Planning, Implementing, and Maintaining Windows Server2003

วิธีการพิสูจน์การถ่ายทอดสิทธิ

2010-10-22T10:40:00.000+07:00

วิธีการพิสูจน์การถ่ายทอดสิทธิ

ในการตรวจสอบว่า Delegation วิซาร์ดกำหนดสิทธิได้ถูกต้องตามที่เราต้องการ เราสามารถที่จะเช็คได้จาก Active Directory Users and Computers โดยดูว่ามีสิทธิถูกกำหนดให้กับผู้ใช้งานในระบบ และ กรุ๊ปอย่างเหมาะสมหรือไม่

วิธีที่จะตรวจสอบการถ่ายทอดสิทธิ

1. เลือก Acvanced Features View โดยการทำดังนี้

a. เปิด Active Directory Users and Computers

b. เลือกเมนู วิว และคลิก Advanced Features

2. เข้าถึงหน้าต่างของคุณสมบัติของ OU เพื่อที่จะควบคุมการกำหนดสิทธิ ทำได้ดังนี้

a. ในคอนโซลทางด้านซ้าย ดับเบิลคลิกที่โดเมน

b. ในทางขวา คลิกขวาของเมาส์ที่ OU แล้วเลือก properties

3. ดูสิทธิที่กำหนดให้กับ ผู้ใช้งานในระบบ หรือ กรุ๊ป ตามขึ้นตอนดังนี้

a. คลิกที่แทป security

b. คลิกที่ Advanced

ดูสิทธิที่เรากำหนดได้ในหน้าต่างนี้ และเราสามารถที่จะทำการเปลี่ยนแปลงสิทธิได้ด้วยโดยการปุ่ม edit

วิธีการปรับปรุงสิทธิของการควบคุมให้เป็นไปตามที่เราต้องการ

2010-10-21T10:39:00.000+07:00

Delegation of Control Wizard สามารถที่จะใช้ในการกำหนดสิทธิตามที่เรากำหนดขึ้นมาเอง (โดยปกติแล้วจะมีสิทธิต่างๆ ที่ไมโครซอฟ์ทกำหนดให้เป็น แบบแผนให้อยู่แล้ว แต่บางครั้งจะไม่ตรงกับความต้องการของเรา เราก็เลยต้องสร้าง Custom set ขึ้นมาเอง) เช่น เราต้องการที่จะให้สิทธิเปลี่ยนแปลงแค่บางคุณสมบัติ เช่น แค่เบอร์โทรศัพท์

เราสามารถที่จเสร้าง custom set ได้โดย

1. วิธีการเริ่ม Delegation control Wizard

a. เปิด Active Directory Users and Computers

b. ในคอนโซลทางด้านซ้าย ดับเบิลคลิกที่โดเมน

c. ในทางขวา คลิกขวาของเมาส์ที่ OU แล้วเลือก delegate control หน้าต่างของวิซาร์ดปรากฎขึ้นมา ให้เรากดปุ่ม next

2. เลือก ผู้ใช้งานในระบบหรือกลุ่มที่เราต้องการจะกำหนดสิทธิให้ โดยการทำดังนี้

a. ในหน้าต่างของ select users computers or Group ให้เรากดปุ่ม Add

b. ใส่ผู้ใช้งานในระบบที่เราต้องการที่จะกำหนดสิทธิให้ แล้วกดปุ่ม OK

c. กดปุ่ม next

3. การกำหนด custom set ทำได้ตามนี้

a. คลิกสร้าง custom set แล้วกดปุ่ม next

b. เลือก ประเภทของออบเจ็กที่เราต้องการจะถ่ายทอดสิทธิ แล้วกด next เราสามารถที่จะเลือกออบเจ็กที่มีอยู่ใน OU อยู่แล้ว ออบเจ็กประเภทใหม่ที่เราจะใส่เข้าไปในอนาคตหรือ เลือกเฉพาะบางออบเจ็กที่เราต้องการถ่ายทอดสิทธิ เช่น เราต้องการให้สิทธิในการจัดการเฉพาะ ผู้ใช้งานในระบบออบเจ็กเท่านั้น

c. เลือกสิทธิที่เราต้องการที่จะให้ และกดปุ่ม next โดยปกติแล้วไมโครซอฟท์จะมีสิทธิที่เป็นการทำงานทั่วๆ ไปให้ แต่เราสามารถเพิ่มเติมได้โดยเลือก property-specific แล้วเลือกคุณสมบัติที่ตามที่เราต้องการให้เปลี่ยนแปลงได้ นอกจากนี้เรายังสามารถที่จะให้สร้าง หรือลบออบเจ็กนี้ได้ด้วย

4. คลิกปุ่ม Finish

วิธีการถ่ายทอดสิทธิ

2010-10-20T10:38:00.000+07:00

เราสามารถที่จะใช้ Delegateion control วิซาร์ด ในการให้สิทธิในการควบคุมออบเจ็กใน Active Directory ได้เช่น สิทธิในการสร้างผู้ใช้งานในระบบแอคเคาต์

การกำหนดสิทธิใน OU

1. วิธีการเริ่ม Delegation Control Wizard

a. เปิด Active Directory Users and Computers

b. ในคอนโซลทางด้านซ้าย ดับเบิลคลิกที่โดเมน

2. เลือก ผู้ใช้งานในระบบหรือกรุ๊ปที่เราต้องการจะกำหนดสิทธิให้ โดยการทำดังนี้

a. ในหน้าต่างของ select users computers or Group ให้เรากดปุ่ม Add

b. ใส่ผู้ใช้งานในระบบที่เราต้องการที่จะกำหนดสิทธิให้ แล้วกดปุ่ม OK

c. เลือก ปุ่ม next

3. การกำหนดงานที่ต้องการจะถ่ายทอด ทำตามขึ้นตอนดังนี้

a. คลิก Delegate the following common tasks.

b. เลือกงานที่เราต้องการถ่ายทอดจากงานที่แสดง หลังจากเราเลือกแล้ว กดปุ่ม next

4. กดปุ่ม Finish

งานการควบคุมของ OU

2010-10-19T10:38:00.000+07:00

ใช้ OU ในการจัดกลุ่มโดยจัดตามประเภทของออบเจ็ก เช่น ผู้ใช้งานในระบบ กรุ๊ป และคอมพิวเตอร์ เพื่อที่เราจะได้ดูแลได้อย่างมีประสิทธิภาพ

ข้อมูลข้างล่าง คือ งานประจำของผู้ดูแลระบบที่เกี่ยวกับ Active Directory

- เปลี่ยนแปลงคุณสมบัติบน container เช่น เมื่อมีโปรแกรมใหม่มา ผู้ดูแลระบบอาจจะต้องสร้าง group policy ขึ้นมาเพื่อที่จะลงโปรแกรมให้กับผู้ใช้งานในระบบ

- การสร้างและลบออบเจ็กภายใต้ OU เช่น ผู้ใช้งานในระบบ กรุ๊ป หรือ Printer เช่น เมื่อมีผู้ใช้งานในระบบคนใหม่เข้ามาในแผนกนั้น คนที่ให้รับสิทธิก็จะต้องสร้างผู้ใช้งานในระบบแอคเคาต์ให้กับคนใหม่

- อัพเดตคุณสมบัติของออบเจ็กภายใต้ OU งานนี้ถือว่าเป็นงานที่ทำบ่อยที่สุดก็ว่าได้ เช่น การรีเซ็ตพาสเวิร์ด หรือ การเปลี่ยนแปลงข้อมูลของผู้ใช้งานในระบบ เช่น เบอร์โทรศัพท์ หรือ ที่อยู่

การถ่ายทอดสิทธิในการควบคุมของผู้ดูแลระบบ

2010-10-18T10:37:00.000+07:00

เหตุผลหลักของการ สร้าง Organizational Unit คือการที่เราจะทำการกระจายงานของผู้ดูแลระบบให้กับอื่นในองค์กร เพื่อที่จะให้แผนกมีความสามารถที่จะควบคุมได้ โดยที่ไม่ต้องรอให้ผู้ดูแลระบบส่วนกลางทำให้เสมอไป

ความสามารถในการแจกจ่ายสิทธิให้กับคนอื่นในองค์กรเป็น คุณสมบัติทางความปลอดภัยที่สำคัญของ Active Directory เพราะคนกำหนดจะต้องดูแลให้ดีเพราะว่าถ้ากำหนดไม่ดีคนที่ได้สิทธิไปก็อาจจะทำความเสียหายกับโดเมนส่วนกลางได้

การถ่ายทอดสิทธิ (Delegate Control) เป็นการที่เราจะให้การจัดการที่อิสระในแต่ละหน่วยงานทำกันเองไม่ว่าจะเป็นเกี่ยวกับดาต้าหรือการบริการ โดยสามารถแบ่งเป็น

- ถ้าเป็นทุกอย่างหรือบางส่วนของบริการเรียกว่า service autonomy

- ถ้าเป็นทุกอย่างหรือบางส่วนของดาต้าเรียกว่า data autonomy

นอกจากนั้นยังสามารถเพิ่มความเป็นอิสระของการดูแลระบบ โดยมีข้อควรพิจารณา โดยแบ่งเป็น

- จำนวนของผู้ที่ได้รับสิทธิในระดับสูงสมควรจะมีจำนวนที่น้อย

- การกระทบของความผิดพลาดของอยู่ในบริเวณที่เล็กๆ

การแยกเป็นคุณสมบัติของผู้ดูแลในองค์กรที่จะป้องกันผู้ดูแลระบบคนอื่น จากการเข้ามาในระบบ และการดูข้อมูล

Windows Server 2003 ประกอบด้วย Permission และ User Right ที่เราสามารถที่จะทำการแบ่งสิทธิได้และรวมไปถึงความสามารถของ OU กรุ๊ป เราสามารถที่จะวางแผนสิทธิของผู้ดูแลระบบให้กับผู้ใช้งานในระบบ เช่น ให้ผู้ใช้งานในระบบคนนี้สามารถที่จะมีสิทธิในการควบคุมได้ทั้งโดเมนหรือแค่มีสิทธิใน OU ใด OU หนึ่งเท่านั้น

การถ่ายทอดสิทธิของควบคุมใน OU

2010-10-17T10:36:00.000+07:00

การควบคุมการเข้าถึงและการถ่ายทอดสิทธิใน Active Directory เป็นสิ่งที่สำคัญมากเมื่อเราต้องการจะควบคุมแบบกระจาย การที่เรามีการถ่ายทอดสิทธิจะทำให้เราไม่ต้องมีผู้ใช้ที่มีสิทธิในการควบคุมหลายคนซึ่งอาจจะมีสิทธิมากเกินไป เช่น มีสิทธิทั้งโดเมน เรื่องนี้เราจะพูดถึงงานในการควบคุมซึ่งอาจจะถ่ายทอดไปให้ผู้อื่น และวิธีการทำ

วิธีการจัดการ OU โดยโปรแกรม LDIFDE

2010-10-16T10:34:00.000+07:00

เราสามารถใช้คำสั่ง LDIFDE ในการสร้าง OU ในการทำงานแบบอัตโนมัติ และสร้างโครงสร้างของ OU โดยใช้ LDIFDE ในการเพิ่ม แก้ไข และ ลบ OU

การสร้าง OU โดย LDIFDE สามารถทำตามขั้นตอนดังนี้

1. สร้าง input file ตามรูปแบบที่แสดงในตัวอย่าง

dn : OU=SampleOU,DC=nwtraders,DC=msft

changetype: add

objectClass: organizationalUnit

คำอธิบาย

- Dn : เป็นตัวที่บอกว่าเราจะสร้างออบเจ็กชื่ออะไรและจะให้ออบเจ็กนี้อยู่ในส่วนไหนของ Active Directory เช่นตามตัวอย่างบรรทัดข้างบน ออบเจ็กชื่อ SampleOUจะอยู่ภายใต้โดเมน nwtraders.msft

- Changetype : เป็นตัวที่กำหนดไว้ว่าเราต้องการที่จะ เพิ่ม แก้ไข หรือ ลบ ออบเจ็ก ตัวอย่างข้างบนคือเป็นการเพิ่มออบเจ็กเข้าไป โดย Changetypeจะมีค่าอยู่ 3 อย่างคือ add, modify และ delete

- ObjectClassเป็นตัวที่กำหนดว่าออบเจ็คที่เราจะติดต่อด้วยเป็นแบบไหน เช่น ผู้ใช้งานในระบบ หรือ คอมพิวเตอร์ สามารถทำงานกับหลายๆ ออบเจ็กได้โดยแต่ละออบเจ็กจะคั่นด้วยบรรทัดว่าง (blank line)

2. รันโปรแกรม LDIFDE ตามรูปแบบดังนี้

C:\>ldifde –I .k –f OUList.ldf –b Username Domain Password

(ไฟล์ OUList.Idfคือไฟล์ที่เราสร้างมาจากข้อ 1 )

- I เป็นพารามิเตอร์ที่บอกว่าเราใช้ข้อมูลที่อยู่ในไฟล์นี้ไปใส่ใน Active Directory

- k เป็นพารามิเตอร์ที่บอกว่า ถ้าเกิดความผิดพลาดของข้อมูลให้ไปทำในเรคคอร์ดอื่น

- f เป็นพารามิเตอร์ที่บอกว่าเราจะเอาข้อมูลมาจากไฟล์ชื่ออะไร แล้วอยู่ที่ไหน

วิธีการจัดการกับ OU โดยใช้โปรแกรม Directory Service

2010-10-15T10:32:00.000+07:00

เราสามารถใช้ directory service tools DSaddDSaddDSrmในการจัดการ OU จาก คอมมานด์ไลน์โดยเราสามาระใช้ command เหล่านี้ใน สคริปต์ และ batch files

การสร้าง OU โดยใช้ DSaddได้ดังนี้

DsaddouOrganizationalUnitDN–descDescription–d Domain–u UserName–p Password

คำอธิบาย

- OrganizationalUnitDN เป็นการระบุถึง Distinguished name (เป็นการระบุถึงชื่อเต็มของ OU และจะบ่งบอกว่าอยู่ที่ไหนเช่น ou=helpdesk,dc=abc,dc=com

- Description คำอธิบายระบุเกี่ยวกับ OU ที่ต้องการเพิ่ม

- Domain specifies โดย ค่าเริ่มต้น จะเป็นโดเมนคอนโทรลเลอร์ในการ logon domain

- UserNameระบุ username ที่เราจะใช้ในการรันโปรแกรมนี้ โดยปกติแล้วถ้าเราไม่ใส่จะหมายถึงผู้ใช้งานในระบบที่เรากำลังล็อกออนอยู่ ณ ขณะนี้

o User name (เช่น Linda)

o Domain\user name (เช่น widgets\Linda)

o User principal name (UPN) (เช่น Linda@widgets.microsoft.com)

- Password เป็นรหัสผ่านที่ผู้ใช้ในระบบใช้ในการล็อกออน ถ้าพิมพ์* ระบบจะมีหน้าต่างขึ้นมาให้ใส่รหัสผ่าน

การแก้ไข OU จะมีรูปแบบ ดังนี้

DsmodouOrganizationalUnitDN –desc Description –d Domain –u UserName –p Password พารามิเตอร์ของ DSmodจะเหมือนกับ DSadd

การลบ OU จะมีรูปแบบดังนี้

ถ้าเราไม่ใช้ OU เราสามารถที่จะลบออกได้ด้วยคำสั่งนี้ dsrmซึ่งจะมีพารามิเตอร์ตามนี้

DsrmOrganizationalUnitDN –d Domain –u UserName –p Password

พารามิเตอร์โดยส่วนใหญ่เหมือนกับของ DSadd

แต่เราสามารถที่จะใช้พารามิเตอร์ที่เพิ่มเติมเฉพาะ DSrmได้ด้วย มีพารามิเตอร์เพิ่มเติมดังต่อไปนี้

- Subtreeระบุทั้ง ออบเจ็ก และ ตัวเก็บออบเจ็ก ที่อยู่ภายใต้subtreeจะถูกลบด้วย

- Exclude สามารถใช้กับ subtree parameter เพื่อที่จะระบุว่าซับ OU ไหนที่เราไม่ต้องการลบ

วิธีการสำหรับการสร้างและการจัดการ OU

2010-10-14T10:30:00.000+07:00

Windows Server 2003 มีหลายโปรแกรมที่เป็น กราฟิก และ โปรแกรมคอมมานด์ไลน์ ซึ่งใช้จัดการ configuration และใช้ account และ resource ในองค์กร โดยสามารถใช้ โปรแกรมเหล่านั้นจัดการกับ OU ได้ด้วย

รายชื่อของโปรแกรมที่ใช้จัดการ OU

- Active Directory User and Computers เป็นกราฟิกทูลที่ใช้ สำหรับการ สร้าง แก้ไข และ ลบ OU การใช้ทูลนี้เมื่อคุณจัดการ OU เพียงไม่มากเท่าไร และต้องการที่จะเห็นแบบตอบสนอง (interactively)

- Directory service tool เป็นชุดของ คอมมานทูล ซึ่งสามารถใช้จัดการ กับออบเจ็ก และค้นหาข้อมูลใน Active Directory โดย คอมมานทูล จะมี DSadd, DSmod and DSrmโดยใช้ทูล นี้กับพารามิเตอร์ OU เราสามารถเพิ่ม แก้ไข หรือ ลย OU จาก Active Directory และเราสามารถใช้เป็นสคริปต์ and batch files เหล่านี้ในการจัดการ Active Directory

- LDIFDE ใช้เพื่อที่จะสร้าง OU ในแบบ batch windows server 2003 ใช้รูปแบบของ LDAP ใน LDIFDE ซึ่งทูลนี้สามารถทำให้เราสร้างและดูแล ouได้ดีเหมือนๆ กับทูลตัวอื่นๆ นอกจากจะทำกับ ouแล้วยังสามารถที่จะทำกับออบเจ็กอื่นๆ ได้อีก เช่น user account , group,computer, printer โดยทูลนี้ จะใส่แท็กไฟล์ที่มี ข้อมูลเกี่ยวกับ object ที่จะเพิ่ม แก้ไข หรือลบ โดยที่ข้อมูลเก็บไว้ในรูปแบบของเรคคอร์ด (record) ซึ่งถูกแบ่งออกด้วยบรรทัดว่าง (blank line)

วงจรชีวิตของ OU จะมีอยู่ 4 ขั้นตอน

2010-10-13T10:30:00.000+07:00

- Planning ในขั้นตอนนี้ เราจะวางแผนโครงสร้างของ OU เราจะกำหนด OU ที่จะสร้าง และใครจะเป็นผู้ที่จะเป็นตัวแทนในการควบคุมดูแล ของ OU เหล่านี้

- Deployment ในขั้นตอนนี้ ผู้ดูแลระบบ สร้างโครงสร้างของ OU ตามแผนการที่เรากำหนดไว้

- Maintenance ในขั้นตอนนี้ หลังจาก OU ถูกสร้างใน Active Directory แล้ว บางครั้ง OU จะถูกเปลี่ยนชื่อ,ยุบทิ้ง หรือ สร้างเพิ่มขึ้นมา โดยความต้องการต่างๆ ในองค์กร

- Removal ในขั้นตอนนี้ เราจะลบOU ที่เราไม่ใช้งาน เพราะว่าถ้าปล่อยทิ้งไว้ OU ที่เราไม่ได้ใช้งานก็จะเปลืองพื้นที่ของ โดเมนคอนโทรลเลอร์ที่เป็นที่อยู่ของ Active Directory

วงจรชีวิตของการสร้าง OU

2010-10-12T10:29:00.000+07:00

OU เป็นคอนเทนเนอร์ที่ใช้สำหรับเก็บรวบรวมออบเจ็กต่างๆ ใน Active Directory เราสามารถที่จะใส่ รายชื่อผู้ใช้งานในระบบ, กรุ๊ป, คอมพิวเตอร์แอคเคาท์ หรือ Sub OU ไว้ข้างในได้ ซึ่งในการใช้งาน OU เราสามารถที่จะสร้าง OU ขึ้นมาตามลักษณะของแผนผังในองค์กรของเราได้ ว่าในองค์กรของเรามีแผนกไหนบ้าง และแต่ละแผนกมีแผนกย่อยอะไร และนอกจากนี้เรายังสามารถที่จะกำหนดค่าคอนฟิกของแอคเคานท์ และ ทรัพยากรต่างๆ ได้ เช่น สามารถที่จะสร้าง OU ขึ้นมา แล้วนำเอา Group Policy มากำหนด ซึ่งใน Group Policy เราก็จะมี ค่าเริ่มต้น ซึ่งนำไปใช้กับ ผู้ใช้งานในระบบ และคอมพิวเตอร์แอคเคานท์ใน OU นั้น

การทำงานกับ Organizational Unit

2010-10-11T10:27:00.000+07:00

ตอนนี้ จะเป็นเรื่องเกี่ยวกับการสร้าง Organizational Units (ซึ่งต่อไปจะขอเรียกสั้นๆ ว่า OU) การถ่ายทอดสิทธิของการควบคุมสำหรับ OU (Delegation of administrative control) และขั้นตอนของการสร้างโครงสร้างของ OU

การจัดการ Organizational Units

ตอนนี้จะแนะนำวิธีการจัดการ OU และ วิธีการสร้าง แก้ไข และลบ OU ซึ่งในตัวของ Windows Server 2003 ได้มีเครื่องมือหลายอย่าง ในการจัดการ OU เช่น Active Directory Users and Computers, คำสั่งในส่วนของ Directory Services Command Line และ LDIFDE นอกจากนี้คุณสามารถใช้ Windows Scripting Host เพื่อใช้ในการจัดการกับ OU ได้อีกด้วย

บทบาทของโดเมนและฟอเรสต์

2010-10-10T08:18:00.000+07:00

การเปลี่ยนโหมดของโดเมนและฟอเรสต์ จัดเป็นคุณสมบัติที่สำคัญข้อหนึ่งของ Windows Server 2003 ที่จะช่วยเพิ่มความสามารถในการให้บริการในระบบเน็ตเวิร์คขององค์กร ดังนั้นควรจำไว้ว่าการเปลี่ยนโหมดของฟอเรสต์และโดเมนนั้นมีจัดที่สำคัญคือ เพื่อสอดคล้องกับแนวทางการบริหารระบบของผู้ดูแลใน Windows Server 2003 นั้นมีรูปแบบของโหมดที่ใช้งานทั้งสิ้น 4 รูปแบบประกอบด้วย

Windows 2000 Mixed Mode

เป็นโหมดที่มีเครื่องโดเมนคอนโทรลเลอร์ทั้ง Windows 2000, Windows Server 2003 และ Backup Domain Controller (BDC) ของ Windows NT4 ใช้งานร่วมกันซึ่งไม่สามารถใช้งานในส่วนของกลุ่มแบบ Universal Group การทำ Nesting Group และ SID history capabilities

Windows 2000 Native Mode

ในโหมดนี้จะมีเครื่องโดเมนคอนโทรลเลอร์ที่เป็น Windows 2000 กับ Windows Server 2003 ทำงานร่วมกัน และสามารถใช้งานกลุ่มแบบ Universal Group การทำ Nesting Group และ SID history capabilities ได้ แต่จะไม่สามารถใช้คุณสมบัติอื่นๆที่มีเพิ่มเติมใน Windows Server 2003

Windows Server 2003

เครื่องโดเมนคอนโทรลเลอร์ทุกตัวจะเป็น Windows Server 2003 และสามารถใช้งานได้ครบทุกคุณสมบัติที่มีในรุ่นก่อนและคุณสมบัติที่เพิ่มเติมเข้ามาใหม่ จัดเป็นโหมดที่อยู่สูงสุด

Windows 2003 Interrim Mode

เป็นโหมดที่มีเฉพาะเครื่องโดเมนคอนโทรลเลอร์ที่เป็น Windows Server 2003 กับ BDC ของ Windows NT4 เท่านั้นมีคุณสมบัติเท่ากับใน Windows NT

โดยปกติแล้วเมื่อเราติดตั้ง Active Directory ของ Windows Server 2003 เรียบร้อยจะพบว่า รูปแบบการทำงานของระดับฟอเรสต์จะถูกกำหนดให้สอดคล้องกับของ Windows 2000 Server ซึ่งถ้าหากมีการใช้งานในบางโดเมนเป็น

Windows Server 2003 ได้ดังนั้นเราต้องปรับให้ทุกโดเมนเป็น Active Directory ของ Windows Server 2003 ก่อนเราจึงปรับโครงสร้างของฟอเรสต์ขึ้นมาได้ ซึ่งประโยชน์ที่จะได้รับ ยกตัวอย่างเช่น การทรัสต์ระหว่างโดเมนที่อยู่คนละฟอเรสต์ เป็นต้น

แนวทางการแก้ปัญหาในระหว่างการติดตั้ง Active Directory

2010-10-09T07:58:00.000+07:00

ในบางกรณีเราอาจพบข้อความแสดงความผิดพลาดในระหว่างการติดตั้ง Active Directory ซึ่งปัญหาที่พบอาจเกิดจากหลายๆ สาเหตุด้วยกัน โดยอาจเกิดจากกรณีใดกรณีหนึ่งดังนี้

- ไม่สามารถเข้าสู่ขั้นตอนการติดตั้งโดเมนคอนโทรลเลอร์ใหม่ หรือการติดตั้งเพิ่มเติมเราสามารถแก้ปัญหานี้ได้โดย

1. ถ้าเราพบปัญหานี้ในระหว่างการติดตั้งโดเมนคอนโทรลเลอร์เครื่องแรกของฟอเรสต์ แสดงว่าเราไม่ได้ล็อกออน ด้วยผู้ใช้ที่อยู่ในกลุ่มของ Administrator ให้ล็อกออฟและล็อกออนใหม่โดยใช้ชื่อที่อยู่ในกลุ่มของ Administrators และติดตั้งอีกครั้ง

2. ถ้าเราพบปัญหานี้ในระหบ่างการติดตั้งโดเมนคอนโทรลเลอร์เพิ่มเติมบนโดเมนที่มี แสดงว่าเราไม่ได้ล็อกออน ด้วยรายชื่อของผู้ใช้ที่อยู่ในกลุ่มของ Domain Admins หรือผู้ใช้ใน Enterprise Admins

- ชื่อโดเมนแบบ DNS หรือ Net BIOS ซ้ำกับที่มีอยู่เดิม

วิธีแก้ปัญหานี้ก็คือจะต้องเปลี่ยนชื่อโดเมนให้ไม่ซ้ำกับที่มีใช้งานอยู่ แล้วจึงลงมือติดตั้งใหม่

- ไม่สามาถติดต่อกับโดเมนที่มีอยู่เดิมได้

ปัญหานี้อาจเกิดจากความผิดพลาดในการติดต่อระหว่างโดเมนคอนโทรลเลอร์เครื่องเดิมกับเครื่องที่เรากำลังติดตั้งให้ลองใช้คำสั่ง Ping เพื่อทดสอบการติดต่อระหว่างเครื่องดูก่อน

ส่วนอีกกรณีคือเป็นความผิดพลาดจาก DNS Server ไม่สามารถส่งข้อมูลการแปลชื่อแบบชื่อกับหมายเลข IP Address ให้ทดสอบตามขั้นตอนต่อไปนี้

1. เปิดหน้าต่างคอมมานด์พร้อมพ์ ใช้คำสั่ง nslookup และกด Enter

2. พิมพ์ชื่อเครื่องแบบ FQDN เช่น Server1.ABC.COM

ถ้าไม่สามารถบอกหมายเลข IP Address ได้แสดงว่าเป็นปัญหาที่ DNS ให้ตรวจสอบและแก้หมายเลขของ DNS ให้เรียบร้อยแล้วทดสอบดูอีกครั้ง หรือเปิดดูเรคคอร์ดใน DNS แล้วแก้ไข

- มีพื้นที่บนฮาร์ดดิสก์ไม่เพียงพอ

แก้ปัญหานี้โดยการแบ่งพาร์ติชั่นของฮาร์ดดิสก์เพิ่ม หรือติดตั้งบนดิสก์ลูกใหม่แทน

การตรวจสอบหลังการติดตั้ง

2010-10-08T07:43:00.001+07:00

การตรวจสอบแบ่งออกเป้น 2 ช่วงคือ การตรวจสอบว่าโฟลเดอร์ SYSVOL ถูกสร้างขึ้นเรียบร้อยหรือไม่และการตรวจสอบแชร์โฟลเดอร์ที่เกิดขึ้นเพื่อทำงานในส่วนของ Active Directory

การตรวจสอบโฟลเดอร์ที่ถูกสร้างเพิ่มเติมหลังการติดตั้ง Active Directory มีดังนี้

1. คลิกปุ่ม Start เรียกคำสั่ง Run

2. ในกรอบ Open พิมพ์คำสั่ง %systemroot%\sysvol และกด Enter ในหน้าต่างของ Windows Explorer ให้เปิดและดูรายละเอียดของไฟล์และโฟลเดอร์ต่างๆ ที่มีในโฟลเดอร์ Sysvol ซึ่งประกอบด้วย ซับโฟลเดอร์ Domain, Straging, Staging areas, และ Sysvol

การตรวจสอบแชร์โฟลเดอร์ต่างๆ มีดังนี้

1. เปิดหน้าต่างคอมมานด์พร้อมพ์

2. พิมพ์คำสั่ง net share และกด Enter

การตรวจสอบฐานข้อมูลของ Active Directory และไฟล์ Log มีดังนี้

1. คลิกปุ่ม Start เรียกคำสั่ง Run

2. ในกรอบ Open พิมพ์คำสั่ง %systemroot%\ntds และกด Enter ในหน้าต่างของ Windows Explorer ดูรายละเอียดเกี่ยวกับไฟล์ที่มีในโฟลเดอร์ NTDS ซึ่งจะประกอบด้วย

Ntds.dit คือ ไฟล์ฐานข้อมูลของ Active Directory

Ebd.* คือ ไฟล์ Transaction Log และ Checkpoint

Res*.log คือ ไฟล์ส่วนขยายของไฟล์ Log

คราวนี้ถ้าหากเป็นการติดตั้ง Active Directory ลงบนโดเมนคอนโทรลเลอร์เครื่องแรก ออบเจคต่าง ๆ เหล่านี้จะถูกสร้างขึ้น ซึ่งสามารถดูได้จาก Active Directory Users and Computers ซึ่งประกอบด้วย

- Builtin (container) ใช้เก็บกลุ่มของ Default Built-in Groups

- Computers (container) ใช้เก็บรายชื่อเครื่องคอมพิวเตอร์ที่เป็นสมาชิก

- ForeignSecurityPrincipals (container) ใช้เก็บหมายเลข SID ของออบเจคโดเมนภายนอก

- Domain Controllers (organizational unit) ใช้เก็บรายชื่อเครื่องโดเมนคอนโทรลเลอร์

- Users (container) ใช้เก็บรายชื่อผู้ใช้และกลุ่ม

- Lost and Found (container) ใช้เก็บออบเจคที่ไม่มี SID

- NTDS Quatas ใช้เก็บจำนวนของออบเจคที่สร้างขึ้นใน Active Directory

- Program Data ใช้เก็บรายชื่อโปรแกรมที่ติดตั้งเพิ่มเติม

- System ใช้เก็บค่า Built-in System

หลังจากติดตั้ง Active Directory เราสามารถตรวจสอบเกี่ยวกับความผิดปกติของระบบ ที่อาจจะเกิดขึ้นจาก Event Log โดยความผิดปกติที่เกิดกับการติดตั้งจะเก็บใน System, Directory Service, DNS Server และ File Replication service logs

การถอดโดเมนคอนโทรลเลอร์ออกจาก Active Directory

2010-10-07T07:06:00.000+07:00

ในการยุติบทบาทการทำหน้าที่เป็นเครื่องโดเมนคอนโทรลเลอร์ของ Active Directory นั้นมีสิ่งที่เราต้องจำไว้เสมอก็คือ ถ้ามีเครื่องมากกว่า 1 เครื่องบนโดเมน Active Directory ในส่วนที่ติดตั้งบนเครื่องนั้นจะถูกถ่ายโอนไปยังเครื่องที่เหลืออยู่ก่อน จากนั้นจึงจะสามารถลบฐานข้อมูลของ Active Directory ได้ ซึ่งวินโดวส์จะช่วยเหลือเราในจุดนี้ ทำให้การทำงานสะดวกขึ้นมาก และอีกประการก็คือ ถ้าหากเครื่องดังกล่างเป็นเครื่องสุดท้ายของโดเมน การลบเครื่องดังกล่าวออกจะถือว่าเป็นการยุบโดเมนออกจากฟอเรสต์ และถ้าหากเป็นการลบเครื่องสุดท้ายของ Forest Root Domain จะถือว่าเป็นการลบฟอเรสต์ดังกล่าวออกไปด้วย ซึ่งโดยทั่วไปจะไม่สามารถทำการลบออกได้หากยังมีเครื่องใดที่ยังต้องอาศัยโครงสร้างดังกล่าวทำงานอยู่

ขั้นตอนการถอดโดเมนคอนโทรลเลอร์ออกจากระบบมีรายละเอียดดังนี้

1. เปิดหน้าจอ Active Directory Installation Wizard

2. บนหน้าจอ Remove Active Directory ถ้าเครื่องที่จะถอดเป็นเครื่องสุดท้ายของโดเมนให้เลือก Thia Server is the last domain controller in the domain จากนั้นคลิก Next เพื่อเข้าสู่ขั้นตอนถัดไป

3. บนหน้าจอ Administrator Password ให้พิมพ์รหัสผ่านของผู้ใช้ที่เป็น Administrator เพื่อใช้ล็อกออน หลังจากที่การถอดโดเมนคอนโทรลเลอร์เสร็จสมบูรณ์แล้ว จากนั้นคลิก Next เพื่อเข้าสู่ขั้นตอนถัดไป

4. บนหน้าจอ Summary ให้คลิก Next เพื่อเริ่มขั้นตอนการถอดโดเมนคอนโทรลเลอร์

การเปลี่ยนชื่อของเครื่องโดเมนคอนโทรลเลอร์

2010-10-06T06:56:00.000+07:00

Windows Server 2003 ได้เพิ่มคุณสมบัติใหม่เข้ามาประการหนึ่งที่น่าสนใจ นั่นก็คือการเปลี่ยนชื่อเครื่องโดเมนคอนโทรลเลอร์ภายหลังจากที่ติดตั้ง Active Directory แล้ว ซึ่งการเปลี่ยนชื่อนี้สามาถทำได้โดยผู้ที่อยู่ในกลุ่มของ Domain Admins โดยผลที่ได้ก็คือชื่อของเครื่องที่ถูกเปลี่ยนเข้าไปใน DNS Server และชื่อที่ใช้งานเดิมก็จะถูกลบออกทั้งใน DNS และฐานข้อมูลของ Active Directory และสิ่งที่ต้องจำไว้ก็คือการเปลี่ยนชื่อเครื่องโดเมนคอนโทรลเลอร์จะสามารถทำได้เฉพาะกรณีที่ใช้งาน Active Directory ในโหมดของ Windows Server 2003 เท่านั้น ถ้าใช้งานในโหมดอื่นจะต้องเปลี่ยนมาเป็นโหมดดังกล่าวนี้เสียก่อน

ขั้นตอนการเปลี่ยนชื่อของโดเมนคอนโทรลเลอร์มีรายละเอียดดังนี้

1. เปิดหน้าจอของ System ในหน้าต่าง Control Panel

2. ในหน้าจอของ System Properties ที่แท็บ Computer Name คลิกปุ่ม Change

3. ตอบรับขั้นตอนการเปลี่ยนชื่อเครื่องโดเมนคอนโทรลเลอร์

4. พิมพ์ชื่อเครื่องที่ต้องการลงไปและคลิกปุ่ม OK เช่น เดิมเครอื่งชื่อ Server1.ABC.COM ต้องการเปลียนเป็น DCServer1.XYZ.COM โดยเราสามารถพิมพ์เปลี่ยนชื่อของเครื่องจาก Server1 เป็น DCServer1 ได้ทันที ส่วนชื่อโดเมนให้กดปุ่ม More แล้วเข้าไปเปลี่ยนด้านในอีกครั้งจาก ABC.COM ให้เป็น XYZ.COM

หลังจากนั้นเราจะพบว่าชื่อเครื่องได้เปลี่ยนไปตามที่เราต้องการ แต่ให้จำไว้ว่าการเปลี่ยนชื่อเครื่องนั้นไม่ได้ หมายความว่าเราได้ย้ายเครื่องออกจากโดเมนเดิมไปยังโดเมนใหม่ เช่น จากตัวอย่าง ไม่ได้แปลว่าเครื่อง Server1 จะเปลี่ยนจากการให้บริการโดเมน ABC.COM มาเป็นโดเมน XYZ.COM แต่อย่างใดทั้งสิ้น การเปลี่ยนบทบาทจากโดเมน ABC.COM ไปยัง XYZ.COM นั้นก็ยังคงต้องทำการ Demote ก่อนแล้วจึงทำการ Promote ขึ้นใหม่เหมือนเดิม

การตั้งโดเมนคอนโทรลเลอร์เพิ่มเติม

2010-10-05T06:45:00.000+07:00

เพื่อเป็นการเพิ่มความน่าเชื่อถือในการใช้งาน Active Directory Service จำไว้ว่าควรติดตั้งโดเมนคอนโทรลเลอร์อย่างน้อย 2 เครื่องในแต่ละโดเมน เพื่อสำรองไว้ใช้งานในเวลาฉุกเฉิน ซึ่งใน Active Directory สามารถทำการเรพลิเคตข้อมูลซื่งกันและกันระหว่างเครื่อง โดยกระบวนการเรพลิเคตนั้นคือการที่เครื่องโดเมนคอนโทรลเลอร์ทั้งหลายจะมีการติดต่อกันตามระยะเวลาที่กำหนดไว้ (ประมาณ 5 นาที) เพื่อส่งข้อมูลที่มีในฐานข้อมูลของ Active Directory ที่แต่ละเครื่องเก็บไว้มาทำการอัพเดตกันและกันเพื่อให้ข้อมูลถูกต้องตรงกัน เพื่อที่ว่าเมื่อเครื่องที่ให้บริการอยู่เกิดปัญหาขึ้นเครื่องที่เหลือจะได้สามารถทำหน้าที่ทดแทนได้ทันที

สิ่งที่ควรทราบอีกประการก็คือ การเลือกรูปแบบการติดตั้งโดเมนคอนโทรลเลอร์เพิ่มเติม เพราะลักษณะการติดตั้งว่าจะเลือกลักษณะใด ระหว่างการติดตั้งแบบเดิมที่ต้องมีการทำเรพลิเคตข้อมูลผ่านทางเน็ตเวิร์ค (เหมือนใน Windows 2000) กับการติดตั้งโดยใช้ข้อมูลจากชุดแบ็คอัพซึ่งจะสะดวกกว่ามาก หากจำเป็นจะต้องติดตั้งในสาขาที่อยู่ไกลออกไปและการเชื่อมต่อของระบบมีความเร็วต่ำ ซึ่งกว่าจะติดตั้งได้อาจต้องเวลาหลายชั่วโมง

ถ้าเลือกใช้กรณีแรกคือเรพลิเคตผ่านระบบเน็ตเวิร์คให้จำไว้ 2 ประการคือ

- ติดตั้งบนเครื่องที่อยู่ในไซต์เดียวกัน

- ติดตั้งบนเครื่องท่อยู่คนละไซต์ที่เชื่อมต่อกันด้วยเน็ตเวิร์คความเร็วสูง

แต่ถ้าหากเลือกติดตั้งจากชุดข้อมูลแบ็คอัพนั่นก็หมายความว่า เป็นการติดตั้งโดเมนคอนโทรลเลอร์ซึ่งอยู่ในโดเมนเดียวกันกับเครื่องแรก โดยมีขั้นตอนดังนี้

1. เรียกคำสั่ง Dcpromo โดยใช้คำสั่ง DcPromo /adv

2. บนหน้าจอ Domain Controller Type เลือก Additional Domain Contoller for an existing domain

ถ้าหากเราเลือกติดตั้งโดยใช้คำสั่ง Dcpromo /adv บนหน้าจอ Copying Domain Information ให้เลือกทางเลือกใดทางเลือกหนึ่งต่อไปนี้

- Over the Network

- From these restored backup files, and specify the location of the restored backup files

ถ้าหากเราเลือกติดตั้งโดเมนคอนโทรลเลอร์ จากไฟล์แบ็คอัพ เราจะต้องทำกรแบ็คอัพส่วนของ System State Data จากเครื่องโดเมนคอนโทรลเลอร์ที่เป็น Windows Server 2003 ในโดเมนที่ต้องการติดตั้งเครื่องโดเมนคอนโทรลเลอร์เพิ่มเติมก่อน จากนั้นจึงนำไฟล์ที่ได้มารีสโตร์บนเครื่องเซิร์ฟเวอร์ที่ต้องการทำเป็นโดเมนคอนโทรลเลอร์เพิ่มเติมก่อน โดยวางลงในตำแหน่งที่กำหนดต่างหากแล้วจึงทำการเรียกคำสั่ง Dcpromo /adv

ถ้าหากบนเครื่องโดเมนคอนโทรลเลอร์ตัวหลัก มีข้อมูลของ Application Directory Partition ข้อมูลในส่วนนี้จะไม่ถูกใส่ลงไปในโดเมนคอนโทรลเลอร์เครื่องใหม่ และสมมติว่าในเครื่องโดเมนคอนโทรลเลอร์ที่เราทำงานมีส่วนของ Global Catalog Server อยู่ด้วยเราจะพบว่า ในการสั่งติดตั้งโดเมนคอนโทรลเลอร์เครื่องใหม่ก็จะมีตัวเลือกนี้รวมอยู่ด้วย

3. จากนั้นก็กำหนดชื่อและรหัสผ่านเพื่อติดตั้ง กำหนดตำแหน่งที่ใช้เก็บไฟล์ของ Active Directory และรหัสผ่านที่ใช้ในการซ่อมแซม Active Directory โดยมีรายละเอียดดังนี้

- ในหน้าจอ Network Credentials ให้พิมพ์ชื่อ รหัสผ่าน และชื่อของโดเมนที่ต้องการติดตั้ง เครื่องเพิ่มเข้าไป โดยชื่อที่ใช้ต้องเป็นสมาชิกในกลุ่มของ Domain Admins ของโดเมนที่กำลังจะติดตั้ง

- บนหน้าจอ Database and Log Folder ระบุตำแหน่งที่ใช้เก็บไฟล์ฐานข้อมูลและ Log ของตัว Active Directory

- บนหน้าจอ Shared System Volume ให้ระบุตำแหน่งที่จะใช้เก็บโฟลเดอร์ SYSVOL

- บนหน้าจอ Directory Services Restore Mode Administrator Password ให้พิมพ์รหัสผ่านเพื่อใช้ซ่อมแซมเมื่อเกิดปัญหากับตัว Active Directory

- อ่านสรุปข้อมูลต่างๆ บนหน้าจอ Summary และกดปุ่ม Next

4. ทำการรีสตาร์ทวินโดวส์

หลังจากนั้นวินโดวส์ก็จะทำการเรพลิเคต เพื่ออัพเดทข้อมูลกับโดเมนคอนโทรลเลอร์ตัวอื่น ที่ได้ติดตั้งไปก่อนหน้านี้

ขั้นตอนการสร้างเป็นโดเมนทรีใหม่ในฟอเรสต์เดิม

2010-10-04T06:44:00.000+07:00

ในกรณีนี้ เราสามารทำได้โดยมีขั้นตอนดังต่อไปนี้

1. บนหน้าจอ Create New Domain คลิกเลือก Domain tree in an existing forest และคลิก Next

2. บนหน้าจอ Network Credentials ให้กรอกชื่อและรหัสผ่านของ ผู้ที่มีอำนาจในการตั้งโดเมนลูก ซึ่งโดยทั่วไปคือผู้ใช้ที่อยู่ในกลุ่ม Enterprise Admins และคลิก Next

3. บนหน้าจอ New Domain Tree ให้พิมพ์ชื่อของ DNS Name สำหรับโดเมนทรีใหม่ที่สร้างขั้น ซึ่งจะต้องไม่ซ้ำกับที่ใช้งานอยู่เดิม เช่น XYZ.COM หรือ ABC.NET เป็นต้น

ขั้นตอนการติดตั้งโดเมนลูก (Child Domain)

2010-10-03T06:42:00.001+07:00

ในกรณีนี้ เราสามารถได้โดยใช้ Active Directory Installation Wizard นั้นมีลักษณะคล้ายกับการติดตั้ง Forest Foot Domain แต่จะมีจุดที่แตกต่างกันอยู่เล็กน้อยดังนี้

1. บนหน้าจอ Create New Domain ให้คลิกเลือก Child domain in an existing domain tree

2. บนหน้าจอ Network Credentials ให้กรอกชื่อและรหัสผ่านของ ผู้ที่มีอำนาจในการตั้งโดเมนลูก ซึ่งโดยทั่วไปคือผู้ใช้ที่อยู่ในกลุ่ม Enterprise Admins

3. บนหน้าจอ Child Domain Installation ให้ตรวจสอบชื่อของโดเมนหลักแล้วกำหนดชื่อของโดเมนลูกลงไป เช่นโดเมนหลักชื่อว่า ABC.COM ก็ตรวจสอบว่าชื่อถูกต้องหรือไม่ จากนั้นก็เติมชื่อของโดเมนลูกลงไปเช่น ASIA เป็นต้น ซึ่ง Active Directory ก็จะตรวจสอบว่าชื่อของโดเมนลูกที่ใช้ซ้ำกับโดเมนอื่นๆ หรือไม่ ถ้าไม่ก็จะสามารถติดตั้งโดเมนลูกได้โดยชื่อของโดเมนลูก ก็จะได้ว่า ASIA.ABC.COM ตามลักษณะโครงสร้างชื่อแบบ DNS Name

การสร้างโดเมนและฟอเรสต์ใหม่

2010-10-02T19:31:00.001+07:00

ในการสร้างโดเมนและฟอเรสต์โดยใช้ Active Directory Installation Wizard นั้น ในครั้งแรกจะเป็นการ สร้าง Forest Root Domain ซึ่งถือว่าเป็นโดเมนแรกของระบบ ที่ใช้ในการจัดการกับทรัพยากรต่างๆ และ ในภายหลังก็จะสามารถทำการขยายระบบเพิ่มเติมได้ ไม่ว่าจะแป็นการตั้งโดเมนคอนโทรลเลอร์เพิ่ม การสร้างโดเมนลูกข่าย หรือการสร้างโดเมนทรีก็ตาม

เมื่อทำการสั่งใช้งาน Active Directory Installation Wizard คุณจะพบขั้นตอนต่างๆ ดังนี้

1. คลิกปุ่ม Start, คลิกคำสั่ง Run จากนั้นพิมพ์คำสั่ง dcpromo กด Enter เพื่อเป็นการเปิดหน้าต่างของ Active Directory Installation Wizard โดยในตอนนี้จะมีการตรวจสอบ 3 อย่างคือ

- ผู้ใช้ที่กำลังสั่งงานอยู่ในกลุ่มของ Local Administrators หรือไม่

- เครื่องที่ใช้งานรองรับการทำงานกับ Active Directory

- เป็นการเรียกคำสั่ง ในขณะที่กำลังอยู่ระหว่างการ Restart เครื่องหลังจากการติดตั้งหรือถอด Active Directory ออกจากเครื่องนั้นๆ หรือไม่

ซึ่งไม่ว่าจะเกิดเหตุการณ์ใดใน 3 กรณีนี้ จะทำให้ Active Directory Installation Wizard แสดพงข้อความแจ้งความผิดพลาดที่เกิดขึ้น และออกจากขั้นตอนการทำงานทันที

2.บนหน้าจอ Welcome คลิก Next

3. บนหน้าจอ Operating System Compatibility คลิกเลือก Next เพื่อเข้าสู่ขั้นตอนถัดไป

4. บนหน้าจอ Domain Controller Type คลิกเลือก Domain Controller for a new domain จากนั้นคลิก Next เพื่อเข้าสู่ขั้นตอนถัดไป

5. บนหน้าจอ Create New Domain คลิกเลือก Domain in a new forest จากนั้นคลิก Next เพื่อเข้าสู่ขั้นตอนถัดไป

6. บนหน้าจอ New Domain Name ให้พิมพ์ชื่อโดเมนในแบบ DNS เช่น ABC.COM เป็นต้น จากนั้นคลิก Next เพื่อเข้าสู่ขั้นตอนถัดไป

7. บนหน้าจอ NetBIOS Domain Name ให้ตรวจสอบชื่อโดเมนแบบ NetBIOS Name ว่าตรงตามที่ต้องการหรือไม่ ซึ่งเราสามารถเปลี่ยนแปลงได้ จากนั้นคลิก Next เพื่อเข้าสู่ขั้นตอนถัดไป

ขั้นตอนการติดตั้ง Active Directory

2010-10-01T07:29:00.001+07:00

โดยทั่วไปการติดตั้ง Active Directory จะสามารถทำได้โดยการใช้ Active Directory Installation Wizard ซึ่งในขึ้นตอนของการติดตั้งนั้นจะมีการเปลี่ยนแปลงต่างๆ เกิดขึ้นกับ Windows Server 2003 ซึ่งหากเราทราบถึงการเปลี่ยนแปลงต่าง ๆ ที่เกิดขึ้นก็จะช่วยให้เราสามารถแก้ไขปัญหาต่างๆ และติดตั้ง Active Directory ได้อย่างถูกต้อง

กระบวนการที่เกิดขึ้นในระหว่างการติดตั้ง มีดังต่อไปนี้

- เริ่มด้วยการเปิด Keberos Version 5.0 เป็นโปรโตคอลที่ใช้ในการทำ Authenticate และแก้ไข Local Security Authority Policy (LSA) ของเครื่องเซิร์ฟเวอร์ที่ติดตั้งให้เป็นแบบของเครื่องโดเมนคอนโทรลเลอร์

- สร้าง Active Directory พาร์ติชั่น ซึ่งประกอบด้วย โดเมนพาร์ติชั่น, คอนฟิกกูเรชั่นพาร์ติชั่น และ สกีมาพาร์ติชั่น เพื่อใช้ในการเก็บโครงสร้างของ Active Directory

- สร้าง Forest Root Domain ถ้าหากเป็นการติดตั้งขึ้นเป็นเครื่องแรกของระบบ โดยจะมีการสร้างในส่วนของ Operation Master Roles ซึ่งจะประกอบด้วย PDC Emulator , RID Master, Infrasturcture Master, Schema Master และ Domain Naming master

- กำหนดหน้าที่ของโดเมนคอนโทรลเลอร์ที่จะให้บริการในไซต์โดยดูจากหมายเลข IP Address ของตัวเครื่องว่าได้ถูกกำหนดให้ทำหน้าที่ให้บริการในไซต์ใด แต่ถ้าไม่ได้กำหนดไว้โดยปกติเครื่องที่ติดตั้งจะให้บริการในไซต์ที่ Active Directory กำหนดขึ้นโดยอัตโนมัติคือ ที่ Default-First-Site-Name

และถ้าหากมี Server Object ของโดเมนคอนโทรลเลอร์เครื่องนั้นอยู่ในคอนเทนเนอร์ Server ภายใจไซต์ก่อนแล้ว ฉะนั้นเมื่อเราพยายามติดตั้งโดเมนคอนโทรลเลอร์เข้าไป มันก็จะลบและสร้าง Server Object ขึ้นมาให้ใหม่ในตำแหน่งของไซต์เดิม

ภายหลังจากที่การติดตั้ง Active Directory เสร็จสิ้นลง จะมีการติดตั้งและเพิ่มเติมข้อมูลในส่วนของ Directory Service รวมทั้งมาตรการเกี่ยวข้องกับระบบความปลอดภัยหลายๆ อย่างจะถูกกำหนดขึ้นบนเครื่องเซิร์ฟเวอร์ ดังนี้

- มีการสร้างและลิ้งก์ Group Policy 2 ตัวเพือกำหนดเงื่อนไขเรื่องความปลอดภัย คือ Domain Security Policy และ Domain Controller Security Policy

- สร้างและแชร์ โฟลเดอร์ System Volume ซึ่งประกอบด้วย

o โฟลเดอร์ SYSVOL ซึ่งใช้เก็บข้อมูลของ Group Policy

o โฟลเดอร์ Net Logon ซึ่งใช้เก็บ Logon Scripts ของเครื่องทีเป็น Windows NT และ Window 9x

- สร้างฐานข้อมูลของ Active Directory และไฟล์ logs ซึ่งโดยปกติเก็บอยู่ที่ Systemroot\NTDS ซึ่งขอแนะนำให้เก็บตัวของไฟล์ฐานข้อมูล และไฟล์ Logs แยกออกไว้บนฮาร์ดดิสก์คนละก้อน เพื่อเป็นการเพิ่มประสิทธิภาพในการอ่านและเขียนข้อมูล

- มีการเพิ่มชื่อของ Administrator ลงไปเพื่อใช้ในช่วงของการเปิดเครื่องโดเมนคอนโทรลเลอร์ ในแบบ Directory Service Restore Mode

การติดตั้งโดเมนและฟอเรสต์

2010-09-30T09:27:00.002+07:00

ในหัวข้อนี้ เป็นขั้นตอนในการสร้างและการติดตั้งโดเมนและฟอเรสต์ การตรวจสอบภายหลังการติดตั้ง Active Directory และปัญหาที่มักจะพบในการติดตั้ง และแนวทางของการแก้ปัญหาที่เกิดขึ้น โดยแบ่งออกเป็นหัวข้อต่างๆ ดังต่อไปนี้

องค์ประกอบที่จะจำเป็นในการติดตั้ง Active Directory

ก่อนการติดตั้ง Active Directory สิ่งแรกที่คุณควรจะทำคือ การตรวจสอบสเปคของเครื่องโดเมนคอนโทรลเลอร์ว่าเป็นไปตามข้อกำหนดในการใช้งาน ทั้งในส่วนนของฮาร์ดแวร์และซอร์ฟแวร์หรือไม่ ซึ่งองค์ประกอบหลักที่มีผลต่อการติดตั้ง Active Directory ประกอบด้วย

เป็นเครื่องที่ใช้ระบบปฎิบัติการ Microsoft Windows 2003 ทั้ง Standard edition, Enterprise edition, และ Datacenter edition ส่วน Web edition ไม่สามารถติดตั้งได้
ขนาดของพื้นที่บนฮาร์ดดิสก์ไม่ต่ำกว่า 250 MB โดยใช้เก็บฐานข้อมูลของ Active Directory ประมาณ 200 MB และไฟล์ Log ประมาณ 50 MB
พาร์ติชั่นที่ฟอร์แมตแบบ NTFS 1 พาร์ติชั่นเพื่อใช้เก็บโฟลเดอร์ SYSVOL
มีสิทธิในการจัดการกับระบบได้เทียบเท่ากับผู้ใช้ในระดับ Administrator
ติดตั้งโปรโตคอล TCP/IP และคอนฟิกให้ใช้งานร่วมกับ DNS Server

นอกจากนั้นก็คือส่วนของ DNS เพราะการใช้งาน Active Directory นั้นจำเป็นจะต้องใช้งานร่วมกับ DNS ที่คุณลักษณะตามความต้องการพื้นฐานของ Active Directory ซึ่งประกอบด้วย

SRV Record คือ เรคคอร์ดที่ใช้เก็บข้อมูลเกี่ยวกับ เครื่องที่ทำหน้าที่ให้บริการต่างๆ ของ Active Directory ใน DNS Server ซึ่งถ้าเราใช้งาน DNS ที่มีพร้อมกับวินโดวส์ จะสะดวกมากเนื่องจากมันสามารถใช้งานกับ SRV เรคคอร์ดได้ทันที
Dynamic Updates เป็นคุณสมบัติอีกข้อที่ควรจะมีใน DNS ที่จะใช้งานกับ Active Directory เพราะเมื่อมีการเปลี่ยนแปลงข้อมูลเกิดขึ้น คุณสมบัตินี้จะช่วยปรับข้อมูลให้ถูกต้องอยู่เสมอ โดย DNS ที่ไม่มีคุณสมบัติข้อนี้ เมื่อมีการเปลี่ยนแปลงข้อมูลเกิดขึ้นจะเป็นหน้าที่ของผู้ดูแลที่จะทำการปรับแต่งมัน
Incremental Zone Transfer เป็นคุณสมบัติอีกข้อของ DNS ที่จะใช้งานกับ Active Directory ที่ควรจะมี เพราะมันจะช่วยลดความหนาแน่นของปริมาณข้อมูลในระบบเน็ตเวิร์ก เพราะมันจะ Update เฉพาะข้อมูลส่วนที่แตกต่างกันระหว่าง DNS เครื่องหลักกับ DNS สำรอง โดยไม่ต้อง Update ข้อมูลทั้งหมด

การกำหนดโครงสร้างของโดเมนและฟอเรสต์

2010-09-29T08:26:00.002+07:00

เราจะศึกษาเกี่ยวกับการเตรียมการก่อนลงมือติดตั้ง Active Directory และองค์ประกอบสำคัญที่ มีบทบาทต่อการติดตั้ง Active Directory รวมทั้งแนวทางการในการกำหนดโครงสร้างของโดเมน และของฟอเรสต์ นอกจากนั้นจะได้ทำความเข้าใจเกี่ยวกับการใช้งาน DNS Server ร่วมกับ Active Directory การปรับเปลี่ยนโหมดในการทำงานของ Active Directory เพื่อให้สอดคล้องกับเวอร์ชั่นของวินโดวส์ที่มีใช้งานอยู่ภายในองค์กร และสุดท้ายคือเรื่องของการสร้างทรัสต์ เพื่อกำหนดความสัมพันธ์ของโดเมนทั้งในฟอเรสต์เดียวกัน และต่างฟอเรสต์

การกำหนดระดับความสำคัญในการทำงานของ SRV Records

2010-09-28T22:29:00.000+07:00

ใน Windows Server 2003 โดเมนคอนโทรลเลอร์ที่ได้รับหน้าที่พิเศษบางอย่างที่เกี่ยวกับเรื่องของ Operation Master เช่นการทำหน้าที่เป็น PDC Emulator ให้กับเครื่อง BDC ของ Windows NT ซึ่งการทำงานในส่วนนี้จำเป็นจะต้องทำงานเกือบตลอดเวลา ดังนั้นเอเป็นการแบ่งเบาภาระออกจากเครื่องที่ทำงานในลักษณะดังกล่าว เราจึงพิจารณาให้การรับตรวจสอบและการยืนยันตัวผู้ใช้ให้ไปทำบนโดเมนคอนโทรลเลอร์เครื่องอื่นแทน โดยการเปลี่ยนค่า Priority และ Weight ใน SRV Record ของ DNS Server แทน ซึ่งการลดค่า Priority และ Weight ของโดเมนคอนโทรลเลอร์ สามารถทำได้โดยเข้าไปใน Registry และกำหนดค่า LDAPSRVWEIGHT และ LDAPSRVPRIORITY

การกำหนดค่า Priority และ Weight ของโดเมนคอนโทรลเลอร์ มีขั้นตอนดังนี้

1. เรียกคำสั่ง Regedit.exe

2. ในหน้าจอของโปรแกรม Registry Editor เลือก

HKLM\SYSTEM\CurrentControlSet\Serices\Netlogon\Parameters

3. สร้าง LdapSrvWeight กับ LDapSrvPriority และกำหนดค่าเป็น reg_dword

4. กำหนดค่าที่เหมาะสมในการทำงาน บนโดเมนคอนโทรลเลอร์แต่ละตัว

โดย LdapSrvPriority ใช้กำหนดค่า Priority โดยไคลเอนต์จะติดต่อกับเครื่องโดเมนคอนโทรลเลอร์ที่มีค่า Priority เรียงจากน้อยไปหามาก แต่ถ้ามีค่าเท่ากันก็จะใช้วิธีการสุ่มเพื่อหาเครื่องที่จะบริการ

โดย LdapSrvWeight ใช้กำหนดค่า Weight ของโดเมนคอนโทรลเลอร์ ซึ่งถ้าหากค่า Priority ของโดเมนคอนโทรลเลอร์เท่ากัน ไคลแอนต์จะดูจากค่าของ Weight โดยเลือกเครื่องที่ มีค่า Weight มากกว่า

5. รีสตาร์ทโดเมนคอนโทรลเลอร์