Консультация в поднятии домена
 

Собственно начну с малого, rtfm в процессе чтения, собственно выделили новый сервер с 2008r2 и пришел момент внедрения домена в организации, и с этим возникли вопросы:

1. Организация 55 человек, домен планировал одноуровневый в организации порядка 5 отделов в которых политика безопасности немного разная и тут возникает вопрос как организовать в домене это с помощью OU или с помощью групп? Тоесть сделать каждый отдел как организационную единицу и для каждой OU сделать свои политики?
2. У каждого пользователя в организации цепляется порядка 4-5 общих сетевых дисков, НО при этом + 1 диск цепляется чисто свой под фамилией, как это прописать в GPO? обязательно писать скрипт? или как-то можно прикрутить это все без bat и vbs файлов ?
3. И тут возник еще один вопрос до 2008 стояло 3 сервера с 2003 теперь так как контролер домена стал сервер с 2008, и + 2 сервера с 2003 планирую ввести как дополнительные контроллеры домена, в случае упадка 2008 сможет ли 2003 нормально пахать? (просто я на виртуалке сделал похожую ситуацию поставил 2008 + 2003 + XP и сделав домен все ввел в домен, все учетки среплицировались на 2003, потом выключив все я запустил сначала 2003 и машину с ХР и как не странно все заработало и сервак авторизовался в домене и так же машина с ХР авторизовалась при этом 2008 был выключен, сразу оговорюсь никаких ролей я не захватывал и вообще ничего не делал).

Собственно пока все в процессе буду дописывать возникающие вопросы. Спасибо!

да

GPO предпочтения - мапирование дисков. Указать переменную %username%

тогда странный вопрос, если всё заработало.

Если этот контроллер обновлял схему до 2008, то будет работать.
Ну вот это плохо. Да, если не передать роли, сначала все будет работать, но если что то пойдет не так, то потом часами сидеть в ntdsutil, перекидывать роли вжесткую, чистить домен и т.д. Зачем?
Проще обновить схему на 2003 контроллере, сделать 2008-ой контроллером + глобальным каталогом + DNS сервером. Роли попереносить куда требуется. Тогда и проблем не будет.
А по поводу безопасности верно мыслишь, создаешь как отдельные OU, так и группы пользователей. OU Для политики, группы для гибкого управления пользователями.

Для сетевых дисков можно сделать 1 батник, или же через GPO. Для подключения личной папки в профиле пользователя - вкладка Профиль - Домашняя папка - подключить К... - пишешь \\server\share\%username%. На сервере есть папка, совпадающая с логином пользователя. В это случае иванову подключится \\server\share\ivanov, петрову - petrov.

Тыкните носом если не трудно где сделать в GPO для OU подключение нескольких дисков для пользователя? как подключить один диск нашел в профиле пользователя, а вот массово на всю OU как? в прикрепленном файлике отметьте если не трудно.

Конфигурация пользователя - Настройка - Конфигурация Windows - Сопоставления дисков.

Предварительно, диск можно создать в Active Directory:

настройка самой политики. У меня она применяется к OU Пользователи и только тем, кто в группе Disk P

А можно еще Group Policy Preferences воспользоваться, там можно гибкие условия задавать по мапированию дисков пользователям.

И все же попробовав много раз установив на клиентской машине с ХР обновление KB943729 (собственно CSE) ничего у меня так и не выходит диск так и не мапируется.

что в логах о политике в ХР ?

Короче говоря не знаю что случилось либо все обновления упали на XP но диски нормально стали сопоставляться поэтому пока проблема ушла

и вопрос вдогонку где скачать все обновление одним пакетом которые накатываются поверх sp3 на xp только без Windows Genuine Advantage

понял в чем оказалась проблема, сервак позывал время на час меньше чем клиентская машина в итоге GPO не применялись, скажите как это отключить?

alexdomovoi, я думаю что у вас не установлены обновления для смены часовых поясов.

на клиентских с XP есть обновы на сервак не падают так как 30 дней прошло и не активировал так как нет ключа, поэтому и не падают на него обновления

Подскажите, на серваке два интерфейса сетевых оба смотрят в одну сеть, через один интерфейс работает HYPER-V второй оставил чисто для нужд DC и разных баз, так вот при запуске dcpromo и установки AD через какой интерфейс будут работать пользователи с физическим сервером?

Ерунда, обновления от активации никак не зависят, тем более этот фикс доступен в открытой закачке.

C проблемой обновления разобрался

ещё как зависят. без активации не будут авто-устанавливаться "дополнительные" обновления. А критические будут.

а по этому вопросу подскажите "на серваке два интерфейса сетевых оба смотрят в одну сеть, через один интерфейс работает HYPER-V второй оставил чисто для нужд DC и разных баз, так вот при запуске dcpromo и установки AD через какой интерфейс будут работать пользователи с физическим сервером?
"

Вот именно...
Для среднего потребителя там почти нет ничего ценного, а все нужное прекрасно ставится и с левыми ключами и кряками, включая и патч для временных зон.

Собственно по разделению сетевых карт разобрался в HYPER-V можно полностью забрать 1 карту сетевую, а у клиентов просто надо прописать dns ip другой сетевой карты

в этом случае они будут использовать серевер только как ДНС, а как контроллер домена - зависит от того, что прописано в ДНС.
Если в ДНС есть запись о домене и контроллере домена указывающая на IP сетевой для Hyper-V - её и будут использовать.
А какой адрес зарегистрировался в ДНС - надо смотреть.

Посмотрел все правильно установился КД, на нужный интерфейс

Дополнительный вопрос скажите у меня в организации есть еще пару продвинутых юзеров в своих отделах, дабы меня не дергали они обновляют проги и т.д. не хотелось бы давать им админов домена, но в тоже время хотелось бы что бы они хотя бы проги ну и так по мелочи рулили, не трогая важные вещи на КД, как это сделать? Дать администраторов предприятия? И еще как узнать в чем отличие адм дом. адм. предпр.?

добавить в локальную группу опытных пользователей, ну или локальных администраторов.

а с этим? И еще как узнать в чем отличие адм дом. адм. предпр.?

поиск рулит...

http://technet.microsoft.com/ru-ru/l...(v=ws.10).aspx

Подскажите вот еще что, на сервере сделал групповую политику на создание ярлыков и маппирование дисков , так вот ярлыки то создаются, а диски при первом запуске не цепляються сразу комп перезапускаешь и тогда политика применяется, в чем может быть дело ( в логах чисто)?

скрины? в логах должны быть следы политики.

каким образом Вы их маппируете?

Одна политика по ярлыкам не применилась из за отсутствия подключения к сетевому диску так как он как раз и не цепанулся по GPO, время с серваком синхронизировалось куда копать?

собственно обновлю

По поводу добавление пользователей в локальную группу администраторов, лучше всего это сделать через скрипт.
On Error Resume Next
Set ws = WScript.CreateObject ( "WScript.Shell" )
compname = ws.ExpandEnvironmentStrings ( "%COMPUTERNAME%" )
Set adGrp = GetObject ( "WinNT://" & compname & "/Администраторы,group" )
adGrp.Add ( "WinNT://domen/User Admins,group" )
Set adGrp = GetObject ( "WinNT://" & compname & "/Administrators,group" )
adGrp.Add ( "WinNT://domen/User Admins,group" )
И применить этот скрипт на OU computers.

за это спасибо но тема не постоянного подключения сетевых дисков с помощью GPO не раскрыта может кто то подскажет?

тук тук

я выложил на 3 странице скрины логов

это скрин о ярлыке. с ним мы разобрались. логи о политике с диском.

Так вот в том то и дело что нет никаких ошибок в логах и подключается через раз, то подцепляются все то ни одного, но сейчас вроде статистика стала нормальная в том плане что цепляются все. Вот выходит одно предупреждение на счет диска G, но он цепляется нормально..

отказано в доступе... права на папках норм?

XP Windows..Format c:/s

Цитата:

Цитата rak11 XP Windows..Format c:/s »

мозжечок себе форматни

обновления все стоят?

Ситуация такова тестовая машина с ХР стоит на виртуалке, и в сеть с доменом смотрит прекрасно, обновы накатил все полностью, права доступа на папки есть, но в системном журнале выходит все же одна ошибка по групповым политикам согласно диска G, но он подцепляется прекрасно, обновления всем пакетом взял отсель http://forum.oszone.net/thread-180712-37.html

какие?

Добрый день, подскажите создал в GPO правила мапирования дисков и создал правила для создания ярлыков, но эти ярлыки пути прокинуты на те диски которые маппируются, в итоге периодически сыпятся ошибки когда диск еще не подключился, можно как то сделать что бы сначала в GPO отрабатывалось правило маппирования дисков и только потом правило для ярлыков?

и еще как можно через GPO в 2008R2 сервере установить что
бы в IE версии 7:

в доверенные добавить ip определенные, далее в этой же закладке в доверенной
зоне разрешить ActiveX, отключить блокировку всплывающих окон, ну и вообще полностью рулить IE на клиентских машинах через групповые политики?

подниму