קבוצות למתקדמים
תרגיל 1
1. בחברה קטנה PRACTICU יש למנוע מזמזכירות דנה ופנינה להיכנס לתיקייה משותפת של משכורות בשרת
2. בחברה קטנה PRACTICU יש לאפשר למנהלים יוני ויוסי להיכנס לתיקייה משותפת של משכורות בשרת ולשנות בה את המידע
3. בחברה גדולה – להתקין שתי מדפסות (אחת שחור לבן ושנייה צבעונית) + לבדוק שניתן להדפיס מתוך תחנת עבודה
4. בחברה גדולה – לאפשר לתלמידים להדפיס רק במדפסת שחור/לבן (ולמנוע הדפסה בצבועני) + להראות שגיאה שתלמיד מקבל כאשר מנסה להדפיס בצבעוני
5. בחברה גדולה – למזכירות להדפיס גם בצבעוני וגם בשחור לבן + לבדוק שניתן להדפיס מתוך תחנת עבודה
6. בחברה גדולה – למנהלים לתת את כל ההרשאה למחוק את המסמכים להדפסה של אנשים אחרים
7. בחברה גדולה – לתת הרשאות על תיקיית משכורות רק למנהלים שעברו בדיקה פיזית של השומר ולא הגיעו מהרשת דרך ה-SHARE
8. בחברה גדולה – לתיקיית שיעורי בית המשותפת בשרת לתת לתלמידים אפשרות לשים את שיעורי בית שלהם ולראות את תוכן התיקייה, אבל לא לקרוא או להעתיק את תוכן הקבצים של תלמידים אחרים.
9. בחברה גדולה – לאפשר למזכירות מדומיין אחד להדפיס במדפסות של דומיין השני
פרקי ההרצאה: קבוצות למתקדמים
תמלול ההרצאה: קבוצות למתקדמים
הטקסט המלא של הדקות הראשונות בהרצאה «קבוצות למתקדמים» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לשיעור על קבוצות באקטיב דירקטורי. הנושא של הקבוצות זה נושא מורכב בגלל תאימות לאחור, בגלל שהמערכת תואמת לימים שלא היה פורסט אלא היו רק דומיינים.
אנחנו הולכים להבין את זה לעומק כי אין לנו ברירה כי זאת המערכת שאנחנו משתמשים בה. יפה, אז יש לנו בצד שמאל שרת שנקרא Server 081. בשרת הזה זה שרת דומיין קונטרולר ולכן יש עליו תפקיד של אקטיב דירקטורי ויש עליו אתם רואים פרקטיקיו נקודה לוקל שזה מתחם האבטחה אז יפה אז שרת srv 0.8 מחזיק את מתחם האבטחה פרקטיקיו נקודה לוקל וכרגע בתוך המתחם הזה
אין אף מחשב והוא דומיין קונטרולר היחיד יפה מאוד בצד שמאל בצד ימין יש לנו שרת שני srv 0.8.2 אתם רואים פה את השם שלו והוא שייך לוורקופ לקבוצת עבודה הוא עדיין לא משוייך לאף דומיין לא סומך על אף מתחם אבטחה אני יכול לעשות צ'יינג' ולשייך אותו לקבוצה, לעשות לו צ'יינג' ולשייך אותו לדומיין.
אני כרגע לא מעוניין לשייך אותו לדומיין, כי אני רוצה לעשות עליו DC פרומו. אני רוצה לכתוב DC פרומו עליו, בואו נסגור את כל החלונות, DC פרומו עליו ולהפוך אותו להיות דומיין קונטרולר, זה שמחזיק ביוזרים וסיסמאות.
ואני לא רוצה לעשות אותו בפורסט חדש, פורסט זאת חברה, דומיין זה סניף בחברה. תחשבו שיש מקדונלדס ויש להם סניף, כל סניף יש לו מתחם אבטחה משלו ובכל סניף יש מנהל רשת משלו.
אולי נחשוב על בנק כלשהו שזה ככה יותר טוב. אז אני אומר, תקשיב, אתה לא עושה חברה חדשה, אתה מצטרף לפורסט קיים, לחברה קיימת. ובתוך חברה קיימת הוא שואל אותי האם זה Add a Domain Controller, האם להוסיף Domain Controller to Existing Domain לדומיין קיים, זה אומר לסניף קיים שאתה דומיין קונטרולר נוסף בסניף קיים.
זה אומר פשוט תיקח ותעתיק את כל השמות ואת כל הסיסמאות אליך ותהיה בדיוק כמו הדומיין קונטרולר השמאלי. זאת אומרת שאם הייתי רוצה לעשות גיבוי להשארת השמאלי srv-081 שאם הוא נופל אז אף אחד לא יכול להיכנס ואף אחד לא יכול לעבוד ואף אחד לא יכול לבדוק שמות וסיסמאות של אנשים אז אני לא מוכן לקחת את הסיכון הזה אני רוצה עוד דומיין קונטרולר.
אז הייתי עושה את האופציה הזאת להוסיף דומיין קונטרולר קיים להוסיף דומיין קונטרולר לדומיין קיים, למתחם קיים.
אז זאת האופציה שפשוט מוסיפה עוד דומיין קונטרולר ומעתיקה את כל הנתונים, את כל הדאטאבייס אליה. יפה.
זה מאוד מאוד חשוב, דרך אגב, בחברה האמיתית, שיהיו לפחות שני דומיין קונטרולרים. כי אם דומיין קונטרולר לא עובד, אז אי אפשר לזהות אף אחד, אי אפשר לעבוד, אי אפשר להתחבר לשום שיתוף ולשום מקום שדורש שם וסיסמה בעצם.
אין שרת שאין אף אחד חוץ מדומיין קונטרולר שיודע את כל השמות והסיסמאות פה יפה אז להוסיף דומיין קונטרולר קיים זאת אופציה חשובה אבל זה לא מה שאנחנו רוצים לעשות כרגע אנחנו כרגע רוצים לעשות סניף חדש ניו דומיין סניף חדש בפורסט קיים בחברה קיימת סניף חדש נניח פתחנו סניף בסין מה זה אומר סניף נפרד זה אומר שיש שם אדמיניסטרטור נפרד כן זאת אומרת שיש שם גם
יוזרים וסיסמאות נפרדים זאת אומרת שהסניף מתנהל באופן עצמאי מבחינת האבטחה אבל יש להם משהו שנקרא דפי זהב גלובל קטלוג משותף עוד מעט נגיע לזה אז אנחנו מדברים על זה שאנחנו רוצים בעצם דומיין חדש מתחם אבטחה חדש בתוך חברה קיימת next הוא שואל אותי טוב אני לא מכיר אף אחד אני בכלל בוורקרופ תן לי שם של אחד הדומיינים אין לי דומיין שימו לב, לא שם של שרת, שם של דומיין.
אז אני עושה practicu.local, שזה הדומיין הזה. הוא אומר, תן לי שם וסיסמה שמותר להם להתחבר לשם. אני נותן שם וסיסמה במתחם ההוא, אדמיניסטרטור.
זאת אומרת, אני כרגע פותח סניף חדש בתוך חברה קיימת. סניף עם הרשאות נפרדות, עם מתחם אבטחה נפרד, מתחם אבטחה נפרד לחלוטין, אבל הוא מחובר לסניף הראשי.
יפה. הוא שואל אותי תן לי בבקשה שם מלא של הדומיין לאיזה דומיין אנחנו תחת איזה דומיין הולכים להיות.
יכולים להיות הרבה הרבה סניפים הרבה מתחמי אבטחה בחברה אחת ובוא תן לי איזשהו שם למתחם הזה שיהיה נניח זה הולך להיות מתחם אבטחה נפרד בראשה סניף ברוסיה אנחנו לא רוצים מפה לנהל להם את הסניף ואת היוזרים ולאפס להם משתמשים הם שמה ואנחנו פה.
אז יש שם מנהל רשת נפרד שהוא אחראי על כל הרשת שמה ואני מקים לו מתחם אבטחה נפרד נותן לו מתחם אבטחה נפרד ושינהל אותו רק כשאנחנו שייכים לאותה חברה זה ההבדל היחיד. אוקיי אז הוא הולך להיות המתחם שלו הולך להיות זה נקרא צ'יילד דומן המתחם שלו הולך להיות ראשה נקודה פרקטיקי הוא נקודה לוקאל.
נקסט עכשיו הוא שואל אותי איזה רמת תפקוד דומן פונקצ'ן לבל האם השרת הזה יתפקד כאילו הוא שרת 2003 או כאילו הוא שרת 2008 או כמו שרת 2008 R2. אם אני אבחר לו שרת 2008 אני לא יוכל בעתיד להתקין שרת 2003 שנראה כמו XP ועל שרת 2003 הזה לעשות DC Promo.
למה? כי התוכנה של 2003 זו תוכנה יותר ישנה מתוכנה של 2008 וזה לא הגיוני שדומיין קונטרולר אחד יהיו לו פונקציות חדשות ודומיין קונטרולר אחר יהיו פונקציות ישנות וכשהבן אדם יעבור אימות של שם וסיסמה הוא
כל פעם יקבל פונקציות אחרות, רמות תפקוד שונות. לדוגמה ב-2008 ניתן לעשות סיסמה באורך שונה למשתמש מסוים, זאת אומרת שלכולם יש 8 תווים ולמשתמש מסוים יש רק 3 תווים, 4 תווים.
ב-2003 לכולם יש מדיניות אחת, אז לא ייתכן מצב שדומיין קונטרולר אחד יהיה לו אותו יוזר יהיה מחויב לשמונה תווים ובדומיין קונטרולר אחר יוזר יהיה מחויב לארבע תווים למרות שזה בדיוק אותו מתחם אבטחה ולכן אני אומר לשרת 2008 תעבוד כאילו אתה 2003 אל תעשה את כל הפונקציות החדשות שלך למה כי אני ארצה בעתיד לקחת שרת 2003
ולהריץ עליו dc pomo שיהיה לי לגיבוי למה שאני ארצה לעשות את זה כי יש לי כבר רישיון כי יש לי כבר שרת 2003 ואני לא אזרוק אותו לים בגלל שיצא ווינדוס חדש אני רוצה להמשיך להשתמש בשרת 2003 הישן שלי שהוא עושה לי את העבודה ואני מוותר על הפונקציות החדשות של 2008 כמו אורך סיסמה שונה למשתמשים מסוימים יפה אז אני אומר לשרת שלי שיתפקד כאילו 2003
ועושה נקסט יפה הוא שואל אותי באיזה סייט אנחנו נמצאים זה אומר אזור גיאוגרפיה אנחנו יכולים לחלק את הרשת שלנו לאזורים גיאוגרפיים ולשלוט על הרפליקציה בין האזורים על העתקת נתונים בין האזורים נדבר על הסייטים בסרט נפרד עכשיו הוא שואל אותי מה להתקין על השרת הזה על השרת השני מה להתקין אני
אומר dns וגם שיהיה גלובל קטלוג מה זה גלובל קטלוג גלובל קטלוג זה דפי זהב של החברה זה העתק של כל היוזרים ללא הסיסמאות רק יוזר ואימייל שלו וטלפון שלו.
כמו דפי זהב של עיר מסוימת, ככה יש דפי זהב שיש להם מידע כללי בלבד לחברה שלי. לא משנה כמה סניפים יש לחברה, כל עוד כולנו שייכים לאותו פורסט, מכל הסניפים שיש לחברה, ולחברה יכולים להיות הרבה מאוד סניפים, אנחנו מעתיקים את כל האימיילים של כולם, את כל השמות,
את כל הטלפונים, מחלקות, כל מיני שדות שיש במשתמש, בשביל לעשות חיפוש מרוכז במערכת נניח אני מעוניין למצוא איפה יש לנו בן אדם בשם יוסי כהן אז אם לא היה גלובל קטלוג הייתי צריך להיכנס לכל דומיין לכל סניף בנפרד ולחפש שמה בזכות גלובל קטלוג אני יכול לעשות חיפוש ולחפש בכל החברה במכה אחת אנחנו נראה את זה בהמשך
הדרך אז גלובל קטלוג זה העתק של שדות לא שדות לחיפוש ולמידע ולא שדות לאבטחה. זאת אומרת, הוא לא מעטיק סיסמאות של כולם. מכל מתחמי אבטחה. זה נקרא Global Catalog.
אני, הכי קל להגיד את זה, דפי זהב של כל החברה. יפה מאוד. אז אני אומר, אתה תהיה גם שרת DNS פה, ואתה תהיה גם שרת Global Catalog, ועל שרת DNS אנחנו נדבר בהמשך הדרך.
יפה. בגדול, תסתכלו פה בצד שמאל, אתם יכולים לראות שב-DNS כתוב, מתחם, הדומיין שלי, מתחם האבטחה שלי, כתוב ב-dns וכתוב גם לאיזה שרת פונים בשביל למצוא גלובל קטלוג ובשביל למצוא סיסמאות ובשביל לדבר ב-Ldap מול אקטיב דירקטורי בדיוק לאיזה שרת פונים ואם אני אעשה דאבל קליק נניח על גלובל קטלוג אתם תוכלו לראות שכתוב פה ש-practice
הוא נקודה לוקל סרוויס נקרא גלובל קטלוג באיזה פורט לפנות עליו פורט 3268 ולאיזה שרת פונים בשביל לקבל שירותי גלובל קטלוג אותו דבר לגבי קרברוס אתם רואים קרברוס אני עושה דאבל קליק ואני רואה פה שבשביל למצוא קרברוס שזה מי שבודק שם וסיסמה צריך לפנות בפורט 88 לשרת כזה וכזה
srv0 81. זאת אומרת dns בעצם מסביר לתחנות העבודה מי אחראי על איזה שירות ומה הIP שלו שימו לב פה כתוב גם ש srv0 81 זה הIP שלו ולכן הDNS הוא בעצם קריטי בכל התפקוד של הדומיין כי הוא זה שאומר לתחנות העבודה ולכולם לאיזה שרת בדיוק לפנות כדי לקבל את השם והסיסמה בשביל לבדוק דברים.
אתם חייבים לזכור שבחברה יכולים להיות הרבה שרתים, שרתי דואר, שרתי קבצים, שרתי VPN. לאו דווקא כל שרת מחזיק את כל השמות והסיסמאות של כל העובדים.
לרוב שמים שני שרתי דומיין קונטרולר, שני שרתי Active Directory, וכל שאר השרתים עושים דברים אחרים. יפה מאוד.
אז אנחנו אומרים שהשרת הימני הולך להיות סניף חדש, סניף חדש, בחברה קיימת.
ובתור סניף נפרד אני רוצה שיהיה לו גם שרת DNS משלו, אוקיי? וגם Global Catalog שלא יהיה תלוי. שימו לב, אם הוא לא שרת DNS הוא תלוי בשרת השני ואם מתנתקת ביניהם תקשורת אי אפשר לעבוד.
נקסט הוא שואל אותי איפה לשים את הדאטאבייס עם כל היוזרים והשמות והסיסמאות. מסד נתונים שיכיל את כל הנתונים ואיפה לשים את הsysvol התיקייה שייבא את כל הגרופוליסי את כל המדיניות האבטחה שלנו פסוורט פסוורט זאת סיסמה למקרה חירום למקרה שבו נצטרך לשחזר אקטיב דירקטורי כשנגיע לפרק של גיבוי ושחזור אנחנו נדבר על אופציה זאתי של לשחזר אקטיב דירקטורי כרגע הוא מתחיל בעצם את ההתקנה
של DNS, של Active Directory, של Group Policies, קונסול, אנחנו נעצור את ההקלטה כי אין פה משהו לראות והוא יעשה ריסטארט, שמתי לו וי לעשות ריסטארט, ונראה איך שיש לנו שני דומיינים בעצם בחברה.
לאחר שיהיה לנו שני דומיינים בחברה ונבין מה המשמעות של זה, נתחיל סוף סוף לדבר על קבוצות, פשוט אתם חייבים להבין שקבוצות יש להן משמעות לגבי האם אתה מסתכל על קבוצה מדומיין אחד או מדומיין אחר ומי רואה את מה אז בשביל להדגים לכם קבוצות כמו שצריך אתם חייבים להכיר את הנושא של כמה
דומיינים בחברה אחת טוב אני אעשה pause ואני אחזור אליכם אחרי הריסטארט טוב חזרנו אחרי