Администрирование сетей на платформе windows se

Управление Организационными подразделениями, делегирование полномочий

Назначение Организационных подразделений (ОП, Organizational Units, OU) — организация иерархической структуры объектов AD внутри домена. Как правило, иерархия ОП в домене отражает организационную структуру компании.

На практике использование ОП (кроме иерархической организации объектов) сводится к двум задачам:

делегирование административных полномочий на управление объектами ОП какому-либо пользователю или группе пользователей;
применение групповых политик к объектам, входящим в ОП.

Делегирование административных полномочий на управление объектами ОП какому-либо пользователю или группе позволяет в больших организациях распределить нагрузку по администрированию учетными записями между различными сотрудниками, не увеличивая при этом количество пользователей, имеющих административные права на уровне всего домена.

Рассмотрим на примере процедуру предоставления какому-либо пользователю административных прав на управление ОП.

Откроем консоль "Active Directory – пользователи и компьютеры".
Создадим в домене подразделение, скажем, с именем OU-1, переместим в это ОП несколько имеющихся в домене учетных записей (или создадим новые).
Щелкнем правой кнопкой мыши на подразделении OU-1 и выберем пункт меню "Делегирование управления…". Запустится "Мастер делегирования управления"
В ыберем пользователя (или группу), которому будем делегировать управление данным ОП. Пусть это будет пользователь User1 (рис. 6.45). Нажмем "Далее".

Рис. 6.45

Выберем набор административных задач, которые делегируются данному пользователю (рис. 6.46):

Рис. 6.46

По завершении мастера — нажмем кнопку "Готово".

Если теперь войти в систему на контроллере домена с учетной записью User1 (при условии, что у пользователя User1 есть права локального входа в систему на контроллере домена), запустить консоль "Active Directory – пользователи и компьютеры", то пользователь User1 сможет выполнять любые операции с объектами организационного подразделения OU-1.

Кроме удобных консолей с графическим интерфейсом система Windows 2003 оснащена мощным набором утилит командной строки для управления объектами Active Directory:

dsadd — добавляет объекты в каталог;
dsget — отображает свойства объектов в каталоге;
dsmod — изменяет указанные атрибуты существующего объекта в каталоге;
dsquery — находит объекты в каталоге, удовлетворяющие указанным критериям поиска;
dsmove — перемещает объект из текущего местоположения в новое родительское место;
dsrm — удаляет объект или все поддерево ниже объекта в каталоге.

Примеры.

Создание подразделения OU-New в домене world.ru:

dsadd ou "ou=OU-New,dc=world,dc=ru"

Создание пользователя User-New в подразделении OU-New в домене world.ru:

dsadd user "cn=User-New,ou=OU-New,dc=world,dc=ru"

Модификация параметра "Номер телефона" у пользователя User-New:

dsmod user "cn=User-New,ou=OU-New,dc=world,dc=ru" –tel 123-45-67

Получение списка пользователей домена, у которых имя начинается с символа "u":

dsquery user -name u*

Далее рассмотрим применение групповых политик (как для отдельных ОП, так и для других структур Active Directory).

Содержание