مدیریت متمرکز منابع شبکه؛ آموزش ADDS، GPO و DFS (پودمان چهارم)

وقتی سازمان ده کارمند داشت، گروه کاری جواب می‌داد؛ اما حالا صد نفرند، هر کس حساب و مجوز جدا دارد و مدیر شبکه دیوانه شده! راه‌حل کتاب: مدیریت متمرکز با شبکه Domain. در پودمان چهارم کتاب نصب و نگهداری تجهیزات شبکه و سخت‌افزار یاد می‌گیری با ساخت سرویس‌دهنده Domain Controller و سرویس Active Directory، همه کاربران و منابع سازمان را از یک نقطه مدیریت کنی و با سیاست‌های گروهی (GPO) حتی بگذرواژه‌ها را هم از راه دور قانون‌گذاری کنی. این پودمان سنگین‌ترین مفاهیم کتاب را دارد ولی وقتی منطقش را بگیری، جذاب‌ترینش هم هست.

Domain، Tree، Forest و DC چیستند؟

Domain یک مرز امنیتی و مدیریتی است که کاربران و رایانه‌ها را زیر یک چتر واحد جمع می‌کند. ساختارها مثل درخت رشد می‌کنند: یک دامنه ریشه (Root Domain) با چند دامنه فرزند (Sub Domain) یک Domain Tree می‌سازد و مجموعه درخت‌هایی که با هم مدیریت متمرکز دارند، Forest نامیده می‌شود. مثلاً اگر شبکه هنرستان بخواهد با شبکه اداره ناحیه آموزش و پرورش به‌صورت متمرکز ادغام شود، آن‌ها را در یک Forest پیاده‌سازی می‌کنیم. رایانه سرویس‌دهنده‌ای که سرویس ADDS رویش نصب و پیکربندی شده، Domain Controller یا همان DC نامیده می‌شود و وظیفه‌اش شناسایی کاربران و مدیریت دسترسی‌هاست؛ یادت باشد سیستم‌عامل DC باید از نوع سرور مثل Windows Server 2012 باشد و IP آن هم همیشه استاتیک تنظیم می‌شود.

نصب و پیکربندی ADDS

مسیر کار در Server Manager روشن است: اول با حساب administrator وارد ویندوز سرور شو، آدرس IP را استاتیک کن و Preferred DNS Server را روی همان سرور بگذار (اگر DNS را از قبل تنظیم نکنی، نصب ADDS خودش 127.0.0.1 را پیشنهاد می‌دهد). بعد Add Roles and Features را باز کن و نقش Active Directory Domain Services را انتخاب و نصب کن. ولی نصب کافی نیست؛ باید سرویس را پیکربندی هم بکنی: یک دامنه جدید (مثلاً school.com) تعریف کن و گذرواژه بازیابی سرویس AD را مطابق استاندارد تعیین کن. بعد از راه‌اندازی مجدد، رایانه‌ات یک DC واقعی است و ابزارهای مدیریت مثل Active Directory Users and Computers به فهرست Tools اضافه شده‌اند.

شیء، صفت، OU و انواع حساب‌ها

در دنیای AD همه‌چیز یک Object (شیء) است و هر شیء با مجموعه‌ای از صفت‌ها (Attribute) توصیف می‌شود؛ مثلاً صفت‌های کاربر شامل نام، نام خانوادگی و رایانامه است. حساب‌ها سه نوع‌اند: حساب کاربری (User) برای ورود و احراز هویت، حساب گروهی (Group) برای مدیریت راحت‌تر دسته‌ای کاربران و حساب رایانه (Computer) برای اتصال امن رایانه عضو دامنه. برای نظم دادن به این اشیا از واحد سازمانی یا OU استفاده می‌کنی؛ یک گروه مدیریتی داخل دامنه که می‌تواند حساب کاربری، رایانه، چاپگر و هر شیء دیگری را در خود جای دهد. شرکت‌ها معمولاً OUهایی مثل کارگزینی، حسابداری و آموزش می‌سازند. نکته بامزه کتاب: OU تنها Container است که کاربر می‌سازد و تنها OU که خود ADDS می‌سازد Domain Controllers است. حین ایجاد OU، گزینه Protect from accidental deletion را روشن نگه دار تا با یک کلیک اشتباه ناپدید نشود!

مدیریت هوشمند کاربران: الگو و گروه‌ها

برای ساختن ده‌ها حساب شبیه هم، به‌جای تایپ دوباره، یک حساب الگو (Template) بساز: مثلاً std-temp با سیاست User must change password at next logon و گزینه Account is disabled؛ بعد از راست‌کلیک روی آن، Copy را بزن و فقط مشخصات کاربر جدید را وارد کن. مدیریت کاربران هم سه کار اصلی دارد: Reset Password برای فراموشی گذرواژه (با فعال کردن گزینه تغییر در ورود بعدی، تا مدیر خودش گذرواژه را نداند!)، Disable Account برای کاربری که فعلاً استفاده نمی‌شود و Delete برای حذف قطعی. یادت باشد با حذف حساب، همه مشخصات و عضویت‌ها پاک می‌شود و برگشت‌پذیر نیست؛ پس اول غیرفعال کن، بعد با اطمینان حذف کن.

گروه‌ها دو نوع‌اند: گروه امنیتی (Security) برای اعطای مجوز به منابع و گروه توزیعی (Distribution) فقط برای لیست‌های رایانامه‌ای. حوزه عملکرد (Scope) هم سه حالت دارد: Domain Local برای مدیریت مجوز روی منابع، Global برای دسته‌بندی کاربران بر اساس کار و Universal برای مدیریت مجوز در بیش از یک دامنه. با برگه Member Of می‌توانی یک کاربر را عضو گروه کنی و با برگه Members اعضای گروه را ببینی.

عضو کردن رایانه در Domain

قبل از عضو کردن رایانه، بهتر است یک حساب رایانه در یک OU مشخص بسازی و نام آن را دقیقاً همان نام رایانه در System Properties بگذاری؛ وگرنه هنگام عضویت، حساب رایانه در پوشه پیش‌فرض Computers ساخته می‌شود که قابل سیاست‌گذاری نیست. مراحل عضویت: DNS گیرنده را روی IP سرور تنظیم کن، از System Properties گزینه Domain را انتخاب و نام دامنه را بزن، مشخصات یک کاربر مجاز (معمولاً administrator) را وارد کن و بعد از پیام خوش‌آمدگویی، راه‌اندازی مجدد کن. بعد از عضویت، صفحه ورود دو حالت دارد: ورود با حساب دامنه (که همه‌جا قابل استفاده است) و ورود با حساب محلی با قالب ComputerNameUserName. اگر حساب رایانه تعریف نکنی، هر کاربر دامنه حداکثر ۱۰ بار می‌تواند رایانه را عضو کند — نکته امتحانی خوبی است!

GPO؛ قانون‌گذاری از راه دور

Group Policy یا سیاست گروه، مجموعه تنظیماتی است که می‌توانی روی کاربران و رایانه‌های دامنه اعمال کنی. دو نوع GPO داری: Local GPO که فقط روی همان یک رایانه اثر دارد و Domain-Based GPO که روی همه یا بخشی از دامنه اعمال می‌شود. کاربردهایش بی‌نهایت است: بستن رجیستری برای همه هنرجویان، فعال‌سازی صفحه‌قفل و حتی قانون‌گذاری روی گذرواژه‌ها. در بخش Account Policies دو سیاست مهم داری: Password Policy که می‌گوید گذرواژه حداقل چند نویسه باشد، چقدر پیچیده باشد، چند تا از گذرواژه‌های قبلی قابل استفاده نباشد و چند روز یک‌بار عوض شود؛ و Account Lockout Policy که بعد از تعداد مشخصی ورود ناموفق (مثلاً ۳ بار)، حساب را برای مدتی قفل می‌کند تا هکر بگذرواژه‌ات را حدس نزند — همان رفتاری که دستگاه ATM با کارت تو می‌کند! برای اعمال سریع تنظیمات، در Run دستور gpupdate را بزن. اگر هم کاربری قفل شد، از پنجره مشخصاتش گزینه Account is locked out را بردار.

File Services و DFS؛ منابع در یک آدرس واحد

ویندوز سرور سرویس File Services را دارد که با ابزار File And Storage Services پوشه‌ها را به اشتراک می‌گذارد؛ ویندوز سرور ۲۰۱۲ دو پروتکل اشتراک دارد: SMB برای همه نسخه‌های ویندوز و NFS برای سیستم‌های Linux و UNIX. جالب‌تر، سرویس DFS Namespaces است: وقتی پوشه‌های اشتراکی روی چند سرور مختلف پراکنده‌اند، DFS یک فضای نامی واحد می‌سازد تا کاربر بدون حفظ کردن اسم تک‌تک سرورها، به هر پوشه‌ای از یک آدرس واحد (مثل \school2.comProgram) دسترسی داشته باشد. فضای نامی دو نوع دارد: Domain-based برای شبکه دامنه و Stand-alone برای گروه کاری. نوع دیگری از خدمات هم Print Server است: با ابزار Print Management چاپگر نصب، درایور تعریف و چاپگر به اشتراک گذاشته می‌شود تا همه کاربران سازمان از یک چاپگر مشترک استفاده کنند؛ سندهایی که در صف چاپ قرار می‌گیرند Print Job نام دارند و گروه Everyone به‌صورت پیش‌فرض اجازه چاپ دارد.

چک‌لیست ارزشیابی پودمان چهارم: نصب و پیکربندی ADDS + ساخت OU و حساب کاربری و گروه + عضو کردن دو گیرنده در دامنه + ایجاد GPO با سیاست گذرواژه و قفل حساب + نصب File Services و ساخت فضای نامی DFS. پنج مرحله، پنج نمره‌سنگ!