Active Directory.doc

Active Directory Mạng máy tính
`TRƯỜNG ĐẠI HỌC SƯ PHẠM HÀ NỘI
KHOA CÔNG NGHỆ THÔNG TIN
-------&&&-------

ĐỀ TÀI:

Giáo viên hướng dẫn: Nguyễn Mạnh Hùng
Sinh viên: Nguyễn Thị Thu Huyền
Lớp: A K54
Khoa: Công nghệ thông tin
Trường Đại học Sư phạm Hà Nội.
Hà Nội 4/2008
MỤC LỤC
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
1
Active Directory Mạng máy tính
Phần 1. Tổng quan Active Directory
1. Giới thiệu.
2. Những Thành Phần Chính Của Hệ Thống Active Directory
3. Schema Master
3.1 Domain Naming Master
3.2 Relative Identifier (Bộ nhận dạng quan hệ)
3.3 Primary Domain Controller Emulator
3.4 Infrastructure Master
4. Cấu trúc
5. Tên.
5.1 Các nguyên tắc đặt tên cơ bản
5.2 Các tên phân biệt
5.3 Các kí tự đặc biệt trong tên
6. Directory Users và Computers console

7. Tạo một tài khoản người dùng (User Account)
8. Chỉnh sửa và bổ sung các thuộc tính của tài khoản
9. Xác lập lại mật khẩu người dùng
10. Tạo các nhóm
11. Các nhóm bảo mật.
11.1 Local Group
11.2 Domain Local Groups
11.3 Global Groups
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
2
Active Directory Mạng máy tính
Phần 2: Cài đặt một máy chủ Domain Controller cho một
Domain
1. Cài đặt Active Directory trên Windows Server 2003
1.1 Cài đặt và cấu hình DNS
a. Đặt địa chỉ IP cho máy chủ - Static IP và DNS vào DNS của chính máy mình.
b. Cài đặt và cấu hình DNS
1.2 Cài đặt Active Directory trên máy chủ Windows Server 2003
2. Backup & Restore
2.1 Công nghệ NTBACKUP trong Windows Server 2003.
2.2 Backup và Restore Active Directory trong máy chủ Domain Controllers.
a. Lý thuyết
b. Triển khai.
3. Addtional New DC
3.1 Replication dữ liệu trong Active Directory.
3.2 Triển khai Additions Domain Controller mới vào hệ thống có sẵn.
a. DNS trên máy chủ Domain Controller mới.
b. Cài đặt Additions Domain Controller vào một domain đã có sẵn
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
3

Active Directory Mạng máy tính
4. Child Domain
5. Forest
6. Rename DC
7. DC vài trò Master
7.1 View Master Role
7.2. Thay đổi Master khi các Domain Controllers đều đang hoạt động tốt.
a. Nâng Domain Master Role
b. Nâng Forest Master Role
7.3 Tình huống khi Master Role bị hỏng.
Kết luận
TÀI LIỆU THAM KHẢO:
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
4
Active Directory Mạng máy tính

Phần 1. Tổng quan Active Directory.
1. Giới thiệu.
Khi Windows 2000 được phát hành, Microsoft tích hợp một thành phần là Active
Directory. Khi máy chủ Windows sử dụng Windows 2000 Server, Windows Server
2003 hay Longhorn Server, công việc của domain controller (bộ điều khiển miền) là
chạy dịch vụ Active Directory.
Active Directory chính là trái tim của Windows Server 2003 , hầu như tất cả mọi
hoạt động diễn ra trên hệ thống đều chịu sự chi phối và điều khiển của Active
Directory. Từ phiên bản Windows NT4.0 trở về sau, Microsoft đã phát triển hệ thống
Active Directory dùng để lưu trữ dữ liệu của domain như các đối tượng user, computer,
group … cung cấp những dịch vụ (directory services) tìm kiếm, kiểm soát truy cập, ủy
quyền, và đặc biệt là dịch vụ chứng thực được xây dựng dựa trên giao thức Keberos hổ
trợ cơ chế single sign-on, cho phép các user chỉ cần chứng thực một lần duy nhất khi
đăng nhập vào domain và có thể truy cập tất cả những tài nguyên và dịch vụ chia sẽ của

hệ thống vói những quyền hạn hợp lệ.

Với những dịch vụ và tiện ích của mình, Active Directory đã làm giảm nhẹ công
việc quản lý và nâng cao hiệu quả hoạt động, những công việc mà hầu như không thể
thực hiện được trên một hệ thống mạng ngang hàng, phân tán thì giờ đây chúng ta có
thể tiến hành một cách dễ dàng thông qua mô hình quản lý tập trung như đưa ra
các chính sách chung cho toàn bộ hệ thống nhưng đồng thời có thể ủy quyền quản trị để
phân chia khả năng quản lý trong một môi trường rộng lớn.

2. Những Thành Phần Chính Của Hệ Thống Active Directory

User : là các tài khoản người dùng, khi cài đặt Active Directory sẽ có một số tài
khoản built-in được tạo ra như Administrator là ngừơi có toàn quyền quản trị hệ thống,
backup operator là nhóm và người dùng có khả năng backup và restore dữ liệu của hệ
thống mà không cần những quyền hạn hợp lệ đôi với những dữ liệu này. Tuy nhiên để
các nhân viên trong một tổ chức có thể sử dụng tài nguyên và đăng nhập (log-in) vào
domain thì người quản trị cần phải tạo những tài khoản hợp lệ, và cấp phát cho người sử
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
5
Active Directory Mạng máy tính
dụng. Các user sẽ dùng những tài khoản được cấp bởi administrator để log-in và
domain. Và truy cập dữ liệu trên file server hay các dịch vụ khác..

Group: là một tập hợp của những ngừơi dùng có những đặc tính chung, ví dụ các
nhân viên của một phòng ban sale có quyền truy cập lên folder sales trên file server
hoặc chúng ta muốn các nhân viên của công ty đều có quyền in đối với laser printer,
chúng ta nên tạo group printing và gán quyền in trên laser printer sau đó add tất cả các
nhân viên của công ty vào group printing này thay vì gán quyền in cho từng user riêng
lẽ sẽ không hiệu quả (các bạn cần chú ý sử dụng group Domain User cho những thao
tác chung, mặc định tất cả các user được tạo ra đều thuộc group này).

OU (organization unit): là những đơn vị tổ chức, khi thiết kế một domain thì
chúng ta khảo sát hệ thống có bao nhiêu đon vị tổ chức như có bao nhiêu phòng ban, bộ
phận. Dựa trên kết quả khảo sát này sẽ tạo những OU tương ứng với chức năng, vị trí
như phòng ban Sales sẽ có một OU Sales và trong OU này chứa group sales, group
sales sẽ bao gồm tất cả những thành viên của phòng ban sale, và những user này cũng
được đặt trong OU Sales cùng với group sales. Như vậy chúng ta cần phải phân biệt rõ
group sales và OU Sales, giữa chúng có những khác biệt cơ bản là OU được dùng để
quản trị về mặt chính sách như chúng ta muốn tất cả các nhân viên thuộc phòng ban
sales trong môi trường thật được cài đât tự động MS OfficeXP hay update những bản vá
nào khi đăng nhập hệ thống thì chúng ta phải tương tác qua OU. Nhưng rõ ràng chúng
ta không thể quản lý về quyền hạn truy cập của các user này bằng OU, chính vì vậy
chúng ta cần phải tạo ra các group và gán quyền thông qua những group này. Đó là
những khác biệt cơ bản nhất mà chúng ta cần phân biệt
3. Schema Master
Active Directory không thực sự là một thứ gì ngoài cơ sở dữ liệu, cũng giống như
cơ sở dữ liệu khác, Active Directory có một giản đồ. Tuy nhiên lại không giống như các
cơ sở dữ liệu khác, giản đồ của Active Directory không phải giản đồ tĩnh. Có một số
hoạt động cần thiết mở rộng giản đồ. Ví dụ, việc cài đặt Exchange Server cần giản đồ
Active Directory để được mở rộng. Bất kỳ thời điểm nào diễn ra sự thay đổi giản đồ
Active Directory thì những thay đổi đó cũng được áp dụng cho Schema Master.
Schema Master là một thành phần rất quan trọng của các FSMO role, vì vậy
Microsoft để ẩn nó không cho nhìn thấy. Nếu cần phải tìm máy chủ nào đang cấu hình
Schema Master role thì ta phải đưa đĩa CD cài Windows Server 2003 và kích đúp vào
file ADMINPAK.MSI trong thư mục I386. Khi thực hiện điều đó, Windows sẽ khởi
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
6
Active Directory Mạng máy tính
chạy Administration Tools Pack Setup Wizard. Theo cửa sổ wizard để cài đặt gói các
công cụ quản trị.

Khi quá trình cài đặt được hoàn tất, ta đóng Setup wizard và mở Microsoft
Management Console bằng cách nhập vào dòng lệnh MMC trong cửa số lệnh RUN. Khi
cửa sổ được mở, chọn Add/Remove từ menu File. Sau khi chọn xong, cửa sổ sẽ hiển thị
trang thuộc tính của thành phần Add/Remove. Kích chuột vào nút Add để xuất hiện một
danh sách có sẵn các mô đun. Chọn mô đun Active Directory Schema trong danh sách
và kích vào nút Add, sau đó nhấn Close và nút OK.
Bây giờ mô đun đã được tải ra, kích chuột phải vào Active Directory Schema và
chọn Operations Master từ menu chuột phải. Một hộp thoại sẽ xuất hiện, hộp thoại này
thông báo cho ta biết rằng máy chủ nào đang cấu hình với tư cách là Schema Master
của forest.
3.1 Domain Naming Master
Một rừng Active Directory có thể gồm nhiều miền. Việc kiểm tra các miền này là
công việc của Domain Naming Master. Nếu Domain Naming Master bị lỗi thì nó không
thể tạo và gỡ bỏ các miền cho tới khi Domain Naming Master quay trở lại trực tuyến.
Để xác định máy chủ nào đang hoạt động như Domain Naming Master cho một
forest, mở Active Directory Domains and Trusts, khi cửa sổ này được mở, kích chuột
phải vào Active Directory Domains and Trusts và chọn Operations Masters. Sau khi
chọn xong, Windows sẽ hiển thị Domain Naming master.
3.2 Relative Identifier (Bộ nhận dạng quan hệ)
Active Directory cho phép quản trị viên tạo các đối tượng Active Directory trên
bất kỳ bộ điều khiển miền nào. Mỗi một đối tượng phải có một số hiệu nhận dạng quan
hệ duy nhất để ngăn chặn các bộ nhận dạng quan hệ khỏi bị giống nhau, Relative
Identifier Master chỉ định một nhóm bộ nhận dạng quan hệ cho mỗi một điều khiển
miền. Khi một đối tượng mới được tạo trong một miền, bộ điều khiển miền mà đối
tượng đang tạo sẽ lấy một trong những bộ nhận dạng quan hệ của nó ra khỏi nhóm và
gán cho đối tượng. Khi một nhóm được khai thác hết thì bộ điều khiển miền phải liên
lạc với Relative Identifier Master để có thêm bộ nhận dạng quan hệ. Như vậy, triệu
chứng cuối cùng của Relative Identifier Master lỗi là hoàn toàn bất lực trong việc tạo
các đối tượng trong Active Directory.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN

7
Active Directory Mạng máy tính
Để xác định máy chủ nào đang thực hiện như bộ nhận dạng quan hệ cho một
miền, hãy mở Active Directory Users and Computers. Khi cửa số này được mở, kích
chuột phải vào danh sách miền hiện hành và chọn Operations Masters. Windows sẽ
hiển thị trang thuộc tính của Operations Masters. Trong cửa sổ này ta có thể chọn bộ
điều khiển miền nào đang thực hiện như bộ nhận dạng quan hệ bằng cách quan sát ở tab
RID của trang thuộc tính.
3.3 Primary Domain Controller Emulator
Role của PDC emulator được tạo để cho phép các bộ điều khiển miền Active
Directory cùng tồn tại với các bộ điều khiển miền Windows NT. Ý tưởng cơ bản ở đây
là khi một tổ chức đang nâng cấp từ Windows NT lên Windows 2000 hoặc Windows
Server 2003 thì PDC là bộ điều khiển miền đầu tiên được nâng cấp. Ở điểm này, bộ
điều khiển miền được nâng cấp gần đây hoạt động như một bộ điều khiển miền Active
Directory và một PDC cho các bộ điều khiển miền vẫn đang chạy Windows NT.
Role của PDC emulator ngày nay càng không liên quan nhiều hơn bởi vì rất ít các
tổ chức sử dụng Windows NT Server. Nếu ta cần chỉ định máy chủ nào trong miền đang
cấu hình role của PDC Emulator dù cho ta có thể thực hiện điều đó bằng cách mở
Active Directory Users and Computers. Khi cửa số này được mở, kích chuột phải vào
miền hiện hành và chọn Operations Masters. Windows sẽ hiển thị trang thuột tính của
Operations Masters. Có thể xác định bộ điều khiển miền nào đang hành động như PDC
Emulator bằng cách quan sát tại tab PDC của trang thuộc tính.
3.4 Infrastructure Master
Trong môi trường Active Directory, một forest có thể gồm nhiều miền. Các miền
Active Directory không hoàn toàn mà các thực thể độc lập mà chúng đôi khi phải
truyền thông với phần còn lại của forest. Đây chính là nơi mà Infrastructure Master diễn
ra. Khi tạo, thay đổi hoặc xóa một đối tượng bên trong một miền, sự thay đổi sẽ được
truyền một cách tự nhiên xuyên suốt miền. Vấn đề là phần còn lại của forest không biết
đến sự thay đổi này. Đây chính là công việc của Infrastructure Master, làm thế nào để
cho phần còn lại của forest biết được có sự thay đổi.

Nếu máy chủ Infrastructure Master bị lỗi thì các thay đổi đối tượng sẽ không thể
nhìn thấy trong đường biên miền. Ví dụ, nếu đã đặt lại tên cho một tài khoản người
dùng thì tài khoản người dùng vẫn sẽ xuất hiện với tên cũ khi được xem từ các miền
khác trong forest.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
8
Active Directory Mạng máy tính
Để xác định máy chủ nào đang thực hiện với tư cách Infrastructure Master cho
một miền, mở Active Directory Users and Computers. Khi cửa số này được mở, ta kích
chuột phải vào danh sách miền hiện hành và chọn Operations Masters, Windows sẽ
hiển thị trang thuộc tính của Operations Masters. Ta có thể xác định được bộ điều khiển
miền nào đang thực hiện với tư cách Operations Master bằng cách nhìn vào tab
Infrastructure của trang thuộc tính.
4. Cấu trúc.
Không có công cụ quản trị nào được sử dụng để quản lý Active Directory có thể
cho xem được toàn bộ cơ sở dữ liệu của Active Directory. Thay vì đó, Microsoft đã
cung cấp một số công cụ khác nhau tương ứng với một lĩnh vực cụ thể của cơ sở dữ
liệu. Với một quản trị viên, công cụ quản trị có thể sử dụng thường là Active Directory
Users and Computers console.
Có thể truy cập Active Directory Users and Computers console từ bộ điều khiển
miền của Windows Server 2003 bằng cách chọn Active Directory Users and
Computers từ menu Start / All Programs / Administrative Tools của máy chủ. Giao
diện của nó được thể hiện như những gì ta thấy trong hình 1.
Hình 1:Giao diện Active Directory Users and Computers là một công cụ
quản trị chính cho việc quản lý các đối tượng Active Directory.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
9
Active Directory Mạng máy tính
Nếu nhìn vào hình thì ta sẽ thấy được rằng ở đây có một số thư mục lớn, mỗi một
thư mục này tương ứng với một loại đối tượng cụ thể. Mỗi đối tượng trong Active

Directory đều được gán một kiểu đối tượng (được biết đến như là lớp đối tượng).
Mỗi đối tượng cũng có một số thuộc tính liên quan. Các thuộc tính cụ thể thay
đổi phụ thuộc vào kiểu đối tượng.
Ví dụ, thư mục Users chứa các tài khoản người dùng, tất cả được phân loại thành
các đối tượng người dùng như trong hình 2. Nếu kích chuột phải vào một trong các đối
tượng người dùng này và chọn Properties từ menu chuột phải thì ta sẽ thấy được trang
thuộc tính của đối tượng (như trong hình 3).
Hình 2: Thư mục Users chứa các tài khoản người dùng,
tất cả được phân loại thành các đối tượng người dùng.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
10
Active Directory Mạng máy tính
Hình 3: Khi kích chuột phải vào một đối tượng người dùng và chọn
Properties thì ta sẽ thấy trang thuộc tính của người dùng.
Nếu nhìn vào hình 3 thì sẽ thấy rằng có một số trường thông tin khác nhau như
tên, họ, số điện thoại… Mỗi trường đó tương ứng với một thuộc tính của một đối tượng.
Mặc dù phần lớn các trường ở trong hình đều không phổ biến nhưng trong một số tình
huống thực thì các trường này có thể được sử dụng để tạo thư mục cộng tác. Trong thực
tế, nhiều ứng dụng được thiết kế để trích thông tin trực tiếp từ Active Directory. Ví dụ,
Microsoft Exchange Server (sản phẩn e-mail server của Microsoft) tạo một danh sách
địa chỉ toàn cục dựa trên nội dung của Active Directory. Danh sách này được sử dụng
khi gửi các thông báo email đến người dùng khác trong công ty.
Nếu nhìn vào hình 4, sẽ thấy được một màn hình, trong đó đã thực hiện một tìm
kiếm với tên Hershey, và Outlook đã trả toàn bộ danh sách địa chỉ toàn cục Global
Address List gồm có tên Hershey. Nếu nhìn vào phần kết quả của cửa sổ thì sẽ thấy
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
11
Active Directory Mạng máy tính
được nơi mà Outlook hiển thị tiêu đề của người dùng, số điện thoại doanh nghiệp và vị
trí mà trường đó được phổ biến. Tất cả thông tin này đều được lấy từ Active Directory.

Hình 4
Nếu muốn thấy các thông tin chi tiết hơn về người dùng, hãy kích chuột phải vào
tên của người dùng và chọn Properties.Khi đó cửa sổ như hình 5 sẽ được hiển thị. Đây
không phải là một màn hình quản trị. Đơn giản đây chỉ là một màn hình mà bất kỳ
người dùng nào trong công ty cũng có thể truy cập trực tiếp thông qua Outlook 2007 để
tìm thông tin về các nhân viên khác.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
12
Active Directory Mạng máy tính
Hình 5: Xem thông tin Active Directory trực tiếp thông qua Microsoft Outlook
Xét cho cùng thì Outlook là một sản phẩm của Microsoft, vì vậy nó chỉ tạo một
cảm giác rằng Outlook sẽ có thể lấy thông tin từ Active Directory, một phần của một
sản phẩm khác của Microsoft. Tuy nhiên có rất nhiều người không nhận ra một điều, đó
là khá dễ dàng cho bất cứ ai có sự cho phép thích hợp để lấy thông tin từ Active
Directory. Thực tế, có rất nhiều sản phẩm của nhóm thứ ba được thiết kế để tương tác
với Active Directory. Một trong số chúng có khả năng lưu dữ liệu trong các phần
Active Directory đặc biệt.
Active Directory được dựa trên một chuẩn đã biết. Active Directory được dựa
trên một chuẩn có tên gọi là X.500. Chuẩn này cơ bản là một cách chung chung trong
việc thực hiện dịch vụ thư mục. Microsoft không chỉ là một công ty tạo dịch vụ thư mục
dựa trên dịch vụ này mà Novell ban đầu cũng đã tạo dịch vụ thư mục NetWare
Directory Service trên chuẩn này.
Đây cũng là một cách trong việc truy cập vào thông tin dịch vụ thư mục. Trong
môi trường Active Directory, việc truy cập thông tin thư mục liên quan đến việc sử
dụng Lightweight Directory Access Protocol (LDAP). Giao thức LDAP chạy trên phần
đỉnh của giao thức TCP/IP.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
13
Active Directory Mạng máy tính
Giao thức LDAP là bất cứ tên nào được đặt cũng đều phải được phân biệt, bởi vì

không có gì là ít quan trọng về nó (nó quan trọng hơn giao thức truy cập thư mục gốc,
giao thức không được thiết kế để tận dụng ngăn xếp giao thức TCP/IP).
5. Tên
Mỗi đối tượng trong Active Directory đều được quy vào một tên phân biệt
(thường được viết tắt là DN). Tên phân biệt được dựa trên vị trí của đối tượng bên trong
thứ bậc thư mục. Có nhiều thành phần khác nhau trong tên phân biệt nhưng một số cái
chung là một tên chung (được viết tắt là CN) và một miền tên (viết tắt là DC). Ví dụ,
cho rằng miền Contoso.com gồm có một tài khoản có tên là User1 và tài khoản này
được định vị trong thư mục Users. Trong trường hợp như vậy, tên phân biệt của tài
khoản người dùng sẽ là:
CN=User1, CN=Users, DC=Contoso, DC=com
Các tên phân biệt không duy nhất có trong Active Directory. Microsoft đã xây
dựng Active Directory để lợi dụng các chuẩn công nghiệp được sử dụng bởi nhiều công
ty khác như Novell và IBM. Khi nghiên cứu về chúng, ta không chỉ có được sự chuẩn
bị tốt hơn cho việc quản lý Active Director mà còn có được một mức thân thiện nhất
định nếu như đã từng được yêu cầu làm việc với hệ điều hành mạng không phải của
Microsoft.
5.1 Các nguyên tắc đặt tên cơ bản
Các tên phân biệt với nhau nhờ thuộc tính, các thuộc tính này được gán giá trị.
Mỗi một tên phân biệt thường gồm có nhiều cặp giá trị thuộc tính, ví dụ.
CN=User1, CN=Users, DC=Contoso, DC=com
Tên được tạo thành từ 4 cặp thuộc tính/ giá trị khác nhau, mỗi một cặp được phân
biệt với nhau bằng dấu phẩy. Cặp thuộc tính/ giá trị thứ nhất là CN=USER1. Trong cặp
này, CN (viết tắt cho Common Name) là thuộc tính và User1 là giá trị. Các thuộc tính
và giá trị luôn luôn phân biệt với nhau bởi dấu bằng (=), còn các cặp thuộc tính/ giá trị
được phân biệt với nhau bằng dấu phẩy (,).
5.2 Các tên phân biệt
Khi ta xem tên CN=User1, CN=Users, DC=Contoso, DC=com, mọi thứ trở thành
rõ ràng ngay lập tức. Nếu quan sát kỹ hơn tên phân biệt này có thể nhận ra rằng nó là hệ
có thứ bậc. Trong trường hợp riêng này, DC=com thể hiện mức cao của thứ bậc.

Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
14
Active Directory Mạng máy tính
DC=Contoso thể hiện mức thứ hai. Có thể nói rằng COM và Contoso là các miền bởi vì
cả hai sử dụng thuộc tính DC. Thứ bậc miền ‘nhại lại’ thứ bậc miền được sử dụng bởi
các máy chủ DNS
Cần phải hiểu thứ bậc tên này làm việc như thế nào vì hai lý do. Thứ nhất, hiểu thứ bậc,
có thể biết chính xác nơi một đối tượng cụ thể được định vị bên trong thư mục. Lý do
khác là hiểu được bản chất của thứ bậc thư mục vì đôi khi các đường tắt sẽ được sử
dụng để thay cho tên đầy đủ.
CN=User1, CN=Users, DC=Contoso, DC=com. Tên phân biệt này được gán cho
mỗi một tài khoản người dùng (chính xác hơn là một đối tượng người dùng) có tên
User1. Phần còn lại trong tên cho chúng ta biết vị trí của đối tượng trong thứ bậc thư
mục.
Nếu ta đang cố nói với một ai đó về vấn đề này thì có thể tình cờ đề cập đến nó
như User1. Đôi khi LDAP cũng thực hiện tương tự như vậy. Điều này hoàn toàn có thể
vì nó không cần thiết phải cung cấp thông tin về vị trí của đối tượng trong thứ bậc nếu
vị trí đã được biết.
Ví dụ, nếu đang thực hiện một số hoạt động trên các đối tượng người dùng được
đặt trong thư mục Users trong miền Contoso.com thì có thực sự cần thiết để tuyên bố rõ
ràng rằng các đối tượng đều được đặt trong Users của miền Contoso.com hay không?
Trong tình huống này cũng như vậy, tên phân biệt thường được thay thế bởi
Relative Display Name (viết tắt là RDN). Trong trường hợp CN=User1, CN=Users,
DC=Contoso, DC=com, thì RDN là CN=User1. RDN luôn luôn được phân biệt của bộ
nhận dạng rõ ràng nhất. Nó là cặp giá trị/ thuộc tính bên trái nhất trong tên phân biệt.
Phần khác của tên phân biệt cũng được biết đến như tên cha. Trong trường hợp điển
hình này, tên cha sẽ là CN=Users, DC=Contoso, DC=com.
Các tên của Microsoft thiên về dựa vào container và miền,nó chiếu theo RFC
2253 để thiết lập các nguyên tắc cho tên riêng biệt.
5.3 Các kí tự đặc biệt trong tên

Một số kí tự đặc biệt gồm có dấu cộng, dấu lớn hơn, nhỏ hơn, số, dấu trích dẫn và
dấu xổ ngược - back slash (\). Ta chỉ tập trung vào giới thiệu cho các ta dấu back slash.
Dấu này cho phép ta đưa ra một lệnh LDAP để bỏ qua kí tự theo sau. Điều này cho
phép lưu các kí tự bị cấm trong thư mục.
Để rõ hơn nó được sử dụng như thế nào, chúng ta hãy xem xét một tên đầy đủ được
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
15
Active Directory Mạng máy tính
biểu diễn với tên và họ cách nhau bằng dấu phẩy. Tuy nhiên LDAP không cho phép ta
sử dụng lệnh CN=Smith, John vì dấu phẩy được sử dụng bởi LDAP để phân biệt các
cặp thuộc tính/ giá trị. Nếu muốn lưu giá trị Smith, John trong thư mục, ta có thể thực
hiện bằng các tạo một dấu back slash như dưới đây:
CN=Smith\, John
Trong lệnh ở trên, dấu back slash làm cho LDAP phải coi dấu phẩy là dữ liệu chứ
không phải là một phần của cú pháp câu lệnh. Cách khác để thực hiện điều này là dùng
dấu trích dẫn. Mọi thứ bên trong dấu trích dẫn đều được coi như dữ liệu.
Có một quy tắc đặc biệt với việc sử dụng dấu back slash bên trong các dấu trích
dẫn. Dấu back slash có thể được sử dụng để áp đặt LDAP bỏ qua các dấu back slash
khác. Để đơn giản, nếu ta cần gộp một dấu back slash vào phần dữ liệu thì đơn giản ta
chỉ cần sử dụng hai dấu back slash thay cho một dấu. Các trường hợp sự dụng dấu back
slash giữa dấu trích dẫn được xem như không hợp lệ.
6. Directory Users và Computers console
Windows Server 2003 có một số công cụ khác được sử dụng cho việc quản lý
AD. Công cụ quản lý AD này cho phép sử dụng hầu hết các nhiệm vụ quản lý hàng
ngày đó là Directory Users và Computers console. Như tên của nó, công cụ này được sử
dụng để tạo, quản lý và xóa các tài khoản người dùng và máy tính.
Ta có thể truy cập vào công cụ này bằng cách kích chuột vào nút Start của máy
chủ và từ menu Start tìm đến All Programs / Administrative Tools. Tùy chọn Active
Directory Users and Computers ở gần phía trên của menu Administrative Tools. Chỉ có
các bộ điều khiển miền mới có tùy chọn này, vì vậy nếu không quan sát thấy lệnh

Active Directory Users and Computers thì phải đăng nhập vào bộ điều khiển miền.
Ta phải chú ý, menu Administrative Tools gồm có một cặp công cụ AD khác:
Active Directory Domains and Trusts và Active Directory Sites and Services.
Khi mở mục Active Directory Users and Computers, sẽ thấy xuất hiện một màn
hình giống như hình 6 dưới đây. Ta có thể xem lại từ các phần trước trong loạt bài này,
AD có forest, forest này gồm có một hoặc nhiều miền. Mặc dù forest thể hiện toàn bộ
AD nhưng bảng điều khiển Active Directory Users and Computers không cho phép làm
việc với AD ở mức forest. Giao diện này chỉ là một công cụ mức miền. Thực tế, nếu
nhìn vào hình 6 sẽ thấy production.com được đánh dấu. Production.com là một miền
trên mạng. Tất cả các mục khác được liệt kê bên dưới đều là đối tượng của miền AD
cho từng miền.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
16
Active Directory Mạng máy tính
Hình 6: Giao diện Active Directory Users and Computers cho phép quản lý các miền
riêng lẻ
Ta có thể thấy rằng production.com là một trong các miền trên mạng và không có
miền nào khác được liệt kê trong hình 6. Điều đó là vì Active Directory Users and
Computers chỉ liệt kê một miền tại một thời điểm để giữ cho giao diện trông gọn gàng.
Miền được liệt kê trong giao diện tương ứng với bộ điều khiển miền mà ta đã đăng
nhập. Ví dụ, ta đã đăng nhập vào một trong các bộ điều khiển miền đó là
production.com, vì vậy Active Directory Users and Computers sẽ kết nối đến miền
production.com.
Vấn đề ở đây là các miền đó thường bị phân tán về mặt địa lý. Ví dụ, trong công
ty lớn phải có các miền khác nhau cho mỗi văn phòng của công ty. Nếu lúc này ta đang
ở Miami, Florida và miền khác của công ty hiện diện cho một văn phòng tại Las Vegas,
Nevada thì nó sẽ không phải di chuyển một quãng đường lớn dọc toàn nước Mỹ mỗi
khi ta cần quản lý miền Las Vegas.
Mặc dù Active Directory Users and Computers mặc định hiển thị miền có liên
quan đến bộ điều khiển miền mà ta đã đăng nhập, nhưng vẫn có thể sử dụng giao diện

này để hiển thị bất kỳ miền nào mà ta có quyền thao tác với chúng. Tất cả những gì cần
phải làm lúc này là kích chuột phải vào miền đang được hiển thị, sau đó chọn lệnh
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
17
Active Directory Mạng máy tính
Connect to Domain từ menu chuột phải. Khi thực hiện như vậy sẽ có một màn hình
được hiển thị, màn hình này cho phép đánh vào đó tên miền mà ta muốn kết nối hoặc
kích vào nút Browse và duyệt miền.
Khi một miền được đặt ở xa thì ta có thể rất khó để đăng nhập trực tiếp vào bộ
điều khiển miền. Ví dụ, trong một số văn phòng, trong đó các bộ điều khiển miền được
đặt trong các tòa nhà riêng biệt hoặc không có điều kiện thuận lợi cho ta đăng nhập vào
bộ điều khiển miền để thực hiện công việc bảo trì hàng ngày.
Tuy nhiên ta không cần phải đăng nhập vào bộ điều khiển miền để truy cập vào
giao diện Active Directory Users and Computers mà chỉ cần đăng nhập vào bộ điều
khiển miền để truy cập vào giao diện Active Directory Users and Computers từ menu
Administrative Tools. Ta có thể truy cập giao diện này với tư cách máy chủ thành viên
bằng cách nạp một cách thủ công nó vào Microsoft Management Console.
Để thực hiện điều đó, ta nhập lệnh MMC vào cửa sổ lệnh RUN của máy chủ. Khi
thực hiện xong máy chủ sẽ mở một Microsoft Management Console trống. Tiếp theo đó
ta chọn lệnh Add / Remove Snap-In từ menu File của giao diện điều khiển. Windows
lúc này sẽ mở cửa sổ thuộc tính của Add / Remove Snap-In. Kích nút Add trên tab
Standalone trong cửa sổ thuộc tính, sẽ thấy một danh sách các snap-in có sẵn. Chọn tùy
chọn Active Directory Users and Computers từ danh sách snap-in đó và kích Add,
tiếp theo đó là Close và OK. Giao diện điều khiển lúc này sẽ được nạp.
Trong một số trường hợp load giao diện theo cách này có thể gây ra lỗi. Nếu
xuất hiện lỗi và giao diện không cho phép quản lý miền sau khi kích chuột phải trên
mục Active Directory Users and Computers và chọn lệnh Connect to Domain
Controller từ menu chuột phải. Lúc này ta có thể kết nối giao diện điều khiển đến một
bộ điều khiển miền nào đó mà không cần đăng nhập vào bộ điều khiển miền đó. Bằng
cách đó ta sẽ có thể quản lý được miền giống như trong giao diện điều khiển của bộ

điều khiển miền.
Kỹ thuật đó làm việc sẽ rất thú vị nếu ta có một máy chủ , nhưng điều gì sẽ xảy ra
nếu máy trạm làm việc đang sử dụng Windows Vista, và tất cả máy chủ đều nằm bên
phía bên kia của tòa nhà.
Một trong những giải pháp đơn giản nhất để giải quyết vấn đề này đó là thiết lập
một phiên RDP cho một trong những máy chủ. RDP là giao thức máy trạm từ xa
(Remote Desktop Protocol). Giao thức này sẽ cho phép điều khiển từ xa các máy chủ
trong tổ chức. Trong môi trường Windows Server 2003 ta có thể kích hoạt một phiên từ
xa bằng cách kích chuột phải vào My Computer và chọn lệnh Properties từ menu chuột
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
18
Active Directory Mạng máy tính
phải. Khi đó ta sẽ thấy đươc cửa sổ thuộc tính của hệ thống. Vào tab Remote và chọn
hộp kiểm Enable Remote Desktop on this Computer (xem hình 7).
Hình 7: Cấu hình một máy chủ để hỗ trợ các kết nối máy trạm từ xa (Remote Desktop)
Để kết nối đến máy chủ từ máy Windows Vista,chọn lệnh Remote Desktop
Connection từ menu All Programs / Accessories. Khi thực hiện xong, ta sẽ thấy màn
hình xuất hiện như màn hình thể hiện dưới hình C. Lúc này hãy nhập vào tên máy chủ
của ta và kích nút Connect để thiết lập một phiên điều khiển xa.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
19
Active Directory Mạng máy tính
Hình 8: Có thể kết nối đến một máy chủ từ xa dễ dàng hơn bằng Windows Vista
7. Tạo một tài khoản người dùng (User Account)
Một trong những sử dụng thấy nhiều nhất ở Active Directory Users trong
Computers console là tạo các tài khoản người dùng mới. Để thực hiện điều đó, ta mở
mục tương ứng với miền chứa người dùng, chọn mục Users. Sau khi thực hiện như vậy,
một panel chi tiết của giao diện sẽ hiển thị tất cả tài khoản người dùng đang tồn tại
trong miền (như trong hình 9).
Hình 9: Chọn mục Users, giao diện điều khiển sẽ hiển thị

tất cả các tài khoản người dùng trong miền
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
20
Active Directory Mạng máy tính
Bây giờ kích chuột phải vào mục Users và chọn New. Khi đó ta sẽ thấy được các
menu con, từ menu con này có thể chọn nhiều kiểu đối tượng khác nhau mà ta có thể
tạo. Nói về kỹ thuật, Users chỉ là một mục và ta có thể đưa vào rất nhiều kiểu đối tượng.
Tuy vậy sẽ không tốt nếu ta thực hiện lưu nhiều đối tượng khác hơn là các đối tượng
người dùng trong mục Users. Với trường hợp bài này đưa ra, ta chọn lệnh Users từ các
menu con. Khi đó sẽ thấy một hộp thoại xuất hiện như trong hình 10.
Hình 10: Hộp thoại New Object – User cho phép tạo tài khoản người dùng mới
Như những gì thấy trong hình, Windows ban đầu chỉ yêu cầu nhập vào một số
thông tin cơ bản về người dùng. Mặc dù cửa sổ này hỏi nhiều thứ khác như tên và họ,
nhưng về mặt kỹ thuật thì nó không cần thiết lắm. Phần thông tin cần thiết mà ta cần
phải cung cấp đó là tên đăng nhập của người dùng, ta nên điền đầy đủ thông tin vào các
trường này, vì tài khoản người dùng không hơn gì một đối tượng sẽ cứ trú bên trong
Active Directory. Các thành phần như tên và họ là thuộc tính của đối tượng người dùng
mà ta đang tạo. Càng nhiều thông tin về thuộc tính thì các thông tin được lưu bên trong
Active Directory sẽ càng trở lên hữu dụng. Xét cho cùng, Active Directory là một cơ sở
dữ liệu mà ta có thể truy vấn thông tin. Trong thực tế, nhiều ứng dụng làm việc bằng
cách trích rút các thuộc tính khác nhau từ Active Directory. Khi đã điền đầy các trường
này, kích nút Next, khi đó ta sẽ thấy màn hình tiếp theo xuất hiện như trong hình 11
dưới đây.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
21
Active Directory Mạng máy tính
Hình 11: Cần phải gán mật khẩi cho tài khoản mới
Việc gán một mật khẩu là hoàn toàn đơn giản, tất cả những gì cần làm là đánh và
nhập lại mật một mật khẩu. Mặc định, người dùng thường bị yêu cầu thay đổi mật khẩu
cho lần đăng nhập kế tiếp. Tuy vậy, ta có thể tránh trường hợp này bằng cách xóa hộp

kiểm “User Must Change Password at Next Logon”. Cũng có nhiều hộp kiểm khác cho
phép ngăn chặn người dùng thay đổi tất cả các mật khẩu của họ. Ta có thể tùy chọn để
thiết lập thời hạn vô hạn cho mật khẩu hoặc vô hiệu hóa toàn bộ tài khoản.
Có một điều cần phải lưu ý là màn hình để thiết lập mật khẩu ở trên không phải là
tất cả. Khi ta gán mật khẩu cho một tài khoản người dùng mới, mật khẩu này phải tuân
theo chính sách bảo mật của công ty ta. Nếu mật khẩu sử dụng không có các yêu cầu
cần thiết đã được đưa ra bởi chính sách nhóm có thể áp dụng thì tài khoản người dùng
này sẽ không được tạo.
Kích Next ta sẽ thấy một màn hình hiển thị toàn bộ các tùy chọn mà ta đã chọn.
Xác nhận tất cả các thông tin đều đúng, khi đó chỉ cần kích Finish và một tài khoản
người dùng mới sẽ được tạo.
8. Chỉnh sửa và bổ sung các thuộc tính của tài khoản
Active Directory gồm nhiều thuộc tính kèm theo có liên quan đến các tài khoản
của người dùng.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
22
Active Directory Mạng máy tính
Có một số thuộc tính mà ta có thể rất dễ sử dụng và có ích. Các thuộc tính đang
cư trú mà có liên quan đến thông tin liên hệ cơ bản. Trong thực tế, một số công ty
thường tạo các thư mục công ty dựa trên thông tin được lưu trong thuộc tính Active
Directory này, nó vẫn là một ý tưởng tốt cho việc định cư thông tin tài khoản người
dùng trong Active Directory. Ví dụ, với mục đích cần khởi động lại một máy chủ, trong
khi đó một người dùng vẫn đăng nhập vào ứng dụng cư trú trên máy chủ. Nếu có các
thông tin liên hệ của người dùng được lưu trong Active Directory thì ta có thể tra cứu số
điện thoại của người dùng một cách dễ dàng và gọi cho người dùng này yêu cầu họ
đăng xuất.
Để truy cập vào các thuộc tính tài khoản người dùng khác nhau, đơn giản ta chỉ
cần kích chuột phải vào tài khoản người dùng được chọn, sau đó chọn Properties. Sau
khi thực hiện như vậy, ta sẽ gặp một màn hình như trong hình 11.
Hình 11: Trang thuộc tính của người dùng được sử dụng để lưu thuộc tính

và thông tin cấu hình cho tài khoản người dùng.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
23
Active Directory Mạng máy tính
Như có thể thấy được trên hình, tab General có thể cho phép thay đổi tên hoặc tên
hiển thị của người dùng. Ta cũng có thể điền vào (hoặc thay đổi) một số trường khác
như phần mô tả, văn phòng, điện thoại, email, hoặc website. Nếu quan tâm đến việc lưu
trữ thêm các thông tin chi tiết hơn về người dùng thì ta có thể duyệt qua các tab
Address, Telephones, và Organization. Các tab này có tất cả các trường dành cho việc
lưu trữ thông tin chi tiết hơn về người dùng.
9. Xác lập lại mật khẩu người dùng
Ta có thể thấy trên hình 11 có rất nhiều tab khác nhau. Hầu hết các tab này đều
liên quan đến bảo mật và cấu hình cho tài khoản người dùng. Một thành phần mà hầu
hết các quản trị viên mới dường như đều phát hiện ra khi khám khá các tab này đó là
không có tùy chọn cho việc thiết lập lại mật khẩu của người dùng.
Nếu cần phải thiết lập lại mật khẩu của người dùng thì ta phải đóng cửa sổ này.
Sau khi thực hiện điều đó, ta kích chuột phải vào tài khoản người dùng và chọn lệnh
Reset Password trong menu chuột phải.
10. Tạo các nhóm
Trong môi trường miền, các tài khoản người dùng là rất cần thiết. Tài khoản
người dùng cho phép một người dùng được phân biệt với các người dùng khác trên
mạng. Điều này có nghĩa là ta hoàn toàn có thể kiểm tra hành động trực tuyến của
người dùng và cũng có thể trao cho tài khoản người dùng một tập hợp cho phép, gán
cho người dùng một địa chỉ email duy nhất, và có được tất cả các cần thiết khác của
mỗi người.
Dù ta quản lý một mạng rất nhỏ thì cũng nên xử lý mạng nhỏ này như nó là một
mạng lớn, bởi vì ta sẽ không thể biết được mạng của ta sẽ phình ra trở thành một mạng
lớn vào khi nào. Bằng việc sử dụng các công nghệ quản lý tốt ngay từ khi bắt đầu sẽ
giúp ta tránh được những cơn ác mộng sau này.
Một nhóm có thể gồm có nhiều tài khoản người dùng. Khi các thiết lập bảo mật

được gán ở mức nhóm thì ta sẽ không bao giờ nên gán các cho phép trực tiếp đến tài
khoản người dùng mà thay vì đó ta nên gán sự cho phép cho một nhóm, sau đó tạo cho
người dùng là một thành viên trong các nhóm đó.
Điều này có thể gây ra một chút phức tạp. Giả dụ rằng một trong số các máy chủ file có
một thư mục tên Data, và ta cần phải đồng ý cho một người dùng truy cập (đọc) thư
mục Data này. Thay vì gán trực tiếp sự cho phép cho người dùng, hãy tạo một nhóm.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
24
Active Directory Mạng máy tính
Để thực hiện điều đó, bạn mở Active Directory Users and Computers console.
Khi giao diện được mở, kích chuột phải vào mục Users, chọn lệnh New | Group. Bằng
cách làm như vậy, sẽ thấy xuất hiện một màn hình tương tự như màn hình được hiển thị
trong hình 12. Tối thiểu, ta cũng phải gán tên cho một nhóm. Để dễ dàng cho quản lý,
chúng ta hãy gọi nhóm này là Data, vì nhóm này sẽ được sử dụng để bảo vệ thư mục
Data. Lúc này, không quan tâm về phạm vi của nhóm hoặc các thiết lập kiểu của nó
.
Hình 12: Nhập vào tên nhóm mà ta đang tạo
Kích OK, và nhóm Data sẽ được bổ sung vào danh sách người dùng như trong
hình B. Lưu ý rằng, biểu tượng của nhóm sử dụng hai đầu người, điều đó chỉ thị rằng nó
là một nhóm, biểu tượng một đầu người được sử dụng cho tài khoản người dùng.
Nguyễn Thị Thu Huyền K54A - Khoa Công nghệ thông tin - ĐHSPHN
25