Arbeitsgruppen-administration mit NWZnet Organizational Units (OUs) und Group Policy Objects (GPOs) 20-NOV-2003 Heinz-Hermann Adam (adamh@nwz.uni-muenster.de)

Schedule Termin Thema 13-NOV-2003 IVV Naturwissenschaften und NWZnet – Überblick und Konzepte (nicht nur für Windows-Administratoren) 20-NOV-2003 Arbeitsgruppenadministration mit NWZnet Organizational Units (OUs) und Group Policy Objects (GPOs) 27-NOV-2003 Installation und Konfiguration von Windows Servern 04-DEC-2003 Installation von NWZnet Windows-Clients 11-DEC-2003 Linux in NWZnet 18-DEC-2003 Benutzung von tragbaren Computern unter Windows in NWZnet

Agenda OU- und Gruppenstruktur in NWZnet Administration von Benutzern Gruppen Rechnern Group Policy Objects Einführung Computer Konfiguration Benutzer Konfiguration Dokumentation Zusammenfassung

Vorteile von Windows 2000 und Active Directory Feinere Steuerung von Rechten (Permissions) und Richtlinien (Policies) (nur Windows) Stärkere Dezentralisierung der alltäglichen administrativen Aufgaben Vereinfachung von Client-Installationen (nur Windows) Erhöhte Ausfallsicherheit bei Servern und Diensten (nur Windows) Integration weiterer Betriebssysteme Benutzerverwaltung und Nutzung von Ressourcen

Flexible Konfiguration der Policies Individuelle Konfiguration der Policies gemäß der Anwendungs- und Risikostruktur Sichere Konfiguration für CIP-Pools mit allgemeinem Zugang Größtmögliche Freiheit für Mitarbeiter, z.B. bei Laborarbeitsplätzen mit spezieller Messtechnik Auch dezentral möglich

Delegation von Administration Entlastung der Domänenadministratoren von „lästigen“ Aufgaben Betreuung durch Administratoren vor Ort Rechner (Hinzufügen und Entfernen von der Domäne) Benutzer (vergessene Passwörter) Stärkung der Administratoren vor Ort durch umfassende Rechte und Möglichkeiten zusätzliche parallele Strukturen werden überflüssig

OU-Struktur Abbildung der Organisationsstruktur ca. 520 OUs Entsprechen den administrativen Einheiten Bereiche mit besonderen Anforderungen ausgegliedert Computer-Pools für Studierende OUs der jeweils untersten Ebene der Struktur enthalten Rechner Benutzer

NWZnet.uni-muenster.de Demo-Rechner PowerPoint Präsentation

Gruppen und Group Nesting Zu jeder Arbeitsgruppe eine korrespondierende Administratoren-Gruppe Administrative Aufgaben vor Ort Management der OU Minimierung der Anzahl der Gruppen, die pro Benutzer konfiguriert werden müssen, durch Schachtelung (Nesting)

Administrationsgruppen Zu jeder Arbeitsgruppe zwei korrespondierende Administratoren-Gruppen 1er Gruppe W-Account Administrative Aufgaben vor Ort 2er Gruppe Y-Account Management der OU Mitgliedschaft der 1er Gruppe

1er und 2er Gruppen 2er Gruppe hat Rechte 1er Gruppe hat Rechte im Active Directory Arbeitsgruppen OU 1er Gruppe auf lokalen Rechnern 1er Gruppe hat Rechte Installation von Software Administration des Betriebssystems

Delegation von administrativen Aufgaben Rechner zur Domäne hinzufügen/von ihr entfernen zwischen OUs verschieben Benutzern die Passwörter (zurück)setzen gesperrte Accounts wieder aktivieren Alle Accountinformationen lesen, z.B. Ablaufdatum Erzeugen von Sub-OUs Group Policy Bearbeiten Erzeugen Ernennen von Sub-Administratoren

Administration in der OU: Benutzer, Gruppen, Rechner Demo Zurücksetzen von Passwörtern Entsperren von Accounts Hinzufügen von Accounts zur 1er Gruppe Eintragen und Löschen von Rechnern in die Domäne (inkl. GUID) Rechner verschieben OUs erzeugen Group Policy erzeugen

Group Policy Objects (Security) Konfiguration (lokal/zentral) Flexibilität und Konsistenz Bsp.: Ordnerumleitung (Folder Redirection) Entlastet Roaming Profiles von Ballast und das Netzwerk beim Login/-out Software Installation Microsoft Installer Pakete Zu definiertem Zeitpunkt, z.B. beim Booten Auf Anforderung

Design von Group Policies So viel wie nötig, so wenig wie möglich Spezialkonfigurationen auf den unteren OU-Ebenen Anzahl der Policies minimieren Besser wenige komplexe Regeln, als viele einzelne Regeln OU-Verschachtelungen minimieren Performance sinkt bei 10 oder mehr OU-Ebenen

Anwendung von Policies Reihenfolge Lokale Konfiguration Site Policy Domänen Policy OU-Policy 1 OU-Policy 2 … OU-Policy N “Last Policy wins”

Group Policy im NWZnet Active Directory Block Policy Inheritance You are here

Group Policy Object Wirkt auf der OU und ihrer Sub-OUs. Computer Benutzer der OU und ihrer Sub-OUs. Kann an mehrere OUs gelinkt werden Wenn Benutzer und Rechner in verschiedenen OUs sind, gelten die Computerkonfiguration bzw. Benutzerkonfiguration der OU in der sich das jeweilige Objekt befindet. Login

Benutzung von Group Policies Demo Voreinstellungen in der OU-Policy Sicherheitseinstellungen im Dateisystem Sicherheitseinstellungen im Registry Aktivierung der 1er Gruppe Importieren von Administrativen Vorlagen Konfigurieren der Automatic Updates Benötigt wuau.adm Änderung der Speicherpfade in MS Office (User Configuration) Benötigt EXCEL9.ADM, OFFICE9.ADM, PPOINT.ADM, PUB9.ADM, WORD9.ADM Excel: User Configuration\Administrative Templates\Microsoft Excel 2000\Tools|Options…\General\Default file location (I:\) Office: User Configuration\Administrative Templates\Microsoft Office 2000\Shared paths\User templates path (I:\init APPLICATION DATA\Microsoft\Office) PowerPoint: User Configuration\Administrative Templates\Microsoft PowerPoint 2000\Tools|Options…\Save\Default file location (I:\) Publisher: User Configuration\Administrative Templates\Microsoft Publisher 2000\Default File Locations\ Publication location od. Picture Location (I:\) Word: User Configuration\Administrative Templates\Microsoft Word 2000\Tools|Options…\File Locations\Documents (I:\)

Dokumentation von Policies Dokumentation der zentralen Policies N:\info\NWZnet\Windows\Grouppolicy\NWZnet_Group_Policies.xls Jede Setzung und Änderung dokumentieren Allgemeine Dokumentation zu Group Policies Settings N:\info\NWZnet\Windows\Grouppolicy Explain-Tab in der Group Policy Konsole

Zusammenfassung OU- und Gruppenstruktur in NWZnet Dezentrale Administration 1er/2er Gruppen W- und Y-Accounts Gruppenrichtlinien (Group Policy) Grundlagen – GPO im AD Forest Anwendung und Auswirkung - Reihenfolge Benutzung und Konfiguration Dokumentation - unverzichtbar

Q & A – Fragen und Antworten