יצירת משתמשים ב-AD

בס"ד

יצירת אובייקטים ב-A.D.

ניתן ליצור אובייקטים ב-A.D. הן באופן גראפי והן דרך ה-cmd. נדון בתחילה ביצירת אובייקטים באופן גראפי. ראשית נבחין בין סוגי אובייקטים שונים:

• User – משתמש במערכת.


• Computer – מחשב במערכת.


• Group – קבוצה במערכת.


• Contact – פרטים על איש קשר.

בנוסף, נבחין שב-A.D ישנן תיקיות, כגון Users ו-Computers – וישנן גם תיקיות עם ציור קטן של ספר בתוכן. תיקיות אלו אינן תיקיות רגילות ושמן הוא: Organizational Units, או בקיצור: OUs. כרגע, נראה שהן דווקא מתנהגות בדיוק כמו תיקיות רגילות, אבל זאת לא האמת! בהמשך הקורס נראה את ההבדלים שבין תיקייה רגילה ב-A.D. ובין OU. בכל אופן, אנו יכולים ליצור OUs חדשים כאוות נפשנו, כולל תתי OU ל-OUs קיימים. לא ניתן ליצור תיקיות רגילות נוספות.

שימו לב שישנם שני OUs דיפולטיים במערכת, והם: Domain Controllers (שנועד לאכלס מידע על ה-DCs בדומיין), ו-

יצירת משתמש חדש:

• יצירת המשתמש תהיה באופן זהה ליצירתו ב-Windows 7.


• שימו לב שכ-Default המשתמש יצטרך לשנות את סיסמתו לאחר Log-On ראשון.


• ניתן ליצור אב טיפוס של משתמש ולבצע לו Copy כדי להעתיק את הגדרותיו למשתמשים נוספים שניצור.


• בזמן Copy לא עוברים כל הפרטים. אם נרצה להוסיף פרטים לרשימת הפרטים שמועתקת נצטרך לרשום ב-cmd את הפקודה: regsvr32 schmmgmt.dll שיפתח את Schema Snap-In ב-MMC ובתוכו לחפש את ה-Attribute המבוקש. בתוך ה-Properties שלו נסמן את: Attribute is copied when duplicating a user. רק שימו לב להפעיל את regsvr32 ב-cmd שמופעל עם הרשאות של Administrator.

יצירת משתמש חדש ב-cmd:

• הפקודה הבסיסית ליצירת משתמש חדש דרך cmd היא Net User. הפקודה תיצור את המשתמש בתוך תיקיית Users.


• שימו לב שכדי ליצור את המשתמש ולעשות אותו פעיל חייבים לתת לו סיסמה. להלן דוגמא לפקודת Net User: Net User Don Pa$$w0rd /Add


• אם נחליף את /Add ב-/Delete אז נמחוק משתמש קיים.


• רוצים לדעת כיצד לשנות את מיקום יצירת המשתמש? חכו קצת, זה מגיע בהמשך..

יצירת אובייקט של מחשב חדש:

יצירת אובייקט של מחשב חדש יכולה להתבצע באחת משתי דרכים:

1. צירוף מחשב לדומיין:
   
   
   
   • כאשר Client יצטרף לדומיין, דבר ברור הוא שה-Client יירשם ב-A.D.. שהרי, כמו שכל משתמש מאומת מול A.D., כך גם כל מחשב מאומת מולה. במידה ומחשב לא רשום ב-A.D. לא נוכל להיכנס לדומיין (אפילו עם סיסמתו של ה-Enterprise Administrator!).
   
   
   • צירוף ה-Client לדומיין ייעשה על ידי כפתור Advanced System Settings שנמצא בתוך Computer Properties. נלך ל-Tab של Computer Name ונלחץ על Change. נכניס שם את שם הדומיין אליו אנחנו מצטרפים, ולאחר Restart קיבלנו מחשב חדש בדומיין!
   
   
   • שימו לב!!! הפעולה מהסעיף הקודם לא תעבוד באחד מהמקרים הבאים:
     
     
     
     1. המחשב ושרת A.D. לא יכולים לתקשר ביניהם מכל סיבה שהיא.
     
     
     2. המחשב ושרת DNS לא יכולים לתקשר ביניהם מכל סיבה שהיא.
     
     
     3. לא סימנתם את שרת ה-DNS שיש בו את ה-Domain Name Space כשרת ה-DNS המועדף בהגדרות כרטיס הרשת שב-Client. ההגדרה הנ"ל תתבהר רק במודול הבא, לבינתיים, הקפידו לסמן את שרת ה-DC כשרת המועדף בהגדרות כרטיס הרשת שב-Client.
     
     
     
     
   
   
   • כאשר המחשב מצטרף לדומיין קורים למעשה שני דברים: גם ה-Client בעצמו "מודע" לכך שהוא חבר ב-Domain (כמו שתראו ב-Computer Properties), וכן שם המחשב עצמו נרשם ב-A.D.. בעוד שלפעולה הראשונה לא צריך הרשאות גבוהות, רישום ב-A.D. יכול להתבצע רק על ידי מי שמוסמך לכך! ולכן, ייתכן ותידרשו לתת שם משתמש וסיסמה של Administrator שמורשה להוסיף רשומות ל-A.D..
   
   
   
   


2. PreStage:
   
   
   
   • ניתן לצרף אובייקט של מחשב ב-A.D. גם בלי לצרף בפועל מחשב לתוך הדומיין. למה הדבר נועד? אם אחר כך ינסה מחשב בעל שם זהה להצטרף לדומיין, הוא יוכל לעשות זאת מבלי ליצור אובייקט במיוחד ב-A.D.. וזאת מכיוון שהאובייקט למעשה כבר קיים! מהלך שכזה נקרא PreStage.
   
   
   • כיצד יהיה ניתן להבדיל בין אובייקט של מחשב שמייצג מחשב אמיתי שקיים בדומיין לבין אובייקט של מחשב שהוא רק PreStage? נזהה זאת לפי ה-Operating system Tab. אם הנתונים שם מלאים מדובר במחשב קיים.
   
   
   • להלן ה-Syntax לפקודת Net Computer: Net Computer Comp1 /add
   
   
   • אם נשנה את /Add ל-/Del נמחוק את אובייקט המחשב.
   
   
   • ניתן ליצור אובייקט של מחשב (PreStage) גם דרך ה-cmd באמצעות פקודת: Net Computer. האובייקטים ייווצרו ישירות לתוך תיקיית Computers.
   
   
   • מעוניינים לדעת כיצד משנים את ה-Default שאליו מגיעים משתמשים שנוצרים על ידי Net Computer? מיד מגיעים לזה...
   
   
   
   

שפת LDAP (Light-Weight Directory Access Protocol):

השפה שבה A.D. "מדברת" נקראת LDAP. אנחנו לא צריכים להכיר את כל השפה, אלא בסך הכול רק שלוש פקודות בה. אנחנו נראה שנוכל לעשות הרבה מאוד בזכות שלושת המלים הללו. להלן המלים:

1. 
   
   
   
   • DC – מגדיר רכיב בדומיין (Domain Component). שימו לב שלא מדובר כאן על "שליט" הדומיין! כמו-כן, הפקודה תיכתב בעבור כל "חלק" משם הדומיין. נשמע מוזר? בואו נראה דוגמא קטנה ותיכף הכול יתבהר. למשל, אם הדומיין שלי הוא Google.com, אזי נכתוב כך: dc=google,dc=com
   
   
   • OU – מייצג את היחידות הארגוניות (Organizational Units). למשל, מחלקת Sales תירשם כ-OU=Sales.
   
   
   • CN – מייצג את כל מה שאינו DC ואינו OU. למשל, המשתמש John יירשם כך: CN=John.
   
   
   
   

כאשר נרצה להגדיר אובייקט (CN) בדומיין נצטרך לאפיין אותו "מפנים החוצה", קרי להראות את מיקומו עד לרמת הדומיין. למשל, נניח והמשתמש Dani נמצא במחלקת IT בדומיין Google.com – הוא יירשם כך: CN=Dani,OU=Sales,dc=google,dc=com... שימו לב שאין רווחים! השם המלא של האובייקט נקרא Distinguished Name, או במלים אחרות: DN.

שאלה: האם תוכלו לכתוב כיצד נכתוב קבוצה שנמצאת בתת המחלקה: North שבתוך מחלקת Sales בדומיין: Applock.net?

שאלה: האם לכתוב כיצד נגדיר משתמש בשם Ran שנמצא בתיקיית Users בדומיין: Shell.Gov?

שינוי ה-Defaults של Net User ו-Net Computer:

1. 
   
   
   
   • שינוי ה-Defaullt של Net User ייעשה על ידי פקודת RedirUsr ולאחריה DN של המיקום החדש. למשל: redirUsr ou=Sales,dc=google,dc=com.
   
   
   • שינוי ה-Defaullt של Net Computer ייעשה על ידי פקודת RedirCmp ולאחריה DN של המיקום החדש. למשל: redirCmp ou=Sales,dc=google,dc=com
   
   
   
   

DsAdd:

ניתן ליצור אובייקטים ב-A.D. על ידי DsAdd.לאחר שם הפקודה יש לכתוב את סוג האובייקט שניצור. למשל, User. לאחר מען נכתוב את ה-DN של האובייקט החדש. לאחר מכן נוכל להוסיף סוויצ'ים כרצוננו (יש כמה עשרות!).

סוויצ'ים נפוצים:

-Pwd – מתן סיסמה (במידה והאובייקט הוא משתמש, מחשבים מקבלים "סיסמה" אוטומטית!).

-desc – מתן תיאור לאובייקט.

-mustchpwd – מחייב את האובייקט (אם זה User) לשנות את סיסמתו לאחר Logon ראשון.

-memberof – משייך את האובייקט לקבוצה. נתאר את הקבוצה גם ב-LDAP.

דוגמא לפקודת DsAdd:

Dsadd Computer cn=comp222,ou=sales,dc=google,dc=com –memberof cn=DomainComputers,cn=Computers,dc=google,dc=com

פקודות נוספות:

חשוב לציין שפקודות "מקבילות" ל-DSAdd הינן DSMod (לשינוי אובייקטים קיימים) ו-DSRM (למחיקת אובייקטים קיימים).

השימוש בפקודות אלו הוא זהה לחלוטין לטכניקה של DSAdd.

דוגמא לפקודת DSMod:

DSMod user cn=John,ou=development,ou=England,dc=Ebay,dc=com –desc Weirdo

בפקודה שלמעלה שינינו מאפיין (Description) של המשתמש!

אוטומצייה של יצירת אובייקטים:

ניתן ליצור מספר רב של אובייקטים ב-A.D. וזאת על ידי שימוש בטבלת Excel פשוטה שתנצל את הפונקציה: Concatenate (שרשור בעברית). הרעיון הוא לבנות שורות פקודה שברובן הן זהות לגמרי, ורק מספר מועט של מלים בפקודה ישתנה. בואו נביט למשל בשתי שורות הפקודה הבאות:

1. Dsadd user cn=Moti,ou=development,dc=google,dc=com


2. Dsadd user cn=Dani,ou=development,dc=google,dc=com

למעשה אנו רואים ששתי הפקודות זהות לחלוטין למעט שם המשתמש. הפונקציה Concatenate תדע לשכפל את הפקודה, כאשר היא משנה רק את שם המשתמש. כדי להשתמש בפונקציה של concatenate באופן יעיל יש לשים לב לדגשים הבאים:

1. 
   
   
   
   • בטור נפרד שימו את כל הנתונים שישתנו בין פקודה לפקודה. למשל, בדוגמא שנתנו נשים את שמות המשתמשים בטור נפרד. לרוב תוכלו לקבל ממזכירות החבר'ה את המשתמשים בטור Excel מסודר.
   
   
   • פקודת Concatenate לעולם תתחיל ב: =concatenate( ותסיים בסגירת הסוגריים: (
   
   
   • פקודת Concatenate בנויה כך שבין כל אזור "קבוע" (נשאר זהה בכל השורות) לבין אזור "משורשר" (משתנה בין פקודה לפקודה) מפריד סימן פסיק (",").
   
   
   • כמו-כן, אזור "קבוע" לעולם יתחיל ויסתיים בסימני מרכאות (").
   
   
   • כשרוצים לסמן אזור "משורשר" עלינו רק להקליק עם העכבר על הטור הנפרד באותה השורה בה אנו נמצאים.
   
   
   • תוכלו לראות דוגמא לפקודת Concatenate בדף אקסל מצורף. שימו לב שלמרות שעדכנתי גם UPN, אנו נדון במהותו בשיעור הבא. תוכלו להשתמש בטבלה הנ"ל כאבטיפוס ליצירת אובבייקטים. אפשרתי גמישות הן בשמות המשתמשים והן בשמות המחלקות.
   
   
   • לאחר שיוצרים את הטבלה מעתיקים את הטור הראשון לדף Notepad. מומלץ להוסיף “pause” לאחר הפקודה הראשונה כדי לבדוק האם ה-Script שניצור עובד כראוי.
   
   
   • לסיום, כדי ליצור את ה-Script יש לשנות את סיומת הקובץ ל-.bat
   
   
   • תוכלו לראות דוגמא לסקריפט מוכן בקובץ .bat שמצורף.