Taking ownership and giving permissions to files and folders

Тем, кто имеет небольшой домашний опыт, задача - дать пользователю permissions (разрешения) на папочку - может показаться не такой уж сложной.
Но что, если означенная папочка громадна и содержит десятки/сотни тысяч файлов.
А в добавок вы не имеете доступа к самой папочке и подпапочкам. Да к тому же, все это хозяйство находится на файлере (например, Netapp Storage), который прикидывается Windows 2000. И permissions подпорчены одним умелым сисадмином, который однажды дал их сам себе, не подумав о других администраторах.
Уже веселее?

Итак, что нужно сделать первым делом? Конечно, дать себе самому ownership.
Как? Из GUI - не вариант, поскольку придется много тысяч раз кликать мышкой для подтверждения. Ну, разве что, вы хотите развить мускулатуру указательного пальца правой руки или же вам по приколу получить преждевременного Паркинсона.

Для этого существует команда Takeown (а также некоторые другие, например, iCacls с соответствующим параметром).
Takeown /f "\\Netapp\Documents\*" /r /d Y

/f - force
/r - recursive
/d Y - отвечать Yes на все вопросы
* - все папки и файлы под папкой "Documents".

Теперь у вас есть разрешения давать разрешения!
Если до этого момента все удалось, можно применить команду iCacls.
iCacls /f "\\Netapp\Documents\*" /grant "domain\user":(OI)(CI)M /T /C /Q

Все бы хорошо, но проблема в том, что в сложных случаях гладкий результат не всегда гарантирован, несмотря на все ухищрения. Здесь и Access Denied

и слишком многоуровневые вложения папок в папки, превышающие 255 символов, и другие проблемы.

Например, после положительного ответа на запрос системы после выполнения Takeown 

вы можете получить неожиданное сообщение:
Error: the data area passed to a system call is to small

Есть шанс, что более сильным инструментом является SubInACL.
Пример:
First we took the root folder ownership using following
subinacl /file “PATH” /setowner=AdministratorsLater we use following switches to take the ownership on all subfolders & files.
subinacl /subdirectories “PATH*.*”  /setowner=Administrators

После детальной проверки, я сообщу вам о полученных результатах.

Существуют также GUI инструменты, которые любят многие администраторы, например бесплатный TakeOwnershipPro:
https://www.top-password.com/take-ownership-pro.html

Программа делает только одно дело - дает вам Ownership, но зато делает это неплохо:
сетевые shares ей под силу и она не затыкается даже на очень больших директориях

Reset NTFS file permissions

More developed program is NTFS Permissions Tools_1.16_Beta from Chinese programmer.

Но, если ваша фирма Enterprise, она может не доверять бесплатным инструментам, которые не дают никакой гарантии исправной работы, и фирме, возможно, придется раскошелиться на покупку платного инструмента посторонней фирмы, например, Security Explorer фирмы Quest или ADManager Plus фирмы ManageEngine:
https://www.manageengine.com/products/ad-manager/active-directory-ntfs-permissions-management.html

Удаление Child Domain при помощи NTDSutil

октябрь 2009

Сегодня произошло радостное событие - наконец получилось избавиться от Child Domain, который остался после каких-то моих экспериментов и издевательств над Active Directory.
Это произошло при помощи NTDSutil.
Раньше это не было особенно нужно, так как единственным проявлением Child Domain было его появление в диалоговом окне Log On в списке доступных доменов.
Сегодня же была предпринята праздничная (Суккот) попытка установить пробный Windows Server 2008 R2 HTC в существующем DOMAIN 2003 и поднять его роль до DC. Но старый Child Domain не давал это сделать. Поэтому пришлось немного пошевелить извилинами.

Оказалось, что становить-то сервер 2008 можно, но для поднятия его до DC необходимо обновить схему AD. Речь идет об инструменте ADPREP 2008 с параметрами /forestprep, /domainprep, /gcprep.

В процессе обновления были выявлены различные ошибки, а один из DC (TACH2003FS) перестал видеть главный DC (TACH2003). Т.е., видеть-то его можно было, но не при помощи средств управления. Пришлось существующий файловый сервер, служащий заодно DC (TACH2003FS), опустить до Member Server,  а в качестве DC поднять другой сервер (SQL2005AB).

Опускание TACH2003FS также не прошло без проблем. Поэтому пришлось заняться репликацией при помощи средств replmon и repadmin.

Затем, при попытке поднять Server 2008 R2 на уровень DC, был обнаружен (как уже говорилось) несуществующий реально, но все еще неудаленный с точки зрения AD, Child Domain.

Пришлось использовать сильнодействующее и опасное при невнимательном использовании средство - NTDSutil. Оно, кстати, является главным средством удаления остатков неудачных экспериментов с Active Directory, если иметь ввиду мой опыт.

После входа в NTDSutil была задействована команда "connect to server primary-dc". Она выдавала ошибку. В результате поисков оказалось, что вместо параметра "primary-dc" можно употребить"localhost", что и решило проблему.

Следующая команда "list domain" показала Child Domain TEST, что нам и надо было. После команды нужно сделать QUIT (о чем легко забыть) и затем применить команду "remove selected domain".

Пришлось немного помучиться, но в итоге все сработало!  
В качестве побочного эффекта была получена доза гормона хорошего настроения - эндорфина.

Windows Shortcuts

Windows Shortcuts

 

A list of essential commands that will speed up your access to useful Windows features. With them, you can avoid navigating through the graphical interface, which can be slow and, moreover, different in different versions of Windows. In addition, you can look like a professional in the eyes of unenlightened users.

Just note that some of them can only be run from Run field, and some can only be run from the command line - CMD. Systems since Vista have introduced the Search option, which has its own behavior with respect to various commands.

· CMD: opens a Command Prompt
(the main command of all times is launched from RUN or Search fields)

Control Panel

· CONTROL: opens the control panel window
· SYSDM.CPL: opens System properties

· CONTROL ADMINTOOLS: opens the administrative tools (CMD)

· CONTROL KEYBOARD: opens keyboard properties (Search/RUN/CMD - different results)

· CONTROL COLOUR: opens display properties. tab

· CONTROL FOLDERS: opens folder options (CMD)

· INTL.CPL: opens Regional and Language Option.

· CONTROL USERPASSWORDS: opens User Accounts editor

· CONTROL USERPASSWORDS2 (не в Search) or NETPLWIZ (Всюду): User account access restrictions

· CONTROL PRINTERS: opens faxes and printers available

· APPWIZ.CPL: opens Add or Remove programs utility tool

· OPTIONALFEATURES: opens Add or Remove Windows component utility

· DESK.CPL: opens display properties. Themes tab

· HDWWIZ.CPL: opens add hardware wizard

· IRPROPS.CPL: infrared utility tool

· JOY.CP: opens game controllers settings

· MMSYS.CPL: opens Sound and Audio device Properties.Volume tab

· TIMEDATE.CPL: Date and Time properties

· WSCUI.CPL: opens Windows Security Center

· ACCESS.CPL: opens Accessibility Options

· WUAUCPL.CPL: opens Automatic Updates

· POWERCFG.CPL: opens Power Options Properties

· AZMAN.MSC: opens authorisation management utility tool

· CERTMGR.MSC: opens certificate management tool

· COMPMGMT.MSC: opens the Computer management tool

· COMEXP.MSC or DCOMCNFG: opens the Computer Services management tool

· DEVMGMT.MSC: opens Device Manager

· EVENTVWRor EVENTVWR.MSC: opens Event Viewer

· FSMGMT.MSC: opens Shared Folders

· NAPCLCFG.MSC: NAP Client configuration utility tool

· SERVICES.MSC: opens Service manager

· TASKSCHD.MSCor CONTROL SCHEDTASKS: opens Schedule Tasks manager

· GPEDIT.MSC: opens Group Policy utility tool

· LUSRMGR.MSC: opens Local Users and Groups

· SECPOL.MSC: opens local security settings

· CIADV.MSC: opens indexing service

· NTMSMGR.MSC: removable storage manager

· NTMSOPRQ.MSC: removable storage operator requests

· WMIMGMT.MSC: opens (WMI) Window Management Instrumentation

· PERFMONor PERFMON.MSC: opens the Performance monitor

· MMC: opens empty Console

· MDSCHED: opens memory diagnostics tools

· DXDIAG: opens DirectX diagnostics tools

· ODBCAD32: opens ODBC Data source Administrator

· REGEDITor REGEDT32: opens Registry Editor

· DRWTSN32: opens Dr. Watson

· VERIFIER: opens Driver Verifier Manager

· CLICONFG: opens SQL Server Client Network Utility

· UTILMAN: opens Utility Manager

· COLORCPL: opens color management

· CREDWIZ: back up and recovery tool for user passwords

· MOBSYNC: opens Synchronization center

· MSCONFIG: opens System Configuration Utility

· SYSEDIT: opens System Configuration Editor (careful while using this command)

· SYSKEY: Windows Account Database Security management (careful while using this command)

Windows utility and applications

· EPLORER: Opens windows Explorer

· IEXPLORER: Opens Internet explorer

· WAB: opens Contacts

· CHARMAP: opens Character Map

· WRITE: opens WordPad

· NOTEPAD: opens Notepad

· CALC: opens Calculator

· CLIPBRD: opens Clipbook Viewer

· WINCHAT: opens Microsoft Chat Interface

· SOUNDRECORDER: opens sound recording tool

· DVDPLAY: run CD or DVD

· WMPLAYER: opens Windows Media Player

· MOVIEMK: Opens untitled Windows Movie Maker

· OSK: opens on-screen Keyboard

· MAGNIFY: opens Magnifier

· WINCAL: opens Calendar

· DIALER: opens phone Dialer

· EUDCEDIT: opens Private Character Editor

· NDVOL: opens the mixer volume

· RSTRUI: opens Tool System Restore (For Vista only)

· %WINDIR%\SYSTEM32\RESTORE\rstrui.exe:Opens System Restore tool(XP only)

· MSINFO32: Opens the System Information

· MRT:Launches the utility removal of malware.

· Taskmgr: Opens the Windows Task Manager

· SIDEBAR: Open the Windows (Vista only)

· Sigverif: Opens the tool for verification of signatures of files

· Winver: Opens the window for your Windows version

· FSQUIRT: Bluetooth Transfer Wizard

· IExpress:opens the wizard for creating self-extracting archives.

· MBLCTR: opens the mobility center (Windows Vista only)

· MSRA: Opens the Windows Remote Assistance

· Mstsc: opens the tool connection Remote Desktop

· MSDT: opens the diagnostic tools and support Microsoft

· WERCON: opens the reporting tool and solutions to problems (for Vista only)

· WINDOWSANYTIMEUPGRADE: Enables the upgrade of Windows Vista

· WINWORD: opens Word (if installed) 

Disk management

· DISKMGMT.MSC: opens disk management utility

· CLEANMGR: opens disk drive clean up utility

· DFRG.MSC: opens disk defragmenter

· CHKDSK: complete analysis of disk partition

· DISKPART: disk partitioning tool

Connection management

· IPCONFIG: list the configuration of IP addresses on your PC (CMD)

· INETCPL.CPL: opens internet properties

· FIREWALL.CPL: opens windows firewall

· NETSETUP.CPL: opens network setup wizard

Miscellaneous commands

· JAVAWS: View the cover of JAVA software (if installed)

· AC3FILTER.CPL: Opens the properties AC3 Filter (if installed)

· FIREFOX: Mozilla launches Firefox (if installed)

· NETPROJ: allow or not connecting to a network projector (For Vista only)

· LOGOFF: closes the current session

· SHUTDOWN: shut down Windows

· SHUTDOWN -A: to interrupt Windows shutdown
· SHUTDOWN -i: GUI for Windows shutdown

Все, что со знаками процента - Search or RUN
 

· %WINDIR%or %SYSTEMROOT%: opens the Windows installation

· %PROGRAMFILES%: Opens the folder where you installed other programs(program files)

· %USERPROFILE%: opens the profile of the user currently logged

· %HOMEDRIVE%: opens the browser on the partition or the operating system is installed

· %HOMEPATH%: opens the currently logged user C: \ Documents and Settings \ [username]

· %TEMP%: opens the temporary folder
 

· VSP1CLN: deletes the cache for installation of the service pack 1 for Vista

· System File Checker (Requires Windows CD if the cache is not available):

o SFC / scannow: immediately scans all system files and repairs damaged files

o SFC / VERIFYONLY: scans only those files system

o SFC / Scanfil = "name and file path": scans the specified file, and repaired if damaged

o SFC / VERIFYFILE = "name and file path": Scans only the file specified

o SFC / scanonce: scans the system files on the next restart

o SFC / REVERT: return the initial configuration (For more information,type SFC/? in the command prompt.

Virtual Simulators for Storage, Network and Server systems

Ниже даны ссылки на различные симулаторы как сториджей, серверных систем и сетевых устройств. Они могут помочь почувствовать вкус этих устройств до их покупки и немного на них потренироваться. Некоторые, как например, NetApp, вполне реальны и могут служить хорошим тренжером.
Успешного тестирования!
В большинстве случаев нужно иметь логин на соответствующие сайты вендоров и тут я вам помочь не смогу.

  Может потребоваться PowerLink account

• VNX
• Celerra
• Clariion CX (requires a form filled out)
• Navisphere (requires a form filled out)

  Может потребоваться NOW account

• ONTAP 8.X 
  

• HP EVA P6000
• StoreVirtualLefthandP4000 – 60dayTrial 
• HP Virtual Connect Simulator – (For Channel Partners only.  Login required)

 

• Cisco UCS Simulator (CCO Login required)

 

• ZFS  

 

• GNS3 – Отличный инструмент для изучения CCNA и выше. Использует реальную OS.

Проблема с Drive mappings и Group Policy

1. Дано: пользователь получает список сетевых дисков из групповой политики, а точнее, из раздела Group Policy Preferences при помощи функции Replace. Назначение производится участникам группы Active Directory.
Abraham - Hello! It's for you.

2. Проблема: пользователя не устраивает назначение двух букв из множества сетевых дисков. Остальные диски ему нужны, как и другим пользователям. Сетевые шары не подходят, потому что программы старые и пользоваться шаровыми путями не умеют - им нужны буквы дисков.
Этому пользователю  нужно, чтобы буква F:\ указывала на папку \\server1\share1, а G:\ на папку \\server2\share2. А в реальности ()как это сделано для остальных пользователей) все происходит наоборот.

3. Решение: поскольку пользователь находился в группе, которой в GPP присваивался целый набор сетевых дисков, было решено не удалять пользователя из группы и не создавать для него специальной группы с единичным пользователем (что было бы нерационально). Вместо этого пользователь был лишен назначения двух конкретных дисков через GPP. Вместо этого новое назначение дисков было сделано локально. Это тоже не оптимальный путь, скоре workaround, но это работает.

Каким же путем пользователь был исключен из GPP?
Для назначения дисков изначально был использован Targeting групповой политики по группе
(Item-level targeting - New Item - User).

Для каждого из двух дисков в GPP Targeting Editor, помимо строки с группой, была добавлена строка с именем пользователя.

Теперь для получения назначения этих дисков должны были удовлетворяться два условия - быть членом соответствующей группы и, в то же время, НЕ быть этим пользователем (на снимке экрана немного по-другому). Для достижения цели было использовано условие AND, смысл которого как-раз в том, что для получения дисков должны удовлетворяться оба условия.
AND the user is NOT a
В результате наш пользователь продолжил получать остальные диски, но перестал получать два ненужных.Ответственность за назначение дисков легла на самого пользователя на его локальном компьютере.

Как итог, цель была достигнута наиболее рациональным путем:
- не затрагивая скрытых в недрах фолдеров NTFS permissions (хотя была возможность сделать deny на использование), которые плохо поддаются поиску и централизованному управлению
- без создания группы для единственного пользователя.

комментарии приветствуются...

BackupExec2010 + HP TapeLibrary + Windows Server 2008 R2

Опубликовано первый раз в 2010 г.

На прошлой неделе у нас была установлена связка BackupExec2010 + HP TapeLibrary + Windows Server 2008 R2.
По секрету - в течение года у нас не было нормального бекапа ! По слухам - это наиболее частая причина увольнения работников ИТ, в случае, если внезапно требуется восстановление, а не из чего !

1. Физический этап. 
Итак, сначала была поставлена на место физически HP TapeLibrary - робот, вмещающий 30 кассет и несущий HP Tape типа LTO4 - и произведена его первоначальная настройка, включающая установку IP адреса, наклейку наклеек на кассеты, установку кассет в Tape и т.д.

2. Этап установки OS. 
Следующим этапом была инсталляция Windows Server 2008 R2 на Блейд-сервер BL460, который находится в коробочке под названием HP c7000 Enclosure (в такую коробочкувмещается до 16 серверов HP).

Здесь сначала возникла проблема - скачанная с сайта HP последняя версия диска SmartCD 8.50 (который применяется для первоначальной загрузки сервера HP и дает,в частности, все нужные драйверы) оказалась с багами, т.е. дефективной, и ушло немало времени, чтобы понять в чем проблема и скачать предыдущую версию SmartCD 8.40.

Следующая сложность была связана с тем, что c7000 с 16 Bays не имеет DVD-драйва. Напомню, что после отработки SmartCD, нужно вставить DVD с требуемой версией Windows. Обычно это не проблема, т.к. c7000 дает возможность установки с DVD-имиджа формата ISO, расположенного в сети, или с внешнего DVD, подключаемого по USB. Но здесь оба варианта давали сбои: USB-DVD хорош, когда не надо сменять диски в драйве, потому что отдавать их он не хочет (лоток диска не выдвигается), а выключение DVD (с тем, чтобы он мог дать возможность вставить другой диск) приводит к его отключению от сервера, который теряет устройство безвозвратно.

Установка с имиджа такой проблемы не имеет, но из-за длительного отсутствия движений мышкой или клавиатурой происходило отключение программы удаленного контроля (HP Onboard Administrator). Предупреждая возможный вопрос - никакие RDP в этом случае, конечно, не помогают, т.к. для них нужно предварительно установить Windows.

3. Этап установки TapeLiblary.
После произошедшей установки Windows специалист из сторонней фирмы помог соединить кабелем SCSI специальный Blade-модуль с TapeLiblary, установил на Windows драйвер TapeLiblary и программу управления.

4. Этап настройки Backup Jobs.
После этого настал период настройки Backup Jobs, т.е., что именно бэкапить, каким образом (инкрементально, дифференциально, Full), что делать с кассетами, когда они заполняются и
т.д. Этот этап описан не будет, поскольку каждый волен настраивать бэкап, как хочет или как нужно.

Все.

Сказочка про суперадмина И. Царевича

Сказочка про Кащея-Бессмертного, сундук с деньгами и суперадмина И. Царевича версии 1.2
(из несуществующего сборника "Сказки сумасшедших админов или Вам и не снилось") 
 
Автор сказочки - Владислав Спектор. 

Предварительные замечания:
- Данный документ является наброском продолжения известной сказки и рассчитан на системных администраторов, имеющих минимум год опыта работы с Active Directory.
- Данный технический документ служит для лучшей усвояемости (усваимости) материала по курсу Active Directory 2003.
- Действие происходит в наши времена и с учетом сегодняшних реалий. 

Жители-участники системы безопасности Active Directory:
- Кащей-Бессмертный - стареющий, но все еще стройный, немного даже чересчур, деловой мужчина с седыми висками и замашками театрального злодея.
- Баба-Яга – вечно старая, живущая в Из-На-Кур-Нож в районе НИИ-ЧАВО и привычно-недовольная жизнью.
- Карабас-Барабас - с поседевшей, но все еще шикарной бородой и неутихающей болью в сердце из-за утраченной карьеры театрального режиссера, предательства целого театрального коллектива и перманентной зависти к Роману Виктюку.
- Бармалей - безвредный, ничего от жизни уже не ждущий негодяй, потихоньку спивающийся французским шампанским. 
 
Живут они все в одном лесном хозяйстве-OU (Organizational Unit) со множеством зеленых пригорков и имеющем название " OU_Сказочные_Злодеи". Хозяйство принадлежит Царству-Домену с довольно демократическим режимом, конституцией и свободной политикой паролей.

Хозяином у них и, по совместительству, сисадмином с делегированными полномочиями - небезызвестный в хакерских кругах И. Царевич.

Управляет он этим злодейским OU-хозяйством и, буквально, держит Кащея и других его содельников за яйца (в смысле, в руках, причем Бабы-Яги это как-то меньше всех касается, видимо, из-за уважения к женщинам и природной галантности неисправимого ловеласа), поскольку Иван точно знает, на каком файловом сервере хранится сундучок с деньгами, яйцом и ключами (последние, видимо по недосмотру, раньше называли почему-то иголками), по одному на каждого злодея.

А в ключах этих, как известно, хранится доступ всех этих нехороших людей (то бишь, редисок) к деньгам злодейского общака. Немного неясно, правда, как ключи, которые находятся внутри сундука могут дать возможность открыть этот самый сундук, но это ведь всего лишь сказка, тем более, что в "Алисе в Стране Чудес" и не такое бывало. А Льюис Кэрролл, хотя и был математиком, в наше время мог и реальным программером заделаться, а значит и чувство рекурсивности могло быть ему не чуждо.

Итак, дано:
- Сундук с деньгами - фолдер, зарытый глубоко в недрах файловой системы.
Яйцо (ACL - Access Control List) - со списком доступа к фолдеру-сундуку и с набором из 4-х ключей, по одному на каждого злодея.

- Ключ, а в далеком прошлом, иголка (ACE - Access Control Entry) - несет на кончике SID (такой, как бы, паспорт или, на языке Царства, теудат-зеут старорежимного образца) одного пользователя-злодея со всеми его правами на фолдер.
Если сломать кончик ключа, SID злодея исчезнет из списка доступа (DACL) к сундуку и, соответственно, утратятся все его права доступа на сундук с деньгами. А это, как известно, смерти подобно, ведь что за жизнь, если ни гроша за душой.

- В нашем яйце (ACL) есть целых 4 ключа (ACE), несущих финансовую смерть каждому из злодеев. Если сломать ключ, Кащей просто концы отдаст из-за жадности и бедственного материального положения (хотя я, на самом деле, не понимаю, почему концов у Кащея должно быть несколько, возможно это просто семантический оборот, потому как даже моряки иногда говорят "отдать концы" вместо "отдать швартовы").

И вот, наконец, наступил момент, когда у И. Царевича полностью лопнуло терпение после очередной злостной выходки Кащея (в данном контексте не так уж важно, какой именно) и он таки решился сломать ключ.

Но Кащей был парень не дурак и не лыком шит и заранее полностью отобрал права у всех участников системы безопасности нашего Царства-Домена, включая даже Энтерпрайз-Администраторов, не говоря уже о неправомочном сокрытии местонахождения сундука (в молодости он нередко баловался компьютерами на перфолентах и среди студенток пользовался репутацией крутого компьютерщика, не упоминая уже о некоторых других репутациях).

Даже подельникам своим он оставил лишь право на чтение (Read-Only) в отношении содержимого сундука, ведь был он кассиром общака с полными админскими правами (Full Control) на сундук и своего упускать не собирался. Вынашивал он даже план - дождаться удобного момента и сбежать со всей кассой в другое Государства-Домен, с которым не было в тот момент даже односторонних доверительных отношений, не говоря уже о дружески-транзитивных в стиле "Друг моего друга - мой друг" (друг, не drug). Тем более, что в упомянутом государстве все еще царила тоталитарная система в духе Мао Цзе-Дуна и Windows NT с полным отсутствием всякой демократической транзитивности, что Кащею как раз таки и было на руку, на нечистую его.

И пришлось тогда И. Царевичу шевельнуть одной из своих извилин и взять право владения (т.е. Ownership) на папочку-сундучок, ведь все-же он был реальный пацан с реальными правами Энтерпрайз-администратора, причем не только на злодейское OU-хозяйство, но и на папочки всех злодеев на главном сторидж-сервере хозяйства (совместного производства достопочтенных фирм HP/Microsoft).

Была, кстати, грешным делом у Царевича мысль прижать Кащея, чтоб поделился запасами из общака и пустить изначально неправедные деньги на праведное дело - настоящий сторидж сказочной фирмы NetApp, а то и, вообще, SAN EMC с настоящей оптикой без дураков и без всяческих паллиативов наподобие iSCSI. Но со вздохом откинул Царевич нелояльные к законам родного Домена мысли и стал претворять в жизнь свой незамысловатый план.
(продолжение, возможно, следует ...)