Quản lý đơn vị tổ chức AD

Mục “OU” trong quản lý miền AD cho phép xem và quản lý đơn vị tổ chức trong thư mục theo thời gian thực. OU tổ chức các đối tượng như người dùng, nhóm và máy tính. Việc sửa, di chuyển hoặc xóa tác động đến thư mục thực và có thể ảnh hưởng đường dẫn đối tượng cấp dưới cùng hoạt động liên quan. Vùng chứa thông thường có thể được chọn làm vị trí cha khi tạo OU con hoặc làm đích di chuyển, nhưng không có các thao tác chi tiết, quản lý và xóa giống OU.

Gửi yêu cầu, phê duyệt và thực thi xong trong AD là các trạng thái khác nhau. Không thể đọc thư mục không có nghĩa là đối tượng không tồn tại.

Chuẩn bị

• Hoàn tất cấu hình kết nối và phạm vi đồng bộ miền AD; kiểm tra kết nối đến miền, quyền của tài khoản dịch vụ thư mục và quyền xem, ghi hoặc thao tác của quản trị viên.
• Kiểm tra miền, vị trí cha, sự cho phép thay đổi, đối tượng con trực tiếp và phụ thuộc nghiệp vụ. Trước khi di chuyển hoặc xóa, chuẩn bị bản sao lưu và phương án khôi phục đã kiểm chứng; đánh giá ảnh hưởng đến Group Policy và đường dẫn cấp dưới.
• Kiểm thử phê duyệt và thực thi bằng OU được kiểm soát trong miền thử nghiệm, không sửa thư mục sản xuất chỉ để thử. Bảo vệ chống xóa không thay thế sao lưu hoặc khôi phục.

Cấu hình phê duyệt thao tác OU

Xem cấu hình đầy đủ tại Quy tắc phê duyệt thao tác miền AD.

1. Nếu tổ chức yêu cầu phê duyệt cho tạo, sửa, di chuyển và xóa OU, mở Audit Events > Platform Operations > Operation Audit > Approval rule trong AD Domain Management và trước hết kiểm tra quy tắc đang bật cùng mẫu phê duyệt thao tác miền AD phù hợp. Kiểm tra từng thao tác, miền, số đối tượng, vai trò người yêu cầu, mức ưu tiên và người phê duyệt. Dùng lại quy tắc phù hợp; chỉ người có quyền mới tạo hoặc điều chỉnh khi cần theo chương quy tắc.
2. Mọi điều kiện đã chỉ định phải khớp; miền hoặc vai trò không chỉ định thì không giới hạn điều kiện đó. Khi chọn nhiều vai trò, chỉ cần một vai trò được chọn đang hoạt động; loại bỏ hoặc thay vai trò không hợp lệ trước khi lưu. Khi nhiều quy tắc khớp, số lớn hơn được ưu tiên. Lưu thay đổi và thử riêng trường hợp cần và không cần phê duyệt bằng đối tượng được kiểm soát, kiểm tra cả phê duyệt và thực thi thư mục. Thao tác không khớp quy tắc đang bật sẽ đi thẳng đến thực thi, không tự động chờ phê duyệt. Đánh giá ảnh hưởng và chuẩn bị khôi phục trước khi thử.

Xem và tạo OU

1. Mở “OU”, chọn miền, mở rộng cây thư mục hoặc tìm bằng từ khóa. Kiểm tra tên, loại và đường dẫn. Chi tiết OU cho biết số đối tượng con trực tiếp, bảo vệ chống xóa nhầm và lý do chặn xóa.
2. Tại vị trí cha, chọn “Create child OU”. Khi không nhập từ khóa tìm kiếm, cũng có thể dùng “Create OU” trên trang. Xác nhận miền và một OU hoặc vùng chứa cha, nhập tên OU; bổ sung mô tả, địa chỉ và người quản lý nếu cần.
3. Kiểm tra “Prevent accidental deletion”. Khi tạo, tùy chọn này ban đầu được bật; quyết định theo yêu cầu tổ chức. Bảo vệ không thay thế sao lưu. Kiểm tra mục tiêu và cấu hình, gửi rồi theo dõi phê duyệt hoặc thực thi thư mục.
4. Sau khi hoàn tất, làm mới thư mục và kiểm tra tên, vị trí cha và trạng thái bảo vệ. Nếu kết quả chưa rõ hoặc thành công một phần, OU có thể đã được tạo nhưng bảo vệ chưa cấu hình xong. Xem kết quả và chi tiết hiện tại trước khi xử lý, không tạo lại ngay.

Sửa, di chuyển và xóa

1. Chọn thao tác quản lý ở dòng OU và đọc lại thông tin mới nhất. Sửa và lưu các trường được phép trong thông tin OU, địa chỉ hoặc quản lý và bảo vệ; theo dõi phê duyệt hoặc kết quả thực thi.
2. Trước khi di chuyển, đánh giá đường dẫn cấp dưới, Group Policy và phụ thuộc nghiệp vụ. Chọn OU hoặc vùng chứa cha mới trong vị trí thư mục, kiểm tra rồi gửi “Move object”. Không thể chuyển OU vào chính nó hoặc vị trí cấp dưới của nó.
3. Bảo vệ chống xóa nhầm có thể chặn di chuyển hoặc xóa. Nếu cần thay đổi, xử lý bảo vệ theo quy trình được phép và xác nhận trạng thái thực trước khi thao tác. Sau khi di chuyển, kiểm tra có cần khôi phục bảo vệ không.
4. Trước khi xóa, xem đối tượng con trực tiếp và lý do chặn trong chi tiết; kiểm tra yêu cầu lưu giữ, phụ thuộc và phương án khôi phục. Không thể xóa OU có đối tượng con trực tiếp. Hãy xử lý trước theo quy trình của tổ chức; không giả định xóa dây chuyền hoặc bỏ qua bảo vệ.
5. Xác nhận di chuyển hoặc xóa theo hướng dẫn; theo dõi riêng phê duyệt và thực thi thực tế. Sau đó đọc lại thư mục, kiểm tra tên, vị trí hoặc kết quả xóa và bảo vệ của các đối tượng cần giữ. Phê duyệt thành công không đồng nghĩa thao tác thư mục thành công.

Sự cố thường gặp

• Không tìm thấy vị trí hoặc chi tiết: kiểm tra miền, từ khóa, cây thư mục, kết nối và quyền đọc. Lỗi đọc không chứng minh đối tượng không tồn tại.
• Tạo thất bại hoặc chưa rõ kết quả: kiểm tra cha, tên, quyền và giới hạn thư mục. Xác nhận OU đã được tạo và bảo vệ có hiệu lực chưa trước khi thử lại.
• Không di chuyển hoặc xóa được: kiểm tra bảo vệ, đối tượng con trực tiếp, vị trí đích và quyền thư mục; xử lý theo quy trình được phép.
• Đang xử lý hoặc thành công một phần: xem tiến độ và nhật ký thao tác tại phê duyệt miền AD và thao tác nền tảng của sự kiện kiểm toán. Tránh gửi lại trước khi xác nhận trạng thái thực.
• Không vào luồng phê duyệt dự kiến: kiểm tra thao tác, miền, số đối tượng, vai trò, ưu tiên và mẫu của các quy tắc đang bật. Không khớp có thể dẫn đến thực thi trực tiếp.
• Thông báo đối tượng đã thay đổi: đọc lại chi tiết, kiểm tra thay đổi của quản trị viên khác và mục tiêu trước khi gửi lại; không bỏ qua cảnh báo thay đổi đồng thời.