» Общие вопросы про AD (Active Directory)

leputain

Цитата:

кто как организует развертывание софта, ктоорый не в msi, а в exe?

совсем недавно здесь же обсуждали.

Возможно... уже было... (ткните носом если так)... но все таки....
Поставил себе на сегодня W2003 и сразу же сверху поставил AD, DNS еще не ставил. (почитав тут кое-что уже понял что зря..., завтра займусь этим вопросом) и появилось несколько проблем которые я никак немогу понять как решить:

ПРоблема первая:
На этом же сервере уставновлен SQL Server. Все нормально работает... все пользователи которые в группе Domain Admins могут пользоваться этим сервером (в частности я запускаю 1С и работаю с ней), а вот если пользователь всего лишь Domain User - то попытка соединения с SQL сервером заканчивается неудачно и пешет "Timeout expired". Я конечно выкрутился пока тем что всех кому нужна 1С посадил в Domain Admins, но это ведь неправильно???? Где что нужно включить что бы обыкновенные Domain Users могли пользоватся SQL сервером.

Проблема вторая:
Эта проблема уже напрямую связана с 1С и ее взаимодействием с AD. На этом же сервере у меня есть папка расшаренная в которой лежат исполняемые файлы и библиотеки 1С, к этой папке я дал фулдоступ всем Domain Users сама 1С запускается и все прекрасно работает. В этой же папке лежит специальная "внешняя компонета 1С" для работы со сканером штрих кода. К 1С она подключается через OLE. Так вот суть проблемы в том что по какой-то неведомой мне причине эта компонента перестала выполнять свои функции. Т.е. когда сервер был просто в рабочей группе и файлы лежали там где и сейчас - компонента отрабатывала нормально (т.е. передавала сосканированный штрих-код в 1С), после установки AD и входа компьютера в домен, 1С работает по прежнему хорошо, а вот подгружаемая компонента ScanOPOS.dll работать отказывается....
Я надеюсь что из Вас, уважаемые админы, кто нибудь сталкивался в своей работе с 1С и надесь сталкивались и с внешними компонентами. И я очень надеюсь что вы сможете пролить свет на причины отказа работы этих компонент.
Я предположил что запуск каких либо ком-объектов с сервера может быть запрещено какой-либо политикой, но к сожалению я не смог найти подтверждения моим предположениям. Если дадить хоть какой-нибудь намек - буду премного благодарен

Да, еще, - машины на которых я пробовал работать и обаружил вышеописанные проблемы W2k и XP. Ну и конечно же проверял я это все на правах пользователя входящего в Domain Admins

Добавлено:
Еще добавлю что сами сканеры рабочие.. т.е. проверял запуская утилитку дня настройки сканера, и в ней в специальном окошке я наблюдал считываемые сканером коды... т.е. все настройки com-портов правильны, да собственно с чего бы им быть неправильными если до в хода машины в домен сканер работал, выполнил всего лишь первод в домен рабочего метса и сканер работать перестал (вернее компонента перестала обрабатывать данные со сканера и выдавать их в 1С)

если AD поставился, значит и DNS тоже. на одном серваке с AD автоматом ставится DNS.

Добавлено:
по поводу SQL смотри:
посмотри может в настройках (оснастка управления или что там) SQL'я есть что-то прог права.
посмотри так же, на политики. ведь это у тебя контроллер домена, а к нему применяется default domain controllers policy. может там в правах как-то юзеры ограничены.
а ole-объект с шары наверно сложно подключить (безопасность и т.п.), но тут я ничерта нне знаю.

leputain
Ну я посчитал себя настоко крутым что автоматом не ставил.... Но вот сегодня уже поставил... правда не совсем разобрался что и как... nslookup выдает следующее

Цитата:

DNS request timed out.
timeout was 2 seconds.
*** Can't find server name for address 192.168.1.119: Timed out
*** Can't find server name for address 192.168.1.1: Non-existent domain
*** Default servers are not available
Default Server: UnKnown
Address: 192.168.1.119

контроллер домена стоит как раз на 119-м компе... и совсем непонимаю чего надо включить что бы заработал DNS хотя он вроде бы и работает... и вроде бы и нет

Цитата:

по поводу SQL смотри:
посмотри может в настройках (оснастка управления или что там) SQL'я есть что-то прог права.

Там вообщем то ничего нет... я это там смотрел


Цитата:

посмотри так же, на политики

Специально только-что посмотрел... вроде бы ничего незаметил, может конечно не туда смотрю... но ничего наводящего на мысли об SQL - я ненашел...

Может кто знает - где конкретно смотреть... ибо я тоже думаю что это связан только с политиками домена


Цитата:

а ole-объект с шары наверно сложно подключить (безопасность и т.п.), но тут я ничерта нне знаю.

тут уж признаюсь это я "друшлянул" - при переводе машин в домен пользователям поставились новые профиля и в этих профилях неправильно был указан порт к которому подключен сканер, банальная смена номера COM порта - сразу же порешала все проблемы

mvgfirst
ты dns зону то создал ?

G14
Может и создал Как это проверить....
Вообще то я мастером настройки DNS все шаги прошел. Указал адреса на которые форвардить запросы, указал зону... но не знаю правильно ли Имя зоны я назвал так же как и имя домена? Ведь надо так? Я заходил в оснастку DNS видел там машины моей сети прописываются.... но вот как-то не все.
Но вот когда дело дошло до Root Hints он мне как то там ругнулся и сказал что не может их получить .... видимо потому что Мой линукс сервер который смотрит в инет не смог ему их отдать или может потому что в тот момент небыло инетрента....
Вообщем он мне сказал что я могу это настроить после .... но как то я не понял что надо сделать....
К сожалению в настоящий момент я так загружен проблеммами (только пришел на новое место работы и пытаюсь собой заткнуть все дыры) поэтому спокойно сесть и вчитатся в теоретический материал просто немогу...
Поэтому буду премного благодарен если кто нибудь из Вас поможет мне довети это дело до законченного состояния.

mvgfirst
1. создай зону с именем твоего домена. (ты вроде сделал это).

Цитата:

Как это проверить....

в "папке" "зоны прямого просмотра" должна быть папка с именем твоего домена.

2. включи динамические обновления.(в свойствах зоны)
3. установи support tools из дистрибутива винды\support\tools
4. набери пуск->выполнить->cmd. там набери netdiag /test:dns /fix
должны в твоей папке зоны появиться еще несколько папок с записями.....

Добавлено:

Цитата:

DNS request timed out.
timeout was 2 seconds.
*** Can't find server name for address 192.168.1.119: Timed out
*** Can't find server name for address 192.168.1.1: Non-existent domain

кстати. забыл блин это означает, что у тебя в обратной зоне нет записи RR(указателя).
зайди в зоны обратного просмотра\твою_зону и создай указатель(pointer) на свой dns сервер.

G14

Цитата:

в "папке" "зоны прямого просмотра" должна быть папка с именем твоего домена.

Точно.... есть!

Цитата:

2. включи динамические обновления.(в свойствах зоны)

Включена.... правда там куча ньюансов... я включил так как мне мастер предлагал... (с синхронизацией по всем контроллерам доментов в моей АД

Цитата:

3. установи support tools из дистрибутива винды\support\tools

Done!

Цитата:

4. набери пуск->выполнить->cmd. там набери netdiag /test:dns /fix

Done!

Цитата:

должны в твоей папке зоны появиться еще несколько папок с записями.....

Шо-то появилось.... но.. из 15-компьютеров которые я ввел в домен в списке DNS я вижу только половниу.... Хотя в настройках сети адрес DNS-сервера указан правильно.

Цитата:

зайди в зоны обратного просмотра\твою_зону и создай указатель(pointer) на свой dns сервер.

Сделал... еще вчера, сегодня уже вижу машины и в этом списке но только те которые есть в первой зоне....

Еще вопрос... время от времени некоторые машины теряют доступ к другим компикам домена.... делаю логофф-логон все восстанавливается.... из-за чего бы это могло быть....
Причем какой то закономерности я выявить немогу... фиксированной периодичности тоже нет...
Как это можно полечить и главное - почему это может происходить.

Ну повторю вопрос... по какой причине я не вижу в списке DNS некоторых компьютеров?
Прчем компьютеры в большинстве случаев с одинаковыми настройками (партию компов инсталлил и вводил в домен в один день и однотипно).

Цитата:

правда там куча ньюансов... я включил так как мне мастер предлагал... (с синхронизацией по всем контроллерам доментов в моей АД

синхронизация это способ хранения зоны. я говорю о динамических обновлениях. У тебя dhcp клиентов обслуживает или статика ?

Цитата:

Шо-то появилось

например папки _msdcs, _sites, _tcp, _udp в папке с именем твоего домена.

Цитата:

некоторые машины теряют доступ к другим компикам домена....

скорее всего dns.
результаты dcdiag и netdiag в студию. чтобы не захламлять топ лучше через тэг more...

Цитата:

У тебя dhcp клиентов обслуживает или статика ?

У меня статика.

Цитата:

например папки _msdcs, _sites, _tcp, _udp в папке с именем твоего домена.

Эти есть.... но их значение и смысловая нагрузка для меня туманна...

Насчет динамических обновлений- проверил исходя из того что написанно в указанной статье - вроде стоить Секьюрные обновления

[more=Результат DCDiag]
Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\SERVER
Starting test: Connectivity
......................... SERVER passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\SERVER
Starting test: Replications
......................... SERVER passed test Replications
Starting test: NCSecDesc
......................... SERVER passed test NCSecDesc
Starting test: NetLogons
......................... SERVER passed test NetLogons
Starting test: Advertising
......................... SERVER passed test Advertising
Starting test: KnowsOfRoleHolders
......................... SERVER passed test KnowsOfRoleHolders
Starting test: RidManager
......................... SERVER passed test RidManager
Starting test: MachineAccount
......................... SERVER passed test MachineAccount
Starting test: Services
......................... SERVER passed test Services
Starting test: ObjectsReplicated
......................... SERVER passed test ObjectsReplicated
Starting test: frssysvol
......................... SERVER passed test frssysvol
Starting test: frsevent
......................... SERVER passed test frsevent
Starting test: kccevent
......................... SERVER passed test kccevent
Starting test: systemlog
An Error Event occured. EventID: 0x00000457
Time Generated: 03/02/2005 16:29:21
Event String: Driver Xerox WC M15 Series PCL 6 required for

......................... SERVER failed test systemlog
Starting test: VerifyReferences
......................... SERVER passed test VerifyReferences

Running partition tests on : ForestDnsZones
Starting test: CrossRefValidation
......................... ForestDnsZones passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running partition tests on : dom
Starting test: CrossRefValidation
......................... dom passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... dom passed test CheckSDRefDom

Running enterprise tests on : dom.procentre.com.ua
Starting test: Intersite
......................... dom.procentre.com.ua passed test Intersite76
Starting test: FsmoCheck
......................... dom.procentre.com.ua passed test FsmoCheck
[/more]
[more=Результат NetDiag]
.....................................

Computer Name: SERVER
DNS Host Name: server.dom.procentre.com.ua
System info : Windows 2000 Server (Build 3790)
Processor : x86 Family 15 Model 2 Stepping 5, GenuineIntel
List of installed hotfixes :
Q147222


Netcard queries test . . . . . . . : Passed



Per interface results:

Adapter : Local Area Connection 2

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : server
IP Address . . . . . . . . : 192.168.1.119
Subnet Mask. . . . . . . . : 255.255.255.0
Default Gateway. . . . . . :
Dns Servers. . . . . . . . : 192.168.1.119
192.168.1.1


AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Skipped
[WARNING] No gateways defined for this adapter.

NetBT name test. . . . . . : Passed
[WARNING] At least one of the <00> 'WorkStation Service', <03> 'Messenger Service', <20> 'WINS' names is missing.
No remote names have been found.

WINS service test. . . . . : Skipped
There are no WINS servers configured for this interface.


Global results:


Domain membership test . . . . . . : Passed


NetBT transports test. . . . . . . : Passed
List of NetBt transports currently configured:
NetBT_Tcpip_{FC1CB6C2-1A1D-4878-97EE-C0B31E713F31}
1 NetBt transport currently configured.


Autonet address test . . . . . . . : Passed


IP loopback ping test. . . . . . . : Passed


Default gateway test . . . . . . . : Failed

[FATAL] NO GATEWAYS ARE REACHABLE.
You have no connectivity to other network segments.
If you configured the IP protocol manually then
you need to add at least one valid gateway.


NetBT name test. . . . . . . . . . : Passed
[WARNING] You don't have a single interface with the <00> 'WorkStation Service', <03> 'Messenger Service', <20> 'WINS' names defined.


Winsock test . . . . . . . . . . . : Passed


DNS test . . . . . . . . . . . . . : Passed
PASS - All the DNS entries for DC are registered on DNS server '192.168.1.119'.
[WARNING] The DNS entries for this DC are not registered correctly on DNS server '192.168.1.1'. Please wait for 30 minutes for DNS server replication.


Redir and Browser test . . . . . . : Passed
List of NetBt transports currently bound to the Redir
NetBT_Tcpip_{FC1CB6C2-1A1D-4878-97EE-C0B31E713F31}
The redir is bound to 1 NetBt transport.

List of NetBt transports currently bound to the browser
NetBT_Tcpip_{FC1CB6C2-1A1D-4878-97EE-C0B31E713F31}
The browser is bound to 1 NetBt transport.


DC discovery test. . . . . . . . . : Passed


DC list test . . . . . . . . . . . : Passed


Trust relationship test. . . . . . : Skipped


Kerberos test. . . . . . . . . . . : Passed


LDAP test. . . . . . . . . . . . . : Passed


Bindings test. . . . . . . . . . . : Passed


WAN configuration test . . . . . . : Skipped
No active remote access connections.


Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Skipped

Note: run "netsh ipsec dynamic show /?" for more detailed information

[/more]

Цитата:

DNS test . . . . . . . . . . . . . : Passed
PASS - All the DNS entries for DC are registered on DNS server '192.168.1.119'.
[WARNING] The DNS entries for this DC are not registered correctly on DNS server '192.168.1.1'. Please wait for 30 minutes for DNS server replication.

у тебя dns на 192.168.1.1 это кто ? убери его нафик из настроек соединения и добавь в форвардинг в свойствах dns-сервера. имо, клиентам лучше не смотреть на него прямо.

а вообще все неплохо


Цитата:

Эти есть.... но их значение и смысловая нагрузка для меня туманна...

коротко: они содержат записи (SRV) служб, критически важных для работы AD домена.
именно из этих папок отдаются IP контроллеров домена клиентам и т.п....


Цитата:

Еще вопрос... время от времени некоторые машины теряют доступ к другим компикам домена.... делаю логофф-логон все восстанавливается.... из-за чего бы это могло быть....

на клиентах прописан первым dns сервер на 119 машине ? ошибки в логах есть ?

Цитата:

по какой причине я не вижу в списке DNS некоторых компьютеров?

ОС на всех клиентах одинаковы ?

G14

Цитата:

у тебя dns на 192.168.1.1 это кто ?

Это машина которая смотрит в инет, (Linux) на ней вроде бы стоит кеширующий ДНС

Цитата:

и добавь в форвардинг в свойствах dns-сервера. имо, клиентам лучше не смотреть на него прямо.

Да вообщем то он уменя стоит как Альтернатинвый DNS на всех машинах... и в форвардинге он добавлен.

Цитата:

на клиентах прописан первым dns сервер на 119 машине ?

Да первая...
Ошибки в логах сервера касательно DNS есть, вернее не ошибки а Варнинги, [more=вот пример одного из них] Event Type: Warning
Event Source: NETLOGON
Event Category: None
Event ID: 5781
Date: 01.03.2005
Time: 8:58:21
User: N/A
Computer: SERVER
Description:
Dynamic registration or deletion of one or more DNS records associated with DNS domain 'ForestDnsZones.procentre.dp.ua.' failed. These records are used by other computers to locate this server as a domain controller (if the specified domain is an Active Directory domain) or as an LDAP server (if the specified domain is an application partition).

Possible causes of failure include:
- TCP/IP properties of the network connections of this computer contain wrong IP address(es) of the preferred and alternate DNS servers
- Specified preferred and alternate DNS servers are not running
- DNS server(s) primary for the records to be registered is not running
- Preferred or alternate DNS servers are configured with wrong root hints
- Parent DNS zone contains incorrect delegation to the child zone authoritative for the DNS records that failed registration

USER ACTION
Fix possible misconfiguration(s) specified above and initiate registration or deletion of the DNS records by running 'nltest.exe /dsregdns' from the command prompt or by restarting Net Logon service. Nltest.exe is available in the Microsoft Windows Server Resource Kit CD.
[/more]

убери с машин домена IP линукса, чтобы к нему не лезли с динамическими обновлениями... форвардинга с dns контроллера хватит.

блин, не могу понять
домен 2003; раб. станции 2000
почему-то если ставить 2000 через ris, и автоматом присоединять к домену, то на неё ставится software через gpo.
если ставлю с компакта (дистриб тот же) и потом подсоединяю ручками, то софт чрез политики не ставится.
в чем дело?
заметил особенность - автоматом присоединенные компы в active directory users and computers имеют имена из маленьких букв, а ручками присоеджиненные имена из больших букв :|
ничерта не понимаю.
конечно софт в msi..

leputain
в обоих случаях объект компа в одном и том же подразделении (OU) ?

Цитата:

если ставлю с компакта (дистриб тот же) и потом подсоединяю ручками, то софт чрез политики не ставится.
в чем дело?

вообще или при вводе в домен ? при перезагрузке ставится ? опиши подробнее, а то не очень понятно

ps. посмотри плиз низ шапки.

в обоих случаях в одном и том же ОУ.
при перезагрузке не ставится, хотя политики распространяются.

смотрю соотв. топик.

Приветствую всех.

У меня тут вопросик встал по планированию домена...

Домен планируется с сайтами, соединениями сайтов по VPN, и соединениями в некоторых филиалах с провайдером по VPN, в некоторых филиалах - с серыми IP-адресами моих серверов, и возможностью на сервере у провайдера лишь перенаправления одного-двух портов...

В общем, полный череззаборногузадерищенко... сам боюсь перемудрить, и выбрать нерешаемый вариант...

Примерные данные, схема в картинках, список задач опубликую, текстовки будет много....

Вопрос длинный, куча нюансов - в общем, интересно. Рассмотрим?

Laurent
Рассмотреть, конечно можно. Только не здесь, т.к. сам сказал, что вопрос длинный, а здесь: Помогите продумать логическую структуру домена между офисами. Или если считаешь, что у тебя все будет по другому, то в новом топике.

1. Хочу объединить домены в один. Какое имя лучше выбрать - local.mydomain.com, mydomain.com.local, mydomain.com?

Laurent
Про объединение лесов:
Объединение двух лесов Active Directory в один
Объединение двух офисов и доменов в Win2000
Про имя домена:
Как назвать Домен в Windows 2003??

Цитата:

Сервер в филиалах должен быть контроллером домена, и обязательно должен выполнять роль глобального каталога?

Контроллером быть должен обязательно. Глобальным каталогом должен быть, если домен в native mode. Но Microsoft рекомендует в любом случае ставить по GC на сайт.

Добавлено:

Цитата:

Боюсь, та тема умерла в прошлом гооду

Ну и что? Давай продолжать там или создай отдельный топик.

Есть домен на 2003. В локалке подняты dhcp, dns, wins. клиенты - в основном 98.
на клиентах настроен общий доступ к файлам с указанием брать список юзеров с сервера и соответснвенно, юзеры, которым разрешён доступ берутся с домена.
Грабли: на некоторых машинах при попытке доступа на др. рабочую станцию требует пароль на доступ к \\xxxx\IPC$. на других - не требует. настройки одинаковые. в чём прикол?

rastlin
посмотри это:
http://support.microsoft.com/default.aspx?scid=kb;en-us;162325

G14 - Cпасибо, но это немного не то.
В общем я разобрался сам: как оказалось, ресурс IPC$ запрашивался на тех машинах, где не ставили dsclient. ну и второе, о чём я собственно забыл упомянуть - сеть исторически разделена на рабочие группы - прописал в политике использовать дополнительную рабочую группу DC. Всё заработало.

подскажите нарож можно ли заставить АД на 2003 винде авторизировать пользователей с внешнего лдапа сервера???
спасибо

g00d - что есть "внешнего"? Если просто другой лес АД, то настрой доверия и авторизуй сколько угодно. Если он совсем вовне и хочется делать только хттп траффик, то ставь бету AD Federation Services из Windows Server Release 2 (2003 R2)
Если "левый" LDAP, то тебе придется поднимать Microsoft Identity Integration Server и делать через него. Но он очень дорогой.

Я имею ввиду... можно ли заставить АД авторизировать пользователей
скажем в ОпенЛДАП??? т.е. там держать каталог...? для пущей надежности
//в этой же подсети локально держиться машина накоторую хочется все подвязать
все сервисы работающие в сети заставить авторизироваться через ОпенЛДАП
прокси, почту, АД и т.д...
так вот начал с АД

Друзья, а вот это что значит? подскажите пожалуйста

Error NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS doesn't have
Replicating Directory Changes All
access rights for the naming context:
CN=Schema,CN=Configuration,DC=lan,DC=pdc,DC=ru
Error BUILTIN\Administrators doesn't have
Replicating Directory Changes All
access rights for the naming context:
CN=Schema,CN=Configuration,DC=lan,DC=pdc,DC=ru
Error NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS doesn't have
Replicating Directory Changes All
access rights for the naming context:
CN=Configuration,DC=lan,DC=pdc,DC=ru
Error BUILTIN\Administrators doesn't have
Replicating Directory Changes All
access rights for the naming context:
CN=Configuration,DC=lan,DC=pdc,DC=ru
......................... SRV failed test NCSecDesc

saiprex
Для начала стоит запустить "ADSI Edit" из "Support Tools" и проверить права на CN=Configuration..., CN=Schema...
Ты, кстати, туда не лазил? Первый раз слышу, чтобы слетали права на схему.

Alan Mon
ADSI едит запустил... ничего там не понимаю
раньше туда не лазил
если верить гуглу
ошибка распространенная
вот только я всеравно ничего не понимаю ((

saiprex
Блин. Я подумал, что у тебя эта ошибка в Event Log пишется.
Ты это читал? Или это не твой случай? Там же написано:

Цитата:

You can safely ignore this error message.