Hálózati Operációs Rendszerek

1. Hálózati Operációs Rendszerek Az Active Directory felépítése és szolgáltatásai Előadó: Bilicki Vilmos bilickiv@inf.u-szeged.hu www.inf.u-szeged.hu/~bilickiv

2. Az előző előadás tartalma(1) • ADAM • ADAM vs. Active Directory • ADAM architektúra • ADAM fizikai architektúra • ADAM logikai architektúra • PKI és társai • Kivonat • Szimmetrikus titkosítás • Aszimmetrikus titkosítás • Digitális aláírás • Digitális tanúsítvány • Tanúsítvány hatóság

3. Az előző előadás tartalma(2) • Azonositási protokollok: • TLS • NTLM • Kerberos V5

4. Tartalom • Active Directory • Felépítés • Globális katalógus • Felhasználók, csoportok • Csoportházirend • Felépítése • Felhasználó menedzsment • Szoftver menedzsment

5. Forrás • Active Directory: • MOC 2154A • Csoport házirend: • http://www.microsoft.com/windowsserver2003/techinfo/overview/gpintro.mspx • Globális Katalógus • http://www.microsoft.com/resources/documentation/WindowsServ/2003/all/techref/en-us/Default.asp?url=/Resources/Documentation/windowsserv/2003/all/techref/en-us/w2k3tr_gcatg_how.asp

6. Az AD felépítése • Az Active Directory az LDAP tartományokat a következő egységekre képezi le • Tartomány • Fa • Erdő • Az elosztott tárolásnál nehézkes a keresés, ezért alkalmazza a Globális Katalógust • A replikáció alapegysége a partíció • Séma (minden szerveren közös) • Konfiguráció (minden szerveren közös) • Alkalmazás (Az azonos tartományba lévő szerevreken azonos)

7. Szülő Fa Gyökér Tartomány Szülő Tartomány contoso.msft Gyermek Gyermek Tartomány sales.contoso.msft ÚjTartomány Folyamatos névtér sales.contoso.msft Fa

8. Az erdő egy vagy több fa • Az erdőhöz nem tartozik egy folyamatos névtér contoso.msft Erdő nwtraders.msft sales. contoso.msft Fa marketing. nwtraders.msft sales. nwtraders.msft • Az erdő minden tartománya közös Konfigurációval, Sémával, és Globális Katalógussal rendelkezik Fa Erdő

9. Az erdőben elsőként létrehozott tartomány contoso.msft Erdő Gyökér Tartomány Globális Katalógus Erdő nwtraders.msft Konfiguráció és Séma Fa Gyökér Tartomány Fa Fa Válalati Rendszergazdák Séma Rendszergazdák marketing.nwtraders.msft sales.contoso.msft Erdő gyökér tartomány

10. Csökkenti a replikációs forgalmat Elkülönített biztonsági hatókörök A régi WinNT felépítés támogatása Elkülönülő rendszergazdai hatókörök Több tartomány jellemzői

11. A Globális Katalógus • Nehéz, hosszadalmas az általános keresés egy elosztott adatbázisban (pl.: minden nyomtatóra kíváncsi vagyok) • Egy olyan adatbázis amely az összes objektumot tartalmazza a leggyakrabban használt attribútumokkal • 3268-as port, LDAP hozzáférés (389-es a normál LDAP) • Írható/olvasható saját partíció • Csak olvasható másolat partíciók (az erdő összes partíciója) • PAS (Partial Attribute Set) - isMemberOfPartialAttributeSet • Funkciói: • Felhasználói belépés • Univerzális csoport kezelés (member) • Keresések • DNS bejegyzés • Replikáció

12. Egyszerűsítik a jogok kiosztását Group • Egy felhasználó több csoport tagja is lehet Group Group • A csoportok tartalmazhatják egymást Group Group Group Group Group Csoportok használata

13. DLG Domain Local Group Add Domain Global Group Add Tartomány Helyi csoportok Tartomány Helyi csoport szabályok Tagság • Mixed mode:Felhasználói fiókok és globális csoportok bármely tartományból • Native mode:Felhasználói fiókok, globális csoportok, univerzális bármely tartományból. Tartományi helyi csoportok az adott tartományból Tagja lehet • Mixed mode: Nem lehet tagja semminek • Native mode: Tartományi helyi csoport az adott tartományban Hatókör • Csak saját tartományán belül Engedélyek • Arra a tartományra melyen belül létezik

14. Add Add Global Group Globális Csoportok használata Globális Csoport Szabályok Tagság • Mixed mode:Az azonos tartományban lévő felhasználók • Native mode:Az azonos tartományban lévő felhasználók és csoportok Tagja lehet • Mixed mode: Tartományi Helyi csoport • Native mode: Univerzálisés Tartományi Helyi bármely tartományban, globális csoportok a helyi tartományban Hatókör • Saját és minden megbízott tartományban Engedélyek • Az erdő minden tartományában

15. Universal Group Add from Multiple Domains Global Group Univerzális Csoportok Univerzális Csoport Szabályok Tagság • Mixed mode:Nem használható • Native mode: Felhasználói fiókok, globális és univerzális csoportok az egész erdőből Tagja lehet • Mixed mode:Nem használható • Native mode: Tartományi helyi és Univerzális csoportnak minden tartományban Hatókör • Mindenhonnan Engedélyek • Mindenhova

16. Adjuk hozzá a felhasználókat a glob. Csop.-hoz Globális Csoport Felh. Ágyazzuk egymásba a glob. Csop.-kat Globális Csoport Globális Csoport Adjuk hozzá minden tart. Glob. Csop.-ját az Univ. Csop.-hoz Globális Csoport Univerzális Csoport Adjuk hozzá az univ. Csop.-ot A Helyi. Bizt. Csop.-hoz minden tartományban DLG Tart. Helyi Csop. Univerzális Csoport Állítsuk be a jogosultságokatminden tartományban a Helyi csoportokra DLG Jogok Tart. Helyi Csop Beágyazási stratégia

17. Global Catalog Server Felh. Bej. A GlobálisKatalógusszolgáltatja: • Univerzális csoport tagság információ • Tartomány információ, egyedi név használat esetén (bilickiv@inf.u-szeged.hu) Domain Domain Domain Domain Domain Felhasználói bejelentkezés

18. Csoportházirend • Bevezető • A Csoportházirend struktúrája • Csoportházirend objektumok • Csoportházirend és az Active Directory • Öröklődés

19. Site Group Policy Domain Users OU Computers A rendszergazda egyszer beállítja A Windows folyamatosan ellenőrzi Bevezető A csoportházirend segítségével: • Központosított és elosztott menedzselés • Felhasználói környezetek beállítása • Vállalati szabályok érvényesítése

20. Lehetséges beállítások Adminisztratív minta Registry alapú csoportházirend beállítás Biztonság Helyi, tartomány, hálózati beállítások Szoftver telepítés Központi szoftver menedzselés Szkriptek Indítás, leállítás, belépés, kilépés Távoli Telepítés Szolgáltatás RIS beállítások Internet Explorer karbantartás IE testreszabás Mappa átirányítás Felhasználói mappák szerveren tárolása Csoportházirend beállítások

21. Az Active Directory-ban tárolódik • Verzió információt biztosít a tartomány vezérlőknek Group Policy Container (GPC) Csoportházirend objektum Group Policy Template (GPT) • A tartományvezérlő megosztott Sysvol mappájában van • A kilensek innen töltik le a beállításokat • Tartalmazza a beállításokat • Két helyen van tárolva Csoportházirend objektumok

22. Számítógép Felhasználó Felhasználók és gépek menedzselése • Számítógépek beállításai: • Operációs rendszer beállítások, asztal viselkedés, biztonsági beállítások, indulási/leállási szkriptek, alkalmazás tulajdonságok • Akkor érvényesíti amikor a rendszer indul • Felhasználók beállításai: • Operációs rendszer beállítások, asztal viselkedés, biztonsági beállítások, bejelentkezési/kijelentkezési szkriptek, alkalmazás tulajdonságokmappa átirányítások. • A felhasználó bejelentkezésekor érvényesítődnek

23. Tartomány OU GPO OU GPO Hely GPO Tartomány GPO OU Hely OU OU AD Tárolók • A GPO beállítások érvényesíthetőek: • Helyek • Tartományok • Szervezeti egységek szintjén • Egy GPO több helyen is alkalmazható • Egy tárolón több GPO is alkalmazható

24. Hely Tartomány OU Domain GPO Tartomány Könyvelés Számítógépek Felhasználók Öröklődés Az öröklődés sorba megy végbe a tartományok, … között A gyermek tárolók öröklik az ősöktől a GPO beállításokat

25. A gép beállításai érvénybe lépnek • Az indulási programok lefutnak A számítógép indul • Felh. beállítások érvényesítődnek • Belépési programok lefutnak A felhasználó belép A beállítások feldolgozása The GetGPOList függvény lefut mindkét alkalommal: • Több külön DDL segít a feldolgozásban (Userenv.dll, Dskvota.dll, Fdelpoy.dll, …)

26. A feldolgozás szabályozása • Szinkron és aszinkron feldolgozás • Az alapértelmezett a szinkron feldolgozás • Aszinkron feldolgozásnál az egyes programok nem várják meg egymás lefutását • Csoportházirend frissítése: • A kliensek 90 percenként • A tartományvezérlők 5 percenként • Változatlan házirendek feldolgozása • Be tudjuk állítani, hogy akkor is feldolgozza, ha az előző feldolgozás óta nem változott

27. Lassú kapcsolatok • Csoportházirend érzékeli a lassú kapcsolatokat • Lassú kapcsolatokra be tudjuk állítani az egyes szabályok feldolgozását • Pl.: programok telepítése

28. Ütközések feldolgozása • Minden házirend érvényesítődik amíg nincs ütközés • Az utolsó szabály lesz érvényes • A gyermek tárolóra érvényesített házirend a nyerő • Ha ugyanazon a szinten vannak akkor a kisebb sorszámú az érvényes • A számítógép beállítás erősebb mint a felhasználói prioritás

29. Tartomány Termelés Könyvelés GPOs Nem érvényesül a GPO Az öröklődés blokkolása Az öröklődés blokkolása: • Letiltja az öröklődést minden szülőtől • Nem válogathatjuk ki a blokkolandó szabályokat • Nem erőseb mint a Felülírás tiltása szabály

30. Konfliktus Felülírás tiltása Felülírás tiltása Felülírás tiltása: • Felülírja az öröklődés tiltását • Az Active Directory tétején célszerű létrehozni • Vállalati szabályokat tesz lehetővé Tartomány Termelés Könyvelés Érvényesül

31. Registry HKEY_LOCAL_MACHINE HKEY_CURRENT_USER Administrative Templates Settings Script Settings Redirecting User Folders Security Settings Manage User Environments MyDocuments Felhasználói környezet testreszabása • Kinek mihez van joga • Környezet • Új felhasználó/szamítógép beállításai • Központosított felh. Környezet menedzselés • Szabványos konfigurációk kényszerítése • Felhasználók jogköreinek beállítása • Adatok központi tárolása • A környezet testreszabása • Biztonság beállítása

32. Adminisztratív sablonok • A Registry beállításokat adhatjuk velük • HKEY_LOCAL_MACHINEszámítógép • HKEY_CURRENT_USERfelhasználó • Ha a GPO-t eltávolítjuk, a régi registry bejegyzések visszaállítódnak

33. Registry.pol fájlok tartalmazzák az új értékeket Sysvol Registry.pol GPO List Registry.pol 1 Registry.pol Registry.pol HKCU 4 2 HKLM GPT 3 A gép elindul a felhasználó belép, az LDAP-ban lekéri a szükséges házirend azonosítókat A kliens a SYSVOL megosztáshoz csatlakozik és letölti a Registry.pol fájlokat A klines módosítja a megfelelő registry alfát (HKLM and HKCU) Bejelentkezési ablak megjelenik Sablonok feldolgozása

34. Beállítás típusa Hatása Elérhető WindowsKomponens A Windows komponensekhez való hozzáférés joga (pl.: MMC) Rendszer Kilépés, belépés, csoport házirend, kvóták Hálózat Hálózat tulajdonságai, betárcsázás Nyomtatók Nyomtatók publikálása, … Start MenüésTálca AStartmenü testreszabhatósága, tartalma Asztal Ikonok, … Vezérlő Pult Beállítási jogok Sablonok

35. Személyes mappák átirányítása A dokumentumok a szerveren vannak tárolva, ezt a felhasználó nem látja MyDocuments MyDocuments Mappa átirányítás Előnyei: • Az adat mindég hozzáférhető a bejelentkezési helytől függetlenül • Központi adattárolás • A fájlok nem mentődnek a kliensen

36. Mappa Tartalma Miért érdemes My Documents Személyes adatok Bárhonnan elérheti a fájlait Start Menu AStart menü tartalma AStartmenü követi a felhasználót Desktop Az asztalon lévő fájlok Az asztal követi a felhasználót ApplicationData Alkalmazás fájlok Az alkalmazások beállításai követik a felhasználót Átirányítható mappák

37. Előkészület A Szoftver telepítő fájlok beszerzése Telepítés A Szoftver telepítődik Eltávolítás A Szoftver eltávlítódik Karbantartás A Szoftver karabtartása és újratelepítése Bevezetés a szoftver telepítés rejtelmeibe

38. Windows Installer Windows Installer Szolgáltatás Windows Installer Csomag • Egy kliens oldali program mely teljesen automatizálja a telepítést és konfigurálást • Használható a már telepített alkalmazás módosítására és javítására is. • Minden információt tartalmaz a Windows Installer számára az alkalmazás telepítéséhez, eltávolításához • Egy .msi fájlt és más szükséges fájlokat tartalmaz • Összesített információt tartalmaz az alkamazásról és a programról is • Tartalmaz egy hivatkozást az alkalmazás telepítési helyére A Windows Installer használatának előnyei • Rugalmas alkalmazások • Tiszta eltávolítás

39. Szoftver Telepítése • Szoftver Telepítés • Szoftver Elosztó Központ létrehozása • Szoftver Kiosztása • Szoftver Publikálása • Csoportházirend használata Szoftver telepítésre • Az alapértelmezett beállítások

40. TaskFeladatoks Szoftver Telepítése Windows Installer csomag beszerzése A csomag elhelyezése az elosztó ponton GPO létrehozása vagy módosítása GPO alkalmazása

41. Lépések: Olvasási Jogok Amikor a Szoftver Elosztó Központot létrehozzuk: Az alkalmazás nevével hozzunk létre egy mappát Használjunk rejtett megosztást Használjunk DFS-t Szoftver elosztó központ létrehozása Megosztott mappa létrehozása Megfelelő almappák létrehozása A Windows Installer csomag és fájlok bemásolása a megfelelő mappába A felhasználóknak olvasási jogot kell adnunk a mappára

42. A Felhasználói Konfigurációban Az alkalmazás telepítődik amikor a felhasználó futtatni szeretné Start Számítógép Konfigurációban Az alkalmazás telepítődik amikor a gép újraindul Szoftver Kiosztása SzoftverElosztó Központ

43. Programok Hozzáadása/Eltáv. Az alkalmazás telepítődik amikor a felhasználó a Vezérlő pultban a program Hozz./Eltáv. segítségével telepíti. ? Dokumentum Aktiváció Az alkalmazás akkor telepítődik amikor a felhasználó az adott típusú dokumentumra kattint. Szoftver Publikálása Szoftver Elosztó Központ

44. A Csoportházirend Használata alkalmazás telepítésére Szoftver Telepítése A megfelelő Géphez, vagy Felhasználóhoz kötődő GPO létrehozása/módosítása A telepítendő csomag kiválasztása A telepítési mód kiválasztása A szoftver tulajdonságainak konfigurálása Telepítés Típus Telepítés Opció

45. Software installation Properties General File Extensions Categories Default package location: Browse... New packages When adding new packages to user settings: Display the Deploy Software dialog box Publish Assign Advanced published or assigned Installation user interface options Basic Maximum Uninstall the applications when they fall out of the scope of management. OK Cancel Apply A Szoftver Telepítés alapértelmezett beállítások

46. North America Paris Bonn Egy példány a szerveren Angol szótár GPO GPO GPO Francia Szótár Német Szótár Szoftver változatok használata

47. Add/Remove Programs Példa: Add Programs from CD-ROM or Floppy To add a new program from a floppy disk or CD-ROM drive, click CD or Floppy. Grafika PhotoDraw Microsoft Office Access Excel PowerPoint Word Kommunikáció Outlook Change or Remove Programs Add Programs from the Internet To add new features, programs, and system updates from Microsoft Windows Update, click Internet. Internet CD or Floppy Close Add Programs from your Corporate Network: Category: All Add New Programs All Accounting Software Desktop Publishing Expense Reports Internet Utilities Word Processing All Microsoft Office 2000 Premium Edition Click here for more information. To add this program to your computer, click Add. Configure Windows Szoftver Kategóriák létrehozása

48. Könyvelés GPO Word 2000 Könyvelés Filename.doc Word 2000 • GPO segítségével határozzuk meg az alkalmazást • A prioritás megváltozása csak a megfelelő felhasználókat érinti Word 97 Kereskedelem GPO Word 97 Kereskedelem Filename.doc Fájl kiterjesztések kapcsolása alkamazásokhoz

49. Az 1.0-ás verzió fut A 2.0-ás települ A Telepített Szoftver frissítése Kötelező Telepítés Választható Frissítés A felhasználók csak a 2.0-ást használhatják A felhasználók dönthetnek a használt verzióról

50. Újratelepítés A javító csomag a szerveren A csomag újratelepítve A felhasználó belép és aktiválja a szoftvert Szoftver Újratelepítése