Групповые политики/ADMC: различия между версиями

Версия от 13:41, 22 ноября 2021

Инструмент ADMC был создан в качестве ответа на потребность в user-friendly инструменте для Linux для работы с доменом Active Directory и групповыми политиками. Проект находится в стадии активной разработки и ещё не готов для серьёзного применения.

ADMC предназначен для управления:

объектами в домене (пользователями, группами, компьютерами, подразделениями);
групповыми политиками.

Запуск программы

Для использования программы необходимо сначала получить ключ Kerberos для администратора домена. Например, так:

$ kinit administrator

Далее запустить ADMC из меню («Системные»→«ADMC») или командой admc:

$ admc

Для создания нового объекта (пользователь, группа, компьютер, организация) следует перейти в контейнер, в котором будет создан объект, далее в меню выбрать пункт «Действие»→«Создать»→Объект:

Или в контекстном меню контейнера выбрать пункт «Создать»→Объект:

Управление пользователями

Обратите внимание, что для доступа к некоторым операциям вы должны быть членом одной из этих групп: Account Operators, Domain Admins, Enterprise Admins.

Создание нового пользователя

В контекстном меню контейнера выберите пункт «Создать»→«Пользователь».
Откроется окно «Создать пользователя — ADMC»:
В поле «Имя» введите имя пользователя.
В поле «Фамилия» введите фамилию пользователя.
Измените поле «Полное имя», чтобы добавить отчество или поменять имя и фамилию местами.
В поле «Инициалы» введите инициалы пользователя.
В поле «Имя для входа» введите имя пользователя для входа (логин пользователя). Выберите домен имени входа в выпадающем списке.
В поле «Имя для входа (до Windows 2000)» введите имя пользователя для входа в старые системы.
В полях «Пароль» и «Подтвердите пароль» введите пароль пользователя.
В разделе «Опции учетной записи» установите параметры учетной записи:
- «Пользователь должен сменить пароль при следующем входе в систему» — пользователь должен будет изменить пароль при следующем входе в систему. Если эта опция включена, только пользователь будет знать свой пароль;
- «Пользователь не может изменить пароль» — предотвращает изменение пароля пользователем;
- «Пароль не истекает» — установить бессрочный пароль. Если эта опция включена, срок действия учетной записи пользователя не ограничен (по умолчанию срок действия пароля задан атрибутом minPwdAge);
- «Учётная запись отключена» — отключить учетную запись пользователя. Если эта опция включена, пользователь не сможет войти в систему.
Нажмите кнопку «ОК».

Примечание: При создании пользователя атрибут «Полное имя» по умолчанию создается в формате «Фамилия Имя». Формат автоматического заполнения поля «Полное имя» можно изменить в настройках:

Изменение учётной записи пользователя

Для изменения учётной записи пользователя следует в контекстном меню пользователя выбрать соответствующее действие:

Добавить в группу

В контекстном меню пользователя выбрать пункт «Добавить в группу…».
Откроется окно «Добавить в группу — ADMC»:
Выберите группы, в которые вы хотите добавить учётную запись пользователя в качестве участника.
Нажмите кнопку «ОК».

Переименовать пользователя

В контекстном меню пользователя выберите пункт «Переименовать».
Откроется окно «Переименовать пользователя — ADMC»:
Если необходимо измените соответствующие поля.
Нажмите кнопку «ОК» для сохранения изменений.

Изменить пароль пользователя

В контекстном меню пользователя выберите пункт «Сбросить пароль».
Откроется окно «Изменить пароль — ADMC»:
Введите пароль и подтвердите его.
Если необходимо, чтобы пользователь изменил этот пароль при следующем входе в систему, установите отметку «Пользователь должен изменить пароль при следующем входе в систему».
Установите отметку «Разблокировать учетную запись», если необходимо разблокировать учётную запись пользователя.
Нажмите кнопку «ОК» для сохранения изменений.

Переместить пользователя

В контекстном меню пользователя выбрать пункт «Переместить…».
В диалоговом окне «Выбор контейнера — ADMC» выберите контейнер, в который следует переместить учётную запись пользователя.
Нажмите кнопку «ОК».

Включить/Выключить учетную запись пользователя

В контекстном меню пользователя, учётную запись которого вы хотите отключить или включить выберите пункт «Отключить» или «Включить» (в зависимости от состояния учётной записи будет доступно одно из этих действий).

Разблокировать учетную запись пользователя

В контекстном меню пользователя выбрать пункт «Свойства».
В диалоговом окне «Пользователь — свойства — ADMC» во вкладке «Учётная запись» отметьте пункт «Разблокировать учётную запись»):
Нажмите кнопку «ОК» или «Применить».

Удалить пользователя

В контекстном меню пользователя выберите пункт «Удалить».
Подтвердите удаление, нажав кнопку «Да»:

Изменить параметры учетной записи пользователя

В контекстном меню пользователя выберите пункт «Свойства».
Перейдите на кладку «Учётная запись».
Измените параметры учетной записи:
- «Имя для входа» — имя пользователя для входа (логин пользователя);
- «Разблокировать учётную запись» — разблокировать учётную запись пользователя (если она была заблокирована, например, из-за слишком большого количества неудачных попыток входа);
- «Срок действия учётной записи» — задать дату отключения учётной записи (по умолчанию «Никогда»);
- «Время входа…» — изменить время, в которое разрешен вход пользователя в домен (по умолчанию вход разрешен 24 часа в сутки, 7 дней в неделю);
- «Компьютеры для входа в систему…» — задать компьютеры в домене, на которые будет разрешен вход пользователю (по умолчанию пользователь может входить на любую рабочую станцию, которая присоединена к домену);
- Параметры учетной записи:
  - «Учётная запись отключена» — отключить учётную запись пользователя. Если эта опция включена, пользователь не сможет войти в систему;
  - «Пользователь не может изменить пароль» — предотвращает изменение пароля пользователем;
  - «Пользователь должен сменить пароль при следующем входе в систему» — пользователь должен изменить пароль при следующем входе в систему. Если эта опция включена, только пользователь будет знать свой пароль;
  - «Пароль не истекает» — установить бессрочный пароль. Если эта опция включена, срок действия учетной записи пользователя не ограничен (по умолчанию срок действия пароля задан атрибутом minPwdAge);
  - «Хранить пароль с использованием обратимого шифрования» — определяет, используется ли операционной системой для хранения паролей обратимое шифрование. Эта политика обеспечивает поддержку приложений, использующих протоколы, требующие знание пароля пользователя для проверки подлинности;
  - «Смарт-карта необходима для интерактивного входа в систему» — определяет, требуется ли, чтобы у пользователя была смарт-карта, чтобы войти в систему. При этом пользователь не сможет выполнить вход введя имя пользователя и пароль на клавиатуре;
  - «Учётная запись является конфиденциальной и не может быть делегирована» — пользователю нельзя доверять делегирование полномочий;
  - «Не требовать предварительной аутентификации Kerberos» — для доступа к ресурсам сети не нужно предварительно проверять подлинность с помощью протокола Kerberos;
  - «Доверять делегирование» — позволяет службе, которая работает под этой учётной записью, выполнять операции от имени других учётных записей пользователей.

Найти группы, участником которых является пользователь

В контекстном меню пользователя выбрать пункт «Свойства».
На вкладке «Группы» диалогового окна «Свойства» будут отображаться группы, в которые входит данный пользователь:

Редактировать разрешения пользователя

Примечание: Для возможности редактирования разрешений пользователя предварительно необходимо в меню «Настройки» отметить пункт «Дополнительные возможности».

В контекстном меню пользователя выбрать пункт «Свойства».
Перейти на кладку «Безопасность»:

Управление группами

Группа состоит из учетных записей пользователей и компьютеров, контактов и других групп и может управляться как единое целое. Пользователи и компьютеры, входящие в определенную группу, являются членами группы.

Создание группы

В контекстном меню контейнера выберите пункт «Создать»→«Группа».
Откроется окно «Создать группу — ADMC»:
В поле «Имя» введите название группы.
В поле «Имя для входа (до Windows 2000)» введите название группы для старых систем.
В выпадающем списке «Область группы» выберите область действия группы:
- «Глобальная» — членами глобальной группы могут быть другие группы и учётные записи только из того домена, в котором определена группа. Членам этой группы разрешения могут назначаться в любом домене леса;
- «Домен локальная» — членам такой группы разрешения могут назначаться только внутри домена (доступ к ресурсам одного домена);
- «Универсальная» — членами универсальных групп могут быть другие группы и учётные записи из любого домена дерева доменов или леса. Членам такой группы разрешения могут назначаться в любом домене дерева доменов или леса.
В выпадающем списке «Тип группы» выберите тип группы:
- «Безопасность» — используется для назначения разрешений доступа к общим ресурсам;
- «Рассылка» — используется для создания списков рассылки электронной почты.
Нажмите кнопку «ОК».

Изменение группы

Для изменения группы следует в контекстном меню группы выбрать соответствующее действие:

Добавить в группу

В контекстном меню группы выбрать пункт «Добавить в группу…».
Откроется окно «Добавить в группу — ADMC»:
Выберите группы, в которые вы хотите добавить данную группу в качестве участника.
Нажмите кнопку «ОК».

Переместить группу

В контекстном меню группы выбрать пункт «Переместить…».
В диалоговом окне «Выбор контейнера — ADMC» выберите контейнер, в который следует переместить группу.
Нажмите кнопку «ОК».

Переименовать группу

В контекстном меню группы выбрать пункт «Переименовать».
Откроется окно «Переименовать группу — ADMC»:
Если необходимо измените соответствующие поля.
Нажмите кнопку «ОК» для сохранения изменений.

Удалить группу

В контекстном меню группы выберите пункт «Удалить».
Подтвердите удаление, нажав кнопку «Да»:

Добавить участника в группу

В контекстном меню группы выбрать пункт «Свойства».
Откроется окно «Группа — свойства — ADMC». На вкладке «Участники» нажмите кнопку «Добавить…»:
Выберите объекты, которые вы хотите добавить в качестве участников группы:
Нажмите кнопку «ОК».
Нажмите кнопку «ОК» или «Применить» для сохранения изменений.

Изменить область действия группы

В контекстном меню группы выбрать пункт «Свойства».
Откроется окно «Группа — свойства — ADMC»:
На вкладке «Общее» в выпадающем списке «Область группы» измените область действия группы.
Нажмите кнопку «ОК» или «Применить» для сохранения изменений.

Изменить тип группы

В контекстном меню группы выбрать пункт «Свойства».
Откроется окно «Группа — свойства — ADMC»:
На вкладке «Общее» в выпадающем списке «Тип группы» измените тип группы.
Нажмите кнопку «ОК» или «Применить» для сохранения изменений.

Управление компьютерами

Учетные записи компьютеров представляют собой устройства, подключенные к AD.

Создание учетной записи компьютера

В контекстном меню контейнера выберите пункт «Создать»→«Компьютер».
Откроется окно «Создать объект — Компьютер — ADMC»:
В поле «Имя» введите название компьютера.
В поле «Имя входа (пред-Windows 2000)» введите название компьютера для старых систем.
Нажмите кнопку «Создать».

Изменение учетной записи компьютера

Для изменения компьютера необходимо в контекстном меню компьютера выбрать соответствующее действие:

Переименовать компьютер

В контекстном меню компьютера выбрать пункт «Переименовать».
Откроется окно «Переименовать объект — ADMC»:
Измените имя компьютера.
Нажмите кнопку «ОК» для сохранения изменений.

Удалить учетную запись компьютера

В контекстном меню компьютера выберите пункт «Удалить».
Подтвердите удаление, нажав кнопку «Да»:

Переместить компьютер

В контекстном меню компьютера выбрать пункт «Переместить…».
В диалоговом окне «Выбор контейнера — ADMC» выберите контейнер, в который следует переместить компьютер:
Нажмите кнопку «ОК».

Включить/Выключить учетную запись компьютера

В контекстном меню компьютера, учетную запись которого вы хотите выключить или включить выберите пункт «Выключить учетную запись» или «Включить учетную запись» (в зависимости от состояния учетной записи будет доступно одно из этих действий).

Управление подразделениями

Организационная единица или, подразделение (OU) — это субконтейнер в AD, в который можно помещать пользователей, группы, компьютеры и другие объекты AD. OU могут быть вложенными, и к ним можно применять групповые политики.

Создание подразделения

В контекстном меню контейнера выберите пункт «Создать»→«Подразделение».
Откроется окно «Создать подразделение — ADMC»:
В поле «Имя» введите название подразделения.
Нажмите кнопку «ОК».

Изменение подразделения

Для изменения подразделения следует в контекстном меню подразделения выбрать соответствующее действие:

Переименовать подразделение

В контекстном меню подразделения выбрать пункт «Переименовать».
Откроется окно «Переименовать объект — ADMC»:
Измените название подразделения.
Нажмите кнопку «ОК» для сохранения изменений.

Удалить подразделение

В контекстном меню подразделения выберите пункт «Удалить».
Подтвердите удаление, нажав кнопку «Да»:

Примечание: Если при создании подразделения был отмечен пункт «Защитить от удаления», то сразу удалить подразделение не получится, необходимо сначала снять данную отметку в окне свойств подразделения:

Переместить подразделение

В контекстном меню подразделения выбрать пункт «Переместить…».
В диалоговом окне «Выбор контейнера — ADMC» выберите контейнер, в который следует переместить подразделение.
Нажмите кнопку «ОК».

Управление объектами групповых политик

Создать объект групповой политики

В контекстном меню папки «Объекты групповой политики» выбрать пункт «Создать политику»:
В открывшемся окне «Создать групповую политику — ADMC» в поле «Имя» ввести название политики:
Нажать кнопку «ОК».

Изменение объекта групповой политики

Для изменения объекта групповой политики следует в контекстном меню политики выбрать соответствующее действие:

Переименовать политику

В контекстном меню политики выбрать пункт «Переименовать».
Откроется окно «Переименовать политику — ADMC»:
Изменить название политики.
Нажать кнопку «ОК» для сохранения изменений.

Удалить политику

В контекстном меню политики выбрать пункт «Удалить».
Подтвердить удаление, нажав кнопку «Да»:

Создать ссылку на политику

В контекстном меню политики выбрать пункт «Добавить связь…».
Выбрать объекты, которые необходимо связать с политикой (см. Выбор объектов):

Удалить ссылку на политику

Развернуть папку «Объекты групповой политики».
Выбрать политику, которую следует изменить.
В контекстном меню подразделения, связь с которым нужно отключить от политики, выбрать «Удалить связь»:

Редактировать параметры ссылки

Развернуть папку «Объекты групповой политики».
Выбрать политику, которую следует отредактировать.
На панели результатов найти подразделение, для которого нужно изменить параметры ссылки.
Включить опцию «Принудительно», чтобы изменить место применения политики.
Включить опцию «ОТключено», чтобы изменить место отключения политики.

Использование сохраненных результатов поиска

Сохранение запросов (результатов поиска) — это удобный способ сохранять и воспроизводить поиск. С помощью сохраненных запросов можно быстро и эффективно решать задачи поиска и выборки объектов в AD по различным критериям.

Сохраненные запросы можно организовать в древовидную структуру.

Создать папку запросов

В контекстном меню папки «Сохранённые запросы» или её подпапки выберите пункт «Создать»→«Папка запросов»:
Откроется диалоговое окно «Создать папку запросов — ADMC»:
В поле «Имя» введите название папки.
В поле «Описание» введите описание папки.
Нажмите кнопку «ОК»:

Редактировать папку запросов

В контекстном меню папки выберите пункт «Изменить».
Откроется диалоговое окно «Изменить папку запросов — ADMC»:
В поле «Имя» введите название папки.
В поле «Описание» введите описание папки.
Нажмите кнопку «OK».

Создать запрос

В контекстном меню папки запроса выберите пункт «Создать»→«Элемент запроса»:
Откроется окно «Создать запрос — ADMC».
В поле «Имя» введите название.
В поле «Описание» введите описание поиска.
В выпадающем списке «Искать в» выберите объект, который будет использоваться в качестве основы для поиска.
Отметьте пункт «Рекурсивный поиск», если хотите, чтобы поиск включал объекты более чем одного уровня.
Нажмите кнопку «Изменить фильтр», чтобы отредактировать фильтр (для получения информации о том, как создавать фильтры см. раздел Поиск объектов).
После создания фильтра, он будет отображаться в поле «Фильтр» (в формате LDAP):
Нажмите кнопку «ОК».
При выборе созданного запроса, в правом окне появится список пользователей, который соответствует данному запросу:

Редактировать запрос

В контекстном меню запроса выберите пункт «Изменить…»:
Внесите необходимые изменения (см. раздел Создать запрос).
Нажмите кнопку «ОК».

Экспортировать запрос

В контекстном меню запроса выберите пункт «Экспортировать запрос…».
В открывшемся диалоговом окне укажите название файла (<имя_файла>.json) и место назначения.
Нажмите кнопку «Сохранить».

Импортировать запрос

В контекстном меню папки поиска, в которую вы хотите импортировать поиск, выберите пункт «Импортировать запрос…»:
В открывшемся диалоговом окне выберите экспортированный файл поиска.
Нажмите кнопку «Открыть».

Переместить/Копировать запрос или папку запросов

В контекстном меню объекта, который вы хотите переместить, выберите пункт «Вырезать»/«Копировать».
В контекстном меню целевой папки выберите пункт «Вставить».

Удалить запрос или папку запросов

В контекстном меню объекта, который вы хотите удалить, выберите пункт «Удалить»

Другое

Добавление/Удаление UPN суффиксов

UserPrincipalName (UPN) — имя для входа пользователя в формате email адреса, например ivanov@test.alt. Здесь ivanov это UPN префикс (имя пользователя в домене AD), test.alt — UPN суффикс. По умолчанию в AD в качестве UPN суффикса используется DNS имя домена AD. Добавление дополнительных имён доменов позволит упростить процесс входа и повысить безопасность.

Для того чтобы добавить/удалить дополнительный UPN суффикс:

В контекстном меню домена выберите «Изменить суффиксы UPN»:
В открывшемся диалоговом окне нажмите кнопку «Добавить...»:
Введите новый суффикс:
Нажмите кнопку «ОК», чтобы добавить новый суффикс в список.
Чтобы удалить существующий суффикс, выберите его в списке и нажмите кнопку «Удалить»:

Выбор объектов

Доступ к диалоговому окну выбора объектов можно получить из разных мест, например, при выборе действия «Добавить в группу…» в контекстном меню учётной записи пользователя:

Для выбора объектов:

В поле «Классы», нажав кнопку «Выбрать…», выберите типы объектов, которые будут использоваться для поиска (в большинстве случаев это поле будет заполнено автоматически, в зависимости от задачи):
В поле «Искать в» выберите объект, который будет использоваться в качестве основы для поиска.
В поле «Имя» введите имя объекта (можно ввести часть имени или выполнить поиск по имени для входа).
Нажмите кнопку «Добавить» для поиска объекта по названию.
Если объект найден, он будет добавлен в список найденных объектов.
Если объект не найден, исправьте имя и повторите попытку.
Если есть несколько совпадений, откроется диалоговое окно, в котором можно выбрать одно или несколько совпадений:
Повторите пункты 1-7, пока не добавите все объекты, которые хотите выбрать.
Чтобы удалить объекты из списка, выберите объекты и нажмите кнопку «Удалить».

Для выбора объектов можно также использовать продвинутый поиск, который можно открыть, нажав кнопку «Продвинутый» (см. Поиск объектов).

Поиск объектов

Поиск объектов осуществляется в диалоговом окне «Поиск объектов — ADMC»:

Доступ к этому диалоговому окну можно получить, выбрав пункт «Найти…» в меню «Действие» или в контекстном меню контейнера.

Для поиска объектов:

В списке «Искать в» выберите объект, который будет использоваться в качестве основы для поиска.
Определите критерий поиска на одной из вкладок («Упрощённый», «Обычный», «Продвинутый»).
Нажмите кнопку «Поиск».
Результаты будут отображены в списке справа.

Примечание: В диалоговом окне, вызываемом меню «Вид»→«Настроить колонки» можно выбрать поля, которые будут отображаться в списке результатов поиска:

ADMC. Поля, отображаемые в результатах поиска

Простой поиск

Выберите вкладку «Упрощённый».
В поле «Классы», нажав кнопку «Выбрать…», выберите классы объектов для поиска:
В поле «Имя» введите имя объекта.
Нажмите кнопку «Поиск».

Обычный поиск

Выберите вкладку «Обычный».
В поле «Классы», нажав кнопку «Выбрать…», выберите классы объектов для поиска:
Создайте фильтр:
- в списке «Класс атрибута» выберите класс атрибута.
- в списке «Атрибут» выберите атрибут (список атрибутов зависит от выбранного класса атрибутов).
- в списке «Состояние» выберите условие, которое будет использоваться для фильтра.
- в поле «Значение» введите значение условия. Обратите внимание, что не для всех условий необходимо вводить значения.
Нажмите кнопку «Добавить».
Повторите пункты 2-3, чтобы добавить больше фильтров (фильтры для создания критериев поиска объединяются логическим И).
Нажмите кнопку «Удалить», если хотите удалить фильтр из списка.
Нажмите кнопку «Очистить», если хотите очистить список фильтров.
Нажмите кнопку «Поиск».

Продвинутый поиск

Выберите вкладку «Продвинутый».
Введите LDAP-фильтр в поле «Введите фильтр LDAP».
Нажмите кнопку «Поиск».

Страница проекта

https://github.com/altlinux/admc

@@ Строка 236: / Строка 236: @@
 ==== Переименовать компьютер ====
-# В контекстном меню компьютера выбрать пункт «Переименовать…».
+# В контекстном меню компьютера выбрать пункт «Переименовать».
-# Откроется окно «Переименовать объект — Компьютер — ADMC»:
+# Откроется окно «Переименовать объект — ADMC»:
-#:[[File:Admc-comp-rename.png|ADMC. Переименовать объект компьютер]]
+#:[[File:Admc-comp-rename.png|ADMC. Переименовать компьютер]]
 # Измените имя компьютера.
 # Нажмите кнопку «ОК» для сохранения изменений.