Очистка кеша multiple UNC provider — MUP

Если наблюдаются проблемы с доступом в DFS ресурс, например \\domain.local\sysvol

dfsutil /purgemupcache

Смена OU для компьютеров и пользователей по умолчанию в Active Directory.

В Active Directory, вновь созданные учетные записи пользователей и учетные записи компьютеров, помещаются в контейнеры (CN,Containers) по умолчанию. Для компьютеров - это контейнер Computers, для пользователей - Users.

Задача, при введении компьютера в домен, он попадал в контейнер (Containers-DN) -New_Computers. При заведении нового пользователя c помощью командлета New-ADUser из оснастки Powershell, он попадал в контейнер New_Users 

Авто аутентификация по NTLM для работы с Kerio

Сквозная аутентификация в Kerio по NTLM не удобна тем, что для работы мессенджеров, почтовиков настроенных на внешние мэйл сервера, различных прог которые "хотят" интернет, необходимо открывать браузер и пытаться выйти через него на любой внешний ресурс, для автоматической аутентификации на сервере Kerio. Для устранения сего недуга, было принято следующее решение.

Перевод из SID в читабельный вид и наоборот.

Для этой задачи нет нужды лабать скрипты, есть готовый бесплатный инструмент от Sysinternals PsTools, называется PsGetSid

Ошибка Group Policy Event ID: 8194 EventData: 0x8007000d.

На контроллере домена, в журнал Windows посыпалась ошибка "Код события 8194" с интервалом каждые 5 минут:

Разрешаем использовать сохраненные данные для RDP

При подключении по RDP, бухов, фиников и т.д., ломает каждый раз вводить пароль, при желании его сохранить винда ненавязчего так сообщает:

"Системный администратор запретил использовать сохраненные учетные данные для входа в систему удаленного компьютера test.domain.com"

Выяснилось следующее, если сервер к которому происходит подключение, не в домене, либо в домене, но адрес указан не именем, а IP, то происходит это недоразумение.

Излечить можно следующим образом:

Получение списка пользователей группы AD

dsquery group -name TestGroup|dsget group -members |dsget user -display > c:\group.txt

Проблему с кодировкой решить Notepad++

Редирект пользавателских папок в домене

Все нижеописанное было проделано под управлением контроллера домена 2008R2 и Win 7.
Так же, будет организованно перемещение пользовательских папок следующим образом:
Мои документы, Изображения, Рабочий стол перемещаются, Музыка, Видео, Загрузки, Сохраненные игры, оставляем локально на ПК. Перемещать все буду в пространство имен DFS.

Общая настройка GPO

Решил завести тему, которую я буду постоянно дополнять по ходу работы.

Включение удаленного доступа к Диспетчеру устройств (Device Manager) у клинетских компов:

Конфигурация компьютера\Административные шаблоны\Система\Установка устройства (Computer configuration\Adminstrative Templates\System\Device Installation) установить значение Включена (Enable) для параметра "Разрешить удаленный доступ для устройств Plug and Play" (Allow remote access to the PnP interface).

PS:  Доступ к "Диспетчеру устройств" будет предоставлен в режиме чтения  и таким образом,  не получится переустановить драйвер какого либо устройства на удаленной системе.

Поломка локального профиля с перемещаемыми папками в сеть.

Есть ПК, он в домене, в групповых политиках назначено, перемещать папки на сетевой ресурс.

В один прекрасный момент, ломается локальный профиль пользователя, который в свою очередь, синхронизировался с удаленными папками. При каждом входе, создается темповый (TEMP) профиль на один сеанс. При выходе из системы соответственно все херится.

Настройка автообнаружения TMG

Нужно скачать утилиту AdConfigPack.EXE, установить ее на TMG сервере.
Запустить cmd, перейти в каталог по пути в который устанавливали и выполнить команду:

TMGAdConfig.exe add -site имя_сайта_ad -type winsock -url http://tmgsrv.domain.local:2045/wspad.dat

где http://tmgsrv.domain.local:2045 FQDN имя сервера TMG и порт который нужно назначить в ...
Заходим в оснастку управления TMG, слева выбираем "Сеть"правее вкладка "Сети", выбираем нашу "Внутренняя сеть", в ее свойствах "Автообнаружение" включаем "Опубликовать данные ..." и порт который мы указывали в командной строке.

Миграция из FRS в DFS

Групповая политика AD состоит из 2х частей:

1.  Контейнер групповой политики (Group Policy Container или "GPC")    
2.  Шаблон групповой политики (Group Policy Template или "GPT") 

Шаблоны находятся в папке SYSVOL которая должна реплицироваться между контроллерами домена.

Есть два механизма отвечающих за репликацию "GPT":

Версии схемы Active Directory.

Возможные версии схемы:

13 — Windows 2000 Server
30 — Windows Server 2003 RTM, Windows 2003 With Service Pack 1, Windows 2003 With Service Pack 2
31 — Windows Server 2003 R2
44 — Windows Server 2008 RTM

47 — Windows Server 2008 R2 

Посмотреть версию схемы можно так (в cmd):

dsquery * cn=schema,cn=configuration,dc=domainname,dc=local -scope base -attr objectVersion

Домен в территориально распределенной сети.

В прошлой статье W2k8r2 RRAS Часть 1. Объединение филиалов через PPTP VPN тунель я объединил сети филиала "А" и "Б". Теперь я подниму домен domain.local в филиале "Б", а в филиале "А" организую 2й контроллер домена.

Поднимаем домен domain.local в филиале "Б" в новом лесу, контроллер я назову "dc2" c IP адресом 192.168.1.2, в свойствах TCP/IP указываем DNS 192.168.1.2 (а не 127.0.0.1), в альтернативном укажем IP будующего "dc1" 192.168.0.2

Скрипт определения на каком ПК, какой пользователь залогинился.

Иногда необходимо узнать. на каком ПК (IP, hostname) залогинился пользователь.
Скрипт перебирает все ПК в AD и указывает кто в данный момент на нем залогинен.

Exchange 2010, GC и DC или, как отучить чангу от DC

Посмотреть текущие параметры по умолчанию, кто для Exchange является GC и DC:

Get-ExchangeServer –Identity <server_name> -Status | FL

Установить новые статические параметры:

Set-ExchangeServer -Identity <server_name> -StaticDomainControllers DC-01.dc.local,DC-02.dc.local to set the StaticDomainControllers

Решение для Postfix - local_recipients и Active Directory

В конторе есть сервер Exchange, пограничным сервером для него является Postfix (Spamassassin, ClamV, etc...) При заведении нового пользователя в Active Directory и создании ему почты, появляется новый e-mail адрес, который необходимо сообщить Postfix, а т.е. занести его в local_recipients файлик, в котором перечислены все валидные адреса, на которые он станет принимать почту. Каждый раз делать это руками меня когда то утомило и я решил это автоматизировать.

Сброс пароля Доменому Администратору Windows Server 2008

1. Загружаемся с установочного образа (диска, флешки, etc ...)
2. Выбираем "Repair Your Computer"
3. Выбираем нашу систему и жмем на Next
4.  Далее открываем “Command Prompt”
5. Идем на диск, где у вас установлена система в папку System 32

Настройка доверительных отношений между доменами.

Для начала, необходимо убедиться в правильных настройках сетевых карт, контроллеров домена. Каждый DC должен знать, резолвить, имена каждой зоны этих DC. Должен существовать сетевой маршрут между контроллерами домена. Указываем в пересылке 1го сервера DNS, IP 2го dns (транзитного), а на 2м (на котором в пересылке указаны адреса интернет серверов) создаем stub зону (зону заглушку) на 1й сервер.

Далее, открываем Active Directory - домены и доверие на одном из DC.
Потом:

Создать отношения доверия ...

Настройка службы времени Windows на первом корневом контроллере домена леса.

Чтобы настроить службу времени Windows на первом корневом контроллере домена леса, в командной строке выполним:

w32tm /config /manualpeerlist:ru.pool.ntp.org /syncfromflags:manual /reliable:yes /update

Запуск синхронизации в ручную:

w32tm /resync