WiFi w firmie czyli Windows Radius (NPS) i Mikrotik

WiFi w firmie czyli Windows Radius (NPS) i Mikrotik

Wstęp

W dzisiejszych czasach WiFi w firmie to podstawa, o zaletach tego rozwiązania nie muszę nikomu pisać. Zabezpieczenie natomiast takiej współdzielonej sieci to już inna bajka. W zasadzie samo zabezpieczenie jest proste ale potem zarządzanie tym jest trudne.

Scenariusz pierwszy

Mamy sieć WiFi na mikrotiku o nazwie SSID: organizacja.pl, zrobiliśmy zabezpieczenie w postaci szyfrowania WPA2 PERSONAL z kluczem działającym ala hasło. Super rozwiązanie sprawdza się, nie mamy nikogo obcego w sieci. Mamy dodatkową sieć o nazwie SSID: organizacja.pl-goscie, niezabezpieczona z wolnym internetem, powiedzmy, że firewall zezwala na sprawdzenie poczty i przeglądanie podstawowych stron. Nie wdając się w szczegóły filtrowania działa wszystko dobrze. Teraz wyobraźmy sobie sytuację w której musimy odciąć dostęp do sieci jednej osobie, albo ktoś rozgadał hasło. W takiej sytuacji możemy zrobić filtrowanie dodatkowe po adresach MAC, w przypadku małej firmy to można bawić się w takie zabezpieczanie. Zmiana hasła również wchodzi w grę ale teraz musimy każdemu na komputerze wpisać od nowa hasło do sieci. I takie hasło również może szybko wypłynąć, stąd warto sięgnąć po inne rozwiązania.

Scenariusz drugi

Mamy sieć dla gości jak wyżej oraz sieć firmową pod nazwą SSID: organizacja.pl, natomiast jako szyfrowanie wykorzystujemy WPA2 ENTERPRISE (nie PERSONAL). Przy uwierzytelnianiu użytkownika wykorzystujemy jedyne jego poświadczenia (każdy z użytkowników ma swoje więc mamy z głowy problemy związane ze współdzielonym kluczem/hasłem).

Opis środowiska

Domena: organizacja.pl
kontroler domeny: sdc01.organizacja.pl - 10.18.0.10
sieć WiFi SSID: organizacja.pl
Mikrotik: 6.27, RB2011UiAS - 10.18.0.1
sieć WiFi dla gości: organizacja.pl-goscie

Zaczynamy od konfiguracji Mikrotika

dodajemy profil security dla sieci bezprzewodowej, który wiążemy z naszą siecią organizacja.pl

/interface wireless security-profiles add name=radius authentication-types=wpa2-eap management-protection=allowed mode=dynamic-keys

Następnie dodajemy serwer radius który zainstalujemy na sdc01 - rolę serwera radius będzie pełniła usługa NPS.

/radius add address=10.18.0.10 secret=P@ssw0rd service=wireless src-address=10.18.0.1

Zwracam uwagę na poprawne adresy. Myślę, że do tej pory wszystko proste i jasne. Po stronie Mikrotik-a to tyle, teraz przechodzimy na serwer sdc01.

Instalacja CA oraz przygotowanie certyfikatów

W zasadzie jest możliwe ominięcie wykorzystywania certyfikatów ale ma to same wady więc opisuję pełne wykorzystanie CA wraz z odpowiednimi certyfikatami. Instalujemy usługę w wydaniu enterprise. Więc dodajemy rolę...

Instalujemy tylko CA jak poniżej, więcej nie potrzebujemy chociaż gdybyśmy wykorzystywali urządzenia które korzystałyby z weryfikacji certyfikatów na poziomie samego połączenia (nie uwierzytelniania) to warto czasem doinstalować web services. Do Mikrotik-a nie jest to wymagane więc zostajemy przy tym co poniżej:

Konfiguracja CA pod NPS-a

Po instalacji przechodzimy do konfiguracji i wybieramy funkcjonalność którą chcemy konfigurować zgodnie z tym co poniżej.

Konfigurujemy jako Enterprise...

Resztę można przeklikać domyślnie.

Do uwierzytelniania za pomocą EAP-a wymagany jest certyfikat nadający się do tego, Microsoft przygotował taki szablon certyfikatu który spełnia nasze wymagania. Przechodzimy więc do konsolki certification authority, przechodzimy do zarządzania szablonami.

Teraz warto sobie skopiować szablon który możemy wykorzystać, kopia szablonu pozwoli nam na jego modyfikację bez wpływu na inne certyfikaty czy szablony które już ewentualnie możemy mieć w istniejącym CA. 

Na zakładce general wpisujemy nazwę szablonu - może być dowolna ale warto wpisać taką która coś znaczy. Natomiast na zakładce Security poustawiajmy sobie uprawnienia jak poniżej:

Dzięki temu będziemy mogli zrobić sobie automatyczne wydawanie oraz odświeżanie tego certyfikatu za pomocą GPO. Do pełni szczęścia zróbmy sobie jeszcze nazwę w tym szablonie na podstawie nazwy DNS-owej, dzięki temu certyfikaty zrobione za pomocą tego szablonu w Subject Name będą miały nazwę DNS-ową maszyny. Pamiętajmy, że robimy szablon pod certyfikaty dla NPS-a. Ustawiamy nazewnictwo jak poniżej.

Ok zatwierdzamy... OK. Zamykamy okno z szablonami i przechodzimy do włączenia szablonu.

Wybieramy nasz szablon (ten o nazwie jaką nadaliśmy).

Zatwierdzamy i powinien nam się pojawić na liście jak poniżej.

Ok jeżeli chodzi o CA to tyle. Mamy wszystko na miejscu, teraz możemy ręcznie zrobić żądanie certyfikacji i wydać certyfikat ale lepiej to zrobić za pomocą GPO - automatycznie będziemy mieli wydawane certyfikaty a do tego będą nam się automatycznie odświeżać przed wygaśnięciem. Dodajemy zatem polisę i ustawiamy jak poniżej.

Zatwierdzamy. Polisę powinniśmy podlinkować tak, żeby działała na nasz serwer na którym mamy NPS-a. Po gpupdate powinniśmy mieć już możliwość wygenerowania automatycznie certyfikatów do NPS-a. Zatem zainstalujmy taką rolę....

Instalacja NPS

Instalujemy usługę Network Policy and Access Services a w rolach tej usługi wybieramy jedynie NPS.

Po instalacji zabieramy się za konfigurację...

Po pierwsze aby nasz serwer radius miał dostęp do bazy danych Active Directory autoryzujemy go...

Poprzez "Register server in Active Directory". - Bez tego kroku nic nam nie zadziała więc upewnijcie się, że to jest wykonane. Następną czynnością jest dodanie naszego Mikrotik-a jako klienta usługi radius. Dodajemy...

Proponuję zwrócić uwagę na adres IP oraz hasło takie jakie wpisaliśmy w Mikrotik-u. Teraz klikamy na główną gałąź konsolki aby odpalić kreator wstępnej konfiguracji sieci WiFi, wybieramy "Radius Server for 802.1x Wireless or Wired connections" jak poniżej i klikamy "Configure 802.1X", zaznaczamy Wireless tak jak niżej.

Dalej powinien być widoczny nasz Mikrotik (możemy tutaj dodać kolejne urządzenia jeżeli mamy).

Przechodzimy dalej...

Na tym etapie nic nie zmieniamy potem dostosujemy sobie ustawienia szczegółowo... Przechodzimy dalej...

Tutaj możemy sobie zalimitować użytkowników którzy będą mogli korzystać z WiFi, ja nie limituję i przechodzę dalej... Aż do podsumowania...

Kreator konfiguracji zrobi nam dwie polisy. Edytujemy tę drugą...

Przechodzimy na zakładkę Constraints, i usuwamy wszystkie metody jakie są. Dodajemy jedynie PEAP jak poniżej.

Po dodaniu przechodzimy do edycji dodanej metody. Weryfikujemy czy mamy odpowiedni certyfikat jak poniżej...

Powinno być wszystko ok, gdybyśmy nie byli pewni to możemy zweryfikować certyfikaty w konsolce mmc.exe / certificates / computer.

No i jak widać ja nie mam poprawnego certyfikatu... brak certyfikatu z mojego szablonu.

Ale robimy gpupdate /force i refresh....

Ok od razu we właściwościach ustawmy pole Friendly Name (wymagane do poprawnego działania EAP).

Nazwa jest dowolna ale proponuję wpisać coś znaczącego. Zatwierdzamy, wracamy do okna wyboru certyfikatu i wybieramy ten właściwy.

Ok to właściwie wszystko, teraz omówię jeszcze kilka pobocznych tematów które znacznie mogą ułatwić dalszą konfigurację.

Kto ma mieć dostęp do WiFi, użytkownik czy komputer?

Przejdźmy do edycji polisy NPS-a i od razu do zakładki Conditions.

Jak widać jedynym warunkiem działania polisy, jest to, że NAS Port type ma być taki a nie inny. Możemy jednak dodać warunek kolejny - lista jest długa można godzinami wymieniać. Tutaj możemy zadecydować które komputery gdzie i kiedy mogą się łączyć, możemy też decydować którzy użytkownicy mogą się łączyć - oznacza to, że jeżeli komputer nie może się podłączyć na swoich poświadczeniach to użytkownik może mieć takie pozwolenie. Wszystko co tutaj ustalimy w tych warunkach tak będzie. Pamiętajmy, że możemy skopiować sobie taką polisę i zrobić obok drugą z innym zestawem warunków. Możliwości jest wiele. 

Ok ale nasze komputery dalej się nie łączą do naszego WiFi co z tym zrobić? GPO

Dodanie profilu WiFi do komputerów klienckich. 

Tworzymy nowe GPO i linkujemy tak gdzie trzeba - ja linkuję na domenę - czyli dla wszystkich komputerów. Ustawiamy jak niżej.

Ustawiamy jak powyżej, przechodzimy na zakładkę security...

Jak widać możemy ustawić od razu czy komputer ma łączyć się na poświadczeniach komputera czy użytkownika czy użytkownika i komputera. Mamy też CA i certyfikaty na miejscu więc nasz komputer będzie mógł sprawdzić czy AP do którego się łączymy napewno jest w naszej infrastrukturze AD (klient NPS-a, hasło itd), oraz czy certyfikat przekazywany przez AP z CA jest napewno certyfikatem z naszego CA. Weryfikacja taka musi nastąpić i w oknie zabezpieczeń definiujemy którymi certyfikatami CA będziemy sprawdzać certyfikat podawany przez NPS-a (za pośrednictwem AP). Jak widać spina nam się to w jedną całość. Odpalamy gpupdate na kliencie i za chwilę powinien nam się on automatycznie podłączyć do nowego WiFi bez problemów. 

Na zakończenie

Na zakończenie dodam, że całość konfiguracji zapewnia bardzo bezpieczne połączenie i finalnie bardzo proste w zarządzaniu. Warto spróbować wdrożyć takie rozwiązanie, bo znacznie zwiększa bezpieczeństwo naszej sieci oraz łatwość zarządzania. Jak to mówią u nas na wsi, "samo dobre". Warto również spiąć sobie takie rozwiązanie z CAPsMAN-em Mikrotikowym. Pozdrawiam i życzę dobrych zasięgów.

Active Directory - szybki start - pierwsze problemy

Active Directory - szybki start - pierwsze problemy

Wstęp

Jak to w życiu bywa nie wszystko jest idealne a niektórzy mówią, że nie ma rzeczy idealnych i w przypadku AD też tak jest. W domyślnych ustawieniach AD istnieje kilka mechanizmów które zabezpieczają konta AD przed osobami które chcą dostać się nie do swoich kont itd. Jak to mówią czym więcej zabezpieczeń tym bardziej upierdliwa praca i to prawda. Te zabezpieczenia napewno w pierwszych dniach pracy się ujawnią jako zgłoszenia użytkowników, że czegoś nie mogą. Opiszę tutaj te najczęściej występujące w codziennej pracy.

Konta administracyjne

W pierwszej chwili napewno ktoś Wam zgłosi, że nie może czegoś zainstalować. Np. przeglądarki albo innego oprogramowania. zamiast się coś instalować mamy taki komunikat jak poniżej.

Widać, że jest kłopot z instalacją Firefox-a. Dlaczego? A no właśnie dlatego, że konto użytkownika służy do używania komputera i pracy a nie do czynności administracyjnych. Ok czyli użytkownik nie zainstaluje żadnego oprogramowania? Tak zgadza się! Czy to oznacza , że teraz mamy masę pracy, wszystko musimy zrobić sami? A da się to jakoś ominąć? Tak i tak :) No to teraz się zacznie. Po pierwsze jak coś zainstalujemy lub odinstalujemy lub ustawimy to mamy pewność, że użytkownik tego nie zmieni. Więc mamy problemy typu, że ktoś sobie zainstalował 10 toolbarów itd z głowy od razu. Ale czy musimy to wykonywać sami i w zasadzie jak? Odpowiedź jest taka: w tej chwili wszystko musimy wykonywać sami tzn instalacje oprogramowania aktualizacje itd. A jak to zrobić? Za pomocą konta administratora domenowego. Jak się na niego zalogować w takim okienku jak wyżej? Odsyłam do opisu w poprzedniej części. A tymczasem wpisujemy ogranizacja\Administrator oraz hasło do konta administratora. Jak widać po wpisaniu tych danych instalacja poszła dalej i mamy Firefox-a zainstalowanego. Ok ale czy teraz drugiemu koledze z działu IT mamy dać hasło do konta Administrator a sami za każdym razem je wpisywać? Nie!

Konta administratorów domenowych

Zasada zawsze dla wszystkich brzmi: nie dajemy haseł nikomu i do niczego. Dajemy tylko loginy do nowych kont oraz hasła jednorazowe. Odsyłam do poprzednich części. Ok to w takim razie jak nasz kolega z IT ma nam pomóc i w zasadzie nawet sami na siebie zalogowani na swoim komputerze nic nie możemy zrobić. Metod jest dużo ale skorzystajmy na początek z tych najprostszych. Żeby było łatwiej logujemy się na serwer jako administrator i otwieramy konsolę "Active Directory Users and Computers" od razu przechodzimy do konteneru "Users".

Mam tutaj jakiś bałagan. Ale bez obaw ten bałagan nie powinien się znacznie powiększyć a poznanie elementów w tym kontenerze ułatwi nam znacznie wszelkie prace. Więc zaczynamy. Po pierwsze widać, że w kontenerze mamy tylko dwóch użytkowników (Administrator oraz Guest) z czego po ikonce widać, że Guest jest wyłączony. Pozostałe elementy są to grupy. 

Microsoft zrobił tutaj kawał dobrej roboty i poustawiał nam szereg uprawnień przy czym poustawiał je na grupy. My jako administratorzy możemy dołączyć użytkowników do tych grup. Odziedziczą oni wtedy uprawnienia po grupie do której należą. Zaraz wyjaśnimy na przykładzie. Zakładamy, że mamy kolegę w IT który odpowiada za sieć komputerową. Możemy zatem dodać go do grupy "DHCP Administrators", od tej pory będzie mógł zarządzać usługą DHCP na wszystkich serwerach jednocześnie dalej nie będzie mógł niczego instalować. Prawda, że fajne? Ok ale my akurat mamy kolegę który musi nas zastępować praktycznie we wszystkim (bo jest nas tylko dwóch w OU IT) to zróbmy tak, że ja (lostapiuk) i ten kolega (akowal), będziemy mogli wszystko dla naszej wygody i bezproblemowej pracy. Grupą która pozwala na wszystko jest grupa "Domain Admins". Ok to fajnie jak teraz dodać nas do tej grupy? Klikamy dwa razy na "Domain Admins" i mamy takie oto okienko jak poniżej.

Na pierwszej zakładce mamy nazwę opis itp właściwości grupy. Przechodzimy na zakładkę "Members".

Widzimy, że nasze konto Administrator jest w tej grupie, co jak je usuniemy? Prawdopodobnie będziemy mieli nieźle przechlapane więc nie radzę tego robić. Ok w takim razie dodajmy lostapiuk i akowal do tej grupy. Klikamy "Add"...

Wpisujemy login i ok, dodajemy akowal tak samo. Efekt poniżej.

Jak widać od razu wiadomo gdzie w strukturze znajdują się użytkownicy. Mamy jeszcze zakładkę "Member of" która służy do zarządzania do jakich grup należy ta grupa. Tak jest możemy umieszczać grupy w grupach. Narazie się tym nie zajmujemy. Sprawdzamy czy zadziałało. Na moim komputerze uruchamiam instalację Firefox i klapa nie działa! Dlaczego? Może po chwili zadziała... Nie nie zadziała szkoda czasu! Nie czekamy. Więc o co chodzi?

Proces logowania

Przynależność danego użytkownika do grup oraz sprawdzanie uprawnień nadawanych z grup odbywa się przy logowaniu użytkownika do komputera. To bardzo ważna informacja! Warto zapamiętać. Ok co więc zrobić? Oczywiście wylogować się i zalogować i już instalacja będzie możliwa. Teraz nasuwa się pytanie czy na komputerze u pracowników, jeżeli wyskoczy okienko z prośbą o login i hasło to czy podając swoje dane uda się zainstalować jakieś oprogramowanie? Odpowiedź: tak!

Hm to czy to oznacza, że można spokojnie schować hasło do Administratora w sejfie i nawet z niego nie korzystać? Tak dokładnie! 

Administratorzy lokalni

Są to konta użytkowników dodane do grupy Administratorzy ale konkretnym komputerze a nie na serwerze. Ok to co to oznacza? Oznacza to że takie konto będzie miało prawa administratora tylko na tym komputerze. Na tym etapie się nie będziemy tym zajmować. Za to zrobimy sobie za jakiś czas ustawienia które będą nam zmieniać tych użytkowników automatycznie na każdym komputerze. Ale to w odpowiednim czasie. Teraz posługujmy się kontami domenowymi.

Jednak wspominam o tym tutaj, bo jeden ze sprytnych kolegów pracowników powiedział, że zainstalował sobie program do torrentów. Ale przecież jak to możliwe skoro nie ma uprawnień administracyjnych? Idziemy zobaczyć, skoro się pochwalił to pewnie nie kłamie. Przychodzimy patrzymy no i jest torrent jak nic. Trzeba koledze dać na połówkę, żeby zdradził tajemnicę.

Co to za tajemnica?

Tajemnica zapomnianych administratorów

Tak właśnie! Więc jak to? Są jeszcze jacyś administratorzy? Są i to nawet nie mało. Conamniej dwa razy więcej niż komputerów! Ale zaraz! Jak to możliwe? Już tłumaczę. 

Jak sięgniemy pamięcią do czasów kiedy instalowaliśmy system operacyjny. Podczas instalacji kreator zapytał nas jaka ma być nazwa użytkownika oraz ewentualne hasło itd. Pamiętacie? Zwykle podaję "User" po prostu albo imię właściciela komputera. No to jak to on też jest administratorem? No tak bo gdyby nie był to byśmy w ogóle nie mieli możliwości instalacji niczego na komputerze nawet nie dodanym do domeny. A no tak! Sprawdźmy więc jak to jest...

Klikamy start -> wpisujemy mmc.exe. Z menu dodajemy przystawkę i wybieramy użytkownicy i grupy lokalne -> komputer lokalny. Zaglądamy do grupy Administratorzy.

O kurcze a tu jeszcze jest Administrator! To pewnie ten domenowy. Uff! UWAGA! To nie jest domenowy Administrator! A jaki? Jest to Administrator lokalny! Do którego domyślnie jest puste hasło! Dodatkowo mamy tego naszego usera. Co robimy? Usera wywalamy z grupy Administratorzy, dodatkowo w ogóle możemy go usunąć w zakładce "Użytkownicy" jeżeli nie jest nam potrzebny. Mamy jeszcze tutaj w grupie Administratorzy na komputerze ORGANIZACJA\Domain Admins - oczywiście jest to nasza grupa z domeny w której są nasi użytkownicy administratorzy. Sprytne! 

Tak jak pisałem Microsoft to dobrze wymyślił. Ta grupa Domain Admins dodała się tutaj automatycznie podczas dodawania komputera do domeny. Bardzo nam to ułatwia pracę. 

Tak jak by się zastanowić to po dodaniu kolejnego komputera do domeny od razu mamy uprawnienia administracyjne nadane dla użytkowników u grupie Domain Admins. Fajne bo w jednym miejscu możemy decydować kto co może. Ok to myślę, że możemy uznać temat administratorów lokalnych z głowy. 

Podpowiedź dla kolegów z ServiceDesk lub kogoś kto przygotowuje komputery dla użytkowników. Warto dopisać sobie w instrukcji instalacji komputera pozycje po dodaniu do domeny:

-usuwamy użytkownika lokalnego utworzonego podczas instalacji systemu

Ok z instalacjami się uporaliśmy ale mamy kolejne problemy na wstępnie.

Problemy z logowaniem się użytkowników do komputerów

Gdyby to był koniec to problemów to byłoby super. Wyobraźmy sobie taki scenariusz. Dzwoni koleżanka Krystyna Złotówka, że chyba nie będzie wypłaty bo przelewu nie może zrobić. Ale jak to i dlaczego tak już biegnę! Ok na miejscu okazuje się, że zapomniała hasła i jest kłopot. O kurczę co teraz? Wracamy przed swój komputer logujemy się na serwer i patrzymy co tam możemy zrobić. Konto jest w konsolce "Active Directory Users and Computers" już nam dobrze znanej. Wyszukujemy Panią Krysię kochaną w przed dzień wypłaty i klikamy na jej konto prawym klawiszem myszy. 

Uff możemy chyba zmienić hasło. Tak robimy oczywiście...

No to fajnie mamy nawet możliwość wybrania opcji, pozwalającej Pani Krysi od razu ustawić swoje hasło - opcja domyślnie zaznaczona. Wpisujemy nowe hasło dwa razy i OK. Idziemy lub dzwonimy do Pani Krysi i już może się zalogować. Super!

Nasuwa się pytanie czy nie można było zobaczyć jakie Pani Krysia miała hasło i jej po prostu podać? Byłoby łatwiej i szybciej a przy tym nie musiałaby ustawiać nowego hasła. Okazuje się, jednak, że nie bo tak naprawdę hasła nie są przechowywane w domenie ani nigdzie tak właściwie, są przechowywane jedynie wyniki obliczeń które da się przeprowadzić tylko w jedną stronę (z wyniku tych obliczeń nie da się wyprowadzić hasła) te obliczenia są nazywane funkcjami skrótu. Ale jak to możliwe przecież zawsze z każdego równania da się wyliczyć w drugą stronę równanie. Równanie może i tak ale nie zestaw działań. Zakładamy, że hasłem są 3 liczby. Jawnie napiszę 3 7 6 w tej kolejności. A funkcją skrótu jest suma tych liczb czyli 16. I tą 16 pamięta kontroler domeny. Znając tą 16-tkę nie jesteśmy w stanie powiedzieć jakie jest hasło, jakie są te trzy liczby i czy w ogóle są to trzy liczby. Rozumiecie? Oczywiście w domenie są przetrzymywane hasła w o wiele bardziej skomplikowany sposób i jak narazie bezpieczny. 

Podsumowanie

Ok! Wszystko działa dobrze, obsługujemy problemy użytkowników. Nasi użytkownicy nic nie mogą sami popsuć na komputerach a do tego nasz kolega jest w stanie wykonywać zadania administracyjne nawet jak po weselu nie mamy na to siły. Jest całkiem nieźle, mamy centralne zarządzanie. Fajnie by było mieć jakiś dostęp zdalny do tego serwera z domu lub z innego miejsca. Wtedy mielibyśmy ułatwione zadanie jeśli chodzi o zarządzanie w zasadzie wszystkim zdalnie. Najlepiej do tego służy VPN oczywiście ale to nie jest zakres na tą serię więc tylko nadmieniam.

Active Directory - szybki start - struktura i użytkownicy

Active Directory - szybki start - struktura i użytkownicy

Wstęp

Słowem wstępu zrobię skrót tego, co mamy. Posiadamy więc podsieć z dostępem do internetu, serwer DNS oraz DHCP. Obie te usługi uruchomione na kontrolerze domeny, który jest pierwszym kontrolerem domeny organizacja.pl. Mamy zoptymalizowany serwer DNS oraz poprawnie skonfigurowany zakres DHCP rozdający adresy IP naszym komputerom w sieci. 

Nadszedł czas na założenie kont użytkowników oraz wstępne ustalenie struktury naszej domeny. 

Mam niecny plan, żeby na tym etapie zrobić to prawie dobrze a potem przebudować całość, żeby pokazać jak można zrobić też prawie dobrze. Chodzi o to, aby pokazać różne podejścia do budowania struktury zależnie od potrzeb. W mojej ocenie nie ma idealnej struktury i zawsze będą jakieś za i przeciw. 

Ok, a więc od czego zaczynamy? Aby coś zbudować musimy znać chociaż jakiś zarys jakie mamy klocki, z których będziemy budować całość. Żeby było prościej zacznę od tych, które są na samej górze struktury.

Las domen - jest to worek, w którym mamy domeny.

Drzewo domen - to układ 2 lub więcej domen związanych ze sobą

Domena - jest to podstawowa struktura, wewnątrz której są inne elementy

OU (Organizational Unit) - jednostka organizacyjna - to rodzaj konteneru (folderu), wewnątrz którego możemy przechowywać inne elementy.

Konto użytkownika - element opisujący użytkownika zawierający atrybuty typu login, hasło itd..

Konto komputera - analogicznie do konta użytkownika, zawiera nazwę komputera, wersja OS itp. Proszę zapamiętać, że komputer też jest użytkownikiem.

Ok w takim razie zerknijmy co tam mamy teraz od Microsoft-u na starcie po naszych instalacjach. Aby to zrobić uruchamiamy konsolę "Active Directory Users and Computers" dostępną w menu "Tools" w "Server Manager".

Po ikonach można poznać co jest co.

organizacja.pl to nic innego niż nasza domena którą utworzyliśmy.
Buildin i podobne to kontenery - coś ala OU ale w uproszczonej postaci - ma po prostu o wiele mniejszą funkcjonalność
Domain Controllers to jest OU. Z tego typu obiektów będziemy korzystać często przy budowaniu struktury.

Założenia do struktury

Aby zbudować naszą strukturę musimy przyjąć jakieś założenia. Naszym celem jest możliwość logowania się użytkowników do komputerów, każdy swoim niezależnym loginem i hasłem. Zależy nam też na tym, żeby struktura była prosta i w miarę przejrzysta - narazie nie ustalamy konkretnie jaka. Kolejnym założeniem jest nasza firma i jej działy. Załóżmy, że mamy takie działy jak:

• Administracja
• Projektanci
• IT
• Kadry
• Marketing
• Księgowość i finanse

Dla uproszenia przyjmijmy, że w każdym dziale pracuje po 2 osoby:

Administracja

• Jan Kowalski
• Jan Nowak

Projektanci

• Łukasz Nowakowski
• Mateusz Sobczuk

IT

• Adam Kowal
• Łukasz Ostapiuk

Kardy

• Adam Gałązka
• Katarzyna Liść

Marketing

• Diana Ryt
• Waldemar Korzeń

Księgowość i finanse

• Krystyna Złotówka
• Małgorzata Adamczuk

Proszę się nie pastwić nad sensem takiej firmy to tylko przykład. 

Trochę teorii

Nasi użytkownicy będą logowali się do komputerów swoimi loginami i hasłami, więc warto się na nich trochę skupić. Na początku tworzenia struktury musimy ustalić jak będziemy tworzyć loginy. 

Najpopularniejszym schematem jest pierwsza litera imienia i nazwisko, wszystko łącznie bez polskich znaków, i do tego małymi literami. czyli np. lostapiuk, jnowak, msobczuk itd. Taki schemat na początek przyjmijmy. 

A co z hasłami?

Schematu haseł nie musimy przyjmować ale trochę informacji będzie nam potrzebne.

W hasłach rozróżniamy różne typy znaków:

• małe litery
• duże litery
• cyfry
• znaki specjalne - również interpunkcyjne

Domyślna polityka haseł ustawiona przez Microsoft w naszej domenie mówi, że hasło powinno zawierać znaki z conajmniej 3 grup znaków wymienionych powyżej oraz składać się z minimum 8 znaków. Muszę jeszcze wspomnieć o mechaniźmie który pilnuje aby nasze hasła były zmieniane. 

Aby taki mechanizm działał, każdy użytkownik przy zmianie hasła ma zapisywaną datę zmiany hasła. Nasz kontroler domeny pilnuje aby hasło nie było zbyt stare i wymusza zmiany hasła jeżeli czas ustawiony w polityce haseł już minął. Jest to bardzo sprytny mechanizm który zwiększa bezpieczeństwo naszych kont pracowników ale paranoiczne ustawienia wbrew pozorom drastycznie zmniejszą bezpieczeństwo bo użytkownicy zaczną zapisywać sobie hasła, naklejać na monitorach itd. Musimy znaleźć złoty środek ale narazie zostawmy ustawienia takie jakie zostawił nam Microsoft.

Tworzenie struktury OU

Tworzenie struktury zaczniemy od utworzenia jednostek organizacyjnych. Podejść do tego tematu jest wiele. Najlepszym podejściem jest tworzenie jednostek organizacyjnych rozumiejąc je jako foldery a obiekty w środku jako pliki (lub foldery bo możemy utworzyć OU w OU). Jak w ogóle zacząć ten temat? Najlepiej zacznijmy od tego, że na każde OU (w dużym uproszczeniu oczywiście), będziemy robić ustawienia takie jak np. różne tapety dla użytkowników. Możemy zależnie od tego w którym OU jest użytkownik aplikować różne ustawienia. Takie podejście daje nam wiele do myślenia jednak zróbmy OU zgodne z działami. Więc do roboty!

Klikamy prawym klawiszem na organizacja.pl New -> Ogranization Unit

Kreator pyta nas o nazwę OU, Wpisujemy "Administracja". Dodatkowo możemy włączyć zabezpieczenie przez przypadkowym usunięciem. Zostawiamy domyślnie. Jak widać samo tworzenie OU to bajka i można bardzo prosto utworzyć całą strukturę. Tak więc robimy. Oczekiwany efekt po założeniu wszystkich OU dla działów powinien wyglądać tak:

Mamy utworzoną pierwszą strukturę. Narazie, żadnych ustawień nie będziemy tutaj robić. 

Tworzenie użytkowników

Pamiętajmy, że naszym celem jest możliwość zalogowania się użytkowników do komputerów w firmie. Każdy użytkownik (jego login, hasło oraz inne właściwości) są przechowywane w domenie w naszej strukturze. To oznacza, że hasła i loginy nie są przetrzymywane na komputerach w ogóle. Mogą być co najwyżej cache-owane. No to zakładamy pierwszego użytkownika! Zaznaczamy OU Administracja i pod prawym klawiszem myszy wybieramy New -> User

Wprowadzamy dane zgodnie z wcześniejszymi założeniami i klikamy next...

Powyżej mamy widok kolejnego kroku w którym mamy pytania o ustawienia hasła dla tego użytkownika. Ustalamy hasło na P@ssw0rd

Mamy również kilka opcji. Pierwsza oznacza, że użytkownik przy pierwszym logowaniu (hasłem które mu przekażemy) będzie musiał ustawić nowe swoje hasło i już nie będzie mógł się logować tym przekazanym przez nas. Prawda, że wygodne? 

Druga opcja pozwala nam na zabronienie użytkownikowi zmiany hasła - stosujemy tylko w przypadkach kiedy naprawdę musimy.

Trzecia opcja pozwala nam na wyłączenie mechanizmu sprawdzania czy hasło nie jest za stare - czyli hasło takiemu użytkownikowi nie wygaśnie.

Ostatnia opcja powoduje, że utworzony użytkownik będzie wyłączony. Zostawiamy domyślnie i przechodzimy dalej. Na koniec zatwierdzamy i już mamy utworzonego użytkownika. Zostawiam Was z koniecznością dodania użytkowników w odpowiednich działach zgodnie z wcześniejszymi założeniami. 

Podsumowanie

Uzyskaliśmy naszą pierwszą strukturę organizacji oraz założyliśmy konta użytkownikom w naszej firmie. Po stronie serwera mamy przygotowane wszystko co potrzebne do logowania się użytkowników. Pora na przygotowania do działania komputerów. Zapraszam do kolejnej części.