NW02 Windows 2003 Server zonder AD (deel 1)

Netwerken

IVO Brugge

NW02 Windows 2003 Server zonder AD (deel 1) Uw toestel is nu geconfigureerd als een Windows 2003 Server zonder Active Directory (dus geen domeincontroller). Dergelijke servers geeft men doorgaans de naam “Member Server”. Uw toestel is nu eigenlijk niet veel meer dan een Windows XP Professional machine. Uiteraard zijn er wel degelijk een aantal verschillen : • Als u een resource (map, printer, …) deelt op deze server, dan is – in principe – het aantal gebruikers die gelijktijdig toegang krijgen tot deze resource onbeperkt (terwijl dit op een WinXP toestel in principe steeds beperkt is tot 10 gelijktijdige verbindingen). • U kan serversoftware installeren op deze server (ISA-server, SQL-server, Exchange server, …). Op een WinXP toestel kunt u tegenwoordig ook wel dergelijke software gaan installeren, maar de mogelijkheden zijn dan doorgaans beperkt. • Een aantal meegeleverde software onderdelen van Windows 2003 hebben een andere architectuur dan die van WinXP. Denk maar aan Internet Information Server : op een Windows 2003 server is het mogelijk om verschillende websites op te zetten (waar je op een Win XP toestel beperkt bent tot 1 website) • … Hoewel het in deze cursus de bedoeling zal zijn om van uw server een domeincontroller te maken is het toch belangrijk te begrijpen dat in bedrijfsnetwerken vaak (soms meer) servers worden gebruikt dien geen domeincontroller zijn. In dergelijke gevallen spreken we van “dedicated servers”. Dit zijn servers die één welbepaalde taak zijn toebedeeld (bijvoorbeeld een webserver, een dataserver, een proxyserver, …) Deze servers worden dan wel opgenomen in een domein (een netwerk waar wel een server aanwezig is met daarop Active Directory geïnstalleerd) zodat zij ten volle kunnen genieten van de security die een domeincontroller biedt. Zo staat er op school : - 1 domeincontroller die alle security regelt, de profielen van de gebruikers bijhoudt, een aantal gedeelde mappen heeft, … - 1 dataserver : een Windows 2003 server waar SQL-server op geïnstalleerd werd en waar tevens (omwille van zijn 9 SCSI-schijven die in striping staan) alle software van school op staat (en van waar er geïnstalleerd wordt). - 1 webserver : een Windows 2003 server waar IIS6 op geconfigureerd staat. - 1 toepassingsserver voor de bibliotheekopleiding : een Windows 2000 server waar het databasesysteem CACHE op geïnstalleerd staat en die exclusief gebruikt wordt voor het bibliotheekprogramma VUBIS. De laatste 3 servers zijn allen leden van het domein, waartoe ook de rest van de werkstations behoren. Het is een goed idee om – indien de nodige middelen voor handen zijn – de servertaken die in een domein aanwezig zijn – te gaan verdelen over verschillende servers. De belangrijkste reden hiervoor is dat u op die manier uw domeincontroller ontlast van een aantal (soms zeer) belastende taken.

NW02 Win2003 Server zonder AD Deel 1

24

Jan De Deurwaerder

Netwerken

IVO Brugge

Maar ook security speelt hier een belangrijke rol. Zo is het zeker nooit een goed idee om een webservice te gaan draaien op je domeincontroller zelf (het is de kat bij de melk zetten). In dit hoofdstuk gaan we het eerst hebben over een aantal algemene zaken : - de verschillende versies waarin Windows 2003 aangeboden wordt - het verschil tussen werkgroepen en domeinen

1. Productoverzichten van Windows Server 2003 (van www.microsoft.com) Windows Server 2003 De Windows Server 2003-familie maakt gebruik van de beste technologieën van Windows 2000 Server, alleen zijn ze nu nog eenvoudiger te implementeren, beheren en gebruiken. Het resultaat: een zeer productieve infrastructuur die ertoe bijdraagt dat uw netwerk een daadwerkelijke meerwaarde vormt voor uw organisatie. Windows Server 2003 bevat alle functionaliteit die klanten mogen verwachten van een Windows-serverbesturingssysteem dat essentieel is voor de bedrijfsuitoefening van een organisatie. Sleutelwoorden zijn dan ook veiligheid, betrouwbaarheid, beschikbaarheid en schaalbaarheid. Daarnaast heeft Microsoft de Windows-serverbesturingssystemen verbeterd en uitgebreid, zodat uw organisatie kan profiteren van de voordelen van Microsoft .NET: software voor het koppelen van informatie, mensen, systemen en apparaten. Serverrollen Windows Server 2003 is een multifunctioneel besturingssysteem dat ondersteuning biedt voor een gevarieerde set serverrollen, afhankelijk van de behoeften, in een gecentraliseerde of gedistribueerde omgeving. Enkele voorbeelden van serverrollen: • • • • • • •

bestands- en afdrukserver; webserver en webtoepassingsserver; e-mailserver; terminalserver; servers voor externe toegang/virtueel particulier netwerk (VPN); directoryservices, Domain Name System (DNS), Dynamic Host Configuration Protocol (DHCP)-server en Windows Internet Naming Service (WINS); servers voor streaming media.

Windows Server 2003, Standard Edition Windows Server 2003, Standard Edition is ontworpen voor kleine organisaties en afdelingen en omvat intelligente services voor het delen van bestanden en printers, veilige Internet-connectiviteit, centrale installatie van desktop- en webtoepassingen voor het koppelen van werknemers, partners en klanten. Windows Server 2003, Standard Edition biedt een hoge mate van betrouwbaarheid, schaalbaarheid en veiligheid. Wat maakt het product uniek? NW02 Win2003 Server zonder AD Deel 1

25

Jan De Deurwaerder

Netwerken

IVO Brugge

Windows Server 2003, Standard Edition maakt gebruik van de beste technologieën van Windows 2000 Server, alleen zijn ze nu nog eenvoudiger te implementeren, beheren en gebruiken. Het resultaat: een zeer productief besturingssysteem dat veilig, betrouwbaar en klaar voor gebruik is, met functies voor stabiele beschikbaarheid en schaalbaarheid. Op macroniveau biedt Windows Server 2003, Standard Edition ondersteuning voor: • • •

geavanceerde netwerkfuncties, zoals Internet Authentication Service (IAS), Netwerkbrug en Internet Connection Sharing (ICS); 4-way symmetrische multiprocessing (SMP); vier GB RAM.

Windows Server 2003, Enterprise Edition Windows Server 2003, Enterprise Edition is specifiek ontwikkeld voor middelgrote tot grote bedrijven en is daarom het aangewezen besturingssysteem voor servers waarop toepassingen worden uitgevoerd voor bijvoorbeeld netwerkfunctionaliteit, berichtenuitwisseling, voorraadbeheersystemen, CRM-systemen, databases, websites voor e-commerce, bestandsservers en afdrukservers. Windows Server 2003, Enterprise Edition koppelt een hoge betrouwbaarheid en goede prestaties aan een maximaal rendement voor uw bedrijf. Enterprise Edition is geoptimaliseerd voor de nieuwste hardware en wordt geleverd in een 32-bits en een 64-bits uitvoering. Het besturingssysteem is dus uitermate flexibel en schaalbaar. Organisaties kunnen gebruikmaken van een zeer efficiënte infrastructuur die volledig is ingericht op het uitvoeren van de meest kritische toepassingen en services. Het belangrijkste verschil met Windows Server 2003, Standard Edition: ondersteuning voor krachtige servers en de mogelijkheid om servers te clusteren voor het gezamenlijk afhandelen van een grotere netwerkbelasting. Deze voorzieningen maken het mogelijk een grote betrouwbaarheid te garanderen, zodat de systemen ook beschikbaar zijn wanneer er een server uitvalt of wanneer een toepassing wordt uitgebreid. Op macroniveau biedt Windows Server 2003, Enterprise Edition ondersteuning voor: • • •

8-voudige symmetrische multiprocessing (SMP); clusters met maximaal acht knooppunten; 32 GB geheugen in 32-bits versies en 64 GB RAM in 64-bits versies.

Windows Server 2003, Datacenter Edition Windows Server 2003, Datacenter Edition is ontworpen voor bedrijven waarvoor schaalbaarheid, uptime en betrouwbaarheid van essentieel belang zijn. Met deze versie van .NET Server beschikt u over bedrijfszekere oplossingen voor databases, ERPsoftware, high-volume real-time transactieverwerking en serverconsolidatie.


26

Jan De Deurwaerder

Netwerken

IVO Brugge

Datacenter Edition is geoptimaliseerd voor de nieuwste hardware en wordt geleverd in een 32-bits en een 64-bits uitvoering. Het besturingssysteem is dus uitermate flexibel en schaalbaar. Organisaties kunnen gebruikmaken van een zeer efficiënte infrastructuur die volledig is ingericht op het uitvoeren van de meest kritische en zware toepassingen en services. Het belangrijkste verschil met Windows Server 2003, Enterprise Edition is de ondersteuning voor krachtige multiprocessing en meer geheugen. Een ander verschil is dat Windows Server 2003, Datacenter Edition alleen beschikbaar is via het Windows Datacenter Program. Dit programma biedt ondersteuning op het gebied van hardware, software en implementatie, en wordt verzorgd door Microsoft en gerenommeerde serverleveranciers, zoals OEM's (Original Equipment Manufacturers). Op macroniveau biedt Windows Server 2003, Datacenter Edition ondersteuning voor: • • •

32-voudige symmetrische multiprocessing (SMP); clusters met maximaal acht knooppunten; 64 GB geheugen in 32-bits versies en 128 GB RAM in 64-bits versies.

Windows Server 2003, Web Edition Windows Server 2003, Web Edition is ontworpen voor het bouwen en hosten van webtoepassingen, webpagina's en XML-webservices. Het is dan ook een specifieke oplossing voor Internet-providers, ontwikkelaars van toepassingen en andere gebruikers die uitsluitend behoefte hebben aan webfunctionaliteit. Windows Server 2003, Web Edition maakt gebruik van verbeteringen aan Internet Information Services 6.0 (IIS 6.0), Microsoft ASP.NET en Microsoft .NET Framework. Windows Server 2003, Web Edition is specifiek ontwikkeld als webserver en biedt dan ook geavanceerde voorzieningen voor het inrichten van een webinfrastructuur onder Windows-serverbesturingssystemen. Het product is alleen verkrijgbaar via OEMleveranciers en systeembouwers en is dus alleen beschikbaar bij de aankoop van een nieuwe server (behalve in volume licensing met bijbehorend Enterprise Agreement). Op macroniveau biedt Windows Server 2003, Web Edition ondersteuning voor: • • •

geavanceerde voorzieningen voor de ontwikkeling en het hosten van webtoepassingen, inclusief ASP.NET en .NET Framework dat is geïntegreerd in het besturingssysteem; two-way symmetrische multiprocessing (SMP); twee GB RAM.

Windows Server 2003 64-bit versies De 64-bit versies van de Enterprise Edition en Datacenter Edition ondersteunen veel geheugen en stellen applicaties die veel geheugen vergen in staat om goede prestaties te leveren en een hoge schaalbaarheid te bereiken.


27

Jan De Deurwaerder

Netwerken

IVO Brugge

Windows Small Business Server 2003 Windows Small Business Server 2003 integreert e-mail, fax, database en gedeelde Internet-toegang in een krachtig platform dat eenvoudig uit te rollen is.

2. Werkgroep versus domein 2.1 Windows werkgroepen Een werkgroep is een logische groepering van computers op een netwerk die bronnen delen, zoals bestanden en printers. Een domein is een logische groepering van netwerkcomputers die een centrale directory-database delen die gebruikersaccounts en beveiligingsinformatie voor het domein bevat. Soms wordt een werkgroep aangeduid als een peer-to-peer netwerk (een netwerk van gelijken), omdat alle computers in de werkgroep bronnen kunnen delen als gelijken, zonder een eigen server, zoals u ziet in onderstaande figuur.

Windows 2003 server Local security database Windows 2000 Pro

Windows workgroup Local security database Windows XP Pro

Local security database

Windows 2000 server

Local security database

Iedere computer met Win2003 Server (of Win2K Server) en iedere computer met WinXP Pro (of Win2KPro Workstation)in de werkgroep onderhoudt een lokale beveiligingsdatabase, die een lijst met gebruikersaccounts en bronnenbeveiligingsinformatie (hier komen we in een volgende paragraaf uitvoerig op terug) bevat voor die computer. Omdat iedere computer in de werkgroep een lokale beveiligingsdatabase onderhoudt, is het beheer van gebruikersaccounts en bronnenbeveiliging gedecentraliseerd. Een gebruiker moet een gebruikersaccount hebben op iedere computer waartoe de gebruiker toegang moet hebben. Veranderingen in de gebruikersaccounts, zoals een veranderd wachtwoord of een toegevoegde nieuwe account, moeten op iedere computer worden doorgevoerd. Als u vergeet om een nieuw gebruikersaccount toe te voegen aan één van de


28

Jan De Deurwaerder

Netwerken

IVO Brugge

computers, kan de nieuwe gebruiker zich niet aanmelden bij die computer en heeft hij geen toegang tot de bronnen hierop. De werkgroepen van Win2003 bieden de volgende voordelen : • • • •

Een werkgroep vereist geen computer waarop Win2003 Server draait om bveiligingsinformatie centraal te beheren. Een werkgroep is makkelijk te ontwerpen en te implementeren. Deze vereist geen uitgebreide planning en beheer zoals bij een domein wel het geval is. Een werkgroep is handig voor een beperkt aantal computers dat zich dicht bij elkaar bevindt, hoewel een werkgroep onpraktisch wordt in omgevingen met meer dan 10 computers. Een werkgroep is zeer geschikt voor een kleine groep technische gebruikers die geen centraal beheer nodig hebben.

2.2 Windows 2003 domeinen Een Win2003 domein is een logische groepering netwerkcomputers die een centrale direcory-database delen. Een directroy-database bevat gebruikersaccounts en beveiligingsinformatie voor het domein. In Win2003 staat de directory-database bekend als de directory en is het databasegedeelte van Active Directory-service, de direcory-service van Windows 2003. In een domein bevindt de directory zich op computers die zijn geconfigureerd als domeincontrollers. Een domeincontroller is een server die alle aan de beveiliging gerelateerde gebruiker/domein-interacties beheert en het beheer centraliseert. Opmerking : in WinNT-domeinen zijn domeincontrollers ofwel backup-domeincontrollers (BDC’s) of primaire domeincontrollers (PDC’s). In Win2003-domeinen is maar één type domeincontroller. Alle domeincontrollers zijn peers. Domain controller

Domain controller

Replication Active Directory Service

Windows 2003 domain Active Directory Service

Client Computer

Client Computer

Member Server


29

Jan De Deurwaerder

Netwerken

IVO Brugge

Een domein verwijst niet naar één enkele locatie of een specifiek type netwerkconfiguratie. De computers in een domein kunnen fysieke nabijheid delen op een kleine LAN of kunnen in verschillende hoeken van de wereld geplaatst zijn en communiceren via diverse soorten verbindingen. Win2003 domeinen bieden de volgende voordelen : • •

•

een domein biedt centraal beheer omdat alle gebruikersinformatie centraal wordt opgeslagen. Een domein biedt een enkel aanmeldingsproces voor gebruikers om toegang te krijgen tot netwerkbronnen. Een gebruiker kan zich bij een computer aanmelden en toegang krijgen tot bronnen op een andere computer in het netwerk zolang die gebruiker maar over de juiste toestemmingen beschikt. Een domein biedt de mogelijkheid tot schaalaanpassing zodat u zeer grote netwerken kunt bouwen.

3. Lokale gebruikers en groepen Zoals in bovenstaande paragraaf reeds gesteld, staat elke computer in een werkgroep in voor zijn eigen security database (gebruikersnamen, paswoorden, toegang tot resources, …). In deze paragraaf gaan we hier wat mee experimenteren zodat u kunt vaststellen wat de consequenties zijn van een werkgroep. • • •

• • •

•

klik op Start -> Administrative Tools -> Computermanagment Open in de boomstructuur “Local Users and Groups” en vervolgens “Users” U krijgt een overzicht van de gebruikers die standaard, tijdens de installatie van Windows 2003 werden aangemaakt. U zal merken dat, wanneer wij onze server promoveren tot domeincontroller er heel wat meer gebruikers zullen aangemaakt zijn. De afbeelding betekent dat deze gebruiker wel bestaat, maar momenteel uitgeschakeld is. Klik met de rechtermuis op een vrije plaats in het rechter paneel en kies in het snelmenu voor “New user …” Er wordt een venster geopend waar u alle informatie i.v.m. de nieuwe gebruiker kunt invoeren (opgepast : deze gebruiker is enkel gekend op uw eigen computersysteem). We zullen eerst een gebruiker aanmaken die de evenknie zal worden van de administrator. Het is altijd een goed idee om zo’n gebruiker toe te voegen aan uw systeem. Als er ooit iets fout loopt met de administrator-account (of u schakelt de administrator-account uit om veiligheidsredenen) dan kunt u nog altijd toegang krijgen tot het volledige systeem met


30

Jan De Deurwaerder

Netwerken

•

IVO Brugge

behulp van dergelijke gebruiker. Uiteraard is het niet de bedoeling om het bestaan van dergelijke gebruiker wereldkundig te maken. Voer de gegevens van de gebruiker “Super” in zoals in de afbeelding hiernaast (paswoord zoals afgesproken altijd civo0506) :

•

User-name is de naam waarmee zal ingelogd worden. Full-name wordt alleen gebruikt om duidelijkheid te scheppen (wanneer u bijvoorbeeld cryptische gebruikersnamen zou gebruiken, wat niet aan te raden is).

•

Nadat de gebruiker werd ingevoerd wordt het zelfde scherm opnieuw leeg getoond. Sluit dit voorlopig even af zodat u kan zien hoe uw nieuwe gebruiker afgebeeld wordt :

•

Maak nu op dezelfde manier nog 4 gebruikers aan : - Karel (Karel Staelens) (Password never expires) - An (An Mortier) (Password never expires) - Wim (Wim Carpels) (Password never expires) - Bert (Bert Bibber) (User must change password at next logon)

U heeft nu een vijftal gebruikers aangemaakt. Deze behoren standaard tot de groep “Users” : dit zijn gebruikers die kunnen aanloggen op het toestel, die toepassingssoftware kunnen gebruiken (zoals MS Office), meer geen enkele beheerstaak kunnen uitvoeren. We zullen nu eerst een tweetal gebruikers extra rechten geven door ze in een (voorgedefinieerde) groep te plaatsen. • • •

Klik in het linkerpaneel op het item “Groups”. U krijgt nu een overzicht op alle groepen die standaard worden aangemaakt bij installatie van Windows 2003. Groepen zijn entiteiten waarin u gebruikers kunt plaatsen (zie verder). Groepen worden


31

Jan De Deurwaerder

Netwerken

•

• • •

IVO Brugge

hoofdzakelijk gebruikt voor security. Als we een resource gaan delen, dan gaan wij bij voorkeur rechten toekennen aan groepen en niet aan gebruikers. De reden hiervoor ligt voor de hand. Als we achteraf gebruikers toevoegen, dan hoeven we niet al onze gedeelde resources af te lopen om al dan niet rechten toe te kennen aan de nieuwe gebruikers, maar plaatsen we de gebruikers in groepen. Automatisch krijgen ze dan dezelfde rechten, als de rechten die ingesteld werden op de groep. We gaan hier zeker nog niet de betekenis van alle groepen toelichten. Toch zijn er een drietal die onze aandacht verdienen : o Administrators : gebruikers die tot deze groep behoren kunnen alles op het systeem. o Power Users (Nederlands : hoofdgebruikers) : gebruikers die tot deze groep behoren kunnen de meeste van de admistrator taken vervullen, maar kunnen bijvoorbeeld geen schijven formatteren, geen services starten, … Zij kunnen bijvoorbeeld ook gebruikers aanmaken, maar ze kunnen deze gebruikers geen hogere rechten geven dan ze zelf hebben. o Users : zie hierboven. Elke gebruiker wordt standaard lid van deze groep (u moet zich goed bewust zijn dat dit zo is : dit zal later van het grootste belang zijn !) Dubbelklik op de groep “Power Users” In het scherm dat nu verschijnt klikt u op Add (u gaat een gebruiker toevoegen aan de groep). Er wordt een nieuw venster geopend waarin u de naam van de gebruiker die u wenst toe te voegen aan deze groep kunt intikken :

•

Voer in het tekstvak het woord “Karel” in (zonder de aanhalingstekens) en klik op OK.

•

Mocht u de naam van de gebruiker niet meer kennen, dan kan u via de knop “Advanced” (en in het volgende scherm de knop “Find Now”) een overzicht krijgen van alle gebruikers en groepen die op het systeem bekend zijn.

• •

Klik op OK. De gebruiker Karel is nu lid van de groep “Power Users” :


32

Jan De Deurwaerder

Netwerken

•

IVO Brugge

Plaats nu de gebruiker super in de groep Administrators.

3.1 Een Power User Tijd om het een en ander uit te proberen. • Klik op Ctrl+Alt+Delete • Klik op de knop “Log Off…” • Bevestig nogmaals dat u wenst uit te loggen.

• •

• •

U krijgt nu het gewone aanlogvenster van Windows 2003 te zien. Druk nogmaals op Ctrl+Alt+Delete

Log in met de gebruiker Karel (paswoord uiteraard civo0506). Als u ingelogd bent met de gebruikersnaam Karel, zult u merken dat uw omgeving er toch even anders uitziet.

Als u op Start klikt, dan zult u bijvoorbeeld geen verwijzing meer vinden naar Administrative Tools. We kunnen deze “Administrative Tools” wel nog bereiken vanuit “Control Panel”. Vergeet niet voor het vervolg van het verhaal dat Karel behoort tot de groep “Power Users”.


33

Jan De Deurwaerder

Netwerken

• •

IVO Brugge

Klik op Start -> Control Panel -> Administrative Tools en dubbelklik vervolgens op “Computermanagment”. Maak – als de gebruiker Karel – de gebruiker “test” aan. Dit lukt.

•

Plaats vervolgens – nog steeds als de gebruiker Karel – de nieuwe gebruiker “Test” in de groep “Power Users”. Dit lukt ook nog altijd.

•

Probeer nu de gebruiker “Test” in de groep “Administrators” onder te brengen. U zult merken dat u dat als de gebruiker Karel NIET kunt doen.

We proberen nu even software te installeren in de hoedanigheid van een Power User • • •

Klik op start -> Control Panel -> Add/Remove Programs Selecteer in het linkerpaneel de optie “Add New Programs” en kies vervolgens voor “Windows Update”. U wordt naar de update-website van Microsoft gebracht. Doorloop daar voor zover mogelijk de Wizard om Windows Updates te installeren, maar na verloop van tijd zult u een foutmelding krijgen :


34

Jan De Deurwaerder

Netwerken

IVO Brugge

• • •

We proberen het opnieuw met iets anders. Surf naar http://www.winzip.com/downwz.htm Klik daar op “Download …”

•

Als het downloadvenster verschijnt, klikt u meteen op “Open. Klik vervolgens op “Setup” en doorloop de installatie procedure (beperk u tot de standaardvoorstellen).

•

•

U zult uiteindelijk merken dat dit wel lukt. Na verloop van tijd is WinZip geïnstalleerd op uw computer en kan door alle gebruikers van het systeem gebruikt worden.

Waarom het ene wel, en het andere niet ? Dit zijn de redenen die Microsoft zelf opgeeft : This behavior occurs due to one of the following reasons: • The program attempts to install a service (most operating system utilities such as Anti-Virus, Backup, and Diagnostic software). • The program has not been written to the Windows 2003 application specifications.

• Some legacy programs attempt to replace operating system files. • The installer program of an application may specifically check to see that the user is a member of the administrators group.

Power Users zijn eigenlijk nog een erfenis van WinNT4, en blijven alleen bestaan ten behoeve van compatibiliteit. Power Users waren de gebruikers die alle rechten hadden op een lokale machine, zonder rechten te hebben op domeincontrollers (zoals de administrators). Ondertussen is de architectuur van Windows 2003 sterk verandert t.o.v. WinNT waardoor de bevoegdheden van Power Users drastisch teruggelopen zijn. Samengevat kan een Power User alleen software installeren, als die software NIET probeert “services” (zie verder in de cursus) te installeren en NIET probeert besturingssysteem bestanden te overschrijven. Eenmaal u uw server promoveert naar domeincontroller zal de groep “Power Users” zelfs niet meer bestaan ! Probeer tussendoor ook nog even een schijf te formatteren (bv de “backup”-schijf). U zal merken dat ook dit niet lukt.


35

Jan De Deurwaerder

Netwerken

IVO Brugge

3.2 Een gewone User We loggen af als Karel, en loggen opnieuw in als Wim (Wim is een gewone gebruiker). Probeer dezelfde stappen uit rond het gebruikersbeheer (in de Computermanagment module). U zal merken dat Wim wel zicht krijgt op alles, maar niets kan wijzigen. Het installeren van software lukt ook niet. Windows Updates was voor de gebruiker Karel al niet mogelijk, laat staan voor de gebruiker Wim. Maar ook de installatie van vrij onschuldige software als Winzip lukt nu niet meer :

3.3 Een administrator Uiteraard kan een gebruiker die tot de groep administrators behoort alles. Als u inlogt met de gebruiker “super” (een administrator), dan zult u merken dat u nu wel degelijk Windows Updates kunt uitvoeren, gebruikers beheren (dus ook van een gebruiker een administrator maken), schijven formatteren, … 3.4 Een groep maken Naast de standaardgroepen die bij installatie aanwezig zijn in Windows 2003 is het uiteraard perfect mogelijk om zelf groepen aan te maken. Zoals reeds eerder gesteld zal vooral naar beveiliging toe groepen een belangrijke rol spelen. Wanneer onze server een domeincontroller geworden is zullen we op dit onderwerp nog terugkomen. • • • •

Log eventueel opnieuw in als administrator Open opnieuw het Computermanagment scherm. Selecteer nu het onderdeel Groepen Klik met de rechtermuis in het rechterpaneel en selecteer in het snelmenu de optie “New Group”.

•

Maak de groep “Administratie” aan en voeg meteen – via de knop “Add” de gebruikers Karel en Wim toe aan deze groep (zie figuur). Maak nog de groep “Informatica” aan en voeg meteen de gebruikers Karel, An en Bert toe aan deze groep (zie figuur).

•


36

Jan De Deurwaerder

Netwerken

IVO Brugge

Wat misschien ook interessant om weten is, is dat het momenteel niet mogelijk is om de groepen die u hier aanmaakt onder te brengen in andere groepen (dat zal, onder de juiste voorwaarden, wel mogelijk zijn als uw server een domeincontroller wordt). Het nu om gebruikers in groepen onder te brengen wordt bij de volgende paragraaf duidelijk.

4. Resources delen Op een bepaald moment zult u willen data of hardware die op uw machine geïnstalleerd is gaan delen met andere gebruikers. Naast het delen van een object (map, schijf, printer, …) zal uiteraard ook de security een belangrijke rol spelen. Open de verkenner en maak op uw data-schijf volgende mappen aan : • • • •

Klik met de rechtermuisknop op de map “data” en selecteer in het snelmenu de optie “properties”. Selecteer het tabblad “Sharing”. Standaard is een map NIET gedeeld, dus alles is momenteel uitgeschakeld. Selecteer de optie “Share this folder”. Onmiddellijk wordt een share-naam voorgesteld : dit is dezelfde als de mapnaam, maar dat hoeft niet. U kan hier om het even welke naam opgeven. Deze naam is uiteraard belangrijk. Het is deze naam die de gebruikers te zien zullen krijgen als zij via hun netwerkomgeving uw computer gaan benaderen (en dus – indien u voor een andere naam kiest - de originele mapnaam).


37

Jan De Deurwaerder

Netwerken

•

•

•

IVO Brugge

Verander de sharenaam in “Data” + de naam van uw computer (in mijn geval dus “DataIVOHTL01”). Standaard zal momenteel leesrechten krijgen op deze map (geen schrijfrechten) (in Win2K kreeg standaard iedereen toegang tot een gedeelde map : in Win2003 is dit dus niet meer zo). Wanneer we willen dat bepaalde gebruikers ook gegevens kunnen schrijven in deze map, dan dienen we deze rechten te geven. Klik in het zelfde venster op de knop “Permissions”. Er verschijnt een nieuw venster waarin u de gebruikers of groepen zult zien staan die toegang krijgen tot deze Share : standaard is dit de “build-in group” Everyone. Iedereen mag u letterlijk nemen : elke gebruiker die verbinding kan maken met uw computer (via verkenner, via webservices, …) krijgt leesrechten. Plaats een vinkje bij Full Control en Change. “Full Control” betekent dat een gebruiker die tot deze groep behoort ook rechten kan instellen voor andere gebruiker (hij wordt dus voor deze map een administrator). “Change” betekent dat de gebruiker submappen en bestanden kan maken, wijzigen, verwijderen, …

U denkt nu waarschijnlijk : staat de poort nu niet hemelsbreed open voor “jan en alleman” ? Neen dus. Beveiliging wordt op 2 niveaus geregeld. Share Permissions is één van die niveaus. De groep Everyone heeft nu blijkbaar alle rechten, maar op het tweede niveau heeft die groep nog geen rechten, dus eigenlijk kunnen gebruikers van de groep “Everyone” (iedereen dus) nog niets aanvatten met deze map. Share Permissions bestaan eigenlijk enkel nog om compatibiliteitsredenen. Zij stammen af van voor het NTFS-tijdperk toen het instellen van rechten op map- en bestandsniveau nog niet bestond. Onthoud gewoon (ook iets wat Microsoft zelf voorstelt) dat wanneer u een resource deelt, u telkens aan de groep Everyone alle rechten heeft. De rest regelen we op het tweede niveau. • •

Selecteer het tabblad Permissions Hier ziet u nu de daadwerkelijke rechten die van toepassing zijn op de map “e:\data”. De groep Administrators kent u : zij hebben automatisch alle rechten op deze Share. De groep Creator Owner is weer zo’n speciale buildin group. Hiermee wordt eigenlijk bedoeld :


38

Jan De Deurwaerder

Netwerken

IVO Brugge

de gebruiker die de map aangemaakt heeft, of kortweg, de eigenaar van de map. We zullen later zien dat het perfect mogelijk is om het “eigenaarschap” van een map te wijzigen (iets wat u als administrator ook vaak zult moeten doen). Deze groep heeft zo op het eerste zicht geen rechten, maar dit is maar schijn : feitelijk heeft de maker van de map alle rechten (zie verder). Ook de groep System is een speciale buildin group. Hiermee wordt eigenlijk het besturingssysteem zelf bedoeld. Deze groep zal u zelfs niet terugvinden onder Computermanagment : u kan dan zelf ook niemand toevoegen aan deze groep. De groep is nodig voor het OS om zelf programma’s (het zal dan hoofdzakelijk over services gaan) te kunnen opstarten. De groep Users bevat alle gebruikers die u zelf aangemaakt heeft (plus nog een aantal buildin gebruikers waar we niet verder op in gaan). •

Stel nu dat we niet alle gebruikers die op het systeem gekend zijn wensen toegang te verlenen tot deze share, maar enkel die gebruikers die behoren tot de groepen “Administratie” en “Informatica”. Dan zou je denken dat het zal volstaan om het vinkje te verwijderen bij de groep Users, maar dat lukt niet zomaar. Waarom niet ? Omdat de groep Users zijn rechten geërfd heeft van een bovenliggend object. Met bovenliggend object wordt de bovenliggende map (of in dit geval) de schijf bedoeld. Omdat op het bovenliggend object de groep Users deze rechten al hadden, krijgen ze standaard dezelfde rechten op alle onderliggende objecten (mappen). Waar die rechten de ze erven nu precies vandaan komen bespreken we in één van de volgende hoofdstukken. Feit blijft wel dat we niet willen dat deze groep rechten erft. Hoe lossen we dit op ? Alleszins niet door de groep Users hier te verwijderen, want dat lukt niet (zie figuur). Wel door het automatisme van erven te verbreken.

• •

Klik op de knop “Advanced” Als u hier voor elke lijn individueel op de knop “Edit” gaat klikken, dan ziet u nog een veel gedetailleerdere indeling van de rechten dan het vorige scherm (we komen hier in één van de volgende hoofdstukken nog uitgebreid op terug).


39

Jan De Deurwaerder

Netwerken

• • •

IVO Brugge

Verwijder het vinkje onderaan naast de zin “Allow inherritable permissions form the parent …” Onmiddellijk verschijnt een vraag : U wordt er van verwittigd dat u het overerven van rechten gaat doorbreken. Als u zou kiezen voor “Remove”, dan worden alle gebruikers uit de lijst verwijderd (dus ook administrators, system, …) Kies u voor “Copy”, dan worden de ingestelde rechten behouden. Maar u moet goed begrijpen dat de erfenis wel doorbroken wordt. Stelt u op een hoger niveau andere rechten in, dan zullen die NIET meer automatisch doorgegeven (gepropageerd) worden aan dit niveau. Klik op Copy (zo spaart u doorgaans wat werk uit), en vervolgens op OK

•

U keert terug naar het originele scherm en u merkt dat het nu wel mogelijk is om vinkjes aan en uit te schakelen.

•

Selecteer nu de groep “Users” en klik vervolgens op “Remove” (het verwijderen lukt nu wel). Voeg nu de groepen “Administratie” en “Informatica” toe aan de lijst via de knop “Add…” We wensen te vermijden dat gebruikers uit deze groepen in deze map iets kunnen doen. De map “e:\data” dient uiteindelijk enkel maar om toegang te verlenen toe de onderliggende mappen (de submappen administratie, algemeen en informatica waar ze dan wel zullen kunnen in schrijven, lezen, …). Zet daarom bij beide groepen enkel een vinkje bij “List Folder Contents”.

• •

•

Klik tenslotte op OK zodat het eigenschappenvenster gesloten wordt.

We kunnen nu even onze Share gaan uittesten. • Open de verkenner van Windows • Selecteer de netwerkomgeving (My Network Places -> Entire Network -> Microsoft Windows Network -> Workgroup ->


40

Jan De Deurwaerder

Netwerken

IVO Brugge

•

U zal merken dat u vanop afstand inderdaad toegang krijgt tot de map “e:\data” maar dat hier inderdaad wel degelijk de share naam afgebeeld wordt en niet de oorspronkelijke naam van de map.

•

Log even af als administrator, log opnieuw in als de gebruiker “Karel”, zoek opnieuw via de netwerkomgeving deze share op en probeer eens iets in deze map te bewaren. U zal merken dat dit niet lukt. Ook niet in de mappen “administratie”, “informatica” en “algemeen”. En dat is logisch. We hebben daarstraks de band verbroken tussen de map “data” en zijn bovenliggend object (de e:-schijf in dit geval), maar er blijft wel degelijk een relatie bestaan tussen de map “data” en zijn onderliggende objecten (de submappen dus).

Log opnieuw in als administrator. We zouden nu willen realiseren dat in de map “administratie” alle gebruikers die tot de groep “administratie” behoren gegevens kunnen toevoegen, wijzigen en verwijderen. Analoog moeten alle gebruikers van de groep “informatica” gegevens kunnen toevoegen, wijzigen en verwijderen in de map “informatica. En in de map algemeen moet hetzelfde gebeuren voor de gebruikers van de beide groepen. Dit betekent dat we bij alle drie de mappen de overerving tussen de map “data” en zijn submappen zullen moeten verbreken. Doe dit nu voor de 3 submappen en geef de gebruikers (zoals hierboven beschreven) alle rechten (behalve full control : full control wordt enkel gegeven aan administrators !). OPGEPAST : u hoeft deze mappen NIET meer te sharen. Er wordt toegang verleend tot deze mappen via de share “DataIVOHTLXX”


41

Jan De Deurwaerder

Netwerken

IVO Brugge

De rechten op de map “administratie” (denk er aan dat u de groep “informatica” hier verwijderd) :

De rechten op de map “informatica” (denk er aan dat u de groep “administratie” hier verwijderd) :

De rechten op de map “algemeen” :


42

Jan De Deurwaerder

Netwerken

IVO Brugge

Log nu even in met de verschillende gebruikers. Alle gebruikers (van de groepen “administratie” en “informatica”) kunnen alles doen in de 3 submappen. Karel kan alles doen in de 3 submappen omdat hij tot de 2 groepen behoort. Wim kan werken in “administratie” en “algemeen” maar heeft geen toegang tot de submap “informatica”. An en Bert kunnen werken in “informatica” en “algemeen” maar hebben geen toegang tot de submap “administratie”.


43

Jan De Deurwaerder

NW02 Windows 2003 Server zonder AD (deel 1)

Recommend Documents