Как вы управляете компьютерами без Active Directory?


9

Мне нужно настроить от 5 до 10 компьютеров, чтобы начать с благотворительной организации, которая не может позволить себе использовать выделенный сервер, который поддерживает групповые политики для растущего числа сотрудников. Есть ли способ управления политиками каждого компьютера без физического изменения локальных политик безопасности. Компьютеры работают под управлением Windows XP, Vista и 7.


1
Вы можете создать файл реестра со всеми необходимыми настройками и поделиться им в сети. Вы можете вручную импортировать этот файл на каждую машину или же импортировать его при запуске (если вы можете поделиться им в надежном месте в сети). Проблема в том, что если вы вносите какие-либо существенные изменения, может потребоваться перезагрузка, чтобы они вступили в силу.
Брэд

@Brad - Будет ли это работать в разных версиях Windows или мне придется создавать отдельные файлы реестра для каждого из них, например, Windows XP, Vista и т. Д.?
PeanutsMonkey

Какую политику вы хотите развернуть?
Марк Хендерсон

@Mark Henderson - Некоторые политики могут устанавливать обновления, хотя они не являются администраторами, не имеют доступа к определенным дискам и т. Д.
PeanutsMonkey

Ответы:


4

Я бы взвесил первоначальную стоимость установки 10 компьютеров за один раз с минимальными административными затратами и управлением доменом. Например, для обеспечения избыточности / надежности рекомендуется использовать два контроллера домена, а их конфигурация может занять довольно много времени. Это способствует увеличению финансовых затрат и может привести к увеличению затрат в человеко-часах. Это также увеличивает сложность вашей сети, что, скорее всего, заставит вас работать в дальнейшем без особых ощутимых преимуществ.

С другой стороны, при работе с 10 машинами локальная политика сравнительно проста. Я сомневаюсь, что вы будете микроуправлять политиками безопасности в своей повседневной деятельности. Обновления могут быть хлопотными, но правильно их применять после того, как вы их протестировали. Утилиты AV / malware / intrustion также могут раздражать при минимальном администрировании.

Если вы планируете рост и вам нужен домен, Microsoft BizSpark предоставляет вам бесплатный доступ к значительной части загрузок MSDN в течение одного года. Это включает в себя прошлые и настоящие версии Windows Server и ОС Windows. Все, что вам нужно, это небольшая компания для использования с небольшими требованиями. Я уверен, что благотворительные организации подойдут без проблем.


1
@Peanuts - прежде чем вы начнете использовать bizspark, у Microsoft действительно очень хорошее лицензирование для некоммерческих организаций, которое потенциально даже лучше, чем программа BizSpark. Я бы определенно связался с реселлером Microsoft по этому поводу.
Марк Хендерсон

4

Microsoft предлагает специальную программу лицензирования для благотворительных организаций, скидки довольно большие, и для того, чтобы просто запустить AD, вы можете использовать два старых ПК с несколькими гигабайтами оперативной памяти.

Смотрите для деталей


Я согласен, вам не нужен большой сервер Honkin для запуска Active Directory для десяти пользователей.
Nate

Спасибо. Они эффективно потратили свой бюджет на приобретение новых компьютеров и лицензий для персонала, поэтому не оставляли много денег на другие области ИТ. Можно ли сказать, что на моем ноутбуке работает программное обеспечение, которое позволяет мне подключаться ко всем компьютерам в сети и определять политики для каждого из пользователей?
PeanutsMonkey

3

Возможно, вы захотите попробовать TechSoup . Если ваша организация соответствует требованиям, вы можете получить копию Windows Server 2008 R2 менее чем за 100 долларов. Я полагаю, что вы также получите около 50 лицензий на места. И, как уже указывалось ранее, вам не нужно героическое оборудование для запуска Active Directory в вашей ситуации. Вы даже можете запускать другие роли сервера без особых проблем.

Если вы на самом деле находитесь в ситуации, когда требуется Active Directory, вы обнаружите, что каждая замена отстает.


Спасибо. Я слышал о TechSoup, поэтому может предложить вариант. Кстати, я написал еще один комментарий относительно доменных имен, которые вы мне помогли ответить. Был бы признателен, если бы вы могли взглянуть на это.
PeanutsMonkey

3

Я менеджер по ИТ для малого бизнеса. У меня нет большого бюджета, поэтому я делаю все возможное, что у меня есть. Как сторонник открытого исходного кода, если я смогу надежно и надежно решить проблему со свободным программным обеспечением с открытым исходным кодом, я это сделаю. Я нашел то, что работает достаточно хорошо без Active Directory. Вот как я это делаю:

FOG Project

FOG - это решение с открытым исходным кодом для создания образа диска. (например: Создать образ диска виртуальной машины, выполнить sysprep и развернуть этот образ на десяти компьютерах.) FOG также может удаленно устанавливать оснастки. Оснастка может быть любым исполняемым файлом. Если я хочу изменить групповую политику, связанную с одним или несколькими компьютерами, я бы создал файл реестра со значениями реестра групповой политики, которые необходимо обновить. Я создаю пакетные сценарии для вызова regedit /sфайлов .reg и обновляю реестр.

7-zip & 7-zip SFX Maker

SFX maker создает мне красивые файлы .exe, которые можно настроить для автоматического извлечения содержимого и запуска произвольной программы. В приведенном выше примере я использую SFX maker, чтобы упаковать файлы .cmd и .reg в .exe, который затем может быть загружен в туман и развернут как оснастка.

Разный средства развертывания ИТ на предприятии

Для установки новых программ на всех рабочих станциях я в первую очередь ищу средства развертывания ИТ-инфраструктуры предприятия для рассматриваемого программного обеспечения. Например, Google Chrome предоставляет Chrome для бизнеса, который имеет предварительно настраиваемый, легко развертываемый и, при необходимости, бесшумный установщик. Многие производители принтеров также имеют инструменты, которые помогут вам развернуть их драйверы принтера. У HP и Brother есть хорошие инструменты для этого. Вам просто нужно найти подходящий драйвер принтера для вашей ОС, а затем использовать их инструменты для создания установщика без вывода сообщений, который можно использовать как оснастку FOG.

AutoIT

Многие разработчики программного обеспечения не делают инструменты для развертывания, даже некоторые громкие названия, такие как Quickbooks. Active Directory не может помочь вам здесь. В случаях, когда это требуется каждому компьютеру, иногда проще запечь программное обеспечение в образе диска, а затем развернуть образ диска со всеми обычно используемыми приложениями. Для всего остального есть AutoIT. Несмотря на то, что это может занять очень много времени, вы можете написать сценарии AutoIT для автоматизации установки программного обеспечения, либо обнаруживая окна и имитируя нажатия клавиш и клавиш, либо дублируя файлы и изменения реестра, которые обычно выполняются установщиками.

TightVNC

Каждый компьютер, которым я управляю, имеет сервер TightVNC. В основном удаленный рабочий стол. Когда рабочая станция не используется, я могу подключиться к рабочей станции и вручную изменить настройки, как если бы я сидел перед машиной.

ноги

Для небольших изменений, которые не нужно менять на каждой машине, очень удобны ноги, чтобы перенести меня к рассматриваемому компьютеру и возиться с ним. Бонусом здесь является то, что я могу получить некоторое упражнение, чтобы восполнить мой иначе сидячий образ жизни: P. Хотя это не очень хорошее решение для управления большим количеством компьютеров, оно подходит для небольших изменений на небольшом количестве компьютеров. (для всего остального есть AutoIT, помните?)

Вывод

ВОГ действительно является основой всего этого процесса. FOG позволяет мне назначать машины группам, которым можно назначать определенные образы дисков и оснастки, подходящие для этих групп. Группами могут быть «комната1», «комната2» и т. Д., Где при необходимости используются специальные оснастки принтера. Этот процесс, вероятно, не очень хорошо масштабируется, не лишен недостатков, но в моем случае, когда я управляю около 20 компьютерами, он работает довольно хорошо.


Это работает, но если в вашей компании работает более 10 рабочих станций, аргумент об отсутствии достаточного бюджета просто неверен. Любой ИТ-менеджер со средним уровнем знаний должен легко сэкономить рабочее время, которое от POV работодателя имеет такую ​​же ценность, что и лицензии на решения для оркестрации и развертывания корпоративного программного обеспечения. И это, вероятно, уже в первый год, который потребует больше времени для установки и проб и ошибок ...
Jey DWork

2

Ansible Windows Модули .

Я управляю с генеральным директором, который по какой-то причине против идеи домена Windows.

Мой обходной путь - использовать Ansible playbooks, чтобы удаленно делать вещи на рабочих станциях. Я могу установить MSI, установить пакеты Chocolatey , настроить RDP / VNC, убедиться, что установлены обновления Windows, создать сценарии запуска или входа в систему для сопоставления сетевых дисков, запланировать резервное копирование robocopy и т. Д.

Ansible не использует агента, что означает, что на компьютере конечного пользователя нет службы Ansible. Ansible просто использует WinRM для удаленного входа в систему и отправки инструкций на компьютер.

Я поддерживаю git-репозиторий, содержащий все мои книги Plays Ansible, развертываемые сценарии и некоторые сценарии инициализации, которые автоматизируют процесс установки для добавления компьютера Windows к управлению Ansible. Я единственный ИТ-специалист, который касается настольных компьютеров, но теоретически в git-репозитории есть все, что нужно другому ИТ-специалисту, чтобы делать то, что я делаю.

Также в репозитории git находится файл инвентаризации Ansible, который представляет собой текстовый документ в стиле .INI, содержащий IP-адреса или доменные имена для каждой машины, управляемой Ansible. (Наш офисный маршрутизатор pfSense обрабатывает разрешение DNS)

Когда в офисе добавляется новый компьютер, я запускаю на нем сценарий обеспечения Ansible. Сценарий подготовки удовлетворяет зависимости .NET и Windows Management Framework (PowerShell), настраивает компьютер для удаленного удаленного взаимодействия и устанавливает Chocolatey. После этого мне больше не нужно прикасаться к компьютеру, потому что я могу делать все остальное удаленно. У меня есть внутренний канал Nuget, который обслуживает упакованные EXE-файлы, специфичные для нашей отрасли.

Используя этот метод, я могу создавать Ansible playbooks, которые имитируют некоторые функции групповой политики Windows. Например, я могу создать пьесу Ansible под названием generalpolicy.yml, которая предназначена для конкретной группы компьютеров в файле инвентаризации Ansible. При запуске generalpolicy.yml будет удаленно подключаться к каждой машине в группе и обеспечивать выполнение определенного набора условий на указанных машинах.

Такими условиями могут быть все что угодно, например, установлен Notepad ++, в реестре включен сервер терминалов, и ICMP PING не блокируется в брандмауэре. Плейбук можно запускать снова и снова, и благодаря идемпотентности Ансибл на целевом компьютере ничего не изменится, если условие не будет выполнено.


+1 для stillup;)
андреас

1

Samba 4 может работать как контроллер домена, совместимый с Active Directory Microsoft.

https://wiki.samba.org/index.php/Samba_AD_management_from_windows

https://wiki.samba.org/index.php/Samba_AD_DC_HOWTO


Добро пожаловать в сбой сервера! Хотя это может теоретически ответить на вопрос, было бы предпочтительным включить сюда основные части ответа и предоставить ссылку для справки.
SLM

Используя наш сайт, вы подтверждаете, что прочитали и поняли нашу Политику в отношении файлов cookie и Политику конфиденциальности.
Licensed under cc by-sa 3.0 with attribution required.