قصد داریم تا چگونگی نصب یک اکتیو دایرکتوری برای یک دامین جدید در یک جنگل جدید بپردازیم.برای این منظور، قدم های زیر را دنبال کنید. این مطلب با ساده ترین بیان ممکن نوشته شده است و تلاش شده است به همراه تصویر متعدد، توضیحات کافی ارائه شود. اینجا برای نصب هدف نسخه Full Installation است. نصب در نسخه Core Installation ، در آینده مورد بحث قرار خواهد گرفت.
- حداقل مشخصات سخت افزاری سیستم برای نصب ویندوز سرور 2008:
این مشخصات رو به طور خلاصه می تونید در تصویر زیر ببینید:
به طور کلی 2G Hz نیاز به CPU هست و 2G رم نیاز هست و 10 گیگا بایت هم هارد مورد نیاز هست.
برای نصب Active Directory یکسری پیشنیازها رو باید رعایت کنیم.
اولین پیش نیاز: کامپیوتر دارای کارت شبکه باشد و بر روی آن به صورت دستی آی پی گذاشته باشیم و اتوماتیک آی پی نگرفته باشد.اگر کارت شبکه نداریم و میخواهیم AD نصب کنیم ، کارت شبکه LoopBack نصب کنیم.
نکته: کارت شبکه LoopBack چطور نصب می شود؟
وارد Control Panel میشیم و بر روی قسمت Add Hardware کلیک می کنیم و سپس Next و سپس در پنجره بعدی گزینه Install the hardware that i manually select from a list (Advanced) رو انتخاب می کنیم. و سپس Next می زنیم.و در آنجا بر روی Network Adapter کلیک می کنیم و مجددا بر روی Next کلیک می کنیم. در صفحه بعد از قسمت سمت چپی گزینه Microsoft و در قسمت سمت راستی گزینه LoopBack Adapter رو کلیک می کنیم و در پایان Next می زنیم تا نصب شود.
دومین پیش نیاز: روی کارت شبکه موقع نصب AD نباید هیچ DNS ی تنظیم شده باشد.ما باید بگذاریم خود Active Directory این DNS رو نصب کند.
سومین پیش نیاز: روی سروری که می خواهیم Active Directory رو نصب کنیم نباید قبل از آن سرویسی به نام DNS نصب شده باشد. اگر DNS نصب شده باشد باید اون رو Unistall کنیم واین آنیستال کردن به تنهایی کافی نیست .باید داخل درایور ویندوز قسمت System32 پوشه DNS رو به صورت دستی پاک کنیم تا خود AD به صورت کامل این سرویس DNS رو نصب کند.
-
فاز اول
۱) ابتدا Server Manager را باز کنید. در منوی شروع “Start” آن را به راحتی می توانید ببینید، ضمن آنکه به صورت پیش فرض هر زمان که Loginکنید بار می شود.
۲)قسمت Roles را از ساختار درختی سمت چپ انتخاب کنید و سپس در سمت راست Add Rolesرا بزنید.
تصویر ۱:اضافه کردن Role.
3) سپس Add Role Wizardباز خواهد شد. در این مرحله ویزارد از شما تقاضا می کند تا:
الف) آخرین به روز رسانی ها را دریافت کنید.
ب)از کلمه عبور قدرتمند استفاده کنید
ج)تنظیمات شبکه ای را کامل انجام دهید. همانند اختصاص IP به صورت ثابت “Static“
تصویر ۲:نکات پیش از شروع Wizard.
4)موارد فوق را رعایت کنید و سپس Next را بزنید. در قسمت بعد، لیستی از نقش هایی (Role) که ویندوز سرور ۲۰۰۸ می تواند در شبکه داشته باشد را به شما نمایش می دهد. در این قسمت Active Directory Domain Services را انتخاب کنید. (به اختصار AD DSگفته می شود.)
تصویر۳:انتخاب Role.
5)با زدن Nextویزارد نصب اکتیودایرکتوری در موارد زیر هشدار می دهد:
الف) برای redundancyحداقل دو دامین کنترلر در شبکه ایجاد کنید. به منظور عدم قطع سرویس دهی به کلاینت ها متداول است که از حداقل دو دامین کنترلر استفاده شود که در این خصوص در آینده صحبت می کنیم.
ب)AD DS نیاز به سرویس DNSدر شبکه دارد. چنانچه قبلا نصب نشده، آن را نصب کنید. در این خصوص در مطلب پیش نیاز ها ذکر کردم که چنانچه اولین دامین در اولین جنگل را ایجاد می کنید اجازه دهید خودکار انجام شود. شما در این مرحله به راحتی این پیغام را در نظر نگیرید. ( موقتا )
ج) پس از پایان این ویزارد باید DCPromo.exeرا اجرا کنید. در غیر این صورت اکتیودایرکتوری نصب نخواهد شد. در ویندوز سرور ۲۰۰۳ این عمل اتوماتیک صورت می گرفت.
د)نصب اکتیودایرکتوری سبب نصب DFS Namespaces ، DFS Replication و File Replication servicesنیز می شود. که خوب این دیگه از این بهتر نمی شود.
تصویر ۴:نکات پیش از نصب.
۶)برای ادامه Next را بزنید و سپس با زدن Installعملیات نصب را تایید کنید.
تصویر ۵:تایید نصب.
۷)با مشاهده Installation Succeededمطابق تصویر شش ، فاز اول عملیات نصب تمام شده.
تصویر ۶:پایان فاز اول.
۸) می توانید روی لینک که در تصویر هفت مشاهده می کنید کلیک کنید تا DCPromo.exe باز شود و یا در RUN وارد کنید. و یا هر روش دیگری که می پسندید. در اینجا با باز کردن Start Menu و Search به صورت سریعی DCPromoرا باز کردم.
تصویر ۷:نمای Server Manager پس ازفاز یک.
تصویر ۸:اجرای DCPromo.exe.
9)در اینجا من Advanced Mode Installationرا انتخاب می کنم. توصیه می کنم شما هم این عمل را انجام دهید.
قبل از اینکه در اینجا بر روی Next کلیک کنیم لازم است دو نکته رو خدمتتون عرض کنم. ما اکتیو دایرکتوری را در دو Mode میتوانیم نصب کنیم .Advanced Mode و Wizard Mode . اگر در اینجا تیک Use Advanced Mode installation را بزنیم اکتیو در mode Advance نصب می شود
Next رو میزنیم در مرحله بعد با صفحه OS Compatibility روبرو می شویم:
تصویر ۹:شروع DCPromo.
10)Next را بزنید. در مرحله بعد تذکراتی در خصوص سازگاری با سیستم عامل های قبلی داده می شود که کم و بیش در مطلب پیش نیاز و حوزه عملکرد در موردش بحث شد. برای اطلاعات بیشتر به وب سایت مایکروسافت اینجا مراجعه کنید. اما به صورت کلی بدانید از ویندوز NT در دامین کنترلر های ویندوز سرور ۲۰۰۸ به دلیل پشتیبانی نکردن از الگوریتم های رمزنگاری قدیمی مورد استفاده ویندوز NTپشتیبانی نمی شود. پس چنانچه از این نسخه از ویندوز در شبکه خود هنوز استفاده می کنید، از ادامه مراحل خودداری کنید.
اینجا به ما می گوید که چه سیستم عامل هایی با اکتیودایرکتوری 2008 سازگارند.تمامی ویندوزهای مایکروسافتی با اکتیو دایرکتوری 2008 سازگارند و همینطور سیستم عامل های لینوکسی که پروتکل SMB رو ساپورت می کنند نیز با اکتیودایرکتوری سازگار هستند.Next میزنیم.
تصویر ۱۰: تذکرات سازگاری با ویندوز NT
11) مشخص کردن ساختار جنگل و ساختار درختی: در این قدم لازم است جایگاه سرور در ساختار منطقی مشخص گردد. گزینه های در دسترس عبارت اند از:
- ساخت یک دامین جدید در یک جنگل جدید. Create a new Domain in a new forest: در اینجا چون هیچ Forest از پیش وجود ندارد این گزینه را انتخاب می کنیم.
در یک جنگل موجود Existing Forest:
- افزودن یک دامین کنترلر به یک دامین Add a Domain Controller to an existing domain: یک Additional Domain Controller ایجاد می کند. برای اطمینان از Availability سرویس معمولا در یک دامین از بیش از یک دامین کنترلر استفاده می گردد تا اگر یک سرور با مشکلی رو به رو شد، سرور دوم پاسخ گوی کلاینت ها باشد.
- - ساخت یک دامین جدید در یک جنگل موجود Create new domain in an existing forest: این گزینه یک دامین فرزند (Child Domain) جدید در یک جنگل ایجاد می کند.
- ایجاد یک Tree Root: با این گزینه یک درخت جدید در جنگل ایجاد می شود که Tree Root دامینی است که در اینجا ایجاد می شود. Create a new domain tree instead of a new child domain
با توجه به گزینه ای که در اینجا انتخاب می شود، مراحل بعدی می تواند متمایز از آنچه در اینجا ذکر می شود باشد. در اینجا صرفا قصد داریم یک دامین جدید در یک Forest جدید ایجاد کنیم. نکته قابل توجه آن است که برای ایجاد هر کدام موارد فوق باید دسترسی های لازم را در اختیار داشته باشید. به عنوان مثال چنانچه گزینه ی create a new domain in an existing forest را انتخاب کنید یا به عبارتی یک Child Domain ایجاد کنید، لازم است یک Credential مناسب که یک اکانت عضو گروه Enterprise Administrators است فرآهم آورید. به عنوان مثال دیگری، برای ایجاد یک Read-Only Domain Controller داشتن مجوز دسترسی Domain Administrator کفایت می کند. همچنین لازم است نام DNSجایی که قصد راه اندازی مورد جدید را در آن داریم وارد کنیم. این نام باید یک نام معتبر روی یک Forestموجود باشد.
توضیحات:
نکته اول:
در نظر بگیرید که از ما خواسته می شود که یکجا را شبکه کنیم و مدیریت کنیم. ما میدونیم که شبکه دو نوع بیشتر نیست workgroup و Domain که بهترین آن شبکه دامینی است.
ما در آنجا یک سرور میگذاریم و شبکه رو دامین می کنیم. همه دامین ها باید نام داشته باشند و اسم آنها هم اجباری است که به فرم نام.نام باشد به عنوان مثال Ali.com یا هر هر اسم دو بخشی دیگر sina.sina .
به اولین دامینی که ایجاد می شود در اصطلاح شبکه Root Domain می گویند. فرض بگیرید یکسال می گذرد و شرکت مورد نظر تصمیم میگیرید یک شعبه دیگر را هم به شبکه اش اضافه کند. ما آن شعبه را هم دامین می کنیم و زیر مجموعه شعبه اصلی می کنیم.به این شعبه که زیر مجموعه شعبه اصلی هست در اصطلاح شبکه Child Domain یا Sub Domain می گویند.
Child Domain ها هم باید برای خودشون اسم داشته باشند. هر اسمی که می گذاریم باید نام Parent یا در اصطلاح پدر خودشون رو هم داشته باشند. بعنوان مثال می توانیم نامش را B.Ali.com
بگذاریم.
حال در نظر بگیرید یک شعبه دیگر در ولیعصر اضافه می شود و نام آن را V.ali.com و یک شعبه دیگر در چهار راه ولیعصر زده می شود و زیر مجموعه ولیعصر هست که نام آن C.V.ali.com می شود.
حال باز در نظر بگیرید شرکت در نظر می گیرد یک شعبه در یک شهر دیگر مثلا تبریز بزند . به شعبه ای که از لحاظ جغرافیایی با شعبه اصلی فاصله دارد در اصطلاح Domain Tree می گویند.
نام تمامی Domain Tree ها می تواند کاملا مستقل باشد. بعنوان مثال میتونیم اسم اون شعبه تبریز رو hani.com بگذاریم. فرض بگیرید داخل تبریز هم یک شعبه دیگر زده می شود و نام آن را V.hani.com می گذاریم. تمامی این حرف ها را زدیم که به این تعریف برسیم :به کل مجموعه شعبه های ما در اصطلاح شبکه Forest می گویند.
معمولا Forest ها نامشان را از روی Root Domain برمیدارند. بهمین خاطر سعی شود اسم اولین دامین خوب انتخاب شود.
تمامی حرف های بالا در یک تصویر:
نکته دوم:
در دنیای واقعی برای ایجاد شبکه های دامین نیاز به یک سرور فیزیکی واقعی داریم که روی آن
اکتیو دایرکتوری نصب شده باشد. معمولا یک سرور دیگر در شبکه های دامینی بعنوان پشتیبان یا Backup سرور اصلی قرار داده می شود. به سرور اصلی در شبکه های دامینی PDC که مخفف
Primary Domain Controller و به سرور بکاپ در اصطلاح BDC یا Backup Domain Controller
می گویند.
نکته سوم:
اصطلاح بعدی که موقع ساخت Forest با آن مواجه خواهیم شد FFL و DFL هست که به ترتیب مخفف Forest Functional Level و Domain Functional Level هستند.
DFL چیست؟
توسط DFL ما ویندوز سرور ، سرور بکاپ یا BDC را مشخص می کنیم.
در هنگام نصب اکتیو دایرکتوری ،اگر DFL بر روی ویندوز سرور 2003 تنظیم شده باشد سروری که بخواهد بکاپ این سرور باشد مجبور است یا از ویندوز سرور 2003 استفاده کند و یا بالاتر مثل 2008 یا 2012 . یعنی از این طریق ما مشخص می کنیم که سرور BDC اجازه ندارد که ویندوز سرور 2000 ( بعنوان مثال ( روی سیستم اش نصب کند.
واقعا لزومی دارد که مشخص کنیم که ویندوز سرور BDC چی باشد؟
بله! چون تمامی اطلاعات ویندوز اصلی در سرور بکاپ کپی می شود و اگر از لحاظ امنیتی مشکل داشته باشد ، کار تمام است.
بهتر است DFL بر روی 2003 تنظیم شود که سرور بکاپ بتواند بین ویندوز سرور 2003 و 2008 انتخاب کند(چون بیشتر جاهای ایران هنوز 2003 کار می کنند) اگر DFL بر روی 2008 ست شود، سرور بکاپ مجبور است که از 2008 به بالا بگذارد و نمی تواند دیگر 2003 یا 2000 بگذارد.
و اما FFL چیست؟
توسط FFL ما ویندوز سرور شعبات را مشخص می کنیم.بعنوان مثال اگر FFL را ما 2003 بگذاریم سروری که قصد دارد Child شعبه اصلی شود مجبوراست که یا 2003 بالا بیاورد و یا 2008 و یا 2012
که با این موضوع در پنجره های بعد روبرو می شویم
پنجره بالا دو سوال از ما می پرسد. آیا Forest وجود دارد یا می خواهید New Forest بسازید؟ Forest ما اکنون وجود ندارد پس ما تیک گزینه Create a new domain in a new forest را می زنیم.
فرض بگیرید Forest وجود داشته باشد و ما بخواهیم یک سرور Child بسازیم. تیک Existing Forest رو می زنیم و سپس بر روی Create a new domain in an existing forest کلیک می کنیم.
اگر بخواهیم یک سرور بکاپ بسازیم باید تیک Existing Forest رو بزنیم و سپس بر روی
Add a domain controller to an existing domain کلیک کنیم. البته با دقت کردن بر روی معنای جملات نوشته شده نیز می توانیم به این مهم دستیابیم.
خب. ما بر روی گزینه Create a new domain in a new forest کلیک می کنیم و Next می زنیم.در پنجره بعدی باید نام دامین را مشخص کنیم.دقت کنید که حتما باید به فرم نام. نام باشد.
تصویر a11: انتخاب جایگاه سرور در ساختار منطقی (درخت و جنگل)
تصویر b11: انتخاب جایگاه سرور در ساختار منطقی (درخت و جنگل)
* مربوط به ایجاد یک Child Domain جدید
بعنوان مثال ما نام آن را ADExample.com می گذاریم و Next می زنیم. حال Search می کند که چنین نامی وجود نداشته باشد.. (بیاد داشته باشید که اگر نام انتخابی نام یک سایت مثل google.com باشد دسترسی به اون سایت و دامنه اینترنتی در شبکه دومین با مشکل روبرو خواهد شد)
۱۲)در مرحله بعدی باید نام Forest Root Domain را وارد کنید. به مواردی که پیش تر تذکر داده شد توجه کنید. در اینجا از نام ADExample.comاستفاده می کنم.
تصویر ۱۲: انتخاب نام Forest Root
13) در این مرحله با زدن Next ویزارد چک می کند تا این نام قبلا در شبکه موجود نباشد. پس از چند ثانیه، چنانچه موجود نباشد، نام NetBIOSاز شما پرسیده خواهد شد که به صورت پیش فرض بخش اول نامی است که در بالا انتخاب کرده اید. توصیه می شود این نام را تغییر ندهید.
تصویر ۱۳: انتخاب نام NetBios
14) در مرحله بعد باید Forest Functional Level و Domain Functional Level همون DFL و FFL را انتخاب کنید
پس از جستجو و تکراری نبودن نام در پنجره بعدی از ما می خواهد که FFL رو مشخص کنیم. ما FFL رو در بالا توضیح دادیم(ویندوز سرور Child ها چی باشد) ما در اینجا بر روی Windows Server 2003 تنظیم می کنیم و Next می زنیم.
حال DFL را از ما می پرسد که این را هم بر روی Windows Server 2003 تنظیم می کنیم و Next می زنیم.
تصویر ۱۴: انتخاب حوزه عملکرد
۱۵)در مرحله بعدی باید تنظیمات اضافی را اعمال نمود. به صورت پیش فرض DNS Server انتخاب شده است. چنانچه اولین دامین کنترلر نباشد شما می توانید تنظیمات Global Catalog)GC) و Read-only Domain Controller را اعمال کنید. اما از آنجایی که در اینجا در حال نصب اولین دامین کنترلر هستیم، این موارد غیر قابل تغییر اند. در خصوص Read-Only Domain Controller و GCدر آینده توضیح داده خواهد شد.
در اینجا تیک DNS Server حتما باید باشد. بواسطه آن ما به اکتیو دایرکتوری می گوییم که خودش DNS را نصب کند.
تیک دوم به صورت دیفالت خورده است و اجازه تغییر را هم نمی دهد چون به صورت پیش فرض اولین Root-Domain بعنوان GC در نظر گرفته می شود . اگر سروری GC شود بقیه می توانند از آن اطلاعات بگیرند و به نوعی از من بپرس می شود.
GC یا Global Catalog سرویسی است که در اکتیو دایرکتوری برای یافتن منابع استفاده می شود.
می توانید برای اطلاعات بیشتر در مورد GC اینجا و اینجا را مطالعه بفرمایید.
گزینه سوم RODC هست. این ویژگی منحصربه فرد برای سرور 2008 هست . برای توضیح آن به نکته زیر دقت کنید.
نکته : در ویندوز سرور 2003 هر عملیاتی که بر روی سرور بکاپ صورت می گرفت بر روی سرور اصلی یا PDC نیز پیاده سازی می شد. در ویندوز سرور 2008 مایکروسافت گزینه RODC را اضافه کرد تا حالت فقط خواندنی بگیرد و سرور بکاپ قابلیت رایت اطلاعات نداشته باشد.
۱۶)در صورت انتخاب DNS Server در این مرحله پیام هشداری دریافت می کنید مبنی بر اینکه امکان ساخت Delegationبرای DNS Zone وجود ندارد زیرا Parent Zone قابل دسترسی نیست یا از Windows DNS Server استفاده نمی کند. از آنجایی که در حال نصب اولین دامین در جنگل جدید هسیتم، با زدن Yesپیغام را تایید می کنیم.
تصویر ۱۵: مرحله DC Option و پیام مشکل در ساخت Delegation
17)همانطور که در شکل زیر می بینید در صفحه بعد محل های پوشه های دیتابیس و لاگ و SYSVOL را میپرسد که اصلا توصیه نمی شود آنها را تغییر دهید و اجازه دهید به صورت پیش فرض بماند.
تصویر ۱۶: محل فایل های Data Store
دیتا بیس اکتیو دایرکتوری در فایلی به نام ntds.dit در داخل پوشه NTDS ذخیره می شود. لاگ که نیازی به توضیح ندارد.برای توضیح پوشه SYSVOL به نکته زیر دقت کنید.
نکته: اکتیو دایرکتوری برای اعمال Policy ها هیچ وقت دونه به دونه بر روی کلاینت ها اعمال نمی کند بلکه Policy ها و تغییراتی که باید بر روی کلاینت ها اعمال شود را در پوشه ای به نام SYSVOL ذخیره می کند و کلاینت ها موقع بالا آمدن همیشه این پوشه را چک می کنند و اگر Policy برای آنها موجود باشد بر روی خود اعمال می کنند.
Next می زنیم.با صفحه Restore Mode Administrator Password مواجه می شویم.
18) در این مرحله باید کلمه عبوری برای Directory Services Restore Mode انتخاب کنید. توصیه می شود این کلمه عبور با کلمه عبور خودتان متمایز باشد و یادآوری آن ساده باشد هر چند امنیت آن اهمیت بسیاری دارد. البته راهی برای تعویض این کلمه عبور وجود است که در آینده آن را ذکر خواهیم کرد. در وضعیت Directory Services Restore Modeسرویس اکتیو دایرکتوری به صورت آفلاین می شود و در برخی عملیات کاربرد بسیاری دارد که در آینده مورد بحث قرار می گیرد.
تصویر ۱۷: Restore Mode Password
توضیحات اضافی:
اگر اکتیو دایرکتوری دچار مشکل شود تنها کسی که پسورد Restore Mode را داشته باشد می تواند آن را درست کند و پسورد ادمین در اینجا به دردی نمی خورد.
نحوه وارد شدن به قسمت Restore Mode در ویندوز سرور
وقتی کلید F8 موقع راه اندازی ویندوز زده می شود یکی از گزینه های ظاهر شده در آن منو گزینه Directory Service Restore Mode only for Domain Controller PC هست که اگر بخواهیم اکتیو را ریپیر کنیم و مشکلش را حل کنیم باید با این گزینه بالا بیاییم.
پس مهم است این پسورد را داشته باشیم. در ویندوز سرور 2003 می شد این قسمت را خالی رها کرد اما در 2008 حتما باید پسورد بگذاریم.
با دستور ntdsutil می تونیم این پسورد رو ریست کنیم.
چطور پسورد Restore Mode رو ریست کنیم؟
در محیط Command prompt ویندوز سرور ،عبارت ntdsutil رو تایپ می کنیم تا وارد این محیط بشویم:
سپس دستور Set DSRM Password رو تایپ می کنیم.که با تصویر زیر مواجه می شویم: (ِDSRM مخفف Directory Service Restore Mode هست).
حال دستور Reset Password on server رو به همراه نام کامپیوتر خودمان و نام دامین تایپ می کنیم.
مثلا: نام کامپیوتر ما ali و نام دامین ADExample.com هست.
Reset Password on server ali.ADExample.com
حال دو بار پسورد جدید را وارد می کنیم و Enter می زنیم. پسورد ما به همین راحتی ریست می شود.
19)در مرحله بعدخلاصه ای از تنظیمات مشخص شده را می توانید مشاهده کنید. آن ها را بازبینی کنید تا مشکلی موجود نباشد. نکته جدید دیگری همانطوری که تصویر هجده مشاهده می کنید وجود دارد دکمه Export settings است. همانطوری که درنصب به روش Unattended توضیح داده شد ، با این گزینه می توانید یک answer fileبرای نصب اکتیو دایرکتوری های دیگری با همین تنظیمات استفاده کنید.
تصویر ۱۸: تایید نصب
۲۰)با زدن Next انجام نصب را تایید می کنید. این مراحل قدری طول می کشد و پس از پایان نیاز است تا کامپیوتر ریستارت “Restart” شود. یکی از کمک های مایکروسافت به شما مدیر شبکه گزینه Reboot on completionاست. به راحتی این گزینه را چک بزنید و به دقایقی را تا شروع مجدد فعالیت سرور و شروع داستان های پس از نصب اکتیو دایرکتوری یک چای یا قهوه میل کنید. در ضمن توجه داشته باشید که چنانچه این سرور شما سرویس های دیگری را به شبکه ارائه می دهد، باید در زمان بندی معین و اعلام قبلی به کاربران سرور را ریستارت کنید.
تصویر ۱۹: انجام نصب و گزینه Reboot on Completion
توصیه می شود در پایان تنظیمات و تغییرات اعمال شده را بررسی کنید. به عنوان مثال تنظیمات DNS و… را بازبینی کنید.
تا اینجا باتشکر: پورت 80 و http://mcitpclass.blogfa.com
