Tạo Vùng chứa quản lý hệ thống cho SCCM và mở rộng Lược đồ AD

Trong bài đăng này, tôi sẽ hướng dẫn bạn cách tạo vùng chứa quản lý hệ thống cho SCCM và mở rộng lược đồ Active Directory (lược đồ AD) cho SCCM. Chúng tôi cũng sẽ thực hiện các bước để ủy quyền trên vùng chứa quản lý hệ thống và chuẩn bị Active Directory để xuất bản trang web.

Sau khi bạn cài đặt thư mục hoạt động cho SCCM, bước đầu tiên là mở rộng lược đồ thư mục hoạt động. Bước tiếp theo là tạo vùng chứa quản lý hệ thống cho SCCM và gán toàn quyền kiểm soát cho vùng chứa.

Chuẩn bị sẵn sàng Active Directory để xuất bản trang web là một trong những điều bạn cần làm trước khi có thể cài đặt SCCM. Có một số bước liên quan mà tôi sẽ trình bày trong bài viết này. Đối với mỗi miền có trang web chính hoặc phụ, bạn chỉ phải tạo vùng chứa quản lý hệ thống một lần. Vùng chứa này sẽ được sử dụng để xuất bản dữ liệu lên Active Directory.

Vùng chứa quản lý hệ thống trong SCCM là gì?

Quản lý hệ thống là một vùng chứa nằm trong thư mục Hệ thống của Active Directory được máy chủ trang web và các điểm quản lý sử dụng để lưu trữ dữ liệu đã xuất bản như ranh giới và chứng chỉ.

Nếu sơ đồ Active Directory đã được mở rộng cho SCCM 2007 hoặc Trình quản lý cấu hình 2012 thì bạn không cần phải mở rộng lại sơ đồ đó. Các phần mở rộng lược đồ không thay đổi và sẽ có sẵn trong AD. Nói cách khác, việc mở rộng lược đồ AD cho SCCM là hành động một lần đối với bất kỳ khu rừng nào.

Vùng chứa quản lý hệ thống trong SCCM là gì?
Chuẩn bị Active Directory để xuất bản trang web
Tạo vùng chứa quản lý hệ thống cho SCCM
Gán quyền cho vùng chứa quản lý hệ thống
Cách mở rộng lược đồ Active Directory cho SCCM
Không thể mở rộng Lược đồ AD cho SCCM
SCCM: Danh sách các thuộc tính và lớp Active Directory
- Container quản lý hệ thống là gì?
- Điều gì xảy ra khi bạn mở rộng Lược đồ AD cho SCCM?
- Bạn có thể xóa Vùng chứa quản lý hệ thống không?

Chuẩn bị Active Directory để xuất bản trang web

Trước khi bạn tạo vùng chứa quản lý hệ thống cho SCCM và mở rộng lược đồ Active Directory cho ConfigMgr, dưới đây là một số điều kiện tiên quyết quan trọng.

Không có phần mở rộng lược đồ Active Directory mới nào cho nhánh hiện tại của Trình quản lý cấu hình. Nếu trước đây bạn đã mở rộng lược đồ trong quá trình cài đặt SCCM thì bạn không cần phải mở rộng lại lược đồ nữa.
Khi bạn mở rộng sơ đồ thư mục hoạt động cho Trình quản lý Cấu hình, đó là một hành động toàn nhóm, một lần, không thể đảo ngược.
Để mở rộng lược đồ AD cho SCCM, bạn phải sử dụng tài khoản là thành viên của nhóm Quản trị viên lược đồ.
Bạn có thể mở rộng sơ đồ trước hoặc sau khi cài đặt trang Trình quản lý Cấu hình. Tuy nhiên, tôi khuyên bạn nên mở rộng lược đồ AD cho SCCM trước khi bắt đầu định cấu hình trang web và cài đặt phân cấp của mình.
Sau khi bạn mở rộng lược đồ AD cho SCCM, danh mục chung Active Directory sẽ sao chép khắp khu rừng.

Tạo vùng chứa quản lý hệ thống cho SCCM

Hãy xem các bước để tạo vùng chứa quản lý hệ thống cho SCCM.

Bước 1: Đăng nhập vào bộ điều khiển miền Active Directory bằng tài khoản là thành viên của nhóm bảo mật Quản trị viên Schema. Đăng nhập bằng tài khoản đó vào bộ điều khiển miền chính của lược đồ. Khởi chạy Trình quản lý máy chủ và từ menu trên cùng, nhấp vào Công cụ và chọn Chỉnh sửa ADSI. Nhấp chuột phải vào Chỉnh sửa ADSI và chọn Kết nối với.

Bước 2: Trên Cài đặt kết nối ADSI, ngữ cảnh đặt tên phải là Ngữ cảnh đặt tên mặc định. Không thay đổi đường dẫn LDAP, nhấp vào OK.

Bước 3: Trong Bảng điều khiển chỉnh sửa ADSI, hãy mở rộng Ngữ cảnh đặt tên mặc định. Nhấp chuột phải vào CN=System và chọn Mới > Đối tượng.

Bước 4: Bạn phải chọn một lớp cho đối tượng vùng chứa quản lý hệ thống mà bạn đang tạo. Trong cửa sổ Tạo đối tượng , hãy chọn Vùng chứa rồi chọn Tiếp theo.

Bước 5: Nhập giá trị vùng chứa là Quản lý hệ thống và nhấp vào Tiếp theo.

Bước 6: Nhấp vào Hoàn tất để đóng trình hướng dẫn Tạo đối tượng. Làm mới chỉnh sửa ADSI và vùng chứa quản lý hệ thống hiện sẽ hiển thị trong thư mục CN=System.

Gán quyền cho vùng chứa quản lý hệ thống

Sau khi bạn tạo Bộ chứa quản lý hệ thống cho SCCM, bước tiếp theo là gán quyền cho Bộ chứa quản lý hệ thống. Đối với mỗi vùng chứa, bạn phải cấp quyền cho tài khoản máy tính của từng máy chủ trang web sẽ xuất bản dữ liệu lên miền đó. Để ủy quyền các quyền trên vùng chứa quản lý hệ thống trong SCCM, hãy làm theo các bước bên dưới.

Bước 1: Khởi chạy bảng điều khiển Người dùng và máy tính Active Directory. Nhấp vào Xem và chọn Tính năng nâng cao. Nhấp chuột phải vào vùng chứa Quản lý hệ thống và chọn Kiểm soát ủy quyền.

Bước 2: Trên Trình hướng dẫn kiểm soát ủy quyền, hãy nhấp vào nút Thêm.

Bước 3: Trong cửa sổ Loại đối tượng, chọn hộp Máy tính và nhấp vào OK. Nếu bạn không thực hiện bước này, tài khoản máy tính SCCM sẽ không hiển thị trong bảng điều khiển ADUC.

Bước 4: Trong cửa sổ Chọn Người dùng, Máy tính hoặc Nhóm, nhập tên Máy chủ SCCM và nhấp vào Kiểm tra Tên, tên máy tính phải là giải quyết ngay bây giờ. Nhấp vào OK.

Bước 5: Chúng tôi đã thêm tài khoản máy tính của máy chủ trang Trình quản lý cấu hình vào miền này. Nhấp vào Tiếp theo.

Bước 6: Trên cửa sổ Nhiệm vụ cần ủy quyền, chọn Tạo nhiệm vụ tùy chỉnh để ủy quyền. Nhấp vào Tiếp theo.

Bước 7: Ở bước này, bạn cho biết phạm vi nhiệm vụ bạn muốn ủy thác. Chọn tùy chọn mặc định Thư mục này, các đối tượng hiện có trong thư mục này và tạo các đối tượng mới trong thư mục này. Nhấp vào Tiếp theo.

Bước 8: Trên cửa sổ Quyền, chọn các quyền bạn muốn ủy quyền. Chọn tất cả các hộp kiểm: Chung, Thuộc tính cụ thể, Tạo/Ủy quyền các đối tượng con cụ thể. Trong Quyền, hãy bật Toàn quyền kiểm soát. Điều này sẽ gán cho tài khoản máy tính SCCM toàn quyền đối với vùng quản lý hệ thống bao gồm các đối tượng con cháu. Nhấp vào Tiếp theo.

Bước 9: Chúng tôi đã gán thành công quyền cho vùng chứa quản lý hệ thống. Đóng Trình hướng dẫn ủy quyền điều khiển.

Video hướng dẫn sau đây giải thích cách tạo vùng chứa quản lý hệ thống cho SCCM.

Cách mở rộng lược đồ Active Directory cho SCCM

Khi quản lý máy khách tại chỗ, bạn nên mở rộng lược đồ Active Directory cho Trình quản lý cấu hình. Một lược đồ mở rộng có thể đơn giản hóa quá trình triển khai và thiết lập máy khách. Lược đồ mở rộng cũng cho phép khách hàng định vị các tài nguyên như máy chủ nội dung một cách hiệu quả. Mở rộng lược đồ là hành động một lần đối với bất kỳ khu rừng nào.

Bạn có thể thực hiện các bước dưới đây trên Active Directory hoặc bất kỳ máy chủ thành viên nào. Để mở rộng lược đồ AD, hãy luôn sử dụng tài khoản là thành viên của nhóm bảo mật Quản trị viên lược đồ.

Các bước để mở rộng lược đồ thư mục hoạt động cho SCCM như sau:

Gắn phương tiện thiết lập SCCM. Xác định vị trí thư mục: SMSSETUP\BIN\X64
Nhấp chuột phải vào tệp có tên “extadsch.exe”. Giữ phím shift trên bàn phím rồi nhấp chuột phải vào tệp exadsch rồi chọn sao chép dưới dạng đường dẫn.
Mở dấu nhắc lệnh và dán dữ liệu đã sao chép rồi nhấn phím Enter.
Điều này sẽ mở rộng lược đồ Active Directory cho SCCM.

Kết quả “Đã mở rộng thành công lược đồ Active Directory” xác nhận rằng lược đồ AD đã được mở rộng thành công cho SCCM.

Bạn có thể tìm thấy tệp nhật ký Lược đồ AD extadsch.log trong ổ đĩa gốc, C:\extadsch.log. Mở nó bằng trình xem nhật ký CMTrace hoặc Notepad. Văn bản được đánh dấu cho thấy lược đồ Active Directory đã được mở rộng thành công.

Modifying Active Directory Schema - with SMS extensions.
DS Root:CN=Schema,CN=Configuration,DC=PRAJWAL,DC=LOCAL
Defined attribute cn=MS-SMS-Site-Code.
Defined attribute cn=mS-SMS-Assignment-Site-Code.
Defined attribute cn=MS-SMS-Site-Boundaries.
Defined attribute cn=MS-SMS-Roaming-Boundaries.
Defined attribute cn=MS-SMS-Default-MP.
Defined attribute cn=mS-SMS-Device-Management-Point.
Defined attribute cn=MS-SMS-MP-Name.
Defined attribute cn=MS-SMS-MP-Address.
Defined attribute cn=mS-SMS-Health-State.
Defined attribute cn=mS-SMS-Source-Forest.
Defined attribute cn=MS-SMS-Ranged-IP-Low.
Defined attribute cn=MS-SMS-Ranged-IP-High.
Defined attribute cn=mS-SMS-Version.
Defined attribute cn=mS-SMS-Capabilities.
Defined class cn=MS-SMS-Management-Point.
Defined class cn=MS-SMS-Server-Locator-Point.
Defined class cn=MS-SMS-Site.
Defined class cn=MS-SMS-Roaming-Boundary-Range.
Successfully extended the Active Directory schema.
Please refer to the ConfigMgr documentation for instructions on the manual 
configuration of access rights in active directory which may still 
need to be performed.  (Although the AD schema has now be extended, 
AD must be configured to allow each ConfigMgr Site security rights to 
publish in each of their domains.)

Không thể mở rộng Lược đồ AD cho SCCM

Trong một số môi trường nhất định, bạn có thể gặp lỗi khi mở rộng sơ đồ Active Directory cho SCCM. Dưới đây là một số lỗi lược đồ AD phổ biến và các giải pháp liên quan.

Trong khi mở rộng lược đồ AD cho SCCM, bạn có thể gặp phải lỗi 8202. Lỗi lược đồ Active Directory 8202 được ghi vào ExtADSch.log trong thư mục gốc của ổ đĩa hệ thống. Đọc hướng dẫn sau để sửa lỗi Lược đồ thư mục hoạt động SCCM 8202.
Trong khi mở rộng lược đồ Active Directory cho SCCM, bạn có thể gặp mã lỗi Schema 1355. Đọc hướng dẫn sau để khắc phục lỗi không mở rộng được Active Directory Schema Error Code=1355.

SCCM: Danh sách các thuộc tính và lớp Active Directory

Sau khi bạn mở rộng lược đồ AD cho Trình quản lý cấu hình, các lớp và thuộc tính sau sẽ được thêm vào lược đồ. Chúng có sẵn cho tất cả các site SCCM trong nhóm Active Directory đó.

SCCM Active Directory Attributes: Các lớp thư mục hoạt động cho SCCM
cn=mS-SMS-Assignment-Site-Code cn=mS-SMS-Capabilities cn=MS-SMS-Default-MP cn=mS-SMS-Device-Management-Point cn=mS-SMS-Health-State cn=MS-SMS-MP-Address cn=MS-SMS-MP-Name cn=MS-SMS-Ranged-IP-High cn=MS-SMS-Ranged-IP-Low cn=MS-SMS-Roaming-Boundaries cn=MS-SMS-Site-Boundaries cn=MS-SMS-Site-Code cn=mS-SMS-Source-Forest cn=mS-SMS-Version: cn=MS-SMS-Quản lý-Điểm
cn=MS-SMS-Roaming-Boundary-Range
cn=MS-SMS-Server-Locator-Point
cn=MS-SMS-Site

Câu hỏi thường gặp về vùng chứa quản lý hệ thống SCCM

Dưới đây là một số Câu hỏi thường gặp về vùng chứa quản lý hệ thống và mở rộng lược đồ AD cho SCCM.

Container quản lý hệ thống là gì?

Quản lý hệ thống là một vùng chứa nằm trong thư mục Hệ thống trong Active Directory được máy chủ trang web và các điểm quản lý sử dụng để lưu trữ dữ liệu đã xuất bản như ranh giới và chứng chỉ.

Điều gì xảy ra khi bạn mở rộng Lược đồ AD cho SCCM?

Khi bạn mở rộng lược đồ Active Directory cho Trình quản lý cấu hình, bạn sẽ giới thiệu các cấu trúc mới cho Active Directory. Các trang web Trình quản lý Cấu hình sử dụng các cấu trúc mới này để xuất bản thông tin quan trọng ở một vị trí an toàn nơi khách hàng có thể dễ dàng truy cập thông tin đó.

Bạn có thể xóa Vùng chứa quản lý hệ thống không?

Miễn là trang SCCM của bạn còn hoạt động, bạn không bao giờ nên xóa vùng chứa quản lý hệ thống và bất kỳ đối tượng nào trong đó.