Active Directory

Instalação baseado em Windows Server 2008 R2

* Segue video demonstrando a instalação do serviço de diretório Active Directory baseado em Windows Server 2008 R2

Configurar a placa de rede no servidor AD com serviço DNS

campo DNS pri colocar 127.0.0.1  e DNS sec deixar em branco  quando tiver dois DNS na rede interna, dessa maneira funciona a mudança de dns caso o primario caia

Migrar AD

* Passos para substituir ou migrar AD principal existente

Referencias

 1 / 2 / 3 / 4 / 5 /

Comandos

* Consulta

* Filtro LDAP

* Active Directory LDAP Syntax Filters

AVALIAR

== Administração Active Directory ==

=== Migração AD 2008 R2 para AD 2012 ===

==== Preparar a Floresta ====

* Primeiramente validar se o nível da floresta possui as configurações para o Windows 2003 ou superior.

* Colocar o CD do Windows 2012 no Windows 2008 R2 para executar o ADPREP.

<pre style="white-space: pre-wrap; white-space: -moz-pre-wrap; word-wrap: break-word">

D:\>cd e:\support\adprep

D:\support\adprep>adprep.exe /?

D:\support\adprep>adprep.exe /forestprep

ADPREP WARNING:

Before running adprep, all Windows Active Directory Domain Controllers in the fo

rest must run Windows Server 2003 or later.

You are about to upgrade the schema for the Active Directory forest named 'expoe

nte.com.br', using the Active Directory domain controller (schema master) 'expoe

nte15.expoente.com.br'.

This operation cannot be reversed after it completes.

[User Action]

If all domain controllers in the forest run Windows Server 2003 or later and you

 want to upgrade the schema, confirm by typing 'C' and then press ENTER to conti

nue. Otherwise, type any other key and press ENTER to quit.

c

Forest-wide information has already been updated.

[Status/Consequence]

Adprep did not attempt to rerun this operation.

</pre>

<pre style="white-space: pre-wrap; white-space: -moz-pre-wrap; word-wrap: break-word">

d:\support\adprep>adprep /domainprep /gpprep

Domain-wide information has already been updated.

[Status/Consequence]

Adprep did not attempt to rerun this operation.

No Group Policy Object (GPO) updates needed, or GPO information has already been

 updated.

[Status/Consequence]

Adprep did not attempt to rerun this operation.

</pre>

=== Migração AD 2008 para AD 2008R2 ===

==== Preparar a Floresta ====

* Primeiramente validar se o nível da floresta possui as configurações para o Windows 2003 ou superior.

* Colocar o CD do Windows 2008 R2 no Windows 2008 para executar o ADPREP.

<pre style="white-space: pre-wrap; white-space: -moz-pre-wrap; word-wrap: break-word">

E:\>cd e:\support\adprep

E:\support\adprep>adprep32.exe /?

E:\support\adprep>adprep32.exe /forestprep

ADPREP WARNING:

Before running adprep, all Windows 2000 Active Directory Domain Controllers in t

he forest should be upgraded to Windows 2000 Service Pack 4 (SP4) or later.

[User Action]

If ALL your existing Windows 2000 Active Directory Domain Controllers meet this

requirement, type C and then press ENTER to continue. Otherwise, type any other

key and press ENTER to quit.

c

Forest-wide information has already been updated.

[Status/Consequence]

Adprep did not attempt to rerun this operation.

</pre>

<pre style="white-space: pre-wrap; white-space: -moz-pre-wrap; word-wrap: break-word">

E:\support\adprep>adprep32.exe /domainprep

Running domainprep ...

Domain-wide information has already been updated.

[Status/Consequence]

Adprep did not attempt to rerun this operation.

</pre>

<pre style="white-space: pre-wrap; white-space: -moz-pre-wrap; word-wrap: break-word">

E:\support\adprep>adprep32.exe /domainprep /gpprep

Running domainprep ...

Domain-wide information has already been updated.

[Status/Consequence]

Adprep did not attempt to rerun this operation.

No Group Policy Object (GPO) updates needed, or GPO information has already been

 updated.

[Status/Consequence]

Adprep did not attempt to rerun this operation.

</pre>

==== Migrar as FSMO ====

* [http://expoente56/wiki/Active_Directory#Migrar_as_FSMO_2]

==== Configurar/Revisar o serviço NTP ====

* O serviço NTP Meinberg não pode estar no AD Primario, se estiver no primario tende a falhar na atualização. <- VALIDAR

* Parace que o serviço de ntp funciona adequadamente no BDC.  <- VALIDAR

* Migrar o serviço NTP

=== Comandos por linha de comando ===

* [https://dougvitale.wordpress.com/2013/02/07/network-administration-commands-for-microsoft-windows-and-active-directory/ Link] com dicas de comandos.

* Os comandos existentes para gerenciar o AD por linha de comando são

<center>

{|border="2" cellpadding="4" cellspacing="0" style="margin: 1em 1em 1em 0; background: #f9f9f9; border: 1px #aaa solid; border-collapse: collapse; font-size: 95%; line-height: 15px;"

!COMANDO !!DESCRIÇÃO

|-

|CSVDE || Importar e exportar dados do Active Directory usando o formato separado por vírgula.

|-

|Dsadd || Adicionar usuários, grupos, computadores, contatos e unidades organizacionais ao Active Directory.

|-

|Dsmod || Modificar um objeto existente de determinado tipo no diretório. Os tipos de objetos que podem ser modificados são: usuários, grupos, computadores, contatos e unidades organizacionais.

|-

|Dsrm || Remover objetos do tipo especificado do Active Directory.

|-

|Dsmove || Renomear um objeto sem movê-lo na árvore de diretório ou mover um objeto de sua localização atual no diretório para uma nova localização em um único controlador de domínio. (Para as transferências entre domínios, use a ferramenta de linha de comando Movetree.)

|-

|Dsquery || Consultar e localizar uma lista de objetos no diretório através de critérios de pesquisa especificados. Use um modo genérico para consultar qualquer tipo de objeto ou, em um modo especializado, para procurar tipos de objeto selecionados. Os tipos específicos de objetos que podem ser consultados com este comando são: computadores, contatos, sub-redes, grupos, unidades organizacionais, sites, servidores e usuários.

|-

|Dsget || Exibir atributos selecionados de tipos de objeto específicos no Active Directory. Podem ser exibidos atributos destes tipos de objeto: computadores, contatos, sub-redes, grupos, unidades organizacionais, servidores, sites e usuários.

|-

|LDIFDE || Criar, modificar e excluir objetos de diretório. Esta ferramenta também pode ser usada para estender o esquema, exportar informações de usuários e grupos do Active Directory para outros aplicativos ou serviços e preencher o Active Directory com dados de outros serviços de diretório.

|-

|Ntdsutil || Ferramenta de gerenciamento do Active Directory para fins gerais. Use o Ntdsutil para realizar a manutenção de banco de dados do Active Directory, gerenciar operações de mestre únicas e remover metadados deixados pelos controladores de domínio removidos da rede sem uma desinstalação adequada.

|}

</center>

==== DSQUERY ====

* Listar membros do grupo Domain Admins

<pre style="white-space: pre-wrap; white-space: -moz-pre-wrap; word-wrap: break-word">

C:\>dsquery group -name "Domain Admins" | dsget group -members -expand

C:\>dsget group "CN=Domain Admins,OU=Groups,DC=expoente,DC=com,DC=br" -members -expand

</pre>

* Lista user/computer inativo ha 3 meses

<pre style="white-space: pre-wrap; white-space: -moz-pre-wrap; word-wrap: break-word">

C:\>dsquery user -limit 0 -inactive 12

C:\>dsquery computer -limit 0 -inactive 12

Nota: O parâmetro "-limit 0" é informado para que a consulta retorne todos os registros, pois por padrão o dsquery retorna somente os 100 primeiros registros da consulta; O parâmetro "-inactive 12" define um filtro com a quantidade de semanas a ser pesquisada.

</pre>

PS C:\> dsquery * domainroot -attr legacyExchangeDN,name -limit 0 > legacy.txt

PS C:\> dsquery * -scope subtree -attr cn,sAMAccountName,LegacyExchangeDN -limit 0 | Out-File legacy.txt

PS C:\> dsquery * "ou=Grupos de Email Diversos,dc=expoente,dc=com,dc=br" -limit 0 -attr displayName,mail,member > groupmail.txt

[http://technet.microsoft.com/pt-br/library/cc754232(v=ws.10).aspx DSQuery]

==== Get-ADUser ====

* Listar usuarios do AD, abra o powershell e digite o comando abaixo

<pre style="white-space: pre-wrap; white-space: -moz-pre-wrap; word-wrap: break-word">

PS C:\> Import-module ActiveDirectory

PS C:\> Get-ADUser -filter * -searchbase "dc=expoente,dc=com,dc=br" | fl SamAccountName > C:\usuarioAD.txt

</pre>

[http://technet.microsoft.com/en-us/library/ee617241.aspx GET-ADUser]

=== GPO - Group Policy ===

==== Internet Explorer ====

* Para verões a partir do Windows 2012 a '''Computer Policy''' não existe mais então é necessário ajustar manualmente via registro.

* No [https://support.microsoft.com/en-us/kb/182569 link] ajuda a configurar a tab '''Security''' das '''Opções de Internet'''

=== Reset GPO ===

* Para resetar a GPO pode usar o comando abaixo:

C:\> dcgpofix [/ignoreschema][/target: {domain | dc | both}]

ignoreschema - Ignora a versão do Schema do Active Directory

domain - Default Domain Policy

dc - Default Domain Controler Policy

both - ambos

=== Passos para verificar a saúde do DC ===

1 - Resolução de nomes correta - DNS forward e reverso   

\> nslookup

Default Server: server.domain.com.br

Address: 10.0.0.90

2 - Verificar os compartilhamentos pelo FQDN e DC   

\\domain.com.br

\\server.domain.com.br

3 - Verificar a diretórios Sysvol, Netlogon(scripts) e Policies       

\> start sysvol

4 - Verificar as FSMO                   

\> netdom query fsmo

5 - Verificar Eventvwr

[https://www.youtube.com/watch?v=3BBZNTYh5M4]

=== Disaster Recovery do _MSDCS do DNS Microsoft ===

[https://www.youtube.com/watch?v=z89ZAsaJ4-8] /

[http://www.linhadecodigo.com.br/artigo/2118/disaster-recovery-do-_msdcs-do-dns-microsoft.aspx]

=== Comando NET ===

* Decobre todos os usuario de determinado grupo

NET GROUP "nome grupo" /DOMAIN

=== VALIDAR ===

(&(objectClass=person)(objectCategory=CN=Person,CN=Schema,CN=Configuration,DC=expoente,DC=com,DC=br))

(&(&(objectClass=person)(objectCategory=CN=Person,CN=Schema,CN=Configuration,DC=expoente,DC=com,DC=br)(legacyExchangeDN=/o=Expoente/ou=First Administrative Group/cn=Recipients/cn=wellwanger)))

(&(&(objectClass=person)(objectCategory=CN=Person,CN=Schema,CN=Configuration,DC=expoente,DC=com,DC=br)(legacyExchangeDN=/o=Expoente/ou=First Administrative Group/cn=Recipients/cn=*)))

=== Referencia ===

[http://technet.microsoft.com/pt-br/library/cc778414%28v=ws.10%29.aspx]

[http://www.linhadecodigo.com.br/artigo/2793/usando-linhas-de-comando-para-gerenciar-objetos-no-active-directory.aspx]

[http://csperansa.blogspot.com.br/2010/11/consultas-query-active-directory.html]

[http://4sysops.com/archives/free-active-directory-search-server-admin/ Active Directory Search – Server Admin] /

[http://blogs.technet.com/b/heyscriptingguy/archive/2010/12/01/use-powershell-to-query-active-directory-from-the-console.aspx ]