Управление доступом к приложениям и ресурсам с помощью групп azure active directorymanage app and resource access using azure active directory groups

Active Directory (Предварительная версия)Active Directory (Preview)

Active Directory является ранней предварительной версией, доступной в веб-канале расширений.Active Directory is an early preview that is available on the extension feed.

КомпонентыFeatures

Доступны следующие возможности управления Active Directory:The following Active Directory management are available:

• Создать пользователяCreate user
• Создание группыCreate group
• Поиск пользователей, компьютеров и группSearch for users, computers, and groups
• Область сведений для пользователей, компьютеров и групп при выборе в сеткеDetails pane for users, computers, and groups when selected in grid
• Глобальные действия с сеткой пользователи, компьютеры и группы (включение и отключение, удаление)Global Grid actions users, computers, and groups (disable/enable, remove)
• Сброс пароля пользователяReset user password
• Пользовательские объекты: Настройка основных свойств & членства в группахUser objects: configure basic properties & group memberships
• Объекты компьютеров: Настройка делегирования для одного компьютераComputer objects: configure delegation to a single machine
• Объекты групп: Управление членством (Добавление или удаление пользователя за раз)Group objects: manage membership (add/remove 1 user at a time)

Просмотрите Отзывы и предлагаемые функции для Active Directory.View feedback and proposed features for Active Directory.

Расширение профиля для каждой версии WindowsProfile extension for each Windows version

Имя папки, в которой хранится обязательный профиль, должно использовать правильное расширение для операционной системы, к которой она будет применена.The name of the folder in which you store the mandatory profile must use the correct extension for the operating system it will be applied to. В следующей таблице перечислены правильные расширения для каждой версии операционной системы.The following table lists the correct extension for each operating system version.

Дополнительные сведения см. в странице профилей пользователей в роуминге, приложения B и роуминга в версиях профилей пользователей в Windows 10и Windows Server Technical Preview.For more information, see and Roaming user profiles versioning in Windows 10 and Windows Server Technical Preview.

Importing photos into Active Directory

There is a simple cmdlet that can be used to import user photos to Active Directory. It saves an image file in the thumbnailPhoto Active Directory attribute. An example of the command that needs to be run in PowerShell looks as follows:

Just remember to provide an exact path to the image file and the user’s name (learn about other ways of identifying your Active Directory users in this Microsoft article), for example:

Of course, this is a no-go when you want to import photos for a lot of users. A similar command can be used to import multiple pictures into Active Directory. But first, you need to prepare a CSV file with the list of users and their respective photos. Here’s an example content of such a file:

Once the file is ready, use the following command:

Creating such a file can also be quite time-consuming. This is where CodeTwo Active Directory Photos comes into play. The program not only allows you to quickly connect to Active Directory and import (single or multiple) files, but it comes with the ability to match photos automatically with respective Active Directory users. Plus, you can do all that from an intuitive and user-friendly interface.

There is also one important aspect that hasn’t been mentioned yet – the photo stored in the thumbnailPhoto attribute cannot be bigger than 100 kB, and the recommended size is 96 x 96 pixels. Here you can also make use of CodeTwo Active Directory Photos, as it lets you adjust both the size of the file as well as its dimensions.

With this program, you will also instantly know which users don’t have their photos added to Active Directory by merely looking at the user’s list.

Otherwise, you can, for example, open the Active Directory Users and Computers tool and check if the thumbnailPhoto attribute shows any value. If you see <not set>, it means there is no photo there.

If you can’t find the Attribute Editor tab in the Properties window, make sure the Advanced Features options on the View menu is checked.

Сколько стоит использование Windows Admin Center?How much does it cost to use Windows Admin Center?

Пользоваться Windows Admin Center можно бесплатно в рамках оплаченной лицензии на Windows.Windows Admin Center has no additional cost beyond Windows. Платформу Windows Admin Center (доступна в виде отдельно скачиваемых файлов) можно использовать с действующими лицензиями на Windows Server или Windows 10 без дополнительной платы. Ее использование регламентируется дополнительным лицензионным соглашением Windows.You can use Windows Admin Center (available as a separate download) with valid licenses of Windows Server or Windows 10 at no additional cost — it’s licensed under a Windows Supplemental EULA.

How to Install Active Directory Users and Computers for Windows 10

If you are a Windows admin of your Windows 10 computer, you may wish to install Active Directory Users and Computers for Windows 10 as well as other Active Directory applications. All the remote server administration tools are not installed by default, but it can be installed very efficiently. Here’s how:

Step (1): First of all, you need to download remote server administration tools for Windows 10 and install it on your computer.

Download Link: Remote Server Administration Tools for Windows 10

**Attention Please** : Remote Server Administration Tools for Windows 10 can be installed ONLY on computers that are running the full release of Windows 10 Professional, Windows 10 Enterprise, or Windows 10 Education. In Simple words, Remote Server Administration Tools cannot be installed on Windows RT, computers with the Advanced RISC Machine (ARM) architecture, or other system-on-chip devices.

Step (2): Once you have installed the remote server administration tools, right-click on the Start button and then select “Control Panel” option.

Step (3): Now select the “Programs” option and from the “Programs and Features” section, click on the “Turn Windows features on or off” link option.

Step (4): On Windows Features dialog-box, scroll down and expand the “Remote Server Administration Tools” option.

Step (5): Next, expand “Role Administration Tools” option.

Step (6): And then expand “AD DS and AD LDS Tools” option too.

Step (7): Here you need to make sure that AD DS Tools is checked. Once you are sure, click on OK button.

Step (8): Now go to Start menu and type in Administrative Tools in the search box. You will see the option of “Administrative Tools” in the search result.

Step (9): Open the Administrative Tools, select any of the Active Directory tools from there according to your requirement. That’s it!

Here’s the list of most common Administrative Tools and services which you will find on the Administrative Tools in Windows 10 page:

• Component Services
• Computer Management
• Defragment and Optimize Drives
• Disk Cleanup
• Event Viewer
• iSCSI Initiator
• Local Security Policy
• ODBC Data Sources
• Performance Monitor
• Print Management
• Resource Monitor
• Services
• System Configuration
• System Information
• Task Scheduler
• Windows Firewall with Advanced Security
• Windows Memory Diagnostic

Thus, you can see how simple is to install and use active directory users and computers on Windows 10 computers.

Что такое Windows Admin Center?What is Windows Admin Center?

Windows Admin Center — это облегченная платформа на основе браузера с графическим интерфейсом пользователя и набор средств для ИТ-администраторов по управлению Windows Server и Windows 10.Windows Admin Center is a lightweight, browser-based GUI platform and toolset for IT Admins to manage Windows Server and Windows 10. Это следующий шаг в развитии знакомых встроенных средств администрирования, таких как Server Manager и консоль управления (MMC), обеспечивающих улучшенные, более удобные, интегрированные и безопасные условия работы.It’s the evolution of familiar in-box administrative tools, such as Server Manager and Microsoft Management Console (MMC) into a modernized, simplified, integrated, and secure experience.

Средства удаленного администрирования сервера для Windows 10

Тем не менее данные оснастки можно вернуть и упростить жизнь администраторам старых серверов.

Разберёмся, как можно вернуть оснастку tsadmin.msc на рабочее место администратора под управлением Windows 10.

Для этого нам понадобится скопировать несколько файлов и ветку реестра с любого сервера под управлением Windows Server 2008 R2. Скопируйте следующие файлы:

• c:\windows\system32\tsadmin.dll
• c:\windows\system32\wts.dll
• c:\windows\system32\tsadmin.msc
• c:\windows\system32\umcRes.dll
• c:\windows\system32\ru\tsadmin.resources.dll
• c:\windows\system32\en\tsadmin.resources.dll

Для того чтобы не мешать работе системного каталога Widows 10 файлы оснастки я скопировал в отдельный каталог c:\!tsadmin.

Затем на Windows Server 2008 R2 с помощью редактора regedit нужно экспортировать в файлы ветку реестра.

И импортировать эти ветку в реестр Windows 10. В параметрах реестра поменяем пути на существующие:

Пробуем запустить полученный tsadmin.msc.

В итоге должны получить работающую консоль:

Использует ли Windows Admin Center протокол CredSSP?Does Windows Admin Center use CredSSP?

Да, в некоторых случаях для Windows Admin Center требуется протокол CredSSP.Yes, in a few cases Windows Admin Center requires CredSSP. Он нужен для передачи учетных данных для проверки подлинности на компьютеры за пределами определенного сервера, который вы используете для управления.This is required to pass your credentials for authentication to machines beyond the specific server you are targeting for management. Например, если вы управляете виртуальными машинами на сервере B, но хотите сохранить VHDX-файлы для этих виртуальных машин в общей папке, размещенной на сервере C, Windows Admin Center для доступа к общей папке необходимо использовать CredSSP для проверки подлинности на сервере C.For example, if you are managing virtual machines on server B, but want to store the vhdx files for those virtual machines on a file share hosted by server C, Windows Admin Center must use CredSSP to authenticate with server C to access the file share.

Windows Admin Center обрабатывает конфигурацию CredSSP автоматически после вывода запроса и получения согласия от вас.Windows Admin Center handles the configuration of CredSSP automatically after prompting for consent from you. Прежде чем настроить CredSSP, Windows Admin Center проверит, есть ли в системе последние обновления CredSSP.Before configuring CredSSP, Windows Admin Center will check to make sure that the system has the recent CredSSP updates.

CredSSP в настоящее время используется в следующих случаях:CredSSP is currently used in the following areas:

• при использовании дезагрегированного хранилища SMB в средстве виртуальных машин (пример выше);Using disaggregated SMB storage in the virtual machines tool (the example above.)
• при использовании средства обновлений в решениях по управлению кластером отработки отказа или гиперконвергентным кластером, которое выполняет кластерное обновление.Using the Updates tool in either the Failover or Hyper-Converged cluster management solutions, which performs Cluster-Aware Updating

Версии Windows 10

Чтобы включить Active Directory-пользователи и компьютеры на ПК с Windows 10, сначала необходимо установить RSAT — средства удаленного администрирования сервера. Если вы используете более старую версию Windows 10, то есть 1803 или ниже, вам нужно будет загрузить файлы RSAT из центра загрузки Microsoft.

С другой стороны, во всех версиях Windows 10, начиная с выпуска 10 октября 2020 года, RSAT включен как «Функция по требованию». Вам не нужно загружать инструменты, а только устанавливать и включать их

Обратите внимание, что только выпуски Enterprise и Professional поддерживают RSAT и Active Directory

Регистрация сервера политики сети в домене по умолчаниюRegister an NPS in its Default Domain

Эту процедуру можно использовать для регистрации NPS в домене, в котором сервер является членом домена.You can use this procedure to register an NPS in the domain where the server is a domain member.

НПСС должен быть зарегистрирован в Active Directory, чтобы они имели разрешение на чтение свойств входящих звонков учетных записей пользователей в процессе авторизации.NPSs must be registered in Active Directory so that they have permission to read the dial-in properties of user accounts during the authorization process. При регистрации NPS сервер добавляется в группу Серверы RAS и IAS в Active Directory.Registering an NPS adds the server to the RAS and IAS Servers group in Active Directory.

Выполнить эти операции может только член группы Администраторы или пользователь с аналогичными правами.Membership in Administrators, or equivalent, is the minimum required to perform these procedures.

Что такое Active Directory в Windows 10 и для чего это нужно

разработала новую программу, позволяющую объединить все объекты сети (компьютеры, роутеры, принтеры, профили пользователей, серверы) в единую систему. Называется это хранилище — Active Directory или Активный каталог (сокращенно AD).

Для реализации этой программы нужен специальный сервер, вернее, контроллер домена. В нем будет храниться вся информация. Через него выполняется аутентификация (через протокол Kerberos) пользователей и различных устройств в сети. Контроллер домена будет мониторить доступ к объектам своей сети, то есть разрешать запрашиваемое действие или, наоборот, блокировать его.

Использование Active Directory имеет ряд преимуществ. Эта программа обеспечивает безопасную работу, упрощает взаимодействие различных объектов одной сети. С помощью AD можно ограничить ряд функций для определенных пользователей. Данные, хранящиеся на таком сервере, защищены от внешнего доступа. Службы AD обеспечивают удобный обмен файлами (на основе технологии DFS), объединяют все объекты в одну систему (поддерживается стандарт LDAP). Возможна интеграция с Windows Server через протокол RADIUS.

Программу Active Directory можно использовать на базе профессиональной редакции Win10. Существует специальный инструмент управления доменами (оснастка ADUC), позволяющий адаптировать AD к своей ОС. Этот адаптер позволяет контролировать и управлять объектами сети. Прежде чем использовать ADUC, рекомендуется установить сервис RSAT, включающий Командную строчку, Power Shell, а также средства удаленного администрирования сервера.

Важно! Active Directory выступает в роли каталога, хранилища информации о пользователях и инфраструктуре сети. Реализация этого проекта осуществляется через контроллер домена

Это сервер контролирует доступ (разрешает или блокирует запросы) к объектам своей сети. AD рекомендуется использовать для больших компаний.

Роли мастеров операций уровня леса

• Мастер схемы;
• Мастер именования доменов

Роль мастера схемы

«Схема Active Directory»– Видишь суслика?— Нет.— И я не вижу. А он есть!К.Ф. «ДМБ»«Администраторы схемы»«Схема Active Directory»NtdsutilfSMORoleOwner

Роль мастера именования доменов

• Добавление и удаление доменов. Во время выполнения такой операции как добавление или удаление дочернего домена средствами мастера установки Active Directory или утилиты командной строки, мастер установки обращается именно к мастеру именования доменов и запрашивает право на добавление или, соответственно, удаление последнего. Также мастер именования доменов отвечает за обеспечение того, чтобы домены в лесу владели уникальными NETBIOS-именами в пределах всего леса. Естественно, по вполне понятным причинам, в том случае, если мастер именования доменов будет недоступен, вы не сможете добавлять или удалять домены в лесу;
• Добавление и удаление перекрёстных ссылок. Как вы уже знаете, во время создания первого контроллера домена в лесу, в нем создаются разделы каталога схемы, конфигурации и домена. В это время, для каждого раздела каталогов в контейнере Partitions раздела конфигурации (CN=partitions,CN=configuration,DC=forestRootDomain) создаётся объект перекрёстных ссылок (класс crossRef). Объект перекрёстной ссылки определяет имя и расположение серверов, которые хранят каждый раздел каталога в лесу. При создании каждого последующего домена или раздела каталога приложений, инициируется создание объекта перекрёстных ссылок в контейнере Partitions.
• Добавление и удаление разделов каталогов приложений. Разделы каталогов приложений представляют собой специальные разделы, которые вы можете создавать на контроллерах домена Windows Server 2003, Windows Server 2008 или Windows Server 2008 R2 для обеспечения хранилища динамических данных приложений LDAP. Если у вас лес работает на уровне Windows Server 2000, то в таком лесу все недоменные данные ограничиваются конфигурацией и данными схемы, которые реплицируются на все контроллеры домена в лесу. В лесу Windows Server 2003/2008 и 2008R2 разделы каталога приложений обеспечивают хранение специфических данных приложений на контроллере домена, которые могут быть воспроизведены на любом контроллере домена в лесу.
• Подтверждение инструкций переименования доменов. Последнее, выполняемое мастером именования доменов действие, является подтверждением инструкций переименования доменов. Обычно домены принято переименовывать при помощи специальной утилиты командной строки. Так вот, при использовании утилиты Rendom.exe, которая предназначена для переименования доменов, для того чтобы переименовать домен, утилита должна иметь доступ к мастеру именования доменов. Помимо вышеперечисленных возможностей, мастер именования доменов также отвечает за подтверждение инструкций переименования доменов. При запуске указанного средства, на контроллере домена с ролью мастера именования доменов, в атрибут msDS-UpdateScript объекта контейнера Partitions (CN=partitions,CN=configuration,DC=forestRootDomain) раздела каталогов Configuration записывается XML-сценарий, содержащий инструкции переименования доменов. Стоит помнить, что контейнер Partitions можно обновлять только на контроллере домена, который содержит роль мастера именования доменов. В дополнение к значению атрибута msDS-UpdateScript, утилита Rendom.exe записывает новое DNS-имя каждого переименованного домена в атрибут msDS-DnsRootAlias объекта перекрёстной ссылки (класс crossRef), соответствующего этому домену. Опять же, поскольку объект перекрёстной ссылки хранится в контейнере Partitrions, данный объект может обновляться только на контроллере домена с ролью мастера именования доменов. Изменённые данные атрибутов msDS-UpdateScript и msDS-DnsRootAlias реплицируются на все контроллеры домена в лесу.

«Active Directory – домены и доверие»Ntdsutil.exefSMORoleOwner

ОбзорOverview

Обзор позволяет просматривать текущее состояние ЦП, памяти и производительности сети, а также выполнять операции и изменять параметры на целевом компьютере или сервере.Overview allows you to see the current state of CPU, memory, and network performance, as well as perform operations and modify settings on a target computer or server.

КомпонентыFeatures

В обзоре диспетчер сервера поддерживаются следующие функции:The following features are supported in Server Manager Overview:

• Просмотр сведений о сервереView server details
• Просмотр активности ЦПView CPU activity
• Просмотр активности памятиView memory activity
• Просмотр сетевых операцийView network activity
• Перезапуск сервераRestart server
• Завершение работы сервераShutdown server
• Включить метрики диска на сервереEnable disk metrics on server
• Изменение идентификатора компьютера на сервереEdit Computer ID on server
• Просмотрите IP-адрес контроллера BMC с помощью гиперссылки (требуется BMC-совместимая с IPMI).View BMC IP address with hyperlink (requires IPMI-compatible BMC).

Просмотр отзывов и предлагаемых функций для обзора сервера.View feedback and proposed features for Server Overview.

Существует ли расширяемость и поддержка решений сторонних производителей?What about extensibility and 3rd-party support?

Для Windows Admin Center предусмотрен пакет SDK, с помощью которого любой пользователь может писать собственные расширения.Windows Admin Center has an SDK available so that anyone can write their own extension. Так как этот продукт является платформой, расширение нашей экосистемы и обеспечение поддержки решений партнеров были основным приоритетом с самого начала процесса разработки.As a platform, growing our ecosystem and enabling partner extensibility has been a key priority since the beginning. Более подробные сведения о пакете SDK для Windows Admin Center.Read more about the Windows Admin Center SDK.

Какие веб-браузеры поддерживает платформа Windows Admin Center?Which web browsers are supported by Windows Admin Center?

Последние версии Microsoft Edge (Windows 10, версия 1709 или более поздние), а также Google Chrome и Microsoft Edge Insider протестированы и поддерживаются в Windows 10.The latest versions of Microsoft Edge (Windows 10, version 1709 or later), Google Chrome, and Microsoft Edge Insider are tested and supported on Windows 10. .. Другие современные веб-браузеры или другие платформы в настоящий момент не входят в нашу матрицу тестирования и поэтому официально не поддерживаются.Other modern web browsers or other platforms are not currently part of our test matrix and are therefore not officially supported.

ПамятьStorage

Хранилище позволяет управлять устройствами хранения данных на компьютере или сервере.Storage allows you to manage storage devices on a computer or server.

КомпонентыFeatures

В хранилище поддерживаются следующие функции:The following features are supported in Storage:

• Просмотр и поиск существующих дисков на сервереBrowse and search existing disks on a server
• Просмотреть сведения о дискеView disk details
• Создание томаCreate a volume
• Инициализация дискаInitialize a disk
• Создание, присоединение и отсоединение виртуального жесткого диска (VHD)Create, attach, and detach a virtual hard disk (VHD)
• Отключение диска от сетиTake a disk offline
• Форматирование томаFormat a volume
• Изменение размера томаResize a volume
• Изменить свойства томаEdit volume properties
• Удаление томаDelete a volume
• Установка управления квотамиInstall Quota Management
• Управление хранилищем квот диспетчер ресурсов файлового сервера ->создание или обновление квотыManage File Server Resource Manager Quotas Storage->Create/Update Quota

Сценарии Windows Admin CenterWindows Admin Center scenarios

Ниже приведены несколько действий, для выполнения которых вы можете использовать Windows Admin Center.Here are a few things you can use Windows Admin Center for:

• Упрощение управления серверами. Управляйте серверами и кластерами с помощью модернизированных версий привычных инструментов, таких как диспетчер серверов.Simplify server management Manage your servers and clusters with modernized versions of familiar tools such as Server Manager. Установка занимает меньше пяти минут, и вы сразу можете приступать к управлению серверами в своей среде, дополнительная настройка не требуется.Install in under five minutes and manage servers in your environment immediately, no additional configuration required. Дополнительные сведения см. в статье Что такое Windows Admin Center?.For details, see What is Windows Admin Center?.

• Работа с гибридными решениями. Интеграция с Azure позволяет дополнительно подключать локальные серверы к соответствующим облачным службам.Work with hybrid solutions Integration with Azure helps you optionally connect your on-premises servers with relevant cloud services. Дополнительные сведения см. в статье Подключение Windows Server к гибридным службам Azure.For details, see Azure hybrid services

• Упрощение гиперконвергентного управления. Оптимизируйте управление гиперконвергентными кластерами Azure Stack HCI или Windows Server.Streamline hyperconverged management Streamline management of Azure Stack HCI or Windows Server hyperconverged clusters. Используйте упрощенные рабочие нагрузки для создания виртуальных машин, томов Локальных дисковых пространств, программно-определяемых сетей и многого другого, а также управления ими.Use simplified workloads to create and manage VMs, Storage Spaces Direct volumes, Software-Defined Networking and more. Дополнительные сведения см. в статье Manage Hyper-Converged Infrastructure with Windows Admin Center (Управление гиперконвергентной инфраструктурой с помощью Windows Admin Center).For details, see Manage Hyper-Converged Infrastructure with Windows Admin Center

Ниже представлено видео с обзором, а после него — плакат с более подробной информацией.Here’s a video to give you an overview, followed by a poster giving more details:

Добавление сервера в центр администрирования WindowsAdding a server to Windows Admin Center

Чтобы добавить сервер в центр администрирования Windows, выполните следующие действия.To add a server to Windows Admin Center:

1. Щелкните + Добавить в разделе все подключения.Click + Add under All Connections.
2. Выберите Добавление соединения с сервером.Choose to add a Server Connection.
3. Введите имя сервера и при появлении запроса укажите учетные данные для использования.Type the name of the server and, if prompted, the credentials to use.
4. Нажмите кнопку Отправить , чтобы завершить работу.Click Submit to finish.

Сервер будет добавлен в список подключений на странице обзора.The server will be added to your connection list on the Overview page. Щелкните его, чтобы подключиться к серверу.Click it to connect to the server.

Примечание

В центре администрирования Windows также можно добавить отказоустойчивые кластеры или кластеры с поддержкой Hyper- in в качестве отдельного подключения.You can also add failover clusters or hyper-converged clusters as a separate connection in Windows Admin Center.

Можно ли использовать Windows Admin Center в рабочих средах?Can I use Windows Admin Center in production environments?

Да.Yes. Платформа Windows Admin Center официально доступна и готова к широкому использованию в рабочих развертываниях.Windows Admin Center is generally available and ready for broad usage and production deployments. Текущие возможности платформы и основные средства отвечают стандартным требованиям корпорации Майкрософт, предъявляемым к выпуску, и нашей шкале качества в отношении удобства использования, надежности, производительности, доступности, безопасности и простоты внедрения.The current platform capabilities and core tools meet Microsoft’s standard release criteria and our quality bar for usability, reliability, performance, accessibility, security, and adoption.

Поддержка для выпусков Windows Admin Center (не ознакомительной версии) предоставляется непрерывно в соответствии с современной политикой жизненного цикла корпорации Майкрософт.Windows Admin Center (non-preview) releases are supported continuously, based on Microsoft’s Modern Lifecycle Policy. Это означает, что обслуживается и поддерживается только последняя версия Windows Admin Center. Пользователям необходимо установить последний выпуск Windows Admin Center в течение 30 дней после его доступности, чтобы они могли получать все преимущества поддержки.This means that only the latest version of Windows Admin Center is serviced and supported, and users must stay current by upgrading to the latest Windows Admin Center release within 30 days of availability to remain supported. Эта политика применяется как к самой платформе Windows Admin Center, так и ко всем выпущенным (не в предварительной версии) расширениям корпорации Майкрософт, которые были опубликованы в веб-канале расширений Windows Admin Center.This policy applies to both the Windows Admin Center platform itself, as well as any released (non-preview) Microsoft extensions published in the Windows Admin Center extension feed

Обратите внимание, что между выпусками Windows Admin Center некоторые расширения могут обновляться чаще, чем другие.Note that some extensions may be updated more frequently than others, between Windows Admin Center releases

Подробные сведения о выпусках предварительных версий Windows Admin Center см. в статье Windows Insider Preview releases (Выпуски Windows Insider Preview).For info about Windows Admin Center Preview releases, see Windows Insider Preview releases.