Konta urzydkowników i grup003.pdf

Tworzenie i zarz Ģ dzanie kontami u Ň ytkowników

Aby u Ň ytkownik mógł korzysta ę z systemu operacyjnego, musi w nim mie ę utworzone

konto. Konto jest zbiorem parametrów opisuj Ģ cych u Ň ytkownika jak równie Ň przydzielonych

mu pewnych zasobów systemowych. Podstawowe parametry konta to nazwa logowania, któr Ģ

u Ň ytkownik musi poda ę , aby móc rozpocz Ģę prac ħ w systemie, oraz hasło potrzebne do

sprawdzenia to Ň samo Ļ ci. Pozostałe parametry to m.in. pełna nazwa konta, pory dnia, w

których mo Ň liwe jest logowanie, data wyga Ļ ni ħ cia konta.

Konta dziel Ģ si ħ na wbudowane – s Ģ tworzone automatycznie podczas instalacji

systemu i charakteryzuj Ģ si ħ tym, Ň e nie mo Ň na ich usuwa ę , oraz tworzone przez

uprawnionych u Ň ytkowników ju Ň w zainstalowanym systemie. Jest jeszcze jeden sposób

podziału kont – na konta lokalne i konta u Ň ytkowników domenowych. Te pierwsze mog Ģ by ę

tworzone na osobnych komputerach nie podł Ģ czonych do sieci, na komputerach wchodz Ģ cych

w skład grupy roboczej lub na komputerach nale ŇĢ cych do domeny, lecz nie b ħ d Ģ cych jej

kontrolerami. Wła Ļ ciciel takiego konta ma dost ħ p tylko do lokalnych zasobów komputera.

Konta u Ň ytkowników domenowych mog Ģ by ę tworzone tylko na kontrolerach domen,

natomiast ich wła Ļ ciciele maj Ģ dost ħ p do zasobów sieciowych a nie tylko lokalnych zasobów

komputera, na którym dany u Ň ytkownik jest zalogowany.

Konwencje dotycz Ģ ce nazw i haseł

Nazwy logowania kont u Ň ytkowników domenowych musz Ģ by ę niepowtarzalne w bazie

Active Directory

Pełne nazwy kont u Ň ytkowników domenowych musz Ģ by ę niepowtarzalne w obr ħ bie

domeny, w której s Ģ tworzone konta.

Nazwy kont u Ň ytkowników lokalnych musz Ģ by ę niepowtarzalne w obr ħ bie maszyny, na

której s Ģ tworzone konta.

Nazwy logowania mog Ģ zawiera ę do 20 znaków literowych i cyfrowych z pomini ħ ciem

nast ħ puj Ģ cych znaków o specjalnym znaczeniu: ” / \ [ ] ; ; | = , + * ? < >

Konto administratora powinno by ę zawsze zabezpieczone hasłem w celu unikni ħ cia

dost ħ pu osób niepowołanych do tego konta

Hasła mog Ģ zawiera ę do 128 dowolnych znaków; zalecane s Ģ hasła o długo Ļ ci co

najmniej o Ļ miu znaków i trudne do odgadni ħ cia, albo automatycznego wygenerowania

Uprawnienia u Ň ytkowników

Istniej Ģ dwa rodzaje uprawnie ı , którymi mog Ģ dysponowa ę u Ň ytkownicy –

uprawnienia do wykonywania pewnych operacji w systemie nie zwi Ģ zanych z okre Ļ lonymi

zasobami, oraz prawa dost ħ pu do poszczególnych zasobów. Drugi rodzaj uprawnie ı jest

tematem rozdziału „Udost ħ pnianie zasobów”. Tutaj zostanie opisany pierwszy rodzaj.

Uprawnienia mog Ģ by ę przyznawane poszczególnym u Ň ytkownikom lub grupom

u Ň ytkowników. Zazwyczaj jednak uprawnienia nadawane s Ģ grupom i stanowi Ģ kryterium

przynale Ň no Ļ ci do tej b Ģ d Ņ innej grupy. Nast ħ pnie do poszczególnych grup dodawani s Ģ

u Ň ytkownicy i w ten sposób nabywaj Ģ oni okre Ļ lone uprawnienia.

Operacje, do których wykonania potrzebne s Ģ omawiane uprawnienia to m.in.:

Logowanie lokalne – mo Ň liwo Ļę logowania si ħ na konto u Ň ytkownika lokalnego lub

logowania do domeny z lokalnego komputera

Zmiana czasu systemowego – mo Ň liwo Ļę przestawienia wewn ħ trznego zegara w komputerze

jak równie Ň zmiany strefy czasowej

Zamykanie systemu – uruchomienie procesu przygotowuj Ģ cego komputer do bezpiecznego

wył Ģ czenia

Dost ħ p do komputera z sieci – ł Ģ czenie si ħ z udost ħ pnionymi zasobami komputera lokalnego

z innego komputera w sieci

Konta u Ň ytkowników lokalnych

Konta u Ň ytkowników lokalnych s Ģ zazwyczaj u Ň ywane w niewielkich sieciach (np.

składaj Ģ cych si ħ z kilku komputerów tworz Ģ cych grup ħ robocz Ģ ), lub na osobnych

komputerach nie podł Ģ czonych do sieci. W zasadzie mo Ň na utworzy ę konto u Ň ytkownika

lokalnego na komputerze wchodz Ģ cym w skład domeny, lecz nie b ħ dzie ono rozpoznawane

przez serwer domeny i wła Ļ ciciel takiego konta b ħ dzie miał dost ħ p tylko do lokalnych

zasobów danego komputera.

Je Ļ li u Ň ytkownik ma konto domenowe, oraz konto lokalne na jednym z komputerów

domeny, to na tym komputerze mo Ň e si ħ logowa ę albo jako u Ň ytkownik lokalny, albo

domenowy. Nie jest mo Ň liwe jednoczesne logowanie do domeny i do lokalnego komputera.

Informacje o kontach lokalnych s Ģ przechowywane w bazie SAM (Security Access

Management) b ħ d Ģ cej lokaln Ģ baz Ģ kont komputera, nie s Ģ natomiast zapisywane do bazy

Active Directory, której kopie znajduj Ģ si ħ w kontrolerach domeny.

Wbudowane konta lokalne

W systemie Windows 2003 istniej Ģ dwa podstawowe, wbudowane konta lokalne –

„Administrator” i „Go Ļę ”. Konto „Go Ļę ” jest standardowo zablokowane, je Ļ li wi ħ c

administrator chce umo Ň liwi ę korzystanie z tego konta, powinien je odblokowa ę . Konto

„Go Ļę ” nie jest zabezpieczone hasłem.

Wbudowanych kont lokalnych nie mo Ň na usun Ģę .

Hasło do konta „Administrator” podawane jest podczas instalacji systemu. Je Ļ li

administrator zapomni swoje hasło, to jedynym wyj Ļ ciem z sytuacji mo Ň e by ę ponowna

instalacja Windows. Administrator ma pełne prawa do wszystkich zasobów komputera. Mo Ň e

równie Ň tworzy ę , modyfikowa ę i usuwa ę konta u Ň ytkowników lokalnych (oprócz

wbudowanych), oraz grupy lokalne.

Tworzenie i konfigurowanie kont u Ň ytkowników lokalnych

Do tworzenia i konfigurowania kont u Ň ytkowników lokalnych słu Ň y narz ħ dzie

„Zarz Ģ dzanie komputerem lokalnym”. Aby je uruchomi ę , nale Ň y w podanej kolejno Ļ ci

otworzy ę :

Start -> Programy -> Narz ħ dzia administracyjne -> Zarz Ģ dzanie komputerem

Okno „Zarz Ģ dzanie komputerem” podzielone jest na dwie cz ħĻ ci. Z lewej strony znajduje si ħ

lista folderów, a z prawej strony wy Ļ wietlana jest zawarto Ļę zaznaczonego aktualnie folderu.

Aby utworzy ę konto lokalne, nale Ň y dotrze ę do folderu „U Ň ytkownicy”, otwieraj Ģ c

kolejno:

Zarz Ģ dzanie Komputerem Lokalnym -> Narz ħ dzia Systemowe -> U Ň ytkownicy i Grupy

Lokalne

nast ħ pnie prawym przyciskiem myszy klikn Ģę folder „U Ň ytkownicy” i z otwartej w ten

sposób listy wybra ę opcj ħ „Nowy U Ň ytkownik”. Otworzy si ħ wówczas okno, w którym

nale Ň y wypełni ę pola „Nazwa U Ň ytkownika”, „Pełna Nazwa U Ň ytkownika” i „Opis”. W

polach „Hasło” i „Potwierd Ņ hasło” nale Ň y wpisa ę hasło , które ma by ę u Ň ywane przez

u Ň ytkownika do logowania, przy czym wpisywane hasło nie b ħ dzie wy Ļ wietlało si ħ na

ekranie. Potwierdzanie hasła słu Ň y zabezpieczeniu si ħ przed nie Ļ wiadomie popełnianymi

bł ħ dami literowymi. System wezwie nas do ponownego dwukrotnego wpisania hasła, je Ļ li

hasło potwierdzone nie b ħ dzie takie samo jak hasło „oryginalne”. Mo Ň emy teraz zaznaczy ę

opcje nakładaj Ģ ce na hasło ró Ň ne ograniczenia i zako ı czy ę tworzenie konta wciskaj Ģ c

przycisk „Utwórz”.

Konta u Ň ytkowników domenowych

Konta u Ň ytkowników domenowych s Ģ tworzone na kontrolerach domeny i zapewniaj Ģ

ich wła Ļ cicielom dost ħ p do zasobów sieciowych, a nie tylko do lokalnych zasobów

komputera, na którym dany u Ň ytkownik jest zalogowany. Informacje o tych kontach

zapisywane s Ģ w bazie Active Directory i replikowane na wszystkich kontrolerach danej

domeny. U Ň ytkownik domenowy mo Ň e logowa ę si ħ na swoje konto domenowe z dowolnego

komputera domeny. Podczas logowania nast ħ puje poł Ģ czenie z pierwszym dost ħ pnym

kontrolerem domeny, który sprawdza podan Ģ przez u Ň ytkownika nazw ħ logowania i hasło, i

je Ļ li s Ģ podane prawidłowo – umo Ň liwia mu dost ħ p do zasobów domeny.

Wbudowane konta domenowe

W systemie Windows 2000 istniej Ģ dwa podstawowe, wbudowane konta domenowe –

„Administrator” i „Go Ļę ”. Konta te spełniaj Ģ podobn Ģ rol ħ jak analogiczne konta lokalne, z t Ģ

jednak ró Ň nic Ģ , Ň e umo Ň liwiaj Ģ one dost ħ p do zasobów całej domeny. Administrator domeny

ma pełne prawa dost ħ pu do wszystkich zasobów domeny, mo Ň e tworzy ę , modyfikowa ę i

usuwa ę konta u Ň ytkowników domenowych, oraz grupy domenowe. Konta administratora nie

mo Ň na zablokowa ę , mo Ň na natomiast nada ę mu inn Ģ nazw ħ . Wbudowanych kont

domenowych nie mo Ň na usuwa ę .

Tworzenie kont u Ň ytkowników domenowych

Do tworzenia i konfigurowania kont u Ň ytkowników domenowych słu Ň y narz ħ dzie

„U Ň ytkownicy i Komputery Active Directory”. Aby je uruchomi ę , nale Ň y zalogowa ę si ħ na

serwerze domeny i w podanej kolejno Ļ ci otworzy ę :

Start -> Ustawienia -> Panel Sterowania -> Narz ħ dzia Administracyjne -> U Ň ytkownicy i

Komputery Active Directory

Okno „U Ň ytkownicy i Komputery Active Directory” podzielone jest na dwie cz ħĻ ci. Z lewej

strony znajduje si ħ rozwijana lista domen i ich zasobów, a z prawej wy Ļ wietlana jest

zawarto Ļę zaznaczonego aktualnie folderu.

Aby utworzy ę konto domenowe, nale Ň y najpierw otworzy ę folder główny –

„U Ň ytkownicy i Komputery Active Directory”, a potem folder wła Ļ ciwej domeny. Nast ħ pnie

prawym przyciskiem myszy klikn Ģę folder „U Ň ytkownicy” i na otwartej w ten sposób li Ļ cie

wskaza ę opcje „Nowy”, a potem „U Ň ytkownik”. Otworzy si ħ wówczas okno „Nowy Obiekt –

U Ň ytkownik”, w którym nale Ň y wypełni ę pola: „Imi ħ ”, „Nazwisko”, „Inicjały” (opcjonalnie),

„Pełna nazwa”, „Nazwa logowania” (b ħ dzie u Ň ywana przez u Ň ytkownika podczas logowania

do domeny), „Nazwa logowania (w systemie starszym ni Ň Windows 2000). Po wypełnieniu

pól wciskamy przycisk „Next”, co spowoduje wy Ļ wietlenie okna, w którym nadajemy i

konfigurujemy hasło u Ň ytkownika. Hasło wpisujemy dwukrotnie w pola „Hasło” i „Potwierd Ņ

hasło”, przy czym działa tu mechanizm taki sam jak przy nadawaniu hasła u Ň ytkownikowi

lokalnemu. Nast ħ pnie w zale Ň no Ļ ci od potrzeb zaznaczamy lub pozostawiamy niezaznaczone

cztery nast ħ puj Ģ ce opcje nakładaj Ģ ce na hasło dodatkowe restrykcje: „U Ň ytkownik musi

zmieni ę hasło przy nast ħ pnym logowaniu”, „U Ň ytkownik nie mo Ň e zmienia ę hasła”, „Hasło

nigdy nie wygasa” i „Konto jest zablokowane”.

Uwaga: Opcja „U Ň ytkownik musi zmieni ę hasło przy nast ħ pnym logowaniu” uniewa Ň nia

opcj ħ „Hasło nigdy nie wygasa”.

Zarz Ģ dzanie kontami u Ň ytkowników domenowych

Z ka Ň dym nowo tworzonym kontem domenowym zwi Ģ zane s Ģ parametry domy Ļ lne,

podzielone na kilka grup. Parametrów tych nie konfiguruje si ħ podczas zakładania konta,

mo Ň na natomiast je modyfikowa ę , kiedy konto ju Ň istnieje w systemie. Aby dokona ę

modyfikacji parametrów konta, nale Ň y w podanej kolejno Ļ ci otworzy ę

Start -> Ustawienia -> Panel Sterowania -> Narz ħ dzia Administracyjne -> U Ň ytkownicy i

Komputery Active Directory,

w drzewie zasobów wła Ļ ciwej domeny zaznaczy ę folder „U Ň ytkownicy”, nast ħ pnie w panelu

szczegółów prawym przyciskiem myszy klikn Ģę wybrane konto. Z otwartej w ten sposób listy

nale Ň y wybra ę „Wła Ļ ciwo Ļ ci”, co spowoduje otwarcie okna z wła Ļ ciwo Ļ ciami konta. W oknie

tym widnieje szereg zakładek, które pozwalaj Ģ otwiera ę karty z poszczególnymi grupami

parametrów. Je Ļ li, na przykład, klikniemy zakładk ħ „Konto”, a na otwartej w ten sposób

karcie przycisk „Godziny logowania”, to b ħ dziemy mogli okre Ļ li ę pory dnia, w których dany

u Ň ytkownik b ħ dzie mógł logowa ę si ħ do domeny. Poza okre Ļ lonymi godzinami u Ň ytkownik

ten nie b ħ dzie miał dost ħ pu do domeny.

Administrator ma równie Ň mo Ň liwo Ļę wyznaczenia komputerów, z których

u Ň ytkownicy mog Ģ logowa ę si ħ do domeny. Standardowo u Ň ytkownicy mog Ģ logowa ę si ħ do

domeny z ka Ň dego komputera nale ŇĢ cego do tej domeny. Je Ļ li jednak administrator utworzy

dla danego u Ň ytkownika list ħ komputerów, z których mo Ň e on si ħ logowa ę do domeny, to

u Ň ytkownik ten nie b ħ dzie mógł si ħ logowa ę do domeny z Ň adnego komputera spoza tej listy.

W celu utworzenia takiej listy na karcie „Konto” nale Ň y wcisn Ģę przycisk „Logowanie na”.

Otworzy si ħ wówczas okno zawieraj Ģ ce pole do wpisania nazwy komputera i przycisk

„Dodaj”. Wpisanie nazwy komputera i wci Ļ ni ħ cie „Dodaj” powoduje umieszczenie

komputera na li Ļ cie. Przycisk „OK” słu Ň y do zako ı czenia edycji listy.

Uwaga: nie mo Ň na w ten sposób ograniczy ę dost ħ pu administratora do domeny.

Aby upro Ļ ci ę czynno Ļę zakładania kont domenowych wielu u Ň ytkownikom, mo Ň emy

skorzysta ę z mo Ň liwo Ļ ci kopiowania kont. Zakładamy w ten sposób nowe konto domenowe,

które jest „kopi Ģ ” ju Ň istniej Ģ cego konta, tzn. ma w wi ħ kszo Ļ ci takie same parametry, z

wyj Ģ tkiem praw dost ħ pu i niektórych parametrów takich jak np. adres czy telefony.

Uwaga: Przy kopiowaniu konta prawa dost ħ pu nie s Ģ kopiowane z konta Ņ ródłowego na

konto docelowe.

Aby utworzy ę kopi ħ istniej Ģ cego konta domenowego, nale Ň y otworzy ę „U Ň ytkownicy

i Komputery Active Directory”, w drzewie zasobów we wła Ļ ciwej domenie rozwin Ģę folder

„U Ň ytkownicy”, nast ħ pnie prawym klawiszem myszy klikn Ģę wybrane konto. Z otwartej w

ten sposób listy opcji wybieramy „Kopiuj”, w oknie dialogowym „Kopiuj Obiekt –

U Ň ytkownik” wpisujemy nazw ħ logowania nowego u Ň ytkownika, wciskamy przycisk „Dalej”

i wpisujemy dwukrotnie hasło, oraz zaznaczamy znane ju Ň opcje. Cał Ģ operacj ħ ko ı czymy

wciskaj Ģ c przycisk „Zako ı cz”.

Cz ħ sto stosowanym przez administratorów zabiegiem jest tworzenie tzw. szablonów

kont. Szablon jest po prostu zwykłym kontem domenowym, tyle tylko, Ň e z zaznaczon Ģ opcj Ģ

„Konto zablokowane”. Chodzi o to, aby nikt nie wykorzystał konta szablonowego w celu

uzyskania dost ħ pu do systemu. Korzystaj Ģ c z szablonów i mo Ň liwo Ļ ci kopiowania kont

mo Ň na znacznie przyspieszy ę proces zakładania kont w sieci obsługuj Ģ cej du ŇĢ organizacj ħ .

W tym celu nale Ň y podzieli ę u Ň ytkowników na grupy, w obr ħ bie których parametry

wi ħ kszo Ļ ci u Ň ytkowników niewiele si ħ ró Ň ni Ģ , dla ka Ň dej takiej grupy utworzy ę szablon i

tworzy ę z niego konta przy pomocy operacji kopiowania.

Profile u Ň ytkowników - konfigurowanie Ļ rodowiska pracy

W systemie Windows 2003 Ļ rodowisko pracy u Ň ytkownika determinowane jest przede

wszystkim przez tzw. profil. Mianem profilu okre Ļ la si ħ wszystkie ustawienia, które

u Ň ytkownik mo Ň e skonfigurowa ę , jak np. ikony wy Ļ wietlane na pulpicie, rozmieszczenie ikon

na pulpicie, tapeta b ħ d Ģ ca tłem pulpitu, ustawienia myszy, itd. Podstawowym profilem jest

tzw. profil lokalny, fizycznie b ħ d Ģ cy katalogiem tworzonym wtedy, kiedy u Ň ytkownik po raz

pierwszy loguje si ħ na danym komputerze. W tym katalogu, w postaci ró Ň nych plików,

zapisywane s Ģ wszystkie ustawienia wła Ļ ciwe dla u Ň ytkownika. Katalog z profilem ma nazw ħ

tak Ģ sam Ģ jak u Ň ytkownik i znajduje si ħ w katalogu „C:\Dokumenty i ustawienia” na

komputerze lokalnym. Kiedy u Ň ytkownik zamyka sesj ħ , katalog ten jest aktualizowany. W ten

sposób ka Ň dy u Ň ytkownik zachowuje osobiste ustawienia na komputerze, na którym

pracował. Istniej Ģ cztery typy profili:

Profil domy Ļ lny - słu Ň y jako szablon dla profili u Ň ytkowników loguj Ģ cych si ħ po raz

pierwszy na danej maszynie. Ka Ň dy nowo tworzony profil jest jego kopi Ģ

Profil lokalny - jest tworzony wtedy, kiedy u Ň ytkownik po raz pierwszy loguje si ħ na

danym komputerze i na tym komputerze jest przechowywany. Je Ļ li u Ň ytkownik otwiera

Plik z chomika:

Inne pliki z tego folderu:

Inne foldery tego chomika: