Стратегия создания и использования групп.

При создании и использовании групп следует придерживаться следующих правил:

1. Включать глобальные учетные записи пользователей (A ccounts) в глобальные группы (G lobal groups). Глобальные группы формируются обычно по функциональным обязанностям сотрудников.

2. Включать глобальные группы в доменные локальные или локальные на простом сервере или рабочей станции (L ocal groups). Локальные группы формируются на основе разрешений для доступа к конкретным ресурсам.

3. Давать разрешения (P ermissions) на доступ к ресурсам локальным группам.

Такой подход облегчает управление доступом к ресурсам по сравнению с назначением разрешений напрямую учетным записям пользователей. Например, при переходе сотрудника с одной должности на другую или из одного подразделения в другое достаточно соответствующим образом поменять его членство в различных группах, и разрешения на доступ к сетевым ресурсам автоматически будут назначены уже исходя из его новой должности.

ÿ Создайте Глобальную Группу «Студенты»

Встроенные и динамически формируемые группы.

Кроме тех групп, которые создает администратор, на компьютерах локально или во всем домене существуют встроенные группы, созданные во время установки системы или создания домена. Кроме встроенных групп в процессе работы системы формируются динамические группы, состав которых меняется в зависимости от ситуации.

Перечислим наиболее часто используемые на практике встроенные и динамические группы.

Встроенные локальные группы (на рабочей станции или сервере)
Название группы	Описание
Администраторы	Могут выполнять все административные задачи на данном компьютере. Встроенная учетная запись Администратор, которая создается при установке системы, является членом этой группы. Если компьютер является членом домена, то в эту группу включается глобальная группа Администраторы домена.
Операторы резервного копирования	Члены группы могут выполнять вход на данный компьютер, выполнять резервное копирование и восстановление данных на этом компьютере, а также завершать работу этого компьютера.
Администраторы DHCP (создается при установке службы DHCP Server)	Члены этой группы могут администрировать службу DHCP Server.
Операторы сетевой конфигурации	Члены группы могут изменять настройки TCP/IP, а также обновлять и освобождать IP-адреса, назначаемые автоматически.
Пользователи монитора производительности	Члены группы могут следить за счетчиками производительности на конкретном сервере локально или удаленным образом.
Пользователи журнала производительности	Члены группы могут администрировать журналы производительности, счетчики и оповещения на конкретном сервере локально или удаленным образом.
Опытные пользователи	Члены группы могут создавать и модифицировать учетные записи пользователей, а также устанавливать программы на локальном компьютере, но не могут просматривать файлы других пользователей. Члены группы могут создавать и удалять локальные группы, а также добавлять и удалять пользователей в группах, которые они создали. Члены группы могут добавлять и удалять пользователей в группах Опытные пользователи, Пользователи и Гости.
Операторы печати	Члены группы могут управлять принтерами и очередями печати на конкретном сервере.
Пользователи удаленного рабочего стола	Членам группы разрешается выполнять подключение к удаленному рабочему столу компьютера.
Пользователи	Члены этой группы могут локально входить в систему на данном компьютере, работать с программами, сохранять документы и завершать работу данного компьютера. Они не могут устанавливать программы или вносить изменения в систему. Если компьютер является членом домена, то в эту группу включается глобальная группа Пользователи домена. В эту группу также включаются динамические группы Интерактивные и Прошедшие проверку.
Встроенные доменные локальные группы
Название группы	Описание
Администраторы	Членам группы предоставляются права администратора на всех контроллерах домена и в самом домене. Учетная запись Администратор, группы Администраторы предприятия и Администраторы домена являются членами данной группы.
Операторы учетных записей	Члены группы могут создавать, удалять и управлять учетными записями пользователей и группами. Они не могут модифицировать группу Администраторы, Администраторы домена, Контроллеры домена или любую из групп Операторы.
Операторы резервного копирования	Члены группы могут выполнять резервное копирование и восстановление данных на всех контроллерах домена, а также могут выполнять вход на контроллеры домена и завершать их работу.
Администраторы DNS (создается при установке службы DNS)	Члены группы имеют административный доступ к серверам DNS.
Операторы сетевой конфигурации	Члены группы могут изменять настройки TCP/IP на контроллерах доменов.
Пользователи монитора производительности	Члены группы могут следить за счетчиками производительности на контроллерах домена.
Пользователи журнала производительности	Члены группы могут управлять журналами производительности, счетчиками и оповещениями на контроллерах домена.
Операторы печати	Члены группы могут управлять работой принтеров домена
Операторы сервера	Члены группы могут выполнять большинство административных задач на контроллерах домена, за исключением изменения параметров безопасности.
Пользователи	Члены этой группы локально могут входить в систему на данном компьютере, работать с программами, сохранять документы и завершать работу данного компьютера. Они не могут устанавливать программы или вносить изменения в систему. Группа Пользователи домена является по умолчанию членом данной группы.
Встроенные глобальные группы.
Название группы	Описание
Администраторы домена	Эта группа автоматически включается в локальную в домене группу Администраторы, поэтому члены группы Администраторы домена могут выполнять административные задачи на любом компьютере данного домена. Учетная запись Администратор включается в эту группу по умолчанию.
Компьютеры домена	Все контроллеры, серверы и рабочие станции домена являются членами этой группы.
Контроллеры домена	Все контроллеры домена являются членами этой группы.
Пользователи домена	Все глобальные учетные записи домена входят в эту группу. Эта группа автоматически включается в локальную доменную группу Пользователи.
Администраторы предприятия (создается только в корневом домене леса)	Эта группа предназначена для пользователей, которые должны иметь права администратора в масштабах всего леса. Администраторы предприятия автоматически включается в группу Администраторы на всех контроллерах домена в данном лесу.
Администраторы схемы (создается только в корневом домене леса)	Члены этой группы могут изменять схему Active Directory.
Динамические группы
Название группы	Описание
Интерактивные	В эту группу включается учетная запись любого пользователя, который локально вошел в систему на данном компьютере.
Прошедшие проверку	Любой пользователь, зарегистрировавшийся в данном домене или домене, имеющим с данным доменом доверительные отношения.
Все	Любая учетная запись, включая те, которые не прошли проверку на контроллерах доменов.

 

Создание резервной копии АD

Создадим резервную копию AD. Запустим на существующем контроллере домена утилиту ntbackup, выберем архивацию файлов и параметров, выберем для архивации папку, например «Мои документы» укажем путь для создания файла с резервной копией и нажмем кнопку "Архивировать" (рисунок 5.1).

Рисунок 5.1 – Программа архивации

На следующем шаге — нажать кнопку "Дополнительно" (рисунок 5.2).

Рисунок 5.2 – Задание параметров архивации

В открывшейся панели — убрать галочку у поля "Автоматически архивировать защищенные системные файлы вместе с состоянием системы" (рисунок 5.3).

Рисунок 5.3 – Дополнительные параметры архивации

После создания резервной копии AD файл с резервной копией желательно скопировать на жесткий диск того сервера, который будет преобразовываться в контроллер домена. Затем надо разархивировать резервную копию утилитой ntbackup. При этом обязательно надо указать, что восстанавливать данные надо в альтернативное размещение и указать папку для размещения восстановленных данных (рисунок 5.4)

Рисунок 5.4 – Восстановление архива

ÿ Создайте архив папки «Мои документы» и затем выполните восстановление из архива.