل توابع، ساختار ها، حلقه ها و شرط ها باشد. اغلب pipeline ها برای راحتی در خواندن و بررسی آن ها بیشتر از یک خط هستند. راه های مختلفی وجود دارد که بتوان یک pipeline را بیش از یک سطر وارد کرد.
۱) علامت ‘ : زمانی که آخرین حرف در یک سطر باشد، PowerShell یک سطر دیگر برای ادامه دستور اختصاص می دهد و دستور را اجرا نمی کند. به عنوان مثال:

Get-ADGroupMember -Identity Sales | `
Set-ADUser -Enabled $false


2) علامت لوله | : اگر علامت لوله در پایان یک خط باشد، PowerShell تصور می کند دستور نا تمام است و در سطر بعدی ادامه دستور را می توانید وارد کنید. به عنوان مثال:

Get-ADGroupMember -Identity Sales |
Set-ADUser -Enabled $false



3) آکولاد {} : یک عبارت می تواند در میان دو آکولاد قرار بگیرد و PowerShell تا بسته نشدن آکولاد آن دستور را نا تمام در نظر می گیرد.
زمانی که Prompt به خط دوم برای دستور می رود به صورت << خواهد شد. می توانید خط را خالی رها کنید تا دستور اجرا گردد.




نام های مستعار . ./

PowerShell اجازه می دهد تا یک cmdlet دارای یک نام مستعار (Alias) باشد. به عنوان مثال gsv نام مستعار برای Get-Service است. با استفاده از دستور زیر می توانید لیست Alias ها را برای یک دستور معین مشاهده کنید به طوری که cmdlet دستور می باشد:

Get-Alias -Definition cmdlet



همچنین اگر می خواهید بدانید که نام مستعار مربوط به کدام دستور است می توانید از دستور زیر استفاده کنید. فراموش نکنید که cmdlet های استاندارد دارای فرمت فعل-مفعول اند. در اینجا Alias نام مستعار مورد نظر است:

Get-Alias Alias






.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]


[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

فیلم های اموزشی این تاپیک رو حتما دانلود کنید . ./

و

Namespace، Provider و PSDrives . ./

cmdletها روی اشیاء در یک فضای نامی (Namespace) عمل می کنند. به عنوان مثال یک folder روی disk یک namespace است. این فضاهای نامی توسط Provider (فراهم آورنده) ساخته می شوند. به عنوان مثال File System دارای یک Provider است که به این ترتیب می تواند به صورت مستقیم با آن در ارتباط باشد و روی آن عملیات انجام دهد. این مسئله برای Registry هم صادق است.


در PowerShell فضای نامی که توسط هر Provider ساخته شده است توسط یک PSDrive معین می گردد. PowerShell به صورت خودکار یک PSDrive برای هر کدام از Drive های ویندوز می سازد. PowerShell اما استفاده از PSDrive را به مرحله ای فراتر می برد و با استفاده از ساخت PSDrive برای منابعی که متداولا استفاده می گردد، سبب می گردد دسترسی به منابع از طریق PowerShell آسان تر گردد. به عنوان مثال HKCU مربوط به HKEY_CURRENT_USER و HKLM مربوط به HKEY_LOCAL_MACHINE از Registry است. برای مشاهده لیست کامل PSDrive ها دستور زیر را وارد کنید:

Get-PSDrive

PowerShellهمه فن حریف . ./

PowerShell یک رابط متنی مدرن، ساده و یکپارچه است که با استفاده از آن می توانید عملیات پیچیده را به راحتی بنویسید و طعم شیرین مدیریت روی خط فرمان را بچشید. مدیریت با استفاده از PowerShell به تمام مدیران توصیه می گردد چرا که با استفاده از این ابزار پیشرفته می توان بهره وری را افزایش داد. مشابه هر رابط متنی خوب دیگری، با استفاده از فشردن کلید Tab می توانید تکمیل دستور را بر عهده PowerShell قرار دهید و فقط حروف ابتدایی دستور را تا زمانی که قابل تمیز دادن باشد وارد کنید.



./Active Directory Provider


PowerShell دارای یک Provider برای Active Directory است. ابتدایی ترین مزیت آن این است که با استفاده از این Provider می توان به همان راحتی که فایل ها را در دیسک کاوش می کنید، در Active Directory کاوش کنید. برای دسترسی به PSDriver مربوط به Active Directory کافی است دستور زیر را وارد کنید:

cd AD:



همانطور که مشاهده می کنید خط Prompt به AD تغییر می کند و AD اشاره به Root Directory Service Entry یا همان RootDSE دارد. اکنون با دستور Dir می توانید لیست محتویات را مشاهده کنید و با دستور cd می توانید به شاخته های مختلف بروید. در اینجا می خواهیم در OU=Sales یک OU جدید برای مسئولین قرارداد ایجاد کنیم:

cd AD:
cd "dc=erfantaheri,dc=com"
cd "ou=Sales"
New-Item -Name "ou=Contractors" –ItemType organizationalUnit

همچنین می توان با استفاده از پارامتر path بدون انتقال به شاخته مورد نظر مستقیما در مسیر مطلوب آیتم را ایجاد کرد. با استفاده از Alias ها دستور بسیار کوتاه تر از این می تواند باشد.

New-Item -Name "ou=Contractors" –ItemType organizationalUnit –path “ou=sales, DC=erfantaheri, DC=com”

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]






.

.

مشاهده مشخصات کاربران و تغییر دادن آنها



اگر در قسمت users " از hamrahanit.local " Active Directory users and computers روی یک کاربر کلیک راست کرده و گزینه properties راانتخاب نمائید، پنجره جدیدی ظاهر شده که در آن مشخصات کامل آن کاربر را دیده و می توانید آنها را تغییر دهید.





برگه account :شامل logon name . password و accont flag ها است

برگه های general . adress . telephone . organization : برگه general به نمایش میزاره properies نام رو زمانی که شما ایجاد میکنید ابجکت کاربر را. بعلاوه توضیحات اولیه و اطلاعات contact
برگه های telephone و address اطلاعات جزییتری از contact را به نمایش میزارند

برگه telephone همچنین شامل فیلد note هست
برگه organization نمایش میده job title . departemant company و ارتباطات سازمانی را

برگه profile : در اینجا شما میتونید پیکربندی کنید profile path . login script و home folder کاربران را.

برگه member of tab : شما میتونید اضافه و حذف کنید کاربر را از گروه و تغییر بدید گروه اصلی کاربر را

برگه dial-in : شما میتونید فعال کنید و پیکربندی کنید permission remote access رو برای کاربران

برگه com+ شما اختصاص میدهید کاربران اکتیو دایرکتوری رو به بخش set
این ویزگی تسهیل میبخشد مدیریت توزیع برنامه های کاربردی










.

مدیریت attribute های چندین کاربر :

ویرایش چندین کاربر با هم :


انتخاب کنید چندین کاربر را با نگه داشتن کلید ctrl و انتخاب انها و بعد properties را انتخاب کنید





زبانه Account – گزینه Logon Hours:

اگر روی این گزینه کلیه کنید پنجره ای ظاهر خواهد شد. این پنجره به شما نشان می دهد که این کاربر در چه ساعاتی از شبانه روز در یک هفته اجازه logon کردن به Domain را دارد، شما این محدودیت را به اعضای هر ساعت در شبانه روز و هر روز در هفته می توانید تعیین کنید.

خانه هایی که به رنگ آبی پر شده اند بیانگر این می باشند که در آن ساعت و در آن روز کاربر اجازه logon کردن دارد. شما به راحتی می توانید با کلیک کردن روی یک خانه و یا select کردن جمعی از خانه های آن را به رنگ آبی (به منزله اجازه دادن برای logon شدن) و یا به رنگ سفید (به منزله اجازه ندادن برای logon شدن) در آورید. و توجه کنید که رنگ تمام خانه هادر حالت پیش فرض، آبی رنگ می باشند.

زبانه Account- گزینه ... Log on to:

با کلیک کردن روی این گزینه پنجره ای نمایش داده می شود:

در این پنجره تنظیمات پیش فرض طوری انجام شده که کاربر مربوط، با کلیک کردن از روی هر کامپیوتری به logon, Domain شود. شما با انتخاب گزینه The Following computer می توانید برای کاربر محدودیت ایجاد کنید تا فقط از روی کامپیوترهایی که مدنظر شما می باشد بتواند logon کند. برای انجام این کار در قسمت Computer اسامی کامپیوترها را یک به یک نوشته و با فشار دادن دکمه add آنها را به لیست اضافه کنید.

برگه Account- بخش Account expires:

توسط این گزینه شما می توانید محدودیت زمانی برای فعال بودن کاربر تعریف نمائید. تنظیم پیش فرض این بخش روی گزینه Never می باشد.

بدین معنی که اعتبار این کاربر منقضی نخواهد شد. شما می توانید به انتخاب گزینه End of و انتخاب تاریخ از لیست و تقویم مقابل، یک تاریخ انقضا برای کاربر انتخاب کنید.











.

سیاستهای کلمه عبور



سیاستهای کلمه عبور چگونگی برخورد با کلمه عبور را کنترل می کند. برای ویرایش سیاستها بر روی آنها دو بار کلیک نمایید و اطلاعات مورد نیاز را ویرایش نمایید. مهمترین اطلاعات مورد استفاده در سیاستهای کلمه عبور به شرح زیر می باشد:


· Enforce password history : این سیاست به ویندوز 2003 سرور می گوید کلمه عبوری را که کاربران اخیرا مورد استفاده قرار داده اند را به خاطر بسپارید. کاربر حق استفاده از کلمات عبور قبلی رانخواهد داشت. در عوض،هر وقت آنها بخواهند کلمه عبور را عوض نمایند، بایستی کلمه عبور جدید انتخاب نمایند. شما می توانید مشخص نمایید چند کلمه عبور قدیمی به خاطر سپرده شود.


· Maximum password age : حداکثر روزه های را که کاربر می تواند کلمه عبور را بدون تغییر نگه دارد را مشخص نمایید. موقعی که آن تعداد روز سپری شد، کاربر بایستی کلمه عبورش را عوض نمایید.
· Minimum password age: حداقل روزی را که یک کلمه عبور بایستی بدون تغییر بماند را مشخص نمایید.


· Minimum password length: کلمات عبور کوتاه به راحتی توسط هکرها حدس زده می شود. می توانید کلمات عبور را با محدود کردن حداقل طول کلمه عبور، قابل اطمینان تر نمایید حداقل طول کلمه عبور معمولا بین 6 تا 10 کاراکتر می باشد. حدس زدن کلمات عبور طولانی سخت تر از کلمات عبور کوتاه می باشد. یقینا به خاطر سپردن کلمات عبور طولانی نیز سخت تر می باشد، بنابراین حداقل طول کلمات عبور را بیشتر از 10 قرار ندهید. (در بیشتر مورد کاربران دوست دارند با کلمه عبوری کوتاهتر از حداقل طول کلمه عبور به سیستم وارد شوند.)


نکته: با ترکیب سیاستهای فوق شما می توانید مطمئن شود که کاربران در همه زمانها کلمه عبورشان را از نو ایجاد می کنند. برای مثال، شما می توانید سابقه کلمه عبور را 10، ماکزیمم عمر آن را 30 روز و حداقل عمر آن را 25 روز قرار دهید ومطمئن باشید کاربران هر ماه کلمه عبورشان از نو ایجاد می گردد.


طراحی خوب سیاست های کلمه عبور باعث می شود که حدس زدن کلمه عبور برای هکرها مشکل باشد و کاربران به طور متوالی کلمه عبور را تعویض نمایند. این دوکار باعث می شود حدس زدن کلمه عبور کاربران و نفوذ به سرور بر ای هکرها مشکل گردد.


توجه! سیاستهای کلمه عبور برای سرورهای عضو و standalone به صورت تکی انجام می گیرد. اگر کاربران دارای حساب کاربری بر روی چندین سرور باشند. احتمالا آنها از کلمه عبوری یکسانی استفاده خواهند کرد. سیاستهای کلمه عبور یکسانی را برای سرورها اعمال نمایید.





.

سیاستهای lock کردن حساب کاربری



اگر هکر بخواهد از طریق حدس زدن کلمه عبور به کامپیوترتان نفوذ نماید، بایستی چند بار با کلمات عبور مختلف تلاش نماید. ویندوز 2003 می تواند تعداد تلاشهای ناموفق یک حساب کاربری با کلمه عبور غیر معتبر را پیگیری نماید وبرای جلوگیری از نفوذ آینده هکر از طریق حدس زدن کلمه عبور، به منظور lock نمودن آن حساب کاربری پیکربندی شود. این پیکربندی از طریق Account Lockout policy موجود در برنامه Local security policy صورت می گیرد به مانند سیاستهای کلمه عبور، سیاست lock نمودن حساب کاربری می تواند ویرایش شود. بر روی سیاست مورد نظر دو با کلیک نماییدو اطلاعات مورد نیاز را ویرایش نمایید. مهمترین این اطلاعات شامل موارد زیر می باشد.


· Account Lockout threshold: این سیاست در ویندوز 2003 سرور مشخص می کند یک کاربری چند بار به کلمه عبور اشتباه می تواند تلاش نماید. بعد از اینکه تعداد تلاشها از حد آستانه سپری شد، حساب کاربری lock می شود. برای مثال، باتنظیم این سیاست به 3، می توانید مطمئن باشید که یک حساب کاربری بعد از وارد نمودن سه کلمه عبور اشتباه پشت سر هم lock می گردد. مقدار این سیاست را خیلی کوچک در نظر نگیرید، زیرا پس از مدتی، بسیاری از حسابهای کاربری Lock می شوند. از طرف دیگر بالا بودن مقدار این سیاست به هکرها امکان تلاش بیشتری را می دهد. یک انتخاب خوب برای این سیاست بین 3 تا 5 تلاش می باشد.


· Account lockout duration: این سیاست مدت lock ماندن یک حساب کاربری را نشان می دهد. شما می توانید مدتی را انتخاب نمایید یا مقدار آن را صفر قرار دهید تا از حالت Lock در آوردن یک حساب کاربری به صورت دستی انجام گیرد.


وقتی حساب کاربری lock می گردد، از برنامه Computer Management به منظور فعال نمودن حساب کاربری می توانید استفاده نمایید. همان طوری که در شکل مشاهده می کنید حساب کاربری کاربران lock شده با آیکن خاصی نشان داده می شود. به راحتی بر روی حساب کاربری مورد نظرتان کلیک راست نمایید و از منوی popup ظاهر شده گزینه properties را انتخاب نمایید و به منظور Unlock کردن کاربر check box مربوط به Account Is Locked Out را حذف نمایید.





,

.


مدیریت گروه ها در Active Directory

به دلیل تعدد تعداد User ها مدیریت آن ها عملا غیر ممکن است. به همین دلیل از گروه هایی استفاده می کنیم تا مدیریت ها در محیط اکتیو دایرکتوری ساده تر صورت گیرد. از طرف دیگر، با گذر زمان، کاربران، کامپیوتر ها و سرویس ها در محیط اکتیو دایرکتوری تغییر می کنند و در صورت مدیریت مستقیم روی کاربران، سبب دوباره کاری می شود. به عنوان مثال ممکن است در سازمان، حتی تنها یک کاربر خاص به دسترسی هایی که سایر کاربران ندارند لازم داشته باشد. در این شرایط هم حتی باید از یک Group که تنها همان یک کاربر عضو آن است استفاده شود.

دلیل این امر آن است که در صورت تغییر کاربر با شخص دیگری، از دوباره کاری و پیچیده شدن تعیین دسترسی ها جلوگیری به عمل آید. از طرف دیگر، تصور کنید در دپارتمان فروش، ۱۰۰ کاربر باید به ۱۰ Shared Folder مختلف در سه سرور مختلف دسترسی داشته باشند. ضمن آنکه تعیین دسترسی کاربر و تغییرات احتمالی بدون استفاده از گروه ها، عملیات طاقت فرسایی است، با توجه به آنکه هر تغییر در ACL فایل ها، سبب می شود Archive Flag فایل ۱ شود، سبب خواهد شد که عملیات Backup با چالش جدی رو به رو شود.

اکنون تصور کنید که علاوه بر کاربران دپارتمان فروش، که آن ها را یک گروه در نظر می گیریم، کاربران گروه های مشاوران فروش و بخش بازاریابی هم لازم است به همان Shared Folder ها دسترسی داشته باشند. بنابراین این باید در هر Shared Folder سه مجوز دسترسی مختلف تعیین کرد. اکنون اگر لازم باشد هشت مشاور ارشد که در گروه های متمایزی عضو هستند، نیز به همان Shared Folder ها دسترسی داشته باشند لازم است مجددا ACL تغییر کند.

در اینجا به راحتی حدس زده اید که گروه ها تنها نباید شامل کاربران باشند و در دو مرحله باید طراحی صورت گیرد تا مدیریت موثر تر باشد. ابتدا کاربران را بر اساس وظیفه سازمانی در گروه های معین قرار می گیرند و سپس گروه دیگری که شامل گروه هایی باشد که لازم است به آن ۱۰ Shared Folder دسترسی داشته باشند. این گروه را در تعیین ACL روی Shared Folder ها استفاده می کنیم. به عبارت دیگر، دلیل وجود گروه اول، تعدد کاربران بود، اما دلیل وجود گروه دوم، نا متمرکز بودن و تعدد ACL ها بود.

معمولا گروه های این چنینی را با پسوند ACL_ نمایش می دهیم تا از سایر گروه ها متمایز باشد. گفتی است در سناریوی فوق می توان از راهکارهای مدیریت فایل نیز استفاده کرد که در اینجا مورد بحث نیست.








.

اما Group Scope های ما :

Local : این گروه توانایی پذیرفتن اعضا از تمامی Domain های Forest خود و همچنین دومین های سایر Forest ها که با آنها Trust دارند را دارا میباشد.

محدوده حرکتی این Scope هم فقط داخل Domain خودش هست و از طریق سایر Domain ها دیده نمیشه.


Global :این گروه هم فقط از دومین خود عضو پذیری دارد اما محدوده ی حرکتی وسیعی دارن یعنی در تمامی دومین های Forest خود و سایر Forest هایی که با آنها Trust دارد قابل دسترسی میباشد.


Universal : این گروه نیز توانایی عضو پذیری از تمامی دومی های Forest خود را دارد و محدودهی حرکتی مشابه با Global Scope دارد .یعنی میتواند به تمامی دومین های Forest خود و سایر دومین ها در Forest های دیگر در صورت وجود Trust حرکت کند.

مثال کاربردی از این گروه ها :
شما فرض کنید یک فایل سرور در Domain A و Forest A دارید و نیاز دارید اعضایی از Domain B در Forest B به این فایل ها دسترسی داشته باشن .خوب شما میتونید از این گرو ها برای ارائه Permission به گروهی از کاربران دومین مورد نظر برای دسترسی به فایل ها ایجاد کنید .


برای تعیین حوزه گروه ها از سه فاکتور زیر استفاده می شود:

۱) Replication: گروه کجا معین شده و در کجا Replicate می شود؟

۲) Membership: چه اشیایی می توانند در گروه عضو شوند؟

۳) Availability: در کجا گروه می تواند مورد استفاده قرار گیرد؟




امکان تبدیل مستقیم حوزه گروه ها به صورت زیر وجود دارد:

Global به Universal
Domain Local به Universal
Universal به Global
Universal به Domain Local


*. برای تبدیل هایی که به صورت مستقیم انجام نمی شود، می توان ابتدا به حوزه قابل تبدیل تبدیل گردد و سپس به حوزه مطلوب تبدیل شود. توجه شود که با آنکه امکان تبدیل وجود دارد اما اگر عضویت هایی بر خلاف عضویت های حوزه مطلوب وجود داشته باشد، امکان تبدیل وجود نخواهد داشت. بنابراین لازم است پیش از تبدیل، عضویت ها اصلاح شود.

گروه Universal منعطف ترین حوزه است اما با یک هزینه. از آنجایی که در GC اطلاعات اعضا ذخیره می شود، اگر Functional Level (حوزه عملکرد دامین) Windows Server 2000 باشد تمام Member List باید Replicate شود. البته در Windows Server 2003 به دلیل استفاده از linked-Value Replication فقط تغییرات منتقل می شود. اگر DC دارای Windows Server 2003 / 2008 باشد، دارای Universal Group Membership Caching است. اگر Universal Group Membership Caching فعال باشد، SID های گروه های Universal و Global در خصیصه ی MSDS-Cached-Membership اشیاء User و Computer نگه داری می شود. عمل Cache در اولین logon صورت می گیرد، بنابراین اگر اولین logon کاربر در زمان down بودن GC باشد، کاربر نمی تواند logon کند. این ویژگی به Functional Level وابسته نیست و باید برای هر Site در اکتیودایرکتوری فعال باشد. اطلاعات Cache شده هر هشت ساعت یک بار به صورت پیش فرض به روز می شوند. برای یک کاربر منحصر به فرد امکان Force کردن به روز رسانی از طریق ADSI Edit وجود دارد. اگر اطلاعات برای هفت روز نتواند به روز شود، اطلاعات قدیمی در نظر گرفته شده و discard می شود. بنابراین برای Logon به GC نیاز است.


Restart کردن یک DC باعث Refresh شدن تمام اطلاعات می شود. برای Refresh شدن اطلاعات بدون Restart شدن DC در تمام DC ها مقدار updateCachedMembership در RootDSE را به ۱ باید تغییر داد. (با استفاده از LDP.EXE) هر دو متد باید روی تمام DC های یک سایت صورت گیرد.
استراتژی مدیریت گروه ها

پیش از این به محدودیت های تکنیکال در گروه ها اشاره شد. اکنون به دنبال یک استراتژی کارا هستیم. همانطور که دیدید، برای مدیریت موثر تر و محدودیت ها لازم است گروه ها عضو گروه های دیگر شوند، به فرآیند اضافه کردن یک گروه به گروه دیگر اصطلاحا Nesting گفته می شود. با متد ساده زیر، می توان به بهترین استراتژی دست یافت: (حهت سهولت در به خاطر سپاری به این شکل نوشته شده ا





.

گروه ها در ویندوز سرور 2008

گروه ها مجموعه ای از اشیاء مانند ( کاربران ، کامپیوترها ، چاپگرها و حتی گروه های دیگر ) هستند که از آن برای دادن مجوزهای دسترسی به منابع شبکه به مجموعه ای از اشیاء به شکل همزمان استفاده می شود. ما در ویندوز سرور 2008 دو نوع گروه داریم، یکی گروه های محلی و دیگری گرو های دامنه .


گروه های محلی

هنگامی که شما یک کامپیوتر ویندوز سرور 2008 را بعنوان یک سرویس دهنده عضو ، مثلا بعنوان سرویس دهنده DHCP یا سرویس دهنده DNS ( و نه به عنوان دامین کنترولر ) پیکربندی می نمایید ، تعدادی گروه محلی بصورت اتوماتیک در آن ایجاد می شود به طوری که می توان به کاربرانی که عضو آن گروه ها هستند اجازه داد اعمالی که به آن گروه ها واگذار شده است را انجام دهند.می توان کاربران را عضو گرو های محلی پیش فرض کرد. همچنین می توان گره های محلی جدیدی را در کامپیوتر ایجاد نمود و به گروه خاصی از کاربران ، حقوق خاصی برای انجام بعضی از کارها اعطا کرد و یا اجازه دسترسی به منابع خاصی از شبکه را به آنها داد.اما باید توجه کرد که دلیل استفاده از گروه ها بیشتر محدود کردن اعمال کاربران بر روی سرویس دهنده است و نه دادن حق انجام اعمال . یعنی اگرچه می توان با استفاده از گروه ها به کاربران خاصی اجازه انجام برخی از کارهای مدیریتی را داد ولی بهتر است که از گروه ها برای محدود کردن اجازه دسترسی کاربران به منابع شبکه استفاده کرد.

هنگامی که یک کامپیوتر ویندوز سرور 2008 را بعنوان یک سرویس دهنده عضو در نظر می گیرید در آن تعدادی گروه محلی پیش فرض ایجاد می شود که هر یک از آن ها دارای حقوق مدیریتی خاصی می باشند . گروه های محلی پیش فرض را می توان در پوشه Groups واقع در کنسول مدیریتی Local Users and Groups Management مشاهده نمایید.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

بعضی از مهمترین گروه های پیش فرضی که در این پوشه قرار دارند به قرار زیر می باشد :

• Administrators : اعضای این گروه ، حقوق نامحدودی برای دستکاری یا مدیریت محلی یا از راه دور کامپیوتر دارند. به طور پیش فرض Administrator محلی ( Local Administrator ) و اعضای گروه Domain Admins ، عضو این گروه هستند.

• Guests : فقط اکانت Guest عضو این گروه است. ولی در ویندوز سرور 2008 اکانت Guest به طور پش فرض غیر فعال است. اعضای این گروه هیچ گونه حقوق یا جواز پیش فرضی ندارند. اگر اکانت Guest را فعال کنید و مهمانی به کامپیوتر وارد شود، در زمان ورود او یک پروفایل موقتی ایجاد می گردد که در زمان خروج پاک می شود.

• Remote Desktop Users : اعضای این گروه می توانند از راه دور به سرویس دهنده وارد شوند.

• Users : اعضای این گروه می توانند اعمال مقدماتی همچون اجرای برنامه ها و استفاده از چاپگرها را انجام دهند. اعضای این گروه نمی توانند منابع اشتراکی یا چاپگر ایجاد کنند.(ولی می توانند به چاپگرهای شبکه وصل شوند تا آن ها را به صورت محلی نصب کنند). همه ی اکانت های کاربری که در دامنه ایجاد می شوند عضو این گروه هستند.

• Telnet Clients : اعضای این گروه می توانند به سرویس Telnet Server کامپیوتر، اگر در حال اجرا باشد، استفاده کنند. به طور پش فرض سرویس Telnet Server غیرفعال است.

.

گروه های دامنه

گروه های دامنه بخشی از اکتیودایرکتوری هستند و می توانند در دامین ریشه جنگل ، در هر دامینی از جنگل و یا در یک OU ( ساختار سازمانی ) وجود داشته باشند. کامپیوتر ویندوز سرور 2008 ای که به عنوان دامین کنترولر ( DC ) استفاده می شود بصورت اتوماتیک گروه های پیش فرضی را در دامین ایجاد می کند. مدیریت گروه ها در دامین از طریق کنسول Active Directory Users and Computers انجام می شود. همانند گروه های محلی ، می توان گروه های جدیدی در دامین ایجاد کرد و یا به گروه های موجود در دامین ، عضو اضافه کرد.

گروه های دامنه پیش فرض

وقتی که اکتیودایرکتوری را در یک ویندوز سرور 2008 نصب می کنید و یک دامین کنترولر ایجاد می نمایید ، سیستم به صورت خودکار تعدادی گروه را ایجاد می کند. برخی از گروه ها در Container (حاوی) Built-in هستند و برخی دیگر از گروه ها در حاوی Users قرار دارند.

برخی از مهمترین گروه های واقع در حاوی Built-in به قرار زیر می باشد :

• Account Operators : اعضای این گروه می توانند به ایجاد، تغییر، و حذف اکانت های کاربران، گروه ها و کامپیوترهایی که در حاوی Users یا حاوی Computers و یا در OU قرار دارند(ولی نه در OUی توکار Domain Controllers )، بپردازند. اما اعضای این گروه نمی توانند گروه های Administrators یا Domain Admins ، و یا اکانت های اعضای این گروه ها را تغییر دهند. اعضای این گروه می توانند به صورت محلی به همه ی DC های دامنه وارد شوند و می توانند آن ها را خاموش کنند.

• Administrators : اعضای این گروه کنترل کاملی روی همه ی دامین کنترول های دامنه دارند. به طور پیش فرض اکانت Administrators و گروه های Domain Admins و Enterprise Admins ، عضو این گروه هستند.

• Backup Operators : اعضای این گروه می توانند به پشتیبان گیری و بازیابی فایل های همه ی دامین کنترول های دامنه بپردازند، صرف نظر از جوازهایی که روی آن فایل ها دارند. اعضای این گروه همچنین می توانند به همه ی دامین کنترول ها وارد شوند، و آن ها را خاموش نمایند.

• Guests : اعضای این گروه هیچ حق پیش فرضی ندارند. اکانت Guest (که به طور پیش فرض غیرفعال است) و همچنین گروه Domain Guest (واقع در حاوی Users) عضو این گروه هستند.

• Incoming Forest Trust Builders : این گروه فقط در دامنه ریشه جنگل ظاهر می شوند. اعضای این گروه می توانند رابطه اعتمادی جنگل یک طرفه ی ورودی ( One-way Incoming )را به دامنه ریشه ی جنگل ایجاد کنند.

• Print Operators : اعضای این گروه می توانند چاپگرهای دامنه را مدیریت کنند.

• Remote Desktop Users : اعضای این گروه می توانند با نرم افزار سرویس گیرنده ی Remote Desktop ، از راه دور به دامین کنترول های دامنه وارد شوند.

• Server Operators : اعضای این گروه، توانایی انجام این کارها را در DC ها دارند : ایجاد و حذف منابع اشتراکی - به کار انداختن و متوقف کردن برخی از سرویس ها - پشتیبان گیری و بازیابی فایل ها - فرمت کردن درایوها - خاموش کردن کامپیوتر

.

Users : اعضای این گروه می توانند معمولترین کارها را انجام دهند( از قبیل اجرای برنامه ها، و استفاده از چاپگرهای محلی و شبکه ). به طور پش فرض گروه های Domain Users و Authenticated Users عضو این گروه هستند. ( این بدان معنی است که هر اکانت کاربری که در دامنه ایجاد می کنید به صورت اتوماتیک عضو گروه Users می شود ).

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

برخی از مهمترین گروه های واقع در حاوی Users به قرار زیر می باشد :

• Cert Publishers : اعضای این گروه می توانند به انتشار مجوز برای کاربران و کامپیوترها بپردازند.

• Domain Admins : اعضای این گروه کنترل کاملی روی دامنه دارند. به طور پیش فرض این گروه عضو گروه Administrators همه ی دامین کنترول ها، همه ی ایستگاه های کاری دامنه ، و همه ی سرویس دهنده های عضو دامنه است. اکانت Administrators به صورت اتوماتیک عضو این گروه می باشد، و شما نباید کاربران دیگر را به این گروه اضافه کنید مگر اینکه آن ها تجربه و مهارت کافی داشته باشند.

• Domain Computers : این گروه حاوی همه ی ایستگاه های کاری و سرویس دهنده های عضو دامنه است.

• Domain Controllers : این گروه حاوی همه ی کنترل کننده های دامنه است.

• Domain Users : این گروه حاوی همه ی کاربران دامنه است. به عبارت دیگر هر اکانت کاربری که در دامنه ایجاد می شود عضو این گروه است.

• Enterprise Admins : این گروه فقط در دامنه ی ریشه ی جنگل ظاهر می شود. اعظای آن کنترل کاملی روی همه ی دامنه های جنگل دارند، و این گروه عضو گروه Administrators همه ی دامین کنترول های جنگل است. به طور پیش فرض اکانت Administrator عضو این گروه است، و شما نباید کاربرانی که مهارت و تجربه کافی در زمینه مسائل شبکه ندارند را به این گروه اضافه کنید.

• Group Policy Creators Owners : اعضای این گروه می توانند سیاست های گروه را در دامنه تغییر دهند. به طور پش فرض اکانت Administrator عضو این گروه است، و شما باید فقط کاربرانی را به این گروه اضافه کنید که توانایی و دانش کافی در اعمال سیاست های گروه را دارا می باشند.

• Schema Admins : این گروه فقط در دامنه ریشه ی جنگل ظاهر می شود. اعظای این گروه می توانند شمای اکتیودایرکتوری در جنگل را تغییر دهند. به طور پش فرض اکانت Administrator عضو این گروه است، و فقط باید کاربرانی را به این گروه اضافه کنید که در زمینه کار با اکتیودایرکتوری مهارت دارند.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

.

.


گروه های خاص در دامنه

در دامین گروه هایی وجود دارد که نمی توانید آنها را کنسول اکتیودایرکتوری ببینید و یا اعضای آنها را مشاهده نموده و یا تغییر دهید. این گرو ها را فقط وقتی می توانید ببینید که می خواهید روی منابع شبکه مجوز قرار دهید . این گروه ها ، گروه های خاص نامیده می شود و ویندوز در شرایط خاصی از آنها برای نمایش کاربران مختلف استفاده می کند و عضویت در آنها موقتی و گذراست . برای نمونه گروه Everyone نماینده همه کاربرانی است که در حال حاضر در شبکه وارد شده اند. مهمترین گروه های خاص عبارتند از :

• Anonymous logon : کاربران و سرویس هایی را مشخص می کند که از طریق شبکه و بدون داشتن اسم اکانت و پسورد و یا اسم دامنه به یک کامپیوتر و منابع آن دست می یابند.

• Everyone : شامل همه کاربرانی است که در حال حاضر در شبکه هستند . از جمله کاربران مهمان و کاربران سایر دامین ها. هر کاربری که به شبکه وارد می شود به صورت خودکار عضو این گروه می گردد.

• Network : نماینده ی کاربرانی است که در حال حاضر از طریق شبکه (نه به صورت محلی و از طریق کامپیوتری که دارنده منبع است ) به یک منبع خاص دستیابی حاصل کرده اند. هر کاربری که از طریق شبکه به منبعی دست می یابد به صورت اتوماتیک عضو این گروه می شود.

• Interactive : شامل هر کاربری است که در حال حاضر به یک کامپیوتر خاص وارد شده و به یک منبع خاص آن کامپیوتر دستیابی حاصل کرده است. (متضاد Network ). هر کاربری که به صورت محلی کار می کند و به منبعی روی کامپیوتر دست می یابد به صورت اتوماتیک عضو گروه Interactive می شود.

.

روش های اعطای مجوز به کاربران


از روش های مختلفی برای اعطای مجوز به کاربران به کمک گروه ها می توان استفاده نمود.


روش AGP: در این روش کاربران (Account ها) را در گروه های مختلف از نوع Global دسته بندی می کنند. این دسته بندی از نظر نوع کار و محل جغرافیایی کاربران انجام می شود. سپس مجوز (permission) لازم به گروه ها اعطا می شود.


از این روش در شبکه هایی که تعداد object ها زیاد نیست می توان استفاده کرد.




روش ADLP: در این روش کاربران (Account ها) را در گروه های مختلف از نوع Global دسته بندی می کنند. سپس گروه هایی از نوع Local Domain ایجاد کرده و به آنها مجوز (Permission) لازم را اعطا می کنند. حال تمامی گروه های Global که لازم است مجوزهای مربوط را داشته باشند، می توان به عضویت گروه های Local Domain در آورد.


از این روش در شبکه هایی که تعداد object های زیادی دارند و یاشبکه هایی که از چندین Domain تشکیل شده اند، استفاده می شود.






اکانت ها (Users و Computer) عضو

گروه های Global بر اساس نقش سازمانی (Roles) می شوند. این گروه ها عضو
گروه های Domain Local می شوند تا قواعد (Rules) و دسترسی ها روی ان گروه ها اعمال شود و یک گروه ها به
ACL ها اضافه می شوند.
در یک جنگل چند دامینی، گروه های Global عضو یک گروه Universal می شوند و گروه Universal عضو یک گروه Domain Local است تا در ACL قرار گیرد. همچنین کاربران می توانند در گروه Universal قرار گیرند.

همانطور که اشاره شد گروه های Global بر اساس Roles و گروه های Domain Local بر اساس Rules ساخته می شوند. درک تفاوت این دو بسیار مهم و قابل توجه است. به دلیل سطح دسترسی های متفاوت معمولا لازم است که برای یک منبع چند گروه Domain Local ساخته شود. البته بدیهی است در بسیاری از سناریو ها که تنها لازم یک گروه Global به یک منبع دسترسی داشته باشد از ساخت گروه Domain Local صرف نظر می شود. همچنین در منابع موقتی و کاربران کم در سازمان های کوچک، از ساخت Global Group ها صرف نظر می شود.

در تصویر زیر بر اساس بهترین استراتژی ساخت گروه ها و بر اساس Role های سازمانی و Rule های مدیریتی گروه ها ساخته شده است. در ابتدا بدون توجه به Rule های دسترسی، و با توجه به Role سازمانی کاربران هم کار (کاربرانی که در یک دپارتمان کار می کنند) در گروه های Global قرار می گیرند و برای تعیین Rule های دسترسی در گروه های Domain Local با پیشوند ACL_ قرار گرفته اند.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]








.

delegate کردن



اکتیو دایرکتوری معمولا به عنوان یک سامانه مرکزی امنیتی و تعیین هویت توسط سازمان ها شناخته می شود که سبب کاهش هزینه های نگه داری و مدیریت ساده تر روی کاربران می شود. اما همواره برخی سازمان ها، به ویژه سازمان های کوچک و سازمان های با بروکراسی، با سوالاتی نظیر، اگر مدیریت غیر مرکزی در بخش ها مختلف لازم باشد، آیا مدیران هر بخش دسترسی به اندازه کافی محدودی دارند،
مدیریت روی یک شیئ موجود در data store اکتیو دایرکتوری فقط توسط مدیر موجه می تواند صورت گیرد و سوالاتی از این قبیل دارند

. برخی از مدیران شبکه برای این دسته از موضوعات به راهکار دامین های چند تایی روی می آورد. راهکار دامین های چند تایی با توجه به هزینه دار بودن و بسیاری موارد دیگر، اغلب راهکار مناسبی نیست. در طراحی های اکتیو دایرکتوری در ویندوز سرور ۲۰۰۸ همواره می کوشیم تا از ایجاد دامین های چندتایی جلوگیری شود. این گونه سوالات همواره جوابشان نحوه Delegation است. همچنین بدیهی است تمام اعمال مدیریتی توسط مدیر هر بخش نمی تواند صورت گیرد و در بسیاری از مورارد همانند ریست کردن پسورد های فراموش شده لازم است به پشتیبانی محول گردد

. Delegation به این معنا است که یک مدیر بالاتر، یک کاربر دیگر را قادر می سازد تا برخی از توانایی های مدیریتی خود را انجام دهد. ساختار اکتیو دایرکتوری یک ساختار سلسه مراتبی است. ابتدا در سطح ساختار جنگل و دامین ها، سایت ها و سپس در سطح واحد های سازمانی (OU). این ساختار سلسه مراتبی علاوه بر تمام ویژگی هایی که ایجاد می کند، قابلیت های قدرتمندی برای تنظیم مجوز های دسترسی و Delegation فعالیت های مدیریتی ایجاد می کند. وظایف مدیریتی در اکتیو دایرکتوری شامل دو دسته هستند که در جدول زیر آمده است:

دسته

وظایف

Data mangement

Account mangement
Security Group mangement
Resource mangement
Group Policy mangement
Application Specific Data mangement

Service mangement

Trust mangement
Directory Data Store mangement
Schema mangement
Operation Master Roles mangement
Backup & Restore mangement
Replication mangement


Security Policy mangement

دسترسی به اشیاء در اکتیو دایرکتوری

زمانی که کاربر در محیط اکتیو دایرکتوری Logon می کند، یک Token دسترسی دریافت می کند که شامل SID شیئ User Account او است. همچنین این Token شامل SID تمام Security Group هایی که کاربر در آن عضو است می باشد. هر Object دارای یک Security Descriptor است که شامل اجزای زیر است:

Obejct Owner: به صورت پیش فرض Creator شیئ Owner آن است. تا زمانی که Take Ownership روی شیئ صورت نگرفته باشد، SID اکانت مربوطه در این فیلد قرار دارد.
Primary Group: این اطلاعات فقط توسط POSIX یا Portable Operating System Interface for Unix استفاده می شود و شامل Primary Group مالک است.
DACL: لیستی از ACE ها که جهت کنترل دسترسی به کار می رود.
SACL: لیستی که سیاست های بازبینی (Auditing) را معین می کند.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

تصویر ۱-۱: ارتباط User Access Token و Object Security Descriptor

یادآوری: ACE کوتاه شده ی Access Controll Entery و ACL کوتاه شده Access Controll List است. جهت اطلاعات بیشتر و نحوه محاسبه مجوز های موثر به مجوز های NTFS مراجعه شود.

برای هر شیئ در اکتیو دایرکتوری یک لیست کنترل دسترسی وجود دارد. به عبارت دیگر، در هر یک از ابزار ها که اشیاء قابل دسترسی باشند این مجوز ها اعمال می شوند. هر چند متداول ترین ابزار برای تنظیم مجوز ها کنسول Active Directory Users & Computers است، اما از هر ابزار دیگر همانند ldp.exe یا ADSI Edit نیز اعمال می شوند. در اینجا از همان ابزار متداول Active Directory Users & Computers و سپس ldp استفاده می کنیم.



در کنسول Active Directory Users & Computers از منوی View گزینه Advanced Features را Checked می کنیم.
روی شیئ مورد نظر Right click کرده و Properties را کلیک می کنیم.
در tab (زبانه) Security لیست ACL را مشاهده می کنیم. در اینجا مشابه مجوز های NTFS به اعمال مجوز ها می پردازیم. با توجه به نوع شیئ مجوز های مختلفی قابل اعمال هستند.





.

مدیریت کامپیوتر ها

کامپیوتر ها در اکتیو دایرکتوری هستند. کامپیوتر ها همانند کاربران دارای اکانت هستند. این اکانت ها مشابه اکانت های کاربران دارای Username و Password است. Password اکانت های کامپیوتر به صورت پیش فرض هر ۳۰ روز یک بار توسط خود ویندوز تعویض می شود. بعضی وقت ها کامپیوتر ها هم دچار فراموشی Password خود می شوند. مدیریت کامپیوتر ها، چه وسیله سخت افزاری و چه اکانت در AD جزء کار های روزمره ی تمام مدیران شبکه است. اضافه شدن کامپیوتر جدید، تغییر کامپیوتر دو کاربر و… مواردی هستند که ساعات کاری مدیران شبکه را پر می کنند.



پیش از آنکه یک user بتواند از طریق یک کامپیوتر به دامین logon کند باید آن کامپیوتر متعلق دامین باشد. (فعلا چنین تصور می کنیم) برای ملحق شدن یک کامپیوتر به دامین باید کامپیوتر دارای اکانتی باشد که دقیقا مشابه اکانت کاربران دارای SID منحصر به فرد خود است. آن اکانت باعث می شود تا کامپیوتر تعیین هویت گردد و مشخص گردد که آن کامپیوتر جزئی از شبکه است. زمانی که یک کامپیوتر عضو شبکه Domain می شود، وظیفه تعیین هویت کاربران را به دامین محول می کند. هرچند که با استفاده از SAM مثل سابق امکان Logon کردن به کامپیوتر local وجود دارد. به عبارت بهتر، یک ارتباط Trust بین هر کامپیوتر عضو دامین با دامینش وجود دارد که زمانی که کامپیوتر عضو دامین می شود ایجاد می شود. هر چند که رابطه Trust بیشتر بین دو دامین بحث می شود، اما این ارتباط نیز، از نوع ارتباط Trust است

Computer Container


اکانت های کامپیوتر به طور پیش فرض در یک Container به نام Computers با آدرس (…,CN=Computers) قرار می گیرند. این Container یک OU نیست! بنابراین نمی توانید در آن یک OU بسازید یا یک Group Policy Object را به آن Link کنید. بنابراین اکیدا توصیه می شود از OU ها برای مدیریت کامپیوتر ها استفاده کنید. اغلب از حداقل دو OU مختلف استفاده می شود. یک OU برای Server ها و دیگری برای کامپیوتر های کلاینت. البته با توجه به معماری شبکه اگر لایه دسترسی از راه دور وجود داشته باشد، در نظر گرفتن یک OU دیگر کاملا دید صحیحی است. از لحاظ تکنیکال اکانت هایی که در این دو OU قرار می گیرند، مشابه هم هستند اما از لحاظ مدیریتی می توان مدیریت بهتری انجام داد.گاهی اوقات، OU ها را بر اساس ساختار سازمانی می سازند و اکانت های کامپیوتر را در آن همان OU ها قرار می دهند. این روش هم روش صحیحی می تواند باشد. همچنین به عنوان مثال ایجاد دو OU به نام های Desktops و لب تاپ ها در OU مربوط به Cleints می تواند ایده ی خوبی باشد.


به صورت پیش فرض کاربران عضو گروه های Enterprise Admins، Domain Admins ، Administrators ، Account Operators می توانند اکانت های کامپیوتر را در هر OU بسازن

د. اعضای سه گروه اول را کاملا محدود کنید و Administrators را در گروه Account Operators اضافه نکنید. برای آنکه کاربرانی بتوانند اکانت کامپیوتر بسازند در OU مورد نظر از روش Delegation استفاده کنید. مسئله قابل توجهی که در اینجا صورت می گیرد این است که ویندوز مدیران شبکه را مجبور نمی کند از بهترین روش ملحق کردن کامپیوتر ها به دامین استفاده کنند. بهترین روش آن است که ابتدا یک اکانت کامپیوتر ساخته شود و سپس کامپیوتر ملحق شود. در این صورت کامپیوتر به جای ساختن یک اکانت در زمان ملحق شدن از آن اکانت ساخته شده استفاده می کند. حال اگر قبل از ملحق شدن، یک اکانت برای کامپیوتر نساخته باشیم، به صورت خودکار یک اکانت در Container مربوط به Computers اضافه می شود زیرا به صورت پیش فرض ویندوز اکانت ها را در آن Container می سازد. مسئله ی ایجاد شده آن است که تا زمانی که کامپیوتر ملحق شده به دامین را به OU مناسب منتقل نکرده باشیم، Group Policy اعمال شده در آن، به آن کامپیوتر اعمال نمی شود. بهترین راه حل آن است که Container ای که به صورت پیش فرض اکانت های کامپیوتر در آن ساخته می شود را تغییر دهیم. برای این منظور از دستور زیر استفاده می کنیم:

redircmp “DN مربوط به OU مورد نظر”

راه حل نا مناسبی هم وجود دارد که Default Domain Policy را ویرایش کرده و به نحو مورد نظر در آورد. به هر صورت استفاده از روش ساختن کامپیوتر اکانت ها پیش از ملحق شدن به مزایای بسیاری دارد که اغلب مدیران شبکه فقط از این روش استفاده می کنند. به عنوان مثال در Windows Deployment Services می توان تعیین کرد که تنها به کلاینت های prestaged شده پاسخ گو باشد.




.

.


محدود کردن توانایی کاربران در ساخت کامپیوتر



این موضوع برای امنیت شبکه امر بسیار مهمی به شمار می رود. این نکته توسط برخی مدیران شبکه نادیده گرفته می شود و امنیت شبکه را به مخاطره می اندازد. به صورت پیش فرض هر کاربر در اکتیو دایرکتوری می تواند ۱۰ اکانت کامپیوتر بسازد. البته در خصوص کاربران گروه Domain Admins و گروه های با دسترسی بالاتر، این محدودیت وجود ندارد. این امر در ساده سازی فعالیت های مدیریتی مزایایی را دارد اما با این حال در برخی از طراحی های امنیتی لازم است تا کاربران نتوانند کامپیوتری را عضو دامین کنند. محدودیت ۱۰ کاربر می تواند از طریق ویرایشگر ADSI تغییر کند. برای این منظور لازم است تا ms-DS-MachineAccountQuota را تغییر دهید.

برای اینکه کاربران نتوانند کامپیوتری را به دامین ملحق کنند، مقدار ۰ را وارد کنید. راه حل مناسب دیگر تغییر User Rights Assignment در Group Policy است. به صورت پیش فرض در سیاست Add workstations to domain گروه Auhtenticated Users قرار دارد. در اینجا می توانند کاربران و گروه هایی که می خواهید توانایی انجام این کار را داشته باشند معین می کنید. البته تغییر این سیاست با توجه به ویرایشی که مقدار ms-DS-MachineAccountQuota انجام شد لزومی ندارد. با انجام این ویرایش می توان اطمینان داشت تنها کاربرانی که به آن ها Delegate شده می توانند کامپیوتری را به دامین ملحق کنند.




.




.

.


ملحق شدن کامپیوتر به دامین


تنها Local Administrators به صورت پیش فرض می توانند در عضویت کامپیوتر تغییری ایجاد کنند. در System Properites در زبانه ی Computer Name دکمه Change را زده و Radio Buttom را در حالت Domain قرار داده و نام دامین مورد نظر را وارد می کنیم. توجه داشته باشید برای این منظور باید در DNS مشکلی وجود نداشته باشد. با استفاده از دستور netdom می توان نیز یک کامپیوتر را عضو یک دامین کرد.


netdom join {/d: | /domain:} [/ou:] [{/ud: | /userd:}[] [{/pd: | /passwordd:}{|*}]] [{/uo: | /usero} [{/po: | /passwordo}{|*}] [/reboot[:,Delay>]] [/help | /?]


برای استفاده از روش فوق لازم است دامین کنترلر Online باشد. در Windows Server 2008 R2 و Windows 7 این امکان وجود دارد که در صورت offilne بودن، عملیات join شدن به دامین صورت گیرد.همچنین مکانیسم دیگری وجود دارد تا از طریق Read-Only Domain Controller ها به دامین ملحق شد. برای اطلاعات بیشتر به اینجا (Microsoft TechNet) مراجعه کنید. جهت اتوماتیک کردن فرآیند ساخت کامپیوتر اکانت ها می توان از روش های متداول همانند CSVDE و LDIFDE و دستوارت PowerShell و دستور DsAdd و حتی VBScritp استفاده کرد که در آینده بررسی می شوند.




.

.






Join کردن یک کامپیوتر به domain


برای اینکه بتوانیم کلاینتی را join به domain کنیم باید چه شرایطی را داشته باشیم؟
• باید تنظیمات tcp/ip کلاینت را انجام دهیم. برای این کار ابتدا در قسمت run تایپ می کنیم

ncpa.cpl




[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]







در صفحه ای که بازمی شود در آن صفحه بر روی کارت شبکه کلیک راست کرده و گزینه ی properties را انتخاب می کنیم.




[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]




پس از انتخاب کردن properties در صفحه ای که باز می شود گزینه ی internet protocol version 4 (tcp/ipv4) را انتخاب می کنیم.





[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]






با انتخاب کردن internet protocol version4 صفحه ای باز می شود که در آن صفحه باید تنظیمات tcp/ip را انجام داد.




[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]






در این قسمت باید ip که می خواهیم بر روی کامپیوتر set شود را وارد کرده سپس subnetmask را وارد کنیم اگر default gateway داریم در این قسمت وارد می کنیم و اگر هم نداریم این قسمت را خالی می گذاریم سپس در قسمت
Preferred dns server باید ip server را بگذاریم قسمت alternate dns برای این است که اگر dns اصلی از کار بیافتد یک dns دیگر نیز داشته باشیم که بتوانیم از آن استفاده کنیم. در واقع ip که می خواهیم بدهیم باید در یک netid با server باشد یا اینکه باید routing داشته باشیم. در مرحله ی بعدی باید بر روی computer کلیک راست کرده و سپس گزینه ی properties را انتخاب کنیم.




[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]





سپس در صفحه ای که باز می شود باید گزینه ی change setting را انتخاب کرد.



[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]





سپس در صفحه ای که باز می شود گزینه ی change را انتخاب می کنیم.




[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]






در صفحه ای که باز می شود باید تنظیمات مربوط به join شدن به domain انجام شود از ما اسم domain را می خواهد پس چون اسم می خواهد باید تنظیمات روی آن set شده باشد



.
[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]





در این صفحه در قسمت domain باید نام domain را که می خواهیم به آن join شویم را وارد کرده و در قسمت computer name نیز همان نام کامپیوتری که می خواهد به دامین join شود مشخص می شود. سپس گزینه ی ok را انتخاب می کنیم.

با زدن گزینه ی ok. کامپیوتر اول میرود سراغ dns کلاینت از dns می پرسد دنبال سرویس active directory هستم و اسم domain من wikipg.com است و سرویس active برای wikipg.com کجا ثبت شده است؟ در این قسمت dns می رود سراغ ntds.ditدر مرحله ی دوم dns جواب می دهد که برو سراغ 192.168.1.6 و این پاسخ را از روی رکورد هایی که برایش ثبت شده است می گوید. در مرحله ی سوم کلاینت سراغ active directory می رود در این قسمت برای کلاینت یک صفحه باز می شود یعنی آن را authorize کن یعنی user و بده که داخل شبکه ی من authorize باشد. پس باید قبل از اینکه join به domain شوید به ازای هر کلاینت یک user بسازید.اما چون هنوز طریقه ی ساختن user آموزش داده نشده است می توان همان username و password برای administrator را در domain وارد کرد.

در این مرحله اگر authentication مورد قبول بود به مرحله ی بعدی می رود.با هر user می توان join به domain را انجام داد اما administrator یک ویژگی دارد و این است که می تواند به صورت بی نهایت join به domain انجام دهد

.




QUOTA:


اگر user معمولی داشته باشیم حداکثر با آن user می توانیم 10 تا pc را join به domain کنیم در اینجا quota برابر با 10 است ولی برای administrator بی نهایت می باشد
.
• به صورت اتوماتیک به ازای کامپیوتر pc1 یک computer account در ntds.dit ساخته می شود.
• علاوه بر computer account یک رکورد داخل dns ایجاد می گردد



.
نکته:

هرگاه قبل از مرحله ی authentication با خطایی برخورد کردیم باید dns را چک کنیم یا یک اسم dns را Ping کنیم. برای مثالserver.wikipg.com اگر در این مرحله به ما reply داد در این صورت dns به درستی کار می کند. از مرحله ی authentication به بعد اگر با مشکل مواجه شدیم یعنی dc مشکل دارد. وباید آن را درنظر بگیریم. ویا ممکن است که رکورد را نمی تواند ثبت کند یا رکورد مشکل دارد و یا رکورد تکراری است. و یا اینکه user که در نظر گرفته اید pass آن مشکل دارد . اگر که پیغام welcome را نمایش داد یعنی مشکلی ندارد و باید کامپیوتر restart شود

.
هنگامی که سیستم restart می شود 2 عملیات به صورت اتوماتیک انجام می شود.

درواقع در پروسه ی restart شدن دو عملیات انجام می شود.

برای کامپیوتر یک computer account داخل dc ساخته می شود.

• در قسمت active directory user and computer یک قسمت داریم به نام computers که کامپیوتری که ساخته می شود در این قسمت اضافه می شود.
• به ازای این Pc که join به domain شده است یک dns ساخته میشود

.

.



Offline Domain Join

Offline Domain Join ابزاری است که برای Windows Server 2008 R2 و Windows 7 یا نسخ جدید تر ویندوز در دسترس است. با استفاده از این فرآیند برای Join شدن به Domain نیازی به برقراری ارتیاط با Domain Controller وجود ندارد. این ویژگی برای سایت هایی که دارای ارتباط شبکه با شبکه سازمانی نیستند در نظر گرفته شده است (همانند سایت های موقت)

به عنوان مثال ممکن است تعدادی ماشین مجازی (Virtual Machines) در یک Data Center ایجاد کرده باشید. با استفاده از Offline Domain Join این امکان پدید می آید که بدون هیچ Restart اضافی در اولین استارت آن ها عضو دامین شوند. مهمترین مزیت Offline Domain Join آن است که وضعیت عضویت در شبکه Active Directory بدون هیچ ترافیک شبکه ای تغییر می کند. چهار قدم اصلی برای انجام Offline Domain Join لازم است:




مرحله یک

روی یکی از کامپیوتر های دامین که Windows Server 2008 R2 یا Windows 7 دارد با یک اکانت که مجوز عضو کردن کامپیوتر ها را به دامین دارد Login کنید.




مرحله دو

از دستور DJoin در خط فرمان برای Provision (پیش بینی) کردن یک کامپیوتر برای Offline Join استفاده می کنیم. این دستور که در ادامه توضیح داده خواهد شد، در Active Directory اطلاعاتی که برای Join شدن لازم است را ایجاد می کند و دارای یک اطلاعات خروجی است که به آن در اصطلاح blob to a Text file گفته می شود. برای آنکه تصور کنید Blob to a text file با فایل -------encoded blob که کد شده است، چگونه است، تصویر زیر را ببینید.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

به صورت عمومی قالب دستور DJoin برای Provision به صورت زیر است:

djoin.exe /provision /domain DomainDNSName /machine ComputerName /savefile Filename

- پارامتر Provision یک اکانت کامپیوتر جدید در Active Directory ایجاد می کند. اگر اکانت موچود باشد، با استفاده از سوییچ /reuse یک اکانت موجود برای provision آماده می شود.

- DOmainDNSName اسم دامین است به عنوان مثال Contoso.com

- ComputerName نام کامپیوتر است برای پارامتر Provision یا Reuse

- FileName مسیر یا نام فایل در مسیر جاری است که فایل Blob to Text File در آن ساخته می شود.

برای مثال:

djoin.exe /provision /domain contoso.com /machine COMPUTER007 /savefile COMPUTER007_Join.txt

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

همچنین پارامتر های زیر در دسترس اند:

- پارامتر machineOU/ مشخص کننده ی OU ای است که در برگیرنده Computer Account است. باید به صورت DN وارد شود. (distinguished name)

- پارامتر dcname/ مشخص کننده دامین کنترلری است که کامپیوتر اکانت در آن ساخته شود.

- پارامتر downlevel/ مشخص کننده ی آن است که دامین کنترلر یک نسخه قدیمی تر از Windows Server 2008 R2 را اجرا می کند.





مرحله سه

در کامپیوتر آفلاینی که قصد عضو شدن دارد لازم است دستور DJoin را به همراه ورودی اطلاعات Blob to a Text File ایجاد شده در مرحله بعدی وارد کنیم. انتقال این فایل می تواند با استفاده از روش های آفلاین و یا روش هایی همانند ایمیل یا ذخیره سازی های ابری صورت گیرد. فراموش نکنید در هر روش انتقالی، امنیت فایل را در نظر بگیرید. البته اطلاعات این فایل رمزنگاری شده است، اما شامل اطلاعات حساسی همانند Computer Password و SID است.

در یک کامپیوتر که دارای سیستم عامل Windows 7 یا Window Server 2008 R2 است می توانید با استفاده از دستور DJoin آن را به عضویت دامین در بیاورید. برای این منظور، قالب عمومی دستور عبارت است از:

djoin.exe /requestODJ /loadfile Filename /windowspath %SystemRoot% /localos

- پارامتر requestODJ معین کننده است که قصد درخواست Offline Domain Join را از احرای DJoin داریمو

- پارامتر Filename مشخص کننده فایل مسیر و نام Blob to a text file است.

- پارامتر windowspath مشخص کننده مسیری است که ویندوز روی آن نصب شده است. متغییر %SystemRoot% این مسیر را به صورت پیش فرض تعیین می کند. همچنین متغییر %windir% نیز می تواند استفاده شود.

- پارامتر localos مشخص کننده آن است که عمل عضو شدن برای کامپیوتر local است و نه یک Offline Image

به عنوان مثال:

djoin.exe /requestODJ /loadfile COMPUTER007_Join.txt /windowspath %SystemRoot% /localos

اگر قصد داشته باشید که عملیات Offline Domain Join را برای کامپیوتری که هنوز Start نشده است، به عنوان مثال یک Virtual Machine جدید، لازم است که ابتدا هارد دیسک مجازی آن را زوی یک کامپیوتر دیگر Mount (یا Attach) کنید و سپس آن هارد دیسک به عنوان یک Volume دیگر روی ماشین جاری اضافه خواهد شد. اکنون با اجرای دستور زیر می توانید عملیات را انجام دهید:

djoin.exe /requestODJ /loadfile Filename /windowspath PathToWindowsFolder

توجه داشته باشید در این شرایط مقدار پارامتر WindowPath باید مسیر شاخه Windows برای هارد دیسک Attach شده باشد و از متغییر های پیشین نباید استفاده شود. همچنین سوییچ localos به دلیل اینکه OS در حال اجرا هدف نیست استفاده نشده است.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

مرحله چهار

زمانی که کامپیوتر را Restart یا Start می کنید، کامپیوتر به عنوان یک عضو دامین مبدل خواهد شد.
عضو شدن در دامین از طریق RODC

در Windows Server 2008 R2 امکان عضو شدن کامپیوتر ها از طریق RODC ها برای سایت هایی که دارای DC به صورت خواندنی – نوشتنی نیستند ایجاد شده است. اما برای این منظور لازم است:

۱) اکانت کامپیوتر و برخی ویژگی های لازم برای آن به صورت از قبل ساخته شده ایجاد شوند.

۲) ویرایش سیاست PRP در صورت لزوم برای آنکه Password کامپیوتری که ساخته اید روی RODC به صورت Cache نگه داری شود.

۳) Replication انجام شود. می تواند به صورت Force انجام شود.

۴) انتقال Password مربوطه برای کامپیوتری که قصد دارد به صورت offline عضو شود.

۵) اجرای یک اسکریپت با هدف آنکه RODC عضو شدن را کامل کند.



.

مروری بر سناریو عضویت آفلاین در دامنه:

عوضیت آفلاین در دامنه (Offline Domain Join) یک پروسه جدید است که برای کامپیوتر های دارای ویندوز 7 و ویندوز سرور 2008R2 قابل استفاده است، که در آن یک کامپیوتر را ، بدون ارتباط با دامین کنترلر، می توان به عضویت دامنه در آورد.


این قابلیت این امکان رو به مدیر سرور ها می ده تا در مواقعی که هیچ ارتباطی با شبکه شرکت شون نداره، کامپیوتر یا کامپیتر هایی رو به عضویت دامنه در بیاره! کاربرد این قابلیت در دیتاسنتر ها مشخص میشه.
برای مثال، اگر یک شرکت بخواد تعداد ماشین های مجازی شو در دیتا سنترش گسترش بده، این قابلیت به این شرکت این اجازه رو میده که ماشین های مجازی شون رو بلافاصله پس از نصب سیستم عامل، به عضویت دامنه دربیارن! برای کامل شدن عضویت نیز، نیاز به هیچ گونه ریست کردن اضافی کامپیوتر نیست! این پروسه به طور قابل توجهی مدت زمان مورد نیاز برای عضو کردن ماشین ها رو به دامنه، در تعداد زیاد ماشین های مجازی، کاهش میده!


زمان عضویت در یک دامنه، یک ارتباط مورد اعتماد (Trust Relationship) بین کامپیوتر که دارای سیستم ویندوز هست و یک دامین اکتیو دایرکتوری برقرار میشه! این عمل باعث ایجاد تغییراتی در سرویس دامنه اکتیو دایرکتوری یا (AD DS) و همچنین اون کامپیوتر که در حال عضویت هست، می شود. برای کامل شدن عضویت هم اون کامپیوتر باید بعدا با دامین کنترولر ارتباط برقرار کنه، در این صورت هست که پروسه عضویت کامل میشه!




پروسه عضویت آفلاین دامنه، مزیت های زیر رو داره:

1. تغییرات اکتیو دایرکتوری بدون هیچ گونه مصرف ترافیکی برای ارتباط با کامپیوتر عضو شده، انجام میشه!
2. تغییرات کامپیوتر عضو شده بدون هیچ گونه مصرف ترافیکی برای ارتباط با دامین کنترلر ، انجام میشه!
3. هر کدام از پروسه های تنظیم شدن تغییرات می توانند در زمان های مختلفی انجام شوند!

در زیر به توضیح بخشی دیگر از مزایای این عمل می پردازیم:

الف) کاهش کل هزینه مالکیت در دیتاسنتر ها (در مقاله بعدی کامل ترجمه می کنم)
ب) بهبود تجربه برای اجرا کردن عضویت دامنه بوسیله RODC یا همان Read Only Domain Controller
ج) استقرار سرمایه گذاری سریع

پیش نیاز ها برای اجرای عضویت آفلاین در دامنه

برای اجرای عضویت آفلاین در دامنه، شما نیاز به کمندهایی دارید که از ابزار جدیدی به نام Djoin.exe استفاده می کنند. از این ابزار برای آماده کردن کامپیوتر اکانت ها در سرویس دامنه اکتیو دایرکتوری AD DS استفاده میشه! همچنین شما از این ابزار برای انتقال اطلاعات کامپیوتر اکانت به کامپیوتر مقصد که می خواید عضو دامنش کنید، استفاده می کنید.

در عضویت آفلاین، تمام پروسه در یک بازه زمانی خاص به اتمام نمی رسه، بلکه کامپیوتر اکانت ساخته شده در سرویس اکتیو دایرکتوری ، در همان جا باقی می مونه ، مگر این که ادمین سرور تغییراتی بر روی اون ها انجام بده. هرچند بعضی از سازمان ها اسکریپت هایی رو روی سرور اجرا می کنند که هر 30 تا 60 روز کامیوتر اکانت های قدیمی یا اون هایی که مورد استفاده نیستند رو ، از این قسمت پاک می کنند.




پیش نیاز های سیستم عامل برای اجرای پروسه

شما از ابزار Djoin.exe تنها بر روی ویندوز 7 و سرور 2008R2 می توانید استفاده کنید.کامپیوتری که شما Djoin.exe رو برای تنظیم اطلاعات کامپیوتر اکانت روی AD DS انجام میده، باید دارای ویندوز 7 یا سرور 2008R2 باشه. کامپیوتری که می خواد به دامنه از طریق این قابلیت عضو بشه هم باید دارای یکی از این دو نوع سیتم عامل باشه.


اعتبارسنجی های مورد نیاز

برای این که شما بتوانید به وسیله یوزر خودتون، عمل عضویت آفلاین رو اجرا کنید، نیاز به یه سری اختیارات و مجوز ها دارین، اعضای گروه Domain Admins Group به صورت پیش فرض این اختیارات و توانایی ها رو دارن، اگر یوزر شما عضو این گروه نیست و می خواد که عمل عضویت آفلاین رو انجام بده باید یکی از کار های زیر رو بکنه:

1. استفاده از گروپ پالیسی برای دادن اختیارات مورد نظر به شما
2. ویرایش کردن لیست کنترل دسترسی ها (ACL) برای انجام عمل انتقال مجوز ها به شما (Delegate)
3. ساختن یک OU یا واحد سازمانی و ویرایش لیست کنترل دسترسی های اون به منظور دادن مجوز های Create chile - Allow

گر بر روی user کلیک راست کنیم قسمت های زیررا برای ما می آورد:





Copy :



اگر خواستیم یک user بسازیم که مشخصاتش با یک user که از قبل ساخته شده یکی باشد از این گزینه استفاده می کنیم. ولی آیتم هایی مثل اسم و فامیل که باید unique باشد را از ما می پرسد و user جدید سایر آیتم های مربوط به user قبلی را دارد در واقع اگر آن user در گروه هایی عضو باشد و یا یک سری permission روی آن تعریف شده باشد در این صورت user جدید که ساخته می شود سایر این ویژگی ها را دارد.برای مثال اگر ما بخواهیم یک user با سایر مشخصاتی که user test دارد داشته باشیم در این صورت بر روی user test کلیک راست کرده گزینه ی copy را انتخاب می کنیم سپس صفحه ی زیر باز می شود.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

در این صفحه که باز شده است سایر مشخصاتی که به صورت unique می باشد را وارد می کنیم.سپس گزینه ی next را انتخاب می کنیم.در صفحه ی جدید password را مشخص می کنیم.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

سپس گزینه ی next را انتخاب می کنیم.





Add to a group
:

Group مجموعه ای از user ها است و وقتی user را می سازیم باید عضو گروه یا گروه هایی شود. اگر بخواهیم user مورد نظر عضو گروه خاصی باشد در این صورت بر روی user کلیک راست کرده و گزینه ی add to a group را انتخاب می کنیم.در صفحه ای که باز می شود با انتخاب کردن advanced کادری باز می شود که سایر گروه ها در آن قرار دارد و مشخص می کنیم که user مورد نظر باید عضو کدام گروه قرار گیرد.

در قسمت enter the object names to select نام گروه مورد نظر را وارد می کنیم سپس میتوان گزینه ی checknames را انتخاب کنیم تا نام درست آن مشخص شود یا اگر بخواهیم کل گروه هایی که وجود دارد را ببینیم در این حالت بر روی گزینه ی advanced کلیک می کنیم در صفحه ای که باز می شود.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

دراین صفحه با انتخاب گزینه ی find now سایر گرو ه هایی که وجود دارد را برای ما می آورد و می توان یکی از این گروه ها را انتخاب کرد.و user مورد نظر را عضو هر یک از گروه هایی که در این لیست موجود است کرد.


Disable account:



با استفاده از این گزینه می توان یک user را برای مدتی به حالت disable در آورد. این گزینه در مواقعی کاربرد دارد که یک user برای مدتی می خواهد از سازمان برود ولی دوباره بر می گردد پس می توان آن را disable کرد.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

پس از انتخاب کردن این گزینه پیغام زیر نمایش پیدا می کند.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

وقتی این گزینه انتخاب شد اگر بخواهیم دوباره user را به حالت enable در بیاوریم دوباره بر روی آن کلیک راست کرده و این بار به جای گزینه ی disable گزینه ی enable وجود دارد.
Reset password:
اگر user در زمانی password خودش را فراموش کند می توان از این گزینه استفاده کرده و password آن راتغییر داد.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

در قسمت new password و confirm password میتوان مشخص کرد که password جدید چیست.
گزینه ی unlock
اگر این گزینه انتخاب شده باشد یعنی login آن lock شده است باید unlock شود تا بتواند login کند.
Move:
از ما می پرسد که به کجا منتقل کند مسیر را به آن می دهیم برای move کردن می توانیم از drag و drop هم استفاده کنیم


.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اگر گزینه ی move انتخاب شود دراین صورت صفحه ای باز می شود که در این صفحه میتوان مشخص کردن که این user را می خواهیم به کجا انتقال دهیم.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

Open home page: اگر داخل سازمان share point داشته باشیم می توانیم داخل آن صفحه webpage بسازیم.

send mail: اگرخواستیم برای یک user این گزینه را بزنیم باید آدرس email user در سازمانمان یک mail بفرستیم.


All tasks :در این قسمت یک گزینه دارد Resultant set of policy مجموعه policy هایی که به یک user اعمال شده است را نشان می دهد.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

گزینه properties یوزر در اکتیو دایرکتوری





اگر بر روی یک user که ساختیم کلیک راست کنیم به گزینه ی properties می رسیم
.

تب general

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اگر خواستیم یک user را که هیچ مشخصه ای از او نداریم به جز اسمش در صفحه ی
Active directory users and computers
یک دکمه در بالای صفحه شبیه به search وجود دارد آن ر که انتخاب کنیم صفحه ای باز می شود که می توانیم مشخص کنیم دنبال چه می گردیم مثلا user و جایش را از ما می پرسد مثل ou یا

admin

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

اطلاعاتی که دراین قسمت وجود دارد به درد search می خورد و زمانی که بخواهیم search انجام دهیم کار راحتتر می شود.
در تب آدرس: این قسمت هم به درد search می خورد.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

تب account
در این قسمت accounting را برای user مشخص می کنیم.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

همانطور که در این صفحه مشاهده می کنید در قسمت user logon name مشخص شده است که user چطور می تواند login کند ودر قسمت user logon name (pre windows 2000)در این قسمت هم فرمت 2000 آن مشخص شده است.





Logon hours

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

دراین قسمت نموداری وجود دارد که زمان های قابل استفاده برای user را مشخص می کند.همانطور که مشاهده می کنید رنگ آبی رنگ نشان دهنده ی این است که user مجاز است که در این ساعت ها login کند و رنگ سفید هم مشخص می کند که user اجازه ندارد login کند می توان از این قسمت مشخص کرد که در چه ساعاتی می شود login کرد و در چه ساعاتی نمی شود.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

logon to
در این قسمت می توان مشخص کرد که یک user از پشت کدام pc ها می تواند login کند.این سرویس با ntbios کار می کند پس حتما باید چک سرویس netbios روی کلاینتمان فعال باشد.

جای سرویس netbios




ابتدا باید وارد محیط network connection شویم که با تایپ کردن ncpa.cpl در قسمت run ویا search می توانیم وارد این محیط شویم.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

پس از ورود به این محیط باید بر روی کارت شبکه کلیک راست کنیم و گزینه ی properties را انتخاب کنیم.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

در صفحه ای که باز می شود باید بر روی ipv4 کلیک کنیم در صفحه ای که باز می شود در پایین صفحه بر روی advanced کلیک میکنیم .

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

در صفحه ای که باز می شود در قسمت netbios setting باید enable netbios over tcp/ip را فعال کنیم.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

unlock account




در تب account گزینه ای به نام unlock account وجود دارد گاهی اوقات در group policy تعریف می شود که user اگر چند بار password خود را اشتباه زدlock شود .اگر یوزر lock نشده باشد در این قسمت هیچ تیکی نمی خورد ولی اگر یوزر lock شود در این قسمت تیک می خورد.





account options
در تب acount گزینه ای به نام acount options وجود دارد که شامل بخش های زیر می باشد.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

• user must change password at next logon

اگر این گزینه در قسمت account options انتخاب شود در این صورت user هنگامی که login می کند باید password خود را عوض کند.

• User cannot change password

اگر این گزینه انتخاب شود یعنی user نتواند password خود را تغییر دهد.

• Password never expire

اگر این گزینه انتخاب شود password هیچگاه منقضی نمی شود.

• Store password using reversible encryption

هر user که داخل ntds.dit ذخیره می شود کاملا hash می شود.اگر خواستیم level امنیتی پایین بیاید و فقط pass ها encrypt شود ولی hash نشود از این گزینه استفاده می کنیم.Hash یک عملیات یک طرفه است .

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

• Account is disabled

گاهی اوقات ممکن است که یک user برای مدتی از سازمان برود در این صورت با انتخاب کردن گزینه ی account is disabled می توان آن را غیر فعال کرد.

• Smart card is required for interactive logon

اگر یک user بخواهد توسط smartcard دباید اینجا گفته شود که authentication آن بر اساس smartcard است.

• Account is sensitive and can not be delegated

گاهی می خواهیم account که ساختیم sensitive باشد یعنی اگر M در user Mina را بزرگ زدیم حتما M بزرگ را از ما بخواهد اما اگر این گزیه فعال شود delegation برای آن user فعال نیست.

[ برای مشاهده لینک ، با نام کاربری خود وارد شوید یا ثبت نام کنید ]

• Use kerbros DES encryption typs for this account

2نوع authentication protocol داریم.که به ما کمک می کند که اطلاعات مربوط به authentication که فرستاده ا یم امن شود.




Remote authentication protocol


در مواقعی که دسترسی remote داریم و خارج از شبکه lan به درد ما می خورد. مثلا درvpn ها و user های dialup چون سرویس vpn به صورت remote است و از شبکه wan استفاده می کند.از جمله از این پروتکل ها می توان pap,spap,chap,mschap,mschap2,eap را نام برد.مفهوم remote یعنی از طریق یک wan با آن در ارتباط هستید.





Local authentication protocol


جایی که شبکه ی domain داریم و اطلاعات از طریق شبکه local مبادله می شوند.مهمترین این پروتکل ها ntlmv1 و ntlmv2 و Kerberos میباشند که این پروتکل ها یک سری الگوریتم های hashing و encryption دارند که اطلاعات را encrypt می کنند.Des لول امنیتی کمتری نسبت به 3des دارد و Kerberos v5 از3des استفاده می کند. برای پایین آوردن لول امنیتی از 3des استفاده می شود.

• Do not require Kerberos preauthentication

هر زمان که Kerberos می خواهد run شود ابتدا یک authentication اولیه انجام می دهد و بعد اطلاعات فرستاده می شود. این کار برای لول امنیتی بالاتر انجام می گیرد. اگر این تیک را بزنیم می گوید که pre authentication انجام نشود.

• account expire

در این قسمت مشخص می شود که account هیچگاه منقضی نشود و یا در تاریخ خاصی که مشخص می کنیم منقضی شود.که این تاریخ را در قسمت Endof مشخص می کنیم.