Загоняем Windows 7 в домен!

Бывает такая ситуация, что компьютер не может пройти проверку подлинности в домене. Вот несколько примеров:

Предварительные требования

Перед тем как начать переименовывать свой домен обязательно примите во внимание следующие сведения:

  • Функциональный уровень леса Active Directory. Выполнять задачи по переименованию доменов можно лишь в том случае, если все домены в лесу оснащены как минимум операционной системой Windows Server 2003 (в этом случае по редакциям нет никаких ограничений). Более того, функциональный уровень должен быть повышен по меньшей мере до уровня Windows Server 2003. То есть, если у вас в лесу выбран функциональный уровень Windows Server 2000, то выполнение следующей операции попросту станет невозможным;
  • Расположение домена. В лесу Active Directory может быть разный уровень доменов. То есть, могут быть либо отдельный домен, либо лес может включать дочерние домены. В том случае если вы будете менять расположение контроллера домена внутри леса, вам придется создать доверительные отношения;
  • Зона DNS. Еще до выполнения операции переименования домена вам необходимо создать новую зону DNS;
  • Административные учетные данные. Для выполнения операции переименования домена вы должны выполнить вход в систему под административной учетной записью, которая является членом группы администраторов предприятия (Enterprise Admins);
  • Серверы распределенной файловой системы (DFS). Если в вашей корпоративной среде развернуты службы DFS или настроены перемещаемые профили, то обратите внимание на то, что корневые DFS-серверы должны работать, как минимум, под управлением операционной системы Windows Server 2000 с пакетом обновления 3 или под более современными версиями операционных системам;
  • Несовместимость с серверами Microsoft Exchange. Самый неприятный момент заключается в том, что если в вашем лесу Active Directory развернут почтовый сервер Microsoft Exchange Server 2003 Service Pack 1, то переименование домена будет выполнено без каких-либо проблем, но учетная запись пользователя, под которой будет выполняться сам процесс переименование домена должна быть членом группы Full Exchange Administrator. Все более современные почтовые серверы (включая Exchange Server 2016) несовместимы с операциями переименования доменов.

Также обратите внимание на тот факт, что на время переименования домена вы должны заморозить все предстоящие операции по конфигурации леса Active Directory. Другими словами, вы должны удостовериться в том, что конфигурация вашего леса не изменится до тех пор, пока операция по переименованию домена не будет полностью завершена (подробную информацию о выполнении этого действия вы увидите ниже). К таким операциям можно отнести: создание или удаление доменов внутри вашего леса Active Directory, создание или удаление разделов каталога приложений, добавление или удаление контроллеров домена в лесу, создание или удаление установленного напрямую доверия, а также добавление или удаление атрибутов, которые будут реплицированы в глобальный каталог.

На всякий случай я бы еще вам посоветовал сделать полную резервную копию состояния системы на каждом контроллере домена в лесу Active Directory. В случае выполнения этой задачи, данная предосторожность точно не будет лишней.

В том случае, если ваша инфраструктура соответствует выше упомянутым требованиям и сделаны все требуемые резервные копии, вы можете приступать к процессу переименования домена.

Как включить ПК с windows в домен

Включение ПК в домен позволит вам наслаждаться такими вкусностями домена, как масштабируемость, централизованное управление, групповые политики, настройки безопасности и многое другое.

Прежде чем присоединить к домену вашу машину с windows 7, убедитесь что выполнены следующие условия:

Вы используете windows 7 Professional, Ultimate или Enterprise — только эти дистрибутивы windows 7 можно включить в домен. windows 7 Home нельзя, даже не пытайтесь.

У вас есть сетевая карта (NIC) – подойдет беспроводная карточка

Вы физически подключены к локальной сети, из которой доступен контроллер домена. Обратите внимание, что windows 7 можно включить в домен без сетевого соединения с последним (эта функция появилась в домене на windows Server 2008 R2), но это тема отдельной статьи.

У вас есть правильный IP адрес – для сети, к которой вы подключены. Вы можете настроить его вручную или получить с сервера DHCP.

Вы «видите» по сети контроллер домена.

У вас правильно настроен DNS-сервер — без правильной настройке DNS, ваш компьютер невозможно ввести в домен.

У вас есть права локально администратора — простой пользователь не сможет этого сделать.

Как включить ПК с windows в домен

Вы должны знать имя домена, и иметь активную пользовательскую/администраторскую учетную запись в домене. По-умолчанию любой пользователь домена может добавить 10 машин в домен. Но этот параметр может быть были изменены администратором домена.

Существует 3 варианта включения машины с 7 в домен: с помощью графического интерфейса (My Computer-> Properties->Change Settings->вкладка Computer Name), с помощью утилиты командной строки NETDOM, с помощью команды Power Shell (add-computer). На первом не буду останавливаться подробной, это все и так прекрасно знают.

С помощью же утилиты NETDOM можно решить задачу подключения к домену из командной строки. Но по-умолчанию эта утилита не работает! Как заставить работать netdom в windows 7?

Откройте окно командной строки с правами администратора и введите следующую строку:

Netdom join %computername% /domain: /userd:DOMAIN\administrator /passwordd:

Примечание: Замените на ваше имя домена, и введите верные имя и пароль пользователя. домен с вашим правильное имя домена, и, конечно, ввести соответствующие полномочия пользователя. Также обратите внимание на дополнительную букву “d” в параметрах /userd и /passwordd, это не опечатка.

Перезагрузите компьютер. Вот и все, теперь вы в домене!

Также познакомьтесь со статьей: как запретить выход из домена, а также функцию offline domain join в windows Server 2008.

Предварительные требования

Перед вводом компьютера под управлением Windows 7 в домен убедитесь что следующие предварительные требования соблюдены:

Используется Windows 7 Professional, Ultimate или Enterprise — только эти редакции Windows 7 могут быть подключены к домену.

У вас есть сетевая карта — собсвенно без комментариев, думаю вы не забыли об этом

Вы подключены к локальной сети — Убедитесь что вы подключены к локальной сети. Хотя Windows 7 может быть присоединена к домену Windows Server 2008 R2 в оффлайн режca, это тема для отдельной статьи.

Вы имеете правильный IP адрес — Ещё раз убедитесь что вы подключены к сети и получили правильный IP адрес. Адрес может быть настроен вручную, получен от DHCP сервера или может быть получен APIPA address (который начинается с ). Если вами получен APIPA адрес, вы гарантированно получите потенциальные проблемы, так как APIPA и AD не работают совместно.

Вам доступны котроллеры домена — или как минимум один из них. Вы должны проверить связь с контроллером домена, например пропинговав его, хотя успешный пинг не гарантирует что контроллер домена полностью доступен.

Вы должны иметь правильно настроенный DNS сервер — Без правильно настроенного DNS сервера вы гарантированно получите проблемы при вводе в домен, во время работы и прочее.

Вам доступны DNS сервера — Проверьте ваше подключение к DNS серверам с помощью программы PING и выполните запрос NSLOOKUP.

Проверьте свои права на локальной системе — Для успешного ввода в домен у вас должны быть права локального администратора компьютера.

Знайте ваше доменное имя, имя администратора и пароль

Существует два способа ввода компьютера в домен. В данной статье мы рассмотрим оба способа

Ограничение доступа к sudo по доменным группам

Ограничение доступа к ssh по группам и пользователям настроили, теперь надо разрешить доменным учетным записям получать права суперпользователя в системе. Сейчас у них нет такой возможности.

[sudo] password for lin-user: lin-user is not in the sudoers file. This incident will be reported.

Создаем новый файл в директории /etc/sudoers.d.

# mcedit /etc/sudoers.d/xs

%gr_linux_adm@ ALL=(ALL) ALL

Обращаю внимание, что имя данного файла не должно содержать точки. Я сначала не знал об этом и сделал файл с именем и долго не мог понять, почему не работает. Когда изменил имя файла, все заработало.

Выставляем минимальные права на файл:

# chmod 0440 /etc/sudoers.d/xs

Теперь вы можете зайти в систему доменной учетной записью из группы gr_linux_adm и получить полные права в системе.

Реализовать то же самое можно было через настройки sssd. В его конфиге можно было указать группы, которым разрешен доступ к sudo. Но в целом это не принципиально. Так, как сделал я, мне показалось проще. Не нужно использовать полные имена объектов в AD, в которых легко запутаться, особенно тем, кто не очень в этом ориентируется. Мне же понадобились только конечные имена групп. Более подробно об этом можно почитать в руководстве redhat. Ссылку приведу в конце.

Важные требования

Перед тем, как вводить компьютер на виндовс 7 в домен, необходимо проверить, удовлетворяет ли ПК ряду требований, все ли настройки выполнены. Их довольно много, хотя большинство из них уже должны быть произведены. Проверьте следующее:

  • Должна использоваться виндовс 7 следующих версий: Professional, Ultimate или Enterprise. Только эти версии можно подключать к домену;
  • Должна присутствовать сетевая карта. Но это самой собой разумеющееся;
  • Должно быть выполнено подключение по локальной сети. В большинстве случаев, хотя можно подключить виндовс 7 к Windows Server 2008 R2 в оффлайн режиме, но это отдельная тема;
  • Должен быть указан правильный IP адрес. Его можно настроить вручную, получить от DHCP-сервера или это может быть APIPA-address (его значения начинаются с );
  • Нужно убедиться, что котроллеры (хотя бы один) доступен для подключения;
  • Также проверьте соединение контроллера (например, его можно пропинговать, то есть проверить, какое качество соединения);
  • DNS сервер должен быть правильно настроен. Это важно, если он настроен некорректно, могут возникнуть проблемы при подключении к домену. Даже если подключение выполнится успешно, сбои возможны потом;
  • DNS сервера должны быть доступны. Для этого нужно проверить подключение при помощи программы PING;
  • Посмотрите ваши права в локальной системе. Должны присутствовать права локального администратора компьютера;
  • Нужно знать название доменного имени, имя администратора и пароль.

Средства управления политикой

Пользователи также могут присоединиться к домену, если у него есть разрешение на создание объектов компьютера для подразделения (OU) или для контейнера Computers (компьютеры) в каталоге. Пользователи, которым назначено это разрешение, могут добавлять в домен неограниченное количество устройств, независимо от того, имеют ли они право на Добавление рабочих станций в доменные пользователи.

Кроме того, учетные записи компьютеров, созданные с помощью средства » Добавление рабочих станций к домену «, имеют администраторам домена роль владельца учетной записи компьютера. Учетные записи компьютеров, созданные с помощью разрешений на доступ к контейнеру компьютера, используют его создатель в качестве владельца учетной записи компьютера. Если у пользователя есть разрешения на доступ к контейнеру и у него есть право » Добавить рабочую станцию на пользователя домена «, устройство добавляется на основе разрешений контейнера компьютера, а не его прав пользователя.

Любые изменения, внесенные в назначение прав пользователя для учетной записи, вступают в силу при следующем входе в систему владельца учетной записи.

Групповая политика

Параметры применяются в указанном ниже порядке с помощью объекта групповой политики (GPO), который будет перезаписывать параметры на локальном компьютере при следующем обновлении групповой политики:

  1. Параметры локальной политики
  2. Параметры политики сайта
  3. Параметры политики домена
  4. Параметры политики OU

Если локальная настройка недоступна, это указывает на то, что объект GPO, который в настоящее время управляет этим параметром.

1 Звезда2 Звезды3 Звезды4 Звезды5 Звезд (Пока оценок нет)
Загрузка...
Понравилась статья? Поделиться с друзьями:
Adblock
detector