Configuring Windows 10 on a Windows Server RUS

Установка службы Active Directory

Установите статический IP адрес (если до этого не устанавливали DHCP сервер) на ОС Windows Server 2012 R2, например 192.168.1.1, маска подсети 255.255.255.0

Поменяйте имя компьютера на DC01 и перезагрузите компьютер

Зайдите в Server Manager и добавьте роль Active Directory Domain Services

Согласитесь с установками по умолчанию и нажимайте Next

Дождитесь конца установки AD и затем щелкните по желтому флажку с правом углу

Выберите "Promote this server to a domain controller"

В появившемся меню выберите Add new forest и дайте имя вашему домену (не давайте реальные доменные имена .com и др.)

Выберите необходимый уровень функциональности на уровне леса и домена, укажите пароль DSRM режима восстановления службы каталогов и нажмите Next

Игнорируем предупреждение о том что не найдена зона DNS

Соглашаемся с предоставленным по умолчанию NetBIOS именем и нажимаем Next

Соглашаемся с предложением разместить БД каталога по указанным путям, нажимаем Next и еще раз Next

Читаем предупреждения и нажимаем Install

Убедитесь, что после установки появились 2 службы: AD DS и DNS

Создание группы безопасности, организационной единицы и пользователя

Откройте Server Manager и запустите Active Directory Administration Center через меню Tools. В левой панели выберите Domain (local), затем зайдите (двойным кликом мыши) в контейнер Users.

Содержимое контейнера должно быть как на картинке!

Добавьте новую группу - в правой панели выберите New > Group

Дайте название группе "Folder Redirection Users" и убедитесь, что выбран в полях type - Security и scope - Global. Нажмите ОК

Добавьте новую организационную единицу OU (например Workers), щелкнув правой кнопкой мыши в левой панели по Domain (local).

Выберите New > Orgranization Unit

Дайте название организационной единице и нажмите ОК

Затем отыщите, созданную вами OU в списке domain (local), выделите ее и создайте в ней пользователя New > User (с помощью правой панели)

Введите данные пользователя как на картинке, но не нажимайте ОК!

Найдите поле добавления пользователя в группу "Member Of", выберите кнопку "Add..." и отыщите группу "Folder Redirection Users", созданную ранее.

Добавьте пользователя в группу, нажав OK > OK

Создание папки общего сетевого ресурса для папок пользователей

В Server Manager выберите в левой панеле File and Storage Services и затем Shares.

Затем выберите TASKS > New Share...

Выберите SMB Share – Quick, нажмите Next, Next

Дайте название общей папке пользователей. Обратите внимание на то, где реально находится общий ресурс и какой у него сетевой путь, нажмите Next

Выставите галочки, как показано на картинке:

1. Скрывать файлы и папки для пользователей у которых нет доступа к ним (+)

2. Кешировать папки в оффлайн (-)

3. Шифровать доступ к данным (+)

Нажать Next и в окне "Permissions", выбрать кнопку "Customize permissions…"

Щелкните кнопку "Disable inheritance", выберите "Convert inherited permissions into explicit permission on this object" и нажмите кнопку Apply

Нажмите кнопку "Add", затем ссылку "Select a principal" и добавьте группу "Folder Redirection Users", нажмите OK

Затем щелкните по ссылке справа "Show advanced permissions" и установите разрешения как на картинке (List folder / read data, Create folders / append data), нажмите OK

Удалите ненужные группы Users с помощью клавиши Remove

Результат должен быть такой как на картинке:

Далее нажмите OK > Next > Create > Close

Создание групповой политики GPO для Roaming Profiles

Запустите Server Manager, выберите меню Tools > Group Policy Management

Отыщите, созданный вами домен.

Затем найдите организационную единицу (OU), которую вы создали ранее и выделите ее

Нажмите правой кнопкой мыши и выберите "Create a GPO in this domain, and Link it here"

Дайте название объекту групповой политик "Roaming User Profile" и нажмите OK

Затем щелкните правой кнопкой мыши по названию созданной политике и выберите "Edit"

Раскройте шаблон GPO по следующему пути:

User Configuration -> Policies -> Windows Settings -> Folder Redirection

Щелкните правой кнопкой мыши по Appdata(roaming) и выберите Properties.

Установите параметры на закладке Target как на рисунке

На закладке Settings уберите галочку "Grand the Users exclusive rights to AppData (Roaming)"

В появившемся предупреждении о несовместимости со старыми версиями Windows нажмите Yes

Такие же настройки сделайте и для Desktop, а также снимите галочку с "Grand the Users exclusive rights to Desktop

Start Menu, Documents по аналогии с предыдущим

Для Pictures, Music, Videos выберите "Follow the Document Folder"

Остальные по аналогии с Appdata(Roaming)

Далее раскройте шаблон GPO по следующему пути:

Computer Configuration -> Policies -> Administrative Templates-> System -> User Profiles

Активируйте следующие пункты групповой политики (правой кнопкой мыши > Edit > Enable > OK):

• Add the administrators security group to roaming user profiles

• Delete user profiles older than a specified number of days on system restart

• Do not check for user ownership of roaming profiles folders

• Delete cached copies of roaming profiles

Закройте окна групповой политики

Настройка профиля пользователя для использования Roaming Profile

В окне Server Manager в меню Tools выберите пункт Active Directory Users and Computers

Затем щелкните правой кнопкой мыши по имени пользователя в ней и выберите Properties

File:Ad036.PNG

Перейдите на закладку Profile. Далее укажите местрорасположение сетевого профиля: \\DC01\Users\%username%\profile и подключаемого сетевого диска: \\DC01\Users\%username%, как на рисунке:

Далее убедитесь, что автоматически была создана папка в общем сетевом ресурсе: \\DC01\Users (C:\Shared\Users)

Тестирование входа в домен в Windows 10

NB! Если вы настроили ранее DHCP сервер, который выдает в качестве DNS сервера IP адрес сервера с Active Directory, то пункт 1 (настройка сети) можно пропустить!. Если вы устанавили Active Directory после DHCP сервера, то DHCP сервер нужно сначала авторизовать- откройте настройки DHCP, щелкните по названию домена DC01.domain.local в левой панели и выберите в меню Action > Authorize. Перезапустите сервер, щелкните правой кнопкой мыши по названию домена, выберите All Tasks > Restart

1. Настройка сети:

Запустите Windows 10 и установите в настройках DNS сервера IP адрес сервера с Active Directory

2. Перед дальнейшими действиями удостоверьтесь, что вы действительно знаете логин и пароль локального администратора Windows 10 (запустите Computer Management > Local Users and Groups > Users и выпишите себе если надо).

3. Далее щелкните правой кнопкой мыши по кнопке Start в Windows 10 и выберите System. Щелкните по ссылке Change Settings > Change > Domain и впишите имя созданного вами домена: domain.local

4. В появившемся окне ввода введите административный логин Administrator и пароль

5. Если подсоединение к домену прошло успешно, то появится ниже следующее сообщение. Нажмите ОК > OK > Restart и перезагрузите компьютер

Если появилось сообщение об ошибке, то причины могут быть следующие:

1. Windows 10 "не видит" сервера AD, проверьте настройки сети: локальный IP адрес, маску подсети и IP адрес DNS

2. Вы вводите неверный пароль, смените пароль на сервере Windows 2012

6. Далее в окне входа в Windows 10 выберите Other User и введите логин и пароль, созданной учетной записи (Vasja)

Убедитесь, что удаленный диск Z: подключился автоматически и его содержимое выглядит как на картинке:

7. Создайте на десктопе файлы и папки и убедитесь, что они одновременно появляются и на сетевом диске и на сервере в общедоступной папке (C:\Shared\Users)

Дополнительно

1. Установите групповую политику, чтобы сетевой диск пользователя подключался через групповую политику (при этом удалите в закладке Profile явное подлкючение диска Z: \\DC01\Users\%username%)

NB! Для того, чтобы изменения групповой политики обновились сразу наберите в командной строке Windows 10 команду: gpupdate /force и перезагрузитесь

2. Создайте еще один общий ресурс TMP, подключаемый через GPO и в который все пользователи Workers имели бы полный доступ (используйте группу Domain Users)!

3. Установить автоматическую квоту в 150MB на каждый создаваемый пользовательский каталог (подсказка - File Server Resource Manager)

Для тех, кому нечего делать

Сделайте так, чтобы было достаточно только добавить пользователя и он получал все необходимые настройки: группу и профиль

- Добавьте к папке c:\Shares\Users группу Domain Users и сделайте такие же права как и для группы Folder Redirection

- Найдите, созданную вами ранее организационную единицу OU (Workers) и перенесите мышкой иконку с названием вашего компьютера из контейнера Computers в эту организационную единицу.

- Затем в групповой политике Workers добавьте Computer Configuration -> Policies -> Administrative Templates-> System -> User Profiles: "Set roaming profile path for all users logging onto this computer" > roaming profile path: \\DC01\Users\%username%\profile