fine grined password policy สำหรับสร้าง policy หลายๆรูปแบบ กำหนดในแต่ละ OU ได้มีโหมดกราฟฟิกให้ทำแล้วใน Version 2012
เลือก tools ใน Server manager เลือก Active Directory Administrative Center
ไปยัง domain abc(local) ไป system แตกออกมาไปยัง Password Setting Control->New Password Setting
ตั้งชื่อ Name: it password ใช้กับฝ่าย IT
Precedence: ค่า cost ใส่ 10 แล้วเลือก Direct Apply to – >Add user jojo
สามารถหา User จากการเลือกตรงโดเมนแล้วคลิ้กขวา เลือก find แล้วใส่ชื่อทำการค้นหาจะได้ user ที่ต้องการ ถ้าจะดูรายละเอียดให้เลือก View เลือก choose columns แล้วเลือก Published At จะค้นหาที่อยู่ของ User ได้
ต้องการสร้าง report เลือก Saved Queries->New Query ตั้งชื่อ Name:manager เลือก define query แล้วเลือกตรง find เลือก User & Com ตรง Description ใส่ manager แล้ว OK จะได้รายงาน เมื่อเรา add user แล้วปรับเป็น Manager แล้วไปที่ Saved Query ตรงรายงาน Refresh จะพบว่า user ใหม่จะถูกอัพเดทเข้ามา
สร้าง group ชื่อ qcgroup ใน ou qc หลังจากนั้นคลิ้กขวาที่ user -> add to a group หลังจากนั้นสร้าง folder ทำการคลิ้กขวาเลือก share with เลือก find ใส่ qc แล้วกดปิดไปหลังจากนั้นมาที่ Active directory user & computer เลือก user bobo และ john คลิ้กขวาเลือก properties เลือก profile ติ้ก home folder แล้วเลือก connect เป็น X: ตรง to ใส่ \\192.168.1.1\qcwork\%username% จะทำให้ได้ฟอรเดอร์ของแต่ละคนทำให้สามารถเซฟงานของใครของมัน แต่ admin จะเห็นทั้งหมด
การสร้าง User Account Template วิธีการ
-Create temp user เช่น _naiA จะได้อยู่บนสุด
-ทำการ edit ค่า Properties , Add group
เมื่อต้องการ create new user ให้ใช้วิธี copy temp user
ลองทำการคลิ้กขวาที่ john แล้วเลือก copy ใส่ชื่อ tony จะได้ user tony ที่มี properties เหมือน john เรียกการทำแบบนี้ว่า user account template
user tony@abc.local กับ abc\tony จะสามารถ set ให้ใช้งานต่างกันได้เพราะถือว่าเป็นคนละชื่อแต่ใช้พาสเวริดเดียวกัน
jojo@abc.local เป็น UPN, User Principlename ล๊อกเข้าเครื่องจะดีที่สุดไวสุด
abc\jojo เป็น pre-windows2000 logon
พิม logoff ในรันจะ logoff
การทำ easy logon หรือ email logon
Easy Logon ทำได้ที่ root domain และ ad domain & trusts
เลือก active directory domain & trust คลิ้กที่ Actice Directory Domains and Trust เลือก properties ใส่ wes.com แล้ว add กลับไปที่ active directory user & computer เลือก user bobo คลิ้กขวาเลือก properties แล้วเลือก account ทำการ dropdown ตรง @abc.local เป็น @wes.com
Join Computer to Domain
-Registerdns
join domain tcp/ip properties…dns 192.168.1.1
-select domain
computer properties ….change ….member of domain… abc.local
-restart computer
วิธีการทำ ไปที่เครื่อง Server02 ทำการเปิด cmd ขึ้นมาแล้วพิมพ์
- netsh interface ipv4 set dnsserver “Ethernet” static 192.168.1.1 #netsh interface ipv4 set dnsserver “Ethernet” dhcp หรือแจกด้วย dhcp
- netdom join %computername% /domain:abc.local /userD:abc\administrator /passwordD:password@1 /ou:”ou=qc,dc=abc,dc=local” #เป็นการ Join ด้วยการใช้ สคริป
- shutdown -r -t 0
*** เมื่อใช้ notebook มา join domain ทำการล๊อกออนเข้าเครื่องไม่ได้ เพราะว่า computer จะมี password ปกติ default จะ 3 เดือน เมื่อไม่ติดต่อกับ domain 3 เดือนจะล๊อกเข้าเครื่องไม่ได้
- ถ้า user ไม่ได้เข้าใช้เครื่องเป็นว่าลานานให้ทำการเลือก account computer แล้วเลือก disable account ไว้
- หรือทำการลบทิ้งแล้ว join ใหม่แต่จะได้ sid ตัวใหม่ทำให้ไม่ได้สิทธิ์ ถ้าอยากให้ได้สิทธิ์เหมือนเดิมให้คลิ้กขวาแล้วเลือก reset account
Group ทำการรวมกลุ่มของ Object พวก user computer ง่ายต่อการกำหนดสิทธิ์ ไปที่ ad user & computer ไปแผนกที่ต้องการแล้วคลิ้กขวาเลือก new group
| Scope | Type |
| Domain Localใช้ได้บน domain เท่านั้น สมาชิกมาจากไหนก็ได้
Global Group ใช้ที่ไหนก็ได้สมาชิกต้องมาจาก Domain เดียวกับมันเท่านั้น abc.local (ใช้มากที่สุด) Universal ใช้ที่ไหนก็ได้ สมาชิกมาจากไหนก็ได้ แต่จะทำให้ Global Catalog ทำงานหนัก |
Security Set permission ได้ set mail ได้ distributton ได้ mail อย่างเดียว |
AD Recycle Bin เลือก Server manager เลือก tools เลือก active directory domain administrative center เลือก abc(local) เลือก Enable Recycle Bin หลังจากนั้นลองลบ user ใน abc.local ใน ad user & computer กลับมาที่ ad admin center แล้วเลือก abc(local) แล้วเลือก Deleted Object จะเห็น user ที่ถูกลบแล้วทำการ restore ได้
ถ้านั่งอยู่บนเครื่อง XP ต้องจัดการกับ server แล้วไม่สามารถ remote ได้ต้องติดตั้ง adminpack.msi ได้จาก cd windows server 2003 อยู่ในฟอเดอร์ i386
ถ้านั่งอยู่บนเครื่อง windows 7 ต้องลง RSAT ซึ่งไป download มา
ถ้านั่งอยู่บนเครื่อง 2008-2012 ต้อง add role & fature แล้วเลือก feature แล้วทำการ add remote server administrative tools
Server Manager เลือก Create Server Group ตั้งชื่อ AppServer แล้วเลิอก DNS แล้ว Search Server01 , Server02 ทำการ add ตามลำดับ
สามารถทำให้ จะ Manage computer ได้ถ้าเปิด remote ก็จะเปิด remote ได้และสามารถเปิด Power Shell ได้แต่ต้องไปเปิด Security ของเครื่องที่จะทำด้วยเพราะมันจะติด Advance firewall วิธีการปิด advance firewall ของเครื่อง 2 โดยเปิด cmd แล้วพิมพ์
netsh advfirewall set all state off ถ้าทำ mode GUI ให้เลือก tools ในหน้า Server manager แล้วเลือก Windows Firewall with advance Security หรือถ้าไม่ต้องการปิด firewall แล้วก็ทำการ add inbound Rules และ outbound Rules
ทดสอบไปที่เครื่อง Sever01 แล้วทำการคลิ้กขวา Manage Computer แล้วลองสร้าง User ให้กับเครื่อง Server02
IP Address
IP V4 32bit
w.x.y.z มาจาก 255.255.255.255
สาเหตุของการทำ Class Less เพราะลดการ Boardcast ในระบบ
-static … manual config ขอเสียเมื่อมีการเปลี่ยนแปลงบ่อยๆ ไม่สะดวกอาจจะผิดพลาดง่าย
-ถ้าไม่ได้ config ip dhcp ก็ไม่แจก แต่จะปิงได้เพราะ apiba 169.254.x.x /24
-แต่จะทำ dhcp … เป็น dynamic ถ้า ทำการ Add roles & Feature แล้วเลือก DHCP Server แล้วพอลงเสร็จเปิด DHCP ขึ้นมา หลังจากนั้นต้องทำการเลือก Server แล้วคลิ้กขวาเลือก Authorize เพื่อประกาศว่าจะแจก IP เป็นการสมัคร Dealer แต่ถ้าทำจาก switch หรือเรียกว่า rouge จะไม่สามารถแจกได้ ใน IPv4 เลือก New Scope สร้าง DHCP Dynamic
ทำ IP Profile เปิด notepad
พิมพ์
netsh interface ipv4 set address “Ethernet” static 192.168.1.2 255.255.255.0
netsh interface ipv4 set dnsserver “Ethernet” static 192.168.1.1
ถ้าจะเพิ่ม DHCP ก็ต้องใส่
netsh interface ipv4 add dnsserver “Ethernet” static 192.168.1.2 index=2
โดย Default จะแจก DHCP ที่อยู่คนละวงไม่ได้ จะแจกได้ก็ต่อเมื่อมี DHCP RELAY AGENT มีทั้งของ Microsoft เอง หรือมีใน switch vlan หรือพวก rounter
Reservation สำรอง ip ไว้ให้กับบางคนเลือกได้ว่าจะเอา ip อะไรต้องดู Mac Address ของเครื่องที่จะกำหนดให้ เช่นเครื่อง Manager
ให้ทำการ ping ไปที่เครื่อง manager หลังจากนั้นทำการพิมพ์ arp -a ตามด้วย ip ของเครื่อง manager แล้วนำไปกรอกตรง Reservation Option แล้วใส่ 192.168.1.13 ใส่ mac ไปแล้วกด OK ถ้าจะกำหนด option พิเศษ ต้องเลือก Define user Classes ตรง ipv4 แล้ว New Class แล้วใส่ Display name:notebook แล้วใต้ ascii ใส่ notebook หลังจากนั้นเลือก IPV4 เลือก Server Option คลิ้ก properties เลือก advance แล้วเลือก notebook ไปที่เครื่อง 2 เปิด cmd พิมพ์ ipconfig /setclassid “Ethernet” “notebook”
DHCP Option จะประกอบไปด้วย
Server Option
Scope Option
Reservation Option
define user class option
ด้านล่างจะ overide ด้านบนหมายถึงจะสั่งด้านบน
โดย Default DHCP จะไม่แจก Non Microsoft ถ้าอยากให้แจกต้องไปเลือก Properties แล้วเลือก Advance แล้วติ้กเลือก Both
ถ้า DHCP จะแจกแค่ MS ถ้า BOOTP จะแจก NONE MS