Развертывание домена. Что такое Active Directory – как установить и настроить
В Windows Server 2016 появились новые довольно интересные новые функции, такие как временное членство в группах AD, Privileged Access Management и т.д. Постараюсь описать их более подробно в следующих статьях. В этой статье я покажу, как установить домен Active Directory в Windows Server 2016. Для установки AD, сервер по минимальным требованиям должен соответствовать следующим условиям:
Процессор :
- 64-битный процессор с частотой не менее 1,4 Ггц
- поддержка NX, DEP, CMPXCHG16b, LAHF/SAHF, PrefetchW, Second Level Address Translation (EPT или NPT)
Память
- не менее 512 Мб (для Server Core и Nano редакций), 2 Гб для версии Windows Server с GUI
- поддержка ECC (Error Correcting Code) или аналогов
Дисковый контроллер и требования к месту:
Дисковый контроллер для установки Windows Server 2016 должен быть совместим со спецификацией PCI Express. Windows Server 2016 не позволяет использовать диски ATA/PATA/IDE/EIDE для загрузки, хранения файла подкачки или дисков с данными
Минимальный размер раздела на систему: 32 Гб
Сетевой адаптер :
- сетевой адаптер Ethernet с пропускной способностью не менее 1 Гб/с
- Совместимость с архитектурой PCI Express
- поддержка PXE (-boot Execution Environment)
- Желательна (но не обязательно) поддержка сетевой отладки (KDNet)
В этом примере я использую виртуальную машину, запущенную на сервере VMWare ESXi, на которую и уставлена Windows Server 2016.
1) Войдите на сервер под локальным администраторов. На сервер кроме роли также будет установлена служба DNS . Изменим настройки сетевого интерфейса, указав в качестве первичного DNS сервера собственный IP адрес севера или адрес 127.0.0.1.
2) Затем откройте Server Manager, нажав на соответствующий значок или выполнив в консоли PowerShell команду .
3) В окне Server Manager нажмите
4) В окне мастера добавления ролей и компонентов нажмите Next .
5) В следующем окне нажмите Next
6) Т.к. установка выполняется на локальный сервер, в следующем окне оставьте переключатель в исходном положении и нажмите Next
7) В следующем окне в списке ролей выберите Active Directory Domain Services . В открывшемся окне появится список ассоциированных компонентов, которые должны быть установлены вместе с ролью ADDS. Нажмите кнопку Add features , а затем Next .
8) В списке компонентов уже должны быть отмечены требуемые для установки компоненты. Нажмите Next .
9) В следующем окне приведено небольшое описание роли AD DS . Нажмите Next.
10) Ознакомьтесь со списком выбранных для установки ролей и компонентов. Для начала установки нажмите кнопку Install .
11) На экране будет отображаться текущий статус процесса установки 
12) После окончания установки, нажмите на ссылку
13) Запустите мастер настройки Active Directory. В моем случае я устанавливаю новый лес AD. В том случае, если вы добавляете дополнительный контроллер домена в существующий домен, выберите соответствующую опцию. Я же выбираю опцию Add a new forest и указывают FQDN имя домена (test.net).
14) В следующем окне нужно указать функциональный уровень домена и леса AD. Я выбрал последнюю версию схемы AD – Windows Server 2016 . Кроме того, этот сервер будет выступать сервером DNS и являться Global Catalog. Также нужно указать пароль администратора для входа в DSRM режим.
15) Т.к. мой сервер будет первым DNS сервером в лесу, нет необходимости настраивать делегацию DNS. Поэтому просто нажмите Next .
16) NETBIOS имя домена оставим без изменений (TEST)
17) На следующем экране нужно указать путь к каталогам NTDS, SYSVOL и LOG . Мы оставим все пути по-умолчанию, предполагая, что все папки будут храниться в каталоге системного диска C:\Windows.
18) На следующем экране можно ознакомиться со списком выбранных настроек. Если все OK, нажмите Next, если нет – вернитесь назад и внесите изменения.
20) Запустится процесс установки контроллера домена
21) После окончания установки, сервер автоматически перезагрузится. Войдите на сервер под учетной записью администратора домена.
22) После входа, запустите привилегированную сессию powershell и выполните команду . Откроется окно центра администрирования Active Directory (Administrative Center). Можно начинать управлять ресурсами домена
23) С помощью следующих команду можно узнать текущий функциональный уровень домена и леса команд Get-ADDomain | fl Name,DomainMode и Get-ADForest | fl Name,ForestMode
Active Directory (AD) — это служебные программы, разработанные для операционной системы Microsoft Server. Первоначально создавалась в качестве облегченного алгоритма доступа к каталогам пользователей. С версии Windows Server 2008 появилось интеграция с сервисами авторизации.
Дает возможность соблюдать групповую политику, применяющую однотипность параметров и ПО на всех подконтрольных ПК с помощью System Center Configuration Manager.
Если простыми словами для начинающих – это роль сервера, которая позволяет из одного места управлять всеми доступами и разрешениями в локальной сети
Функции и предназначения
Microsoft Active Directory – (так называемый каталог) пакет средств, позволяющий проводить манипуляции с пользователями и данными сети. Основная цель создания – облегчение работы системных администраторов в обширных сетях.
Каталоги содержат в себе разную информацию, относящуюся к юзерам, группам, устройствам сети, файловым ресурсам — одним словом, объектам. Например, атрибуты пользователя, которые хранятся в каталоге должны быть следующими: адрес, логин, пароль, номер мобильного телефона и т.д. Каталог используется в качестве точки аутентификации , с помощью которой можно узнать нужную информацию о пользователе.
Основные понятия, встречающиеся в ходе работы
Существует ряд специализированных понятий, которые применяются при работе с AD:
- Сервер – компьютер, содержащий все данные.
- Контроллер – сервер с ролью AD, который обрабатывает запросы от людей, использующих домен.
- Домен AD - совокупность устройств, объединенных под одним уникальным именем, одновременно использующих общую базу данных каталога.
- Хранилище данных — часть каталога, отвечающая за хранение и извлечение данных из любого контроллера домена.
Как работают активные директории
Основными принципами работы являются:
- Авторизация , с помощью которой появляется возможность воспользоваться ПК в сети просто введя личный пароль. При этом, вся информация из учетной записи переносится.
- Защищенность . Active Directory содержит функции распознавания пользователя. Для любого объекта сети можно удаленно, с одного устройства, выставить нужные права, которые будут зависеть от категорий и конкретных юзеров.
- Администрирование сети из одной точки. Во время работы с Актив Директори сисадмину не требуется заново настраивать все ПК, если нужно изменить права на доступ, например, к принтеру. Изменения проводятся удаленно и глобально.
- Полная интеграция с DNS . С его помощью в AD не возникает путаниц, все устройства обозначаются точно так же, как и во всемирной паутине.
- Крупные масштабы . Совокупность серверов способна контролироваться одной Active Directory.
- Поиск производится по различным параметрам, например, имя компьютера, логин.
Объекты и атрибуты
Объект - совокупность атрибутов, объединенных под собственным названием, представляющих собой ресурс сети.
Атрибут — характеристики объекта в каталоге. Например, к таким относятся ФИО пользователя, его логин. А вот атрибутами учетной записи ПК могут быть имя этого компьютера и его описание.
“Сотрудник” – объект, который обладает атрибутами “ФИО”, “Должность” и “ТабN”.
Контейнер и имя LDAP
Контейнер — тип объектов, которые могут состоять из других объектов . Домен, к примеру, может включать в себя объекты учетных записей.
Основное их назначение — упорядочивание объектов по видам признаков. Чаще всего контейнеры применяют для группировки объектов с одинаковыми атрибутами.
Почти все контейнеры отображают совокупность объектов, а ресурсы отображаются уникальным объектом Active Directory. Один из главных видов контейнеров AD - модуль организации, или OU (organizational unit). Объекты, которые помещаются в этот контейнер, принадлежат только домену, в котором они созданы.
Облегченный протокол доступа к каталогам (Lightweight Directory Access Protocol, LDAP) - основной алгоритм подключений TCP/IP. Он создан с целью снизить количество нюанс во время доступа к службам каталога. Также, в LDAP установлены действия, используемые для запроса и редактирования данных каталога.
Дерево и сайт
Дерево доменов – это структура, совокупность доменов, имеющих общие схему и конфигурацию, которые образуют общее пространство имен и связаны доверительными отношениями.
Лес доменов – совокупность деревьев, связанных между собою.
Сайт - совокупность устройств в IP-подсетях, представляющая физическую модель сети, планирование которой совершается вне зависимости от логического представления его построения. Active Directory имеет возможность создания n-ного количества сайтов или объединения n-ного количества доменов под одним сайтом.
Установка и настройка Active Directory
Теперь перейдем непосредственно к настройке Active Directory на примере Windows Server 2008 (на других версиях процедура идентична):
Нажать на кнопку “ОК”. Стоит заметить, что подобные значения не обязательны. Можно использовать IP адрес и DNS из своей сети.
- Далее нужно зайти в меню “Пуск”, выбрать “Администрирование” и “”.
- Перейти к пункту “Роли”, выбрать поле “Добавить роли
”.
- Выбрать пункт “Доменные службы Active Directory” дважды нажать “Далее”, а после “Установить”.
- Дождаться окончания установки.
- Открыть меню “Пуск”-“Выполнить
”. В поле ввести dcpromo.exe.
- Кликнуть “Далее”.
- Выбрать пункт “Создать новый домен в новом лесу
” и снова нажать “Далее”.
- В следующем окне ввести название, нажать “Далее”.
- Выбрать режим совместимости
(Windows Server 2008).
- В следующем окне оставить все по умолчанию.
- Запустится окно конфигурации
DNS
. Поскольку на сервере он не использовался до этого, делегирование создано не было.
- Выбрать директорию для установки.
- После этого шага нужно задать пароль администрирования .
Для надежности пароль должен соответствовать таким требованиям:
После того как AD завершит процесс настройки компонентов, необходимо перезагрузить сервер.
Настройка завершена, оснастка и роль установлены в систему. Установить AD можно только на Windows семейства Server, обычные версии, например 7 или 10, могут позволить установить только консоль управления.
Администрирование в Active Directory
По умолчанию в Windows Server консоль Active Directory Users and Computers работает с доменом, к которому относится компьютер. Можно получить доступ к объектам компьютеров и пользователей в этом домене через дерево консоли или подключиться к другому контроллеру.
Средства этой же консоли позволяют просматривать дополнительные параметры объектов и осуществлять их поиск, можно создавать новых пользователей, группы и изменять из разрешения.
К слову, существует 2 типа групп в Актив Директори – безопасности и распространения. Группы безопасности отвечают за разграничение прав доступа к объектам, они могут использоваться, как группы распространения.
Группы распространения не могут разграничивать права, а используются в основном для рассылки сообщений в сети.
Что такое делегирование AD
Само делегирование — это передача части разрешений и контроля от родительского объекта другой ответственной стороне.
Известно, что каждая организация имеет в своем штабе несколько системных администраторов. Разные задачи должны возлагаться на разные плечи. Для того чтобы применять изменения, необходимо обладать правами и разрешениями, которые делятся на стандартные и особые. Особые — применимы к определенному объекту, а стандартные представляют собой набор, состоящий из существующих разрешений, которые делают доступными или недоступными отдельные функции.
Установка доверительных отношений
В AD есть два вида доверительных отношений: «однонаправленные» и «двунаправленные». В первом случае один домен доверяет другому, но не наоборот, соответственно первый имеет доступ к ресурсам второго, а второй не имеет доступа. Во втором виде доверие “взаимное”. Также существуют «исходящие» и «входящие» отношения. В исходящих – первый домен доверяет второму, таким образом разрешая пользователям второго использовать ресурсы первого.
При установке следует провести такие процедуры:
- Проверить сетевые связи между котроллерами.
- Проверить настройки.
- Настроить разрешения имен для внешних доменов.
- Создать связь со стороны доверяющего домена.
- Создать связь со стороны контроллера, к которому адресовано доверие.
- Проверить созданные односторонние отношения.
- Если возникает небходимость в установлении двусторонних отношений – произвести установку.
Глобальный каталог
Это контроллер домена, который хранит копии всех объектов леса. Он дает юзерам и программам способность искать объекты в любом домене текущего леса с помощью средств обнаружения атрибутов , включенных в глобальный каталог.
Глобальный каталог (ГК) включает в себя ограниченный набор атрибутов для каждого объекта леса в каждом домене. Данные он получает из всех разделов каталога доменов в лесу, они копируются с использованием стандартного процесса репликации службы Active Directory.
Схема определяет, будет ли атрибут скопирован. Существует возможность конфигурирования дополнительных характеристик , которые будут создаваться повторно в глобальном каталоге с помощью “Схемы Active Directory”. Для добавления атрибута в глобальный каталог, нужно выбрать атрибут репликации и воспользоваться опцией “Копировать”. После этого создастся репликация атрибута в глобальный каталог. Значение параметра атрибута isMemberOfPartialAttributeSet станет истиной.
Для того чтобы узнать местоположение глобального каталога, нужно в командной строке ввести:
Dsquery server –isgc
Репликация данных в Active Directory
Репликация — это процедура копирования, которую проводят при необходимости хранения одинаково актуальных сведений, существующих на любом контроллере.
Она производится без участия оператора . Существуют такие виды содержимого реплик:
- Реплики данных создаются из всех существующих доменов.
- Реплики схем данных. Поскольку схема данных едина для всех объектов леса Активных Директорий, ее реплики сохраняются на всех доменах.
- Данные конфигурации. Показывает построение копий среди контроллеров. Сведения распространяются на все домены леса.
Основными типами реплик являются внутриузловая и межузловая.
В первом случае, после изменений система находится в ожидании, затем уведомляет партнера о создании реплики для завершения изменений. Даже при отсутствии перемен, процесс репликации происходит через определенный промежуток времени автоматически. После применения критических изменений к каталогам репликация происходит сразу.
Процедура репликации между узлами происходит в промежутках минимальной нагрузки на сеть, это позволяет избежать потерь информации.
Добрый день уважаемые читатели блога сайт, сегодня хочется рассказать в данной статье как установить контроллер домена. Когда то я тоже начинал мечтать об админстве, и на первой же работе я увидел, что же такое AD, осознал всю мощь MS:). Шло время я немного вырос в своих глазах в профессиональном плане и решил сделать тестовый стенд, о том как его делать будет отдельная статья, и первое что я решил попробовать поставить свой домен.
Когда вы уже поставили windows server 2008R2 все обновили настроили статику назвали свой компьютер как нужно (), у меня это будет для примера DC, то можно приступать.
Как установить active directory
Открываем Диспетчер сервера, это централизованный и краеугольный инструмент Microsoft по добавлению ролей, но все тоже самое можно сделать и через powershell. Нажимаем добавить роли
Откроется мастер со справочной информацией, жмем далее. Советую сразу поставить снизу галку, пропустить эту страницу, я сомневаюсь, что вы будите ее читать.
Выбираем Доменные службы Active Directory.
В следующем окне нас подробно познакомят c Active directory, жмем ДАлее
Жмем установить. Процесс быстрый буквально пару минут.
Видим, что Active Directory установилась успешно
После установки в диспетчере ролей мы видим ошибку и ее текст, мол введите в пуске dcpromo.exe и будут вам счастье, так и поступим.
Открываем пуск и пишем dcpromo.exe
Создаем новый домен в новом лесу.
Придумываем имя нашего домена, я выбрал contoso.com в целях тестового тестирования, вам же хочу посоветовать прочитать статью как правильно выбрать имя домена Active Directory,
Начнется проверка уникальности имени нового леса.
Выбираем режим работы домена windows server 2003 , я выбрал этот режим для того чтобы показать как поднимается режим работы, вы же выбирайте сразу 2008R2, чтобы получить все его преимущества о которых позже.
Выбираем уровень леса тоже windows server 2003 по тем же причинам.
Спросят про делегирование, жмем ДА.
В следующем окне, нам покажут и предложат папки размещения Базы данных.
Попросят придумать и ввести пароль Администратор, пароль должен включать в себя большую букву, маленькую и цифру и быть не менее 6 символов.
После перезагрузки посмотрим в диспетчере сервера какие события произошли и нет ли там ошибок.
Иногда может получиться что сеть видится не как доменная, а как неопознанная. Это происходит когда в настройках ip прописывается днс сервер вида 127.0.0.1. Его нужно сменить на нормальный вида 10.10.10.1.
После чего выключим и включим интерфейс, увидим что все ок и сеть определилась как доменная.
Добрый день , сегодня я познакомлю Вас с установкой роли AD (Active Directory) и DC (домен контроллера) на новой серверной операционной системе от компании Microsoft – Windows Server 2012 R2. Для начала изменяем имя нашего сервера исходя из регламента именования ПК и серверов в организации, или присваиваем его исходя из своих пожеланий. Для своего сервера я присвоил имя test server. Именно с этим именем наш сервер будет отображаться в сети. Затем выполняем следующие шаги:Заходим в диспетчер серверов:
Переходим во вкладку добавить роли и компоненты
Нажимаем далее
Выбираем установка ролей и компонентов и нажимаем далее
Выбираем сервер на который хотим установить нашу роль и нажимаем далее
Выбираем следующую роль: Доменные службы
Active
Directory
и нажимаем далее
Подтверждаем добавление компонентов необходимых для установки роли Доменных служб Active Directory
Оставляем как есть или добавляем необходимые компоненты для установки, нажимаем далее
Нажимаем кнопку установить
После установки переходим в диспетчер сервера и видим в установленных ролях
Переходим в раздел управляемость
Нажимаем перейти к AD DS
Переходим во вкладку подробнее
Начинаем развертывание домена контроллера на нашем сервере. Выбираем вкладкудобавить новый лес и присваиваем имя для нашего домена, затем нажимаем далее
Выбираем режим работы леса и домена, ставим пароль для режима восстановления служб каталогов и нажимаем далее
Выбираем NetBIOS имя для нашего домена и нажимаем далее
Начинается процесс проверки предварительных требований, по окончанию которого нажимаем установить
После установки проверяем:
Если вы все проделали правильно, вы увидите, что прошла смена рабочей группы Workgroup на домен.
В данной статье мы рассмотрим установку контроллера Active Directory под Windows 2008 R2 с подготовкой и будем считать, что до нас служба доменных имен не была развернута. А наш контроллер домена будет первым. Все ниже перечисленные действия мы выполняем из-под Администратора.
Для начала необходимо установить IP адрес сетевому адаптеру. Для нашего случая мы задали адрес 192.168.1.5, маску подсети 255.255.255.0 и в качестве предпочитаемого DNS свой IP или 127.0.0.1. Эти настройки мы прописываем для сети со статическим IP адресом.
Переменнуем компьютер так, чтобы было понятно, что за зверь. Для этого: жмем правой кнопкой мыши по Мой компьютер –> Свойства –> Справа снизу жмем Изменить параметры –> на вкладке Имя компьютера кликаем на Изменить .
Перегружаем сервер.
Нажимаем ПУСК –> Администрирование –> Диспетчер сервера . Возле пункта Роли ищем кнопку Добавить роли , нажимаем. В появившемся окне нажимаем Далее , ставим галочку на Доменные службы Active Directory . Ждем окончания установки.
Ждем установки
Заходим ПУСК
–> Выполнить
. В появившемся окне пишем dcpromo.exe
.
Откроется установщик Active Directory.
Далее
Так как у нас производится установка AD с нуля, то необходимо создать новый лес
.
Далее впишем имя нашего домена.
На следующем этапе необходимо выбрать режим совместимости. Если в Вашем домене не будет других сервером кроме как Windows 2008 R2 – можно выбрать соответствующий режим.
На следующем шаге оставляем все по умолчанию.
Так как на нашем сервере DNS ранее не использовался, то и делегирование создано не было.
Следующим этапом необходимо выбрать папку для хранения системных файлов.
Устанавливаем пароль администрирования.
ВНИМАНИЕ! Пароль должен отвечать требованиям политики безопасности. По умолчанию, он должен содержать:
— Цифры;
— Спецсимволы;
— Буквы латинского алфавита (заглавные и прописные);
Следующий этап Далее.
Active Directory устанавливает и настраивает компоненты. Иногда это может занять некоторое время.
После чего, ОБЯЗАТЕЛЬНО
перегружаем сервер.
На следующем этапе необходимо установить и настроить DHCP-сервер
.
Заходим в Диспетчер сервера
, снова жмем Добавить роль
. Ставим галку на DHCP-сервер
. Ниже будут показаны только основные шаги.
Был произведен автоматический поиск активных сетевых адаптеров. IP добавлены автоматически. Если у вас динамические IP адреса ситуация будет совсем иная, начнут возникать проблемы).
Прописываем статический IP адрес .
IPv6 в нашей сети не используется, поэтому данная опция была отключена.
На этом этапе выбираем ту учетную запись, под которой выполнялась установка Active Directory. В будущем это позволит избежать непонятных ситуаций и путаниц.
