Групповые политики/ADMC

Rationale

Инструмент ADMC был создан в качестве ответа на потребность в user-friendly инструменте для Linux для работы с доменом Active Directory и групповыми политиками. Проект находится в стадии активной разработки и ещё не готов для серьёзного применения.

Использование и интерфейс

Для использования программы необходимо сначала получить ключ Kerberos для администратора домена. Например, так:

$ kinit administrator

Далее запустить ADMC из меню («Системные»→«ADMC») или командой admc:

$ admc

Управление пользователями

Создание нового пользователя

1. В контекстном меню контейнера выберите пункт «Создать»→«Пользователь».
2. Откроется окно «Создать объект — Пользователь — ADMC»:

   

3. В поле «Имя» введите имя пользователя.
4. В поле «Фамилия» введите фамилию пользователя.
5. Измените поле «Полное имя», чтобы добавить отчество или поменять имя и фамилию местами.
6. В поле «Инициалы» введите инициалы пользователя.
7. В поле «Имя для входа» введите имя пользователя для входа (логин пользователя). Выберите домен имени входа в выпадающем списке.
8. В поле «Имя для входа (пред-Windows 2000)» введите имя пользователя для входа в старые системы.
9. В полях «Пароль» и «Подтвердите пароль» введите пароль пользователя.
10. В разделе «Опции учетной записи» установите параметры учетной записи:
    • «Пользователь должен сменить пароль при следующем входе в систему» — пользователь должен изменить пароль при следующем входе в систему. Если эта опция включена, только пользователь будет знать свой пароль;
    • «Пользователь не может изменить пароль» — предотвращает изменение пароля пользователем;
    • «Пароль не истекает» — установить бессрочный пароль. Если эта опция включена, срок действия учетной записи пользователя не ограничен (по умолчанию срок действия пароля задан атрибутом minPwdAge);
    • «Учетная запись отключена» — отключить учетную запись пользователя. Если эта опция включена, пользователь не сможет войти в систему.
11. Нажмите кнопку «Создать».

Примечание: При создании пользователя атрибут «Полное имя» по умолчанию создается в формате «Фамилия Имя». Формат автоматического заполнения поля «Полное имя» можно изменить в настройках:

Изменение учетной записи пользователя

Для изменения учетной записи пользователя следует в контекстном меню пользователя выбрать соответствующее действие:

Переименование пользователя:

1. В контекстном меню пользователя выберите пункт «Переименовать…».
2. Откроется окно «Переименовать Объект — Пользователь — ADMC»:

   

3. Если необходимо измените соответствующие поля.
4. Нажмите кнопку «ОК» для сохранения изменений.

Изменение пароля пользователя:

1. В контекстном меню пользователя выберите пункт «Поменять пароль…».
2. Откроется окно «Изменить Пароль — ADMC»:

   

3. Введите пароль и подтвердите его.
4. Если необходимо, чтобы пользователь изменил этот пароль при следующем входе в систему, установите отметку «Пользователь должен сменить пароль при следующем входе в систему».
5. Установите отметку «Открыть учетную запись», если необходимо разблокировать учетную запись пользователя.
6. Нажмите кнопку «ОК» для сохранения изменений.

Переместить пользователя:

1. В контекстном меню пользователя выбрать пункт «Переместить…».
2. В диалоговом окне «Выберите контейнер — ADMC» выберите контейнер, в который следует переместить учетную запись пользователя.

   

3. Нажмите кнопку «ОК».

Включение/Выключение учетной записи пользователя:

В контекстном меню пользователя, учетную запись которого вы хотите отключить или включить выберите пункт «Выключить учетную запись» или «Включить учетную запись» (в зависимости от состояния учетной записи будет доступно одно из этих действий).

Разблокировать учетную запись пользователя:

1. В контекстном меню пользователя выбрать пункт «Свойства».
2. В диалоговом окне «Пользователь Свойства — ADMC» во вкладке «Учётная запись» отметьте пункт «Открыть учетную запись»:

   

3. Нажмите кнопку «ОК» или «Применить».

Удаление пользователя:

1. В контекстном меню пользователя выберите пункт «Удалить».
2. Подтвердите удаление, нажав кнопку «Да»:

   

Изменение свойств учетной записи пользователя:

1. В контекстном меню пользователя выбрать пункт «Свойства».
2. Перейти на кладку «Учётная запись».

   

3. Параметры учетной записи, которые можно изменить:
   • «Имя для входа» — имя пользователя для входа (логин пользователя);
   • «Открыть учетную запись» — разблокировать учетную запись пользователя (если она была заблокирована, например, из-за слишком большого количества неудачных попыток входа);
   • «Срок действия учетной записи» — задать дату отключения учетной записи (по умолчанию «Никогда»);
   • «Время подключения...» — изменить время, в которое разрешен вход пользователя в домен (по умолчанию вход разрешен 24 часа в сутки, 7 дней в неделю);
   • «Подключение к компьютерам...» — задать компьютеры в домене, на которые будет разрешен вход пользователю (по умолчанию пользователь может входить на любую рабочую станцию, которая присоединена к домену);
   • Опции учетной записи:
     • «Учетная запись отключена» — отключить учетную запись пользователя. Если эта опция включена, пользователь не сможет войти в систему;
     • «Пользователь не может изменить пароль» — предотвращает изменение пароля пользователем;
     • «Пользователь должен сменить пароль при следующем входе в систему» — пользователь должен изменить пароль при следующем входе в систему. Если эта опция включена, только пользователь будет знать свой пароль;
     • «Пароль не истекает» — установить бессрочный пароль. Если эта опция включена, срок действия учетной записи пользователя не ограничен (по умолчанию срок действия пароля задан атрибутом minPwdAge);
     • «Хранить пароль с использованием обратимого шифрования» — определяет, используется ли операционной системой для хранения паролей обратимое шифрование. Эта политика обеспечивает поддержку приложений, использующих протоколы, требующие знание пароля пользователя для проверки подлинности;
     • «Смарт-карта необходима для интерактивного входа в систему» — определяет, требуется ли, чтобы у пользователя была смарт-карта, чтобы войти в систему. При этом пользователь не сможет выполнить вход введя имя пользователя и пароль на клавиатуре;
     • «Учетная запись является конфиденциальной и не может быть делегирована» — пользователю нельзя доверять делегирование полномочий;
     • «Не требовать предварительной аутентификации Kerberos» — для доступа к ресурсам сети не нужно предварительно проверять подлинность с помощью протокола Kerberos;
     • «Trusted for delegation» — позволяет службе, которая работает под этой учетной записью, выполнять операции от имени других учетных записей пользователей.

Управление группами

Группа состоит из учетных записей пользователей и компьютеров, контактов и других групп и может управляться как единое целое. Пользователи и компьютеры, входящие в определенную группу, являются членами группы.

Создание группы

1. В контекстном меню контейнера выберите пункт «Создать»→«Группа».
2. Откроется окно «Создать объект — Группа — ADMC»:

   

3. В поле «Имя» введите название группы.
4. В поле «Имя входа (пред-Windows 2000)» введите название группы для старых систем.
5. В выпадающем списке «Сфера группы» выберите область действия группы:
   • «Глобальная» — членами глобальной группы могут быть другие группы и учетные записи только из того домена, в котором определена группа. Членам этой группы разрешения могут назначаться в любом домене леса;
   • «Домен локальная» — членам такой группы разрешения могут назначаться только внутри домена (доступ к ресурсам одного домена);
   • «Универсальная» — членами универсальных групп могут быть другие группы и учетные записи из любого домена дерева доменов или леса. Членам такой группы разрешения могут назначаться в любом домене дерева доменов или леса.
6. В выпадающем списке «Тип группы» выберите тип группы:
   • «Безопасность» — используется для назначения разрешений доступа к общим ресурсам;
   • «Рассылка» — используется для создания списков рассылки электронной почты.
7. Нажмите кнопку «Создать».

Изменение групп

Для изменения группы следует в контекстном меню группы выбрать соответствующее действие:

Добавление участника в группу:

1. В контекстном меню группы выбрать пункт «Добавить в группу…».
2. Откроется окно «Выбрать объекты — ADMC»:

   

3. Выберите объекты, которые вы хотите добавить в качестве участников.

Переименование группы:

1. В контекстном меню группы выбрать пункт «Переименовать…».
2. Откроется окно «Переименовать Объект — Группа — ADMC»:

   

3. Если необходимо измените соответствующие поля.
4. Нажмите кнопку «ОК» для сохранения изменений.

Изменение типа группы:

1. В контекстном меню группы выбрать пункт «Свойства».
2. Откроется окно «Группа Свойства — ADMC»:

   

3. На вкладке «Общее» в выпадающем списке «Тип группы» измените тип группы.
4. Нажмите кнопку «ОК» или «Применить» для сохранения изменений.

Изменение области действия группы:

1. В контекстном меню группы выбрать пункт «Свойства».
2. Откроется окно «Группа Свойства — ADMC»:

   

3. На вкладке «Общее» в выпадающем списке «Сфера группы» измените область действия группы.
4. Нажмите кнопку «ОК» или «Применить» для сохранения изменений.

Удаление группы:

1. В контекстном меню группы выберите пункт «Удалить».
2. Подтвердите удаление, нажав кнопку «Да»:

   

Найти группы, участником которых является пользователь:

1. В контекстном меню пользователя выбрать пункт «Свойства».
2. На вкладке «Группы» диалогового окна «Свойства» будут отображаться группы, в которые входит данный пользователь:

   

Управление компьютерами

Учетные записи компьютеров представляют собой устройства, подключенные к AD.

Создание учетной записи компьютера

1. В контекстном меню контейнера выберите пункт «Создать»→«Компьютер».
2. Откроется окно «Создать Объект — Компьютер — ADMC»:

   

3. В поле «Имя» введите название компьютера.
4. В поле «Имя входа (пред-Windows 2000)» введите название компьютера для старых систем.
5. Нажмите кнопку «Создать».

Изменение компьютеров

Для изменения компьютера необходимо в контекстном меню компьютера выбрать соответствующее действие:

Переименование компьютера:

1. В контекстном меню компьютера выбрать пункт «Переименовать…».
2. Откроется окно «Переименовать Объект — Компьютер — ADMC»:

   

3. Измените имя компьютера.
4. Нажмите кнопку «ОК» для сохранения изменений.

Удаление компьютера:

1. В контекстном меню компьютера выберите пункт «Удалить».
2. Подтвердите удаление, нажав кнопку «Да»:

   

Переместить компьютер:

1. В контекстном меню компьютера выбрать пункт «Переместить…».
2. В диалоговом окне «Выберите Контейнер — ADMC» выберите контейнер, в который следует переместить компьютер.

   

3. Нажмите кнопку «ОК».

Включение/Выключение учетной записи компьютера:

В контекстном меню компьютера, учетную запись которого вы хотите выключить или включить выберите пункт «Выключить учетную запись» или «Включить учетную запись» (в зависимости от состояния учетной записи будет доступно одно из этих действий).

Управление подразделениями

Организационная единица или, подразделение (OU) — это субконтейнер в AD, в который можно помещать пользователей, группы, компьютеры и другие объекты AD. OU могут быть вложенными, и к ним можно применять групповые политики.

Создание подразделения

1. В контекстном меню контейнера выберите пункт «Создать»→«Организация».
2. Откроется окно «Создать Объект — Подразделение — ADMC»:

   

3. В поле «Имя» введите название подразделения.
4. Нажмите кнопку «Создать».

Изменение подразделения

Для изменения подразделения следует в контекстном меню подразделения выбрать соответствующее действие:

Переименование подразделения:

1. В контекстном меню подразделения выбрать пункт «Переименовать…».
2. Откроется окно «Переименовать Объект — Подразделение — ADMC»:

   

3. Измените название подразделения.
4. Нажмите кнопку «ОК» для сохранения изменений.

Удаление подразделения:

1. В контекстном меню подразделения выберите пункт «Удалить».
2. Подтвердите удаление, нажав кнопку «Да»:

   

Переместить подразделение:

1. В контекстном меню подразделения выбрать пункт «Переместить…».
2. В диалоговом окне «Выберите Контейнер — ADMC» выберите контейнер, в который следует переместить подразделение.

   

3. Нажмите кнопку «ОК».

Добавление/Удаление UPN суффиксов

UserPrincipalName (UPN) — имя для входа пользователя в формате email адреса, например ivanov@test.alt. Здесь ivanov это UPN префикс (имя пользователя в домене AD), test.alt — UPN суффикс. По умолчанию в AD в качестве UPN суффикса используется DNS имя домена AD.

Для того чтобы добавить/удалить дополнительный UPN суффикс:

1. В контекстном меню домена выберите «Редактировать UPN суффиксы»:

   

2. В открывшемся диалоговом окне нажмите кнопку «Добавить...»:

   

3. Введите новый суффикс:

   

4. Нажмите кнопку «ОК», чтобы добавить новый суффикс в список.
5. Чтобы удалить существующий суффикс, выберите его в списке и нажмите кнопку «Удалить»:

   

Поиск объектов

Поиск объектов осуществляется в диалоговом окне «Поиск объектов»:

Доступ к этому диалоговому окну можно получить, выбрав пункт «Поиск» в меню «Действие» или в контекстном меню контейнера.

Для поиска объектов:

1. В списке «Искать в» выберите объект, который будет использоваться в качестве основы для поиска.
2. Определите критерий поиска на одной из вкладок («Упрощенный», «Обычный», «Продвинутый»).
3. Нажмите кнопку «Поиск».
4. Результаты будут отображены в списке справа.

Примечание: В диалоговом окне, вызываемом меню «Вид»→«Выбрать колонки» можно выбрать поля, которые будут отображаться в списке результатов поиска:

Простой поиск

1. Выберите вкладку «Упрощенный».
2. В поле «Классы», нажав кнопку «Выбрать», выберите типы объектов:

   

3. В поле «Имя» введите имя объекта.
4. Нажмите кнопку «Поиск».

   

Обычный поиск

1. Выберите вкладку «Обычный».
2. В поле «Классы», нажав кнопку «Выбрать», выберите типы объектов:

   

3. Создать фильтр:
   • в списке «Класс атрибута» выберите класс атрибута.
   • в списке «Атрибут» выберите атрибут (список атрибутов зависит от выбранного класса атрибутов).
   • в списке «Состояние» выберите условие, которое будет использоваться для фильтра.
   • в поле «Значение» введите значение условия. Обратите внимание, что не для всех условия необходимо вводить значения.
4. Нажмите кнопку «Добавить».
5. Повторите пункты 2-3, чтобы добавить больше фильтров (фильтры для создания критериев поиска объединяются логическим И).
6. Нажмите кнопку «Удалить», если хотите удалить фильтр из списка.
7. Нажмите кнопку «Очистить», если хотите очистить список фильтров.
8. Нажмите кнопку «Поиск».

   

Продвинутый поиск

1. Выберите вкладку «Продвинутый».
2. Введите LDAP-фильтр в поле «Введите фильтр LDAP».
3. Нажмите кнопку «Поиск».

   

Управление объектами групповых политик

Создать объект групповой политики

1. В контекстном меню папки «Объекты групповых политик» выбрать «Создать»→«Политика»:

   

2. В открывшемся окне «Создать политику — ADMC» в поле «Имя» введите имя политики:

   

3. Нажмите кнопку «Создать».

Изменение объекта групповой политики

Для изменения объекта групповой политики следует в контекстном меню политики выбрать соответствующее действие:

Переименование политики:

1. В контекстном меню политики выбрать пункт «Переименовать…».
2. Откроется окно «Переименовать Политику — ADMC»:

   

3. Измените название политики.
4. Нажмите кнопку «ОК» для сохранения изменений.

Удаление политики:

1. В контекстном меню политики выберите пункт «Удалить».
2. Подтвердите удаление, нажав кнопку «Да»:

   

Удаление ссылки на политику:

1. Разверните папку «Объекты групповых политик».
2. Выберите политику, которую вы хотите изменить.
3. В контекстном меню подразделения, связь с которым вы хотите отключить от политики, выберите «Удалить линк»:

   

Страница проекта

https://github.com/altlinux/admc