ICT4U_Active Directory – AGDLP

Active Directory staat beheerders toe om het beleid (rechten en instellingen) in het netwerk van een volledig bedrijf te beheren. We gaan verschillende zaken moeten gaan aanmaken binnen onze Active Directory (AD)

• Organizational Unit (OU)
• Gebruikers (A)
• Global Group (G)
• Domain Local (DL)

En daar na komen er ook nog permissies die we moeten gaan instellen. We gaan dit principe uitleggen aan de hand van een voorbeeld, dit is makkelijke voor te stellen.
We hebben een ORGANISATIE waar er 4 DEPARTEMENTEN zijn:

• LoonAdministratie
  • Guido Pallemans
  • Liesje Walschaerts
  • Linda Hombroeckx
• HR
  • Michel Drets
  • Anita Backx
  • Hanz Rimmer
• • IT
  • Frankie Loosveld
  • Alain Vandam
• Directie
  • Lydia Protut

We gaan dus eerst een Organizational Unit aanmaken in onze AD

• Loonadministratie
• HR
• IT
• Directie

We gaan ook een Organzational Unit aanmaken genaamd “Shares”. Hierin gaan we ook een OU aanmaken genaamd “Shares”. In deze OU’s gaan we de Domain Local aanmaken en Permissies geven.

• Shares
  • Loonadministratie
  • HR
  • IT
  • Directie

Ieder departement heeft ook zijn eigen share ter beschikking. Diensthoofden hebben “Full” rechten en medewerkers hebben “Modify” rechten.

Account GlobalGroups DomainLocal Permissions

1. Gebruiker(s) toevoegen aan global group
2. Global group toevoegen aan domain local group
3. Permissies instellen op domain local group die niet wijzigt
   (bevat informatie zoals naam van map en permissies)

Het is dus belangrijk dat je geen permissies gaat gaan geven aan individuele gebruikers, maar aan de Domain Local. Je gaat eerst en vooral een goede analyse moeten maken voor je gaat beginnen met AGDLP.
Je moet gaan uitmaken wat je departementen zijn, welke shares er aanwezig zijn, wie waar rechten op moet hebben.

Dit ga je eerst en vooral moeten uitschrijven.
Hier onder zie je een structuur van AD hoe ik het zou maken voor deze organisatie.

Structuur van een Active Directory

Om jouw Organisational Unit en Users aan te maken in de GUI, ga je in je “Server Manager” naar “Tools” en kies je voor “Active Directory Users and Computers”.

In dit scherm kunnen we al onze OU, Groepen, Domain Local en users toevoegen.
We beginnen met de OU’s van de Organisatie. Je kan dit op 2 manieren doen.

1. Je klikt met de rechtermuisknop op je domain (Lcorp.local), en kiest “New”. Ga door naar “Organizational Unit”.

Je gaat nu een naam geven aan je OU. Zorg er ook voor dat je “Protect container from accidental deletion” aangevinkt is. Dit zorgt er voor dat je deze OU niet per ongeluk kan verwijderen.

Klik hierna op “OK”

Klik daarna met _ORGANISATIE geselecteerd op de picto ‘Create a new organizational unit in the current container‘,

Je krijgt dan hetzelfde scherm als zojuist.
Geef de naam in van je OU. Je kan ook zien waar je deze OU gaat aanmaken. We gaan deze nu aan maken onder Lcorp.local/_ORGANISATIE.

Maak de overige OU’s ook aan in Active Directory, dan krijg je de structuur zoals hieronder.

Nu willen we in iedere OU binnen de OU _ORGANISATIE ook nog de diensthoofd OU en de Medewerkers OU. Maar deze gaan we aan maken via Powershell.

1. Open een Powershell Command Line
   Om binnen powershell in Active Directory te kunnen gaan wijzigen moeten we eerst de module van Active Directory gaan inladen binnen onze powershell. Dit kan je doen door het volgende commando “Import-Module ActiveDirectory”.

De module is nu ingeladen en kunnen we commando’s gaan uit voeren die wijzigingen kunnen aanbrengen in Active Directory zoals een OU toevoegen.

We gaan eerst Diensthoofd_Loon toevoegen in de OU LoonAdministratie. Dit doen we met het volgende commando.

New-ADOrganizationalUnit “Diensthoofd_loon” –Path` “OU=LoonAdministratie,OU=_ORGANISATIE,DC=Lcorp,DC=local“

Als je nu gaat kijken in “Active Directory Users and Computers”, ga je zien dat er een nieuwe OU is aangemaakt binnen LoonAdministratie.

We hadden het ons nog gemakkelijker kunnen maken met een script dat alle OU in 1 keer aanmaakt.

Maak als eerste een .txt bestand met jouw OU Structuur.

Wat we nu moeten doen is een script schrijven dat we steeds weer kunnen gebruiken, Je moet gewoon je OUStructure.txt aanpassen, en ja kan weer een hele OU structuur opbouwen, zonder veel moeite.

Op Powershell ISE als administrator.

Typ in je script venster:

Get-Content C:\jouw pad\OUStructure.txt | Foreach-Object {
  $domain = 'DC=Lcorp,DC=local'
  $allOU = ''
  $ous = (Split-Path $_ -Parent).Split('\')
  [array]::Reverse($ous)
  $ous | Foreach-Object {
    if ($_.Length -eq 0) {
      return
    }
    $allOU = $allOU + 'OU=' + $_ + ','
  }
  $allOU += $domain
  $NewOU = Split-Path $_ -Leaf

  New-ADOrganizationalUnit -Name "$NewOU" -Path "$allOU" -ProtectedFromAccidentalDeletion $false
}

Als volgende gaan we nu een user toevoegen aan een OU.

OPTIE 1

We gaan Lydia Protut toevoegen aan de Directie OU.

Open “Active Directory Users and Computers” en ga naar de directie OU.

Klik met de rechtermuisknop op de OU directie, kies voor “New” en kies dan voor “User”.

Je kan ook kiezen om te gaan via de picto “New User”.

Geef alle gegevens in die je wilt invullen en klik daarna op “Next”.
In het volgende scherm ga je een wachtwoord kunnen aanmaken voor de gebruiker. Je gaat hier een standaard-wachtwoord ingeven, dat je voor alle users gaat gebruiken. Je zorgt er dan voor dat je “User must change password at next logon” aanvinkt.

Dit gaat er voor zorgen dat als de user de volgende keer aanmeldt met jouw gegeven wachtwoord, hij een eigen wachtwoord moet kiezen.

Je krijgt nog een kort overzicht van de gebruiker. Je kan hier op “Finish” klikken en je gebruiker is aangemaakt.

OPTIE 2

Dit ga je natuurlijk ook in powershell kunnen doen.

We gaan Guido Pallemans toevoegen in de OU diensthoofd_loon in de OU LoonAdministratie. Geef het volgende commando in om een user aan te maken.

New-ADUser -name “Guido Pallemans” -GivenName “Guido” -Surname “Pallemans”
-SamAccountName “Guido.Pallemans” -UserPrincipalName “Guido.pallemans@lcorp.local”
-path “OU=Diensthoofd_loon,OU=LoonAdministratie,OU=_ORGANISATIE,DC=Lcorp,DC=local”
-AccountPassword (ConvertTo-SecureString “Appel.Sap” -AsPlainText -Force) -Enabled
$true -ChangePasswordAtLogon $true

Er gaat een foutmelding verschijnen als je deze tekst gebruikt. Dit commando zou als 1 regel behandeld moeten worden. Los het probleem op zodat de gebruiker Guido Pallemans toegevoegd wordt in de OU Diensthoofd_Loon