Настройка Windows Hello для бизнеса: Active Directory Configure Windows Hello for Business: Active Directory

Область применения Applies to

• Windows10 версии1703 или более поздней Windows 10, version 1703 or later
• Гибридное развертывание Hybrid deployment
• Доверие на основе сертификатов Certificate trust

Для процесса синхронизации ключей при гибридном развертывании Windows Hello для бизнеса требуется схема Active Directory для Windows Server 2016. The key synchronization process for the hybrid deployment of Windows Hello for Business needs the Windows Server 2016 Active Directory schema.

Создание групп безопасности Creating Security Groups

Windows Hello для бизнеса использует несколько групп безопасности для упрощения развертывания и управления. Windows Hello for Business uses several security groups to simplify the deployment and management.

Если в вашей среде есть один или несколько контроллеров домена Windows Server 2016 в домене, на котором вы развертываете Windows Hello для бизнеса, перейдите к разделу Создание группы безопасности «Администраторы KeyCredentials». If your environment has one or more Windows Server 2016 domain controllers in the domain to which you are deploying Windows Hello for Business, then skip the Create the KeyCredentials Admins Security Group. В доменах, включающих в себя контроллеры доменов Windows Server 2016, используется группа KeyAdmins, которая создается при установке первого контроллера домена Windows Server 2016. Domains that include Windows Server 2016 domain controllers use the KeyAdmins group, which is created during the installation of the first Windows Server 2016 domain controller.

Создание группы безопасности «Администраторы KeyCredential» Create the KeyCredential Admins Security Group

Azure Active Directory Connect синхронизирует открытый ключ в объекте пользователя, созданный во время подготовки. Azure Active Directory Connect synchronizes the public key on the user object created during provisioning. Необходимо назначить этой группе разрешение на чтение и запись в атрибуте Active Directory, чтобы служба Azure AD Connect могла добавлять и удалять ключи в рамках своего обычного процесса работы. You assign write and read permission to this group to the Active Directory attribute to ensure the Azure AD Connect service can add and remove keys as part of its normal workflow.

Войдите в контроллер домена или на рабочую станцию управления, используя учетные данные, эквивалентные администратору домена. Sign-in a domain controller or management workstation with Domain Admin equivalent credentials.

1. Откройте оснастку Пользователи и компьютеры Active Directory. Open Active Directory Users and Computers.
2. Выберите Вид, а затем Дополнительные параметры. Click View and click Advance Features.
3. Разверните узел домена в области навигации. Expand the domain node from the navigation pane.
4. Щелкните правой кнопкой мыши контейнер Пользователи. Right-click the Users container. Выберите Создать. Click New. Выберите Группа. Click Group.
5. Введите «Администраторы KeyCredential» в текстовое поле Имя группы. Type KeyCredential Admins in the Group Name text box.
6. Нажмите кнопку OK. Click OK.

Создание группы безопасности «Пользователи Windows Hello для бизнеса» Create the Windows Hello for Business Users Security Group

Группа «Пользователи Windows Hello для бизнеса» используется для упрощения развертывания Windows Hello для бизнеса в несколько этапов. The Windows Hello for Business Users group is used to make it easy to deploy Windows Hello for Business in phases. Этой группе назначаются шаблонные разрешения «Групповая политика» и «Сертификат», что упрощает развертывание, позволяя просто добавлять пользователей в группу. You assign Group Policy and Certificate template permissions to this group to simplify the deployment by simply adding the users to the group. Это наделяет пользователей надлежащими разрешениями для подготовки Windows Hello для бизнеса и для регистрации в сертификате проверки подлинности Windows Hello для бизнеса. This provides users with the proper permissions to provision Windows Hello for Business and to enroll in the Windows Hello for Business authentication certificate.

Войдите в контроллер домена или на рабочую станцию управления, используя учетные данные, эквивалентные администратору домена. Sign-in a domain controller or management workstation with Domain Admin equivalent credentials.

1. Откройте оснастку Пользователи и компьютеры Active Directory. Open Active Directory Users and Computers.
2. Выберите Вид, а затем Дополнительные параметры. Click View and click Advanced Features.
3. Разверните узел домена в области навигации. Expand the domain node from the navigation pane.
4. Щелкните правой кнопкой мыши контейнер Пользователи. Right-click the Users container. Выберите Создать. Click New. Выберите Группа. Click Group.
5. Введите Пользователи Windows Hello для бизнеса в текстовое поле Имя группы. Type Windows Hello for Business Users in the Group Name text box.
6. Нажмите кнопку OK. Click OK.

Установка оснастки Active Directory в Windows 7

В данной статье поговорим о том, как установить оснастки Active Directory в Windows 7. Как вы, наверное, помните, для того, чтобы в Windows XP появилась оснастка Active Directory Users and Computers (сокращенно ADUC), необходимо установить специальный набор утилит от Microsoft – Windows 2003 Admin Pack. В Windows 7 процесс установки консолей управления Active Directory несколько изменился.

Во -первых , Admin Pak теперь стал называться Remote Server Administration Tools (RSAT). Где найти и скачать RSAT для Windows 7 я уже писал. Обратите внимание, что существует несколько версий RSAT для Windows 7: версии будут отличаться в зависимости от разрядности вашей ОС (32 ил 64 –битная Window 7) и установленного Service Pack (скачать RSAT для Windows 7 SP1). Если вы не знаете, какая версия ОС используется у вас, нажмите кнопку Start, щелкните правой кнопочкой мыши по значку «Computer» и выберите «Properties». Окно с версией системы будет выглядеть примерно так:

В поле «System type:» будет указан тип вашей ОС Windows 7. В том случае, если вы используете 32 битную версию Windows 7, необходимо скачать файл, имя которого начинается с «x86…» (сейчас это «x86fre_GRMRSAT_MSU.msu», но имя может измениться). Для пользователей 64-битных систем, необходимо скачать файл, имя которого начинается с «amd64…» (сейчас это «amd64fre_GRMRSATX_MSU.msu») – это пакет подойдет даже в том случае, если вы используете процессор, отличный от AMD 64-bit.

После того, как вы скачаете RSAT для Windows 7, его нужно установить (в принципе это обычное обновление Microsoft KB).

Во-вторых , после установки RSAT в Windows 7, по умолчанию большинство дополнительных функций управления отключены, и оснастку управления Active Directory в Windows 7 нужно активировать вручную.

1. Перейдите в панель управления ControlPanel, выберите раздел Programs.
2. В разделе Programs and Features, щелкните по ссылке Turn Windows features on or off.

1. Перейдите в раздел Remote Server Administration Tools >Role Administration Tools, и выберите AD DS and AD LDS Tools.

После этого консоль ADUC и другие оснастки управления AD в Windows 7 появится в панели управления в разделе Administrative Tools.

Активировать оснастку «Active Directory User and Computer» в Windows 7 можно и из командной строки, однако в любом случае придется скачать и установить RSAT.

В командной строке с правами администратора наберите следующие команды, добавляющие оснастки Active Directory:

Установка и настройка контроллера домена Active Directory Domain

Active Directory («Активный каталог», AD) — службы каталогов корпорации Microsoft для операционных систем Windows Server. Первоначально создавалась как LDAP-совместимая реализация службы каталогов, однако, начиная с Windows Server 2008, включает возможности интеграции с другими службами авторизации, выполняя для них интегрирующую и объединяющую роль. Позволяет администраторам использовать групповые политики для обеспечения единообразия настройки пользовательской рабочей среды, разворачивать программное обеспечение на множестве компьютеров через групповые политики или посредством System Center Configuration Manager (ранее — Microsoft Systems Management Server), устанавливать обновления операционной системы, прикладного и серверного программного обеспечения на всех компьютерах в сети, используя Службу обновления Windows Server. Хранит данные и настройки среды в централизованной базе данных. Сети Active Directory могут быть различного размера: от нескольких десятков до нескольких миллионов объектов.

Задача: Развернуть сервер с ролью контроллера домена на виртуальной машине.

Шаг 1 — Подготовка и требования к оборудованию

Основные минимальные требования к аппаратному и программному обеспечению:

• Наличие хотя бы одного узла (аппаратного или виртуального) под управлением MS Windows Server
• 64-битный процессор с тактовой частотой не менее 1.4 Ггц
• ОЗУ не менее 512 МБ
• Системный диск не менее 40 ГБ

Тестовый стенд представляет из себя виртуальную машину под управлением MS Windows Server 2016 Standard, развернутую на сервере с ролью Hyper-V.

Шаг 2 — Установка и настройка контроллера домена

1. Необходимо зайти на сервер под учетной записью локального администратора. В связи с тем, что на сервер помимо роли Active Directory Domain Services будет установлена служба DNS, нам нужно изменить настройки сетевого интерфейса на ВМ, указав в поле первичного DNS сервера ip-адрес нашего шлюза по умолчанию.

Рисунок 1 — Настройка сетевого интерфейса

1. Далее нам необходимо открыть консоль Диспетчера серверов и нажать на пункт Добавить роли и компоненты.

Рисунок 2 — Главная страница консоли диспетчера серверов

1. В следующем окне нам необходимо выбрать пункт Установка ролей или компонентов и нажать на Далее.

Рисунок 3 — Мастер добавления ролей и компонентов. Выбор типа установки

1. В данном окне выбираем наш сервер, на котором будет поднята роль Контроллера Домена и нажимаем Далее.

Рисунок 4 — Мастер добавления ролей и компонентов. Выбор целевого сервера

1. На данном этапе кликаем по чекбоксу с наименованием Доменные службы Active Directory.

Рисунок 5 — Мастер добавления ролей и компонентов. Выбор ролей сервера

1. В появившемся окне нажимаем на кнопку Добавить компоненты и пропускаем окна выбора компонентов и описания AD DS по нажатию кнопки Далее.

Рисунок 6 — Мастер добавления ролей и компонентов. Выбор служб ролей или компонентов

1. Прожимаем чекбокс в котором написано Автоматический перезапуск сервера, если потребуется и нажимаем на кнопку установить.

Рисунок 7 — Мастер добавления ролей и компонентов. Подтверждение установки компонентов

1. На экране будет отображен ход установки выбранных нами ролей. По завершению установки нажимаем на ссылку Повысить роль этого сервера до контроллера домена.

Рисунок 8 — Мастер добавления ролей и компонентов. Ход установки

1. В окне Мастер настройки доменных служб Active Directory Выбираем опцию Добавить новый лес и указываем имя корневого домена.

Рисунок 9 — Мастер настройки доменных служб Active Directory. Конфигурация

1. В пункте Параметры контроллера домена необходимо указать функциональный уровень домена и леса AD. Выбираем схему соответствующую редакции нашего сервера. Так как на данном сервере будет поднята роль DNS сервера нужно прожать следующие чекбоксы и указать пароль администратора для входа в DSRN режим.

Рисунок 10 — Мастер настройки доменных служб Active Directory. Параметры контроллера домена

1. Наш сервер будет первым DNS сервером в лесу, поэтому мы не настраиваем делегацию DNS. Нажимаем Далее.

Рисунок 11 — Мастер настройки доменных служб Active Directory. Параметры DNS

1. В следующем окне оставляем NETBIOS имя домена без изменений и нажимаем Далее.
2. Указываем расположение баз данных AD DS, файлов журналов и папки SYSVOL. После выбора нажимаем Далее.

Рисунок 12 — Мастер настройки доменных служб Active Directory. Пути

1. На экране просмотра параметров будет отображен список всех выбранных нами настроек. Нажимаем Далее, проходим предварительную проверку и нажимаем Установить.

Рисунок 13 — Мастер настройки доменных служб Active Directory. Проверка предварительных требований

1. После завершения процесса установки сервер автоматически перезагрузится. Теперь мы можем войти на сервер под учетной записью домена.

Базовая установка и настройка контроллера домена завершена. Если вам нужна помощь по настройке Active Directory и любым ИТ-задачам, свяжитесь с нами любым удобным способом.