instalowanie pierwszego kontrolera domeny

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________

Instalacja i zarządzanie kontrolerem domeny w Windows Server 2003

Wstęp
Active   Directory   (AD)   to   usługa   katalogowa   oparta   na   systemie   Windows.   Usługa   Active   Directory
przechowuje   informacje   dotyczące   obiektów   w   sieci   i   udostępnia   te   informacje   użytkownikom   i
administratorom sieci. Usługa Active Directory (AD) pozwala użytkownikom sieciowym uzyskać dostęp do
udostępnionych zasobów w dowolnym miejscu w sieci podczas jednego procesu logowania. Usługa udostępnia
administratorom sieci intuicyjny widok hierarchiczny sieci i pojedynczy punkt administracji  dla wszystkich
obiektów sieciowych.

Instalowanie pierwszego kontrolera domeny na komputerze
Zalety domen sprawiają, że usługa Active Directory jest instalowana w większości sieci opartych na Windows
2000 i 2003. Instalację  domeny można przeprowadzić na wiele sposobów. Najprostsze dwa to dodanie roli
kontrolera domeny w dla pierwszego serwera w Narzędziu administracyjnym: „Zarządzaj tym serwerem”, albo
uruchomienie   polecenie  dcpromo  z   linii   komend.   To   polecenie   służy   także   do   dodawania   na   kolejnych
serwerach   w   domenie   roli   kontrolera   domeny   oraz   do   usuwania   roli   kontrolera   domeny   z   serwera.   Gdy
uruchamiamy  kontrolera   domeny  narzędziem  graficznym  należy  pamiętać,   że   jak   wybierzemy   konfiguracje
podstawową do zostanie  zainstalowana  automatycznie dodatkowo rola serwera  DNS i serwera  DHCP. Gdy
jednak wybierzemy konfigurację niestandardową i wskażemy tylko rolę kontrolera domeny do zainstalowania
na serwerze to później podczas instalacji system zaproponuje albo automatyczne zainstalowanie roli serwera
DNS albo wpisanie w konfiguracje TCP/IP serwera adresy istniejących  juz w domenie  serwerów DNS. Wybór
instalacji   niestandardowej   jest   zalecany   dla   administratorów   posiadających   juz   pewna   wiedzę   z   systemów
Windows Server firmy Microsoft.
W  ogóle   usługa   katalogowa   Active   Directory   jest  nierozerwalnie    powiązana   z  usługą   DNS,  ponieważ   na
podstawie rozpoznawania nazw poszczególne kontrolery domeny komunikują się ze sobą, proszą o autoryzację,
czy replikują miedzy sobą bazy danych a użytkownikach, grupach i politykach grup.
Baza danych Active Directory wprowadzona od systemu Windows Server 2000 korzysta podczas np. replikacji
między kontrolerami domeny w lesie z usługi DNS (Domain Naming Service) dlatego następne okno podczas
konfiguracji roli kontrolera domeny może dotyczyć stanu tej usługi DNS w naszym serwerze. Okno to pojawi
się zawsze w przypadku gdy na naszym serwerze nie ma zainstalowanej i skonfigurowanej roli serwera DNS.
Możemy wskazać aby nasz kontroler domeny korzystał z zewnętrznego serwera DNS lub dodać do instalacji
rolę   serwera   DNS   na   tym   komputerze   na   którym   właśnie   dodajemy   rolę   kontrolera   domeny.   Wybierz
zainstalowanie i skonfigurowanie DNSa na tym komputerze a system w sposób automatyczny podczas instalacji
roli kontrolera domeny dodatkowo zainstaluje, skonfiguruje i zintegruje z nią rolę serwera DNS.

Proces instalacji roli kontrolera domeny:
W oknie Narzędzia administracyjnego „Zarządzaj tym serwerem” pod pozycją Zarządzanie rolami serwera
wybieramy opcję Dodaj lub usuń rolę.

Po wybraniu tej opcji pojawi nam się okno informacyjne w którym należy kliknąć na opcję Dalej.

1/11

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________

Po   uruchomieniu   kreatora   najpierw   należy   odpowiedzieć   na   pytanie   o   typ   kontrolera   domeny.   W   każdej
domenie powinny być co najmniej dwa serwery przechowujące bazę AD, dla pierwszego z nich zaznaczamy
opcję Kontroler domeny dla nowej domeny, natomiast dla drugiego opcję Dodatkowy kontroler domeny dla
istniejącej  domeny.  Instalując  serwer   zapasowy,   powinniśmy   najpierw   sprawdzić,  czy  mamy  wystarczające
uprawnienia   do   zakładania   dodatkowych   kontrolerów   i   pamiętać   że   użycie   tej   opcji   spowoduje   usunięcie
wszystkich kont lokalnych na tym serwerze. Operacje związane z konfiguracją usługi Active Directory zawsze
wymagają uprawnień administratora domeny.

Następne okno służy do określania typu tworzonej  domeny. Serwery Windows 2003 Server mogą budować
środowiska domenowe na olbrzymią skalę. Potrafią łączyć zasoby przedsiębiorstw o zasięgu globalnym, które
mają filie rozproszone na wielu kontynentach. Podstawową jednostką administracji jest domena, natomiast dla
wspomnianych   firm   można   tworzyć   drzewa   lub   lasy   domen.   Drzewo   Active   Directory   to   grupa   domen
powiązanych   relacją   zaufania   oraz   współdzielących   tę   samą   przestrzeń   nazw.   Graficznie   przypomina   to
odwrócone drzewo, które ma domenę nadrzędną (tzw. korzeń) i wychodzące z niej domeny podrzędne. Las liczy
wiele drzew. Elementem wyróżniającym lasy jest brak wspólnej przestrzeni nazw, dlatego służą do grupowania
zasobów korporacji, w których skład wchodzi wiele firm. Podczas instalacji  pierwszego kontrolera domeny
należy wybrać opcję Domena w nowym lesie.

3/11

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________

Kolejne   pytania   kreatora   wiążą   się   z   usługą   DNS.   Ponieważ   Active   Directory   korzysta   z   tej   usługi   do
rozwiązywania nazw oraz lokalizacji kontrolerów domeny, należy zainstalować lokalny serwer DNS. Jeśli nie
wiemy,   jak   go   skonfigurować   do   współpracy   z   Active   Directory,   warto   wybrać   opcję   Nie,   zainstaluj   i
skonfiguruj DNS na tym komputerze. Kreator automatycznie przeprowadzi wówczas integrację systemu z DNS.
W oknie Nazwa nowej domeny wprowadzamy nazwę zakładanej struktury, zgodną ze standardem DNS. Nie
musimy się posługiwać zarejestrowaną nazwą internetową - może być dowolna np. WSKIZ.EDUKACJA.PL W
następnym  oknie   podajemy  nazwę  netbiosową   domeny.  Jest   to   konieczne   ze  względu   na   wykorzystywanie
mechanizmów NetBIOS do realizacji niektórych połączeń sieciowych. Nazwa powinna mieć maksymalnie 15
znaków i wiązać się z wprowadzoną nazwą DNS. Jeśli domena została nazwana WSKIZ.EDUKACJA.PL, to
dobrą nazwą NetBIOS będzie WSKIZ.

Kolejne okna monitują o określenie lokalizacji plików i katalogów przechowujących Active Directory.
Najczęściej nie ma istotnej potrzeby zmiany tych ustawień.

4/11

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________

W następnym oknie wybieramy poziom zgodności uprawnień. Jeśli do domeny będą się podłączać klienci
starszych systemów operacyjnych, powinniśmy wybrać opcję zgodności ze starszymi systemami. Niesie to ze
sobą ryzyko odczytywania pewnych informacji o domenie przez użytkowników anonimowych. Należy jednak
pamiętać, że po ustawieniu restrykcyjnych uprawnień w niektórych przypadkach starsi klienci będą mieli
problemy z podłączeniem się do domeny.

5/11

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________

oraz okno kończące instalację i w tym momencie należy zrestartować system.

Po powtórnym uruchomieniu serwer jest w pełni funkcjonalnym kontrolerem domeny. Dodatkowo w
narzędziach administracyjnych pojawiają się skróty do przystawek związanych z Active Directory gdy już ich
tam wcześniej nie było poprzez zainstalowanie ADMINPACKA (patrz materiały do lab 8)

Zarządzanie kontrolerem domeny Active Directory
Przy   zarządzaniu   Active   Directory   mamy   możliwość   wyboru   trzech   opcji.   Pierwsza   z   nich   to   Zarządzaj
użytkownikami   i   komputerami   w   usłudze   Active   Directory.   Z   tej   opcji   można   otworzyć   konsolę   do
administrowania   i   publikowania   informacji   w   katalogu.   Druga   to   Zarządzaj   domenami   i   zaufaniami,   która
otwiera   konsolę   do   administrowania   zaufaniami   domen,   poziomami   funkcjonalności   domen   i   lasów   oraz
sufiksami głównych nazw użytkowników. Ostatni to Zarządzaj lokacjami i usługami otwierający konsolę do
konfigurowania usługi katalogowej, np. administrowanie replikacją danych katalogu.

Wybierając Zarządzaj użytkownikami i komputerami w usłudze Active Directory pojawia nam się okno w
którym są wyświetlane następujące składniki:



Builtin,

7/11

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________



Computers - w którym znajdują się komputery dodane do domeny,



Domain Controllers - w którym znajdują się kontrolery domeny,



ForeignSecurityPrincipals,



Users - w którym są zamieszczeni użytkownicy.

Klikając prawym przyciskiem myszy na naszej domenie pojawi nam się menu kontekstowe. Znajdują się w nim
następujące opcje:



Deleguj kontrolę - opcja ta deleguje kontrolę obiektów usługi Active Directory. Można nadawać
użytkownikom uprawnienia do zarządzania użytkownikami, grupami, komputerami, jednostkami
organizacyjnymi i innymi obiektami przechowywanymi w usłudze Active Directory,



Znajdź - opcja ta umożliwia znalezienie min.: użytkowników, kontaktów, grupy, drukarki, komputery,
foldery udostępnione,



Podłącz do domeny - za pomocą tej opcji można podłączyć się do domeny,



Podłącz do kontrolera domeny - za pomocą tej opcji można podłączyć się do kontrolera domeny,



Podnieś poziom funkcjonalności domeny - opcja ta podwyższa poziom domeny z bieżącego poziomu
(trzeba pamiętać, że po podniesieniu poziomu funkcjonalności domeny nie można tego cofnąć),



Wzorce operacji - wzorzec operacji ma trzy funkcje: zarządza przydzielaniem pul identyfikatorów RID
do innych kontrolerów domeny, emuluje funkcję podstawowego kontrolera domeny dla klientów
systemów starszych niż Windows 2000, wzorzec infrastruktury zapewnia spójność obiektów dla
operacji międzydomenowych (tylko jeden serwer w domenie pełni te trzy role),



Nowy - opcja ta umożliwia dodanie:

o Komputer,
o Kontakt,

8/11

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________

o    Grupa,
o    InetOrgPerson,
o    Alias kolejki usługi MSMQ,
o    Jednostka organizacyjna,
o    Drukarka,
o    Użytkownik

Folder udostępniony,



Wszystkie zadania - opcja ta zawiera wszystkie dostępne zadania (które są opisane powyżej):

Deleguj kontrolę,

o    Znajdź,
o    Podłącz do domeny,
o    Podłącz do kontrolera domeny,
o    Podnieś poziom funkcjonalności domeny,
o    Wzorce operacji,
o    Wynikowy zestaw zasad(planowanie),



Widok - opcja ta umożliwia dostosowanie wyglądu okna do potrzeb użytkownika,



Nowe okno z tego miejsca - opcja ta umożliwia otworzenie nowego okna z bieżącego miejsca w jakim
się znajdujemy,



Odśwież - opcja odświeżania okna,



Eksportuj listę - eksportowanie listy,



Właściwości - otwiera się okno właściwości, które zawiera zakładki:

o    Ogólne,
o    Zarządzany przez,
o    Zasady grupy,

9/11

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________

Backup i Restore Active Directory na serwerze z kontrolerem domeny

Aby wykonać najprostszą kopię zapasową należy wykonać następujące kroki

Załóż w systemie plików serwera folder archiwum jako przygotowanie do wykonywania w to miejsce backupów
systemu.

Uruchom z Akcesoria -> Narzędzi systemowych aplikację Kopia zapasowa i kliknij Dalej

3. W otwartym oknie wybierz tworzenie kopii zapasowej i kliknij dalej a w następnym oknie wybierz opcję

indywidualnego wyboru zawartości tworzonej kopii zapasowej, ponieważ chcemy zarchiwizować głównie bazę
danych Active Directory. W razie awarii Active Directory w systemie będziemy mogli tym narzędziem
odtworzyć (restore) AD z wcześniej przygotowanej kopii.

4. Jako zawartość kopii zapasowej zaznacz tylko System State – zauważ że wybór ten zawiera bazę AD.

Kliknij Dalej i w następnym oknie wskaż ścieżkę umieszczenia kopii do miejsca wcześniej przygotowanego.
Najlepiej kopię nazywać tak aby łatwo było zidentyfikować kiedy została ona zrobiona i czego dotyczy

W następnym oknie wybierz typ normalny typ kopii (zobacz jakie mogą być inne typy i czy się charakteryzują) i
klikaj w następnych oknach kreatora kopii zapasowej Dalej samemu decydując czy planowana kopia zapasowa
ma przykryć poprzednią czy ma być do niej dołączona. Na końcu kliknij Zakończ aby zaczęło się wykonywanie
kopii.

Backup, Defrag i Restore bazy danych Active Directory w trybie autorytatywnym na serwerze
WS1

Pełny backup bazy Active Directory wykonujemy podczas gdy serwer nie pracuje w trybie
produkcyjnym. Taki backup wykonany w trybie autorytatywnym jest bardzo przydatny do przywrócenia
poprawnego działania AD podczas wystąpienia awarii funkcji-roli kontrolera domeny. Aby wykonać
kopię AD w trybie autorytatywnym należy wykonać następujące kroki:

1. Podczas startu systemu naciskaj F8 aż do pojawienia się menu opcji zaawansowanych systemu Windows i

wybierz: „Tryb przywracania usług katalogowych”.

W trybie linii komend uruchom program zarządzający ntdsutil a potem wpisz files

•

Do katalogu kopia_NTDS skompaktuj istniejącą bazę danych za pomocą polecenie compact to

UWAGA: Nie zamykaj po wykonaniu tego okna!!!

•

Następnie

KONIECZNIE i UWAŻNIE

wykonaj podane dwa polecenia na końcu komunikatów

kompaktowania (copy i del)

•

Ponownie uruchom komputer i sprawdź działanie Active Directory.

10/11

WSKIZ

opracował Paweł Mielke

sieciowe systemy operacyjne

___________________________________________________________________________________

Odinstalowanie roli kontrolera domeny
W oknie usuwania usługi Active Directory należy wskazać czy jest to ostatni kontroler domeny czy nie. Jest to
bardzo ważne ponieważ zawsze w drzewie domen jest jeden tzw. Operation Master czyli najważniejszy
kontroler spełniający specyficzne zadania takie jak:

a. Schema master
b. Domain naming master
c. PDC Emulator
d. RID Master
e. Infrastructure master

przechowywanie tzw. Global Catalogu odpowiedzialnego między innymi za autentykacje podczas
logowania, zarządzanie grupami uniwersalnymi.

Nasz pierwszy kontroler domeny, który został zainstalowany automatycznie jest tzw. Operation Master czyli
spełnia te wszystkie powyższe zadania. Natomiast administrator może niektóre z tych zadań przenieść na inne
kontrolery domen aby np. rozłożyć obciążenie. Przy usuwaniu kontrolera domeny należy zwrócić uwagę czy
któreś z tych zadań nie jest przypisane właśnie do tego kontrolera (chyba że jest to ostatni kontroler domeny).
Gdy tak to należy najpierw to zadanie przenieść (najczęściej uruchomić) na innym kontrolerze a dopiero potem
usuwać rolę kontrolera domeny z naszego serwera.
W naszym przypadku nie jest to ostatni kontroler domeny i nie spełnia tych specjalnych funkcji więc możemy
kontynuować jego usuwanie. Usuń więc tą rolę postępując zgodnie z wskazówkami w kolejnych oknach
kreatora.

11/11