Quản lý tài khoản máy tính AD

Mục “Computers” trong quản lý miền AD hiển thị các đối tượng máy tính đã đồng bộ từ thư mục. Quản trị viên có quyền có thể tạo, sửa, thay đổi quan hệ nhóm và vị trí, cũng như thao tác trạng thái tài khoản. Các thao tác này áp dụng cho tài khoản máy tính AD, không phải cấp phép thiết bị đầu cuối Ping64; chúng không tự khởi động lại thiết bị, đổi tên máy chủ hoặc cho thiết bị gia nhập miền.

Chuẩn bị

1. Hoàn tất cấu hình kết nối và phạm vi đồng bộ miền AD. Kiểm tra kết nối, tác vụ đồng bộ, quyền tài khoản thư mục và quyền xem, ghi hoặc thao tác của quản trị viên. Danh sách đồng bộ có thể khác thông tin thư mục hiện thời.
2. Xác nhận miền, tài khoản, phụ thuộc nghiệp vụ và thời gian thay đổi với quản trị viên thư mục và người phụ trách thiết bị. Vô hiệu hóa, đặt lại hoặc xóa có thể ảnh hưởng xác thực; di chuyển có thể thay đổi chính sách miền áp dụng. Chuẩn bị phương án khôi phục được phê duyệt cho thao tác rủi ro cao.
3. Đặt lại tài khoản máy tính cần kết nối thư mục an toàn và có thể làm hỏng quan hệ tin cậy giữa thiết bị và miền. Chuẩn bị kiểm tra và khôi phục theo quy trình của tổ chức.

Cấu hình phê duyệt thao tác máy tính

Xem cấu hình đầy đủ tại Quy tắc phê duyệt thao tác miền AD.

1. Nếu tổ chức yêu cầu phê duyệt cho tạo, sửa, thay đổi quan hệ nhóm, di chuyển, bật, tắt, đặt lại và xóa máy tính, mở Audit Events > Platform Operations > Operation Audit > Approval rule trong AD Domain Management và trước hết kiểm tra quy tắc đang bật cùng mẫu phê duyệt thao tác miền AD phù hợp. Kiểm tra từng thao tác, miền, số đối tượng, vai trò người yêu cầu, mức ưu tiên và người phê duyệt. Dùng lại quy tắc phù hợp; chỉ người có quyền mới tạo hoặc điều chỉnh khi cần theo chương quy tắc.
2. Mọi điều kiện đã chỉ định phải khớp; miền hoặc vai trò không chỉ định thì không giới hạn điều kiện đó. Khi chọn nhiều vai trò, chỉ cần một vai trò được chọn đang hoạt động; loại bỏ hoặc thay vai trò không hợp lệ trước khi lưu. Khi nhiều quy tắc khớp, số lớn hơn được ưu tiên. Lưu thay đổi và thử riêng trường hợp cần và không cần phê duyệt bằng đối tượng được kiểm soát, kiểm tra cả phê duyệt và thực thi thư mục. Thao tác không khớp quy tắc đang bật sẽ đi thẳng đến thực thi, không tự động chờ phê duyệt. Đánh giá ảnh hưởng và chuẩn bị khôi phục trước khi thử.

Tìm và tạo đối tượng máy tính

1. Mở “Computers”, chọn miền nguồn và tìm theo tên hoặc từ khóa. Kiểm tra tài khoản, vị trí thư mục và trạng thái. Nếu thiếu đối tượng, kiểm tra phạm vi và tác vụ đồng bộ cùng quyền xem của quản trị viên.
2. Chọn “Create computer”. Trong “Directory location”, chọn cấu hình miền và một đơn vị tổ chức hoặc vùng chứa cha. Trong “Computer identity”, nhập tên máy tính vào “DNS hostname” và tên hiển thị nếu cần. Trang tạo tài khoản máy tính có đuôi $ từ tên đã nhập.
3. Trong “Properties and status”, nhập mô tả, vị trí, phòng ban và người quản lý nếu cần. Kiểm tra trạng thái bật tài khoản và bảo vệ khỏi xóa nhầm. Cả hai mặc định được bật; cần xác nhận phù hợp mục đích.
4. Kiểm tra miền, vị trí, thông tin đối tượng rồi gửi. Nếu cần phê duyệt, theo dõi phê duyệt rồi theo dõi thực thi trong thư mục; nếu không, theo dõi thực thi trực tiếp. Gửi hoặc phê duyệt không chứng minh thao tác thư mục đã hoàn tất.
5. Đọc lại đối tượng và kiểm tra vị trí, thuộc tính và bảo vệ. Tạo đối tượng và đặt bảo vệ có thể chỉ hoàn tất một phần: nếu đối tượng đã được tạo nhưng bảo vệ thất bại, không tạo lại. Kiểm tra đối tượng và kết quả thực tế rồi để quản trị viên có quyền xử lý bảo vệ.

Tạo đối tượng thư mục không có nghĩa thiết bị vật lý đã gia nhập miền hoặc đăng ký Ping64. Hãy xác minh riêng.

Sửa thuộc tính, nhóm và vị trí

1. Chọn “Manage” cho đối tượng và kiểm tra thông tin thư mục hiện thời. Sửa thông tin máy tính hoặc thuộc tính quản lý được phép, lưu và theo dõi kết quả. Đổi tên đối tượng không đổi tên máy chủ của thiết bị vật lý và có thể ảnh hưởng quan hệ tin cậy hoặc tham chiếu ứng dụng.
2. Trong quan hệ nhóm, chờ tải các nhóm trực tiếp, kiểm tra và cập nhật. Đọc lại sau khi hoàn tất và xác minh quyền truy cập thực tế riêng khi cần; quan hệ trực tiếp không tương đương tất cả quyền kế thừa.
3. Trong vị trí thư mục, chọn đích và gửi yêu cầu di chuyển. Trước đó kiểm tra bảo vệ chống xóa nhầm, vị trí đích, chính sách miền và phụ thuộc nghiệp vụ; sau đó đọc lại vị trí và kiểm tra ảnh hưởng.
4. Nếu đối tượng hoặc quan hệ đã thay đổi, không đọc được hoặc cần làm mới, hãy tải lại thông tin mới nhất và xem thay đổi của quản trị viên khác trước khi quyết định gửi.

Bật, tắt, đặt lại và xóa

Chọn thao tác trong danh sách, kiểm tra miền và tài khoản đích rồi xác nhận. Theo dõi phê duyệt hoặc thực thi đến kết quả cuối và kiểm tra trạng thái thư mục thực tế. Không gửi lặp lại khi kết quả đang chờ hoặc chưa rõ.

• Bật hoặc tắt: thay đổi trạng thái tài khoản thư mục. Đánh giá gián đoạn xác thực và nghiệp vụ trước khi tắt; sau khi bật vẫn phải kiểm tra xác thực thiết bị.
• Đặt lại: đặt lại thông tin xác thực tài khoản máy tính AD, không phải thiết bị. Cần kết nối an toàn và quan hệ tin cậy miền có thể bị ảnh hưởng. Quản trị viên thư mục xử lý và xác minh theo phương án đã duyệt.
• Xóa: có thể ảnh hưởng xác thực và nghiệp vụ, không nên giả định có thể tự hoàn tác. Xác nhận đối tượng, bảo vệ và phương án khôi phục trước khi gửi; theo dõi kết quả thực tế.

Khắc phục sự cố

• Không thấy đối tượng: kiểm tra miền nguồn, từ khóa, phạm vi và tác vụ đồng bộ cùng quyền tài khoản; yêu cầu quản trị viên kiểm tra thư mục hiện thời nếu cần.
• Không có phê duyệt dự kiến: kiểm tra trạng thái quy tắc, thao tác, miền, số đối tượng, vai trò người yêu cầu và ưu tiên. Thao tác không khớp có thể được thực thi trực tiếp.
• Đặt lại thất bại hoặc thiết bị không xác thực được: kiểm tra kết nối an toàn, quyền thư mục, kết quả và trạng thái tài khoản; để quản trị viên xử lý quan hệ tin cậy miền.
• Di chuyển hoặc xóa thất bại: kiểm tra bảo vệ chống xóa nhầm, quyền thư mục, đích và thông báo trên trang. Không bỏ qua bảo vệ.