Здравствуйте! Добро пожаловать в фильм об учетных записях компьютеров.
То есть мы поговорим о том, что такое Computer Account
в Active Directory.
Поговорим, зачем каждому компьютеру здесь нужна учетная запись.
Вот тут, например, есть учетная запись для Yoni-PC, там установлен Windows 7,
а также для сервера 08-2.
Зачем же они тут нужны? И в чем принцип?
Об этом мы и узнаем. Внимание! И для Domain Controller'а
как для компьютера тоже здесь есть учетная запись.
Domain Controller это первый сервер.
Тут есть Type, который также глобальный каталог.
И в Computers все компьютеры, которые являются членами domain'а.
Компьютер в domain'е это компьютер, который доверяет области безопасности,
というのはActive Directoryの中にComputer Accountは何かについてお話しします。
すべてのコンピューターはここでアカウントを持たなければならない理由についてお話しします。
例えば、こちらはYoni-PCのためのアカウントがあり、そこでWindows 7がインストールされているが、
そして08-2のサーバーのためのアカウントもあります。
それらのアカウントは何のためにここで必要なのしょうか？そしてその原理は何でしょうか？
ちょうどこれについていまから学びます。ご注意を！ここにはコンピューターと同じように、
Domain Controllerのためにもアカウントがあります。
Domain Controllerは一番目のサーバーです。
ここにはTypeがあって、それもグローバルディレクトリーです。
Computerのなかにはすべてのコンピューターがdomainのメンバーです。
Domainの中のコンピューターは安全領域を信用し、
который доверяет центральному domain'у.
Они все централизовано доверяют определенному серверу,
который может проверять имена и пароли.
Но зачем нужны учетные записи компьютеров?
Вот, например, тут у нас полно пользователей, куча учеников,
и для каждого из этих пользователей есть учетная запись.
А зачем же компьютерам отдельные учетные записи?
Так вот для этого есть несколько предпосылок и ответов на этот вопрос.
Давайте приступим к демонстрациям, чтобы не было скучно.
Наведем на какой-нибудь файл или папку.
Допустим, у меня тут есть папка, файл Active Directory.
ad.txt... я захожу в Security на файле. Внимание! Security на файле.
И что очень интересного я тут обнаруживаю?
В Edit я могу нажать Add... и добавить...
それら全部がある一定のサーバーを信頼し、
そのサーバーがそれらのアカウント名とパスワードをチェックすることができます。
では、コンピューターにはアカウントがどうして必要なのでしょうか？
例えば、ここには沢山のユーザー、沢山の生徒がいて、
全ての生徒がアカウントを持っています。
そうすると、なぜコンピュータにも、また別にアカウントが必要なのでしょうか？
その質問にはいくつかの理由と答えがあります。
退屈しないためにデモに移っていきましょう。
カーソルでどれかのファイルやフォルダーを指してみましょう。
ここにはフォルダーがあるとしましょう、Active Directoryのファイルです。
ad.txt... 私はファイルのSecurityの中に入ってみます。注意してください！ファイルのSecurityですね。
そして、ここにとても面白いものに気づきますが、それは何でしょう？
EditでAddを押すことができますが... そしてこれを加えます...
Внимание! До сих пор Object Types мы не нажимали.
В Object Types я могу видеть, что мы можем добавлять не только юзеров
и не только группы, но также и Computers - компьютеры.
То есть я могу раздавать полномочия также и компьютерам.Я, например, могу сказать, что если компьютер Yoni зайдет сюда,
если компьютер принадлежащий Yoni зайдет в эту папку,
у него будет над ней Full control.
Полный контроль лишь над этой конкретной папкой.
Внимание! Полномочие относится к какому-то конкретному компьютеру,
то есть абсолютно не важно, какой пользователь усядется за компьютер.
Каждый, кто бы не вошел в этот компьютер и с помощью этого компьютера
не зайдет в эту папку через Share или любым другим образом,
Object Typesではユーザーだけでなく、
そしてグループだけでなく、Computers コンピューターを付け加えることができます。
というのは私はコンピューターにも権利を与えることができます。たとえば、ここに
Yoniというコンピューターが入ったら、
Yoniが保有しているコンピューターがこのフォルダーの中に入ったら、
このコンピューターがこのフォルダーに対してFull controlを保有することになります。
このフォルダーだけを完全にコントロールできるようになるのです。
注意してください！そういう権利はある具体的なコンピューターに与えられ、
そのコンピューターの前にいるユーザーは誰なのかは全く関係ありません。
そのコンピューターにログインして、そのコンピューターを使って
このフォルダーへShareを通じて、あるいは何らかの他の方法でもいいですが、このフォルダーをアクセスすれば、
он получит полномочия Full control.
Только из-за того, что он сидит на этом компьютере, он получает такие права.
То есть я могу раздавать полномочия безопасности компьютерам,
права, относящиеся к Security.
Вы должны помнить, что полномочия разрешения безопасности
раздаются пользователям, также группам, а также они могут быть розданы компьютерам.
Пользователям, группам и компьютерам. Все.
Нет такого, чтобы каким-нибудь там OU они раздавались и ничему еще другому.
Вот, например, тут есть папка Office.
Нельзя зайти в файл и раздать права на него вот этой папке.
OU это папка, помогающая организовывать внутри Active Directory пользователей.
Это внутреннее управление пользователями внутри Active Directory.
そのコンピューターを使っているだけで、この権利を得られる訳です。
つまり、私はコンピューターに安全に関する権利、
Securityに関する権利を与えることができます。
皆さん覚えなければいけないのは安全許可の権利が
ユーザー、そしてグループ、そしてコンピューターにも与えられます。
ユーザー、グループ、コンピューターだけです。
それ以外に、たとえば何かのOUのようなもの等にその権利が与えられることがないです。
例えば、ここにはOfficeのフォルダがあります。
このファイルをあけて、そのファイルに関する権利を誰かに与えることがこのフォルダの中にはできません。
OUはActive Directoryの中にユーザーを整理するためのフォルダです。
これがActive Directoryの中にユーザーを管理するための、内部的なものです。
Это не предназначено для целей безопасности.
Для целей же безопасности у нас есть пользователи,
как вы видите здесь на экране, а также группы, Computer и User.
Они единственные, которые получают SID для того,
чтобы им можно было раздавать полномочия касательно файлов.
Кстати, не путайте папки на жестком диске с папками в Active Directory.
Active Directory это собственно централизованное хранилище пользователей,
которое находится здесь в C:\Windows\NTDS
Вот, внимание! В папке NTDS есть файл, который называется ntds.dit
В этом файле хранятся все учетные записи пользователей, их пароли,
чтобы не создавалась каша.
Потому что у нас есть множество работников или множество учеников.
安全を守るためにあるのはユーザー、
このスクリーンでみえるのですが、そしてComputerとUserというグループがあります。
それらだけが
ファイルに関する権利を与えることが可能になるためにSIDを取得します。
ちなみにハードディスク内にあるフォルダとActive Directory内にあるフォルダを間違わないでくださいね。
実はActive Directoryはユーザーの集中的な保管のためのもので、
C:\Windows\NTDSの中にあります。
ここを注意してください！NTDSのフォルダの中にntds.ditというファイルがあります。
そのファイルの中にすべてのユーザーアカウント、パスワードが
混乱を避けるために保管されています。
この施設に従業員や学生、生徒が大勢いるからですね。
Они разделяются внутри этого файла на папки, которые называются OU.
OU - Organization Unit относятся к разделению внутри базы данных Active Directory,
внутри базы данных Active Directory для внутренней организации.
Это никак не связано с папками на жестком диске.
Папки в Active Directory там внутри Active Directory такие как вот эти вот здесь
предназначены для внутреннего упорядочивания.
Они предназначены для внутреннего управления Active Directory.
Они не предназначены для того, чтобы раздавать им полномочия
касательно всяческих папок на жестком диске.
Итак, есть папки в Active Directory, а есть папки на жестком диске.
OU - Organization UnitはActive Directoryというデータベースの中のパーティーションに関連するもので、
Active Directoryというデータベースの中にその内部の整理のためのものです。
それはハードディスクのフォルダには何の関係がありません。
Active Directoryの中のフォルダはここにあるものようなもので、
この内部の整理のためのものです。
Active Directoryの内部の管理のためのものです。
これらのものにあらゆるハードディスクのフォルダに関する権利を
与えるためのものではありません。
つまり、Active Directoryの中にフォルダがあり、そしてハードディスク上のフォルダがあり、それぞれは別々で、お互いに関係ありません。
Папки на жестком диске это собственно сами файлы,
а папки в Active Directory это собственно организация пользователей
более удобным образом.
Короче говоря, нельзя раздать папке OU полномочия касательно жесткого диска.
И это главная разница между группами и OU.
Если я, например, хочу дать этому office'у полномочия касательно чего-то на жестком диске,
то я не могу. Так что же мне делать?
Я делаю новую группу и я называю ее Office.
И теперь, когда у меня есть группа под названием office...
Внимание! Вот это вот группа, а это OU.
Группе я могу дать полномочия, а OU я не могу дать полномочия.
Кстати, для этого есть термин - Shadow Group
Active Directoryの中のファイルはユーザーの管理を
もっと便利にするためのものです。
つまり、OUフォルダにハードディスクに対する権利を与えてはなりません。
これがグループとOUの間に主たる違いです。
例えば、私はハードディスクにある何らかのものに対してこのofficeに権利を与えたいのですが、
それが私にはできません。その場合どうすればいいでしょうか？
私は新しいグループを作って、そのグループにOfficeという名前を付けます。
そして、今度は私officeというグループを持っているので...
注目してください！これがグループで、これがOUです。
グループには私は権利を与えることができますが、OUに対してはそれができません。
ちなみに、そのようなことを表すためにShadow Groupという特別な用語があります。
Shadow Group это группа, которая находится внутри OU, и она представляет, содержит всех членов, которые есть в OU. Словно тень.
Эта группа зовется тенью OU.
Я очень рад, что я сейчас разъяснил эту тему касательно полномочий.
Потому что все все время путаются, забывают, что есть папки на жестком диске,
что есть папки в Active Directory и что это совершенно разные вещи.
Папки в Active Directory здесь служат трем целям.
Первое: наведение порядка.
Второе это возложить delegation, наделить полномочиями,
чтобы один пользователь мог менять другим пароли,
то есть это возлагать полномочия внутри управления Active Directory.
И третье и очень важное это Group Policy - политики.
含んでいるグループです。シャドー（陰）のようなものですね。
このグループはOUのシャドーと呼ばれています。
今、権限（権利）のことを説明できて嬉しいですね。
なぜなら、ハードディスクにファイルがあり、Active Directoryにもファイルがあるが、
それぞれは全く違うものであるということがいつも勘違いされて、忘れられてしまうからです。
ここはActive Directoryにあるフォルダが三つの目的を達成するためにあります。
第１の目的は：整理整頓です。
第2の目的はdelegation、権限を与えること、
というのは一人のユーザーが他のユーザーのパスワードを変えることができるようにするためで、
Active Directoryの管理にあたって権限を与えることです。
そして第３の目的は、とても重要なものがあるのですが、それはGroup Policy、つまり「政策」です。
Следующие наши фильмы как раз будут заниматься политикой.
И мы увидим всю роль OU в этом.
Итак, у OU три предназначения.
Первое - порядок.
Второе - наделение полномочиями одного пользователя управлять другими.
И третье - Group Policy.
Теперь что же до папок на жестком диске,
вы прекрасно знаете их цели, не нужно вам об этом рассказывать.
Они служат для организации файлов вместе, и на них есть Security.
И внутри их Security можно раздавать полномочия.
Давайте перейдем тут к какому-нибудь файлу.
Полномочия компьютеру, группе или пользователю. Далее.
Как я мешаю одному компьютеру притвориться другим?
Почему бы не было какого-нибудь хитрого хакера,
который у себя дома назвал свой компьютер Yoni-PC?
そこでOUのすべての役割がわかります。
つまり、OUには３の役割があります。
1番目なのは秩序。
2番目なのはあるユーザーにその他のユーザーを管理する権限を与えることです。
3番目はGroup Policyです。
ハードディスクにあるフォルダに関しては、
皆さんはその目的をよくご存知なので、それを説明する必要がありません。
それらはファイル全体を集中的に整理するために存在し、そこにはSecurityがあります。
そしてそれらのSecurityの枠内に権限を与えたりすることができます。
今度は何かのファイルに移っていきましょう。
コンピューター、グループやユーザーへ権限をあたえること。次に進みましょう。
あるコンピューターが他のコンピューターに成り済ますことをどのように防ぎましょうか？
たとえば、あるずる賢いハッカーがいて、
その人は自分の自宅にあるコンピューターにYoni-PCという名前を付けるかもしれません。
Неужели ему дома запрещено установить у себя Windows
и назвать его Yoni-PC?
И тогда он придет с этим компьютером Yoni-PC, попытается зайти в этот файл,
а тот ему скажет: твой компьютер зовут Yoni -PC? Добро, заходи.
Разумеется нарисованный сценарий невозможен в защищенной системе.
И поэтому в Active Directory должен быть механизм для того,
чтобы сталкиваться с этой проблемой.
И он очень прост. У каждого компьютера есть пароль.
Да, вы не ослышались, у каждого компьютера есть пароль.
Так же, как и у каждого пользователя есть пароль,
также пароль есть и у каждого компьютера.
Очень важно помнить, что с точки зрения Active Directory
компьютер это тоже юзер. Computer as User.
そのパソコンにYoni-PCという名前を付けることが禁じられていることなんてないですよね。
そうすると、その人がYoni-PCというパソコンを使って、このファイルにアクセスしようとしたときに、
このファイルが「そちらのコンピューターはYoni-PCという名のコンピューターですね。それではどうぞ、お入りください。」と言ってくるでしょうか。
もちろんのことですが、保護されているシステムではこのようなシナリオがありえません。
なので、Active Directoryにはこのような問題に対処するために
何らかのメカニズムが必要です。
実はそのメカニズムはとても簡単です。すべてのコンピューターには自分のパスワードがあります。
皆さんは聞き違いではないですよ、すべてのコンピューターには自分のパスワードがあります。
すべてのユーザーはパスワードがあると同じように、
すべてのコンピューターもパスワードがあります。
覚えておくべきなのは、Active Directoryの観点から言えば、
コンピューターもユーザーであることです。Computer as User.
すみません、訂正です。最後の行に「このフォルダーをアクセスすれば」ではなく、
「このフォルダにアクセスすれば、」になります。宜しくお願いします。