آشنایی با Group Policy Objects Delegation در اکتیو دایرکتوری

Delegation به معنی اعطای اختیار به فرد دیگر است. در اکتیودایرکتوری این واژه زمانی به کار می‌رود که بخواهید مدیریت بخشی از کارها را در اختیار فرد دیگری قرار دهید. با این کار مدیر شبکه می‌تواند برخی از وظایف مدیریت شبکه را به افراد دیگر تحویل دهد.

در سرور کنترلر دامین، به کنسول مدیریتی Group Policy Management وارد شوید. در پوشه Group Policy Objects  می‌توانید لیست GPO‌هایی که از قبل ایجاد کرده‌اید را مشاهده کنید. بر روی هر یک از GPO‌هایی که کلیک کنید در بخش سمت راست چندین سربرگ نمایش داده خواهد شد، که با برخی از این سربرگ‌ها در مقالات قبلی آشنا شده‌ایم. یکی از سربرگ‌ها Delegation است که در این بخش لیست افرادی که به طور پیش‌فرض دسترسی‌هایی (Permissions) را بر روی این GPO دارند، به همراه نوع آن دسترسی، نمایش داده شده است. مثلا طبق شکل زیر، برای گروپ پالیسی Default Domain Policy یک‌سری گروه‌ها و افراد مجاز پیش فرض مانند گروه Authenticated Users با دسترسیRead  یا گروه Domain Admins با دسترسی custom، همچنین گروه Enterprise Admins با دسترسی اصلاح، حذف و ادیت و … نمایش داده شده است.

آموزش کامل Group Policy Objects Delegation در دوره mcse

در صورتی که قصد دارید کاربران جدیدی را به این بخش اضافه کنید و دسترسی‌هایی را بر روی این GPO به آنها تحویل دهید، کافی است در همین سربرگ بر روی گزینه Add در پایین صفحه کلیک کنید و در پنجره باز شده بر روی Advanced کلیک کنید سپس در پنجره جستجو گزینه Find now  را کلیک کنید تا لیست کاربران و گروه‌ها دامین نمایش داده شود و از این لیست کاربر یا گروه مورد نظر را انتخاب کنید. مثلا کاربر test (که قبلا در دامین ساختیم و عضو گروه Domain Users  است)  به Default Domain Policy اضافه کرده‌ایم.

بعد از انتخاب کاربر مورد نظر  بر روی Ok کلیک کنید تا پنجره Add Group or User ظاهر شود. در قسمت Permissions دسترسی مورد نظر را وارد کنید.

برای اینکه کاربر test بتواند GPO مورد نظر را مدیریت کند باید بتواند به سرور کنترلر دامین وارد شود. بنابراین باید دسترسی ریموت زدن به سرور را برای این کاربر فعال کنیم. برای این کار باید از گروپ پالیسی مربوط به ریموت زدن استفاده کنیم.

به طور پیش فرض گروپ پالیسی Default Domain Controller Policy به کنترلر دامین لینک شده بنابراین بر روی این GPO کلیک راست می‌کنیم و گزینه Edit را انتخاب می‌کنیم تا پنجره Group Policy Management Editor باز شود.

حال از مسیر زیر  Computer Configuration -> Policies   –>   Windows settings –> Security Settings  –> Local Policies –> User Right Assignment –> وارد هر دو گزینه Allow Log on locally   و Allow Log on through Remote Desktop Service شوید و دسترسی را برای کاربر test فعال کنید.

بدین صورت که بر روی هر مورد بالا به صورت مجزا کلیک کنید در پنجره Properties ظاهر شده، تیک گزینه Define these Policy settings را فعال کنید و سپس برروی Add User or Groups کلیک کنید و کاربر test را به لیست اضافه کنید. با این کار کاربر test مجاز است به سرور کنترلر دامین چه به صورت محلی و چه به صورت ریموت وارد شده و بر روی GPO دسترسی‌های مجاز را اعمال کند.

دقت کنیدقبل از اضافه کردن هر کاربر دلخواه کاربر Administrator  را در هر دو مورد بالا اضافه کنید تا اجازه اضافه کردن سایر کاربران غیر ادمینی به شما داده شود.

علاوه بر تنظیم بالا باید اجازه دسترسی ریموت را در خود سرور کنترلر نیز فعال کنید. وارد Settings شوید و در بخش System وارد سربرگ Remote Desktop شوید و گزینه Enable Remote Desktop را فعال کنید.

در صورتی که کاربر test که یک کاربر عادی است به سرور ریموت بزند هیچ دسترسی به سایر تنظیمات دیگر ندارد و نمی‌تواند بخش‌های مختلف سرور را تغییر دهد مثلا نمی‌تواند آدرس Ip  را تغییر دهد یا حساب کاربری جدیدی در اکتیو‌دایرکتوری تعریف یا حذف کند و … و فقط اجازه دسترسی به GPOهایی که از قبل برای آن تعریف کرده‌اید را دارد.

برای مدیریت گروپ پالیسی‌ها بعد از ریموت زدن به سرور کنترلر، کاربر test باید وارد کنسول Group Policy Management شود. بعد از کلیک کردن  بر روی این کنسول، پنجره User Account Control باز شده و از شما می‌خواهد تا یک نام و رمز حساب کاربری مجاز را وارد کنید. در اینجا شما با وارد کردن کاربر test و رمز آن به کنسول وارد می‌شوید و فقط مجاز به تغییر GPOهایی که قبلا مدیر شبکه برای شما تعیین کرده است، هستید.