Mạng máy tính_Active Directory

PowerPoint Template Add your company slogan dungnc2000@yahoo.com Còn gọi là mô hình Peer-to-Peer Các máy trong mạng có vai trò như nhau Dữ liệu tài nguyên được lưu trữ phân tán tại các máy cục bộ Các máy tự quản lý tài nguyên của mình Hệ thống mạng không có máy chuyên dụng để quản lý và cung cấp dịch vụ Phù hợp mạng nhỏ, bảo mật không cao Các máy tính sử dụng hệ điều hành hỗ trợ đa người dùng Lưu trữ thông tin người dùng trong tập tin SAM (Security Accounts Manager) ngay trên máy tính cục bộ Việc chứng thực tài khoản người dụng cũng do máy cục bộ đảm nhiệm dungnc2000@yahoo.com Hoạt động theo cơ chế Client-Server Trong hệ thống mạng phải có ít nhất 1 máy tính làm chức năng điều khiển vùng (Domain Controler), điều khiển toàn bộ hoạt động của hệ thống mạng Việc chứng thực người dùng và quản lý tài nguyên mạng được tập trung lại tại các Server trong miền Mô hình này ứng dụng trong các công ty vừa và lớn Các thông tin người dùng được tập trung lại do dv Active Directory quản lý và được lưu trữ trên Domain Controler với tên file là NTDS.DIT, có thể lưu trữ thông tin của hàng triệu người dùng Việc đăng nhập vào mạng cũng tập trung lại và do Domain Controler chứng thực dungnc2000@yahoo.com Các bước chứng thực khi người dùng đăng nhập User Domain Controler AD dungnc2000@yahoo.com Về căn bản Active Directory là một cơ sở dữ liệu của các tài nguyên trên mạng và các thông tin liên quan đến đối tượng đó. Để có thể quản lý được 1 hệ thống mạng lớn, ta thường phải phân chia nó thành nhiều Domain rồi thiết lập các mối quan hệ uỷ quyền thích hợp. AD giải quyết được các vấn đề như vậy và cung cấp một mức độ ứng dụng mới cho môi trường. Lúc này dịch vụ thư mục trong mỗi domain có thể lưu trữ hơn 10 triệu đối tượng, đủ để phục vụ hơn 10 triệu người dùng trong mỗi domain. Giôùi thieäu dungnc2000@yahoo.com Lưu giữ một danh sách tập trung các tên tài khoản người dùng, mật khẩu tương ứng và các tài khoản máy tính Cung cấp 1 Server đóng vai trò chứng thực (authentication server) hoặc server quản lý đăng nhập (logon server), Server này còn được gọi là Domain Controler (máy điều khiển vùng). Duy trì 1 bảng hướng dẫn hay 1 bảng chỉ mục (Index) giúp các máy tính trong mạng dò tìm nhanh 1 tài nguyên nào đó trên các máy tính khác trong vùng. Cho phép tạo những tài khoản người dùng với những mức độ quyền (right) khác nhau. Cho phép ta chia nhỏ miền của mình ra thành nhiều miền con (Subdomain) hay các đơn vị tổ chức OU (Organizational Unit) rồi uỷ quyền cho các quản trị viên bộ phận quản lý Chöùc naêng dungnc2000@yahoo.com Directory Service (dịch vụ danh bạ) là hệ thống thông tin chứa trong NTDS.DIT, các chương trình quản lý khai thác tập tin này dungnc2000@yahoo.com Object (đối tượng) : Trong h.thống CSDL, đối tượng bao gồm các máy in, người dùng, các Server, các máy trạm, thư mục dùng chung, dịch vụ mạng… đối tượng là thành tố căn bản nhất của dịch vụ danh bạ. Attribute (thuộc tính) : Dùng để mô tả một đối tượng. Ví dụ: mật khẩu và tên là thuộc tính của người dùng. Các đối tượng khác nhau có danh sách thuộc tính khác nhau, nhưng cũng có thể có một vài thuộc tính giống nhau. (vd: cùng có 1 đc IP). Schema (cấu trúc tổ chức) : một Schema định nghĩa các danh sách thuộc tính dùng mô tả 1 loại đối tượng nào đó. Schema có thể tuỳ biến sửa đổi được. Caùc thaønh phaàn trong Directory Services dungnc2000@yahoo.com Container (vật chứa): tương tự với khái niệm thư mục trong Windows. Một vật chứa có thể chứa các đối tượng và vật chứa khác. Nó cũng có thuộc tính như các đối tượng. Có 3 loại : Domain: Sẽ trình bày ở phần sau. Site : một Site là 1 vị trí, dùng phân biệt giữa vị trí cục bộ và vị trí ở xa. OU (Organizational Unit) : là loại vật chứa mà bạn có thể đưa vào đó người dùng, nhóm, máy tính, máy in và những OU khác…Một OU không thể chứa các đối tượng trong Domain khác Global Catalog : Dùng để xác định vị trí của đối tượng mà người dùng được cấp quyền truy cập. Việc tìm kiếm được thực hiện bằng tên và cả bằng thuộc tính Caùc thaønh phaàn trong Directory Services (tt) dungnc2000@yahoo.com Domain là đơn vị chức năng nòng cốt của cấu trúc Active Directory. Nó là một tập hợp những người dùng, máy tính tài nguyên chia sẻ có những quy tắc bảo mật giống nhau, giúp cho việc truy cập vào Server dể dàng hơn. Domain đáp ứng 3 chức năng chính sau: Common security policy Đóng vai trò như 1 khu vực quản trị các đối tượng có chung một cơ sở dữ liệu, thư mục dùng chung, các chính sách bảo mật, các quan hệ uỷ quyền với các domain khác dungnc2000@yahoo.com Domain controler Domain controler Domain controler Giúp chúng ta quản lý bảo mật các tài nguyên chia sẻ Cung cấp các Server dự phòng làm chức năng điều khiển vùng Đồng thời đảm bảo dữ liệu trên các Server này đồng bộ với nhau dungnc2000@yahoo.com Bao gồm nhiều domain được sắp xếp theo cấu trúc hình cây. Domain tạo ra đầu tiên gọi là Domain Root và nằm ở gốc của cây thư mục, các domain tạo ra sau sẽ nằm bên dưới và được gọi là domain con (Child domain) Tên các domain phải khác biệt nhau thbk.com pm1.thbk.com pm2.thbk.com Domain con dungnc2000@yahoo.com Domain Domain Ofject Forest Domain Tree Organizational Unit dungnc2000@yahoo.com Forest (rừng) được xây dựng trên 1 hoặc nhiều Domain Tree, là tập hợp các Domain Tree có thiết lập mối quan hệ và uỷ quyền cho nhau. dungnc2000@yahoo.com dungnc2000@yahoo.com Theo mặc định các máy Windows Server khi mới cài đặt đều là Server độc lập (Standalone Server). Chương trình DCPROMO chính là Active Directory Installation Wizard và được dùng để nâng cấp một Server độc lập lên thành một Domain Controler (DC) và ngược lại giáng cấp 1 DC thành 1 Server bình thường Đối với Win2k3 thì ta có thể đổi tên Server khi đã nâng cấp lên DC Phải khai báo đầy đủ thông số TCP/IP trước khi nâng cấp, đặc biệt là phải khai báo DNS Server có địa chỉ là chính đc IP của server đang nâng cấp Nên cài dv DNS trước khi nâng cấp thành DC,còn không thì chọn cài DNS tự động trong quá trình nâng cấp dungnc2000@yahoo.com Từ menu Start  Run, nhập dcpromo nhấn OK Hộp thoại Active Directory Installation Wizard xuất hiện, nhấn Next để tiếp tục. dungnc2000@yahoo.com Chương trình xuất hiện hộp cảnh báo : DOS, Windows 95 và WinNT SP3 trở về trước sẽ bị loại ra khỏi miền AD. Chọn Next để tiếp tục dungnc2000@yahoo.com Để tạo 1 miền mới ta để mặc định, nhấn Next dungnc2000@yahoo.com Tại đây ta có 3 lựa chọn Domain đầu tiêntrong 1 rừng mới Domain con trong 1 domain có sẳn Một Domain Treetrong một rừng đã có sẵn dungnc2000@yahoo.com Nhập tên DNS đầy đủ của domain ta cần xây dựng dungnc2000@yahoo.com Nhập tên domain theo chuẩn NetBIOS để tương thích với các máy WinNT, thường thì ta nên để mặc định. Nhấn Next dungnc2000@yahoo.com Chỉ vị trí lưu trữ database AD và các tập tin log, để mặc định hoặc chỉ vị trí khác tuỳ ta dungnc2000@yahoo.com Chỉ định vị trí của thư mục SYSVOL. Thư mục này phải nằm trên partition NTFS Các dữ liệu đặttrong thư mụcnày sẽ được tựđộng sao chépsang các domainkhác trong miềnNhấn Next để tiếp tục dungnc2000@yahoo.com Nếu dv DNS chưa được cài đặt, ta sẽ lựa chọn lựa chọn thứ 2 để hệ thống tự động cài dv DNS dungnc2000@yahoo.com Nếu trên hệ thống có các Server thuộc phiên bản trước Server 2000 Nếu hệ thống chỉ toàn Server 2000 và 2003 dungnc2000@yahoo.com Nhập mật khẩu dùng trong trường hợp Server phải khởi động vào chế độ Directory Services Restore Mode. Nhấn Next dungnc2000@yahoo.com Hộp thoại tóm tắt xuất hiện, hiển thị tất cả các thông tin ta đã chọn. Nếu đúng nhấn Next để tiến hành cài đặt dungnc2000@yahoo.com Hộp thoại Configuring Active Directory cho thấy quá trình cài đặt đang thực hiện những gì, có thể chiếm nhiều thời gian và có thể bạn phải chỉ nguồn cài đặt nếu chương trình không tìm thấy dungnc2000@yahoo.com Hộp thoại Completing the Active Diretory Installation Wizard xuất hiện, nhấn Finish để kết thúc dungnc2000@yahoo.com dungnc2000@yahoo.com Tạo một mối quan hệ tin cậy (Trust relationship) giữa máy trạm và domain trong vùng. Việc logon vào mạng trên máy trạm này sẽ do Domain Controler đảm nhiệm. Việc gia nhập miền phải có sự đồng ý của Admin cấp miền và Admin cục bộ trên máy trạm đó. Thường thì ta dùng luôn tài khoản Administrator để gia nhập vào domain. dungnc2000@yahoo.com Đăng nhập vào máy cục bộ với tài khoản quản trị (có thể dùng trực tiếp tài khoản Administrator). Right click trên biểu tượng My Computer  Properties Trong Tab ComputerName, click vào nút Change dungnc2000@yahoo.com Hộp thoại nhập liệu xuất hiện, nhập tên miền của mạng cần gia nhập vào mục Member of Domain dungnc2000@yahoo.com dungnc2000@yahoo.com Máy trạm dựa vào tên miền ta khai báo tìm đến Domain Controler gần nhất để xin gia nhập mạng. Server kết nối sẽ gởi đến yêu cầu ta phải xác thực bằng một tài khoản người dùng cấp miền có quyền quản trị dungnc2000@yahoo.com Sau khi xác thực thành công và hệ thống cho phép máy trạm này gia nhập vào miền, hệ thống sẽ xuất hiện thông báo thành công và yêu cầu reboot máy lại để đăng nhập vào mạng Khi này hộp thoại logon xuất hiện thêm mục logon to cho ta 2 lựa chọn NETCLASS : logon vào miền. This computer : logon vào máy cục bộ OU là một nhóm người dùng, máy tính và tài nguyên mạng được tạo ra nhằm mục đích dể dàng quản lý hơn, và để ủy quyền cho các quản trị viên địa phương giải quyết các công việc đơn giản Đặc biệt là thông qua OU chúng ta có thể áp đặt các giới hạn phần mềm và phần cứng thông qua các Group Policy Các bước để xây dựng một OU dungnc2000@yahoo.com Hộp thoại nhập liệu xuất hiện, ta nhập tên OU cần tạo vào ô Name dungnc2000@yahoo.com Đưa các máy trạm mà ta muốn cho tham gia vào OU này vào dungnc2000@yahoo.com Tiếp theo đưa các tài khoản người dùng cần quản lý vào OU. dungnc2000@yahoo.com Bây giờ ta sẽ ủy quyền cho người nào hoặc nhóm nào quản lý OU này Right click vàoOU vừa tạo, chọn Properties, hộp thoại xuất hiện. Trong Tab Manager By click vào nút Change để chọn người dùng quản lý OU này. dungnc2000@yahoo.com Thiết lập các Group Policy áp dụng cho OU này, chúng ta sẽ tìm hiểu chi tiết ở bài sau Trong tab Group Policy, click vào nút New để tạo mới 1 GPO, rồi click vào nút Edit để hiệu chỉnh chính sách dungnc2000@yahoo.com Trong các công cụ quản trị hệ thống AD thì công cụ AD User and Computer là quan trọng nhất. Chúng ta sẽ gặp rất nhiều trong lúc làm việc Builtin: chứa các nhóm người dùng đã được tạo và định nghĩa quyền sẵn Computer: chứa các máy trạm mặc định đang là thành viên của miền. Domain controler: chứa các DC đang hoạt động trong miền User: chứa các tài khỏan người dùng mặc định trên miền dungnc2000@yahoo.com