Promuje i zarządza kontrolerem domeny

Dlaczego tak

Baza katalogu Active Directory to plik ntds.dit, domyślnie w folderze %SystemRoot%\NTDS, replikowany między kontrolerami domeny. Plik SAM przechowuje tylko konta lokalne — na kontrolerze domeny służy jedynie kontu trybu przywracania usług katalogowych. Folder SYSVOL zawiera skrypty logowania i pliki zasad grup, a plik hosts — statyczne mapowanie nazw na adresy IP.

Dlaczego tak

Las jest najwyższym poziomem logicznej struktury AD: obejmuje wszystkie domeny dzielące schemat, konfigurację i katalog globalny, a między drzewami lasu istnieją automatyczne relacje zaufania. Drzewo to domeny o ciągłej przestrzeni nazw DNS, np. firma.pl i biuro.firma.pl. Lokacja opisuje fizyczną strukturę sieci (podsieci), a jednostka organizacyjna jest kontenerem wewnątrz jednej domeny.

Dlaczego tak

Install-ADDSForest tworzy nowy las z domeną główną i promuje bieżący serwer do roli jej pierwszego kontrolera, zwykle razem z serwerem DNS. Install-ADDSDomainController dodaje kontroler do domeny, która już istnieje — tu jej jeszcze nie ma. Install-WindowsFeature AD-Domain-Services jedynie instaluje pliki roli, co zostało już zrobione, a Add-Computer przyłącza komputer do domeny jako zwykłego członka.

Dlaczego tak

Nazwa wyróżniająca opisuje ścieżkę od obiektu do korzenia domeny: CN to nazwa obiektu (konta), OU — jednostka organizacyjna, a każdy człon nazwy DNS domeny jest osobnym składnikiem DC. Dlatego firma.local zapisuje się jako DC=firma,DC=local, a nie jako jeden człon. Jednostki organizacyjnej nie oznacza się prefiksem DC ani CN — CN mają kontenery wbudowane, np. CN=Users.

Dlaczego tak

Jednostki organizacyjne tworzone w konsoli mają domyślnie włączoną ochronę obiektu przed przypadkowym usunięciem, realizowaną przez wpis odmowy usuwania dla grupy Wszyscy — dlatego nawet administrator domeny dostaje odmowę. Opcję wyłącza się na karcie Obiekt (po włączeniu widoku funkcji zaawansowanych) lub poleceniem Set-ADOrganizationalUnit z parametrem -ProtectedFromAccidentalDeletion $false. Połączone GPO nie blokują usunięcia, a konto lokalne nie ma uprawnień w domenie.

Dlaczego tak

Parametr -ChangePasswordAtLogon $true odpowiada opcji „Użytkownik musi zmienić hasło przy następnym logowaniu” — po podaniu hasła tymczasowego system wymusi ustawienie nowego, znanego tylko pracownikowi. -PasswordNeverExpires wyłącza wygasanie hasła, -CannotChangePassword wręcz zabrania użytkownikowi zmiany, a -PasswordNotRequired dopuszcza konto bez hasła. Trzy ostatnie ustawienia osłabiają bezpieczeństwo konta.