Katalogi i Profile zdalne (mobilne)
Stworzenie grup użytkowników domeny
• W celu ułatwienia konfiguracji proszę stworzyć na serwerze jednostki organizacyjne JOrg1, JOrg2. Będą one zawierały zbiory zasad skojarzone z odpowiednimi użytkownikami.
◦ Server Manager → Tools → Active Directory Users and Computers →domena (na przykład domena*.local) → New → Organizational Unit
• Kolejną czynnością jest stworzenie dwóch grup użytkowników GUrz1, GUrz2 wewnątrz odpowiednio JOrg1 i JOrg2.
◦ New → Group; Najlepiej by grupy te były typu standardowego (Group scope = Global)
• Następnie wewnątrz odpowiednich jednostek organizacyjnych proszę stworzyć po 2 użytkowników, odpowiednio g1u1, g1u2, g2u1, g2u2 i dodać ich do odpowiednich grup.
◦ New → User → User Logon Name = …, password = …, proponuję !@#QWEasdzxc oraz odznaczyć user must change password on next logon i zaznaczyć password never expires.
◦ Użytkownik …. → Add to a group
• Teraz powinno się dać zalogować na komputerze klienckim do 4 nowych kont domenowych (na przykład g1u1, g1u2, g2u1, g2u2).
• Można ograniczać dostęp do kont domenowych poprzez wprowadzanie ograniczeń dotyczących czasu logowania jak również komputera z jakiego logowanie jest możliwe. Proszę tymczasowo usunąć możliwość logowania z poziomu aktualnego komputera klienckiego i/lub w bieżącym czasie i popatrzeć jaki komunikat wyświetli się na komputerze klienckim.
◦ Użytkownik … → Properties → Logon hours (ograniczenia czasowe) i Logon To
(ograniczenia dot z którego komputera się można połączyć, to ustawienia może wymagać restartu komputera klienta, co jest odradzane)
◦ Po tym należy przywrócić normalny dostęp do tego konta domenowego.
Dodanie katalogów udostępnionych
Bardzo wygodne jest, aby użytkownicy domeny automatycznie „podmontowali” sobie katalogi
wspólne dla grup lub poszczególnych użytkowników pod odpowiednie litery dysków, co bardzo ułatwi im pracę. Zawartość tych katalogów będzie fizycznie przechowywana w jednym punkcie, na przykład na serwerze domeny, a dostęp do plików będzie odbywał się „poprzez sieć”.
• Proszę stworzyć na serwerze katalogi wspólne dla grup oraz użytkowników, na przykład c:\sklad\g1u1, c:\sklad\g1u2, c:\sklad\g2u1, c:\sklad\g2u2, c:\sklad\GUrz1, c:\sklad\GUrz2.
• Proszę ponadawać odpowiednie uprawnienia tym katalogom, na przykład do katalogu g1u1 powinien mieć dostęp (oczywiście pełen) użytkownik g1u1, a do katalogu GUrz2 grupa GUrz2.
◦ Eksplorator plików → Katalog … → Properties → Security …
• Następnie należy udostępnić te katalogi, dbając o zapewnienie odpowiednich uprawnień (katalog użytkownika ma być udostępniony odpowiedniemu użytkownikowi, a katalog
„grupowy” ma być udostępniony grupie).
◦ Properties → Sharing → Advanced Sharing →Share this folder, Permissions →
Everyone→ Remove; Permissions → Add →nazwa użytkownika lub grupy (na przykład g1u1… GUrz2)→ Full Control → Allow.
• Po udostępnieniu tych katalogów na serwerze trzeba sprawdzić, czy rzeczywiście są one dostępne z poziomu klienta. Można tego dokonać patrząc jakie katalogi oferuje serwer w
„otoczeniu sieciowym”. Najszybciej uzyskać do nich dostęp przechodząc w eksplorerze plików do ścieżki \\ip_serwera\ . Warto zauważyć, że przeglądanie katalogów udostępnionych podczas pracy z domeną jest znacznie szybsze, niż w przypadku korzystania z tzw. grup roboczych MS.
• Kolejnym zadaniem jest dodanie automatycznego montowania katalogów udostępnionych użytkownikom domenowym.
◦ Server Manager → Tools → Active Directory Users and Computers →nazwa użytkownika domenowego (na przykład g1u1...g2u2)→ Properties → Profile → Connect → wybór litery; To= ścieżka do udostępnionego katalogu, na przykład \\10.10.*.1\g1u1, lub używając zmiennej \\10.10.*.1\%username%
◦ Po powtórnym zalogowaniu na komputerze klienta powinien się pojawić „dysk zdalny”
będący podmontownym katalogiem na serwerze (domyślnie litera Z:).
Profil zdalny (mobilny, wędrujący)
Profil mobilny to specjalny typ konta domenowego, który zawiera wszelkie ustawienia konta i przechowuje je na serwerze domeny. Klient zawsze, gdy używa profilu zdalnego synchronizuje zawartość lokalną profilu tego użytkownika z profilem przechowywanym na serwerze. Takie rozwiązanie jest bardzo wygodne dla administratora, niestety wymaga przesyłania ogromnej ilości danych w celu poprawnej synchronizacji profili z serwerem
• Normalnie serwer nie będzie miał dostępu do plików profilu mobilnego, aby nie mieć później z tym problemów można dodać ustawienie Computer Configuration → Policies →
Administrative Templates → System → User Profiles → „Add the Administrator security group to roaming users profiles”
• Pierwszą rzeczą jest stworzenie katalogu (na przykład c:\profile), który będzie zawierał profile mobilne. Powinie on następnie być udostępniony (na przykład jako udział profile)
użytkownikom domenowym, którzy będą używali profili zdalnych. Ważne jest, aby katalog ten
nie był udostępniony każdemu (Properties → Sharing → Advanced Sharing →Everyone → Remove), ale udostępniony klientom domeny (g1u1 itp.). Trzeba również zadbać, by
użytkownicy domeny (g1u1 itp.) mieli uprawnienia dostępu do tego katalogu.
• Następnie trzeba nadać ścieżkę zawierającą ten profil mobilny.
◦ Server Manager → Tools → Active Directory Users and Computers →nazwa użytkownika domenowego (na przykład g1u1...g2u2)→ Properties → Profile → Profile Path= katalog w którym będą przechowywane profile zdalne, na przykład
\\ip_serwera,_czyli_10.10.*.1\profile\%username%.
Częsty błąd: powinno się podać jako ścieżkę do przechowywania profilu nie cały udział (nie \\serwer\udzialX\) a katalog wewnątrz udziału (udostępnionego katalogu). Inny
problem może nastąpić, gdy klient ma dostęp również do innego serwera DNS, można więc wyłączyć wszystkie karty sieciowe poza kartą służącą do łączenia z serwerem domeny.
• Po udanym przelogowaniu klienta warto sprawdzić zawartość katalogu z profilami na serwerze.
Zmiany na serwerze w katalogu z profilem mobilnym zwykle pojawiają się dopiero po wylogowaniu klienta.
Przeglądanie katalogów profili zdalnych
Niestety, domyślnie administrator serwera ma problemy z dostępem do plików profili zdalnych, pomimo tego, iż są one fizycznie składowane na jego dysku. Jednym ze sposobów radzenia sobie z tą niedogodnością jest zezwolenie przez klientów (tutaj użytkowników u1g1 itp. na komputerach klienckich) na dostęp do katalogów zawierających profile zdalne (tutaj to
\\ip_serwera,_czyli_10.10.*.1\profile\nazwa_użytkownika_mobilnego). Trzeba więc dodać dla tych katalogów dostęp dla grupy Administrators na domenie domena*
Skrypty automatyczne
Bardzo przydatnym rozwiązaniem jest utworzenie skryptów na serwerze, które będą się uruchamiać automatycznie na komputerze klienta po zalogowaniu. Skrypty te muszą być przechowywane w specjalnym udostępnionym katalogu (udziale) na serwerze o nazwie NETLOGON. Trzeba oczywiście zadbać, by klienci domeny mieli dostęp do udostępnionych skryptów.
◦ Skrypty na serwerze przechowywane są w udostępnionym katalogu, do którego najłatwiej się dostać używając na serwerze ścieżki \\127.0.0.1\NETLOGON
◦ Aby wymusić na kliencie, aby uruchomił owy skrypt należy wpisać odpowiednią zawartość w Server Manager → Tools → Active Directory Users and Computers →nazwa
użytkownika domenowego (na przykład g1u1...g2u2)→ Properties → Profile →Logon Script = … , na przykład „skrypt_startowy.bat”, będzie to ten sam plik co
plik \\127.0.0.1\NETLOGON\skrypt_startowy.bat na serwerze.
◦ Częsty błąd: w polu Logon Script nie wolno podawać pełnej ścieżki do pliku, czyli nie
\\*.*.*.*\netlogon\***.bat, ale ***.bat
◦ Do sprawdzenia: trzeba zapewnić klientowi dostęp do pliku ze skryptem, czyli klient powinien mieć dostęp do pliku \\127.0.0.1\NETLOGON\skrypt_startowy.bat na serwerze.
• Proszę stworzyć skrypt startowy dla użytkownika zdalnego, który będzie wyświetlał „heloł domena” (na przykład następujący skrypt: 1. linijka: echo hello domena 2. linijka:
pause).
