Configuring Windows 10 on a Windows Server RUS
Установка службы Active Directory
Установите статический IP адрес (если до этого не устанавливали DHCP сервер) на ОС Windows Server 2012 R2, например 192.168.1.1, маска подсети 255.255.255.0
Поменяйте имя компьютера на DC01 и перезагрузите компьютер
Зайдите в Server Manager и добавьте роль Active Directory Domain Services
Согласитесь с установками по умолчанию и нажимайте Next
Дождитесь конца установки AD и затем щелкните по желтому флажку с правом углу
Выберите "Promote this server to a domain controller"
В появившемся меню выберите Add new forest и дайте имя вашему домену (не давайте реальные доменные имена .com и др.)
Выберите необходимый уровень функциональности на уровне леса и домена, укажите пароль DSRM режима восстановления службы каталогов и нажмите Next
Игнорируем предупреждение о том что не найдена зона DNS
Соглашаемся с предоставленным по умолчанию NetBIOS именем и нажимаем Next
Соглашаемся с предложением разместить БД каталога по указанным путям, нажимаем Next и еще раз Next
Читаем предупреждения и нажимаем Install
Убедитесь, что после установки появились 2 службы: AD DS и DNS
Создание группы безопасности, организационной единицы и пользователя
Откройте Server Manager и запустите Active Directory Administration Center через меню Tools. В левой панели выберите Domain (local), затем зайдите (двойным кликом мыши) в контейнер Users.
Содержимое контейнера должно быть как на картинке!
Добавьте новую группу - в правой панели выберите New > Group
Дайте название группе "Folder Redirection Users" и убедитесь, что выбран в полях type - Security и scope - Global. Нажмите ОК
Добавьте новую организационную единицу OU (например Workers), щелкнув правой кнопкой мыши в левой панели по Domain (local).
Выберите New > Orgranization Unit
Дайте название организационной единице и нажмите ОК
Затем отыщите, созданную вами OU в списке domain (local), выделите ее и создайте в ней пользователя New > User (с помощью правой панели)
Введите данные пользователя как на картинке, но не нажимайте ОК!
Найдите поле добавления пользователя в группу "Member Of", выберите кнопку "Add..." и отыщите группу "Folder Redirection Users", созданную ранее.
Добавьте пользователя в группу, нажав OK > OK
Создание папки общего сетевого ресурса для папок пользователей
В Server Manager выберите в левой панеле File and Storage Services и затем Shares.
Затем выберите TASKS > New Share...
Выберите SMB Share – Quick, нажмите Next, Next
Дайте название общей папке пользователей. Обратите внимание на то, где реально находится общий ресурс и какой у него сетевой путь, нажмите Next
Выставите галочки, как показано на картинке:
1. Скрывать файлы и папки для пользователей у которых нет доступа к ним (+)
2. Кешировать папки в оффлайн (-)
3. Шифровать доступ к данным (+)
Нажать Next и в окне "Permissions", выбрать кнопку "Customize permissions…"
Щелкните кнопку "Disable inheritance", выберите "Convert inherited permissions into explicit permission on this object" и нажмите кнопку Apply
Нажмите кнопку "Add", затем ссылку "Select a principal" и добавьте группу "Folder Redirection Users", нажмите OK
Затем щелкните по ссылке справа "Show advanced permissions" и установите разрешения как на картинке (List folder / read data, Create folders / append data), нажмите OK
Удалите ненужные группы Users с помощью клавиши Remove
Результат должен быть такой как на картинке:
Далее нажмите OK > Next > Create > Close
Создание групповой политики GPO для Roaming Profiles
Запустите Server Manager, выберите меню Tools > Group Policy Management
Отыщите, созданный вами домен.
Затем найдите организационную единицу (OU), которую вы создали ранее и выделите ее
Нажмите правой кнопкой мыши и выберите "Create a GPO in this domain, and Link it here"
Дайте название объекту групповой политик "Roaming User Profile" и нажмите OK
Затем щелкните правой кнопкой мыши по названию созданной политике и выберите "Edit"
Раскройте шаблон GPO по следующему пути:
User Configuration -> Policies -> Windows Settings -> Folder Redirection
Щелкните правой кнопкой мыши по Appdata(roaming) и выберите Properties.
Установите параметры на закладке Target как на рисунке
На закладке Settings уберите галочку "Grand the Users exclusive rights to AppData (Roaming)"
В появившемся предупреждении о несовместимости со старыми версиями Windows нажмите Yes
Такие же настройки сделайте и для Desktop, а также снимите галочку с "Grand the Users exclusive rights to Desktop
Start Menu, Documents по аналогии с предыдущим
Для Pictures, Music, Videos выберите "Follow the Document Folder"
Остальные по аналогии с Appdata(Roaming)
Далее раскройте шаблон GPO по следующему пути:
Computer Configuration -> Policies -> Administrative Templates-> System -> User Profiles
Активируйте следующие пункты групповой политики (правой кнопкой мыши > Edit > Enable > OK):
- Add the administrators security group to roaming user profiles
- Delete user profiles older than a specified number of days on system restart
- Do not check for user ownership of roaming profiles folders
- Delete cached copies of roaming profiles
Закройте окна групповой политики
Настройка профиля пользователя для использования Roaming Profile
В окне Server Manager в меню Tools выберите пункт Active Directory Users and Computers
Затем щелкните правой кнопкой мыши по имени пользователя в ней и выберите Properties
Перейдите на закладку Profile. Далее укажите местрорасположение сетевого профиля: \\DC01\Users\%username%\profile и подключаемого сетевого диска: \\DC01\Users\%username%, как на рисунке:
Далее убедитесь, что автоматически была создана папка в общем сетевом ресурсе: \\DC01\Users (C:\Shared\Users)
Тестирование входа в домен в Windows 10
NB! Если вы настроили ранее DHCP сервер, который выдает в качестве DNS сервера IP адрес сервера с Active Directory, то пункт 1 (настройка сети) можно пропустить!. Если вы устанавили Active Directory после DHCP сервера, то DHCP сервер нужно сначала авторизовать- откройте настройки DHCP, щелкните по названию домена DC01.domain.local в левой панели и выберите в меню Action > Authorize. Перезапустите сервер, щелкните правой кнопкой мыши по названию домена, выберите All Tasks > Restart
1. Настройка сети:
Запустите Windows 10 и установите в настройках DNS сервера IP адрес сервера с Active Directory
2. Перед дальнейшими действиями удостоверьтесь, что вы действительно знаете логин и пароль локального администратора Windows 10 (запустите Computer Management > Local Users and Groups > Users и выпишите себе если надо).
3. Далее щелкните правой кнопкой мыши по кнопке Start в Windows 10 и выберите System. Щелкните по ссылке Change Settings > Change > Domain и впишите имя созданного вами домена: domain.local
4. В появившемся окне ввода введите административный логин Administrator и пароль
5. Если подсоединение к домену прошло успешно, то появится ниже следующее сообщение. Нажмите ОК > OK > Restart и перезагрузите компьютер
Если появилось сообщение об ошибке, то причины могут быть следующие:
1. Windows 10 "не видит" сервера AD, проверьте настройки сети: локальный IP адрес, маску подсети и IP адрес DNS
2. Вы вводите неверный пароль, смените пароль на сервере Windows 2012
6. Далее в окне входа в Windows 10 выберите Other User и введите логин и пароль, созданной учетной записи (Vasja)
Убедитесь, что удаленный диск Z: подключился автоматически и его содержимое выглядит как на картинке:
7. Создайте на десктопе файлы и папки и убедитесь, что они одновременно появляются и на сетевом диске и на сервере в общедоступной папке (C:\Shared\Users)
Дополнительно
1. Установите групповую политику, чтобы сетевой диск пользователя подключался через групповую политику (при этом удалите в закладке Profile явное подлкючение диска Z: \\DC01\Users\%username%)
NB! Для того, чтобы изменения групповой политики обновились сразу наберите в командной строке Windows 10 команду: gpupdate /force и перезагрузитесь
2. Создайте еще один общий ресурс TMP, подключаемый через GPO и в который все пользователи Workers имели бы полный доступ (используйте группу Domain Users)!
3. Установить автоматическую квоту в 150MB на каждый создаваемый пользовательский каталог (подсказка - File Server Resource Manager)
Для тех, кому нечего делать
Сделайте так, чтобы было достаточно только добавить пользователя и он получал все необходимые настройки: группу и профиль
- Добавьте к папке c:\Shares\Users группу Domain Users и сделайте такие же права как и для группы Folder Redirection
- Найдите, созданную вами ранее организационную единицу OU (Workers) и перенесите мышкой иконку с названием вашего компьютера из контейнера Computers в эту организационную единицу.
- Затем в групповой политике Workers добавьте Computer Configuration -> Policies -> Administrative Templates-> System -> User Profiles: "Set roaming profile path for all users logging onto this computer" > roaming profile path: \\DC01\Users\%username%\profile