מאפינים של המשתמש

ניהול אובייקטים

לאחר שלמדנו מהם אובייקטים וכיצד ניצור אותם ב-A.D. עלינו לדעת כיצד מנהלים אותם. ראשית נתבונן באופנים השונים שבהם יוכלו המשתמשים להיכנס אל המערכת:

סוגי Log-On:

• באופן רגיל - השיטה המפורסמת לבצע Logon היא זו בה כולנו רגילים להשתמש. כתיבת שם משתמש וסיסמה. גם בשתי השיטות הנוספות נזדקק לסיסמה, אך כתיבת שם המשתמש תהיה באופן אחר, כמו שנראה להלן.


• Pre Windows 2000 Logon – ה-Logon הנ"ל הוא יותר ספציפי מזה שהוצג בסעיף "1". שיטת כתיבת ה-Logon תהיה כך: ראשית נכתוב את שם הדומיין (ללא סיומת) ולאחר סימן “” נוסיף את שם המשתמש. דוגמא (למשתמש בשם Yosi בדומיין google.com) – googleyosi. יש לשים לב לדגשים הבאים:


• אמנם במחשב המחובר לדומיין הגישה הדיפולטית היא לתוך הדומיין, אבל במידה ויש שם משתמש שקיים גם במחשב הלוקאלי, הכניסה תהייה דווקא למשתמש הלוקאלי! כיצד לחייב גישה לדומיין יש להשתמש בשיטה הנ"ל (או בשיטה מספר "3".


• בכניסה לשרת D.C. לא צריך לחוש לסעיף הקודם מכיוון שבשרת D.C. מסיבות אבטחתיות ברורות מתבטל ה-SAM לחלוטין, קרי: אין Logon לוקאלי!


• UPN (User Principal Name) – ה-Logon יתבצע באופן הבא: שם המשתמש לאחר מכן סימן“@” , ולאחר מכן שם הדומיין המלא: דוגמא ל-UPN של משתמש: [email protected]. שימו לב לדגשים הבאים:


• הסיבה שיצרו את ה-UPN מלכתחילה הייתה לאפשר ביצוע Log-On באופן דומה לכתובת המייל של המשתמש.


• יצירת UPN אינה דיפולטית ויש להגדיר אותה ב-Account Tab ב-Properties של המשתמש. ניתן כמו-כן, להגדיר UPN כבר בזמן יצירת המשתמש בפקודת dsadd. (טבלת ה-Excel מהשיעור הקודם כללה גם הגדרה ל-UPN).


• סיומת ה-UPN באופן דיפולטי היא כמובן סיומת הדומיין, אך מסיבות שונות ניתן (אם נרצה) לשנות את סיומת ה-UPN לסיומת אלטרנטיבית. הוספת אפשרות לסיומת UPN תתבצע בממשק “Active Directory Domains and Trusts” שנמצא ב-Administrative Tools (או ב-MMC). נעמוד בממשק על שם הקונסולה עצמה ונלחץ על כפתור ימני. נוסיף Alternate UPN כרצוננו.


• שינוי ה-UPN למשתמש קיים ייעשה ב-Account Tab של המשתמש, או לחילופין בפקודת dsmod.

ניהול משתמשים בסיסי:

נשים לב שלכל משתמש נמצא בתוך ה-Properties שלו Account Tab. בעוד שכל ה-Properties משמעותיים, ב-Account Tab יימצאו עיקר ההגדרות החשובות בנושא אבטחת המידע. להלן מקצת מהדברים שנוכל להגדיר ב-Account Tab:

• Logon Hours – שעות שבהן מותר למשתמש הנ"ל לבצע Logon למחשבים בארגון. שימו לב שאם משתמש כבר מחובר למערכת ועבר הזמן שהוגדר לו הוא ימשיך לעבוד כרגיל, שכן לא מוגדר כאן זמן המותר בחיבור, אלא רק זמן המותר בביצוע Logon! ומכיוון שה-Logon כבר בוצע, שוב אין כאן שום הגבלה.


• Logon To… - הגדרת המחשבים אליהם יוכל המשתמש להתחבר. כ-Default מותר למשתמש להתחבר לכל המחשבים בארגון (למעט שרתים, שאליהם אין לו אישור גישה מצד Group Policy).


• Unlock account – "שחרור" המשתמש מנעילה. על הפונקצייה הנ"ל נלמד בשיעורים הבאים.


• הגדרות שונות – כמו למשל חובת המשתמש לשנות סיסמה ב-Logon ראשון, הגדרת הסיסמה כ-"תמידית", הפיכת המשתמש ל-Disabled וכו'.


• Account Expires – זמן שבו יפוג תוקפו של המשתמש (לא הסיסמה). קרי, החל מאותו הרגע, המשתמש יוצא מפעילות ולא יכול לבצע Logon.

ניתן להגדיר ב-Properties של כל משתמש את החברות של המשתמש בקבוצות שונות על ידי Member Of Tab.

ב-Properties של קבוצות ניתן להגדיר את החברים בהן על ידי Members Tab. שימו לב שגם לקבוצות יש Member Of Tab שמאפשר לנו להכניס קבוצה לתוך קבוצה. אנו נרחיב על בניית קבוצות בשיעור הבא.

ניתן לסמן (גראפית) כמה משתמשים ביחד ולהגדיר חלק מה-Properties של כולם במכה אחת.

חיפוש אובייקטים ב-A.D.:

ניתן לחפש אובייקטים בתוך A.D. בעזרת שני כלים:

Saved Queries

הכלי הנ"ל הינו כלי גראפי שממוקם בתוך הממשק עצמו של A.D. Users & Computers.

בחרו ב-New וב-Query. האפשרות תיצור בעבורכם חיפוש חדש ב-A.D..

תנו שם ל-Query ולחצו על: Define Query.

ניתן לבצע חיפוש בממשק על ידי שמות משתמשים, מחשבים, Properties שונים וכו'.

שימו לב לאפשרות לבחור ב-Drop Down List שלמעלה ב-Custom Search. מכאן תוכלו לבחור כל אובייקט שקיים במערכת ולערוך לו חיפוש לפי מאפיינים.

ב-Advanced Tab של Custom Search תוכלו להכניס פקודות לחיפוש שתוכנתו על ידי מומחי LDAP. למשל, Microsoft לא יצרה אפשרות לחפש משתמשים "נעולים". ניתן להוריד מהאינטרנט קוד תוכנתי מתאים, להעתיק אותו לקופסה שב-Advanced, ותוכלו למצוא את המשתמשים ה"נעולים".

לאחר שסיימתם לבנות Query תוכלו לבצע בעבורה Export כדי שתישמר בקובץ .XML מנהל רשת אחר יוכל להשתמש בהגדרות שנתתם על ידי Import Query Definition.

במידה ויש לכם הרבה חיפושים שמורים, תוכלו לסווג אותם לתיקיות כרצונכם על ידי: New -> Folder בתוך הממשק.

DSQuery

פקודת cmd שפועלת בדומה ל-dsadd.

להלן דוגמא לכתיבת הפקודה במידה ונרצה למצוא את כל המשתמשים שהתיאור שלהם הוא: “Sales People”: dsquery user –desc “Sales People”

כיצד נוכל לחפש את כל מי שה-UPN מסתיים ב-Google.com? במקרה הזה אנחנו נשתמש בסימן "*". הסימן יגדיר לנו שכל מה שלפניו (או לאחריו) אינו משנה. בואו ניתן מספר דוגמאות:

סיומת של Google.com: *@google.com

התחלה באותיות Sales: Sales*

האמצע באותיות Sales: *Sales*

נכתוב את הפקודה לחיפוש משתמשים שה-UPN שלהם מסתיים ב-Google.com: dsquery User –UPN *@google.com

טיפ: שמות המשתמשים יימצאו על ידי: -samID

שימו לב שכ-Default התוכנה מציגה עד 100 אובייקטים, כדי להגדיל את המספר יש להשתמש בסוויץ': -limit

ניתן להעביר מידע (Piping) מפקודה אחת לפקודה אחרת. למשל, נניח והפקודה מהסעיף הקודם מצאה לנו מאה משתמשים. נוכל להשתמש ב-dsmod כדי לשנות את התיאור של כל המשתמשים שמצאנו במכה אחת. ביצוע Piping ייעשה על-ידי הסימן: "|". להלן דוגמא: dsquery User *@gmail.com | dsmod user –desc “Wierdo”. שימו לב שלא הגדרתי את המשתמש עצמו ב-dsmod שכן הפקודה תחול על כל המשתמשים שמצאה פקודת dsquery.

האצלת סמכויות:

ניתן להעביר חלק מהסמכויות של ניהול A.D. למשתמשים אחרים, וכך להקל מעלינו את כל העומס של הניהול השוטף של אובייקטים. למשל, היינו מאוד רוצים שמנהל מחלקה יוכל לאפס בעצמו את הסיסמאות של משתמשים במחלקה שלו. הבעיה היחידה שמנהל המחלקה הוא לא איש IT. לרוב מדובר בנערים צעירים בשנות העשרים שעבדו כשנה בתור נציגים וקיבלו קידום למשרת מנהל צוות. כדי לאפשר האצלת סמכויות לאנשים שכאלה באופו יעיל יש לא רק לתת להם את ההרשאות, אלא גם לבנות בעבורם ממשק פשוט ככל האפשר שיאפשר להם לבצע את המשימה על אף כמות הידע "המרשימה" שלהם בעולם הרשתות. אם כך, אנו רואים שהמשימה שלנו מחולקת למעשה לשני חלקים. החלק הראשון הוא מתן ההרשאות. החלק השני הוא בניית הממשק בעבור המנהל. נבחן כל חלק לגופו:

מתן הרשאות:

נלחץ כפתור ימני על OU או תיקייה (או על כל הדומיין) ונבחר ב-Delegate Control.

ה-Wizard ינחה אותנו לבחור משתמשים או קבוצות שיקבלו הרשאות על ה-OU או התיקייה.

לאחר מכן נוכל לבחור משימות מתוך הרשימה הדיפולטית, או להגדיר משימה באופן ידני. למזלנו, רוב המשימות החשובות כבר קיימות ברשימה.

שימו לב שה-Wizard הנ"ל הוא לא יותר מדרך מהירה וקלה להגדיר את ה-Security Tab של ה-OU או התיקייה. אם תרצו להגדיר את ה-Security Tab באופן ידני זה אפשרי, רק זכרו לבחור ב-Advanced Features בתפריט View. בגדול, לא מומלץ בתור התחלה להתעסק עם ה-Security Tab באופן ידני.

בניית הממשק הגראפי:

ניכנס ל-MMC ובתוכו לממשק: A.D. Users & Computers. שימו לב שלטובת בניית הממשק חייבים להיכנס ל-MMC ולא להפעיל את הקונסולה מתוך Administrative Tools כפי שהיינו רגילים עד היום.

לחצו על ה-OU או התיקייה הרצויה ובחרו ב-New Window From Here.

לחצו שוב כפתור ימני על ה-OU או התיקייה ובחרו ב: New Taskpad View.

ה-Wizard הראשון שמופיע הוא לא מעניין בכלל. תעברו אותו על ידי כפתורי Next עד שבסופו יפעל אוטומטית wizard נוסף.

ב-Wizard השני הישארו ב-Default של Menu Command, זהו סוג הממשק שאנו בונים. Shell Command מאפשר בניית ממשק להפעלת סקריפטים, ו-Navigation מאפשר בניית ממשק בעבור שיטוט ב-Favorites.

המסך בהמשך הוא עיקר בניית הממשק. בחרו מבין האפשרויות את הפונקציה שתוצג בממשק, למשל: Reset Password. שימו לב ש:”Item Listed in the Results Pane” מייצג פונקציות שפועלות ברמת האובייקטים, בעוד ש-: Node in the Tree מייצג פונקציות שפועלות ברמת ה-OU או התיקייה.

בחלון הנ"ל תוכלו לבחור רק פונקציה אחת, אם ברצונכם להוסיף עוד פונקציות, אל דאגה – ניתן לחזור שוב ושוב על ה-Wizard כרצוננו ולהוסיף בכל פעם פונקציה נוספת.

בהמשך תוכלו לרשום פרטים על הפונקציה ולתת Icon לפונקציה. שימו לב שפרטים אלו יופיעו בממשק ויקלו על העבודה.

בתום בניית הממשק מומלץ להגן על הקובץ מפריצות ככל האפשר. נעשה זאת על ידי לחיצה על כפתור File. נבחור ב-Options.

נבחר ב: "User Mode - Limited Access, Single Window". האפשרות הנ"ל תסגור בפני המשתמש את רוב אפשרויות העריכה בפלטפורמת הממשק. כמו-כן, נוריד את הסימון מ-: Allow the user to customize views". שימו לב שאין כאן סגירה הרמטית, אבל מדובר בהגנה הטובה ביותר שיש לממשק להציע.

נשמור את הממשק, נעביר אותו למחשב של המנהל, ניתן לו הרשאות להשתמש בקובץ – וכמעט סיימנו..

דבר אחרון: מכיוון שסביר להניח שהמנהל עובד על Client פשוט, כגון Windows 7, אל תשכחו להוריד אליו את תכונת Server 2008 R2 Admin Pack. ללא התוכנה הזאת הוא לא יבין מה זה בכלל הממשק שבניתם, שכן Windows 7 לא "יודע" מה זה בכלל ממשק לניהול A.D. כ-Default.

תרגיל:

1) צרו משתמש במחלקת IT ותנו לו הרשאות לדברים הבאים:

איפוס סיסמאות של משתמשים במחלקת IT.

הוספת ומחיקת משתמשים.

2) צרו ממשק שיאפשר למשתמש המדובר:

איפוס סיסמאות.

יצירת משתמשים.

מחיקת משתמשים.