Настройка доступа к ресурсам в сети домена Active Directory
Цель работы: изучение практических способов создания домена Active Directory на базе Windows 2003 Server и организации доступа к сетевым ресурсам.
Задание
Рисунок 1. Схема полигона для выполнения лабораторной работы №8
Выполнение работы осуществляется на виртуальном полигоне VMWare, состоящем из пяти виртуальных машин (см. рис.1): на одной машине под управлением Windows server 2003 (PServ) настроен брандмауэр ISA Server 2004 – эта машина используется в качестве шлюза доступа в глобальную сеть; на другой машине под управлением Windows Server 2003 (Serv01) настроены службы, обеспечивающие работу инфраструктуры сети; три машины под управлением Windows XP (WinXP1, WinXP2 и WinXP3 соответственно) используются для настройки рабочих мест пользователям сети. Настройки брандмауэра ISA Server 2004 соответствуют настройкам, выполненным в лабораторной работе №7.
Виртуальный полигон соответствует локальной сети некоторой организации, в которой на компьютере serv01 работает главный бухгалтер организации, на компьютере WinXP1 – бухгалтер, компьютеры WinXP2 и WinXP3 используются двумя операторами и работником отдела кадров. На компьютере serv01 установлены следующие службы для поддержки и управления инфраструктурой сети: DNS, WINS, DHCP, POP и SMTP.
1. Требуется перейти на новую модель управления ресурсами сети - домен Active Directory. Для этого:
1.1. Удалить всех локальных пользователей со всех рабочих станций (кроме встроенных учетных записей локальных администраторов)
1.2. Установить службу контроллера домена на сервере serv01 (для выбора названия домена см. табл. 1)
1.3. Переустановить службу POP3 на сервере serv01, для того чтобы переконфигурировать ее на использование базы данных Active Directory для аутентификации пользователей
1.4. Спроектировать и реализовать для данного домена структуру организационных единиц
1.5. Создать учетные записи для всех компьютеров полигона и ввести все компьютеры в домен.
1.6. Создать доменные учетные записи для всех пользователей организации.
1.7. Для главного бухгалтера организовать рабочее место на компьютере serv01.
1.8. Для бухгалтера, операторов и работника отдела кадров настроить перемещаемые профили.
1.9. Для операторов необходимо настроить единый профиль и запретить возможность операторам выполнять какие-либо изменения в нем
1.10. Создать, предоставить в общее пользование и опубликовать в базе Active Directory следующие общие ресурсы сети:
1.10.1. Локальный принтер, установленный на компьютере WinXP1
1.10.2. Локальный принтер, установленный на компьютере WinXP2
1.10.3. Сетевую папку transfer на сервере serv01 для обмена данными между пользователями сети
1.10.4. Сетевую папку docs на сервере serv01 для хранения документов
1.10.5. Сетевую папку 1c_bases на сервере serv01 для хранения конфигурации 1С
1.11. Спроектировать и реализовать систему групп с учетом следующих ограничений на доступ к общим ресурсам, принятым в организации:
1.11.1. Принтер, установленный на компьютере WinXP1 должен быть доступен для всех бухгалтеров
1.11.2. Принтер, установленный на компьютере WinXP2 должен быть доступен для всех пользователей сети
1.11.3. Сетевая папка Transfer должна быть доступна всем пользователям сети.
1.11.4. К сетевой папка Docs должны иметь доступ бухгалтера, работник отдела кадров и операторы. Бухгалтера и работник отдела кадров должны иметь возможность просмотра документов их изменения и создание новых, а операторы должны иметь возможность только просмотра документов. Никто кроме администратора не должен иметь возможности удалять документы.
1.11.5. К сетевой папке 1c_bases должны иметь доступ только бухгалтера и операторы. Эти пользователи должны иметь полный доступ к этой папке
1.11.6. Бухгалтера должны иметь возможность работы на компьютерах с использованием удаленного рабочего стола
1.12. Подключить общие сетевые папки и принтеры для всех пользователей сети в соответствии с правами доступа к ним
1.13. Создать почтовые учетные записи для всех пользователей сети (бухгалтеров, операторов, работника отдела кадров) и настроить почтовые клиенты для этих сотрудников.
2. Реализовать средствами Microsoft ISA Server 2004 следующие правила доступа к ресурсам глобальной сети:
2.1. Предоставить доступ в глобальную сеть по протоколам HTTP и HTTPS только бухгалтерам и работнику отдела кадров.
2.2. Разрешить доступ в глобальную сеть по протоколу FTP только для администратора домена.
2.3. Разрешить доступ в глобальную сеть по протоколам POP3 и SMTP для всех пользователей домена
2.4. Разрешить для бухгалтеров удаленный доступ к сети полигона по протоколу PPTP. Разрешить этим удаленным пользователям доступ только ко всем компьютерам локальной сети и только с помощью удаленного подключения к рабочему столу.
3. Настроить возможность доступа к некоторым локальным ресурсам домена пользователям из другого домена (согласно табл. 1). Для этого:
3.1. Настроить VPN-соединение site-to-site между виртуальными полигонами
3.2. Настроить внешние двусторонние доверительные отношения между доменами
3.3. Настроить возможность входа на компьютеры домена под учетными записями из доверяемого домена
3.4. Настроить возможность доступа к общей папке transfer, всем пользователям доверяемого домена
3.5. Настроить возможность доступа к общей папке docs только бухгалтерам из доверяемого домена
3.5. Сделать принтер на компьютере WinXP2 доступным для пользователей другого домена
3.6. Настроить возможность доступа к удаленному рабочему столу для пользователей своего домена, зашедших на рабочие станции доверяемого домена.
Содержание отчета
1. Титульный лист.
2. Список используемых виртуальных машин с указанием путей их размещения
3. Схема полигона с указанием имен и IP-адресов компьютеров
4. Схема созданной структуры организационных единиц AD
5. Список созданных учетных записей пользователей с логинами и паролями
6. Список созданных доменных групп с указанием их членов и назначения каждой группы
7. Описание разрешений и прав доступа для всех сетевых ресурсов
8. Описание всех правил доступа и публикации серверов, созданных на брандмауэре ISA Server 2004
Необходимо продемонстрировать
1. Настроенные перемещаемые профили главного бухгалтера, бухгалтера, операторов и работника отдела кадров в соответствие с п. 1.8.
2. Невозможность сохранить изменения в профиле для операторов
3. Доступность принтера, установленного на компьютере WinXP1 для всех пользователей сети
4. Доступность общей сетевой папки Transfer для всех пользователей локальной сети
5. Корректно настроенные права доступа для сетевой папки Docs (см. п. 1.11.4)
6. Невозможность доступа к сетевой папке 1C_bases для работника отдела кадров.
7. Отправку почты между пользователями домена и внешними адресатами
8. Возможность отправки ping-запросов из локальной сети в глобальную
9. Возможность отправки и получения почты пользователями локальной сети с использованием локального почтового сервера.
10. Возможность отправки и получения почты пользователями локальной сети с использованием почтового сервера, находящегося вне локальной сети (другой виртуальный полигон, asuserv).
11. Возможность доступа к почтовому серверу, находящемуся в локальной сети, пользователей из глобальной сети (другой виртуальный полигон, локальная сеть кафедры АСУ)
12. Невозможность доступа из локальной сети в глобальную по протоколам отличным от POP(S), SMTP(S), FTP, HTTP(S) (например доступ к удаленному рабочему столу или по telnet)
13. Возможность доступа в глобальную сеть (asuserv) по протоколам HTTP и HTTPS только для бухгалтеров и работника отдела кадров.
14. Возможность доступа в глобальную сеть (asuserv) по протоколу FTP только для администратора.
15. Возможность удаленного подключения по PPTP к локальной сети виртуального полигона удаленного пользователя (бухгалтера и главного бухгалтера)
16. Возможность доступа ко всем компьютерам сети по протоколу удаленного рабочего стола VPN-клиентов
17. Невозможность доступа ко всем компьютерам сети VPN-клиентов по протоколам отличным от протокола доступа к удаленному рабочему столу.
18. Возможность установки VPN-соединения типа site-to-site по протоколу PPTP между виртуальными полигонами.
19. Возможность локального входа на рабочих станция домена пользователей под учетными данными доверяемого домена (в соответствие с табл. 1)
20. Возможность доступа к сетевой папке transfer пользователей доверяемого домена и не возможность доступа к ней пользователей других доменов.
21. Возможность доступа к содержимому папке docs бухгалтерами из доверяемого домена
22. Возможность доступа к принтеру на компьютере WinXP2 для всех пользователей доверяемого домена
Контрольные вопросы
1. Понятие домена AD.
2. Доверительные отношения между доменами
3. Организационные единицы
4. Группы AD
5. Стратегии применения групп AD
Таблица 1. Таблица настройки взаимодействия между виртуальными полигонами:
№ варианта | Домен Active Directory | Список доменов, с одним из которых необходимо настроить доверительные отношения | № варианта | Домен Active Directory | Список доменов, с одним из которых необходимо настроить доверительные отношения |
1 | Workgroup1_0.local | Workgroup1_1.local Workgroup 1_2.local Workgroup1_3.local | 41 | Workgroup3_8.local | Workgroup3_9.local Workgroup3_10.local Workgroup3_11.local |
2 | Workgroup1_1.local | Workgroup1_0.local Workgroup1_2.local Workgroup1_3.local | 42 | Workgroup3_9.local | Workgroup3_8.local Workgroup3_10.local Workgroup3_11.local |
3 | Workgroup1_2.local | Workgroup1_0.local Workgroup1_1.local Workgroup1_3.local | 43 | Workgroup3_10.local | Workgroup3_8.local Workgroup3_9.local Workgroup3_11.local |
4 | Workgroup1_3.local | Workgroup1_0.local Workgroup1_1.local Workgroup1_2.local | 44 | Workgroup3_11.local | Workgroup3_8.local Workgroup3_9.local Workgroup3_10.local |
5 | Workgroup1_4.local | Workgroup1_5.local Workgroup1_6.local Workgroup1_7.local | 45 | Workgroup3_12.local | Workgroup3_13.local Workgroup3_14.local Workgroup3_15.local |
6 | Workgroup1_5.local | Workgroup1_4.local Workgroup1_6.local Workgroup1_7.local | 46 | Workgroup3_13.local | Workgroup3_12.local Workgroup3_14.local Workgroup3_15.local |
7 | Workgroup1_6.local | Workgroup1_4.local Workgroup1_5.local Workgroup1_7.local | 47 | Workgroup3_14.local | Workgroup3_12.local Workgroup3_13.local Workgroup3_15.local |
8 | Workgroup1_7.local | Workgroup1_4.local Workgroup1_5.local Workgroup1_6.local | 48 | Workgroup3_15.local | Workgroup3_12.local Workgroup3_13.local Workgroup3_14.local |
9 | Workgroup1_8.local | Workgroup1_9.local Workgroup1_10.local Workgroup1_11.local | 49 | Workgroup4_0.local | Workgroup4_1.local Workgroup4_2.local Workgroup4_3.local |
10 | Workgroup1_9.local | Workgroup1_8.local Workgroup1_10.local Workgroup1_11.local | 50 | Workgroup4_1.local | Workgroup4_0.local Workgroup4_2.local Workgroup4_3.local |
11 | Workgroup1_10.local | Workgroup1_8.local Workgroup1_9.local Workgroup1_11.local | 51 | Workgroup4_2.local | Workgroup4_0.local Workgroup4_1.local Workgroup4_3.local |
12 | Workgroup1_11.local | Workgroup1_8.local Workgroup1_9.local Workgroup1_10.local | 52 | Workgroup4_3.local | Workgroup4_0.local Workgroup4_1.local Workgroup4_2.local |
13 | Workgroup1_12.local | Workgroup1_13.local Workgroup1_14.local Workgroup1_15.local | 53 | Workgroup4_4.local | Workgroup4_5.local Workgroup4_6.local Workgroup4_7.local |
14 | Workgroup1_13.local | Workgroup1_12.local Workgroup1_14.local Workgroup1_15.local | 54 | Workgroup4_5.local | Workgroup4_4.local Workgroup4_6.local Workgroup4_7.local |
15 | Workgroup1_14.local | Workgroup1_12.local Workgroup1_13.local Workgroup1_15.local | 55 | Workgroup4_6.local | Workgroup4_4.local Workgroup4_5.local Workgroup4_7.local |
16 | Workgroup1_15.local | Workgroup1_12.local Workgroup1_13.local Workgroup1_14.local | 56 | Workgroup4_7.local | Workgroup4_4.local Workgroup4_5.local Workgroup4_6.local |
17 | Workgroup2_0.local | Workgroup2_1.local Workgroup2_2.local Workgroup2_3.local | 57 | Workgroup4_8.local | Workgroup4_9.local Workgroup4_10.local Workgroup4_11.local |
18 | Workgroup2_1.local | Workgroup2_0.local Workgroup2_2.local Workgroup2_3.local | 58 | Workgroup4_9.local | Workgroup4_8.local Workgroup4_10.local Workgroup4_11.local |
19 | Workgroup2_2.local | Workgroup2_0.local Workgroup2_1.local Workgroup2_3.local | 59 | Workgroup4_10.local | Workgroup4_8.local Workgroup4_9.local Workgroup4_11.local |
20 | Workgroup2_3.local | Workgroup2_0.local Workgroup2_1.local Workgroup2_2.local | 60 | Workgroup4_11.local | Workgroup4_8.local Workgroup4_9.local Workgroup4_10.local |
21 | Workgroup2_4.local | Workgroup2_5.local Workgroup2_6.local Workgroup2_7.local | 61 | Workgroup4_12.local | Workgroup4_13.local Workgroup4_14.local Workgroup4_15.local |
22 | Workgroup2_5.local | Workgroup2_4.local Workgroup2_6.local Workgroup2_7.local | 62 | Workgroup4_13.local | Workgroup4_12.local Workgroup4_14.local Workgroup4_15.local |
23 | Workgroup2_6.local | Workgroup2_4.local Workgroup2_5.local Workgroup2_7.local | 63 | Workgroup4_14.local | Workgroup4_12.local Workgroup4_13.local Workgroup4_15.local |
24 | Workgroup2_7.local | Workgroup2_4.local Workgroup2_5.local Workgroup2_6.local | 64 | Workgroup4_15.local | Workgroup4_12.local Workgroup4_13.local Workgroup4_14.local |
25 | Workgroup2_8.local | Workgroup2_9.local Workgroup2_10.local Workgroup2_11.local | 65 | Workgroup5_0.local | Workgroup5_1.local Workgroup5_2.local Workgroup5_3.local |
26 | Workgroup2_9.local | Workgroup2_8.local Workgroup2_10.local Workgroup2_11.local | 66 | Workgroup5_1.local | Workgroup5_0.local Workgroup5_2.local Workgroup5_3.local |
27 | Workgroup2_10.local | Workgroup2_8.local Workgroup2_9.local Workgroup2_11.local | 67 | Workgroup5_2.local | Workgroup5_0.local Workgroup5_1.local Workgroup5_3.local |
28 | Workgroup2_11.local | Workgroup2_8.local Workgroup2_9.local Workgroup2_10.local | 68 | Workgroup5_3.local | Workgroup5_0.local Workgroup5_1.local Workgroup5_2.local |
29 | Workgroup2_12.local | Workgroup2_13.local Workgroup2_14.local Workgroup2_15.local | 69 | Workgroup5_4.local | Workgroup5_5.local Workgroup5_6.local Workgroup5_7.local |
30 | Workgroup2_13.local | Workgroup2_12.local Workgroup2_14.local Workgroup2_15.local | 70 | Workgroup5_5.local | Workgroup5_4.local Workgroup5_6.local Workgroup5_7.local |
31 | Workgroup2_14.local | Workgroup2_12.local Workgroup2_13.local Workgroup2_15.local | 71 | Workgroup5_6.local | Workgroup5_4.local Workgroup5_5.local Workgroup5_7.local |
32 | Workgroup2_15.local | Workgroup2_12.local Workgroup2_13.local Workgroup2_14.local | 72 | Workgroup5_7.local | Workgroup5_4.local Workgroup5_5.local Workgroup5_6.local |
33 | Workgroup3_0.local | Workgroup3_1.local Workgroup3_2.local Workgroup3_3.local | 73 | Workgroup5_8.local | Workgroup5_9.local Workgroup5_10.local Workgroup5_11.local |
34 | Workgroup3_1.local | Workgroup3_0.local Workgroup3_2.local Workgroup3_3.local | 74 | Workgroup5_9.local | Workgroup5_8.local Workgroup5_10.local Workgroup5_11.local |
35 | Workgroup3_2.local | Workgroup3_0.local Workgroup3_1.local Workgroup3_3.local | 75 | Workgroup5_10.local | Workgroup5_8.local Workgroup5_9.local Workgroup5_11.local |
36 | Workgroup3_3.local | Workgroup3_0.local Workgroup3_1.local Workgroup3_2.local | 76 | Workgroup5_11.local | Workgroup5_8.local Workgroup5_9.local Workgroup5_10.local |
37 | Workgroup3_4.local | Workgroup3_5.local Workgroup3_6.local Workgroup3_7.local | 77 | Workgroup5_12.local | Workgroup5_13.local Workgroup5_14.local Workgroup5_15.local |
38 | Workgroup3_5.local | Workgroup3_4.local Workgroup3_6.local Workgroup3_7.local | 78 | Workgroup5_13.local | Workgroup5_12.local Workgroup5_14.local Workgroup5_15.local |
39 | Workgroup3_6.local | Workgroup3_4.local Workgroup3_5.local Workgroup3_7.local | 79 | Workgroup5_14.local | Workgroup5_12.local Workgroup5_13.local Workgroup5_15.local |
40 | Workgroup3_7.local | Workgroup3_4.local Workgroup3_5.local Workgroup3_6.local | 80 | Workgroup5_15.local | Workgroup5_12.local Workgroup5_13.local Workgroup5_14.local |
