התקנת RODC
dcpromo (או מוסיפים רול), ונפתח הוויזרד.Change Domain Controller ולהתחבר ל-RODC. שם אין New ואי אפשר לשנות שדות. זה לא עניין של הרשאות, אלא שהמערכת באמת לקריאה בלבד.ntdsutil ואז local roles: ניהול האדמיניסטרטורים המקומיים של ה-RODC. list roles מציג את הרשימה הנוכחית. המרצה לא הדגים עד הסוף ושלח לחפש בגוגל, ומציין שמייקרוסופט לא סיפקה ממשק גרפי.set dsrm password ב-ntdsutil: איפוס סיסמת מצב החירום.ncpa.cpl וב-ipconfig.dcpromo שוב. בחלון ההסרה לא מסמנים את המחיקה של כל הדומיין, כי זה מוחק את כל ה-Active Directory, ובסוף קובעים סיסמת אדמיניסטרטור מקומי חדשה.פרקי ההרצאה: התקנת RODC
תמלול ההרצאה: התקנת RODC
הטקסט המלא של הדקות הראשונות בהרצאה «התקנת RODC» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
ברוכים הבאים לשיעור על RODC, Read Only Domain Controller. זה DC, דומיין קונטרולר שנמצא במצב Read Only, משהו מיוחד לקריאה בלבד. זה משהו מיוחד שקיים רק ב-2008, זה לא היה ב-2003.
אני ככה אתחיל ישר להסביר ולהדגים. כרגע יש לנו דומיין קונטרולר אחד, זה אומר שרת היחיד שמחזיק את כל היוזרים ואת כל השמות ואת כל הסיסמאות.
ויש לנו עוד כל מיני מחשבים פה ברשת שסומכים עליו ובאים לבדוק אצלו את השמות ואת הסיסמאות. אז השרת הזה של דומיין קונטרולר, כן, שעשיתי, כאילו בעצם מה עשיתי?
הבאתי מחשב נקי, ברזל נקי או מכונה וירטואלית, שמתי עליו Windows ועשיתי DC-Promo. אחרי שעשיתי DC-Promo יצרתי דומיין חדש וזה הדומיין הקונטרולר שלו.
אבל איפה הבעיה שלנו? תראו, מה יקרה אם השרת הזה יהיה קבוי? כי פה לא חשמל, יישרף לו R-Disk, לא נשלם חשבון חשמל וינתקו לו לנו את החשמל. או מה יקרה אם לא תהיה תקשורת איתו כי המחשב נניח Windows 7 הזה, יוני PC הזה, המחשב הזה יהיה בהירוחם, והאינטרנט בהירוחם מתנתק, וברגע שהאינטרנט מתנתק הוא לא יודע להגיע לשרת הראשי שיש שם
את כל השמות ואת כל הסיסמאות. אז ה-DC הוא מחשב מרכזי שבלעדיו אי אפשר לפנות לאף קובץ, לא לפנות לשום משאב ברשת. למה ה-DC הוא כל כך חשוב? כי כל פנייה שלך לתיקייה משותפת, לכל מקום שאתה פונה ברשת הפנימית, אתה חייב לעבור הזדהות, חייבים לבדוק מי אתה ומה אתה.
זה לא רק בכניסה למחשב. הרבה אנשים מתבלבלים וחושבים ששם וסיסמה בודקים רק בכניסה למחשב. זה לא נכון. כל פעם שאתה פותח שיחה חדשה מול שרת, אתה פונה לקחת קובץ כלשהו מתיקייה משותפת.
כל פעם שאתה ניגש למשאב ברשת, אם זה להדפיס במדפסת, אם זה לקחת קובץ, אם זה להוריד איזשהו משהו ברשת הפנימית. כל פעם שאתה רוצה לגשת למשאבים ברשת, אתה חייב לעבור איזהות כדי שיבדקו מי אתה.
יכול להיות שאתה עקר שסתם הגעת לרשת שלי והתחברת עם קבל רשת. אז כל גישה למשאבים ברשת, כמו תיקיות, כמו מטפסות, מחייבת אימות לבדוק מי אתה, מה מותר לך לעשות, אולי אסור לך לעשות.
והיחיד שיכול לאמת את הזהות שלך, היחיד שיודע את השם והסיסמה שלך, ולבדוק מי אתה באמת, היחיד שיכול לעשות את זה, זה דומיין קונטרולר.
ואם דומיין קונטרולר לא עובד, כולם יכולים ללכת הביתה. כל העובדים יכולים לקחת את הדברים שלהם וללכת הביתה. למה? כי אין, אי אפשר לגשת למשאבים ברשת, פשוט מאוד.
אז דומיין קונטרולר הוא קריטי לכל התהליך ולכל העבודה שוטפת. בגלל שדומיין קונטרולר כל כך קריטי, אנחנו חייבים לעשות שני דומיין קונטרולרים. וזה בדיוק מה שאנחנו הולכים לעשות, אנחנו לוקחים שרת, שרת מספר 2 שלנו, הבאנו שרת נוסף, זה השרת הנוסף שלנו, נכנסים אליו לשרת הנוסף, אנחנו חייבים להיכנס אליו עם יוזר שיש לו
הרשאות אדמיניסטרטור על אותו המחשב, זאת אומרת אדמיניסטרטור מקומי על אותו השרת, ואחרי שיש לו אדמיניסטרטור מקומי על אותו השרת אנחנו עושים DC promo, אפשר לעשות DC promo, אפשר להוסיף רול והרול הזה יוסיף DC promo, זה לא משנה, הדיסי פרומו, זה בעצם ייצור לי דומיין קונטרולר חדש.
נפתח לנו הוויזרד של דומיין קונטרולר, ובואו נראה מה קורה פה. קודם כל, 2008 אומר שאני לא יודע לעבוד ביחד עם דומיין קונטרולר ברשת של NT4. אתם יודעים, לפני 2008 היה 2003.
לפני 2003 היה, בעצם זה לא נכון, היה 2008. לפניו היה 2003 R2, גרסה שנייה. לפניו היה 2003 רגיל. לפניו היה 2000. ולפני 2000 היה NT4, כן?
זה כמו XP וויסטה ושבע, אז ככה היה 2008 R2, לפניו 2008, לפניו 2003, 2003 R2, לפניו 2003 רגיל, לפניו 2000, ולפניו NT4 ולפניו NT3.5.
וקיצור, דומן קונטרולר של 2008 לא יודע לחיות ביחד עם דומן קונטרולר של NT4. לא שזה מעניין כי זה כבר פסה מת לא קיים בעולם הזה, אז אל תדאגו, לא תתקלו בזה.
השאלה הראשונה שהוא שואל אותי, האם החברה היא חברה קיימת או חברה חדשה? האם אנחנו יוצרים חברה חדשה, האם זה New Forest, או חברה קיימת? אני אומר לו, תקשיב, אתה מצטרף לחברה קיימת.
מה זה משנה לו אם זה חברה חדשה או חברה קיימת? כי עכשיו הוא שואל אותי האם דומן חדש או דומן קיים. שימו לב, חברה זה אומר שיש לנו Global Catalog משותף.
זאת אומרת, כשאני אבוא לכתוב מכתב ואני לחץ 2 במכתב, אני אראה את כל החברה. לא משנה באיזה סניף זה נמצא. אז Forrest זה חברה, ודומיין זה סניף קטן. סניף בישראל, סניף בתל אביב, סניף בסין, סניף ברוסיה, סניף בארצות הברית.
זאת אומרת, דומיין אם זה סניפים בחברה, וForrest זה החברה כולה. למה זה משנה לנו? מה יכפת לנו לעשות Forrest חדש או דומיין חדש? אם אנחנו נעשה Forrest חדש, לגמרי, לא נוכל לעשות קבוצה אוניברסלית שתכלול יוזרים מכמה סניפים.
אם אנחנו באותו הפורסט, באותה חברה, אנחנו יכולים לעשות קבוצה אוניברסלית שתכלול יוזר מדומיין אחד ויוזר מדומיין אחר. אז תזכרו בראש ככה, טיפ הכי קל לזכור. פורסט זה חברה כולה, דומיין זה סניף.
סניף בישראל, סניף ברוסיה, סניף בארצות הברית. כל סניף יש לו את האדמיניסטרטורים המקומיים, הסיסמאות שלו, הכל משלו. כמובן שאתם יכולים להחליט שיש לכם רק דומיין אחד בלבד, ולדוגמה בצבא.
כל החייל הירוק, 70 אלף משתמשים, כולם דומיין אחד. אתם מבינים? זאת אומרת, וכל בסיס זה OU. זאת אומרת שההחלטה אם לעשות דומיין נפרד או כולם באותו דומיין, זאת החלטה ניהולית.
האם אני רוצה שסיני שרוצה לעשות DHCP, בסין רוצים להרים DHCP חדש, שהוא יתחיל להגיד לי, יוני בוא תאשר לי, או שהוא, אני אומר לו, תעשה לבד, דבר איתי, לא מעניין אותי.
ה-DHCP שלך, אתה אדמיניסטרטור שם, תעשה מה שאתה רוצה. זאת אומרת, השאלה זה מה רמת העצמאות. כי לאשר DCCP חדש יכול רק אדמיניסטרטור. לעשות DCPromo לדומיין קונטרולר נוסף.
זאת אומרת, הפעולה הזאת של DCPromo יכול רק אדמיניסטרטור של הרשת, דומיין האדמין של הרשת. אז השאלה, האם אתה רוצה שאתה תצטרך לעשות בסין וברוסיה DCPromo, או שהם יוכלו לעשות את זה לבד בלי להטריד אותך.
אז לדוגמה, בצבא, החליטו שכל הפעולות האדמיניסטרטיביות עושה רק מחלקה אחת, ורק הם דומיין אדמינס. כל השאר יש להם OU ויעשו רק דברים קטנים ב-OU.
זאת אומרת צבא רוצה ריכוזיות שהכל יגיע למרכז אחד. אז יש שם רק דומיין אחד לכל הצבא. לעומת זאת בחברה עסקית, כל אחד החייל הסניף שלו וכל אחד מתנהל עצמאית.
אז זאת הלוגיקה מאחורי בעצם דומיינים. אז אתם זוכרים שForrest זה חברה ודומיין זה סניף. עכשיו כשאני החלטתי שדומיין זה סניף, המחשב הזה 2008 הזה שואל אותי תגיד לי, אני הולך להיות דומיין חדש, סניף חדש, או שאני הולך להיות copy, או domain controller, בדומיין קיים.
זאת אומרת, אני הולך להיות את the domain controller to existing domain. זה אומר שאני הולך להיות בתוך סניף קיים, עוד אחד, אני הולך להיות copy של DC שקיים בדומיין.
למקרה שהDC הוא היפול. אני לא דומיין חדש, אני לא סניף חדש, אני עוד אחד בדומיין קיים. וזה בדיוק מה שאנחנו רוצים לעשות, הרי מה אנחנו רוצים לעשות?
שאם ה-DC ההון הופל, ה-DC הזה יעבוד במקומו, ויוזרים לא ירגישו בזה שההון נפל. כן? שיהיה לנו שני דומיין קונטרולרים בדומיין אחד. טוב מאוד, אחרי שהבנו את הבסיס חבר, ואני יודע שהדברתי את זה יחסית מהר, וזה היופי בווידאו שאתם יכולים להחזיר אחורה, להקשיב לזה שוב, שוב ושוב, עד שתבינו את המסר.
אוקיי? נקסט, הוא שואל אותי, סבבה, אתה רוצה שאני אהיה דומיין קונטרולר? קיים, תן לי forest, תן לי לאן להתחבר, ותן לי פה שם וסיסמה שאיתם אני מתחבר, עם איזה שם וסיסמה אני מתחבר, כן, אז פה אתה נותן לו שם וסיסמה של מישהו שהוא domain admin, שהוא בקבוצה שנקראת domain admins, כי רק domain admin יכול להריץ DC promo, כן, בואו נראה מי אצלי בדומיין admins,
כי אולי אני לא בדומיין admins, ניכנס פה לסרבר ראשון, נלך ל-users, נמצא פה domain admins, קבוצה שנקראת domain admins, זה מנהלים של כל הדומיין, נעשה פה members, והנה אנחנו רואים שיש פה אדמיניסטרטור, הוא חבר בקבוצה הזאת, אם אני הייתי מוסיף פה נניח איזשהו, לא יודע מי יש לי פה, יוני 7876, אז
גם יוני היה יכול לעשות DC פרומו, וגם יוני היה אדמיניסטרטור בכל הדומיין ובכל המחשבים בדומיין, טוב מאוד, אז נתנו לו לאיזה פורס להתחבר, ועם איזה שם וסיסמה להתחבר, וזה חייב להיות דומיין אדמין, חבר בקבוצה דומיין אדמין, next, וזה סבבה התחברתי, דרך אגב איך הוא ידע IP?
זה שאמרתי לו שם איפה הוא ידע IP? ב-DNS זאת אומרת אם אצלכם הוא לא עובר לחלון הזה אלא נתקע בחלון קודם זה אומר שה-DNS שלכם לא מקונפג נכון ה-DNS של השרת החדש צריך להסתכל על השרת הראשון אנחנו נלמד על-DNS לעומק אבל פה כולם כולם נופלים תבדקו פה תסתכלו תיכנסו פה לכרטיס רשת
NCPA, CPL, כן, לכרטיס רשת, Properties ותבדקו שה-DNS של השרת החדש זה IP של הראשון זאת אומרת, אתם רואים, 10.200, 10.200 זה היה, אתם צריכים לוודא שפה הוא כתוב שה-IP שלו זה 10.200, cmd, ipconfig, אתם רואים, 10.200, ה-DNS של השני זה ה-IP של הראשון, אחרת הוא לא אמצא אותו, אני אעבור חזרה, טוב מאוד, בואו נמשיך
בכל השאלות של הוויזארד, אז אני חוזר על כל השאלות שהיו עד עכשיו, ככה, זה התחיל מזה, חלון ראשי, שאלה, שאתה מודע לזה שאין לך NT4 כ-DC, שאלה הבאה, האם זה פורס חדש או פורס קיים, האם דומיין חדש או דומיין קיים, אמרתי דומיין קיים, פורס קיים, next, תן לי שם וסיסמה שמה, לאן שאני אמור להתחבר, next, תבחר איזה דומיין
מכל הדומיינים שיש בחברה, אתה רוצה שאני אהיה רפליקה שלו, שאני אהיה טק שלו, next, יש לי רק אחד, תבחר סייט פיזי, אנחנו נדבר על הסייטים, את הדומיין הלוגי אפשר לחלק לאזורים פיזיים, בשביל לשלוט על הרפליקציה ביניהם, על העתקת מידע ביניהם, נדבר על זה בהמשך, על הסייטים הפיזיים, כרגע יש לנו רק אחד,
כאילו כולם באותו המקום, next, ועכשיו הוא בודק שהשם הזה לא תפוס, שהכל בסדר, שאין לנו בעיות ב-DNS, שאין לנו בעיות בנט ביוס, אנחנו נדבר על ה-DNS ממש עוד, ממש בסרטים הקרובים הולכים להיות מוקדשים ל-DNS, אל תדאגו, אתם תדעו DNS יותר ממה שאתם רוצים.
והגענו לחלון הכי חשוב, הוא שואל אותי האם להיות שרה DNS, האם הוא בעצמו צריך להיות שרה DNS, האם הוא בעצמו צריך להיות Global Catalog, זאת אומרת האם הוא בעצמו צריך להיות העתק של כל השדות מכל הדומיינים, האם הוא צריך להיות דפי זהב של כל החברה בעצמו, האם להחזיק את ההעתק חלקי, אני אתן לכם הגדרה רשמית של גלובל קטלוג,
ההעתק חלקי של כל האובייקטים בדומיין, זאת אומרת ההעתק של חלק מהסדות מכל הדומיינים בכל הפורסט. והאם להיות read-only? וחבר'ה בדיוק על זה רציתי לדבר איתכם, מה זה read-only?
read-only, אנחנו עכשיו הולכים לדבר על מה זה read-only. דומיין קונטרולר רגיל הייתי מרים אותו, וזהו, והוא היה בדיוק כמו DC רגיל, אותו דבר מתפקד, היו לי פשוט שניים.
read-only זה מצב מיוחד, הוא בא לפתור לי כמה בעיות, איזה בעיות בא לפתור לי read-only, בואו נעשה next ונראה את החלון הבא, קודם כל read-only הזה אני יכול לשים פה v, רק אם יש לי domain controller 1 לפחות שהוא 2008 רגיל, אז אני עושה פה next, כי יש לי כבר domain controller 2008 רגיל, אז אני יכול לעשות פה v, next,
שימו לב, הוא שואל אותי, מי זה ה-user שהולך להיות administrator על אותו המחשב, זאת אומרת, רק ב-read only DC, יכול להיות אדמיניסטרטור למחשב שהוא לא אדמיניסטרטור ל-active directory.
עוד פעם, ב-read only DC, נניח זה DC שהולך להיות בירוחם, יכול להיות שיגיע לשם טכנאי להחליף כרטיס רשת, או יגיע טכנאי, לא יודע, לחבר מטפסת. הטכנאי שיגיע לחבר מטפסת ל-DC הזה, יצטרך להגדיר דרייבר על ה-DC.
אבל מי יכול להתקין דרייברים במחשב? רק אדמיניסטרטור. אז מה, אני אתן לו אדמיניסטרטור על דומיין קונטרולר? אם אני אתן לו אדמיניסטרטור על דומיין קונטרולר, הוא יוכל גם לשנות לי סיסמאות לכל היוזרים, לעשות מה שהוא רוצה.
אז בדייסי רגיל, בדומיין קונטרולר רגיל, אין הפרדה בין אדמיניסטרטור על אותה המכונה, על אותו המחשב, לבין אדמיניסטרטור של כל Active Directory. ברידאונלי דייסי, שכל המטרה שלו זה לתת פתרון לסניף מרוחק, אז read-only DC שנמצא בסניף מרוחק, יש הפרדה בין אדמיניסטרטור על אותו המחשב, לאדמיניסטרטור בכל הדומיין.
ובדיוק פה הוא שואל אותי, תגיד לי, מי הולך להיות אדמיניסטרטור על אותו המחשב? ואני אומר, יוזר שקוראים לו אלי, יוזר שקוראים לו אלי, הולך לקבל הרשאות של אדמיניסטרטור על ה-DC, אבל ב-active directory הוא לא יכול לעשות כלום.
זה היתרון הראשון, ומאוד מאוד גדול.