Thư mục hoạt động OU
OU trong Active Directory là gì?
Đơn vị tổ chức (OU) là một loại vùng chứa trong Active Directory. Một OU có thể chứa một hoặc nhiều đối tượng AD, chẳng hạn như tài khoản người dùng, tài khoản máy tính, máy in và nhóm.
Các đơn vị tổ chức tương tự như các thư mục ở chỗ chúng có thể được sắp xếp theo thứ bậc để thể hiện cấu trúc của tổ chức. Ví dụ: bạn có thể có OU cho tất cả tài khoản người dùng trong miền, với OU con cho từng bộ phận hoặc phòng ban. Những OU đó có thể có các OU con của riêng chúng. Bạn có thể tạo OU của mình dựa trên chức năng, bộ phận, vị trí hoặc các tiêu chí liên quan khác.
Bạn có thể tạo một hệ thống phân cấp tương tự cho các đối tượng máy tính. Ví dụ: bạn có thể đặt tất cả các máy in tiêu chuẩn trong một OU và tất cả các máy in laser màu trong một OU khác. Bạn cũng có thể sử dụng OU để quản lý hiệu quả các máy chạy các phiên bản hệ điều hành Windows khác nhau.
Lợi ích của đơn vị tổ chức Active Directory
Thời gian bạn đầu tư vào việc lập kế hoạch tỉ mỉ cho OU của mình sẽ được sử dụng hiệu quả. Thật vậy, cấu trúc OU được thiết kế tốt mang lại nhiều lợi ích, bao gồm bảo mật mạnh mẽ hơn và quản lý dễ dàng hơn:
- Kiểm soát bảo mật chính xác và chính xác — Bằng cách tổ chức người dùng, máy tính và các đối tượng AD khác của bạn thành các OU logic, bạn có thể dễ dàng áp dụng các biện pháp kiểm soát bảo mật cụ thể cho các đối tượng khác nhau. Đặc biệt, Chính sách nhóm (GPO) có thể được liên kết với OU để áp dụng cài đặt của chúng cho các nhóm đối tượng cụ thể. Ví dụ: bạn có thể áp dụng Chính sách nhóm để áp dụng thời gian khóa không hoạt động ngắn hơn cho các máy chủ chính của mình so với máy trạm của người dùng hoặc để áp đặt các yêu cầu mật khẩu nghiêm ngặt hơn đối với tài khoản quản trị so với tài khoản người dùng doanh nghiệp.
- Dễ dàng ủy quyền các nhiệm vụ quản trị — OU cũng cho phép bạn ủy quyền các quyền cụ thể cho người dùng doanh nghiệp thay vì phải cấp cho họ các đặc quyền quản trị rộng rãi. Ví dụ: bạn có thể cho phép kỹ thuật viên bộ phận trợ giúp đặt lại mật khẩu cho tất cả người dùng trong miền AD hoặc chỉ cho người dùng trong OU con cụ thể.
Cách quản lý OU bằng người dùng và máy tính Active Directory (ADUC)
Tạo đơn vị tổ chức
- Nhấp chuột phải vào tên miền hoặc OU nơi bạn muốn tạo OU mới.
- Nhấp vào Mới rồi nhấp vào Đơn vị tổ chức.
- Nhập tên cho OU mới.
- Nhấp vào OK.
Đổi tên đơn vị tổ chức
- Nhấp chuột phải vào OU bạn muốn đổi tên..
- Chọn Đổi tên.
- Chỉ định tên mới.
Di chuyển đơn vị tổ chức
- Nhấp chuột phải vào OU bạn muốn di chuyển.
- Chọn Cắt.
- Điều hướng đến vị trí mục tiêu và nhấp vào Dán.
Xóa đơn vị tổ chức
Thận trọng: Xóa OU sẽ xóa tất cả các đối tượng trong OU. Để xóa OU, hãy thực hiện các bước sau:
- Nhấp chuột phải vào OU bạn muốn xóa.
- Chọn Xóa.
- Xác nhận hành động.
Ủy quyền bằng cách sử dụng Đơn vị tổ chức
Bạn có thể ủy quyền trách nhiệm quản trị cụ thể cho người dùng hoặc nhóm được chỉ định bằng OU. Thực hiện các bước sau:
- Nhấp chuột phải vào OU mong muốn.
Chọn Ủy quyền kiểm soát và làm theo các bước trong trình hướng dẫn
Cách quản lý OU bằng người dùng và máy tính Active Directory (ADUC)
Windows PowerShell cung cấp một cách mạnh mẽ để tạo và quản lý hiệu quả các OU trong miền Active Directory của bạn.
Cách tạo OU Active Directory bằng PowerShell
Để tạo OU trong thư mục gốc của miền, hãy sử dụng lệnh ghép ngắn PowerShell sau:
New-ADOrganizationalUnit -Name "Engineering"
Để tạo OU trong vùng chứa hiện có, hãy thêm tham số -Path:
New-ADOrganizationalUnit -Name "NewOU" -Path "OU=ParentOU,DC=domain,DC=com"
Cách quản lý OU Active Directory bằng PowerShell
Dưới đây là các lệnh ghép ngắn PowerShell bổ sung mà bạn có thể sử dụng để quản lý OU:
- Truy xuất các thuộc tính của OU — Get-ADOrganizationalUnit
Get-ADOrganizationalUnit -Identity 'OU=Engineering,DC=MILKYWAY,DC=LOCAL'
- Sửa đổi thuộc tính của một OU — Set-ADOrganizationalUnit
Set-ADOrganizationalUnit -Identity "OU=Engineering,DC=MILKYWAY,DC=LOCAL" -Country "US" -StreetAddress "350 S. Bixel Street" -City California -State CA
- Xóa đơn vị tổ chức — Xóa-ADOrganizationalUnit
Remove-ADOrganizationalUnit -Identity "OU=Engineering,DC=MILKYWAY,DC=LOCAL" -Recursive
Bộ chứa và OU mặc định trong Active Directory
Nhiều vùng chứa, bao gồm một OU, được tạo theo mặc định trong quá trình cài đặt Active Directory.
OU bộ điều khiển miền
OU duy nhất được tạo theo mặc định khi cài đặt AD là OU Bộ điều khiển miền. Bộ điều khiển miền (DC) được tự động đặt vào OU này khi chúng được thêm vào miền. (DC là máy chủ chạy Active Directory và cung cấp các dịch vụ như xác thực và ủy quyền cho miền.)
Một bộ chính sách được áp dụng cho OU này theo mặc định. Để bảo vệ chức năng và bảo mật của DC, hãy để tất cả các đối tượng máy tính DC trong OU này.
Theo mặc định, quản trị viên dịch vụ kiểm soát OU của bộ điều khiển miền. Không ủy quyền kiểm soát OU này cho các cá nhân hoặc nhóm khác.
Các thùng chứa tích hợp khác
Các vùng chứa bổ sung được tạo trong quá trình cài đặt Active Directory bao gồm:
- Miền — Đây là vùng chứa gốc cho miền.
- Được tích hợp sẵn — Điều này được sử dụng cho tài khoản quản trị viên dịch vụ theo mặc định.
- Người dùng — Các tài khoản và nhóm người dùng mới được tạo sẽ được đặt ở đây theo mặc định.
- Máy tính — Tài khoản máy tính mới được đặt ở đây theo mặc định.
Lưu ý rằng những vùng chứa này không phải OU nên bạn không thể áp dụng Chính sách nhóm cho chúng.
Các phương pháp hay nhất để sử dụng OU
- Lập kế hoạch cấu trúc OU của bạn một cách cẩn thận. Hãy suy nghĩ về cách bạn muốn tổ chức tài khoản người dùng, máy tính và các đối tượng AD khác của mình. Xem xét các yếu tố như bộ phận, vai trò, vị trí và loại thiết bị. Mỗi phút dành cho việc lập kế hoạch sẽ mang lại lợi ích sau này!
- Tạo cấu trúc OU phân cấp. Điều này sẽ cho phép bạn áp dụng Chính sách nhóm và cài đặt bảo mật cho các nhóm đối tượng cụ thể.
- Tạo các OU khác nhau cho tài khoản người dùng, máy chủ và máy tính không phải máy chủ. Điều này sẽ đơn giản hóa rất nhiều việc quản lý Group Policy.
- Triển khai các quy ước đặt tên nhất quán và được xác định rõ ràng. Điều này sẽ giúp OUse của bạn dễ dàng tìm thấy và quản lý hơn. Ví dụ: bạn có thể sử dụng quy ước đặt tên OU=[Dept]_[Location-Site] để dễ dàng biết OU được tạo cho bộ phận và vị trí nào.
- Ủy quyền quản trị cho các OU. Điều này sẽ cho phép bạn phân phối nhiệm vụ quản trị cho những người dùng thích hợp. Ủy quyền cẩn thận để duy trì an ninh!
- Ghi lại cấu trúc OU của bạn. Tài liệu toàn diện cung cấp thông tin chi tiết có giá trị về cách cấu trúc và sử dụng OU. Cả quản trị viên hiện tại và tương lai sẽ biết ơn.
Phần kết luận
Đơn vị tổ chức là một tính năng có giá trị của Active Directory. Việc tạo cấu trúc OU được tổ chức tốt sẽ đơn giản hóa việc quản lý người dùng, máy tính và nhóm, đồng thời cho phép bảo mật mạnh mẽ hơn.
Câu hỏi thường gặp
OU trong Active Directory là gì?
Đơn vị tổ chức trong Active Directory là một vùng chứa được sử dụng để tổ chức và quản lý tài khoản người dùng, tài khoản máy tính, máy in, nhóm và các đối tượng AD khác. OU cho phép các tổ chức tổ chức các nguồn lực dựa trên chức năng, bộ phận, địa điểm hoặc các yếu tố khác.
OU duy nhất được tạo theo mặc định khi cài đặt Active Directory là gì?
OU duy nhất được tạo theo mặc định trong quá trình cài đặt Active Directory là OU của Bộ điều khiển miền. Nó đóng một vai trò quan trọng trong việc quản lý các máy chủ quan trọng được gọi là bộ điều khiển miền. Nên để tất cả các đối tượng máy tính điều khiển miền trong OU này.
Làm cách nào để tạo OU trong Active Directory?
Để tạo OU, hãy thực hiện các bước sau:
- Mở bảng điều khiển Active Directory Users and Computers (ADUC).
- Nhấp chuột phải vào tên miền hoặc OU nơi bạn muốn tạo OU mới.
- Chọn Mới rồi chọn Đơn vị tổ chức.
- Nhập tên cho OU mới.
- Nhấp vào OK.
Làm cách nào để tìm OU trong Active Directory?
Để tìm OU, hãy thực hiện các bước sau:
- Mở bảng điều khiển ADUC.
- Trong khung bên trái, điều hướng đến cấu trúc miền hoặc OU.
- Sử dụng chức năng tìm kiếm hoặc kiểm tra trực quan hệ thống phân cấp để xác định vị trí OU mong muốn.
Ngoài ra, bạn có thể sử dụng lệnh ghép ngắn PowerShell Get-ADOrganizationalUnit.