Pavel: Protected "Configuring Windows 10 on a Windows Server RUS" ([Edit=Allow only administrators] (indefinite) [Move=Allow only administrators] (indefinite))

2022-08-30T11:24:34Z

Protected "Configuring Windows 10 on a Windows Server RUS" ([Edit=Allow only administrators] (indefinite) [Move=Allow only administrators] (indefinite))

← Older revision	Revision as of 11:24, 30 August 2022
(No difference)

Pavel: Created page with " == Установка службы Active Directory == Установите статический IP адрес (если до этого не устанавливали D..."

2022-08-30T11:23:41Z

Created page with " == Установка службы Active Directory == Установите статический IP адрес (если до этого не устанавливали D..."

New page

== Установка службы Active Directory ==

Установите статический IP адрес (если до этого не устанавливали DHCP сервер) на ОС Windows Server 2012 R2, например 192.168.1.1, маска подсети 255.255.255.0

Поменяйте имя компьютера на DC01 и перезагрузите компьютер

[[File:Ad000.PNG||frameless|300px]]

Зайдите в Server Manager и добавьте роль Active Directory Domain Services

[[File:Ad001.PNG||frameless|300px]]

Согласитесь с установками по умолчанию и нажимайте Next

[[File:Ad002.PNG|frameless|300px]]

Дождитесь конца установки AD и затем щелкните по желтому флажку с правом углу

[[File:Ad003.PNG|frameless|300px]]

Выберите "Promote this server to a domain controller"

В появившемся меню выберите Add new forest и дайте имя вашему домену (не давайте реальные доменные имена .com и др.)

[[File:Ad004.PNG|frameless|300px]]

Выберите необходимый уровень функциональности на уровне леса и домена, укажите пароль DSRM режима восстановления службы каталогов и нажмите Next

[[File:Ad005.PNG|frameless|300px]]

Игнорируем предупреждение о том что не найдена зона DNS

[[File:Ad006.PNG|frameless|300px]]

Соглашаемся с предоставленным по умолчанию NetBIOS именем и нажимаем Next

[[File:Ad007.PNG|frameless|300px]]

Соглашаемся с предложением разместить БД каталога по указанным путям, нажимаем Next и еще раз Next

[[File:Ad008.PNG|frameless|300px]]

Читаем предупреждения и нажимаем Install

[[File:Ad009.PNG|frameless|300px]]

Убедитесь, что после установки появились 2 службы: AD DS и DNS

[[File:Ad010.PNG|frameless|300px]]

== Создание группы безопасности, организационной единицы и пользователя ==

Откройте Server Manager и запустите Active Directory Administration Center через меню Tools. В левой панели выберите Domain (local), затем зайдите (двойным кликом мыши) в контейнер Users.

Содержимое контейнера должно быть как на картинке!

[[File:Ad011.PNG|frameless|300px]]

Добавьте новую группу - в правой панели выберите New > Group

[[File:Ad012.PNG|frameless|300px]]

Дайте название группе "Folder Redirection Users" и убедитесь, что выбран в полях type - Security и scope - Global. Нажмите ОК

[[File:Ad013.PNG|frameless|300px]]

Добавьте новую организационную единицу OU (например Workers), щелкнув правой кнопкой мыши в левой панели по Domain (local).

Выберите New > Orgranization Unit

[[File:Ad014.PNG|frameless|300px]]

Дайте название организационной единице и нажмите ОК

[[File:Ad015.PNG|frameless|300px]]

Затем отыщите, созданную вами OU в списке domain (local), выделите ее и создайте в ней пользователя New > User (с помощью правой панели)

[[File:Ad016.PNG|frameless|300px]]

Введите данные пользователя как на картинке, но не нажимайте ОК!

[[File:Ad017.PNG|frameless|300px]]

Найдите поле добавления пользователя в группу "Member Of", выберите кнопку "Add..." и отыщите группу "Folder Redirection Users", созданную ранее.

Добавьте пользователя в группу, нажав OK > OK

[[File:Ad018.PNG|frameless|300px]]

== Создание папки общего сетевого ресурса для папок пользователей ==

В Server Manager выберите в левой панеле File and Storage Services и затем Shares.

[[File:Ad019.PNG|frameless|300px]]

Затем выберите TASKS > New Share...

[[File:Ad020.PNG|frameless|300px]]

Выберите SMB Share – Quick, нажмите Next, Next

Дайте название общей папке пользователей. Обратите внимание на то, где реально находится общий ресурс и какой у него сетевой путь, нажмите Next

[[File:Ad021.PNG|frameless|300px]]

Выставите галочки, как показано на картинке:

1. Скрывать файлы и папки для пользователей у которых нет доступа к ним (+)

2. Кешировать папки в оффлайн (-)

3. Шифровать доступ к данным (+)

[[File:Ad022.PNG|frameless|300px]]

Нажать Next и в окне "Permissions", выбрать кнопку "Customize permissions…"

[[File:Ad023.PNG|frameless|300px]]

Щелкните кнопку "Disable inheritance", выберите "Convert inherited permissions into explicit permission on this object" и нажмите кнопку Apply

Нажмите кнопку "Add", затем ссылку "Select a principal" и добавьте группу "Folder Redirection Users", нажмите OK

[[File:Ad024.PNG|frameless|300px]]

Затем щелкните по ссылке справа "Show advanced permissions" и установите разрешения как на картинке (List folder / read data, Create folders / append data), нажмите OK

[[File:Ad025.PNG|frameless|300px]]

Удалите ненужные группы Users с помощью клавиши Remove

Результат должен быть такой как на картинке:

[[File:Ad026.PNG|frameless|300px]]

Далее нажмите OK > Next > Create > Close

== Создание групповой политики GPO для Roaming Profiles ==

Запустите Server Manager, выберите меню Tools > Group Policy Management

Отыщите, созданный вами домен.

Затем найдите организационную единицу (OU), которую вы создали ранее и выделите ее

[[File:Ad027.PNG|frameless|300px]]

Нажмите правой кнопкой мыши и выберите "Create a GPO in this domain, and Link it here"

[[File:Ad028.PNG|frameless|300px]]

Дайте название объекту групповой политик "Roaming User Profile" и нажмите OK

Затем щелкните правой кнопкой мыши по названию созданной политике и выберите "Edit"

[[File:Ad029.PNG|frameless|300px]]

Раскройте шаблон GPO по следующему пути:

User Configuration -> Policies -> Windows Settings -> Folder Redirection

[[File:Ad030.PNG|frameless|300px]]

Щелкните правой кнопкой мыши по Appdata(roaming) и выберите Properties.

Установите параметры на закладке Target как на рисунке

[[File:Ad031.PNG|frameless|300px]]

На закладке Settings уберите галочку "Grand the Users exclusive rights to AppData (Roaming)"

[[File:Ad032.PNG|frameless|300px]]

В появившемся предупреждении о несовместимости со старыми версиями Windows нажмите Yes

Такие же настройки сделайте и для Desktop, а также снимите галочку с "Grand the Users exclusive rights to Desktop

[[File:Ad033.PNG|frameless|300px]]

Start Menu, Documents по аналогии с предыдущим

Для Pictures, Music, Videos выберите "Follow the Document Folder"

[[File:Ad034.PNG|frameless|300px]]

Остальные по аналогии с Appdata(Roaming)

Далее раскройте шаблон GPO по следующему пути:

Computer Configuration -> Policies -> Administrative Templates-> System -> User Profiles

[[File:Ad035.PNG|frameless|300px]]

Активируйте следующие пункты групповой политики (правой кнопкой мыши > Edit > Enable > OK):

* Add the administrators security group to roaming user profiles

* Delete user profiles older than a specified number of days on system restart

* Do not check for user ownership of roaming profiles folders

* Delete cached copies of roaming profiles

Закройте окна групповой политики

== Настройка профиля пользователя для использования Roaming Profile ==

В окне Server Manager в меню Tools выберите пункт Active Directory Users and Computers

Затем щелкните правой кнопкой мыши по имени пользователя в ней и выберите Properties

[[File:Ad036.PNG|frameless|300px]]

Перейдите на закладку Profile. Далее укажите местрорасположение сетевого профиля: \\DC01\Users\%username%\profile и подключаемого сетевого диска: \\DC01\Users\%username%, как на рисунке:

[[File:Ad037.PNG|frameless|300px]]

Далее убедитесь, что автоматически была создана папка в общем сетевом ресурсе: \\DC01\Users (C:\Shared\Users)

[[File:Ad038.PNG|frameless|300px]]

== Тестирование входа в домен в Windows 10 ==

'''NB! Если вы настроили ранее DHCP сервер, который выдает в качестве DNS сервера IP адрес сервера с Active Directory, то пункт 1 (настройка сети) можно пропустить!'''.
Если вы устанавили Active Directory после DHCP сервера, то DHCP сервер нужно сначала авторизовать- откройте настройки DHCP, щелкните по названию домена DC01.domain.local в левой панели и выберите в меню Action > Authorize. Перезапустите сервер, щелкните правой кнопкой мыши по названию домена, выберите All Tasks > Restart

1. Настройка сети:

Запустите Windows 10 и установите в настройках DNS сервера IP адрес сервера с Active Directory

[[File:Ad039.PNG|frameless|300px]]

2. Перед дальнейшими действиями удостоверьтесь, что вы действительно знаете логин и пароль локального администратора Windows 10 (запустите Computer Management > Local Users and Groups > Users и выпишите себе если надо).

3. Далее щелкните правой кнопкой мыши по кнопке Start в Windows 10 и выберите System. Щелкните по ссылке Change Settings > Change > Domain и впишите имя созданного вами домена: domain.local

[[File:Ad040.PNG|frameless|300px]]

4. В появившемся окне ввода введите административный логин Administrator и пароль

[[File:Ad041.PNG|frameless|300px]]

5. Если подсоединение к домену прошло успешно, то появится ниже следующее сообщение. Нажмите ОК > OK > Restart и перезагрузите компьютер

[[File:Ad043.PNG|frameless|300px]]

''Если появилось сообщение об ошибке, то причины могут быть следующие:''

''1. Windows 10 "не видит" сервера AD, проверьте настройки сети: локальный IP адрес, маску подсети и IP адрес DNS''

''2. Вы вводите неверный пароль, смените пароль на сервере Windows 2012''

6. Далее в окне входа в Windows 10 выберите Other User и введите логин и пароль, созданной учетной записи (Vasja)

Убедитесь, что удаленный диск Z: подключился автоматически и его содержимое выглядит как на картинке:

[[File:Ad044.PNG|frameless|300px]]

7. Создайте на десктопе файлы и папки и убедитесь, что они '''одновременно''' появляются и на сетевом диске и на сервере в общедоступной папке (C:\Shared\Users)

[[File:Ad045.PNG|frameless|300px]]

== Дополнительно ==

1. Установите групповую политику, чтобы сетевой диск пользователя подключался через групповую политику (при этом удалите в закладке [https://web.narva.ut.ee/index.php/File:Ad037.PNG Profile] явное подлкючение диска Z: \\DC01\Users\%username%)

[[File:Ad046.PNG|frameless|300px]]

NB! Для того, чтобы изменения групповой политики обновились сразу наберите в командной строке Windows 10 команду: gpupdate /force и перезагрузитесь

2. Создайте еще один общий ресурс TMP, подключаемый через GPO и в который все пользователи Workers имели бы полный доступ (используйте группу Domain Users)!

3. Установить автоматическую квоту в 150MB на каждый создаваемый пользовательский каталог (подсказка - File Server Resource Manager)

== Для тех, кому нечего делать ==

Сделайте так, чтобы было достаточно только добавить пользователя и он получал все необходимые настройки: группу и профиль

- Добавьте к папке c:\Shares\Users группу Domain Users и сделайте такие же права как и для группы Folder Redirection

- Найдите, созданную вами ранее организационную единицу OU (Workers) и перенесите мышкой иконку с названием вашего компьютера из контейнера Computers в эту организационную единицу.

- Затем в групповой политике Workers добавьте Computer Configuration -> Policies -> Administrative Templates-> System -> User Profiles: "Set roaming profile path for all users logging onto this computer" > roaming profile path: \\DC01\Users\%username%\profile

Configuring Windows 10 on a Windows Server RUS - Revision history

Pavel: Protected "Configuring Windows 10 on a Windows Server RUS" ([Edit=Allow only administrators] (indefinite) [Move=Allow only administrators] (indefinite))

Pavel: Created page with " == Установка службы Active Directory == Установите статический IP адрес (если до этого не устанавливали D..."