6 Aanmaken van OU s, gebruikers en groepen

106 6 Aanmaken van OU s, gebruikers en groepen 6.1 Organizational Unit (OU) Een Organizational Unit (OU) of organisatie-eenheid is het basisobject van de Active Directory. Een OU kan objecten bevatten zoals gebruikers, groepen, printers, computers, gedeelde bronnen en bestanden en ook andere OU s. Een OU is dus meer dan een groep, want deze kan ook andere objecten bevatten dan gebruikers en groepen. Een Group Policy (groepsbeleid) wordt toegepast op een OU (b.v. omleiding map documenten ). Groepen bestaan ook, dus enige verwarring tussen beide is best mogelijk. De eenvoudigste benadering is een OU beschouwen als een groep (in zijn Nederlandstalige betekenis) of verzameling. De gebruikersnamen van een klas leerlingen plaatsen we b.v. in een OU. De Engelstalige benaming Group vertalen we beter door beveiligingsgroep. Een beveiligingsgroep wordt gebruikt om gebruikers, computers iets toe te wijzen. Rechten om Internet te gebruiken b.v. of een gedeelde map toewijzen (onder de vorm van een extra stationsletter), enz. Duidelijk? Hopelijk maken de toepassingen het wat meer verstaanbaar... 6.1.1 Aanmaken OU Open Active Directory Administration Center (via de snelkoppeling op het bureaublad) (Start, Administrative Tools) Klik rechts op de domeinnaam School (local) Selecteer New Klik op Organizational Unit

107 Geef in: TestOU en klik onderaan rechts op OK Probeer om TestOU te verwijderen Dit lukt niet met de <Del-toets> in het linkergedeelte, wel in het rechtergedeelte Klik rechts op TestOU, Delete Volgende foutm elding verschijnt: Dit is correct, want we hebben bovenstaand vinkje niet verwijderd > Klik opnieuw rechts op TestOu, Properties Verwijder het vinkje en klik op OK Verwijder vervolgens TestOU Gebruik je de zelf gemaakte console dan is het nog iets moeilijker: Klik eerst op View en selecteer Advanced Features Klik rechts op TestOU en selecteer Properties Ga naar het tabblad Object Verwijder het vinkje

108 6.2 Aanmaken gebruiker (User) We maken een nieuwe OU : Leraars Klik op OK Open de OU Leraars Klik rechts en selecteer: New, User Vul de gegevens in voor Jef Fysica (zie scherm) Test123 (2 x) Bekijk de verschillende mogelijkheden Deze standaardinstellingen zijn de m eest gebruikte: Account expires: Never User must change password at next log on

109 Schuif naar omlaag: -- merk op dat je de gebruiker lid kunt maken van een groep -- Geef een profielpad in: \\windows7server\profiellkr\%username% Klik op OK Dubbelklik op de gebruiker Jef (of klik rechts, Properties) Schuif volledig naar omlaag tot aan het tabblad Extensions We bekijken twee tabbladen nl.: Remote control Dial-in

110 Server 2008 R2 bevat de role Rem ote Desktop Services. In com binatie hiermee is het m ogelijk om gebruikersessies te bekijken of over te nemen. Er is hiervoor een aparte (te betalen) licentie nodig. Om de server vanaf een andere locatie te beheren is een veilige verbinding zinvol. Dit kan b.v. met een VPN-verbinding. De ISA/ForeFront-server b.v. bevat een tool om dit heel eenvoudig op te zetten. Veilig is dan om in te bellen als gewone gebruiker (geen adm inistratorrechten) en dan een Rem ote Desktop connection te starten als adm inistrator. Om een gewone gebruiker dit recht te geven moet Allow access geselecteerd worden. Maak volgende gebruikers aan in de OU Leraars Voornaam Familienaam Voorwaarde An Frans Piet W iskunde Mag niet aanmelden op m aandag en dinsdag Els Nederlands Account vervalt op 30 juni 2018 Vergeet niet voor iedereen een profiel op te geven! \\windows7server\profiellkr\%username% Merk op dat je geen gebruikers kunt kopiëren zoals in de console (mmc), maar...... je kunt wel (nadien) alle gebruikers selecteren en b.v. het profielpad ingeven voor iedereen:

111 6.2.1 Wijzigen wachtwoord en uitschakelen Het wachtwoord wijzigen van een gebruiker of een gebruiker uitschakelen kan via het Tasks-menu, maar ook door rechts te klikken op een gebruiker.

112 6.3 Groep aanmaken (Group) Klik rechts in de OU leraars en selecteer New Klik op Group Geef in Leraars Group scope: Group type: In principe is het altijd Security. Een Distribution-group is een lijst van gebruikersaccounts, m aar zonder beveiligingsprincipal (dit noemt dan contactpersonen). Dit object wordt enkel gebruikt voor com m unicatie (e-mail, fax, telefoneren, enz.); Zo n object is te vergelijken met de objecten in een W indows-adresboek (W AB) en kunnen gekoppeld worden aan Outlook, W indows Mail,... of andere clientsoftware die gebruik maken van het LDAP-protocol. Universal Leden voor deze groep kunnen komen uit elk domein in de forest en er in geplaatst worden vanuit gelijk welk domein Global Leden voor deze groep kunnen enkel komen uit het domein zelf Domain Local Idem als Universal, m aar gebruikers kunnen enkel in de groep geplaatst worden door het domein dat eigenaar is van de groep. Twee verschillende objecten m et dezelfde naam kunnen niet onder elkaar geplaatst worden. Vroeger kon dit wel. M.a.w. de group Leraars aanm aken onder de OU Leraars kan niet.

113 6.3.1 Gebruiker toevoegen tot een groep Dit kan op verschillende manieren, bestaat de groep voor het aanmaken van de gebruiker, dan kan de gebruiker tijdens het aanmaken onmiddellijk worden toegevoegd. Een andere mogelijkheid is in de groep zelf in het onderdeel Members Klik op Add... Geef in: Jef; An; Piet; Els (m eerdere namen kan je ingeven gescheiden door een puntkom ma) Klik op Check Names Gevonden objecten worden onderlijnd en omgezet naar de Displayname en de Objectnam e@ dom ainnam e Klik op OK Nog een andere m ogelijkheid: Selecteer de gebruikers Klik rechts en klik op Add to group.. Maak op de server de map Profiellkr' Deel deze map met lees- en schrijfrechten voor de groep leraars

114 6.4 OU s, gebruikers en groepen automatisch aanmaken Vanaf Windows Server 2003 werden er heel wat Command Line Tools toegevoegd waardoor vanaf de prompt rechtstreeks kan ingegrepen worden in o.a. de Active Directory van een domein. Ook PowerShell biedt deze mogelijkheid en beide systemen zijn door elkaar te gebruiken. Door het samenplaatsen van deze commando s in een batchbestand kan op een vrij eenvoudige manier een complexe en grote structuur van een school opgenomen worden in de Active Directory. Meer informatie hierover is terug te vinden via b.v. Google, met als zoekterm: command-line reference 2008 of via volgende link: http://technet.microsoft.com/nl-nl/library/cc754340(ws.10).aspx We beperken ons tot de command line tool : Dsadd

115 Dsadd OU Dsadd Group Dsadd User Klik op in de taskbar (taakbalk) op het PowerShell-pictogram Geef in: Dsadd ou ou=testou, dc=school, dc=cno en <Enter> Geef in: Dsadd user cn=leerling01, ou=testou, dc=school, dc=cno en <Enter> Geef in: Dsadd group cn=grplln, ou=testou, dc=school, dc= cno en <Enter> Er m ogen geen spaties gebruikt worden voor en na het gelijkheidsteken. Op andere plaatsen maakt het niet uit. W ordt er geen wachtwoord meegegeven dan is het account standaard uitgeschakeld. W ordt er een wachtwoord meegegeven dan moet het voldoen aan de complexiteiteisen Geef een nieuwe gebruiker in, maar nu wel met wachtwoord: (tussen -pwd en Test123 zeker een spatie!) Dsadd user cn=leerling02, ou=testou, dc=school, dc=cno -pwd Test123"

116 6.4.1 Volledige structuur aanmaken met een rekenblad Om een volledige schoolstructuur aan te maken gebruiken we als hulpmiddel een rekenblad. In principe komt het er op neer om een tekstbestand aan te maken met een reeks instructies zoals in de vorige opgave in de DOS-prompt werd ingegeven. Als voorbeeld gebruiken we het rekenblad school.xls. Er worden twee hoofd-ou s aangemaakt, groepen en leerlingen In de hoofd-ou groepen komen de beveilgingsgroepen te staan met de namen van de leerlingen per klas. Per niveau wordt er een beveiligingsgroep gemaakt met de beveiligingsgroepen per klas als inhoud. In de hoofd-ou leerlingen worden eerst onderverdelingen aangemaakt per graad en dan per klas. Elke klas bevat de individuele gebruikersaccounts van de klasleerling. 6.4.1.1 Blad Kladblad Dit rekenblad is eenvoudig aan te passen aan de structuur van uw eigen school. We bespreken elk blad: Dit blad wordt gebruikt om gegevens te importeren vanuit de administratieve software van de school (Informat, Wisa, enz). Zorg voor dezelfde volgorde en correcte namen. Het is zeer belangrijk om grondig na te denken over de vorm van de loginaam. In dit voorbeeld wordt er gewerkt met: <klas><punt><voornaam leerling> Voorbeeld: 1HA.Lisa Kolom A Kolom B Kolom C Kolom D Kolom E Kolom F In alle cellen: leerlingen In alle cellen 1e graad, 2e graad, 3e graad, naargelang het graadniveau van de leerling De klas Leeg, om eventueel nog een deel-ou toe te voegen De voornaam van de leerling. Komt de voornaam meerdere malen voor per klas, dan wordt de tweede voornaam geïndexeerd m et 2', enz. De familienaam. W ordt niet gebruikt voor de loginnaam, maar verschijnt wel bij het inloggen bovenaan het startm enu.

117 6.4.1.2 Blad Organisatie Rij 3 Rij4 Rij5 Rij6 Het aanmaken van de OU groepen Het aanmaken van de OU leerlingen e Het aanmaken van de OU 1 graad Het aanmaken van de OU 1HA... e e De OU 1HA kan maar gemaakt worden als de OU 1 graad bestaat. Idem voor de OU 1 graad, daarvoor m oet de OU leerlingen bestaan. Ook als de OU tweede graad m oet gebruikt worden dan moet die bestaan voordat de OU 3HA kan gemaakt worden. In rij 4 is dan ook de cel D4 leeg, in de rij 5 is de cel E5 leeg, in rij 11 is de cel E11 leeg, enz. Aanmaken OU s Vanaf de cel K3 worden nu de nodige comm and lines aangem aakt om onze structuur aan te maken. Selecteer K3 N32 en Kopieer Start MS-Word Klik op Bewerken Klik op Plakken Speciaal Selecteer Niet opgemaakte tekst Klik op OK Klik op Opslaan Selecteer Tekst zonder opmaak Selecteer MS-DOS Klik op OK

118 Alhoewel het hier niet echt noodzakelijk is, is deze werkwijze uiterst belangrijk om in de Active Directory correcte nam en in te voegen. Dit is de enige manier om via de MS-DOS prompt correcte (leerlingen) namen in te voegen die geen standaard ASCII- of ANSI-karakters bevatten. De standaardcodepagina van de MS-DOS prompt is 437 (of 850), maar de W indows Encodering is 1252! De speciale leestekens moeten dus in het tekstbestand omgezet zijn! Voorbeelden: ç wordt ï wordt Verander de extensie.txt naar.cmd Zorg ervoor dat dsaddou.cmd wordt uitgevoerd op de server (kopieer dit desnoods op een memostick en start vanaf daar de uitvoering) Aanmaken Groepen Vanaf de cel T4 worden nu de nodige comm and lines aangem aakt om de groepsstructuur aan te maken. SelecteerT4 W32 en Kopieer Start MS-Word Klik op Bewerken Klik op Plakken Speciaal Selecteer Niet opgemaakte tekst Klik op OK Klik op Opslaan Selecteer Tekst zonder opmaak Selecteer MS-DOS Klik op OK Verander de extensie.txt naar.cmd Zorg ervoor dat dsadd group.cmd wordt uitgevoerd op de server (kopieer dit desnoods op een memostick en start vanaf daar de uitvoering)

119 6.4.1.3 Blad Gebruikersinstellingen De kolommen A, B, C, D, E en F hebben dezelfde inhoud als de kolommen van het blad Kladblad Selecteer A1 F460 op het blad Kladblad en klik op Kopieer Ga naar cel A4 op het blad Gebruikersinstellingen en klik op Plakken De kolommen G, H, en I worden automatisch ingevuld. Merk op dat in de kolom H de domeinnaam niet @school.cno is. Dit is hier onlogisch, maar heeft geen gevolgen voor de goede werking. Dit kan b.v. als het e-m ailadres(zie kolom Q) beheerd wordt door een andere server op een andere locatie. Overloop de verschillende tabbladen De kolom T (profielpad) gebruiken we om voor elke leerling een verplicht profiel in te geven Verander in kolom T windows7server' naar de naam van uw server en kopieer De kolom U gebruiken we niet en hoeft dus niet mee gekopieerd te worden 6.4.1.4 Blad Gebruikersscript Selecteer A4 AE463 en Kopieer (de kolommen AE en AG hoeven niet) Ga naar MS-Word en volg dezelfde werkwijze als bij het aanmaken van de twee andere bestanden Gebruik voor dit bestand zeker de juiste werkwijze in M S-Word!

120 Besluit: Er m oeten drie bestanden aangem aakt worden: 1_dsadd ou.cmd 2_dsadd group.cmd 3_dsadd user.cmd De volgorde van uitvoering is belangrijk. Groepen kunnen pas aangem aakt worden als de OU groepen bestaat. Ook zo voor de users. Deze kunnen maar aangemaakt worden als de groepen bestaan. In de opdracht staat dat een gebruiker lid moet worden van hun klasbeveiligingsgroep en als die groep niet bestaat dan zal de instructie niet of foutief uitgevoerd worden (account wordt vergrendeld). Verander desnoods de naam en geef de bestanden een volgnum m er. Zijn er problemen met de uitvoering van de bestanden, dan verschijnen er duidelijke foutm eldingen. De MS-DOS box verdwijnt echter na uitvoering. Pauzeer deze uitvoering door als laatste instructie pause in te geven In het rekenblad School.xls is er ook een werkblad com puters. Het gebruik hiervan is weinig zinvol omdat een client moet geregistreerd worden in het domein en dit vanaf de server niet kan. Het opzetten van een lokale e-m ailserver daarentegen is vrij eenvoudig. Daarvoor m oeten er wel postbussen aangem aakt worden per gebruiker. Dit kan wel via de com m and line tools (zie werkblad postbussen ). W ordt er gewerkt met een verplicht profiel (zie hst. 5) dan is het gebruik van Outlook of Outlook Express als e-m ailclient niet m ogelijk (je m oet elke keer opnieuw uw loginnaam en wachtwoord ingeven). Een zeer goed klein en eenvoudig alternatief daarvoor is het program m a Ultrafunk PopCorn. Het is slechts 300kB groot, kan in de persoonlijke m ap (Mijn docum ten ) van de gebruiker geplaatst worden en de instellingen worden bewaard in een bijhorend.ini-bestand. Resultaat: Leerlingen hebben een verplicht profiel. Dit kan tijdelijk gewijzigd worden, m aar de wijzigingen worden ongedaan gem aakt bij afm elden. Leraars (An) hebben een zwervend profiel. W ijzigingen aan het profiel worden bewaard, onafhankelijk van de com puter waarop gewerkt wordt. De dom einadm instrator heeft een lokaal profiel. W ijzigingen worden bewaard, m aar enkel op het toestel zelf.