понедельник, 25 ноября 2013 г.

GPO. Применить политику к группе пользователей.


По умолчанию политика пользователя привязана к контейнеру и соответственно всем пользователям внутри него (прошедшим аутентификацию).
Задача. Сделать гибкую настройку, не перемещая объекты AD.
Решение.

  1. Создаем политику. Подкручиваем в политике пользователя что нужно. 
  2. Настраиваем значение "Security Filtering". Указываем здесь группу к которой применять политику. Например "mydomain-users"
  3. Если нужно исключить например "mydomain-asu" (в предположении, что члены группы "mydomain-asu" входят также в группу "mydomain-users"). Идем на вкладку "Deligation". Добавляем сюда группу "mydomain-asu" - "Advanced" - даем "full" - !!! снимаем последнюю галочку "Apply group policy" . 
Хитрость проста: На применение политики также нужны права.  Дайте их кому необходимо или заберите у избранных.

Яркий пример зачем это нужно - запрещаем пользователям командную строку, но оставляем разрешение для сотрудников асу.

пятница, 15 ноября 2013 г.

выгрузка данных из AD в Excel


Спасибо источнику: http://www.rublin.org/article/skript-izmeneniya-svoistv-polzovatelya-v-ad
слегка подправлено под собчстенные нужды - изменения выделены цветом
Проверено на Windows 2008 R2 Enterprise c ролями addc,dns,dhcp.

SET objRootDSE = GETOBJECT("LDAP://RootDSE")
strExportFile = "C:\scripts\111.xls"
strRoot = objRootDSE.GET("DefaultNamingContext")
strOES = "ou=users,ou=your conteiner" & strRoot
strfilter = "(&(objectCategory=Person)(objectClass=User))"
strAttributes = "sAMAccountName,userPrincipalName,givenName,sn," & _
                                "initials,displayName,physicalDeliveryOfficeName," & _
                                "telephoneNumber,mail,wWWHomePage,profilePath," & _
                                "scriptPath,homeDirectory,homeDrive,title,department," & _
                                "company,manager,homePhone,pager,mobile," & _
                                "facsimileTelephoneNumber,ipphone,info," & _
                                "streetAddress,postOfficeBox,l,st,postalCode,c"
strScope = "subtree"


SET cn = CREATEOBJECT("ADODB.Connection")
SET cmd = CREATEOBJECT("ADODB.Command")
cn.Provider = "ADsDSOObject"
cn.Open "Active Directory Provider"
cmd.ActiveConnection = cn
cmd.Properties("Page Size") = 1000
cmd.commandtext = "<LDAP://" & stroes & ">;" & strFilter & ";" & _
                                   strAttributes & ";" & strScope
SET rs = cmd.EXECUTE
SET objExcel = CREATEOBJECT("Excel.Application")
SET objWB = objExcel.Workbooks.Add
SET objSheet = objWB.Worksheets(1)
FOR i = 0 To rs.Fields.Count - 1
                objSheet.Cells(1, i + 1).Value = rs.Fields(i).Name
                objSheet.Cells(1, i + 1).Font.Bold = TRUE
NEXT
objSheet.Range("A2").CopyFromRecordset(rs)
objWB.SaveAs(strExportFile)
rs.close
cn.close
SET objSheet = NOTHING
SET objWB =  NOTHING
objExcel.Quit()
SET objExcel = NOTHING
Wscript.echo "Script Finished..Please See " & strExportFile

XP перезагружается после установки обновления (KB2862152). ошибка lsass.exe

Выявлена несовместимость  обнолвения KB2862152  на ОС Windows XP sp3 (+ все предыдущие обновления безопасности) c программным обеспечением Secret Net
Симптомы:
После установки обновления и перезагрузки система впадает в циклическую перезагрузку по таймауту 1 минута (предупреждает даже :) ). Есть подозрение, что cрабатывает механизм защиты Secret Net от несанкционированного доступа. На некоторых компах проскакивает еще ошибка lsass.exe, но не при каждой перезагрузке. Закономерность выявить не удалось.
Решение: деинсталлировать обновление ( и зависимые):   KB28686226,  KB2900986, KB2862152 на проблемных компах. Отменить approval  этих обновлений на сервере WSUS.

пятница, 27 сентября 2013 г.

Создается временный профиль пользователя.


Решение 1.  На сайте майкрсофт:  http://support.microsoft.com/kb/947215
Почистить реестр  HKLM\SOFTWARE\Microsoft\Windows NT\CorrentVersion\ProfileList\
Убить профиль с диска(ест-нно сохранить что нужно). Перезегрузка - вход.

Решение 2. Если не помогло 1. случай такой. Windows 8.1. Ввела в домен. Создается временный профиль для 1 учетки. Другие учетки - норм. оказалось очень большой профиль. Отключение Roaming Profiles помогло.


среда, 14 августа 2013 г.

ОИК "Интерфейс". Установка ПО "Настройка серверов" на рабочую станцию.

Задача:
Закрыть доступ сотрудникам отдела телемеханики к рабочим столам серверов телемеханики :), предоставив им возможность настройки всех параметров ОИК с их рабочей станции. Типа разделение полномочий - сисадмин отвечает за железо и ОС, телемеханики рулят своим ПО.
Решение - на рабочей станции:

  1. Устанавливаем комплекс сервера. При установке выбираем - "только программное обеспечение".
  2. Настраиваем список известных компьютеров. (по аналогии с настройкой клиентов)
  3. Задаем компьютер "по-умолчанию" (основной сервер телемеханики)
Тонкость 1: если на компе установлен еще и клиент и для него были настроены алиасы через cfssetup.exe - то нужно их продублировать в "список известных компьютеров". Поскольку установка ПО сервера изменяет ключик в реестре, откуда брать список алиастов.

Тонкость 2: если клиент и сервер находятся в разных подсетях, нужно открыть порт 950 в обе стороны.


ОИК "Интерфейс". Настройка связи с клиентами.


Исходные данные: 2 сервера ОИК  в отдельной подсети НЕ в домене.
Задача: подцепить клиентов из домена (не админы на своих рабочих станциях).
Решение.

Настройки со стороны сервера:

В ПО ОИК:
  1.  Выставить Уровень безопасности  - совместимостьс DOS-клиентами  
  2. Мастер-сервис - безопасность - добавить группу iface_operator и проставить галочкинапротив необходимых прав.(Загадка почему инсталлятор разработчика создает группу iface_operator  но не добавляет ее автоматически даже с минимальными правами. В общем из-за этого п.2,3 делаем руками.)
  3. Сервер-ТМ - безопасность - добавить группу iface_operator и проставить галочкинапротив необходимых прав. 
В Настройках  Windows:
  1. Создаем локальных пользователей, соответствующих клиентам. Задаем сложный пароль. Создаем табличку, где все документируем.
  2. Включаем лок. пользователей в группу iface_operators.
Настройки со стороны клиента:
  1. Установили клиента. Параметры по умолчанию.
  2. Дали полные права на файл C:\windows\interfaceSSH\main\data\cfshare.ini  (или выполнить п.3-5 под администратором - в случае Windows 7 ТОЛЬКо под встроенной учетной записью администратора)
  3. Запустили C:\Program Files\InterfaceSSH\WinDispNT\cfssetup.exe
  4. Для каждого сервера создали алиас: тип связи  TCP/IP .
  5. Для каждого сервера задали пользователя (созданного в. п.1 выше)
Дальше самое интересное: Бывает, что настройки алиасов не сохраняются. В этом случае
  1. Пробуем настроить алиасы из-под админа. Если под админом сохраняет, можно настроить и успокоиться, но означает, что недокрутили права.
  2. Бывает, что слетает ключ HKEY_LOCAL_MACHINE\SOFTWARE\InterfaceSSH\ переменная ServerPath  - значение должно быть пусто.








четверг, 25 июля 2013 г.

vbs. Запуск msi + ярлык на рабочий стол. Ставим Graphviz.


Тонкость только в том, что в сети 2 типа клиентских операционных систем.

Set WshShell = WScript.CreateObject("WScript.Shell")
WshShell.Run "msiexec.exe /I graphviz-2.30.1.msi /passive /qn"

sOSType = Trim(WshShell.RegRead("HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\CurrentVersion"))
If sOSType = "5.1" Then
strDesktop = WshShell.SpecialFolders("AllUsersDesktop")
Set oMyShortCut= WshShell.CreateShortcut(strDesktop & "\graphviz.lnk")
oMyShortCut.TargetPath = "C:\Program Files\Graphviz2.30\bin\gvedit.exe"
oMyShortCut.WorkingDirectory = "C:\program Files\Graphviz2.30\bin"
oMyShortCut.Description = "[GraphViz]"
oMyShortCut.Save
ELSE
strDesktop = WshShell.SpecialFolders("AllUsersDesktop")
Set oMyShortCut= WshShell.CreateShortcut(strDesktop & "\graphviz.lnk")
oMyShortCut.TargetPath = "C:\program Files (x86)\Graphviz2.30\bin\gvedit.exe"
oMyShortCut.WorkingDirectory = "C:\program Files (x86)\Graphviz2.30\bin"
oMyShortCut.Description = "[GraphViz]"
oMyShortCut.Save
End IF