Чтобы просмотреть и изменить свойства учетной записи пользователя, в дереве консоли управления Active Directory - пользователи и компьютеры щелкните нужный объект пользователя правой кнопкой мыши и в контекстном меню выберите Свойства.
На вкладке Общие вы можете просмотреть и изменить основные атрибуты пользователя.
Поля Имя, Инициалы и Фамилия соответствуют полям, заполненным при создании учетной записи. Поле Выводимое имя по умолчанию соответствует полному имени. В нем указывается имя в том виде, в каком оно будет выводиться в различных списках. В поле Описание вы можете ввести произвольное описание учетной записи пользователя. В поле Комната можно указать комнату, в которой работает пользователь.
В поля Номер телефона, Электронная почта и Веб-страница введите контактную информацию пользователя. Обычно на этой вкладке указывается рабочая контактная информация, о том, как указать личные контактные сведения, см. ниже. Если вы хотите указать более одного номера телефона или более одной Web-страницы, щелкните кнопку Другой рядом с соответствующим полем. В появившемся окне вы можете ввести любое количество телефонов или адресов.
Если вы используете Microsoft Exchange Server 2000 в администрируемом домене, то не изменяйте значение поля Электронная почта у пользователей, имеющих почтовые ящики на Exchange-сервере - значение этого поля устанавливается Exchange-сервером автоматически.
На вкладке Адрес вы можете указать домашний (или любой другой) адрес пользователя. Имейте в виду, что данные адреса пользователя являются публичной информацией и доступны при просмотре каталога Active Directory.
На вкладке Учетная запись вы можете настроить различные параметры учетной записи пользователя. Как и при создании учетной записи пользователя, вы можете изменить Имя входа пользователя и выбрать домен, который будет использован для построения полного имени пользователя.
Кроме того, вы можете ограничить Срок действия учетной записи, установив переключатель в положение Истекает и указав желаемую дату. Учетная запись будет действовать до 23:59:59 указанного дня включительно.
Все параметры учетной записи собраны в отдельный список. Для включения одного из параметров вы должны установить флажок рядом с его названием. Рассмотрим некоторые параметры учетной записи подробнее.
Требовать смену пароля при следующем входе в систему - действие этого параметра было рассмотрено в ранее.
Запретить смену пароля пользователем - действие этого параметра было рассмотрено в ранее.
Срок действия пароля не ограничен - действие этого параметра было рассмотрено в ранее.
Хранить пароль, используя обратимое шифрование - обычно Windows Server 2003 хранит пароли, используя необратимую хэш-функцию, что не позволяет никому получить пароль пользователя в незашифрованном виде. Если учетная запись пользователя не является важной, вы можете хранить пароль, используя обратимый алгоритм шифрования, что позволяет легко получить пароль пользователя в незашифрованном виде. Использование этого параметра не рекомендуется из соображений безопасности. Этот флажок не может быть установлен для учетной записи администратора.
Отключить учетную запись - действие этого параметра было рассмотрено в ранее.
Для интерактивного входа в систему нужна смарт-карта - указывает, что пользователь может войти в систему только с использованием смарт-карты. Все остальные способы регистрации в системе для этого пользователя будут недоступны.
Учетная запись доверена для делегирования - учетная запись может использоваться службами сервера для представления пользователя при доступе к различным ресурсам сети.
Учетная запись важна и не может быть делегирована - учетная запись не может использоваться для делегирования. Обычно этот флажок установлен у учетной записи администратора, т. к. его учетная запись обладает слишком широкими полномочиями.
Применять DES-шифрование для этой учетной записи - для хранения пароля учетной записи используется алгоритм DES вместо необратимой хэш-функции. Обычно устанавливается при использовании обратимого шифрования.
Без предварительной проверки подлинности Kerberos - при использовании учетной записи не осуществляется проверка подлинности пользователя при помощи протокола Kerberos. Этот флажок следует устанавливать, только если ОС не поддерживает протокол Kerberos. Для ОС семейства Windows этот флажок устанавливать не требуется.
Кроме этих параметров вы можете задать часы, в которые пользователю разрешен вход в систему. Для этого щелкните кнопку Время входа. В появившемся окне можно указать, в какие дни и часы пользователю разрешен вход в систему.
Чтобы разрешить или запретить вход в определенные дни и часы, выделите интересующую вас прямоугольную область ячеек и установите переключатель Вход разрешен/Вход запрещен в нужное положение. При настройке сложного графика входа пользователя может потребоваться неоднократное выполнение этой операции. После настройки времени входа щелкните кнопку ОК.
При использовании в локальной сети протокола NetBIOS вы можете ограничить набор рабочих станций, с которых пользователь может регистрироваться в домене. Для этого щелкните кнопку Вход на.
Чтобы ограничить компьютеры, на которые может входить пользователь, установите переключатель в положение только на указанные компьютеры, введите в поле Имя компьютера NetBIOS-имя компьютера и щелкните кнопку Добавить. Повторите эту операцию, чтобы добавить все необходимые компьютеры. Вы также можете удалить компьютер из списка, выбрав его и щелкнув кнопку Удалить. Если вы хотите разрешить пользователю вход на все компьютеры, установите переключатель в положение на все компьютеры.
Ограничение компьютеров, с которых пользователю разрешен вход в систему, действует только для NetBIOS-клиентов при условии установки этого протокола на контроллере домена. Компьютеры, использующие только протокол TCP/IP, не попадают под это ограничение.
На вкладке Профиль вы можете настроить параметры профиля пользователя. В папке профиля пользователя (%homedrive%\Documents and Settings ) сохраняются его личные файлы, персонифицированные файлы приложений, временные файлы пользователя, его рабочий стол и сетевое окружение, данные системного реестра.
Windows Server 2003 поддерживает три типа профилей:
Локальный профиль - создается на основе стандартного профиля пользователя при первом входе в систему и хранится в указанной выше папке.
Перемещаемый профиль - создается путем преобразования локального профиля и хранится в папке на сервере; копируется в локальную папку при входе пользователя в систему и обратно при выходе.
Обязательный профиль - создается путем преобразования перемещаемого профиля и хранится в папке на сервере, как и перемещаемый; копируется в локальную папку при входе пользователя в систему, но не копируется обратно при выходе.
Указав в поле Путь к профилю сетевой путь к перемещаемому или обязательному профилю, вы укажете Windows копировать профиль из указанной папки, а не создавать его на основании стандартного профиля пользователя.
В поле Сценарий входа вы можете указать имя командного файла, содержащего сценарий, выполняемый при каждом входе пользователя в систему. Сценарии должны располагаться в папке , которая доступна по сети под именем NETLOGON .
Вы также можете указать домашнюю папку пользователя, которая может быть как локальной (полный путь задается в поле Локальный путь), так и сетевой (вы задаете букву диска и полный сетевой путь в поле Подключить). Если ни один из этих параметров не указан, то домашней папкой считается папка его локального профиля (%homedrive%\Documents and Settings\%username% или %userprofile%). При задании сетевого пути к домашней папке Windows 2000 проверяет ее наличие. Если папки нет, она будет создана по щелчку кнопки ОК или Применить. На создаваемую домашнюю папку пользователя устанавливаются следующие разрешения:
отменяется наследование разрешений от родительской папки;
группа Администраторы получает разрешение Полный доступ;
пользователь получает разрешение Полный доступ.
Если домашняя папка уже существует, Windows Server 2003 проверяет, чтобы у пользователя был к ней Полный доступ. При необходимости это разрешение добавляется.
На вкладке Телефоны вы можете указать номера других телефонов пользователя. Кроме того, на этой вкладке в поле Заметки вы можете ввести произвольные сведения относительно пользователя.
На вкладке Организация вы можете указать сведения о должности пользователя. Для этого заполните поля Должность, Отдел и Организация.
Вы также можете указать непосредственного руководителя пользователя - для этого в группе элементов Руководитель щелкните кнопку Изменить и выберите в каталоге нужного пользователя. При помощи кнопки Показать вы сможете просмотреть свойства руководителя, а при помощи кнопки Очистить убрать информацию о руководителе.
На основании информации о руководителях Windows Server 2003 автоматически строит список Прямые подчиненные для пользователя. Свойства конкретного подчиненного пользователя можно просмотреть при помощи двойного щелчка его имени в списке.
На вкладке Член групп вы можете управлять членством пользователя в группах. Обычно группы используются для более удобного управления разрешениями и привилегиями пользователей. Как правило, все пользователи входят в группу Пользователи домена (в домене Windows Server 2003) или в группу Пользователи (на рабочих станциях). Это обеспечивает им базовые права, например возможность входить в домен с рабочих станций.
Чтобы добавить пользователя в одну или несколько групп, щелкните кнопку Добавить. В появившемся окне выберите или введите имена нужных групп и щелкните кнопку ОК. Чтобы удалить группу из списка, выберите ее в списке и щелкните кнопку Удалить . Для просмотра свойств группы дважды щелкните ее имя.
Для совместимости с не-Windows клиентами может потребоваться указать основную группу пользователя. Это требуется для нормальной работы клиентов, не поддерживающих членство пользователей в нескольких группах, к таким клиентам относятся компьютеры под управлением UNIX, Mac OS и т. п. Для указания основной группы пользователя выберите ее в списке и щелкните кнопку Задать основную группу.
Для нормального функционирования сетевых клиентов Windows задание основной группы не требуется. Тем не менее не рекомендуется изменять основную группу пользователя, если это не требуется для обеспечения взаимодействия с клиентами POSIX и Macintosh.
На вкладке Входящие звонки вы можете задать параметры удаленного доступа для пользователя. Они действуют при организации удаленного доступа средствами Windows Server 2003.
Вы можете глобально разрешить или запретить пользователю использование удаленного доступа к домену посредством модема или виртуальной частной сети (Virtual Private Network, VPN). Для этого установите переключатель в положение Разрешить доступ или Запретить доступ. Несмотря на возможность непосредственно управлять удаленным доступом пользователя, рекомендуется установить переключатель в положение Управление на основе политики удаленного доступа и осуществлять управление удаленным доступом посредством групповых политик.
При организации удаленного доступа через модем сервер удаленного доступа Windows Server 2003 может осуществлять обратный звонок для экономии средств пользователей. Вы можете выбрать один из вариантов организации ответного вызова сервера.
Ответный вызов не выполняется - клиент самостоятельно устанавливает связь с сервером удаленного доступа.
Устанавливается вызывающим - сервер удаленного доступа определяет номер телефона, с которого осуществляется вызов, и автоматически осуществляет звонок по этому номеру. Для работы этого режима модем и его драйвер должны поддерживать функцию автоматического определения номера вызывающего абонента (АОН). Кроме того, эта функция может быть реализована только средствами службы маршрутизации и удаленного доступа Windows Server 2003.
Всегда по этому номеру - сервер удаленного доступа не определяет номер телефона, с которого идет вызов, а осуществляет звонок по фиксированному номеру. Этот режим требует указания номера телефона каждого пользователя и не совсем удобен для мобильных пользователей.
Кроме того, вы можете настроить некоторые параметры TCP/IP для удаленных соединений, осуществляемых пользователем. К ним относятся статический IP-адрес, указываемый в поле Статический IP-адрес пользователя и статическая таблица маршрутизации, которая может быть включена установкой флажка Использовать статическую маршрутизацию. Статические маршруты могут быть определены по щелчку кнопки Статические маршруты.
На вкладке Среда вы можете настроить ряд индивидуальных параметров пользователя для терминального режима.
Установив флажок При входе в систему запускать следующую программу, вы сможете указать полный путь к файлу запускаемой программы в поле Имя файла программы и ее рабочую папку в поле Рабочая папка. Эта программа будет запускаться каждый раз при входе пользователя на сервер в терминальном режиме, но не будет запускаться при обычном входе.
Кроме того, вы можете настроить индивидуальные параметры подключения устройств клиента. Установив флажок Подключение дисков клиента при входе, вы укажете серверу терминалов, что при каждом входе пользователя в терминальном режиме необходимо подключить локальные диски его компьютера, чтобы они могли использоваться во время терминальной сессии. Установив флажок Подключение принтеров клиента при входе, вы укажете серверу терминалов, что при каждом входе пользователя в терминальном режиме необходимо подключить все локальные принтеры пользователя, чтобы они могли использоваться во время терминальной сессии. Подключение осуществляется только для принтеров, предоставленных в совместное использование. Установив флажок По умолчанию выбрать основной принтер клиента, вы укажете серверу терминалов, что в качестве принтера по умолчанию должен быть установлен тот же принтер, что и на компьютере клиента. Принтер по умолчанию не изменяется, если не удалось подключить другой.
На вкладке Сеансы вы можете настроить индивидуальные параметры пользователя для терминального режима. Эти параметры позволяют эффективнее использовать ресурсы сервера, отключая ненужные сеансы пользователей.
Параметр Завершение отключенного сеанса отвечает за время, через которое сервер принудительно завершит отключенный сеанс пользователя. Отключенные сеансы появляются в результате сбоев связи или некорректного завершения сеанса пользователем. Параметры Ограничение активного сеанса и Ограничение бездействующего сеанса ограничивают время активной работы пользователя в терминальном режиме. Первый параметр ограничивает продолжительность любого сеанса пользователя, второй - время, в течение которого пользователь может не выполнять никаких действий. По истечении отведенного времени предпринимается действие, устанавливаемое переключателем При превышении ограничений или разрыве подключения. При выборе варианта Отключить сеанс остается возможность повторно подключиться к серверу и продолжить работу в своем сеансе, при выборе Завершить сеанс - сервер завершает сеанс пользователя.
Переключатель Разрешать переподключение определяет, с каких компьютеров пользователь может подключиться к своему отключенному сеансу. При выборе варианта От любого клиента пользователь может подключиться к своей сессии с любого компьютера, при выборе Только от прежнего клиента - только с того компьютера, с которого сеанс был отключен.
На вкладке Удаленное управление вы можете настроить параметры управления сеансом одного пользователя другим пользователем. Параметры, устанавливаемые на этой вкладке, действуют только на терминальные сессии пользователя.
Чтобы разрешить подключение к сессии пользователя, установите флажок Разрешить удаленное управление. Если вы хотите, чтобы пользователь мог принять решение относительно подключения к его сеансу, установите флажок Запрашивать разрешение пользователя - при попытке подключения к сеансу пользователь получит уведомление об этом и сможет отклонить попытку подключения.
Вы также можете настроить уровень управления сеансом пользователя. Установка переключателя в положение Только наблюдение за сеансом пользователя позволит осуществлять наблюдение за действиями пользователя, но не позволит выполнять какие-либо действия в рамках его сеанса. Установка переключателя в положение Взаимодействие с этим сеансом позволит не только наблюдать, но и активно вмешиваться в действия пользователя.
На вкладке Профиль служб терминалов вы можете настроить параметры профиля пользователя, используемые в терминальном режиме. Эти параметры аналогичны параметрам на вкладке Профиль и замещают их при работе пользователя в терминальном режиме.
Кроме того, при помощи флажка Разрешить вход на сервер терминалов вы можете запретить или разрешить пользователю вход и работу на сервере терминалов.
Окно свойств пользователя может содержать дополнительные вкладки, добавляемые различными программными продуктами, ориентированными на Active Directory. Например, Microsoft Exchange Server 2000 добавляет к свойствам пользователя еще четыре вкладки, предназначенные для управления параметрами почтового ящика пользователя.
