Управление доступом к приложениям и ресурсам с помощью групп azure active directorymanage app and resource access using azure active directory groups

Установка Windows ADKInstall the Windows ADK

В этих инструкциях предполагается, что у вас установлен сервер MDT01 и он настроен как сервер доменных пользователей.These steps assume that you have the MDT01 member server running and configured as a domain member server.

На MTD01:On MTD01:

Перейдите на страницу загрузки и установите на странице Windows ADK и скачайте следующие элементы в папку D:\Downloads\ADK на MDT01 (вам потребуется создать эту папку):Visit the Download and install the Windows ADK page and download the following items to the D:\Downloads\ADK folder on MDT01 (you will need to create this folder):

• Windows ADK для Windows 10The Windows ADK for Windows 10
• Надстройка Windows PE для ADKThe Windows PE add-on for the ADK
• Обновление диспетчера системных образов Windows (WSIM) 1903The Windows System Image Manager (WSIM) 1903 update

Совет

Возможно, потребуется временно отключить конфигурацию усиленной безопасности Internet Explorer для администраторов, чтобы загружать файлы из Интернета на сервер.You might need to temporarily disable IE Enhanced Security Configuration for administrators in order to download files from the Internet to the server. Этот параметр можно отключить с помощью диспетчера серверов (локального сервера и свойств).This setting can be disabled by using Server Manager (Local Server/Properties).

1. Убедитесь, что вы вошли в домен CONTOSO в качестве администратора в MDT01.On MDT01, ensure that you are signed in as an administrator in the CONTOSO domain.

   В данном руководстве используется учетная запись администратора домена администратором с паролем Pass@word1.For the purposes of this guide, we are using a Domain Admin account of administrator with a password of pass@word1. Вы можете использовать свое имя пользователя и пароль администратора, если правильно настроить все действия, описанные в этом руководстве, в которых используются эти учетные данные.You can use your own administrator username and password as long as you properly adjust all steps in this guide that use these login credentials.

2. Запустите настройку ADK (D:\Downloads\ADK\adksetup.exe), дважды нажмите кнопку Далее , чтобы сохранить параметры установки по умолчанию, нажмите кнопку сохранить , чтобы приступить к принятию лицензионного соглашения, а затем выберите компоненты, которые вы хотите установить , пригласите список функций по умолчанию, нажав кнопку установить.Start the ADK Setup (D:\Downloads\ADK\adksetup.exe), click Next twice to accept the default installation parameters, click Accept to accept the license agreement, and then on the Select the features you want to install page accept the default list of features by clicking Install. Будут установлены средства развертывания и USMT.This will install deployment tools and the USMT. Убедитесь, что установка успешно завершена, прежде чем переходить к следующему шагу.Verify that the installation completes successfully before moving to the next step.
3. Запустите программу установки WinPE (D:\Downloads\ADK\adkwinpesetup.exe), дважды нажмите кнопку Далее , чтобы сохранить параметры установки по умолчанию, нажмите кнопку сохранить , чтобы приступить к принятию лицензионного соглашения, а затем на странице выберите компоненты, которые нужно установить , и нажмите кнопку установить.Start the WinPE Setup (D:\Downloads\ADK\adkwinpesetup.exe), click Next twice to accept the default installation parameters, click Accept to accept the license agreement, and then on the Select the features you want to install page click Install. Будут установлены Windows PE для x86, AMD64, ARM и ARM64.This will install Windows PE for x86, AMD64, ARM, and ARM64. Убедитесь, что установка успешно завершена, прежде чем переходить к следующему шагу.Verify that the installation completes successfully before moving to the next step.
4. Извлеките Обновление WSIM 1903 (D:\Downloads\ADK\WSIM1903.zip) и запустите файл UpdateWSIM. bat .Extract the WSIM 1903 update (D:\Downloads\ADK\WSIM1903.zip) and then run the UpdateWSIM.bat file.

   Вы можете проверить, применено ли обновление, просмотрев свойства файлов ImageCat. exe и ImgMgr. exe на C:\program Files файлы (x86) \Windows Kits\10\Assessment и развертывание Kit\Deployment Tools\WSIM и убедившись в том, что на вкладке » сведения » отображается Версия файла 10.0.18362.144 или более поздней.You can confirm that the update is applied by viewing properties of the ImageCat.exe and ImgMgr.exe files at C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Deployment Tools\WSIM and verifying that the Details tab displays a File version of 10.0.18362.144 or later.

Настройка общих папок

Программирование содержимого внутренней памяти микроконвертера

ADuC816 содержит энергонезависимую память Flash/EE для хранения приложений пользователя. Программирование (изменение содержимого) этой памяти может осуществляться в двух режимах — параллельном и последовательном. В параллельном режиме доступ к внутренней памяти микросхемы осуществляется через внешний параллельный порт (порт 3). Для нормальной работы в этом режиме необходимы стандартные аппаратные средства (программаторы), выпускаемые третьими фирмами, и поддерживающие микросхемы семейства ADuC8xx. В последовательном режиме доступ к внутренней памяти осуществляется через стандартный асинхронный последовательный порт с помощью несложного кабеля. Последовательный режим программирования микросхем ADuC816 ничем не отличается от соответствующих режимов микросхем ADuC812 и ADuC824 и дает возможность пользователю программировать микроконвертер прямо «в системе». Оба режима програмирования поддерживают стандартные режимы защиты от несанкционированного копирования/чтения/модификации содержимого внутренней памяти.

Рис. 2. Типовая конфигурация системы сбора данных, построенной на микросхеме ADuC816

Типовая конфигурация системы сбора данных, построенной на микросхеме ADuC816, приведена на рис. 2. Микросхема ADM810 (впрочем, может быть применен любой генератор сигнала RESET) предназначена для правильного формирования сигнала «сброс» по включению питания, ADM202 (опять же может быть применен любой преобразователь уровня сигналов) — для формирования уровней сигнала интерфейса RS-232 при подключении к COM-порту компьютера через стандартный разъем. Для включения микросхемы в режим программирования в системе необходимо «посадить на землю» через резистор 1 кОм вывод 41 (PSEN) путем замыкания контактов соответствующего разъема на плате и включить на PC программу-загрузчик, бесплатно поставляемую в комплекте стандартных инструментальных средств для микроконвертеров.

Литература

Роли и компонентыRoles and Features

Роли и компоненты позволяют управлять ролями и компонентами на сервере.Roles and Features allows you to manage roles and features on a server.

КомпонентыFeatures

В ролях и компонентах поддерживаются следующие возможности.The following features are supported in Roles and Features:

• Просмотр списка ролей и компонентов на сервереBrowse list of roles and features on a server
• Просмотр сведений о роли или функцииView role or feature details
• Установка роли или компонентаInstall a role or feature
• Удаление роли или компонентаRemove a role or feature

Просмотр отзывов и предлагаемых функций для ролей и компонентов.View feedback and proposed features for Roles and Features.

Как работает Windows Admin Center?How does Windows Admin Center work?

Windows Admin Center запускается в браузере и управляет Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows 10, Azure Stack HCI и другими версиями через шлюз Windows Admin Center, установленный в Windows Server или присоединенной к домену Windows 10.Windows Admin Center runs in a web browser and manages Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows 10, Azure Stack HCI and more through the Windows Admin Center gateway installed on Windows Server or domain-joined Windows 10. Шлюз управляет серверами с помощью удаленной оболочки PowerShell и WMI через WinRM.The gateway manages servers by using Remote PowerShell and WMI over WinRM. Шлюз входит в состав Windows Admin Center в одном облегченном MSI-пакете, который можно загрузить.The gateway is included with Windows Admin Center in a single lightweight .msi package that you can download.

При публикации в DNS и предоставлении доступа через соответствующие корпоративные брандмауэры шлюз Windows Admin Center позволяет безопасно подключиться к серверам и управлять ими из любого места с помощью Microsoft Edge или Google Chrome.The Windows Admin Center gateway, when published to DNS and given access through corresponding corporate firewalls, lets you securely connect to, and manage, your servers from anywhere with Microsoft Edge or Google Chrome.

Локальные пользователи и группыLocal Users and Groups

Локальные пользователи и группы позволяют управлять группами безопасности и пользователями, которые существуют локально на компьютере или сервере.Local Users and Groups allows you to manage security groups and users that exist locally on a computer or server.

КомпонентыFeatures

В оснастке «Локальные пользователи и группы» поддерживаются следующие функции:The following features are supported in Local Users and Groups:

• Просмотр и поиск пользователей и группView and search users and groups
• Создание нового пользователя или группыCreate a new user or group
• Управление членством пользователя в группахManage a user’s group membership
• Удаление пользователя или группыDelete a user or group
• Изменяет пароль пользователяChange a user’s password
• Изменение свойств пользователя или группыEdit the properties of a user or group

Fixing RSAT errors in Windows 10

RSAT could crash on Windows 10 for a several reasons, including a failed update, a corrupt installation file or operating system incompatibility. In addition, issues can occur if a server administrator attempts to modify any of its administration tools (ADAC, ADCS or IPMA). The most frequent cause of crashes is the Active Directory Administrative Center (ADAC) component of the RSAT.

Take these steps to troubleshoot errors:

• Check RSAT compatibility. There are different RSAT versions for different operating system versions; ensure your RSAT version is compatible. In some cases, completely uninstalling the previous version and setting up a new compatible version resolves the crash issues.
• If you get RSAT installation error 0x800f0954:
  1. Right-click the Start button > Choose Run > Type msc > Click OK.
  2. In the local group policy editor, navigate to Computer Configuration > Administrative Templates > System.
  3. Right-click “Specify settings for optional component installation and component repair” policy > Set it to Enabled > Check the box “Download repair content and optional features directly from Windows Updates instead of Windows Server Updates Services (WSUS)“.
  4. Click Apply > Click OK.
  5. Right-click the Start button > Choose Run > Type gpupdate > Click OK.
• RSAT installation error 0x80070003 is usually related to installation from an uncommon location. Copy the installation files to the target machine’s local drive and proceed.

Brian Svidergol

Expert in Microsoft infrastructure and cloud-based solutions built around Windows, Active Directory, Azure, Microsoft Exchange, System Center, virtualization, and MDOP. In addition to authoring books, Brian writes training content, white papers, and is a technical reviewer on a large number of books and publications.

СетьNetwork

Сеть позволяет управлять сетевыми устройствами и параметрами на компьютере или сервере.Network allows you to manage network devices and settings on a computer or server.

КомпонентыFeatures

В сети поддерживаются следующие функции:The following features are supported in Network:

• Обзор и поиск существующих сетевых адаптеровBrowse and search existing network adapters
• Просмотр сведений о сетевом адаптереView details of a network adapter
• Изменение свойств сетевого адаптераEdit properties of a network adapter
• Создание сетевого адаптера Azure (функция предварительной версии)Create an Azure Network Adapter (Preview feature)

Улучшения в области выдачи идентификаторов RID и управления имиRID Management and Issuance Improvements

В системе Active Directory в Windows 2000 появился хозяин RID, который выдавал пулы относительных идентификаторов контроллерам домена, чтобы последние могли создавать идентификаторы безопасности (SID) для субъектов безопасности, таких как пользователи, группы и компьютеры.Windows 2000 Active Directory introduced the RID Master, which issues pools of relative identifiers to domain controllers, in order to create security identifiers (SIDs) of security trustees like users, groups, and computers. По умолчанию глобальное пространство RID ограничено общим количеством идентификаторов безопасности (230, или 1 073 741 823), которое можно создать в домене.By default, this global RID space is limited to 230 (or 1,073,741,823) total SIDs created in a domain. Идентификаторы безопасности нельзя вернуть в пул или выдать повторно.SIDs cannot return to the pool or reissue. Со временем в большом домене может возникнуть нехватка идентификаторов RID либо их пул может начать иссякать в результате различных происшествий, ведущих к удалению RID.Over time, a large domain may begin to run low on RIDs, or accidents may lead to unnecessary RID depletion and eventual exhaustion.

В Windows Server 2012 решен ряд проблем, связанных с выдачей идентификаторов RID и управлением ими, которые были выявлены клиентами и службой поддержки клиентов Майкрософт с 1999 года, когда были созданы первые домены Active Directory.Windows Server 2012 addresses a number of RID issuance and management issues uncovered by customers and Microsoft Customer Support as AD DS matured since the creation of the first Active Directory domains in 1999. Сюда входит следующее.These include:

• В журнал событий периодически записываются предупреждения об использовании идентификаторов RID.Periodic RID consumption warnings are written to the event log
• Когда администратор делает пул RID недействительным, в журнале создается событие.Events log when an administrator invalidates a RID pool
• Ограничение на максимальный размер блока RID теперь устанавливается принудительно в политике RID.A maximum cap on the RID policy RID Block Size is now enforced
• Искусственный верхний порог RID теперь применяется принудительно, а если глобальное пространство RID истощается, в журнал заносится запись, что позволяет администратору предпринять меры прежде, чем пространство будет исчерпано.Artificial RID ceilings are now enforced and logged when the global RID space is low, allowing an administrator to take action before the global space is exhausted
• Глобальное пространство RID теперь можно увеличить на один бит, благодаря чему его размер увеличивается вдвое — до 231 (2 147 483 648 идентификаторов безопасности).The global RID space can now be increased by one bit, doubling the size to 231 (2,147,483,648 SIDs)

Подробнее об идентификаторах RID и хозяине RID см. в разделе Принципы работы идентификаторов безопасности.For more information about RIDs and the RID Master, review How Security Identifiers Work.

Импорт и экспорт подключений (с тегами) с помощью PowerShellUse PowerShell to import or export your connections (with tags)

Формат CSV-файла для подключений для импортаCSV file format for importing connections

Формат CSV-файла начинается с четырех заголовков , за которыми следуют соединения, каждое в новой строке.The format of the CSV file starts with the four headings , followed by each connection on a new line.

name (Имя) — полное доменное имя подключенияname is the FQDN of the connection

type — это тип соединения.type is the connection type. Для соединений по умолчанию, включенных в Windows Admin Center, вы будете использовать одно из следующих.For the default connections included with Windows Admin Center, you will use one of the following:

tags (Теги) разделяются вертикальной чертой.tags are pipe-separated.

groupId используется для общих соединений.groupId is used for shared connections. Используйте значение в этом столбце, чтобы сделать соединение общим.Use the value in this column to make this a shared connection.

Примечание

Изменение общих подключений ограничено администраторами шлюза. Любой пользователь может использовать PowerShell для изменения списка личных подключений.Modifying the shared connections is limited to gateway administrators — any user can use PowerShell to modify their personal connection list.

Как в Windows Admin Center осуществляется обеспечение безопасности?How does Windows Admin Center handle security?

Трафик из браузера в шлюз Windows Admin Center использует протокол HTTPS.Traffic from the browser to the Windows Admin Center gateway uses HTTPS. Трафик от шлюза к управляемым серверам поступает через стандартное удаленное взаимодействие с PowerShell и WMI через WinRM.Traffic from the gateway to managed servers is standard PowerShell and WMI over WinRM. Для управления целевыми серверами мы поддерживаем LAPS (диспетчер паролей локальных администраторов), ограниченное делегирование на основе ресурсов, шлюз управления доступом с помощью AD или Azure AD, а также управление доступом на основе ролей.We support LAPS (Local Administrator Password Solution), resource-based constrained delegation, gateway access control using AD or Azure AD, and role-based access control for managing target servers.

ОбзорOverview

Контроллеры домена под Windows Server 2012 R2 блокируют создание повторяющихся имен субъектов-служб (SPN) и имен участников-пользователей (UPN).Domain Controllers running Windows Server 2012 R2 block the creation of duplicate service principal names (SPN) and user principal names (UPN). Это относится к созданию дубликатов в случае восстановления или повторной анимации удаленного объекта или переименования объекта.This includes if the restoration or reanimation of a deleted object or the renaming of an object would result in a duplicate.

Историческая справкаBackground

Дублирование имен субъектов-служб (SPN) обычно происходит, что приводит к ошибкам проверки подлинности и может привести к чрезмерному использованию процессора службой LSASS.Duplicate Service Principal Names (SPN) commonly occur and result in authentication failures and may lead to excessive LSASS CPU utilization. Нет встроенного метода для блокирования добавления повторяющегося имени субъекта-службы или UPN.There is no in-box method to block the addition of a duplicate SPN or UPN. *

Дублирующиеся значения имени участника-пользователя нарушают синхронизацию между локальной службой AD и Office 365.Duplicate UPN values break synchronization between on-premises AD and Office 365.

* Setspn.exe обычно используется для создания новых имен участников-служб, и функционально был встроен в версию, выпущенную в Windows Server 2008, которая добавляет проверку на наличие дубликатов.*Setspn.exe is commonly used to create new SPNs, and functionally was built into the version released with Windows Server 2008 that adds a check for duplicates.

Таблица SEQ таблица номер \ * Арабский 1: уникальность имени участника-пользователя и имени субъекта-службыTable SEQ Table \* ARABIC 1: UPN and SPN uniqueness

Дополнительные сведения о требованиях уникальности к именам участников-служб и имен SPN см. в разделе ограничения уникальности.For more information about uniqueness requirements for UPNs and SPNs, see Uniqueness Constraints.

PHP XML

Установите RSAT для версий 1803 и ниже

Установка RSAT и включение Active Directory в более старой версии Windows 10 занимает немного больше времени. Имейте в виду, что ограничение для редакций Enterprise и Professional по-прежнему действует. Давайте посмотрим, как включить Active Directory в версиях 1803 и ниже.

1. Запустите браузер вашего компьютера.
2. Перейдите в Центр загрузки Microsoft и найдите Средства удаленного администрирования сервера для Windows 10.
3. Нажмите кнопку «Скачать».
4. Выберите последнюю версию, чтобы обеспечить максимальную совместимость.
5. Нажмите кнопку «Далее» и дождитесь завершения загрузки.
6. Затем нажмите клавишу «Win» на клавиатуре.
7. Поиск панели управления.
8. На панели управления нажмите на вкладку «Программы».
9. Далее выберите «Программы и компоненты».
10. Нажмите «Включить или отключить функции Windows».
11. Разверните раздел «Инструменты удаленного администрирования сервера» в меню.
12. Далее выберите «Инструменты администрирования ролей».
13. Выберите «Инструменты AD LDS и AD DS».
14. Установите флажок «Инструменты AD DS».
15. Нажмите кнопку «ОК».

Параметр «Администрирование» теперь должен появиться в меню «Пуск». Вы должны найти там все инструменты Active Directory, и вы можете использовать и изменять их через это меню.

Можно ли управлять гиперконвергентной инфраструктурой с помощью Windows Admin Center?Can I manage Hyper-Converged Infrastructure with Windows Admin Center?

Да.Yes. Windows Admin Center поддерживает управление гиперконвергентными кластерами под управлением Windows Server 2016 или Windows Server 2019.Windows Admin Center supports the management of hyper-converged clusters running Windows Server 2016 or Windows Server 2019. Решение «Диспетчер гиперконвергентных кластеров» в Windows Admin Center ранее было на этапе ознакомительной версии, но теперь оно является общедоступным (лишь некоторые функции доступны в ознакомительной версии).The hyper-converged cluster manager solution in Windows Admin Center was previously in preview but is now generally available, with some new functionality in preview. Дополнительные сведения об управлении гиперконвергентной инфраструктурой.For more information, read more about managing hyper-converged infrastructure.

Для чего вы можете использовать Active Directory — пользователи и компьютеры?

Надстройка «Active Directory — пользователи и компьютеры» может покрыть большинство задач и обязанностей администратора AD. У него есть свои ограничения — например, он не может управлять объектами групповой политики.

Но вы можете использовать его для сброса паролей, редактирования членства в группах, разблокировки пользователей и многого другого. Вот некоторые основные инструменты в вашем распоряжении, когда вы включаете ADUC на вашем компьютере.

1. Active Directory Домены и трасты. С помощью этого инструмента вы можете управлять функциональными уровнями леса, UPN (основными именами пользователей), функциональными уровнями нескольких доменов. Это также позволяет управлять доверием между лесами и доменами.
2. Центр администрирования Active Directory. В этом разделе ADUC вы можете управлять своей историей PowerShell, политиками паролей и корзиной AD.
3. Сайты и службы Active Directory. Этот инструмент дает вам контроль и понимание сайтов и услуг. Это позволяет планировать репликацию и определять топологию AD.

Почему в качестве конечного названия для «Project Honolulu» было выбрано название «Windows Admin Center»?Why was «Windows Admin Center» chosen as the final name for «Project Honolulu»?

Windows Admin Center — это официальное название продукта Project Honolulu. В нем отражается наше видение интегрированных возможностей для ИТ-администраторов, направленных на работу с целым спектром административных задач и сценариев управления.Windows Admin Center is the official product name for «Project Honolulu» and reinforces our vision of an integrated experience for IT admins across a breadth of core administrative and management scenarios. Это название также подчеркивает нашу ориентированность на клиентов в контексте потребностей ИТ-администраторов и характеризует то, во что мы стремимся инвестировать средства и какие возможности стараемся предоставлять.It also highlights our customer-focus on IT admin user needs as central to how we invest and what we deliver.

Как настроить гарнитуру на Windows 7 и проверить ее

Для проверки микрофона на наушниках можно использовать интернет-сервисы. Они позволяют понять, принимает ли устройство звук. Также для этих целей подойдет Скайп. Можно осуществить пробный звонок роботу, после сигнала нужно говорить в микрофон. Если в записи слышен голос, то устройство исправно.

Инструкция по настройке гарнитуры:

1. Зайти в меню «Пуск» и выбрать с правой стороны «Панель управления».
2. Найти раздел «Звук» и выбрать вкладку «Запись».
3. Нажать на «Микрофон», а потом «Свойства».
4. Кликнуть на «Прослушать» и поставить галочку напротив варианта, который позволяет слушать с этого устройства. В этой же вкладке есть уровни звука, с помощью которых можно регулировать и мощность.

Обратите внимание! Некоторые устройства устанавливают ограничение в несколько децибел. Ознакомиться с параметрами можно в инструкции

Настройка через диспетчер звуковой карты:

1. Необходимо зайти в раздел «Оборудование звука».
2. Найти звуковую карту.
3. Кликнуть правой кнопкой на пустое место и выбрать «Расширенные опции» и выбрать «Независимые наушники».
4. В нижнем левом углу найти раздел «Расширенный режим» и перейти в «Наушники».

Теперь можно производить дополнительные настройки с устройством, устанавливая громкость, проверяя динамики. Можно по очереди прослушать звучание голоса сначала в одном наушнике, потом в другом.

Причин, по которым звука в наушниках может не быть, много. Исправить их возможно при помощи обновления драйверов, настройки устройства через внутренние инструменты виндовс. Все инструкции просты, поэтому трудностей возникнуть не должно.

ОбзорOverview

Обзор позволяет просматривать текущее состояние ЦП, памяти и производительности сети, а также выполнять операции и изменять параметры на целевом компьютере или сервере.Overview allows you to see the current state of CPU, memory, and network performance, as well as perform operations and modify settings on a target computer or server.

КомпонентыFeatures

В обзоре диспетчер сервера поддерживаются следующие функции:The following features are supported in Server Manager Overview:

• Просмотр сведений о сервереView server details
• Просмотр активности ЦПView CPU activity
• Просмотр активности памятиView memory activity
• Просмотр сетевых операцийView network activity
• Перезапуск сервераRestart server
• Завершение работы сервераShutdown server
• Включить метрики диска на сервереEnable disk metrics on server
• Изменение идентификатора компьютера на сервереEdit Computer ID on server
• Просмотрите IP-адрес контроллера BMC с помощью гиперссылки (требуется BMC-совместимая с IPMI).View BMC IP address with hyperlink (requires IPMI-compatible BMC).

Просмотр отзывов и предлагаемых функций для обзора сервера.View feedback and proposed features for Server Overview.