Come gestite i computer senza Active Directory?

Devo configurare tra 5 - 10 computer per cominciare per un'organizzazione di beneficenza che non può offordare di eseguire un server dedicato che mantiene le politiche di gruppo per un numero crescente di personale. Esiste un modo in cui posso gestire le politiche di ciascun computer senza dover cambiare fisicamente le politiche di sicurezza locali. I computer eseguono una combinazione di Windows XP, Vista e 7.

Peserei il costo iniziale della configurazione di 10 computer una volta con un lavoro amministrativo minimo rispetto alla gestione di un dominio. Ad esempio, due controller di dominio sarebbero consigliabili per motivi di ridondanza / affidabilità e la loro configurazione può richiedere un bel po 'di tempo. Ciò contribuisce a un maggiore costo finanziario e potrebbe contribuire a un costo maggiore nelle ore lavorative. Inoltre aumenta la complessità della tua rete, che molto probabilmente farà lavorare di più per te senza grandi vantaggi tangibili.

D'altra parte, lavorare con 10 macchine politiche locali è relativamente semplice. Dubito che tu gestirai le politiche di sicurezza nelle tue attività quotidiane. Gli aggiornamenti possono essere problematici, ma applicati correttamente dopo averli testati. Le utility AV / malware / intrusione possono anche essere fastidiose con una minima amministrazione.

Se stai pianificando una crescita e desideri un dominio, BizSpark di Microsoft ti dà accesso a una buona parte dei download di MSDN gratuitamente, per un anno. Ciò include le versioni passate e presenti di Windows Server e del sistema operativo Windows. Tutto quello che devi essere è una piccola azienda da utilizzare con pochi requisiti. Sono sicuro che le organizzazioni benefiche si adatteranno senza problemi.

Microsoft offre uno speciale programma di licenze per enti di beneficenza, gli sconti sono piuttosto elevati e per la sola esecuzione di un annuncio è possibile utilizzare due vecchi PC con un paio di concerti di ram.

Vedi per i dettagli

Potresti provare TechSoup . Se la tua organizzazione si qualifica, probabilmente potresti ottenere una copia di Window Server 2008 R2 per meno di $ 100 dollari. Credo che otterrai anche circa 50 licenze di posto. E come precedentemente sottolineato, non è necessario un hardware eroico per eseguire Active Directory nella tua situazione. È anche possibile eseguire altri ruoli del server senza problemi significativi.

Se in realtà ti trovi in una situazione che richiede Active Directory, scoprirai che ogni sostituto non è all'altezza.

Sono un responsabile IT per una piccola impresa. Non ho molto budget, quindi faccio il meglio che posso con quello che ho. Come sostenitore dell'open source, se riesco a risolvere in modo affidabile e affidabile un problema con il software gratuito e open source, lo faccio. Ho trovato qualcosa che funziona abbastanza bene senza Active Directory. Ecco come lo faccio:

Progetto FOG

FOG è una soluzione open source per l'imaging del disco. (ad esempio: creare un'immagine disco di una macchina virtuale, sysprep e distribuire quell'immagine su dieci computer.) FOG può anche installare snap-in in remoto. Uno snap-in può essere qualsiasi file eseguibile. Se voglio cambiare qualcosa relativo ai criteri di gruppo su uno o più computer, creerei un file di registro con i valori del registro dei criteri di gruppo che devono essere aggiornati. Creo script batch per richiamare regedit /si file .reg e aggiornare il registro.

Creatore SFX a 7 e 7 zip

Il creatore di SFX mi crea dei bei file .exe che possono essere configurati per estrarre silenziosamente i contenuti ed eseguire un programma arbitrario. Nell'esempio precedente uso SFX maker per comprimere i file .cmd e .reg in un .exe che può quindi essere caricato su fog e distribuito come snapin.

Varie. strumenti di distribuzione IT aziendale

Per l'installazione di nuovi programmi su tutte le workstation, cerco innanzitutto gli strumenti di distribuzione IT aziendali per il software in questione. Ad esempio, Google Chrome fornisce Chrome for Business che ha un programma di installazione preconfigurabile, facilmente distribuibile e facoltativamente silenzioso. Molti produttori di stampanti dispongono inoltre di strumenti che consentono di distribuire i propri driver di stampa. HP e Brother hanno ottimi strumenti per questo. Devi solo trovare il driver della stampante giusto per il tuo sistema operativo, quindi utilizzare i loro strumenti per creare un programma di installazione invisibile che può essere utilizzato come snap-in FOG.

AutoIt

Molti sviluppatori di software non creano strumenti di distribuzione, nemmeno alcuni titoli di grandi nomi come Quickbooks. Active Directory non può aiutarti qui. Nei casi in cui ogni computer ne ha bisogno, a volte è più semplice inserire il software nell'immagine del disco, quindi distribuire l'immagine del disco con tutte le applicazioni comunemente utilizzate. Per tutto il resto, c'è AutoIT. Sebbene possa essere estremamente dispendioso in termini di tempo, è possibile scrivere script AutoIT per automatizzare le installazioni del software, rilevando finestre e simulando il mouse e le sequenze di tasti o duplicando il file e le modifiche del registro che normalmente farebbero gli installatori.

TightVNC

Ogni computer che gestisco ha un server TightVNC. Fondamentalmente desktop remoto. Quando la workstation non è in uso, posso collegarmi a una workstation e modificare manualmente le impostazioni come se fossi seduto davanti alla macchina.

piedi

Per i piccoli cambiamenti che non devono essere cambiati su ogni macchina, i piedi sono molto utili per trasportarmi sul computer in questione e giocherellare con esso. Il bonus qui è che posso fare un po 'di esercizio fisico per compensare il mio stile di vita altrimenti sedentario: P. Sebbene questa non sia una buona soluzione per la gestione di una grande quantità di computer, è utile anche per apportare piccole modifiche a un piccolo numero di computer. (per tutto il resto, c'è AutoIT, ricordi?)

Conclusione

La nebbia è davvero la spina dorsale di questo intero processo. FOG mi consente di assegnare macchine ai gruppi, ai quali è possibile assegnare immagini disco e snapin specifici adatti a tali gruppi. I gruppi possono essere "room1", "room2" ecc. Con specifici snap-in di stampante distribuiti dove necessario. Questo processo probabilmente non si adatta molto bene, non è privo di difetti, ma nel mio caso in cui gestisco circa 20 computer, funziona abbastanza bene.

Ansible moduli di Windows .

Gestisco un stillup con un CEO che per qualsiasi motivo è contrario all'idea di un dominio Windows.

La mia soluzione alternativa è utilizzare i playbook Ansible per far sì che le cose accadano in remoto sulle workstation. Posso installare MSI, installare pacchetti Chocolatey , configurare RDP / VNC, assicurarmi che siano installati aggiornamenti di Windows, creare script di avvio o di accesso per mappare unità di rete, pianificare backup di robocopy , ecc.

Ansible non utilizza un agente, il che significa che non esiste un servizio Ansible in esecuzione sul PC dell'utente finale. Ansible sfrutta semplicemente WinRM per accedere in remoto e inviare istruzioni al computer.

Mantengo un repository git contenente tutti i miei playbook Ansible, gli script distribuibili e alcuni script di provisioning che automatizzano il processo di installazione per aggiungere un computer Windows alla gestione Ansible. Sono l'unica persona IT qui che tocca i desktop, ma in teoria il repository git contiene tutto ciò che un'altra persona IT dovrebbe fare per fare quello che faccio.

Inoltre nel repository git è presente un file di inventario Ansible che è un documento di testo in stile .INI contenente indirizzi IP o nomi di dominio per ogni macchina gestita da Ansible. (Il nostro router pfSense per ufficio gestisce la risoluzione DNS)

Quando un nuovo computer viene aggiunto in ufficio, eseguo lo script di provisioning Ansible su di esso. Lo script di provisioning ha soddisfatto le dipendenze .NET e Windows Management Framework (PowerShell), configura il computer per Ansible remoting e installa Chocolatey. Dopodiché, non ho più bisogno di toccare il computer, perché posso fare tutto il resto da remoto. Ho un feed Nuget interno che serve EXE impacchettati specifici per il nostro settore.

Usando questo metodo, posso creare Playbook Ansible che imitano alcune delle funzionalità di Criteri di gruppo di Windows. Ad esempio, posso creare un playbook Ansible chiamato generalpolicy.yml, che ha come target un gruppo specifico di macchine nel file di inventario Ansible. Quando eseguito, generalpolicy.yml si remetterebbe in ogni macchina del gruppo e assicurerebbe che un determinato set di condizioni fosse soddisfatto su dette macchine.

Tali condizioni possono essere qualsiasi cosa, ad esempio Notepad ++ è installato, Terminal Server è abilitato nel registro e ICMP PING non è bloccato nel firewall. Il playbook può essere ripetuto più volte e, grazie all'idempotenza di Ansible, nulla cambierà sul computer di destinazione a meno che la condizione non sia soddisfatta.

Samba 4 può essere eseguito come controller di dominio compatibile con Active Directory di Microsoft.

https://wiki.samba.org/index.php/Samba_AD_management_from_windows

https://wiki.samba.org/index.php/Samba_AD_DC_HOWTO

Uno alla volta, con molti errori.