Các loại tài khoản trong windows server
|
User và Group là những thành phần cơ bản để quản lý máy tính và tài nguyên trên máy tính. Tùy vào mức độ được cấp quyền mà người dùng có quyền truy xuất vào những tài nguyên nào trên máy tính, hoặc trong hệ thống mang. Ở bài này chúng ta tìm hiểu vế cách tạo và quản lý user trên máy cục bộ (local host). Khởi động trình quản lý Local user and Group, có 2
cách:
 User và Group là gì? User account (hay còn gọi tắt là User) – Tài khoản người dùng:
Group (nhóm người dùng)
Những điều cần lưu ý:
Trong bài tiếp theo, chúng ta sẽ làm quen với việc Tạo Group và User trong Windows trên máy cục bộ (Local User and Group). Post navigation
Tạo mới tài khoản người dùng.Bạn có thể dùng công cụ Active Directory User and Computers trong Administrative Tools ngay trên máy Domain Controller để tạo các tài khoản người dùng miền. Công cụ này cho phép bạn quản lý tài khoản người dùng từ xa thậm chí trên các máy trạm không phải dùng hệ điều hành Server như WinXP, Win2K Pro. Muốn thế trên các máy trạm này phải cài thêm bộ công cụ Admin Pack. Bộ công cụ này nằm trên Server trong thư mục \Windows\system32\ADMINPAK.MSI. Tạo một tài khoản người dùng trên Active Directory, ta làm các bước sau: Chọn Start / Programs /Administrative Tools / Active Directory Users and Computers. Cửa sổ Active Directory Users and Computers xuất hiện, bạn nhấp phải chuột vào mục Users, chọn New / User. Hộp thoại New Object-User xuất hiện như hình sau, bạn nhập tên mô tả người dùng, tên tài khoản logon vào mạng. Giá trị Full Name sẽ tự động phát sinh khi bạn nhập giá trị First Name và Last Name, nhưng bạn vẫn có thể thay đổi được. Chú ý: giá trị quan trọng nhất và bắt buộc phải có là logon name (username). Chuỗi này là duy nhất cho một tài khoản người dùng theo như định nghĩa trên phần lý thuyết. Trong môi trường Windows 2000 và 2003, Microsoft đưa thêm một khái niệm hậu tố UPN (Universal Principal Name), trong ví dụ này là “@netclass.edu.vn”. Hậu tố UPN này gắn vào sau chuỗi username dùng để tạo thành một tên username đầy đủ dùng để chứng thực ở cấp rừng hoặc chứng thực ở một miền khác có quan hệ tin cậy với miền của người dùng đó, trong ví dụ này thì tên username đầy đủ là “”. Ngoài ra trong hộp thoại này cũng cho phép chúng ta đặt tên username của tài khoản người dùng phục vụ cho hệ thống cũ (pre-Windows 2000). Sau khi việc nhập các thông tin hoàn thành bạn nhấp chuột vào nút Next để tiếp tục. Hộp thoại thứ hai xuất hiện, cho phép bạn nhập vào mật khẩu (password) của tài khoản người dùng và đánh dấu vào các lựa chọn liên quan đến tài khoản như: cho phép đổi mật khẩu, yêu cầu phải đổi mật khẩu lần đăng nhập đầu tiên hay khóa tài khoản. Các lựa chọn này chúng ta sẽ tìm hiểu chi tiết ở phần tiếp theo. Hộp thoại cuối cùng xuất hiện và nó hiển thị các thông tin đã cấu hình cho người dùng. Nếu tất cả các thông tin đã chính xác thì bạn nhấp chuột vào nút Finish để hoàn thành, còn nếu cần chỉnh sửa lại thì nhấp chuột vào nút Back để trở về các hộp thoại trước. Các thuộc tính của tài khoản người dùngMuốn quản lý các thuộc tính của các tài khoản người ta dùng công cụ Active Directory Users and Computers (bằng cách chọn Start / Programs / Administrative Tools / Active Directory Users and Computers), sau đó chọn thư mục Users và nhấp đôi chuột vào tài khoản người dùng cần khảo sát. Hộp thoại Properties xuất hiện, trong hộp thoại này chứa 12 Tab chính, ta sẽ lần lượt khảo sát các Tab này. Ngoài ra bạn có thể gom nhóm (dùng hai phím Shift, Ctrl) và hiệu chỉnh thông tin của nhiều tài khoản người dùng cùng một lúc. Các thông tin mở rộng của người dùngTab General chứa các thông tin chung của người dùng trên mạng mà bạn đã nhập trong lúc tạo người dùng mới. Đồng thời bạn có thể nhập thêm một số thông tin như: số điện thoại, địa chỉ mail và trang địa chỉ trang Web cá nhân… Tab Address cho phép bạn có thể khai báo chi tiết các thông tin liên quan đến địa chỉ của tài khoản người dùng như: địa chỉ đường, thành phố, mã vùng, quốc gia… Tab Telephones cho phép bạn khai báo chi tiết các số điện thoại của tài khoản người dùng. Tab Organization cho phép bạn khai báo các thông tin người dùng về: chức năng của công ty, tên phòng ban trực thuộc, tên công ty … Tab Account.Tab Account cho phép bạn khai báo lại username, quy định giờ logon vào mạng cho người dùng, quy định máy trạm mà người dùng có thể sử dụng để vào mạng, quy định các chính sách tài khoản cho người dùng, quy định thời điểm hết hạn của tài khoản… Điều khiển giờ logon vào mạng: bạn nhấp chuột vào nút Logon Hours, hộp thoại Logon Hours xuất hiện. Mặc định tất cả mọi người dùng đều được phép truy cập vào mạng 24 giờ mỗi ngày, trong tất cả 7 ngày của tuần. Khi một người dùng logon vào mạng thì hệ thống sẽ kiểm tra xem thời điểm này có nằm trong khoảng thời gian cho phép truy cập không, nếu không phù hợp thì hệ thống sẽ không cho vào mạng và thông báo lỗi Unable to log you on because of an account restriction. Bạn có thể thay đổi quy định giờ logon bằng cách chọn vùng thời gian cần thay đổi và nhấp chuột vào nút lựa chọn Logon Permitted, nếu ngược lại không cho phép thì nhấp chuột vào nút lựa chọn Logon Denied. Sau đây là hình ví dụ chỉ cho phép người dùng làm việc từ 7h sáng đến 5h chiều, từ thứ 2 đến thứ 6. Chú ý: mặc định người dùng không bị logoff tự động khi hết giờ đăng nhập nhưng bạn có thể điều chỉnh điều này tại mục Automatically Log Off Users When Logon Hours Expire trong Group Policy phần Computer Configuration\ Windows Settings\Security Settings\ Local Policies\ Security Option. Ngoài ra bạn cũng có cách khác để điều chỉnh thông tin logoff này bằng cách dùng công cụ Domain Security Policy hoặc Local Security Policy tùy theo bối cảnh. Chọn lựa máy trạm được truy cập vào mạng: bạn nhấp chuột vào nút Log On To, bạn sẽ thấy hộp thoại Logon Workstations xuất hiện. Hộp thoại này cho phép bạn chỉ định người dùng có thể logon từ tất cả các máy tính trong mạng hoặc giới hạn người dùng chỉ được phép logon từ một số máy tính trong mạng. Ví dụ như người quản trị mạng làm việc trong môi trường bảo mật nên tài khoản người dùng này chỉ được chỉ định logon vào mạng từ một số máy tránh tình trạng người dùng giả dạng quản trị để tấn công mạng. Muốn chỉ định máy tính mà người dùng được phép logon vào mạng, bạn nhập tên máy tính đó vào mục Computer Name và sau đó nhấp chuột vào nút Add. ♣ Bảng mô tả chi tiết các tùy chọn liên quan đến tài khoản người dùng:
Mục cuối cùng trong Tab này là quy định thời gian hết hạn của một tài khoản người dùng. Trong mục Account Expires, nếu ta chọn Never thì tài khoản này không bị hết hạn, nếu chọn End of: ngày tháng hết hạn thì đến ngày này tài khoản này bị tạm khóa. Tab Profile.Tab Profile cho phép bạn khai báo đường dẫn đến Profile của tài khoản người dùng hiện tại, khai báo tập tin logon script được tự động thi hành khi người dùng đăng nhập hay khai báo home folder. Chú ý các tùy chọn trong Tab Profile này chủ yếu phục vụ cho các máy trạm trước Windows 2000, còn đối với các máy trạm từ Win2K trở về sau như: Win2K Pro, WinXP, Windows Server 2003 thì chúng ta có thể cấu hình các lựa chọn này trong Group Policy. Trước tiên chúng ta hãy tìm hiểu khái niệm Profile. User Profiles là một thư mục chứa các thông tin về môi trường của Windows Server 2003 cho từng người dùng mạng. Profile chứa các qui định về màn hình Desktop, nội dung của menu Start, kiểu cách phối màu sắc, vị trí sắp xếp các icon, biểu tượng chuột… Mặc định khi người dùng đăng nhập vào mạng, một profile sẽ được mở cho người dùng đó. Nếu là lần đăng nhập lần đầu tiên thì họ sẽ nhận được một profile chuẩn. Một thư mục có tên giống như tên của người dùng đăng nhập sẽ được tạo trong thư mục Documents and Settings. Thư mục profile người dùng được tạo chứa một tập tin ntuser.dat, tập tin này được xem như là một thư mục con chứa các liên kết thư mục đến các biểu tượng nền của người dùng. Trong Windows Server 2003 có ba loại Profile:
Kịch bản đăng nhập (logon script hay login script) là những tập tin chương trình được thi hành mỗi khi người dùng đăng nhập vào hệ thống, với chức năng là cấu hình môi trường làm việc của người dùng và phân phát cho họ những tài nguyên mạng như ổ đĩa, máy in (được ánh xa từ Server). Bạn có thể dùng nhiều ngôn ngữ kịch bản để tạo ra logon script như: lệnh shell của DOS/NT/Windows, Windows Scripting Host (WSH), VBScript, Jscript… Đối với Windows Server 2003 thì có hai cách để khai báo logon script là: khai báo trong thuộc tính của tài khoản người dùng thông qua công cụ Active Directory User and Computers, khai báo thông qua Group Policy. Nhưng chú ý trong cả hai cách, các tập tin script và mọi tập tin cần thiết khác phải được đặt trong thư mục chia sẻ SYSVOL, nằm trong \Windows\SYSVOL\sysvol, nếu các tập tin script này phục vụ cho các máy tiền Win2K thì phải đặt trong thư mục \Windows\Sysvol\sysvol\domainname\scripts. Để các tập tin script thi hành được bạn nhớ cấp quyền cho các người dùng mạng có quyền Read và Excute trên các tập tin này. Sau đây là một ví dụ về một tập tin logon script. Thư mục cá nhân (home folder hay home directory) là thư mục dành riêng cho mỗi tài khoản người dùng, giúp người dùng có thể lưu trữ các tài liệu và tập tin riêng, đồng thời đây cũng là thư mục mặc định tại dấu nhắc lệnh. Muốn tạo một thư mục nhân cho người dùng thì trong mục Connect bạn chọn ổ đĩa hiển thị trên máy trạm và đường dẫn mà đĩa này cần ánh xạ đến (chú ý là các thư mục dùng chung đảm bảo đã chia sẻ). Trong ví dụ này bạn chỉ thư mục cá nhân cho tài khoản Tuan là “\\server\tuan”, nhưng bạn có thể thay thế tên tài khoản bằng biến môi trường người dùng như: “\\server\%username%”. Tab Member Of.Tab Member Of cho phép bạn xem và cấu hình tài khoản người dùng hiện tại là thành viên của những nhóm nào. Một tài khoản người dùng có thể là thành viên của nhiều nhóm khác nhau và nó được thừa hưởng quyền của tất cả các nhóm này. Muốn gia nhập vào nhóm nào bạn nhấp chuột vào nút Add, hộp thoại chọn nhóm sẽ hiện ra. Trong hộp thoại chọn nhóm, nếu bạn nhớ tên nhóm thì có thể nhập trực tiếp tên nhóm vào và sau đó nhấp chuột vào nút Check Names để kiểm tra có chính xác không, bạn có thể nhập gần đúng để hệ thống tìm các tên nhóm có liên quan. Đây là tính năng mới của Windows Server 2003 tránh tình trạng tìm kiếm và hiển thị hết tất cả các nhóm hiện có trong hệ thống. Nếu bạn không nhớ tên nhóm thì chấp nhận nhấp chuột vào nút Advanced và Find Now để tìm hết tất cả các nhóm. Nếu bạn muốn tài khoản người dùng hiện tại thoát ra khỏi một nhóm nào đó thì bạn chọn nhóm sau đó nhấp chuột vào nút Remove. Tab Dial-in.Tab Dial-incho phép bạn cấu hình quyền truy cập từ xa của người dùng cho kết nối dial-in hoặc VPN, chúng ta sẽ khảo sát chi tiết ở chương Routing and Remote Access. Tạo mới tài khoản nhóm.Bạn tạo và quản lý tài khoản nhóm trên Active Directory thông qua công cụ Active Directory Users and Computers. Trước khi tạo nhóm bạn phải xác định loại nhóm cần tạo, phạm vi hoạt động của nhóm như thế nào. Sau khi chuẩn bị đầy đủ các thông tin bạn thực hiện các bước sau: Chọn Start / Programs / Administrative Tools / Active Directory Users and Computers để mở công cụ Active Directory Users and Computers lên. Nhấp phải chuột vào mục Users, chọn New trên pop-up menu và chọn Group. Hộp thoại New Object – Group xuất hiện, bạn nhập tên nhóm vào mục Group name, trường tên nhóm cho các hệ điều hành trước Windows 2000 (pre-Windows 2000) tự động phát sinh, bạn có thể hiệu chỉnh lại cho phù hợp. Nhấp chuột vào nút OK để hoàn tất và đóng hộp thoại. Các tiện ích dòng lệnh quản lý tài khoản người dùng và tài khoản nhóm.So với Windows 2000 Server thì Windows Server 2003 cung cấp thêm nhiều công cụ dòng lệnh mạnh mẽ, có thể được dùng trong các tập tin xử lý theo lô (batch) hoặc các tập tin kịch bản (script) để quản lý tài khoản người dùng như thêm, xóa, sửa. Windows 2003 còn hỗ trợ việc nhập và xuất các đối tượng từ Active Directory. Hai tiện ích dsadd.exe và admod.exe với đối số user cho phép chúng ta thêm và chỉnh sửa tài khoản người dùng trong Active Directory. Tiện ích csvde.exe được dùng để nhập hoặc xuất dữ liệu đối tượng thông qua các tập tin kiểu CSV (comma-separated values). Đồng thời hệ thống mới này vẫn còn sử dụng hai lệnh net user và net group của Windows 2000. Lệnh net user.♣ Chức năng: tạo thêm, hiệu chỉnh và hiển thị thông tin của các tài khoản người dùng . ♣ Cú pháp:
♣ Ý nghĩa các tham số: – Không tham số: dùng để hiển thị danh sách của tất cả các tài khoản người dùng trên máy tính – [Username]: chỉ ra tên tài khoản người dùng cần thêm, xóa, hiệu chỉnh hoặc hiển thị. Tên của tài khoản người dùng có thể dài đến 20 ký tự. – [Password]: ấn định hoặc thay đổi mật mã của tài khoàn người dùng. Một mật mã phải có chiều dài tối thiểu bằng với chiều dài quy định trong chính sách tài khoản người dùng. Trong Windows 2000 thì chiều dài của mật mã có thể dài đến 127 ký tự, nhưng trên hệ thống Win9X thì chỉ hiểu được 14 ký tự, do đó nếu bạn đặt mật mã dài hơn 14 ký tự thì có thể tài khoản này không thể logon vào mạng từ máy trạm dùng Win9X. – [/domain]: các tác vụ sẽ thực hiện trên máy điều khiển vùng. Tham số này chỉ áp dụng cho Windows 2000 Server là primary domain controller hoặc Windows 2000 Professional là thành viên của máy Windows 2000 Server domain. – [/add]: thêm một tài khoản người dùng vào trong cơ sở dữ liệu tài khoản người dùng. – [/delete]: xóa một tài khoản người dùng khỏi cơ sở dữ liệu tài khoản người dùng. – [/active:{no | yes}]: cho phép hoặc tạm khóa tài khoản người dùng. Nếu tài khoản bị khóa thì người dùng không thể truy cập các tài nguyên trên máy tính. Mặc định là cho phép (active). – [/comment:”text”]: cung cấp mô tả về tài khoản người dùng, mô tả này có thể dài đến 48 ký tự. – [/countrycode:nnn]: chỉ định mã quốc gia và mã vùng. – [/expires:{date | never}]: quy định ngày hết hiệu lực của tài khoản người dùng. – [/fullname:”name”]: khai báo tên đầy đủ của người dùng. – [/homedir:path]: khai báo đường dẫn thư mục cá nhân của tài khoản, chú ý đường dẫn này đã tồn tại. – [/passwordchg:{yes | no}]: chỉ định người dùng có thể thay đổi mật mã của mình không, mặc định là có thể. – [/passwordreq:{yes | no}]: chỉ định một tài khoản người dùng phải có một mật mã, mặc định là có mật mã. – [/profilepath:[path]]: khai báo đường dẫn Profile của người dùng, nếu không hệ thống sẽ tự tạo một profile chuẩn cho người dùng lần logon đầu tiên. – [/scriptpath:path]: khai báo đường dẫn và tập tin logon script. Đường dẫn này có thể là đường dẫn tuyệt đối hoặc đường dẫn tương đối (ví dụ: %systemroot%\System32\Repl\Import\Scripts). – [/times:{times | all}]: quy định giờ cho phép người dùng logon vào mạng hay máy tính cục bộ. Các thứ trong tuần được đại diện bởi ký tự : M, T, W, Th, F, Sa, Su. Giờ ta dùng AM, PM để phân biệt buổi sáng hoặc chiều. Ví dụ sau chỉ cho phép người dùng làm việc trong giờ hành chính từ thứ 2 đến thứ 6: “M,7AM-5PM; T,7AM-5PM; W,7AM-5PM; Th,7AM-5PM; F,7AM-5PM;” – [/workstations:{computername[,…] | *}]: chỉ định các máy tính mà người dùng này có thể sử dụng để logon vào mạng. Nếu /workstations không có danh sách hoặc danh sách là ký tự ‘*’ thì người dùng có thể sử dụng bất kỳ máy nào để vào mạng. Lệnh net group.Chức năng: tạo mới thêm, hiển thị hoặc hiệu chỉnh nhóm toàn cục trên Windows 2000 Server domains, lệnh này chỉ có hiệu lực khi dùng trên máy Windows 2000 Server Domain Controllers. ♣ Cú pháp:
♣ Ý nghĩa các tham số: – Không tham số: dùng để hiển thị tên của Server và tên của các nhóm trên Server đó. – [Groupname]: chỉ định tên nhón cần thêm, mở rộng hoặc xóa. – [/comment:”text”]: thêm thông tin mô tả cho một nhóm mới hoặc có sẵn, nội dung này có thể dài đến 48 ký tự. – [/domain]: các tác vụ sẽ thực hiện trên máy điều khiển vùng. Tham số này chỉ áp dụng cho Windows 2000 Server là primary domain controller hoặc Windows 2000 Professional là thành viên của máy Windows 2000 Server domain. – [username[ …]]: danh sách một hoặc nhiều người dùng cần thêm hoặc xóa ra khỏi nhóm, các tên này cách nhau bởi khoảng trắng. – [/add]: thêm một nhóm hoặc thêm một người dùng vào nhóm. – [/delete]: xóa một nhóm hoặc xóa một người dùng khỏi nhóm. Lệnh net localgroup.Chức năng: thêm, hiển thị hoặc hiệu chỉnh nhóm cục bộ. ♣ Cú pháp: net localgroup [groupname [/comment:”text”]] [/domain] net localgroup groupname {/add [/comment:”text”] | /delete} [/domain] net localgroup groupname name [ …] {/add | /delete} [/domain] ♣ Ý nghĩa các tham số: – Không tham số: dùng hiển thị tên server và tên các nhóm cục bộ trên máy tính hiện tại. – [Groupname]: chỉ định tên nhón cần thêm, mở rộng hoặc xóa. – [/comment:”text”]: thêm thông tin mô tả cho một nhóm mới hoặc có sẵn, nội dung này có thể dài đến 48 ký tự. – [/domain]: các tác vụ sẽ thực hiện trên máy điều khiển vùng. Tham số này chỉ áp dụng cho Windows 2000 Server là primary domain controller hoặc Windows 2000 Professional là thành viên của máy Windows 2000 Server domain. – [name [ …]]: danh sách một hoặc nhiều tên người dùng hoặc tên nhóm cần thêm vào hoặc xóa khỏi nhóm cục bộ. Các tên này cách nhau bởi khoảng trắng. – [/add]: thêm tên một nhóm toàn cục hoặc tên người dùng vào nhóm cục bộ. – [/delete]: xóa tên một nhóm toàn cục hoặc tên người dùng khỏi nhóm cục bộ. Các lệnh hỗ trợ dịch vụ Active Driectory trong môi trường Windows Server 2003.Trên hệ thống Windows Server 2003, Microsoft phát triển thêm một số lệnh nhằm hỗ trợ tốt hơn cho dịch vụ Directory như: dsadd, dsrm, dsmove, dsget, dsmod, dsquery. Các lệnh này thao tác chủ yếu trên các đối tượng computer, contact, group, ou, user, quota. – Dsadd: cho phép bạn thêm một computer, contact, group, ou hoặc user vào trong dịch vụ Directory. – Dsrm: xóa một đối tượng trong dịch vụ Directory. – Dsmove: di chuyển một đối tượng từ vị trí này đến vị trí khác trong dịch vụ Directory. – Dsget: hiển thị các thông tin lựa chọn của một đối tượng computer, contact, group, ou, server hoặc user trong một dịch vụ Directory. – Dsmod: chỉnh sửa các thông tin của computer, contact, group, ou hoặc user trong một dịch vụ Directory. – Dsquery: truy vấn các thành phần trong dịch vụ Directory. ♥ Ví dụ: – Tạo một user mới: dsadd user “CN=hv10, CN=Users, DC=netclass, DC=edu, DC=vn” –samid hv10 –pwd 123 – Xóa một user: dsrm “CN=hv10, CN=Users, DC=netclass, DC=edu, DC=vn” – Xem các user trong hệ thống: dsquery user – Gia nhập user mới vào nhóm: dsmod group “CN=hs, CN=Users, DC=netclass, DC=edu, DC=vn” –addmbr “CN=hv10, CN=Users, DC=netclass, DC=edu, DC=vn” |
