Групповые политики/ADMC
Инструмент ADMC был создан в качестве ответа на потребность в user-friendly инструменте для Linux для работы с доменом Active Directory и групповыми политиками. Проект находится в стадии активной разработки и ещё не готов для серьёзного применения.
ADMC предназначен для управления:
- объектами в домене (пользователями, группами, компьютерами, подразделениями);
- групповыми политиками.
Запуск программы
Для использования программы необходимо сначала получить ключ Kerberos для администратора домена. Например, так:
$ kinit administratorДалее запустить ADMC из меню («Системные»→«ADMC») или командой admc:
$ admc
Для создания нового объекта (пользователь, группа, компьютер, организация) следует перейти в контейнер, в котором будет создан объект, далее в меню выбрать пункт «Действие»→«Создать»→Объект:
Или в контекстном меню контейнера выбрать пункт «Создать»→Объект:
Управление пользователями
Обратите внимание, что для доступа к некоторым операциям вы должны быть членом одной из этих групп: Account Operators, Domain Admins, Enterprise Admins.
Создание нового пользователя
- В контекстном меню контейнера выберите пункт «Создать»→«Пользователь».
- Откроется окно «Создать объект — Пользователь — ADMC»:
- В поле «Имя» введите имя пользователя.
- В поле «Фамилия» введите фамилию пользователя.
- Измените поле «Полное имя», чтобы добавить отчество или поменять имя и фамилию местами.
- В поле «Инициалы» введите инициалы пользователя.
- В поле «Имя для входа» введите имя пользователя для входа (логин пользователя). Выберите домен имени входа в выпадающем списке.
- В поле «Имя для входа (пред-Windows 2000)» введите имя пользователя для входа в старые системы.
- В полях «Пароль» и «Подтвердите пароль» введите пароль пользователя.
- В разделе «Опции учетной записи» установите параметры учетной записи:
- «Пользователь должен сменить пароль при следующем входе в систему» — пользователь должен изменить пароль при следующем входе в систему. Если эта опция включена, только пользователь будет знать свой пароль;
- «Пользователь не может изменить пароль» — предотвращает изменение пароля пользователем;
- «Пароль не истекает» — установить бессрочный пароль. Если эта опция включена, срок действия учетной записи пользователя не ограничен (по умолчанию срок действия пароля задан атрибутом minPwdAge);
- «Учетная запись отключена» — отключить учетную запись пользователя. Если эта опция включена, пользователь не сможет войти в систему.
- Нажмите кнопку «Создать».
Примечание: При создании пользователя атрибут «Полное имя» по умолчанию создается в формате «Фамилия Имя». Формат автоматического заполнения поля «Полное имя» можно изменить в настройках:
Изменение учетной записи пользователя
Для изменения учетной записи пользователя следует в контекстном меню пользователя выбрать соответствующее действие:
Переименовать пользователя
- В контекстном меню пользователя выберите пункт «Переименовать…».
- Откроется окно «Переименовать Объект — Пользователь — ADMC»:
- Если необходимо измените соответствующие поля.
- Нажмите кнопку «ОК» для сохранения изменений.
Изменить пароль пользователя
- В контекстном меню пользователя выберите пункт «Поменять пароль…».
- Откроется окно «Изменить Пароль — ADMC»:
- Введите пароль и подтвердите его.
- Если необходимо, чтобы пользователь изменил этот пароль при следующем входе в систему, установите отметку «Пользователь должен сменить пароль при следующем входе в систему».
- Установите отметку «Открыть учетную запись», если необходимо разблокировать учетную запись пользователя.
- Нажмите кнопку «ОК» для сохранения изменений.
Переместить пользователя
- В контекстном меню пользователя выбрать пункт «Переместить…».
- В диалоговом окне «Выберите контейнер — ADMC» выберите контейнер, в который следует переместить учетную запись пользователя.
- Нажмите кнопку «ОК».
Включить/Выключить учетную запись пользователя
В контекстном меню пользователя, учетную запись которого вы хотите отключить или включить выберите пункт «Выключить учетную запись» или «Включить учетную запись» (в зависимости от состояния учетной записи будет доступно одно из этих действий).
Разблокировать учетную запись пользователя
- В контекстном меню пользователя выбрать пункт «Свойства».
- В диалоговом окне «Пользователь Свойства — ADMC» во вкладке «Учётная запись» отметьте пункт «Открыть учетную запись»:
- Нажмите кнопку «ОК» или «Применить».
Удалить пользователя
- В контекстном меню пользователя выберите пункт «Удалить».
- Подтвердите удаление, нажав кнопку «Да»:
Изменить параметры учетной записи пользователя
- В контекстном меню пользователя выберите пункт «Свойства».
- Перейдите на кладку «Учётная запись».
- Измените параметры учетной записи:
- «Имя для входа» — имя пользователя для входа (логин пользователя);
- «Открыть учетную запись» — разблокировать учетную запись пользователя (если она была заблокирована, например, из-за слишком большого количества неудачных попыток входа);
- «Срок действия учетной записи» — задать дату отключения учетной записи (по умолчанию «Никогда»);
- «Время подключения…» — изменить время, в которое разрешен вход пользователя в домен (по умолчанию вход разрешен 24 часа в сутки, 7 дней в неделю);
- «Подключение к компьютерам…» — задать компьютеры в домене, на которые будет разрешен вход пользователю (по умолчанию пользователь может входить на любую рабочую станцию, которая присоединена к домену);
- Опции учетной записи:
- «Учетная запись отключена» — отключить учетную запись пользователя. Если эта опция включена, пользователь не сможет войти в систему;
- «Пользователь не может изменить пароль» — предотвращает изменение пароля пользователем;
- «Пользователь должен сменить пароль при следующем входе в систему» — пользователь должен изменить пароль при следующем входе в систему. Если эта опция включена, только пользователь будет знать свой пароль;
- «Пароль не истекает» — установить бессрочный пароль. Если эта опция включена, срок действия учетной записи пользователя не ограничен (по умолчанию срок действия пароля задан атрибутом minPwdAge);
- «Хранить пароль с использованием обратимого шифрования» — определяет, используется ли операционной системой для хранения паролей обратимое шифрование. Эта политика обеспечивает поддержку приложений, использующих протоколы, требующие знание пароля пользователя для проверки подлинности;
- «Смарт-карта необходима для интерактивного входа в систему» — определяет, требуется ли, чтобы у пользователя была смарт-карта, чтобы войти в систему. При этом пользователь не сможет выполнить вход введя имя пользователя и пароль на клавиатуре;
- «Учетная запись является конфиденциальной и не может быть делегирована» — пользователю нельзя доверять делегирование полномочий;
- «Не требовать предварительной аутентификации Kerberos» — для доступа к ресурсам сети не нужно предварительно проверять подлинность с помощью протокола Kerberos;
- «Trusted for delegation» — позволяет службе, которая работает под этой учетной записью, выполнять операции от имени других учетных записей пользователей.
Редактировать разрешения пользователя
Примечание: Для возможности редактирования разрешений пользователя предварительно необходимо в меню «Настройки» отметить пункт «Дополнительные возможности».
- В контекстном меню пользователя выбрать пункт «Свойства».
- Перейти на кладку «Безопасность»:
Управление группами
Группа состоит из учетных записей пользователей и компьютеров, контактов и других групп и может управляться как единое целое. Пользователи и компьютеры, входящие в определенную группу, являются членами группы.
Создание группы
- В контекстном меню контейнера выберите пункт «Создать»→«Группа».
- Откроется окно «Создать объект — Группа — ADMC»:
- В поле «Имя» введите название группы.
- В поле «Имя входа (пред-Windows 2000)» введите название группы для старых систем.
- В выпадающем списке «Сфера группы» выберите область действия группы:
- «Глобальная» — членами глобальной группы могут быть другие группы и учетные записи только из того домена, в котором определена группа. Членам этой группы разрешения могут назначаться в любом домене леса;
- «Домен локальная» — членам такой группы разрешения могут назначаться только внутри домена (доступ к ресурсам одного домена);
- «Универсальная» — членами универсальных групп могут быть другие группы и учетные записи из любого домена дерева доменов или леса. Членам такой группы разрешения могут назначаться в любом домене дерева доменов или леса.
- В выпадающем списке «Тип группы» выберите тип группы:
- «Безопасность» — используется для назначения разрешений доступа к общим ресурсам;
- «Рассылка» — используется для создания списков рассылки электронной почты.
- Нажмите кнопку «Создать».
Изменение группы
Для изменения группы следует в контекстном меню группы выбрать соответствующее действие:
Добавить участника в группу
- В контекстном меню группы выбрать пункт «Добавить в группу…».
- Откроется окно «Выбрать объекты — ADMC»:
- Выберите объекты, которые вы хотите добавить в качестве участников.
Переименовать группу
- В контекстном меню группы выбрать пункт «Переименовать…».
- Откроется окно «Переименовать Объект — Группа — ADMC»:
- Если необходимо измените соответствующие поля.
- Нажмите кнопку «ОК» для сохранения изменений.
Изменить тип группы
- В контекстном меню группы выбрать пункт «Свойства».
- Откроется окно «Группа Свойства — ADMC»:
- На вкладке «Общее» в выпадающем списке «Тип группы» измените тип группы.
- Нажмите кнопку «ОК» или «Применить» для сохранения изменений.
Изменить область действия группы
- В контекстном меню группы выбрать пункт «Свойства».
- Откроется окно «Группа Свойства — ADMC»:
- На вкладке «Общее» в выпадающем списке «Сфера группы» измените область действия группы.
- Нажмите кнопку «ОК» или «Применить» для сохранения изменений.
Удалить группу
- В контекстном меню группы выберите пункт «Удалить».
- Подтвердите удаление, нажав кнопку «Да»:
Найти группы, участником которых является пользователь
- В контекстном меню пользователя выбрать пункт «Свойства».
- На вкладке «Группы» диалогового окна «Свойства» будут отображаться группы, в которые входит данный пользователь:
Управление компьютерами
Учетные записи компьютеров представляют собой устройства, подключенные к AD.
Создание учетной записи компьютера
- В контекстном меню контейнера выберите пункт «Создать»→«Компьютер».
- Откроется окно «Создать Объект — Компьютер — ADMC»:
- В поле «Имя» введите название компьютера.
- В поле «Имя входа (пред-Windows 2000)» введите название компьютера для старых систем.
- Нажмите кнопку «Создать».
Изменение учетной записи компьютера
Для изменения компьютера необходимо в контекстном меню компьютера выбрать соответствующее действие:
Переименовать компьютер
- В контекстном меню компьютера выбрать пункт «Переименовать…».
- Откроется окно «Переименовать Объект — Компьютер — ADMC»:
- Измените имя компьютера.
- Нажмите кнопку «ОК» для сохранения изменений.
Удалить учетную запись компьютера
- В контекстном меню компьютера выберите пункт «Удалить».
- Подтвердите удаление, нажав кнопку «Да»:
Переместить компьютер
- В контекстном меню компьютера выбрать пункт «Переместить…».
- В диалоговом окне «Выберите Контейнер — ADMC» выберите контейнер, в который следует переместить компьютер.
- Нажмите кнопку «ОК».
Включить/Выключить учетную запись компьютера
В контекстном меню компьютера, учетную запись которого вы хотите выключить или включить выберите пункт «Выключить учетную запись» или «Включить учетную запись» (в зависимости от состояния учетной записи будет доступно одно из этих действий).
Управление подразделениями
Организационная единица или, подразделение (OU) — это субконтейнер в AD, в который можно помещать пользователей, группы, компьютеры и другие объекты AD. OU могут быть вложенными, и к ним можно применять групповые политики.
Создание подразделения
- В контекстном меню контейнера выберите пункт «Создать»→«Организация».
- Откроется окно «Создать Объект — Подразделение — ADMC»:
- В поле «Имя» введите название подразделения.
- Нажмите кнопку «Создать».
Изменение подразделения
Для изменения подразделения следует в контекстном меню подразделения выбрать соответствующее действие:
Переименовать подразделение
- В контекстном меню подразделения выбрать пункт «Переименовать…».
- Откроется окно «Переименовать Объект — Подразделение — ADMC»:
- Измените название подразделения.
- Нажмите кнопку «ОК» для сохранения изменений.
Удалить подразделение
- В контекстном меню подразделения выберите пункт «Удалить».
- Подтвердите удаление, нажав кнопку «Да»:
Переместить подразделение
- В контекстном меню подразделения выбрать пункт «Переместить…».
- В диалоговом окне «Выберите Контейнер — ADMC» выберите контейнер, в который следует переместить подразделение.
- Нажмите кнопку «ОК».
Управление объектами групповых политик
Создать объект групповой политики
- В контекстном меню папки «Объекты групповых политик» выбрать «Создать»→«Политика»:
- В открывшемся окне «Создать политику — ADMC» в поле «Имя» введите имя политики:
- Нажмите кнопку «Создать».
Изменение объекта групповой политики
Для изменения объекта групповой политики следует в контекстном меню политики выбрать соответствующее действие:
Переименовать политику
- В контекстном меню политики выбрать пункт «Переименовать…».
- Откроется окно «Переименовать Политику — ADMC»:
- Измените название политики.
- Нажмите кнопку «ОК» для сохранения изменений.
Удалить политику
- В контекстном меню политики выберите пункт «Удалить».
- Подтвердите удаление, нажав кнопку «Да»:
Создать ссылку на политику
- В контекстном меню политики выберите пункт «Добавить линк...».
- Выберите обьекты, которые вы хотите связать с политикой (см. Выбор объектов):
Удалить ссылку на политику
- Разверните папку «Объекты групповых политик».
- Выберите политику, которую вы хотите изменить.
- В контекстном меню подразделения, связь с которым вы хотите отключить от политики, выберите «Удалить линк»:
Редактировать параметры ссылки
- Разверните папку «Объекты групповых политик».
- Выберите политику, которую вы хотите отредактировать.
- На панели результатов найдите подразделение, для которого вы хотите изменить параметры ссылки.
- Включите опцию «Принудительно», чтобы изменить место применения политики.
- Включите опцию «Выключено», чтобы изменить место отключения политики.
Использование сохраненных результатов поиска
Сохранение запросов (результатов поиска) — это удобный способ сохранять и воспроизводить поиск. С помощью сохраненных запросов можно быстро и эффективно решать задачи поиска и выборки объектов в AD по различным критериям.
Сохраненные запросы можно организовать в древовидную структуру.
Создать папку запросов
- В контекстном меню папки «Сохраненные поиски» или её подпапки выберите пункт «Создать»→«Папка»:
- Откроется диалоговое окно «Создать Папку Поиска — ADMC»:
- В поле «Имя» введите название папки.
- В поле «Описание» введите описание папки.
- Нажмите кнопку «Создать»:
Редактировать папку запросов
- В контекстном меню папки выберите пункт «Редактировать».
- Откроется диалоговое окно «Редактировать Папку Поиска — ADMC»:
- В поле «Имя» введите название папки.
- В поле «Описание» введите описание папки.
- Нажмите кнопку «OK».
Создать запрос
- В контекстном меню папки запроса выбрать пункт «Создать»→«Поиск»:
- Откроется окно «Создать поиск — ADMC»:
- В поле «Имя» введите название.
- В поле «Описание» введите описание поиска.
- В выпадающем списке «Искать в» выберите объект, который будет использоваться в качестве основы для поиска.
- Отметьте пункт «Включать под-контейнеры», если хотите, чтобы поиск включал объекты более чем одного уровня.
- Нажмите кнопку «Редактировать…», чтобы отредактировать фильтр (для получения информации о том, как создавать фильтры см. раздел Поиск объектов).
- После создания фильтра, он будет отображаться в поле «Фильтр» (в формате LDAP).
- Нажмите кнопку «ОК».
- При выборе созданного запроса, в правом окне появится список пользователей, который соответствует данному запросу:
Редактировать запрос
- В контекстном меню запроса выберите пункт «Редактировать»:
- Внесите необходимые изменения (см. раздел Создать запрос).
- Нажмите кнопку «ОК».
Экспортировать запрос
- В контекстном меню запроса выберите пункт «Экспортировать поиск…».
- В открывшемся диалоговом окне укажите название файла (<имя_файла>.json) и место назначения.
- Нажмите кнопку «Сохранить».
Импортировать запрос
- В контекстном меню папки поиска, в которую вы хотите импортировать поиск, выберите пункт «Импортировать поиск…»:
- В открывшемся диалоговом окне выберите экспортированный файл поиска.
- Нажмите кнопку «Открыть».
Переместить/Копировать запрос или папку запросов
- В контекстном меню объекта, который вы хотите переместить, выберите пункт «Вырезать…»/»Копировать…».
- В контекстном меню целевой папки выберите пункт «Вставить».
Удалить поиск или папку поисков
В контекстном меню объекта, который вы хотите удалить выберите пункт «Удалить…»
Другое
Добавление/Удаление UPN суффиксов
UserPrincipalName (UPN) — имя для входа пользователя в формате email адреса, например ivanov@test.alt. Здесь ivanov это UPN префикс (имя пользователя в домене AD), test.alt — UPN суффикс. По умолчанию в AD в качестве UPN суффикса используется DNS имя домена AD.
Для того чтобы добавить/удалить дополнительный UPN суффикс:
- В контекстном меню домена выберите «Редактировать UPN суффиксы»:
- В открывшемся диалоговом окне нажмите кнопку «Добавить...»:
- Введите новый суффикс:
- Нажмите кнопку «ОК», чтобы добавить новый суффикс в список.
- Чтобы удалить существующий суффикс, выберите его в списке и нажмите кнопку «Удалить»:
Выбор объектов
Выбор объектов осуществляется в диалоговом окне «Выбрать Объекты — ADMC»:
Доступ к этому диалоговому окну можно получить из разных мест, например, при выборе действия «Добавить в группу...» в контекстном меню группы.
Для выбора объектов:
- В поле «Классы», нажав кнопку «Выбрать…», выберите тип объектов (в большинстве случаев это поле будет заполнено автоматически):
- В поле «Искать в» выберите объект, который будет использоваться в качестве основы для поиска.
- В поле «Имя» введите имя объекта (можно ввести часть имени или выполнить поиск по имени для входа).
- Нажмите кнопку «Добавить» для поиска объекта по названию.
- Если объект найден, он будет добавлен в список найденных объектов.
- Если объект не найден, исправьте имя и повторите попытку.
- Если есть несколько совпадений, откроется диалоговое окно, в котором вы сможете выбрать одно или несколько совпадений:
- Повторите пункты 1-7, пока не добавите все объекты, которые хотите выбрать.
- Чтобы удалить объекты из списка, выберите объекты и нажмите кнопку «Удалить».
Для выбора объектов можно также использовать продвинутый поиск, который можно открыть, нажав кнопку «Продвинутый» (см. Поиск объектов).
Поиск объектов
Поиск объектов осуществляется в диалоговом окне «Искать Объекты — ADMC»:
Доступ к этому диалоговому окну можно получить, выбрав пункт «Поиск…» в меню «Действие» или в контекстном меню контейнера.
Для поиска объектов:
- В списке «Искать в» выберите объект, который будет использоваться в качестве основы для поиска.
- Определите критерий поиска на одной из вкладок («Упрощенный», «Обычный», «Продвинутый»).
- Нажмите кнопку «Поиск».
- Результаты будут отображены в списке справа.
Примечание: В диалоговом окне, вызываемом меню «Вид»→«Выбрать колонки» можно выбрать поля, которые будут отображаться в списке результатов поиска:
Простой поиск
- Выберите вкладку «Упрощенный».
- В поле «Классы», нажав кнопку «Выбрать…», выберите тип объектов:
- В поле «Имя» введите имя объекта.
- Нажмите кнопку «Поиск».
Обычный поиск
- Выберите вкладку «Обычный».
- В поле «Классы», нажав кнопку «Выбрать…», выберите тип объектов:
- Создать фильтр:
- в списке «Класс атрибута» выберите класс атрибута.
- в списке «Атрибут» выберите атрибут (список атрибутов зависит от выбранного класса атрибутов).
- в списке «Состояние» выберите условие, которое будет использоваться для фильтра.
- в поле «Значение» введите значение условия. Обратите внимание, что не для всех условий необходимо вводить значения.
- Нажмите кнопку «Добавить».
- Повторите пункты 2-3, чтобы добавить больше фильтров (фильтры для создания критериев поиска объединяются логическим И).
- Нажмите кнопку «Удалить», если хотите удалить фильтр из списка.
- Нажмите кнопку «Очистить», если хотите очистить список фильтров.
- Нажмите кнопку «Поиск».
Продвинутый поиск
- Выберите вкладку «Продвинутый».
- Введите LDAP-фильтр в поле «Введите фильтр LDAP».
- Нажмите кнопку «Поиск».
