Active Directory Lightweight Directory Services

Active Directory® Lightweight Directory Services (AD LDS) è un servizio directory Lightweight Directory Access Protocol (LDAP) del sistema operativo Windows Server® 2008 R2 che offre un supporto flessibile alle applicazioni abilitate all'uso di directory, senza le dipendenze e le restrizioni relative ai domini poste da Servizi di dominio Active Directory. AD LDS può essere eseguito sia su server membri che su server autonomi. È inoltre possibile eseguire più istanze di AD LDS sullo stesso server, ognuna con uno schema gestito in modo indipendente.

AD LDS era noto in precedenza come ADAM (Active Directory Application Mode). Questo nome è quello utilizzato in Windows Server 2003 R2. È inoltre disponibile una versione che è possibile scaricare separatamente per Windows® XP Professional e Windows Server 2003.

  • Panoramica di AD LDS

  • Elenco di controllo: creare una nuova istanza di AD LDS

  • Elenco di controllo: creare una replica di un'istanza di AD LDS esistente

  • Elenco di controllo: importare dati da file LDIF

  • Elenco di controllo: creare una partizione di directory applicativa

  • Elenco di controllo: gestire le appartenenze ai gruppi

  • Elenco di controllo: eseguire il backup o il ripristino di un'istanza di AD LDS

  • Elenco di controllo: sincronizzare dati da Servizi di dominio Active Directory a AD LDS

  • Utilizzare le istanze

  • Utilizzare le partizioni di directory

  • Utilizzare l'autenticazione e il controllo di accesso

  • Strumenti di amministrazione di AD LDS

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Panoramica di AD LDS

Introduzione a AD LDS

Microsoft ha sviluppato Active Directory Lightweight Directory Services (AD LDS) per soddisfare le esigenze delle organizzazioni che necessitano di supporto flessibile per le applicazioni abilitate all'uso di directory. AD LDS è un servizio directory LDAP (Lightweight Directory Access Protocol).

AD LDS fornisce funzionalità di archiviazione e recupero dei dati per applicazioni abilitate all'uso di directory, senza le dipendenze necessarie per Servizi di dominio Active Directory. AD LDS offre funzionalità simili a quelle di Servizi di dominio Active Directory, ma non richiede la distribuzione di domini o di controller di dominio. È possibile eseguire più istanze di AD LDS simultaneamente in un unico computer, con uno schema gestito in modo indipendente per ogni istanza di AD LDS.

Novità in AD LDS

Le funzionalità seguenti sono state aggiunte ad AD LDS in Windows Server 2008 R2:

  • Ruolo server AD LDS

  • Integrazione con Servizi di dominio Active Directory

Tecnologie di directory Microsoft

Con AD LDS Microsoft offre una scelta di servizi directory. Sia AD LDS che Servizi di dominio Active Directory si basano sulle stesse tecnologie fondamentali dei servizi directory Microsoft, ma rispondono a esigenze diverse di un'organizzazione.

Servizi di dominio Active Directory offre servizi directory sia per il sistema operativo Windows Server che per le applicazioni abilitate all'uso di directory. Per il sistema operativo server, Servizi di dominio Active Directory archivia le informazioni critiche relative a infrastruttura di rete, utenti e gruppi, servizi di rete e così via. A tale scopo, in Servizi di dominio Active Directory deve essere utilizzato un unico schema in un'intera foresta.

AD LDS offre servizi directory in particolare per le applicazioni abilitate all'uso di directory. AD LDS non si basa su foreste o domini di Servizi di dominio Active Directory e non ne richiede la presenza. In ambienti in cui è presente Servizi di dominio Active Directory, tuttavia, AD LDS può utilizzare Servizi di dominio Active Directory per l'autenticazione delle entità di sicurezza di Windows.

AD LDS e Servizi di dominio Active Directory possono essere eseguiti contemporaneamente nella stessa rete. AD LDS può inoltre supportare contemporaneamente utenti del dominio e del gruppo di lavoro, come illustrato nella figura seguente.

AD LDS e servizi di dominio Active Directory in un'unica rete

Applicazioni abilitate all'uso di directory

In un'applicazione abilitata all'uso di directory i dati vengono archiviati in una directory oltre che, o piuttosto che, in un database, in un file flat o in un'altra struttura di archiviazione dei dati. La progettazione con abilitazione all'uso di directory viene utilizzata per molte applicazioni in commercio e molte applicazioni personalizzate. Tra le applicazioni per le quali viene spesso utilizzato questo tipo di progettazione vi sono applicazioni di gestione delle relazioni con i clienti (CRM, Customer Relationship Management), di gestione delle risorse umane (HR, Human Resource) e applicazioni di rubrica globale.

Sia i servizi directory, come AD LDS, che i database relazionali forniscono funzionalità di archiviazione e recupero dei dati, ma differiscono per quanto riguarda l'ottimizzazione. I servizi directory sono ottimizzati per l'elaborazione di attività di lettura, mentre i database relazionali sono ottimizzati per l'elaborazione delle transazioni. In generale, è consigliabile implementare un servizio directory se nell'applicazione i dati vengono letti con maggiore frequenza rispetto a quanto vengano scritti. È invece consigliabile implementare un database relazionale se nell'applicazione i dati vengono scritti o modificati con maggiore frequenza rispetto a quanto vengano letti.

I servizi directory offrono ulteriori vantaggi, quali l'architettura distribuita (progettazione multimaster, replica e scalabilità geografica), l'archiviazione dei dati di identità, largamente utilizzati dalle applicazioni e dalle piattaforme aziendali, gli schemi dati flessibili e i criteri di accesso con restrizioni.

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Elenco di controllo: creare una nuova istanza di AD LDS

Un'istanza di Active Directory Lightweight Directory Services (AD LDS) è una semplice copia in esecuzione di AD LDS. È possibile eseguire contemporaneamente più copie di AD LDS nello stesso computer. (Ciò non è possibile per Servizi di dominio Active Directory.) Quando le istanze vengono replicate su più server, si ottengono disponibilità e bilanciamento del carico migliori. Ogni istanza di AD LDS dispone di una directory distinta, un nome di servizio univoco e una descrizione del servizio univoca assegnata durante la creazione dell'istanza.

Attività | Riferimento
Consultare informazioni sulle istanze di AD LDS. | Informazioni sulle istanze di AD LDS
Eseguire l'Installazione guidata Active Directory Lightweight Directory Services. | Creare una nuova istanza di AD LDS

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Elenco di controllo: creare una replica di un'istanza di AD LDS esistente

La replica di istanze di Active Directory Lightweight Directory Services (AD LDS) in più server garantisce bilanciamento del carico e tolleranza di errore maggiori grazie alla distribuzione dei dati dell'applicazione su più server. Una replica di un'istanza esistente di AD LDS contiene copie replicate delle partizioni di directory di configurazione e dello schema, incluse eventuali estensioni dello schema. È possibile specificare un'istanza di AD LDS in esecuzione come origine da cui eseguire la replica oppure utilizzare come origine dati una copia ripristinata di un'istanza di AD LDS di cui era stato eseguito il backup in precedenza.

Attività | Riferimento
Consultare informazioni sulle istanze di AD LDS. | Informazioni sulle istanze di AD LDS
Consultare informazioni sulla replica di AD LDS. | Informazioni sulla replica e sui set di configurazione di AD LDS
Eseguire l'Installazione guidata Active Directory Lightweight Directory Services. | Creare un'istanza di AD LDS di replica

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Elenco di controllo: importare dati da file LDIF

I file LDAP Data Interchange Format (LDIF) consentono di importare definizioni di schemi in un'istanza di Active Directory Lightweight Directory Services (AD LDS). Possono essere utilizzati per trasferire oggetti tra Servizi di dominio Active Directory e partizioni AD LDS. È possibile importare uno dei file LDIF forniti da Microsoft per creare oggetti utente o proxy. È inoltre possibile creare file LDIF contenenti definizioni di oggetti esportate da altre directory compatibili con Lightweight Directory Access Protocol (LDAP).

Attività | Riferimento
Consultare informazioni sulle istanze di AD LDS. | Informazioni sulle istanze di AD LDS
Consultare informazioni sullo schema AD LDS. | Informazioni sullo schema AD LDS
Consultare informazioni su Ldifde. | Ldifde
Copiare il file LDIF che si desidera importare nel server. |
Eseguire Ldifde. | Importare dati in un'istanza di AD LDS

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Elenco di controllo: creare una partizione di directory applicativa

Ogni istanza di Active Directory Lightweight Directory Services (AD LDS) può contenere una o più partizioni di directory applicative per i dati delle applicazioni. Tutte le partizioni di directory applicative di un'istanza di directory di AD LDS condividono un unico schema che definisce gli oggetti e gli attributi che possono essere memorizzati nella directory. Quando si crea una directory applicativa, è possibile creare una nuova partizione applicativa vuota o replicare una o più partizioni di directory applicative da un'istanza di AD LDS esistente.

Attività | Riferimento
Consultare informazioni sulle partizioni di directory applicative di AD LDS. | Informazioni sulle partizioni di directory
Creare una partizione di directory applicativa. | Creare una partizione di directory applicativa

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Elenco di controllo: gestire le appartenenze ai gruppi

Per controllare l'accesso ai dati di directory, Active Directory Lightweight Directory Services (AD LDS) si basa sulle autorizzazioni concesse a utenti e gruppi. In AD LDS è supportato l'utilizzo simultaneo di utenti Windows e utenti AD LDS come membri dei gruppi AD LDS. AD LDS include quattro gruppi predefiniti basati sui ruoli. Se necessario, è possibile creare ulteriori gruppi AD LDS. Per creare utenti AD LDS, è prima necessario importare le definizioni delle classi di oggetti utente incluse in AD LDS o specificare definizioni personalizzate.

Attività | Riferimento
Consultare informazioni su utenti e gruppi AD LDS. | Informazioni su utenti e gruppi AD LDS
Estendere lo schema di un'istanza per includere classi utente. | Importare le classi utente fornite con AD LDS
Aggiungere utenti alla directory. | Aggiungere un utente AD LDS alla directory
Aggiungere membri a gruppi AD LDS. | Aggiungere o rimuovere membri da un gruppo AD LDS

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Elenco di controllo: eseguire il backup o il ripristino di un'istanza di AD LDS

Per impostazione predefinita, tutte le istanze di Active Directory Lightweight Directory Services (AD LDS) in esecuzione in un server AD LDS archiviano i propri file di database e i file di registro associati in una directory specifica dell'istanza. Questi file devono essere inclusi nel piano di backup periodico dell'organizzazione. È possibile eseguire il backup della directory utilizzando Windows Server Backup o una diversa utilità di backup.

Attività | Riferimento
Consultare informazioni sulle istanze di AD LDS. | Informazioni sulle istanze di AD LDS
Consultare informazioni sul backup e il ripristino delle istanze di AD LDS. | Informazioni sul backup e il ripristino delle istanze di AD LDS
Eseguire Windows Server Backup Se si desidera eseguire il backup di un'istanza, verificare che questa sia in esecuzione. Se si desidera eseguire il ripristino di un'istanza, verificare che questa non sia in esecuzione. Per avviare o arrestare un'istanza di AD LDS, utilizzare lo snap-in Servizi. | Eseguire il backup dei dati di un'istanza di AD LDS Ripristinare dati di istanze di AD LDS

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Elenco di controllo: sincronizzare dati da Servizi di dominio Active Directory a AD LDS

È possibile utilizzare strumenti da riga di comando per sincronizzare dati da Servizi di dominio Active Directory a un set di configurazione di Active Directory Lightweight Directory Services (AD LDS). Questo consente alle applicazioni sia l'accesso a oggetti archiviati in Servizi di dominio Active Directory che l'accesso a oggetti creati e archiviati in AD LDS. Non è possibile utilizzare questi strumenti per sincronizzare le password tra diversi servizi directory.

Attività | Riferimento
Consultare informazioni sulle istanze di AD LDS. | Informazioni sulle istanze di AD LDS
Consultare informazioni su utenti e gruppi AD LDS. | Informazioni su utenti e gruppi AD LDS
Importare le definizioni delle classi utente di Servizi di dominio Active Directory nell'istanza sincronizzata. | Elenco di controllo: importare dati da file LDIF
Eseguire Adamsync. | Eseguire la sincronizzazione con Servizi di dominio Active Directory

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Utilizzare le istanze

In Active Directory Lightweight Directory Services (AD LDS) il termine "istanza del servizio", o semplicemente "istanza", si riferisce a una singola copia in esecuzione di AD LDS. È possibile eseguire contemporaneamente più copie di AD LDS nello stesso computer. (Ciò non è possibile per Servizi di dominio Active Directory.) Ogni istanza di AD LDS dispone di un archivio dei dati di directory distinto, un nome di servizio univoco e una descrizione del servizio univoca, assegnati durante l'installazione. Un'istanza può essere parte di un set di configurazione, che consente di replicare i dati delle istanze in istanze eseguite su server diversi.

  • Informazioni sulle istanze di AD LDS

  • Informazioni sullo schema AD LDS

  • Informazioni sulla replica e sui set di configurazione di AD LDS

  • Informazioni sul backup e il ripristino delle istanze di AD LDS

  • Creare una nuova istanza di AD LDS

  • Creare un'istanza di AD LDS di replica

  • Installare una replica di AD LDS da un supporto

  • Avviare, arrestare o riavviare un'istanza di AD LDS

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  • Utilizzare Ldp.exe per gestire un'istanza di AD LDS

  • Importare dati in un'istanza di AD LDS

  • Eseguire il backup dei dati di un'istanza di AD LDS

  • Ripristinare dati di istanze di AD LDS

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Informazioni sulle istanze di AD LDS

Active Directory Lightweight Directory Services (AD LDS) è basato sulla stessa architettura, nonché sulla stessa codebase, di Servizi di dominio Active Directory. AD LDS offre un archivio dati gerarchico, un componente del servizio directory e interfacce che possono essere utilizzate dai client per comunicare con il servizio directory. Non è necessario disporre di un controller di dominio o un server Domain Name System (DNS).

Nella figura seguente viene illustrata la relazione tra i componenti di AD LDS.

Architettura AD LDS

AD LDS gestisce l'archivio dati di directory e risponde alle richieste di directory provenienti dai client e da altri servizi directory. Il servizio directory AD LDS viene eseguito nel contesto di sicurezza dell'account specificato come account del servizio AD LDS. Il servizio directory AD LDS implementa tutte le funzioni seguenti:

  • Autenticazione degli utenti di directory

  • Soddisfazione delle richieste di dati

  • Sincronizzazione dei dati tra server directory (tramite la replica multimaster)

  • Gestione di dati

AD LDS gestisce la replica raggruppando le istanze di AD LDS in set di configurazione. Per ulteriori informazioni sulla replica AD LDS, vedere Informazioni sulla replica e sui set di configurazione di AD LDS.

Il servizio directory AD LDS consente o nega l'accesso ai client in base alle credenziali da essi fornite. AD LDS supporta gli stessi metodi di autenticazione o di binding supportati da Servizi di dominio Active Directory. Per ulteriori informazioni sull'autenticazione e la sicurezza dei dati, vedere Utilizzare l'autenticazione e il controllo di accesso.

I requisiti per l'account del servizio AD LDS variano in base al computer in cui è installato AD LDS e allo scenario di replica. Per ulteriori informazioni, vedere Selezione account di servizio.

In AD LDS il termine "istanza del servizio", o semplicemente "istanza", si riferisce a una singola copia in esecuzione del servizio directory AD LDS. È possibile eseguire contemporaneamente più copie del servizio directory AD LDS nello stesso computer. (Ciò non è possibile per Servizi di dominio Active Directory.) Ogni istanza del servizio directory AD LDS dispone di un archivio dei dati di directory distinto, un nome di servizio univoco e una descrizione del servizio univoca, assegnati durante l'installazione.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sullo schema AD LDS

  • Informazioni sulla replica e sui set di configurazione di AD LDS

  • Creare una nuova istanza di AD LDS

  • Installare una replica di AD LDS da un supporto


Informazioni sullo schema AD LDS

In uno schema Active Directory Lightweight Directory Services (AD LDS) vengono definiti, tramite classi di oggetti e attributi, i tipi di oggetti e dati che possono essere creati e archiviati in una directory di AD LDS. In ogni set di configurazione di AD LDS è incluso il relativo schema gestibile indipendentemente, archiviato nella partizione di directory dello schema. In linea con i principi di semplicità e di flessibilità di AD LDS, nello schema di base, o predefinito, di AD LDS sono incluse solo le classi e gli attributi necessari per avviare un'istanza di AD LDS. Gli amministratori, o le applicazioni stesse, possono estendere lo schema con nuove classi e attributi. È inoltre possibile disattivare classi e attributi dello schema non necessari. Allo stesso modo di quanto accade per tutti gli oggetti nella directory, gli elenchi di controllo di accesso proteggono gli oggetti dello schema, in modo tale che solo gli utenti autorizzati possono modificare lo schema. Ogni oggetto presente in una directory di AD LDS rappresenta un'istanza di una classe di oggetto definita in uno schema, come illustrato nella figura seguente.

Schema AD LDS

Classi di oggetti

Una classe di oggetti rappresenta una categoria di oggetti, quali utenti, stampanti o applicazioni, che condividono un insieme di caratteristiche comuni. La definizione di ciascuna classe di oggetti contiene l'elenco degli attributi che possono essere utilizzati per descrivere le istanze della classe. Ad esempio, la classe User dispone di attributi quali givenName, surname e streetAddress. L'elenco degli attributi di una classe si divide in attributi che un oggetto di tale classe deve contenere e attributi che può contenere. La definizione di ogni classe elenca anche le classi i cui oggetti possono essere padri di oggetti di una determinata classe.

Ad esempio, nella tabella seguente viene illustrata la definizione della classe User.

Attributo | Valore
Dn | CN=User,CN=Schema,CN=Configuration
objectClass | top; classSchema;
cn | User;
distinguishedName | CN=User,CN=Schema,CN=Configuration;
subClassOf | organizationalPerson;
mayContain | audio; carLicense; departmentNumber; displayName; employeeNumber; employeeType; givenName; homePostalAddress; jpegPhoto; labeledURI; photo; preferredLanguage; roomNumber; secretary; uid; userPKCS12; userSMIMECertificate; x500uniqueIdentifier;
rDNAttID | cn;
adminDisplayName | User;
adminDescription | User;
objectClassCategory | 1;
lDAPDisplayName | user;
name | User;
objectGUID | dac9093a-d2aa-408a-81bb-0fe8179165da;
schemaIDGUID | bf967aba-0de6-11d0-a285-00aa003049e2;
objectCategory | CN=Class-Schema,CN=Schema,CN=Configuration;
defaultObjectCategory | CN=Person,CN=Schema,CN=Configuration;

Attributi

Lo schema definisce anche ogni attributo. La definizione di ogni attributo include gli identificatori univoci per l'attributo, la sintassi per l'attributo, i limiti di intervallo facoltativi per i valori dell'attributo, se l'attributo può avere solo un valore o più valori e se l'attributo è indicizzato. Lo schema di directory definisce ogni attributo esattamente una volta. Più classi di oggetto possono quindi far riferimento a ogni attributo. Ad esempio, l'attributo description viene definito una sola volta e successivamente vi viene fatto riferimento da molte classi di oggetto.

Nella tabella seguente viene illustrata la definizione di telephone number, un attributo di schema rappresentativo.

Attributo | Valore
objectClass | top; attributeSchema;
cn | Telephone-Number;
distinguishedName | CN=Telephone-Number,CN=Schema,CN=Configuration;
instanceType | 0x4 = ( IT_WRITE );
whenCreated | 11/12/2002 13
22 | 14 Pacific Standard Time Pacific Daylight Time;
whenChanged | 11/12/2002 13
22 | 14 Pacific Standard Time Pacific Daylight Time;
uSNCreated | 217;
attributeID | 2.5.4.20;
attributeSyntax | 2.5.5.12;
isSingleValued | TRUE;
rangeLower | 1;
rangeUpper | 64;
uSNChanged | 217;
showInAdvancedViewOnly | TRUE;
adminDisplayName | Telephone-Number;
adminDescription | Telephone-Number;
oMSyntax | 64;
searchFlags | 0;
lDAPDisplayName | telephoneNumber;
nome | Telephone-Number;
objectGUID | bf19d7eb-ea0f-4f2d-af67-f439a037d8a4;
schemaIDGUID | bf967a49-0de6-11d0-a285-00aa003049e2;
attributeSecurityGUID | 77b5b886-944a-11d1-aebd-0000f80367c1;
systemOnly | FALSE;
systemFlags | 0x10 = ( FLAG_SCHEMA_BASE_OBJECT );
isMemberOfPartialAttributeSet | TRUE;
objectCategory | CN=Attribute-Schema,CN=Schema,CN=Configuration;

Attributi a valore singolo e multivalore

Gli attributi possono essere a valore singolo o multivalore. Un'istanza di un attributo a valore singolo può contenere un solo valore. Un'istanza di un attributo multivalore può contenere più valori, che devono utilizzare tutti la stessa sintassi. Ciascun valore di un attributo multivalore deve essere univoco.

Nota

Un attributo multivalore archivia i valori in ordine casuale. È pertanto consigliabile non effettuare alcuna decisione relativa alla directory, a livello di programmazione o manuale, in base all'ordine dei valori in un attributo multivalore.

Attributi indicizzati

L'indicizzazione degli attributi aiuta a migliorare le prestazioni delle query basate sull'attributo indicizzato. È possibile indicizzare entrambi gli attributi a valore singolo e multivalore, mentre non è possibile indicizzare le classi. Gli attributi possono venire contrassegnati per l'indicizzazione in base alla relativa definizione di schema. L'indicizzazione di un attributo consente inoltre agli utenti di utilizzare caratteri jolly (*) come prefissi e suffissi per la specifica di una stringa di ricerca. Quando si contrassegna un attributo come indicizzato, all'indice vengono aggiunte tutte le istanze dell'attributo e non solo quelle che fanno parte di una determinata classe. L'indicizzazione degli attributi, in particolare degli attributi multivalore, può influire negativamente sui tempi di replica e di creazione degli oggetti, nonché sulle dimensioni del database della directory. È pertanto consigliabile indicizzare soltanto gli attributi utilizzati comunemente.

Per informazioni di carattere generale sugli schemi, vedere la pagina relativa agli schemi Active Directory (http://go.microsoft.com/fwlink/?LinkId=80809).

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sulle istanze di AD LDS

  • Informazioni sulla replica e sui set di configurazione di AD LDS

  • Importare dati in un'istanza di AD LDS


Informazioni sulla replica e sui set di configurazione di AD LDS

Replica e set di configurazione

Per garantire tolleranza di errore e bilanciamento del carico per i servizi directory, in Active Directory Lightweight Directory Services (AD LDS) viene utilizzata la replica, più precisamente un tipo di replica definito replica multimaster. Tramite la replica, gli aggiornamenti dei dati di directory eseguiti su una partizione di directory in un'istanza di AD LDS vengono copiati in altre istanze di AD LDS che contengono copie della stessa partizione di directory. Le istanze di AD LDS che contengono copie della stessa partizione, o delle stesse partizioni, di directory formano un gruppo logico definito set di configurazione.

Replica multimaster

Il concetto di replica multimaster indica semplicemente che è possibile apportare modifiche ai dati di directory in qualsiasi istanza di AD LDS. AD LDS replica automaticamente tali modifiche in altri membri del set di configurazione. La replica multimaster è caratterizzata dalla coerenza di dati libera con convergenza. Quando vengono apportate modifiche ai dati di una determinata partizione di directory in un'istanza di AD LDS, le repliche di tale partizione di directory che sono archiviate in altre istanze di AD LDS diventano incoerenti con le repliche più aggiornate della partizione di directory, ovvero la partizione dove sono state apportate le modifiche. Tuttavia, man mano che le modifiche vengono replicate tramite il set di configurazione, tutte le repliche di partizione diventano di nuovo identiche, ovvero, convergono con i dati più recenti.

Set di configurazione

Le istanze di AD LDS replicano i dati in base alla partecipazione in un set di configurazione. Tutte le istanze di AD LDS che sono aggiunte allo stesso set di configurazione devono replicare una partizione di directory di configurazione comune e una partizione di directory di schema comune. Le istanze di AD LDS in un set di configurazione possono anche replicare qualsiasi numero di partizioni di directory applicative. Non è necessario che le istanze di AD LDS in un set di configurazione replichino tutte le partizioni di directory applicative nel set di configurazione. Una singola istanza di AD LDS può replicare tutte le partizioni di directory applicative, o qualsiasi subset di esse, nel proprio set di configurazione. Un'istanza di AD LDS non può tuttavia replicare una partizione di directory applicativa da un set di configurazione diverso.

Nella figura seguente viene illustrato un esempio di due set di configurazione di AD LDS, ognuno con due istanze di AD LDS. Come illustrato nella figura, un computer singolo può eseguire più istanze di AD LDS, ognuna in un set di configurazione diverso.

Due insiemi di configurazione AD LDS con due istanze
Nota

È possibile aggiungere un'istanza di AD LDS a un set di configurazione soltanto durante l'installazione dell'istanza.

Come evitare i conflitti di replica

Se due utenti diversi apportano modifiche agli stessi dati nelle repliche della stessa partizione di directory in due istanze diverse di AD LDS, ognuna delle istanze tenta di replicare le modifiche, creando un conflitto. Per risolvere il conflitto, i partner di replica che ricevono le modifiche in conflitto analizzano gli attributi contenuti nelle modifiche, ciascuno dei quali riporta la versione e il timestamp. Le istanze di AD LDS accetteranno la modifica con la versione superiore e ignoreranno l'altra. Se le versioni sono identiche, le istanze di AD LDS accetteranno la modifica con il timestamp più recente.

Se due o più valori in un attributo multivalore in un oggetto vengono aggiornati contemporaneamente in due istanze di AD LDS diverse, solo uno dei valori aggiornati verrà replicato. In altre parole, gli aggiornamenti simultanei a un attributo multivalore che si verificano in due istanze di AD LDS diverse vengono considerati in conflitto, anche se gli aggiornamenti si applicano a valori diversi all'interno dell'attributo multivalore. L'unica eccezione a tale regola riguarda gli attributi dei valori collegati, ad esempio l'appartenenza ai gruppi, che consentono aggiornamenti simultanei a valori diversi all'interno dell'attributo del valore collegato.

Topologia di replica

Controllo di coerenza informazioni (KCC), un processo che viene eseguito come parte di ogni istanza di AD LDS, costruisce automaticamente la topologia più efficace per il traffico di replica futuro, in base alla rete. KCC ricalcola regolarmente la topologia di replica per aggiornarla in base alle eventuali modifiche apportate alla rete nell'ambiente.

Nota

Un set di configurazione di AD LDS mantiene la relativa topologia di replica, separata da ogni altra eventuale topologia di replica di Servizi di dominio Active Directory. Non è possibile replicare le partizioni di directory tra istanze di AD LDS e controller di dominio di Servizi di dominio Active Directory.

Garantire la sicurezza della replica

Per garantire la sicurezza della replica, AD LDS autentica i partner di replica prima della replica e l'autenticazione della replica viene sempre eseguita su un canale sicuro. AD LDS utilizza Security Support Provider Interface (SSPI) per stabilire il livello di sicurezza dell'autenticazione appropriato tra partner di replica. Il metodo utilizzato per l'autenticazione della replica in un set di configurazione dipende dai valori dell'attributo msDS-ReplAuthenticationMode nella partizione di directory di configurazione. Dopo l'autenticazione dei partner di replica, tutto il traffico di replica tra i due partner viene crittografato.

Nella tabella seguente vengono illustrati i livelli di sicurezza per l'autenticazione della replica e il valore dell'attributo msDS-ReplAuthenticationMode corrispondente a ogni livello di sicurezza. Il livello di sicurezza della replica predefinito per una nuova istanza di AD LDS univoca è 1, a meno che un account utente di workstation locale non sia specificato come account del servizio AD LDS. In tal caso, il livello di sicurezza della replica è impostato su 0.

Livello di sicurezza della replica | Modalità di autenticazione | Descrizione | Ambienti supportati
Autenticazione manuale con Kerberos | 2 | È necessaria l'autenticazione Kerberos, tramite i nomi principali di servizio (SPN). Se l'autenticazione Kerberos ha esito negativo, le istanze di AD LDS non vengono replicate. | È necessario che il set di configurazione sia contenuto interamente in un dominio, una foresta o un trust tra foreste di Servizi di dominio Active Directory.
Negoziata | 1 | Viene tentata in primo luogo l'autenticazione Kerberos (con i nomi SPN). Se l'autenticazione Kerberos ha esito negativo, viene tentata l'autenticazione NTLM. Se l'autenticazione NTLM ha esito negativo, le istanze di AD LDS non vengono replicate. | Il set di configurazione può contenere server membri di Microsoft ® Windows NT® 4.0.
Negoziata pass-through | 0 | Tutte le istanze di AD LDS nel set di configurazione utilizzano lo stesso nome account e password dell'account del servizio AD LDS. | Il set di configurazione può includere computer aggiunti a uno o più gruppi di lavoro o a più domini o foreste senza relazioni di trust.

Per aiutare a garantire la sicurezza della replica di AD LDS, è consigliabile attenersi alle procedure ottimali seguenti:

  • Utilizzare il livello massimo di sicurezza della replica supportato dall'ambiente in uso.

  • Negli ambienti di Servizi di dominio Active Directory, quando possibile, eseguire AD LDS sui server membri e non sui controller di dominio.

  • Se si esegue AD LDS in un controller di dominio in un ambiente di Servizi di dominio Active Directory, non utilizzare l'account Servizio di rete come account del servizio AD LDS. Utilizzare invece un account di utente di domino che non dispone di privilegi amministrativi.

  • Negli ambienti per gruppi di lavoro e Windows NT 4.0, non utilizzare un account con privilegi amministrativi come account del servizio AD LDS.

  • Utilizzare set di configurazione separati per le applicazioni con requisiti elevati di isolamento.

Per ulteriori informazioni sui requisiti della replica di AD LDS per gli account del servizio, vedere Selezione account di servizio.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sulle istanze di AD LDS

  • Informazioni sullo schema AD LDS

  • Utilizzare le partizioni di directory


Informazioni sul backup e il ripristino delle istanze di AD LDS

Eseguire il backup e il ripristino di AD LDS

È consigliabile eseguire regolarmente il backup dei dati e dei file di registro di Active Directory Lightweight Directory Services (AD LDS) per garantire la continua disponibilità dei dati per le applicazioni e per gli utenti nel caso in cui si verifichi un errore di sistema.

Eseguire il backup di AD LDS

Per impostazione predefinita, in ogni istanza di AD LDS in esecuzione in un server AD LDS il file di database, Adamntds.dit, e i file di registro associati vengono archiviati in %program files%\Microsoft adam\nomeistanza\data. Questi file devono essere inclusi nel piano di backup periodico dell'organizzazione. È possibile eseguire il backup degli archivi directory utilizzando Windows Server Backup o qualsiasi utilità di backup di terze parti nell'ambito del programma Windows Logo. Per informazioni sul backup di un'istanza di AD LDS, vedere Eseguire il backup dei dati di un'istanza di AD LDS.

Eseguire il ripristino di AD LDS

Quando si ripristina un database in un'istanza di AD LDS esistente, è necessario interrompere l'istanza prima di eseguire l'operazione di ripristino. Prima dell'operazione di ripristino, è inoltre consigliabile spostare o eliminare i file di database e di registro esistenti dall'istanza di AD LDS.

Ripristino autorevole

Se gli oggetti presenti nella directory vengono inavvertitamente eliminati o modificati, e se tali oggetti sono replicati in un set di configurazione, è necessario eseguire un ripristino autorevole di tali oggetti in modo da replicarne la versione corretta. Per eseguire un ripristino autorevole dei dati di directory, eseguire l'utilità dsdbutil dopo aver ripristinato i dati ma prima di riavviare l'istanza di AD LDS. Con dsdbutil è possibile contrassegnare gli oggetti directory per il ripristino autorevole. Quando un oggetto viene contrassegnato per il ripristino autorevole, il relativo numero di sequenza di aggiornamento viene modificato in modo che risulti superiore a qualsiasi altro numero di sequenza di aggiornamento nel set di configurazione. In questo modo è possibile garantire che i dati ripristinati vengano replicati nel set di configurazione.

Per ulteriori informazioni sul ripristino di un'istanza di AD LDS, compreso il ripristino autorevole, vedere Ripristinare dati di istanze di AD LDS.

Se si ripristina un backup di AD LDS in un'istanza di AD LDS in esecuzione utilizzando Windows Server Backup, i file ripristinati rimangono in uno stato di attesa e non vengono scritti su disco fino al riavvio del computer. In questa situazione eventuali modifiche alla directory apportate all'istanza di AD LDS in esecuzione dopo l'esecuzione di Windows Server Backup andranno perse.

Se si avvia accidentalmente un ripristino di un'istanza di AD LDS su un'istanza di AD LDS attualmente in esecuzione, è consigliabile riavviare immediatamente il computer, interrompere l'istanza di AD LDS e quindi eseguire di nuovo il ripristino.

Ulteriori riferimenti

  • Utilizzare le istanze


Creare una nuova istanza di AD LDS

L'Installazione guidata Active Directory Lightweight Directory Services consente di creare istanze del servizio Active Directory Lightweight Directory Services (AD LDS). In AD LDS il termine "istanza del servizio", o semplicemente "istanza", si riferisce a una singola copia in esecuzione del servizio directory AD LDS. È possibile eseguire contemporaneamente più copie di AD LDS nello stesso computer. (Ciò non è possibile per Servizi di dominio Active Directory.) Ogni istanza del servizio directory AD LDS dispone di un archivio dei dati di directory distinto, un nome di servizio univoco e una descrizione del servizio univoca, assegnati durante l'installazione. Durante l'installazione di AD LDS è possibile creare una partizione di directory applicativa, se l'applicazione Lightweight Directory Access Protocol (LDAP) non ne crea una automaticamente.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per utilizzare l'Installazione guidata Active Directory Lightweight Directory Services per creare una nuova istanza di AD LDS

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Installazione guidata Active Directory Lightweight Directory Services.

  2. Nella pagina Installazione guidata Active Directory Lightweight Directory Services fare clic su Avanti.

  3. Nella pagina Opzioni di installazione fare clic su Un'istanza unica e quindi su Avanti.

  4. Seguire le istruzioni dell'Installazione guidata per completare la creazione della nuova istanza.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sulle istanze di AD LDS

  • Informazioni sulle partizioni di directory


Creare un'istanza di AD LDS di replica

L'Installazione guidata Active Directory Lightweight Directory Services consente di creare istanze del servizio Active Directory Lightweight Directory Services (AD LDS). In AD LDS il termine "istanza del servizio", o semplicemente "istanza", si riferisce a una singola copia in esecuzione di AD LDS. Per garantire tolleranza di errore e bilanciamento del carico, le istanze di AD LDS possono far parte di un set di configurazione. Tutte le istanze di AD LDS appartenenti a un set di configurazione replicano la stessa partizione di directory di configurazione e la stessa partizione di directory dello schema, più un numero variabile di partizioni di directory applicative.

Per creare un'istanza di AD LDS e aggiungerla a un set di configurazione esistente, utilizzare l'Installazione guidata Active Directory Lightweight Directory Services in modo da creare un'istanza di AD LDS di replica. A tale scopo, è necessario conoscere il nome Domain Name System (DNS) del server che esegue un'istanza di AD LDS appartenente al set di configurazione, nonché la porta Lightweight Directory Access Protocol (LDAP) specificata durante la creazione dell'istanza. È inoltre possibile indicare i nomi distinti (anche noti come DN) di specifiche partizioni di directory applicative che si desidera copiare dal set di configurazione all'istanza di AD LDS che si sta creando.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per creare un'istanza di AD LDS di replica

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Installazione guidata Active Directory Lightweight Directory Services.

  2. Nella pagina Installazione guidata Active Directory Lightweight Directory Services fare clic su Avanti.

  3. Nella pagina Opzioni di installazione fare clic su Una replica di un'istanza esistente e quindi su Avanti.

  4. Seguire le istruzioni dell'Installazione guidata per completare la creazione della nuova istanza.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sulle istanze di AD LDS

  • Informazioni sulla replica e sui set di configurazione di AD LDS

  • Informazioni sulle partizioni di directory


Installare una replica di AD LDS da un supporto

Quando si installa una replica di Active Directory Lightweight Directory Services (AD LDS) da un supporto, si utilizza come origine dati un backup ripristinato di un'istanza di AD LDS, anziché un'altra istanza di AD LDS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per installare una replica di AD LDS da un supporto

  1. Ripristinare una copia di backup dell'istanza di AD LDS dalla quale si desidera eseguire l'installazione in un percorso alternativo. Non ripristinare il backup nel percorso originale dell'istanza di AD LDS.

  2. Al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    %windir%\adam\adaminstall /adv

  3. Eseguire i passaggi dell'Installazione guidata Active Directory Lightweight Directory Services.

Ulteriori considerazioni

  • Per aprire un prompt dei comandi, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  • È possibile installare una replica di AD LDS soltanto da un supporto creato tramite il ripristino di una copia di backup di un'istanza di AD LDS.

  • Quando si ripristina un'istanza di AD LDS da utilizzare per l'installazione di una replica da un supporto, è necessario ripristinare i file in un percorso alternativo e non nel percorso originale da cui è stato eseguito il relativo backup.

  • Dopo aver ripristinato i file di AD LDS da un backup in un percorso alternativo, il file Adamntds.dit e i file Edb*.log verranno nidificati nel percorso alternativo specificato. Se ad esempio si specifica come percorso di ripristino dei file di AD LDS la directory C:\dir_ripristino, i file Adamntds.dit e Edb*.log verranno posizionati in C:\dir_ripristino\Programmi\Microsoft ADAM\nomeistanza\data, dove nomeistanza rappresenta l'istanza di AD LDS ripristinata.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Eseguire il backup dei dati di un'istanza di AD LDS

  • Ripristinare dati di istanze di AD LDS


Avviare, arrestare o riavviare un'istanza di AD LDS

Le istanze di Active Directory Lightweight Directory Services (AD LDS) vengono eseguite come servizi. È pertanto possibile avviare, arrestare e riavviare un'istanza di AD LDS allo stesso modo di ogni altro servizio in esecuzione in Windows Server 2008 R2.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Avviare, arrestare o riavviare un'istanza di AD LDS

  • Tramite l'interfaccia utente grafica

  • Tramite il prompt dei comandi

Per avviare, arrestare o riavviare un'istanza di AD LDS tramite l'interfaccia utente grafica

  1. Aprire Server Manager.

  2. Nell'albero della console fare doppio clic su Ruoli e quindi fare clic su Active Directory Lightweight Directory Services.

  3. Nel riquadro dei dettagli, nell'elenco Servizi di sistema, fare clic sull'istanza di AD LDS che si desidera gestire.

  4. Fare clic su Avvia, Arresta o Riavvia.

Ulteriori considerazioni

  • Per aprire lo snap-in Server Manager, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Server Manager.

  • Per impostazione predefinita, un'istanza di AD LDS viene configurata per l'avvio automatico.

Per avviare o arrestare un'istanza di AD LDS tramite un prompt dei comandi

  1. Aprire un prompt dei comandi.

  2. Eseguire una delle operazioni seguenti:

    • Per avviare un'istanza di AD LDS, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

      net start nome_istanza

      dove nome_istanza rappresenta l'istanza di AD LDS che si desidera avviare.

    • Per arrestare un'istanza di AD LDS, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

      net stop nome_istanza

      dove nome_istanza rappresenta l'istanza di AD LDS che si desidera arrestare.

Ulteriori considerazioni

  • Per aprire un prompt dei comandi, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  • Non è possibile sospendere o riprendere un'istanza di AD LDS dal prompt dei comandi.

  • Per impostazione predefinita, un'istanza di AD LDS viene configurata per l'avvio automatico.

  • Per ulteriori informazioni sul comando net, digitare net /? al prompt dei comandi o vedere Guida e supporto tecnico.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sulle istanze di AD LDS


Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

Modifica ADSI è uno snap-in di Microsoft Management Console (MMC) per l'amministrazione generale di Active Directory Lightweight Directory Services (AD LDS). Viene installato come parte del ruolo server AD LDS. Per utilizzare Modifica ADSI per amministrare un'istanza di AD LDS, è necessario prima eseguire la connessione e il binding all'istanza. È possibile amministrare contenitori e oggetti dell'istanza selezionandoli e facendo clic su di essi con il pulsante destro del mouse.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per eseguire la connessione e il binding a un'istanza di AD LDS tramite Modifica ADSI

  1. Aprire Modifica ADSI.

  2. Nell'albero della console fare clic su Modifica ADSI.

  3. Scegliere Connetti a dal menu Azione.

  4. In Selezionare o digitare un dominio o un server: (Server | Dominio[:porta]) digitare il nome Domain Name Service (DNS), il nome NetBIOS o l'indirizzo IP del computer che esegue l'istanza di AD LDS, seguito da due punti (:) e dalla porta di comunicazione Lightweight Directory Access Protocol (LDAP) utilizzata dall'istanza di AD LDS a cui si desidera connettersi.

    Nota

    Se è stata già eseguita una connessione all'istanza da questo computer, è possibile che il server e la porta siano già presenti in elenco.

  5. In Punto di connessione eseguire una delle operazioni seguenti:

    • Fare clic su Selezionare o digitare un nome distinto o un contesto dei nomi e quindi specificare il nome distinto a cui si desidera connettersi.

    • Fare clic su Selezionare un contesto dei nomi noto e quindi su Di configurazione, RootDSE o Dello schema.

  6. Per eseguire la connessione con un account alternativo, fare clic su Avanzate, su Specificare le credenziali e quindi in Credenziali da utilizzare per la connessione digitare il dominio, il nome utente e la password dell'account.

Ulteriori considerazioni

  • Per aprire Modifica ADSI in un computer in cui è installato il ruolo di server AD LDS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modifica ADSI.

  • Per creare connessioni aggiuntive a istanze AD LDS, scegliere Connetti a dal menu Azione per ogni nuova connessione.

  • La porta di comunicazione predefinita per LDAP è 389.

  • Per connettersi a un'istanza di AD LDS in esecuzione nel computer locale, digitare localhost come nome server.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sulle istanze di AD LDS

  • Informazioni sullo schema AD LDS

  • Utilizzare Ldp.exe per gestire un'istanza di AD LDS


Utilizzare Ldp.exe per gestire un'istanza di AD LDS

Ldp.exe è un'interfaccia utente grafica (GUI) per l'amministrazione generale di un servizio directory LDAP (Lightweight Directory Access Protocol). Per utilizzare Ldp.exe per amministrare un'istanza di Active Directory Lightweight Directory Services (AD LDS), è necessario eseguire la connessione e il binding all'istanza e quindi visualizzare la gerarchia (l'albero) di un nome distinto dell'istanza. È quindi possibile passare a un oggetto dell'albero e fare clic su di esso con il pulsante destro del mouse per amministrarlo.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per visualizzare il contenuto di un'istanza di AD LDS utilizzando Ldp.exe

  1. Aprire Ldp.

  2. Scegliere Connetti dal menu Connessione.

  3. In Server digitare il nome Domain Name System (DNS), il nome NetBIOS o l'indirizzo IP del computer in cui è in esecuzione l'istanza di AD LDS.

  4. In Porta digitare il numero della porta di comunicazione LDAP o Secure Sockets Layer (SSL) utilizzata dall'istanza di AD LDS a cui si desidera connettersi e fare clic su OK.

  5. Scegliere Binding dal menu Connessione.

  6. Eseguire una delle operazioni seguenti:

    • Per eseguire il binding utilizzando le credenziali con cui si è eseguito l'accesso, fare clic su Esegui binding come utente connesso.

    • Per eseguire il binding utilizzando un account utente di dominio, fare clic su Binding con credenziali, digitare il nome utente, la password e il nome di dominio (o il nome del computer, se si utilizza un account di workstation locale) dell'account in uso e quindi fare clic su OK.

    • Per eseguire il binding utilizzando solo un nome utente e una password, fare clic su Binding semplice, digitare il nome utente e la password dell'account in uso e quindi fare clic su OK.

    • Per eseguire il binding utilizzando un metodo avanzato, quale NTLM, autenticazione DPA, negotiate o digest, fare clic su Avanzato (metodo), fare clic su Avanzato, in Metodo selezionare il metodo desiderato, impostare altre opzioni secondo le proprie esigenze e quindi fare clic su OK.

  7. Al termine fare clic su OK.

  8. Scegliere Albero dal menu Visualizza.

  9. Nell'elenco DNBase fare clic sul nome distinto dell'oggetto da utilizzare come oggetto di base nel riquadro di spostamento.

Ulteriori considerazioni

  • Per aprire Ldp, fare clic su Start, scegliere Esegui, digitare ldp e quindi fare clic su OK.

  • La porta di comunicazione predefinita per LDAP è 389. La porta di comunicazione predefinita per SSL è 636.

  • Per connettersi a un'istanza di AD LDS in esecuzione nel computer locale, digitare localhost come nome server.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sulle istanze di AD LDS

  • Informazioni sullo schema AD LDS

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS


Importare dati in un'istanza di AD LDS

L'utilità ldifde consente di creare, modificare ed eliminare gli oggetti directory. È possibile utilizzare ldifde per popolare Active Directory Lightweight Directory Services (AD LDS) con dati provenienti da altri servizi directory, nonché per estendere lo schema ed esportare informazioni relative a utenti e gruppi verso altre applicazioni o servizi. È ad esempio possibile utilizzare ldifde per esportare oggetti directory da un altro servizio directory e quindi utilizzarla per importare gli oggetti directory in un'istanza di AD LDS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per importare o esportare oggetti directory tramite ldifde

  1. Aprire un prompt dei comandi.

  2. Eseguire una delle operazioni seguenti:

    • Per importare oggetti directory, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

      ldifde -i -f nomefile -s nomeserver:porta -m -a nomeutente dominio password

    • Per esportare oggetti directory, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

      ldifde -e -f nomefile -s nomeserver:porta -m -a nomeutente dominio password

Parametro Descrizione

-i

Esegue un'importazione.

-e

Esegue un'esportazione.

-f

Specifica il file da importare o esportare.

nomefile

Nome del file da importare o esportare.

-s

Specifica il nome host e la porta dell'istanza di AD LDS o di un servizio directory diverso.

nomeserver

Nome host dell'istanza di AD LDS o di un servizio directory diverso.

porta

Porta dell'istanza di AD LDS o di un servizio directory diverso.

-m

Ignora, ovvero non importa o esporta, gli attributi utilizzati solo da Servizi di dominio Active Directory.

È possibile utilizzare questo parametro quando si esportano oggetti directory da una foresta di Servizi di dominio Active Directory esistente e li si importano in AD LDS.

-a

Specifica le credenziali dell'account. Se non vengono specificate, ldifde utilizzerà le credenziali dell'utente che ha effettuato l'accesso.

nomeutente

Nome utente dell'account da utilizzare per eseguire il binding al servizio directory specificato.

dominio

Nome di dominio dell'account da utilizzare per eseguire il binding al servizio directory specificato.

password

Password dell'account da utilizzare per eseguire il binding al servizio directory specificato.

-h

Consente l'importazione di password utilizzando la crittografia SASL (Simple Authentication and Security Layer).

-c Stringa1 Stringa2

Sostituisce tutte le occorrenze di Stringa1 con Stringa2. Con AD LDS è possibile utilizzare le costanti #schemaNamingContext e #configurationNamingContext al posto dei nomi distinti della partizione di directory dello schema e della partizione di directory di configurazione quando si sostituiscono stringhe nei file con estensione ldf.

Per visualizzare la sintassi completa del comando, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

Ldifde /?

Ulteriori considerazioni

  • Per aprire un prompt dei comandi, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sulle istanze di AD LDS

  • Informazioni sullo schema AD LDS

  • Ldifde


Eseguire il backup dei dati di un'istanza di AD LDS

I dati di un'istanza di Active Directory Lightweight Directory Services (AD LDS) vengono archiviati in un set di file contenuto in una cartella avente lo stesso nome dell'istanza. Per impostazione predefinita, i file di database e di registro di AD LDS sono memorizzati in %ProgramFiles%\Microsoft ADAM\nomeistanza, dove nomeistanza è il nome dell'istanza di AD LDS. Il backup di un'istanza di AD LDS si esegue provvedendo al backup, ovvero alla copia, di tali file.

Importante

Prima di eseguire il backup della cartella di un'istanza di AD LDS, è necessario utilizzare lo snap-in Servizi per verificare che l'istanza sia avviata. Per avviare Servizi, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Servizi. Poiché il servizio dell'istanza deve essere in esecuzione quando si esegue il backup dei file, è necessario utilizzare un'utilità di backup in grado di eseguire il backup di file aperti, come ad esempio Windows Server Backup.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per eseguire il backup di un'istanza di AD LDS utilizzando Windows Server Backup

  1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Backup.

  2. Scegliere Backup unico dal menu Azione.

  3. Nella Creazione guidata backup unico fare clic su Opzioni diverse e quindi su Avanti.

  4. Fare clic su Personalizzato e quindi su Avanti.

  5. Selezionare il volume che contiene i file di database e di registro di AD LDS.

  6. Completare la procedura guidata per iniziare l'operazione di backup.
Attenzione

Nel caso in cui il backup dei dati sia stato eseguito da un volume NTFS, è consigliabile eseguire il ripristino in un volume NTFS della stessa versione, per evitare perdite di dati.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sul backup e il ripristino delle istanze di AD LDS

  • Avviare, arrestare o riavviare un'istanza di AD LDS

  • Ripristinare dati di istanze di AD LDS


Ripristinare dati di istanze di AD LDS

La procedura da seguire per ripristinare un'istanza di Active Directory Lightweight Directory Services (AD LDS) cambia in base al fatto che l'istanza esista o meno e appartenga o meno a un set di configurazione.

  • Ripristinare i dati di AD LDS in un'istanza di AD LDS esistente appartenente a un set di configurazione

  • Ripristinare un database danneggiato che impedisce l'avvio di un'istanza di AD LDS esistente

  • Ripristinare un'istanza di AD LDS non appartenente a un set di configurazione

  • Ripristinare un'istanza di AD LDS appartenente a un set di configurazione

Ripristinare i dati di AD LDS in un'istanza di AD LDS esistente appartenente a un set di configurazione

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators o a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per eseguire un ripristino autorevole dei dati di AD LDS in un'istanza di AD LDS appartenente a un set di configurazione

  1. Se l'istanza di AD LDS per cui si desidera ripristinare i dati è in esecuzione, interromperla.

  2. Aprire Backup.

  3. Scegliere Ripristino dal menu Azione.

  4. Eseguire i passaggi di Ripristino guidato per specificare il percorso dei dati di backup di origine e selezionare il backup specifico da cui si desidera ripristinare i dati dell'istanza.

  5. In Selezionare il tipo di ripristino fare clic su File e cartelle e quindi su Avanti.

  6. In Selezionare gli elementi da ripristinare passare alla cartella che contiene i file di dati dell'istanza e selezionarla. Per impostazione predefinita, i file di database e di registro di AD LDS sono memorizzati in %ProgramFiles%\Microsoft ADAM\nomeistanza, dove nomeistanza è il nome dell'istanza di AD LDS.

  7. In Specificare le opzioni di ripristino fare clic su Percorsi originali, su Sovrascrivi i file esistenti con i file ripristinati e quindi su Avanti.

  8. Per completare il ripristino, fare clic su Fine.

  9. Al termine del ripristino, chiudere l'utilità di backup.

  10. Aprire un prompt dei comandi.

  11. Al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    dsdbutil

  12. Al prompt dsdbutil: digitare il comando seguente e quindi premere INVIO:

    activate instance nomeistanza

    dove nomeistanza rappresenta il nome del servizio dell'istanza di AD LDS in cui si desidera ripristinare i dati.

  13. Al prompt dsdbutil: digitare il comando seguente e quindi premere INVIO:

    authoritative restore

  14. Al prompt authoritative restore: digitare uno dei comandi elencati nella tabella seguente.

    Comando Descrizione

    restore database

    Esegue un ripristino autorevole dell'intero database della directory.

    restore object dn

    Esegue un ripristino autorevole dell'oggetto directory il cui nome distinto è rappresentato da dn.

    restore subtree dn

    Esegue un ripristino autorevole del sottoalbero di directory il cui nome distinto è rappresentato da dn.

Ulteriori considerazioni

  • Per aprire Backup, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Backup.

  • Per aprire un prompt dei comandi, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  • Per arrestare un'istanza di AD LDS, utilizzare lo snap-in Servizi.

  • È possibile utilizzare questa procedura se si desidera ripristinare i dati per sovrascrivere in modo autorevole i dati esistenti nel set di configurazione.

  • Per ulteriori informazioni sul comando authoritative restore in dsdbutil, al prompt authoritative restore: digitare ? e quindi premere INVIO.

  • Se si avvia accidentalmente un ripristino di un'istanza di AD LDS su un'istanza di AD LDS attualmente in esecuzione, è consigliabile riavviare immediatamente il computer, interrompere l'istanza di AD LDS e quindi eseguire di nuovo il ripristino.

Ripristinare un database danneggiato che impedisce l'avvio di un'istanza di AD LDS esistente

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per ripristinare un database danneggiato che impedisce l'avvio di un'istanza di AD LDS esistente

  1. Se l'istanza di AD LDS per cui si desidera ripristinare i dati è in esecuzione, interromperla.

  2. Aprire l'utilità di backup.

  3. Scegliere Ripristina dal menu Azione.

  4. Eseguire i passaggi della procedura guidata per specificare il percorso dei dati di backup di origine e selezionare il backup specifico da cui si desidera ripristinare i dati dell'istanza.

  5. In Selezionare il tipo di ripristino fare clic su File e cartelle e quindi su Avanti.

  6. In Selezionare gli elementi da ripristinare passare alla cartella che contiene i file di dati dell'istanza e selezionarla. Per impostazione predefinita, i file di database e di registro di AD LDS sono memorizzati in %ProgramFiles%\Microsoft ADAM\nomeistanza, dove nomeistanza è il nome dell'istanza di AD LDS.

  7. In Impostazione opzioni di ripristino fare clic su Percorso originale, su Sovrascrivi i file esistenti con i file ripristinati e quindi su Avanti.

  8. Per completare il ripristino, fare clic su Fine.

  9. Al termine del ripristino, chiudere l'utilità di backup.

  10. Riavviare l'istanza di AD LDS.

Ulteriori considerazioni

  • Per arrestare e avviare un'istanza di AD LDS, utilizzare lo snap-in Servizi.

  • Per aprire l'utilità di backup, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Backup.

  • Se, al termine di questa procedura, non è possibile avviare l'istanza di AD LDS, eseguire la procedura appropriata per il ripristino completo di un'istanza di AD LDS, a seconda che l'istanza di AD LDS appartenga a un set di configurazione o sia unica.

  • Se si avvia accidentalmente un ripristino di un'istanza di AD LDS su un'istanza di AD LDS attualmente in esecuzione, è consigliabile riavviare immediatamente il computer, interrompere l'istanza di AD LDS e quindi eseguire di nuovo il ripristino.

Ripristinare un'istanza di AD LDS non appartenente a un set di configurazione

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per ripristinare completamente un'istanza di AD LDS non appartenente a un set di configurazione

  1. Utilizzare l'Installazione guidata Active Directory Lightweight Directory Services per creare un'istanza di AD LDS specificando le stesse impostazioni utilizzate durante l'installazione originale di AD LDS. Durante l'installazione non creare tuttavia una partizione di directory applicativa.

  2. Arrestare l'istanza di AD LDS appena creata come indicato di seguito:

    1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Servizi.

    2. In Servizi fare clic con il pulsante destro del mouse sull'istanza di AD LDS e quindi scegliere Arresta.

  3. Aprire l'utilità di backup.

  4. Scegliere Ripristina dal menu Azione.

  5. Eseguire i passaggi di Ripristino guidato per specificare il percorso dei dati di backup di origine e selezionare il backup specifico da cui si desidera ripristinare i dati dell'istanza.

  6. In Selezione tipo di ripristino fare clic su File e cartelle e quindi su Avanti.

  7. In Selezione elementi da ripristinare passare alla cartella che contiene i file di dati dell'istanza e selezionarla. Per impostazione predefinita, i file di database e di registro di AD LDS si trovano in %ProgramFiles%\Microsoft ADAM\nomeistanza, dove nomeistanza è il nome dell'istanza di AD LDS.

  8. In Impostazione opzioni di ripristino fare clic su Percorso originale, su Sovrascrivi i file esistenti con i file ripristinati e quindi su Avanti.

  9. Per completare il ripristino, fare clic su Fine.

  10. Al termine del ripristino, chiudere l'utilità di backup.

  11. Avviare l'istanza di AD LDS appena creata come indicato di seguito:

    1. Fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Servizi.

    2. In Servizi fare clic con il pulsante destro del mouse sull'istanza di AD LDS e quindi scegliere Avvia.

Ulteriori considerazioni

  • Per aprire l'utilità di backup, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Backup.

  • Se si avvia accidentalmente un ripristino di un'istanza di AD LDS su un'istanza di AD LDS attualmente in esecuzione, è consigliabile riavviare immediatamente il computer, arrestare l'istanza di AD LDS e quindi eseguire di nuovo il ripristino.

Ripristinare un'istanza di AD LDS appartenente a un set di configurazione

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators oppure a un gruppo equivalente. Per ulteriori informazioni sull'utilizzo degli account e delle appartenenze di gruppo appropriati, vedere http://go.microsoft.com/fwlink/?LinkId=83477 (la pagina potrebbe essere in inglese).

Per ripristinare completamente un'istanza di AD LDS appartenente a un set di configurazione

  1. In una delle istanze di AD LDS rimanenti nel set di configurazione eliminare l'oggetto server che rappresenta l'istanza di AD LDS che si desidera ripristinare come indicato di seguito:

    1. Aprire un prompt dei comandi.

    2. Al prompt dei comandi digitare dsmgmt e quindi premere INVIO.

    3. Al prompt dsmgmt: digitare metadata cleanup e quindi premere INVIO.

    4. Al prompt metadata cleanup: digitare select operation target e quindi premere INVIO.

    5. Al prompt select operation target: digitare connections e quindi premere INVIO.

    6. Al prompt server connections: digitare il comando seguente e quindi premere INVIO:

      connect to server nomecomputer:numeroporta

      dove nomecomputer:numeroporta rappresenta l'istanza di AD LDS a cui si desidera eseguire la connessione.

    7. Al prompt server connections: digitare q e quindi premere INVIO.

    8. Al prompt select operation target: digitare list sites e quindi premere INVIO. Identificare il numero corrispondente al sito in cui risiede l'oggetto server che si desidera eliminare.

    9. Al prompt select operation target: digitare select site n e quindi premere INVIO, dove n rappresenta il numero identificato al passaggio precedente.

    10. Al prompt select operation target: digitare list naming contexts e quindi premere INVIO. Identificare il numero che corrisponde a un contesto dei nomi precedentemente utilizzato dal server di cui si desidera eliminare l'oggetto server.

    11. Digitare select naming context n e quindi premere INVIO, dove n rappresenta il numero identificato al passaggio precedente.

    12. Digitare list servers in site e quindi premere INVIO. Identificare il numero associato al server di cui si desidera eliminare l'oggetto server.

    13. Digitare select server n e quindi premere INVIO, dove n rappresenta il numero identificato al passaggio precedente.

    14. Al prompt select operation target: digitare q e quindi premere INVIO.

    15. Al prompt metadata cleanup: digitare remove selected server e quindi premere INVIO. Fare clic su yes per confermare l'eliminazione dell'oggetto server.

    16. È inoltre necessario eliminare l'oggetto server dal contenitore dei siti:

      CN=Servers,CN=nomesito,CN=Sites,CN=Configuration,CN={GUID}

      dove nomesito rappresenta il nome del sito in cui risiede l'oggetto server e GUID rappresenta l'identificatore univoco globale (GUID) dell'istanza di AD LDS.

  2. Aprire l'utilità di backup.

  3. Scegliere Ripristina dal menu Azione.

  4. Eseguire i passaggi di Ripristino guidato per specificare il percorso dei dati di backup di origine e selezionare il backup specifico da cui si desidera ripristinare i dati dell'istanza.

  5. In Selezione tipo di ripristino fare clic su File e cartelle e quindi su Avanti.

  6. In Selezionare gli elementi da ripristinare passare alla cartella che contiene i file di dati dell'istanza e selezionarla. Per impostazione predefinita, i file di database e di registro di AD LDS sono memorizzati in %ProgramFiles%\Microsoft ADAM\nomeistanza, dove nomeistanza è il nome dell'istanza di AD LDS.

  7. In Specificare le opzioni di ripristino fare clic su Percorso alternativo, specificare un percorso temporaneo per i file ripristinati e quindi fare clic su Avanti.

  8. Per completare il ripristino, fare clic su Fine.

  9. Al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    %windir%\adam\adaminstall /adv

  10. Eseguire i passaggi dell'Installazione guidata Active Directory Lightweight Directory Services.

Ulteriori considerazioni

  • Per aprire l'utilità di backup, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Backup.

  • Per aprire un prompt dei comandi, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  • Per informazioni relative a dsmgmt, al prompt dsmgmt digitare ? e quindi premere INVIO.

  • Se si avvia accidentalmente un ripristino di un'istanza di AD LDS su un'istanza di AD LDS attualmente in esecuzione, è consigliabile riavviare immediatamente il computer, arrestare l'istanza di AD LDS e quindi eseguire di nuovo il ripristino.

Ulteriori riferimenti

  • Utilizzare le istanze

  • Informazioni sul backup e il ripristino delle istanze di AD LDS

  • Eseguire il backup dei dati di un'istanza di AD LDS

  • Avviare, arrestare o riavviare un'istanza di AD LDS


Utilizzare le partizioni di directory

L'archivio directory Active Directory Lightweight Directory Services (AD LDS) è organizzato in partizioni di directory logiche o contesti dei nomi. Vi sono tre tipi diversi di partizioni di directory: di configurazione, dello schema e applicative. Ogni archivio directory AD LDS deve contenere una singola partizione di directory di configurazione e una singola partizione di directory dello schema e può contenere zero o più partizioni di directory applicative. Le partizioni di directory applicative contengono i dati utilizzati dalle applicazioni. È possibile creare una partizione di directory applicativa durante la creazione di una nuova istanza di AD LDS o anche in seguito.

  • Informazioni sulle partizioni di directory

  • Amministrare le partizioni di directory

  • Creare una partizione di directory applicativa

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Informazioni sulle partizioni di directory

Active Directory Lightweight Directory Services (AD LDS) archivia i dati di directory in un archivio directory gerarchico basato su file. Per impostazione predefinita, l'archivio directory di una determinata istanza di AD LDS viene posto nel file seguente:

%ProgramFiles%\Microsoft ADAM\nomeistanza\data\adamntds.dit

Ogni istanza di AD LDS dispone di un archivio directory distinto. Per qualsiasi operazione sui dati eseguita in AD LDS, incluse operazioni di ricerca, lettura, importazione, esportazione, indicizzazione, replica, backup e ripristino, viene utilizzato l'archivio directory AD LDS. L'archivio directory è organizzato in partizioni di directory logiche, dette anche contesti dei nomi.

Nota

Come in Servizi di dominio Active Directory, anche in AD LDS viene utilizzato il modulo ESE (Extensible Storage Engine) per la gestione dell'archivio directory.

Partizioni di directory

L'archivio directory AD LDS è organizzato in partizioni di directory logiche. Vi sono tre tipi diversi di partizioni di directory: di configurazione, dello schema e applicative. Ogni archivio directory AD LDS deve contenere una singola partizione di directory di configurazione e una singola partizione di directory dello schema e può contenere zero o più partizioni di directory applicative. Nella tabella seguente vengono elencati questi tipi di partizioni, il relativo contenuto e i requisiti di AD LDS.

Tipo di partizione | Nome distinto | Obbligatoria/facoltativa | Contenuto
Di configurazione | CN=Configuration,CN={GUID} | Obbligatoria | Informazioni sulla configurazione di AD LDS
Dello schema | CN=Schema,CN=Configuration,CN={GUID} | Obbligatorio | Definizioni di classi e attributi
Applicativa | Assegnato durante la creazione della partizione | Facoltativa | Dati delle applicazioni

Partizione di directory di configurazione

La partizione di directory di configurazione contiene le informazioni sui set di repliche e sulla pianificazione della replica di AD LDS, informazioni che definiscono le altre partizioni nel set di repliche, informazioni sugli utenti e sui gruppi nel set di repliche e altre informazioni.

Partizione di directory dello schema

La partizione di directory dello schema contiene le definizioni per i tipi di dati che possono essere inclusi nell'archivio directory. Per garantire la coerenza dei dati, il servizio directory AD LDS si basa sulle definizioni incluse nella partizione dello schema. Le applicazioni possono inoltre fare riferimento a questa partizione per determinare il tipo di dati consentiti dall'istanza di AD LDS. È possibile estendere lo schema per consentire ad AD LDS di includere dati specifici di un'applicazione particolare. Per ulteriori informazioni sugli schemi AD LDS, vedere Informazioni sullo schema AD LDS.

Nota

Una partizione di configurazione comune e una partizione dello schema comune vengono replicate nelle istanze del servizio AD LDS appartenenti allo stesso set di configurazione. Per ulteriori informazioni sulle repliche, vedere Informazioni sulla replica e sui set di configurazione di AD LDS.

Partizioni di directory applicative

Le partizioni di directory applicative contengono i dati utilizzati dalle applicazioni. È possibile creare una partizione applicativa durante l'installazione di AD LDS o in qualsiasi momento successivo all'installazione. In base all'applicazione in uso, è possibile estendere lo schema manualmente oppure l'operazione può venire eseguita automaticamente dall'applicazione. In genere, i dati di una determinata partizione di directory applicativa vengono gestiti tramite l'applicazione. Dopo la creazione della partizione di directory, AD LDS inserisce tutti gli oggetti di riferimento della partizione applicativa in CN=Partitions,CN=Configuration.

Ulteriori riferimenti

  • Utilizzare le partizioni di directory

  • Amministrare le partizioni di directory

  • Creare una partizione di directory applicativa


Amministrare le partizioni di directory

Amministrare le partizioni di directory

In Active Directory Lightweight Directory Services (AD LDS) vengono utilizzati tre tipi di partizioni di directory: di configurazione, dello schema e applicative. Le partizioni di directory di configurazione e dello schema vengono create automaticamente durante l'installazione. Le partizioni di directory applicative possono venire create durante o dopo l'installazione. A ogni partizione di directory di AD LDS è associato un nome distinto univoco. I nomi distinti delle partizioni di directory in AD LDS supportano sia la denominazione di tipo DNS (Domain Naming System), sia la denominazione di tipo X.500. Per impostazione predefinita, un'istanza di AD LDS non specifica un contesto dei nomi, ma può essere configurata in modo da fornire un contesto dei nomi predefinito ai client. Per visualizzare e gestire le partizioni di configurazione e dello schema AD LDS è possibile utilizzare gli strumenti di amministrazione di AD LDS, che vengono installati durante l'installazione di AD LDS. Le partizioni di directory applicative vengono gestite, di norma, tramite applicazioni abilitate all'uso di directory.

Creare partizioni di directory

Le partizioni di directory dello schema e di configurazione vengono create automaticamente durante l'installazione di un'istanza di AD LDS. Non è possibile creare tali partizioni successivamente. Se si sceglie di aggiungere l'istanza di AD LDS che si sta installando a un set di configurazione esistente, nella nuova istanza verranno replicate le partizioni di directory dello schema e di configurazione di un'istanza di AD LDS presente nel set di configurazione. Se si installa una nuova istanza di AD LDS, le versioni predefinite delle partizioni di directory dello schema e di configurazione verranno create automaticamente durante l'installazione. Se si installa un'istanza di AD LDS tramite supporti, le partizioni di directory dello schema e di configurazione della nuova istanza di AD LDS saranno repliche delle partizioni di directory contenute nei supporti.

Quando si installa una nuova istanza di AD LDS è anche possibile scegliere di replicare una o più partizioni di directory applicative da un'istanza di AD LDS esistente. In alternativa è possibile scegliere di creare una nuova partizione applicativa. Quando si crea una nuova partizione di directory applicativa durante l'installazione è necessario specificare un nome distinto univoco per la partizione. La nuova partizione di directory applicativa sarà costituita solo da un oggetto contenitore di partizioni con il nome distinto specificato dall'utente.

Assegnare nomi alle partizioni di directory

A ogni partizione di directory di AD LDS è associato un nome distinto univoco. AD LDS supporta sia i nomi DNS che i nomi X.500 per le partizioni di directory di livello superiore, inclusi gli attributi dei nomi distinti elencati nella tabella seguente.

Attributo nome distinto | Significato
C= | Paese
CN= | Nome comune
DC= | Componente dominio
L= | Percorso
O= | Organizzazione
OU= | Unità organizzativa

Impostare un contesto dei nomi predefinito

Per impostazione predefinita, un'istanza di AD LDS non fornisce un contesto dei nomi predefinito. È tuttavia possibile configurare AD LDS in modo che fornisca un contesto dei nomi specificando un valore per l'attributo msDS-defaultNamingContext nell'oggetto NTDSA.

Per impostazione predefinita, l'attributo msDS-defaultNamingContext non contiene alcun valore. Se si assegna un valore all'attributo, tale valore viene restituito ai client tramite l'attributo defaultNamingContext dell'oggetto rootDse quando quest'ultimo viene letto.

Quando si richiede un binding sull'oggetto rootDSE, AD LDS restituisce il valore di defaultNamingContext se l'attributo msDS-defaultNamingContext dell'oggetto NTDSA è impostato sul nome distinto di un contenitore di livello superiore di un contesto dei nomi di cui è stata creata un'istanza. In caso contrario non viene restituito alcun valore.

Importare ed esportare oggetti directory

Sono disponibili numerosi metodi per l'importazione e l'esportazione di oggetti directory sia tra partizioni di directory dello schema, sia tra partizioni di directory applicative. È possibile utilizzare lo strumento da riga di comando ldifde per importare ed esportare file con estensione ldf. È possibile utilizzare lo strumento da riga di comando csvde per importare ed esportare file con estensione csv (Comma-Separated Value).

Amministrare le partizioni di directory applicative

È possibile creare una partizione di directory applicativa durante l'installazione. È inoltre possibile creare partizioni di directory applicative in qualsiasi momento dopo l'installazione, sia tramite gli strumenti di amministrazione di AD LDS, sia tramite applicazioni abilitate all'uso di directory. Negli ambienti di produzione di norma le partizioni di directory applicative e i dati in esse contenuti vengono gestiti tramite applicazioni abilitate all'uso di directory.

Per informazioni sulla creazione di partizioni di directory applicative, vedere Creare una partizione di directory applicativa.

Ulteriori riferimenti

  • Utilizzare le partizioni di directory

  • Informazioni sulle partizioni di directory

  • Creare una partizione di directory applicativa


Creare una partizione di directory applicativa

È possibile utilizzare Ldp.exe per aggiungere una nuova partizione di directory applicativa a un'istanza esistente di Active Directory Lightweight Directory Services (AD LDS).

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per aggiungere una partizione di directory applicativa a un'istanza esistente di AD LDS

  1. Aprire LDP e quindi eseguire la connessione e il binding a un'istanza di AD LDS. Per ulteriori informazioni, vedere Utilizzare Ldp.exe per gestire un'istanza di AD LDS.

  2. Scegliere Aggiungi figlio dal menu Sfoglia.

  3. In Dn digitare un nome distinto per la partizione applicativa.

  4. In Modifica voce digitare ObjectClass nella casella Attributo e contenitore nella casella Valori, quindi fare clic su Invia.

  5. In Modifica voce digitare instanceType nella casella Attributo e 5 nella casella Valori, quindi fare clic su Invia.

  6. Fare clic su Esegui.

    Dopo aver aggiunto la nuova partizione di directory applicativa, nel riquadro dei dettagli verranno visualizzate le informazioni seguenti:

    Aggiunto {nome distinto}

    dove nome distinto è il nome distinto digitato al passaggio 3.

  7. Fare clic su Chiudi.

Ulteriori considerazioni

  • Per aprire Ldp, fare clic su Start, scegliere Esegui, digitare ldp e quindi fare clic su OK.

  • Alle partizioni di directory applicative può essere associata qualsiasi classe di oggetto, ma deve essere impostato il valore 5 per l'attributo instanceType.

Ulteriori riferimenti

  • Utilizzare le partizioni di directory

  • Informazioni sulle partizioni di directory

  • Utilizzare Ldp.exe per gestire un'istanza di AD LDS

  • Ldp


Utilizzare l'autenticazione e il controllo di accesso

Il controllo di accesso in Active Directory Lightweight Directory Services (AD LDS) consiste di due parti. In primo luogo viene verificata l'identità degli utenti che richiedono l'accesso alla directory e viene consentito l'accesso solo agli utenti autenticati. In secondo luogo vengono utilizzati i descrittori di sicurezza degli oggetti directory, definiti elenchi di controllo di accesso (ACL), per determinare a quali oggetti può accedere un utente autenticato.

Gli utenti, o le entità di sicurezza, richiedono i dati di directory alle applicazioni abilitate all'uso di directory, che a loro volta inoltrano le richieste ad AD LDS tramite LDAP (Lightweight Directory Access Protocol). Prima di eseguire una richiesta di dati, l'applicazione abilitata all'uso di directory deve fornire le credenziali dell'utente ad AD LDS per l'autenticazione, o binding. Tale richiesta include un nome utente, una password e, a seconda del tipo di binding, un nome di dominio o di computer.

AD LDS può accettare le richieste di autenticazione, o binding, sia dalle entità di sicurezza AD LDS che dalle entità di sicurezza di Windows locali e di dominio. Le entità di sicurezza AD LDS vengono autenticate direttamente da AD LDS. Le entità di sicurezza locali di Windows vengono autenticate dal computer locale. Le entità di sicurezza di dominio devono essere autenticate da un controller di dominio di Servizi di dominio Active Directory.

  • Informazioni su utenti e gruppi AD LDS

  • Importare le classi utente fornite con AD LDS

  • Eseguire la sincronizzazione con Servizi di dominio Active Directory

  • Aggiungere un utente AD LDS alla directory

  • Aggiungere un gruppo AD LDS alla directory

  • Aggiungere o rimuovere membri da un gruppo AD LDS

  • Visualizzare o impostare autorizzazioni in un oggetto directory

  • Disabilitare o abilitare un utente AD LDS

  • Impostare o modificare la password di un utente AD LDS

  • Aggiungere un'unità organizzativa alla directory

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Informazioni su utenti e gruppi AD LDS

Active Directory Lightweight Directory Services (AD LDS) si basa su utenti e gruppi per consentire e controllare l'accesso ai dati di directory. In AD LDS è supportato l'utilizzo simultaneo di utenti Windows e utenti AD LDS. AD LDS include quattro gruppi predefiniti basati sui ruoli. Se necessario, è possibile creare ulteriori gruppi AD LDS. Sia gli utenti Windows che gli utenti AD LDS possono essere membri dei gruppi AD LDS. Per creare utenti AD LDS, è prima necessario importare le definizioni delle classi di oggetti utente incluse in AD LDS o specificare definizioni personalizzate.

Gruppi predefiniti

AD LDS include quattro gruppi predefiniti basati sui ruoli: Administrators, Instances, Readers e Users. Questi gruppi si trovano nella partizione di configurazione e in ogni partizione applicativa, ma non nella partizione dello schema. In un set di configurazione questi gruppi vengono replicati da AD LDS insieme a tutti gli altri dati di directory.

I tre gruppi seguenti si trovano nel contenitore CN=Roles di ogni partizione di directory:

  • Administrators (CN=Administrators,CN=Roles)

  • Readers (CN=Readers,CN=Roles)

  • Users (CN=Users,CN=Roles)

Il gruppo seguente si trova solo nel contenitore CN=Roles della partizione di directory di configurazione:

  • Instances (CN=Instances,CN=Roles)

Nella tabella seguente vengono elencati i gruppi AD LDS predefiniti con i membri predefiniti e l'accesso predefinito assegnato a ogni gruppo.

Gruppo | Membri predefiniti | Accesso predefinito
Administrators (CN=Administrators,CN=Roles) | Partizione di configurazione: Amministratori di AD LDS definiti durante l'installazione di AD LDS Partizioni applicative: Gruppo Administrators della partizione di configurazione | Accesso completo a tutte le partizioni
Istanze (CN=Instances,CN=Roles) | Tutte le istanze |
Readers (CN=Readers,CN=Roles) | Nessuno | Accesso in lettura alla partizione
Users (CN=Users,CN=Roles) | Partizione di configurazione: In modo transitivo, tutti gli utenti AD LDS Partizioni applicative: In modo transitivo, tutti gli utenti AD LDS creati nella partizione | Nessuno

Ai gruppi della partizione di configurazione è possibile assegnare autorizzazioni in qualsiasi partizione di un set di configurazione o di un'istanza di AD LDS. Ai gruppi della partizione applicativa è possibile assegnare autorizzazioni solo in tale partizione applicativa. Alle entità di sicurezza di Windows è possibile assegnare autorizzazioni in qualsiasi partizione applicativa.

Entità di sicurezza

Il termine "entità di sicurezza" si riferisce a qualsiasi oggetto che dispone di un ID di sicurezza (SID) e a cui è possibile assegnare autorizzazioni per gli oggetti directory. In AD LDS le entità di sicurezza possono essere incluse in AD LDS, in un computer locale o in un dominio di Servizi di dominio Active Directory.

Nota

È possibile recuperare i SID individuale e di gruppo di un utente attivo eseguendo una query esplicita sull'attributo tokenGroups in rootDSE.

Entità di sicurezza AD LDS

In AD LDS non sono incluse entità di sicurezza predefinite. Sono tuttavia disponibili estensioni dello schema che è possibile importare e poi utilizzare per la creazione di utenti AD LDS. Gli utenti creati da queste classi utente possono essere utilizzati come entità di sicurezza. È inoltre possibile rendere entità di sicurezza qualsiasi classe di oggetti contenuta nello schema AD LDS aggiungendo la classe ausiliaria msDS-bindableobject e l'attributo unicodePwd alla definizione dello schema della classe di oggetti. A ogni entità di sicurezza AD LDS è necessario assegnare un account e una password, che verranno utilizzati da AD LDS per l'autenticazione.

Entità di sicurezza di Windows

AD LDS consente l'utilizzo delle entità di sicurezza di Windows per il controllo dell'accesso e dell'autenticazione. Con AD LDS è possibile utilizzare gruppi e utenti Windows locali, nonché gruppi e utenti di dominio. È inoltre possibile aggiungere l'appartenenza alle entità di sicurezza di Windows ai gruppi AD LDS impostandoli come membri. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per l'autenticazione delle entità di sicurezza di Windows, in AD LDS viene utilizzata l'autorità di sicurezza locale (LSA, Local Security Authority) nel computer locale per gli account locali oppure l'autorità di sicurezza locale in un controller di dominio per gli account di dominio.

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Aggiungere un utente AD LDS alla directory

  • Aggiungere un gruppo AD LDS alla directory

  • Aggiungere o rimuovere membri da un gruppo AD LDS

  • Disabilitare o abilitare un utente AD LDS


Importare le classi utente fornite con AD LDS

Per creare utenti in Active Directory Lightweight Directory Services (AD LDS), è innanzitutto necessario importare nello schema AD LDS le classi utente facoltative fornite con AD LDS. Tali classi utente sono disponibili in file con estensione ldf importabili, che si trovano nella directory %windir%\adam nel computer in cui è installato AD LDS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per importare le classi utente fornite con AD LDS

  1. Aprire un prompt dei comandi.

  2. Al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    ldifde -i -f %windir%\adam\nomefile -s nomecomputer:porta [-b nomeutente dominio password] -k -j . -c "CN=Schema,CN=Configuration,DC=X" #schemaNamingContext

    dove nomefile rappresenta il nome di uno dei file con estensione ldf forniti con AD LDS, nomecomputer:porta rappresenta il nome del computer e il numero della porta di un'istanza di AD LDS e nomeutente dominio password rappresenta l'account da utilizzare per l'esecuzione del comando.

    Quando si esegue questo comando, si otterrà un risultato simile al seguente:

    Connecting to "localhost"
Logging in as current user using SSPI
Importing directory from file "ms-user.ldf"
Loading entries................................
65 entries modified successfully.

The command has completed successfully

Parametro | Descrizione
-i | Esegue un'importazione.
-f | Specifica il file da importare o esportare.
-s | Specifica il nome host e la porta dell'istanza di AD LDS.
-b | Specifica le credenziali di sicurezza da utilizzare durante l'operazione.
-k | Continua l'operazione in caso di errori.
-j | Crea un file di registro nella directory specificata, in questo caso nella directory corrente (".").
-c "CN=Schema,CN=Configuration,DC=X" #schemaNamingContext | Non modificare questa stringa. Il parametro -c consente di sostituire una stringa specifica del file con estensione ldf con una stringa diversa durante l'importazione. Il nome distinto specificato nel file con estensione ldf (ad esempio CN=Schema,CN=Configuration,DC=X) viene sostituito dal nome distinto della partizione di directory dello schema della propria istanza di AD LDS specifica, come indicato dalla costante #schemaNamingContext.

Sostituisci ... | Con ...
nomecomputer:porta | Nome host e numero di porta dell'istanza di AD LDS. È possibile utilizzare localhost per nomecomputer se si sta amministrando il computer locale.
nomeutente dominio password | Account, dominio e password di un account utilizzato come account di amministratore di AD LDS.

Per visualizzare la sintassi completa del comando e per ulteriori informazioni sull'immissione delle informazioni relative all'account utente, al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

ldifde /?

Ulteriori considerazioni

  • Per aprire un prompt dei comandi, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  • AD LDS include i file con estensione LDF seguenti contenenti classi utente che è possibile importare. Tali file sono contenuti nella directory %windir%\adam.

    File con estensione ldf Classi utente Importare questo file se...

    MS-ADAM-DisplaySpecifiers-0409.LDF
    • Non applicabile

    Si desidera utilizzare uno snap-in di Active Directory, come ad esempio Siti e servizi di Active Directory, con AD LDS.

    MS-AdamSyncMetadata.LDF
    • Non applicabile

    Si desidera utilizzare adamsync per sincronizzare AD LDS con Servizi di dominio Active Directory.

    MS-AZMan.LDF
    • Non applicabile

    Si desidera utilizzare Gestione autorizzazioni di Windows con AD LDS.

    MS-InetOrgPerson.LDF
    • Person

    • Organizational-Person

    • User

    • inetOrgPerson

    Si desidera creare oggetti utente nella directory di AD LDS, nonché creare utenti della classe InetOrgPerson (come definita nella RFC 2798). MS-InetOrgPerson.LDF è un file di esempio modificabile in base alle specifiche esigenze.

    MS-User.LDF
    • Person

    • Organizational-Person

    • User

    Si desidera creare oggetti utente nella directory di AD LDS, ma non creare utenti della classe InetOrgPerson (come definita nella RFC 2798). MS-User.LDF è un file di esempio modificabile in base alle specifiche esigenze.

    MS-UserProxy.LDF
    • User-Proxy

    Si desidera creare oggetti proxy semplici in AD LDS da utilizzare nel reindirizzamento del binding. MS-UserProxy.LDF è un file di esempio modificabile in base alle specifiche esigenze.

    MS-UserProxyFull.LDF
    • User-Proxy-Full

    Si desidera creare oggetti proxy completi in AD LDS da utilizzare nel reindirizzamento del binding. Per utilizzare questo file, è necessario importare anche il file MS-InetOrgPerson.LDF o MS-User.LDF. MS-UserProxyFull.LDF è un file di esempio modificabile in base alle specifiche esigenze.

  • In alternativa all'utilizzo di ldifde, è possibile importare le classi utente di AD LDS durante l'installazione di AD LDS.

  • Se non si specificano le credenziali dell'utente utilizzando il parametro -b, ldifde utilizzerà le credenziali dell'utente che ha effettuato l'accesso.

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Importazione file LDIF

  • Ldifde


Eseguire la sincronizzazione con Servizi di dominio Active Directory

La sincronizzazione dei dati da una foresta di Servizi di dominio Active Directory al set di configurazione di un'istanza di Active Directory Lightweight Directory Services (AD LDS) prevede due passaggi:

  1. Preparazione dell'istanza di AD LDS per la sincronizzazione.

  2. Sincronizzazione dei dati.

Il primo passaggio viene normalmente eseguito una sola volta. Il secondo passaggio viene invece eseguito ogni volta che si desidera aggiornare l'istanza di AD LDS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Preparare un'istanza di AD LDS per la sincronizzazione

Per preparare un'istanza di AD LDS per la sincronizzazione

  1. Aprire un prompt dei comandi.

  2. Al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    cd %windir%\adam

  3. Eseguire una delle operazioni seguenti:

    • Per preparare un'istanza di AD LDS alla sincronizzazione con una foresta di Windows Server 2003, digitare il comando seguente e quindi premere INVIO:

      ldifde -i -u -f ms-adamschemaw2k3.ldf -s server:porta -b nome_utente dominio password -j . -c "cn=Configuration,dc=X" #configurationNamingContext

    • Per preparare un'istanza di AD LDS alla sincronizzazione con una foresta di Windows Server 2008 R2, digitare il comando seguente e quindi premere INVIO:

      ldifde -i -u -f ms-adamschemaw2k8.ldf -s server:porta -b nome_utente dominio password -j . -c "cn=Configuration,dc=X" #configurationNamingContext

    Importante

    È necessario includere il punto (.) tra -j e -c.

  4. Digitare il comando seguente e quindi premere INVIO:

    ldifde -i -s server:porta -c CN=Configuration,DC=X #ConfigurationNamingContext -f MS-AdamSyncMetadata.ldf

  5. Digitare il comando seguente e quindi premere INVIO:

    notepad MS-AdamSyncConf.xml

  6. In Blocco note apportare le modifiche seguenti al contenuto del file di configurazione:

    • Sostituire il valore di <source-ad-name> con il nome del controller di dominio di Servizi di dominio Active Directory di origine.

    • Sostituire il valore di <source-ad-partition> con il nome distinto del dominio di origine.

    • Sostituire il valore di <source-ad-account> con il nome di un account nel gruppo Domain Admins del dominio di origine.

    • Sostituire il valore di <account-domain> con il nome Domain Name System (DNS) completo del dominio di origine.

    • Sostituire il valore di <target-dn> con il nome della partizione dell'istanza di AD LDS di destinazione.

    • Sostituire il valore di <base-dn> con il nome distinto di base del dominio di origine.

  7. In Blocco note scegliere Salva con nome dal menu File, digitare un nome per il file, fare clic su Salva e quindi chiudere Blocco note.

  8. Al prompt dei comandi digitare il comando seguente, sostituendo il nome del file utilizzato nei passaggi precedenti per file_xml, e quindi premere INVIO:

    adamsync /install server:file_xml porta

Dopo aver preparato l'istanza di AD LDS per la sincronizzazione, è possibile eseguire la procedura seguente per sincronizzare i dati dalla foresta di Servizi di dominio Active Directory specificata all'istanza di AD LDS.

Sincronizzare i dati della foresta di Servizi di dominio Active Directory con un'istanza di AD LDS

Per sincronizzare i dati della foresta di Servizi di dominio Active Directory con un'istanza di AD LDS

  • Al prompt dei comandi digitare il comando seguente e quindi premere INVIO:

    adamsync /sync server:port configuration_dn /log

Ulteriori considerazioni

  • Per aprire un prompt dei comandi, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  • Nella tabella seguente sono elencati i parametri utilizzati nelle procedure precedenti e altri parametri di uso comune di adamsync. Per ulteriori informazioni sui parametri di adamsync, al prompt dei comandi digitare adamsync /? e quindi premere INVIO.

    Parametro Descrizione

    /?

    Visualizza le opzioni della riga di comando.

    /i o /install file_input

    Installa la configurazione contenuta nel file di input specificato.

    /sync dn_configurazione

    Sincronizza la configurazione specificata.

    /fs dn_configurazione

    Esegue una sincronizzazione di replica completa per la configurazione specificata.

    /ageall dn_configurazione

    Esegue una ricerca degli oggetti eliminati per la configurazione specificata. La ricerca degli oggetti eliminati consente di determinare se gli oggetti AD LDS in una configurazione sono stati eliminati in Servizi di dominio Active Directory cercando tali oggetti in Servizi di dominio Active Directory.

    /so dn_configurazione dn_oggetto

    Esegue una sincronizzazione di replica per l'oggetto specificato nella configurazione specificata. Utilizzare il nome distinto dell'oggetto.

  • È necessario disporre dell'accesso in lettura o Dirsync agli oggetti o alle partizioni della foresta di Servizi di dominio Active Directory che si desidera sincronizzare.

  • Per eseguire questo comando è necessario avere il controllo completo di una partizione di directory applicativa in un'istanza di AD LDS.

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Informazioni su utenti e gruppi AD LDS

  • Importare le classi utente fornite con AD LDS

  • Adamsync


Aggiungere un utente AD LDS alla directory

È possibile amministrare utenti e gruppi in Active Directory Lightweight Directory Services (AD LDS) tramite lo snap-in Modifica ADSI o tramite altre applicazioni abilitate all'uso di directory. Per informazioni su utenti e gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per creare utenti in AD LDS, è innanzitutto necessario importare nello schema AD LDS le classi utente facoltative fornite con AD LDS. Tali classi utente sono disponibili in file con estensione ldf importabili, che si trovano nella directory %windir%\adam nel computer in cui è installato AD LDS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per aggiungere un utente AD LDS alla directory

  1. Aprire Modifica ADSI.

  2. Eseguire la connessione e il binding all'istanza di AD LDS e alla partizione di directory a cui si desidera aggiungere l'utente. Per ulteriori informazioni, vedere Utilizzare Modifica ADSI per gestire un'istanza di AD LDS.

  3. Nell'albero della console fare doppio clic sulla partizione di directory alla quale si desidera aggiungere l'utente.

  4. Nell'albero della console fare clic con il pulsante destro del mouse sul contenitore a cui si desidera aggiungere l'utente, scegliere Nuovo e quindi Oggetto.

  5. In Selezionare una classe fare clic sulla classe che si desidera utilizzare (user, inetOrgPerson, person o OrganizationalPerson) e quindi su Avanti.

  6. In Valore digitare un valore per l'attributo del nome comune (CN) del nuovo utente e quindi fare clic su Avanti.

  7. Se si desidera impostare i valori per ulteriori attributi, fare clic su Altri attributi.

  8. Dopo aver impostato altri eventuali attributi per il nuovo utente, fare clic su Fine.

Ulteriori considerazioni

  • Per aprire Modifica ADSI in un computer in cui è installato il ruolo di server AD LDS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modifica ADSI.

  • Per impostazione predefinita, un account utente di AD LDS viene abilitato al momento della creazione. Per gli account utente di AD LDS creati tramite Modifica ADSI, non viene tuttavia impostata alcuna password iniziale. Nelle istanze di AD LDS in esecuzione in Windows Server 2008 R2, dove sono applicate restrizioni dei Criteri password locali o di dominio, l'account utente AD LDS viene disabilitato per impostazione predefinita. Per poter abilitare un account utente, è necessario impostare una password che soddisfi le restrizioni correnti dei Criteri password.

  • È possibile utilizzare come entità di sicurezza qualsiasi classe di oggetti in AD LDS, purché la relativa definizione contenga la classe ausiliaria statica SecurityPrincipal e l'attributo unicodePwd.

  • Le classi di oggetti user, inetOrgPerson e OrganizationalPerson sono disponibili solo dopo aver importato nello schema le definizioni delle classi utente fornite con AD LDS.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un utente AD LDS alla directory (http://go.microsoft.com/fwlink/?LinkId=137802). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  • Informazioni su utenti e gruppi AD LDS

  • Importare le classi utente fornite con AD LDS

  • Impostare o modificare la password di un utente AD LDS


Aggiungere un gruppo AD LDS alla directory

È possibile amministrare utenti e gruppi in Active Directory Lightweight Directory Services (AD LDS) tramite lo snap-in Modifica ADSI o tramite altre applicazioni abilitate all'uso di directory. Per informazioni su utenti e gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per creare utenti in AD LDS, è innanzitutto necessario importare nello schema AD LDS le classi utente facoltative fornite con AD LDS. Tali classi utente sono disponibili in file con estensione ldf importabili, che si trovano nella directory %windir%\adam nel computer in cui è installato AD LDS.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per aggiungere un gruppo AD LDS alla directory

  1. Aprire Modifica ADSI.

  2. Eseguire la connessione e il binding all'istanza di AD LDS a cui si desidera aggiungere un gruppo. Per ulteriori informazioni, vedere Utilizzare Modifica ADSI per gestire un'istanza di AD LDS.

  3. Nell'albero della console fare doppio clic sulla partizione di directory a cui si desidera aggiungere il gruppo.

  4. Nell'albero della console fare clic con il pulsante destro del mouse sul contenitore a cui si desidera aggiungere il gruppo, scegliere Nuovo e quindi Oggetto.

  5. In Selezionare una classe fare clic su Gruppo e quindi su Avanti.

  6. In Valore digitare un nome comune (CN) per il nuovo gruppo e quindi fare clic su Avanti.

  7. Se si desidera impostare i valori per ulteriori attributi, fare clic su Altri attributi.

  8. Dopo avere impostato tutti gli attributi desiderati per il nuovo gruppo, fare clic su Fine.

Ulteriori considerazioni

  • Per aprire Modifica ADSI in un computer in cui è installato il ruolo di server AD LDS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modifica ADSI.

  • Quando si digita un valore per l'attributo groupType, 2147483650 (equivalente a 0x80000002 esadecimale) rappresenta un gruppo di tipo "account".

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un gruppo AD LDS alla directory (http://go.microsoft.com/fwlink/?LinkId=137810). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  • Informazioni su utenti e gruppi AD LDS

  • Importare le classi utente fornite con AD LDS


Aggiungere o rimuovere membri da un gruppo AD LDS

Active Directory Lightweight Directory Services (AD LDS) si basa su utenti e gruppi per consentire e controllare l'accesso ai dati di directory. In AD LDS è supportato l'utilizzo simultaneo di utenti Windows e utenti AD LDS. AD LDS include quattro gruppi predefiniti basati sui ruoli. Se necessario, è possibile creare ulteriori gruppi AD LDS. Sia gli utenti Windows che gli utenti AD LDS possono essere membri dei gruppi AD LDS. Per creare utenti AD LDS, è prima necessario importare le definizioni delle classi di oggetti utente incluse in AD LDS o specificare definizioni personalizzate.

AD LDS include quattro gruppi predefiniti basati sui ruoli: Administrators, Instances, Readers e Users. Questi gruppi si trovano nella partizione di configurazione e in ogni partizione applicativa, ma non nella partizione dello schema. In un set di configurazione questi gruppi vengono replicati da AD LDS insieme a tutti gli altri dati di directory.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per aggiungere o rimuovere membri da un gruppo AD LDS

  1. Aprire Modifica ADSI.

  2. Eseguire la connessione e il binding all'istanza di AD LDS contenente il gruppo che si desidera modificare. Per ulteriori informazioni, vedere Utilizzare Modifica ADSI per gestire un'istanza di AD LDS.

  3. Nell'albero della console fare doppio clic sulla partizione di directory contenente il gruppo che si desidera modificare.

  4. Fare clic con il pulsante destro del mouse sul gruppo che si desidera modificare e quindi scegliere Proprietà.

  5. In Attributi fare clic su Membro e quindi su Modifica.

  6. Per ogni entità di sicurezza AD LDS che si desidera aggiungere al gruppo, fare clic su Aggiungi nome distinto [DN], digitare il nome distinto del nuovo membro e quindi fare clic su OK.

  7. Per ogni entità di sicurezza di Windows che si desidera aggiungere al gruppo, fare clic su Aggiungi account Windows, digitare il nome di account del nuovo membro e quindi fare clic su OK.

  8. Per ogni membro che si desidera rimuovere dal gruppo, selezionare il membro desiderato e quindi fare clic su Rimuovi.

  9. Dopo aver apportato le modifiche desiderate al gruppo, fare clic su OK due volte.
Nota

In AD LDS un amministratore di AD LDS o un utente con dritti di accesso sufficienti al gruppo Administrators può rimuovere gli account dei membri dal gruppo Administrators di AD LDS fino a lasciare AD LDS senza account di amministratore validi. Per risolvere tale problema, l'amministratore di AD LDS, in quanto proprietario del gruppo Administrators, può inserire di nuovo gli account appropriati nel gruppo Administrators di AD LDS.

Ulteriori considerazioni

  • Per aprire Modifica ADSI in un computer in cui è installato il ruolo di server AD LDS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modifica ADSI.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta o alla rimozione di membri a o da AD LDS (http://go.microsoft.com/fwlink/?LinkId=137812). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  • Informazioni su utenti e gruppi AD LDS

  • Importare le classi utente fornite con AD LDS


Visualizzare o impostare autorizzazioni in un oggetto directory

Il controllo di accesso in Active Directory Lightweight Directory Services (AD LDS) può essere regolato a livello della partizione di directory assegnando a un utente l'appartenenza ai gruppi basati sui ruoli che si trovano in ogni partizione. È inoltre possibile personalizzare il controllo di accesso in AD LDS in base agli oggetti utilizzando lo strumento da riga di comando dsacls.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per visualizzare o impostare autorizzazioni in un oggetto directory

  1. Aprire un prompt dei comandi.

  2. Al prompt dei comandi eseguire una delle operazioni seguenti:

    • Per elencare le autorizzazioni valide in un oggetto directory, digitare il comando seguente e quindi premere INVIO:

      dsacls \\hostname:portnumber\object_dn

      Parametro Descrizione

      hostname

      Nome del computer in cui è in esecuzione l'istanza di AD LDS che contiene l'oggetto directory.

      portnumber

      Numero della porta di comunicazione utilizzata dall'istanza di AD LDS.

      object_dn

      Nome distinto dell'oggetto directory.

      Esempio:

      dsacls \\localhost:389\O=Microsoft,C=US

    • Per concedere autorizzazioni su un oggetto directory, digitare il comando seguente e quindi premere INVIO:

      dsacls \\hostname:portnumber\object_dn /G user_or_group:Permissions

      Parametro Descrizione

      hostname

      Nome del computer in cui è in esecuzione l'istanza di AD LDS che contiene l'oggetto directory.

      portnumber

      Numero della porta di comunicazione utilizzata dall'istanza di AD LDS.

      object_dn

      Nome distinto dell'oggetto directory.

      user_or_group

      Utente o gruppo a cui si applicano le autorizzazioni.

      Permissions

      Autorizzazione da concedere.

      Esempio:

      dsacls "\\localhost:389\cn=Object1, cn=container1,O=Microsoft,C=US" /G "CN=inetuser1,O=Microsoft,C=US":SD

    • Per negare autorizzazioni su un oggetto directory, digitare il comando seguente e quindi premere INVIO:

      dsacls \\hostname:portnumber\object_dn /D user_or_group:PermissionStatement

      Parametro Descrizione

      hostname

      Nome del computer in cui è in esecuzione l'istanza di AD LDS che contiene l'oggetto directory.

      portnumber

      Numero della porta di comunicazione utilizzata dall'istanza di AD LDS.

      object_dn

      Nome distinto dell'oggetto directory.

      user_or_group

      Utente o gruppo a cui si applicano le autorizzazioni.

      PermissionStatement

      Autorizzazione da negare.

      Esempio:

      dsacls "\\localhost:389\cn=Object1, cn=container1,O=Microsoft,C=US" /D "CN=inetuser1,O=Microsoft,C=US":SD

Ulteriori considerazioni

  • Per aprire un prompt dei comandi, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi e quindi scegliere Esegui come amministratore.

  • Per una descrizione completa di tutti i parametri di dsacls, inclusa l'impostazione dell'ereditarietà, digitare dsacls /? al prompt dei comandi.

  • Un oggetto directory incluso in più repliche di una determinata partizione di directory dispone delle stesse autorizzazioni in tutte le partizioni di replica.

  • Per eseguire l'attività descritta in questa procedura, è inoltre possibile utilizzare il modulo Active Directory per Windows PowerShell™. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla visualizzazione o all'impostazione delle autorizzazioni in un oggetto directory http://go.microsoft.com/fwlink/?LinkId=137814). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Informazioni su utenti e gruppi AD LDS


Disabilitare o abilitare un utente AD LDS

Quando si disabilita o si abilita un utente Active Directory Lightweight Directory Services (AD LDS), si determina se l'utente può eseguire o meno il binding alla directory di AD LDS. Per disabilitare o abilitare gli utenti AD LDS si utilizza lo snap-in Modifica ADSI.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per disabilitare o abilitare un utente AD LDS

  1. Aprire Modifica ADSI.

  2. Eseguire la connessione e il binding a un'istanza di AD LDS. Per ulteriori informazioni, vedere Utilizzare Modifica ADSI per gestire un'istanza di AD LDS.

  3. Passare all'utente AD LDS che si desidera disabilitare o abilitare, fare clic con il pulsante destro del mouse su tale utente e quindi scegliere Proprietà.

  4. In Attributi fare clic su msDS-UserAccountDisabled e quindi su Modifica.

  5. Eseguire una delle operazioni seguenti e quindi fare clic su OK:

    • Per disabilitare l'utente AD LDS, fare clic su Vero.

    • Per abilitare l'utente AD LDS, fare clic su Falso o Non impostato.

Ulteriori considerazioni

  • Per aprire Modifica ADSI in un computer in cui è installato il ruolo di server AD LDS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modifica ADSI.

  • Per impostazione predefinita, gli utenti AD LDS vengono abilitati al momento della creazione. Tuttavia, se si assegna a un utente AD LDS una password che non soddisfa i requisiti di restrizione dei Criteri password in vigore sul server o sul dominio locale, tale utente verrà disabilitato per impostazione predefinita.

  • Se l'utente AD LDS che si desidera disabilitare o abilitare è attualmente connesso all'istanza di AD LDS, è necessario che l'utente si disconnetta affinché le nuove impostazioni abbiano effetto.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa alla disabilitazione o abilitazione di un utente AD LDS (http://go.microsoft.com/fwlink/?LinkId=137816). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  • Informazioni su utenti e gruppi AD LDS


Impostare o modificare la password di un utente AD LDS

È possibile impostare e modificare le password per le entità di sicurezza Active Directory Lightweight Directory Services (AD LDS) su connessioni SSL (Secure Sockets Layer), tramite Ldap.exe, oppure su connessioni crittografate non SSL, tramite Modifica ADSI o Ldp.exe. Per stabilire una connessione SSL ad AD LDS, è necessario installare i certificati nel computer in cui è in esecuzione AD LDS e in tutti i client. Per eseguire connessioni SSL a un'istanza di AD LDS, è necessario utilizzare Ldp.exe, in quanto le connessioni SSL non sono supportate in Modifica ADSI.

Per impostazione predefinita, un'istanza di AD LDS applica automaticamente gli eventuali Criteri password locali o di dominio esistenti. Se si crea un nuovo utente AD LDS e gli viene assegnata una password che non soddisfa i requisiti dei Criteri password in uso, l'utente verrà disabilitato.

Per impostazione predefinita, AD LDS supporta e applica le impostazioni relative a Criteri password e blocco account di Windows Server 2008 R2 indicate di seguito:

Numero minimo giorni

Numero massimo giorni

Complessità

Cronologia

Numero eccessivo di tentativi di accesso non riusciti

Disabilitazione e abilitazione di account

Se il server in cui è in esecuzione AD LDS appartiene a un gruppo di lavoro, vengono implementate le impostazioni dei Criteri password e di blocco account locali del server. Se il server in cui è in esecuzione AD LDS appartiene a un dominio, vengono implementate le impostazioni dei Criteri password e di blocco account di Servizi di dominio Active Directory.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Impostare o modificare la password di un utente AD LDS

  • Utilizzare Modifica ADSI

  • Utilizzare Ldp in una connessione non SSL crittografata

  • Utilizzare Ldp in una connessione SSL

Utilizzare Modifica ADSI

Per impostare o modificare la password di un utente AD LDS utilizzando Modifica ADSI

  1. Aprire Modifica ADSI.

  2. Eseguire la connessione e il binding alla partizione di directory contenente l'utente AD LDS per cui si desidera impostare o modificare la password. Per ulteriori informazioni, vedere Utilizzare Modifica ADSI per gestire un'istanza di AD LDS.

  3. Passare all'oggetto directory che rappresenta l'utente AD LDS e quindi fare clic con il pulsante destro del mouse sull'oggetto directory.

  4. Fare clic su Reimposta password e quindi digitare una password per l'utente in Nuova password e in Conferma password.

Ulteriori considerazioni

  • Per aprire Modifica ADSI in un computer in cui è installato il ruolo di server AD LDS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modifica ADSI.

Utilizzare Ldp in una connessione non SSL crittografata

Per impostare o modificare la password di un utente AD LDS tramite Ldp in una connessione non SSL crittografata

  1. Aprire Ldp.

  2. Scegliere Opzioni di connessione dal menu Opzioni.

  3. In Nome opzione fare clic su LDAP_OPT_ENCRYPT.

  4. In Valore digitare 1, fare clic su Imposta e quindi su Chiudi.

  5. Eseguire la connessione e il binding all'istanza di AD LDS e quindi visualizzare la partizione di directory contenente l'utente AD LDS per cui si desidera impostare una password. Per ulteriori informazioni, vedere Utilizzare Ldp.exe per gestire un'istanza di AD LDS.

  6. Fare clic con il pulsante destro del mouse sull'utente AD LDS e quindi scegliere Modifica.

  7. In Attributo digitare passwordutente e in Valore digitare una password per l'account.

  8. Fare clic su Invia e quindi su Esegui. Nel riquadro dei dettagli verrà visualizzato un messaggio simile al seguente:

    ***Call Modify...
ldap_modify_s(ld, 'CN=Mary Baker,O=Microsoft,C=US',[1] attrs);
Modified "CN=Mary Baker,O=Microsoft,C=US".

Ulteriori considerazioni

  • Per aprire Ldp, fare clic su Start, scegliere Esegui, digitare ldp e quindi fare clic su OK.

  • È inoltre possibile utilizzare Modifica ADSI per impostare o modificare le password. A tale scopo, fare clic con il pulsante destro del mouse sull'oggetto directory che rappresenta l'entità di sicurezza AD LDS in Modifica ADSI e quindi scegliere Reimposta password.

  • Per impostazione predefinita, un'istanza di AD LDS in esecuzione in Windows Server 2008 R2 applica automaticamente gli eventuali Criteri password locali o di dominio. Se per un utente AD LDS si imposta una password che non soddisfa i requisiti dei Criteri password attivi, l'account utente verrà disattivato.

  • L'utente AD LDS per cui si imposta o si modifica la password dovrà utilizzare la nuova password al successivo accesso.

  • Questa procedura si applica a qualsiasi classe di oggetti utilizzata come entità di sicurezza in AD LDS. È possibile utilizzare come entità di sicurezza qualsiasi classe di oggetti in AD LDS, purché la relativa definizione contenga la classe ausiliaria statica msDS-bindableobject e l'attributo unicodePwd.

  • Le classi di oggetti user, person, inetOrgPerson e OrganizationalPerson non sono disponibili per impostazione predefinita nello schema AD LDS. Tali tipi devono pertanto essere innanzitutto importati.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'impostazione o alla modifica della password di un utente AD LDS (http://go.microsoft.com/fwlink/?LinkId=137818). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Utilizzare Ldp in una connessione SSL

Per impostare o modificare la password di un utente AD LDS tramite Ldp in una connessione SSL

  1. Installare un certificato server nel computer in cui è in esecuzione l'istanza di AD LDS e installare un certificato client corrispondente nel computer da cui si amministra l'istanza di AD LDS.

  2. Aprire Ldp.

  3. Eseguire la connessione e il binding all'istanza di AD LDS (selezionare SSL nella finestra di dialogo Connetti) contenente l'utente per il quale si desidera impostare o modificare una password. Per ulteriori informazioni, vedere Utilizzare Ldp.exe per gestire un'istanza di AD LDS.

  4. Fare clic con il pulsante destro del mouse sull'utente AD LDS e quindi scegliere Modifica.

  5. In Attributo digitare passwordutente e in Valore digitare una password per l'account.

  6. Fare clic su Invia e quindi su Esegui. Nel riquadro dei dettagli verrà visualizzato un messaggio simile al seguente:

    ***Call Modify...
ldap_modify_s(ld, 'CN=Mary Baker,OU=Beta
users,O=Microsoft,C=US',[1] attrs);
Modified "CN=Mary Baker,OU=Beta users,O=Microsoft,C=US".

Ulteriori considerazioni

  • Per aprire Ldp, fare clic su Start, scegliere Esegui, in Apri digitare ldp e quindi fare clic su OK.

  • Per la creazione di connessioni SSL è necessaria la presenza di certificati nel server e nei client.

  • Per impostazione predefinita, un'istanza di AD LDS in esecuzione in Windows Server 2008 R2 applica automaticamente gli eventuali Criteri password locali o di dominio. Se per un utente AD LDS si imposta una password che non soddisfa i requisiti dei Criteri password attivi, l'account utente verrà disattivato.

  • Se l'utente AD LDS ha effettuato l'accesso, per rendere valida la nuova password sarà necessario che l'utente si disconnetta.

  • Questa procedura si applica a qualsiasi classe di oggetti utilizzata come entità di sicurezza in AD LDS. È possibile utilizzare come entità di sicurezza qualsiasi classe di oggetti in AD LDS, purché la relativa definizione contenga la classe ausiliaria statica SecurityPrincipal e l'attributo unicodePwd.

  • Le classi di oggetti user, person, inetOrgPerson e OrganizationalPerson non sono disponibili per impostazione predefinita nello schema AD LDS. Tali tipi devono pertanto essere innanzitutto importati. Per ulteriori informazioni, vedere Importare le classi utente fornite con AD LDS.

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Informazioni su utenti e gruppi AD LDS

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  • Utilizzare Ldp.exe per gestire un'istanza di AD LDS

  • Importare le classi utente fornite con AD LDS


Aggiungere un'unità organizzativa alla directory

Per mantenere organizzati i gruppi e gli utenti Active Directory Lightweight Directory Services (AD LDS), è consigliabile inserire utenti e gruppi in unità organizzative (OU). In Servizi di dominio Active Directory e in AD LDS, così come in altre directory basate su LDAP (Lightweight Directory Access Protocol), le unità organizzative rappresentano il metodo più utilizzato per l'organizzazione di utenti e gruppi.

Per eseguire questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators dell'istanza di AD LDS. Per impostazione predefinita, l'entità di sicurezza specificata come amministratore di AD LDS durante l'installazione di AD LDS diventa un membro del gruppo Administrators nella partizione di configurazione. Per ulteriori informazioni sui gruppi AD LDS, vedere Informazioni su utenti e gruppi AD LDS.

Per aggiungere un'unità organizzativa alla directory

  1. Aprire Modifica ADSI.

  2. Eseguire la connessione e il binding alla partizione di directory dell'istanza di AD LDS a cui si desidera aggiungere l'unità organizzativa. Per ulteriori informazioni, vedere Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  3. Nell'albero della console fare doppio clic sulla partizione di directory, fare clic con il pulsante destro del mouse sul contenitore a cui si desidera aggiungere l'unità organizzativa, scegliere Nuovo e quindi Oggetto.

  4. In Selezionare una classe fare clic su organizationalUnit e quindi su Avanti.

  5. In Valore digitare un nome per la nuova unità organizzativa e quindi fare clic su Avanti.

  6. Se si desidera impostare i valori per ulteriori attributi, fare clic su Altri attributi.

  7. Dopo avere impostato tutti gli attributi desiderati per la nuova unità organizzativa, fare clic su Fine.

Ulteriori considerazioni

  • Per aprire Modifica ADSI in un computer in cui è installato il ruolo di server AD LDS, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modifica ADSI.

  • Per impostazione predefinita, è possibile aggiungere le unità organizzative solo nelle classi di oggetti OU (OU=), country/region (C=), organization (O=) o domain-DNS (DC=). È ad esempio possibile aggiungere un'unità organizzativa a o=Microsoft,c=US. Non è possibile aggiungere un'unità organizzativa a cn=test,o=Microsoft,c=US. È comunque possibile aggiornare la definizione dello schema della classe di oggetti OU per consentire ulteriori classi di oggetti superiori.

  • È inoltre possibile eseguire l'attività riportata in questa procedura utilizzando Modulo Active Directory per Windows PowerShell. Per aprire Modulo di Active Directory, fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi fare clic su Modulo Active Directory per Windows PowerShell. Per ulteriori informazioni, vedere la pagina relativa all'aggiunta di un'unità organizzativa alla directory (http://go.microsoft.com/fwlink/?LinkId=137819). Per ulteriori informazioni su Windows PowerShell, vedere la pagina relativa a Windows PowerShell (http://go.microsoft.com/fwlink/?LinkID=102372).

Ulteriori riferimenti

  • Utilizzare l'autenticazione e il controllo di accesso

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  • Informazioni su utenti e gruppi AD LDS


Strumenti di amministrazione di AD LDS

È possibile utilizzare numerosi strumenti di Active Directory Lightweight Directory Services (AD LDS) per la gestione delle istanze, delle partizioni di directory e dei dati di AD LDS.

  • Adamsync

  • Modifica ADSI

  • Csvde

  • Ldifde

  • Ldp

Ulteriori riferimenti

  • Active Directory Lightweight Directory Services


Adamsync

Adamsync

Consente di sincronizzare oggetti da Servizi di dominio Active Directory a un'istanza di Active Directory Lightweight Directory Services (AD LDS).

Nota

Prima di utilizzare questo comando, è necessario importare le definizioni delle classi utente contenute nel file MS-AdamSyncMetadata.LDF. Per ulteriori informazioni, vedere Importare le classi utente fornite con AD LDS.

Sintassi

adamsync [/?] [/l] [/d dn_configurazione] [/i file_input] [/download dn_configurazione file_output] [/export dn_configurazione file_output] [/sync dn_configurazione] [/reset dn_configurazione] [/mai dn_configurazione] [/fs dn_configurazione] [/ageall dn_configurazione] [/so dn_configurazione dn_oggetto] [/passPrompt]

Parametri

/?
Visualizza le opzioni della riga di comando.

/l oppure /list
Visualizza tutte le configurazioni disponibili di Programma di sincronizzazione da Servizi di dominio Active Directory ad AD LDS.

/d o /delete dn_configurazione
Elimina la configurazione specificata.

/i o /install file_input
Installa la configurazione contenuta nel file di input specificato.

/download dn_configurazione file_output
Crea un file di output in XML contenente la configurazione specificata.

/export dn_configurazione file_output
Salva la configurazione corrente nel file di output specificato.

/sync dn_configurazione
Sincronizza la configurazione specificata.

/reset dn_configurazione
Reimposta il cookie di replica della configurazione specificata.

/mai dn_configurazione
Configura la configurazione specificata come istanza autorevole.

/fs dn_configurazione
Esegue una sincronizzazione di replica completa per la configurazione specificata.

/ageall dn_configurazione
Esegue una ricerca degli oggetti eliminati per la configurazione specificata. La ricerca degli oggetti eliminati consente di determinare se gli oggetti AD LDS in una configurazione sono stati eliminati in Servizi di dominio Active Directory cercando tali oggetti in Servizi di dominio Active Directory.

/so dn_configurazione dn_oggetto
Esegue una sincronizzazione di replica per l'oggetto specificato nella configurazione specificata. Utilizzare il nome distinto dell'oggetto.

/passPrompt
Richiede le credenziali utente.

Convenzioni di formattazione

Formato | Significato
Corsivo | Informazioni specificate dall'utente
Bold | Elementi che l'utente deve digitare esattamente come indicato
Puntini di sospensione (...) | Parametro che può essere ripetuto più volte in una riga di comando
Elementi tra parentesi quadre ([]) | Elementi facoltativi
Elementi tra parentesi graffe ({}); varie scelte separate da una barra verticale (|). Esempio: {pari|dispari} | Insieme di opzioni di cui l'utente deve sceglierne una sola
Tipo di carattere Courier | Codice oppure output di programmi

Ulteriori riferimenti

  • Strumenti di amministrazione di AD LDS

  • Utilizzare l'autenticazione e il controllo di accesso

  • Eseguire la sincronizzazione con Servizi di dominio Active Directory

  • Importare le classi utente fornite con AD LDS


Modifica ADSI

Modifica ADSI

Modifica ADSI viene eseguito come snap-in di Microsoft Management Console (MMC). Per aprire Modifica ADSI, in un computer con il ruolo server Active Directory Lightweight Directory Services (AD LDS) installato fare clic sul pulsante Start, scegliere Strumenti di amministrazione e quindi Modifica ADSI.

Nelle sezioni seguenti vengono descritte le opzioni dell'interfaccia utente dello snap-in Modifica ADSI, in base al nodo selezionato nell'albero della console o al comando scelto dal menu Azione:

  • Nodo Modifica ADSI

  • Nodo connessione

  • Nodo oggetto

Nodo Modifica ADSI

Per visualizzare le opzioni di interfaccia utente seguenti, nell'albero della console fare clic su Modifica ADSI e quindi scegliere Connetti a dal menu Azione. Verrà visualizzata la finestra di dialogo Impostazioni di connessione.

È possibile utilizzare le opzioni seguenti della finestra di dialogo Impostazioni di connessione per creare una connessione a una partizione di directory in un'istanza di Active Directory Lightweight Directory Services (AD LDS).

Opzione Dettagli

Nome

Digitare un nome visualizzato per la connessione. La connessione verrà elencata nell'albero della console con il nome connessione specificato.

Punto di connessione

Specificare come si desidera eseguire la connessione all'istanza di AD LDS. È possibile eseguire la connessione a un nome distinto o a un contesto dei nomi nell'istanza di AD LDS oppure è possibile selezionare un contesto dei nomi noto.

Nota

AD LDS non fornisce un contesto dei nomi per impostazione predefinita.

Computer

Specificare il computer in cui viene eseguita l'istanza di AD LDS che si desidera amministrare. È necessario specificare il nome o l'indirizzo IP del server. Se l'istanza di AD LDS non utilizza la porta di comunicazione predefinita di Lightweight Directory Access Protocol (LDAP), ovvero la porta 389, sarà inoltre necessario specificare la porta utilizzata.

Avanzate

Fare clic su questo pulsante per specificare le credenziali e il metodo di binding che si desidera utilizzare per le connessioni all'istanza di AD LDS

Il comando Aggiorna del menu Azione consente di aggiornare le informazioni sulle connessioni e sugli oggetti visualizzate in Modifica ADSI.

Nodo connessione

Per visualizzare i comandi seguenti, nell'albero della console fare clic sul nodo di una connessione già stabilita e quindi dal menu Azione scegliere uno dei comandi elencati nella tabella seguente.

Comando | Dettagli
Rimuovi | Consente di rimuovere il nodo della connessione attualmente selezionato da Modifica ADSI. Questo comando ha effetto solo sui contenuti dell'albero della console di Modifica ADSI e non comporta l'eliminazione di oggetti dall'istanza di AD LDS.
Aggiorna schema ora | Consente di ricaricare le informazioni sullo schema da AD LDS nella cache del computer locale.
Nuovo | Consente di creare una nuova query scegliendo Nuova e quindi Query.
Rinomina | Consente di specificare un nuovo nome per il nodo della connessione.
Aggiorna | Consente di aggiornare le informazioni sulle connessioni e sugli oggetti visualizzate in Modifica ADSI.

Nodo oggetto

Per visualizzare i comandi seguenti, nell'albero della console fare clic su un oggetto directory in una partizione di directory di un'istanza di AD LDS e quindi dal menu Azione scegliere uno dei comandi elencati nella tabella seguente.

Comando | Dettagli
Sposta | Consente di spostare l'oggetto in un altro contenitore in AD LDS. Viene visualizzata una finestra di dialogo che è possibile utilizzare per selezionare il contenitore di destinazione.
Nuova connessione da qui | Consente di creare una nuova connessione e aggiungerla all'albero della console.
Nuovo | Consente di creare un nuovo oggetto figlio nel contenitore selezionato scegliendo Nuovo e quindi Oggetto. Viene aperto un insieme di finestre di dialogo collegate, a partire dalla classe dell'oggetto. Se non si dispone delle autorizzazioni per creare un oggetto nel contenitore selezionato, non viene elencata alcuna classe. Dopo avere selezionato una classe, viene visualizzata una finestra di dialogo per ogni attributo necessario. Nell'ultima finestra di dialogo fare clic su Altro per visualizzare e modificare eventuali attributi facoltativi.
Elimina | Consente di eliminare l'oggetto selezionato da AD LDS. Viene visualizzata una finestra di dialogo in cui viene richiesto di confermare l'operazione. Questo comando non viene visualizzato nel menu se non si dispone delle autorizzazioni per l'eliminazione dell'oggetto da AD LDS.
Rinomina | Consente di modificare il nome dell'oggetto in AD LDS.
Aggiorna | Consente di aggiornare le informazioni sulle connessioni e sugli oggetti visualizzate in Modifica ADSI.
Proprietà | Consente di visualizzare una finestra di dialogo in cui è possibile modificare i valori degli attributi di un oggetto.
Reimposta password | Questa opzione è disponibile solo per gli oggetti che includono un attributo unicodePwd. Presenta una finestra di dialogo in cui è possibile reimpostare il valore dell'attributo unicodePwd.

Ulteriori riferimenti

  • Strumenti di amministrazione di AD LDS

  • Utilizzare Modifica ADSI per gestire un'istanza di AD LDS

  • Ldp


Csvde

Csvde

Importa ed esporta dati da Active Directory Lightweight Directory Services (AD LDS) utilizzando file in formato CSV (Comma-Separated Value). È anche possibile supportare operazioni batch basate sul formato di file CSV standard.

Sintassi

csvde [-i] [-f NomeFile] [-s NomeServer] [-c Stringa Stringa] [-v] [-j Percorso] [-t NumeroPorta] [-d DNBase] [-r FiltroLDAP] [-p Ambito] [-l ElencoAttributiLDAP] [-o ElencoAttributiLDAP] [-g] [-m] [-n] [-k] [-a NomeDistintoUtente Password] [-b NomeUtente Dominio Password]

Parametri

-i
Specifica la modalità di importazione. Se non si specifica la modalità di importazione, la modalità predefinita è la modalità di esportazione.

-f NomeFile
Identifica il nome del file di esportazione o importazione.

-s NomeServer
Specifica il controller di dominio per eseguire l'operazione di importazione o esportazione.

-c Stringa1 Stringa2
Sostituisce tutte le occorrenze di Stringa1 con Stringa2. Consente di importare da un dominio all'altro sostituendo il nome distinto del dominio di esportazione (Stringa1) con il nome distinto del dominio di importazione (Stringa2).

-v
Imposta la modalità dettagliata.

-j Percorso
Imposta il percorso del file di registro. Il percorso predefinito è quello corrente.

-t NumeroPorta
Specifica un numero di porta LDAP (Lightweight Directory Access Protocol). La porta LDAP predefinita è la numero 389. La porta del catalogo globale è la numero 3268.

-d DNBase
Imposta il nome distinto (DN, Distinguished Name) della base di ricerca per l'esportazione dei dati.

-r FiltroLDAP
Crea un filtro di ricerca LDAP per l'esportazione dei dati.

-p Ambito
Imposta l'ambito della ricerca. Le opzioni disponibili per l'ambito della ricerca sono Base, OneLevel o SubTree.

-l ElencoAttributiLDAP
Imposta l'elenco di attributi da restituire nei risultati di una query di esportazione. Se questo parametro viene omesso, verranno restituiti tutti gli attributi.

-o ElencoAttributiLDAP
Imposta l'elenco di attributi da omettere dai risultati di una query di esportazione. Questo elenco viene in genere utilizzato quando si esportano oggetti da Servizi di dominio Active Directory e quindi li si importa in un'altra directory compatibile con LDAP. Se gli attributi non sono supportati dall'altra directory, è possibile ometterli dall'insieme di risultati utilizzando questa opzione.

-g
Omette le ricerche per pagina.

-m
Omette gli attributi che non possono essere scritti, come ObjectGUID e objectSID.

-n
Omette l'esportazione di valori binari.

-k
Ignora gli errori durante l'operazione di importazione e continua l'elaborazione. Di seguito è riportato l'elenco completo degli errori ignorati:

  • Oggetto già esistente.

  • Violazione dei vincoli.

  • Attributo o valore già esistente.

-a NomeDistintoUtente Password
Imposta il comando in modo che venga eseguito utilizzando gli attributi NomeDistintoUtente e Password specificati. Per impostazione predefinita, il comando viene eseguito con le credenziali dell'utente attualmente connesso alla rete.

-b NomeDistintoUtente Password
Imposta il comando in modo che venga eseguito come NomeUtente Dominio Password. Per impostazione predefinita, il comando viene eseguito con le credenziali dell'utente attualmente connesso alla rete.

-?
Visualizza il menu dei comandi.

Osservazioni

  • Determinate applicazioni, ad esempio Microsoft Excel, sono in grado di leggere e salvare i dati in formato CSV. Inoltre, anche gli strumenti di amministrazione di Microsoft Exchange Server, analogamente a molti strumenti di altri produttori, sono in grado di importare ed esportare dati utilizzando il formato CSV.

    Il formato CSV è composto da una o più righe di dati, in cui ciascun valore è separato dal separatore di elenco. La prima riga (talvolta detta intestazione) del file CSV deve contenere il nome di ciascun attributo nello stesso ordine in cui sono disposti i dati nelle righe successive alla prima.

    Esempio:

    CN,Nome,Cognome,Descrizione

    NomeAccessoPrimoUtente,NomePrimoUtente,CognomePrimoUtente,Manager

    NomeAccessoSecondoUtente,NomeSecondoUtente,CognomeSecondoUtente,Presidente

  • È possibile utilizzare csvde -r per creare un filtro di ricerca LDAP per l'esportazione dei dati. Per esportare tutti gli utenti con un determinato cognome, è ad esempio possibile utilizzare il filtro seguente:

    csvde -r (and(objectClass=Utente)(sn=Cognome))

Convenzioni di formattazione

Formato | Significato
Corsivo | Informazioni specificate dall'utente
Bold | Elementi che l'utente deve digitare esattamente come indicato
Puntini di sospensione (...) | Parametro che può essere ripetuto più volte in una riga di comando
Elementi tra parentesi quadre ([]) | Elementi facoltativi
Elementi tra parentesi graffe ({}); varie scelte separate da una barra verticale (|). Esempio: {pari|dispari} | Insieme di opzioni di cui l'utente deve sceglierne una sola
Tipo di carattere Courier | Codice oppure output di programmi

Ulteriori riferimenti

  • Strumenti di amministrazione di AD LDS

  • Amministrare le partizioni di directory


Ldifde

Ldifde

Consente di creare, modificare ed eliminare gli oggetti directory. È inoltre possibile utilizzare ldifde per estendere lo schema, esportare le informazioni relative ai gruppi e agli utenti in altre applicazioni o servizi nonché per inserire in Active Directory Lightweight Directory Services (AD LDS) dati provenienti da altri servizi directory.

Sintassi

ldifde [-i] [-f NomeFile] [-s NomeServer] [-c Stringa1 Stringa2] [-v] [-j Percorso] [-t NumeroPorta] [-d DNBase] [-r FiltroLDAP] [-p Ambito] [-l ElencoAttributiLDAP] [-o ElencoAttributiLDAP] [-g] [-m] [-n] [-k] [-a NomeDistintoUtente Password] [-b NomeUtente Dominio Password] [-?]

Parametri

-i
Specifica la modalità di importazione. Se non si specifica la modalità di importazione, la modalità predefinita è la modalità di esportazione.

-f NomeFile
Identifica il nome del file di esportazione o importazione.

-s NomeServer
Specifica il computer in cui eseguire l'operazione di importazione o esportazione. Per impostazione predefinita, ldifde verrà eseguito nel computer in cui è installato ldifde.

-c Stringa1 Stringa2
Sostituisce tutte le occorrenze di Stringa1 con Stringa2. Consente di importare dati da un dominio all'altro sostituendo il nome distinto del dominio di esportazione (Stringa1) con il nome distinto del dominio di importazione (Stringa2).

-v
Imposta la modalità dettagliata.

-j Percorso
Imposta il percorso del file di registro. Il percorso predefinito è quello corrente.

-t NumeroPorta
Specifica un numero di porta LDAP (Lightweight Directory Access Protocol). La porta LDAP predefinita è la numero 389. La porta del catalogo globale è la numero 3268.

-d DNBase
Imposta il nome distinto (DN, Distinguished Name) della base di ricerca per l'esportazione dei dati.

-r FiltroLDAP
Crea un filtro di ricerca LDAP per l'esportazione dei dati. Ad esempio, per esportare tutti gli utenti con un determinato cognome, è possibile utilizzare il filtro seguente: -r (and(objectClass=Utente)(sn=Cognome))

-p Ambito
Imposta l'ambito della ricerca. Le opzioni disponibili per l'ambito della ricerca sono Base, OneLevel o SubTree.

-l ElencoAttributiLDAP
Imposta l'elenco di attributi da restituire nei risultati di una query di esportazione. Se questo parametro viene omesso, verranno restituiti tutti gli attributi.

-o ElencoAttributiLDAP
Imposta l'elenco di attributi da omettere dai risultati di una query di esportazione. Questo elenco viene in genere utilizzato quando si esportano oggetti da Servizi di dominio Active Directory e quindi li si importa in un'altra directory compatibile con LDAP. Se gli attributi non sono supportati dall'altra directory, è possibile ometterli dall'insieme di risultati utilizzando questa opzione.

-g
Omette le ricerche per pagina.

-m
Omette gli attributi che non possono essere scritti, come ObjectGUID e objectSID.

-n
Omette l'esportazione di valori binari.

-k
Ignora gli errori durante l'operazione di importazione e continua l'elaborazione. Di seguito è riportato l'elenco completo degli errori ignorati:

  • Oggetto già appartenente al gruppo.

  • Violazione della classe dell'oggetto, ovvero la classe oggetto specificata non esiste, se l'oggetto da importare non possiede altri attributi.

  • Oggetto già esistente.

  • Violazione dei vincoli.

  • Attributo o valore già esistente.

  • Nessun oggetto di questo tipo.

-a NomeDistintoUtente Password
Imposta il comando in modo che venga eseguito utilizzando gli attributi NomeDistintoUtente e Password specificati. Per impostazione predefinita, il comando viene eseguito con le credenziali dell'utente attualmente connesso alla rete. Questa opzione non può essere utilizzata con l'opzione -b.

-b NomeDistintoUtente Password
Imposta il comando in modo che venga eseguito utilizzando NomeUtente Dominio Password. Per impostazione predefinita, il comando viene eseguito con le credenziali dell'utente attualmente connesso alla rete. Questa opzione non può essere utilizzata con l'opzione -a.

-?
Visualizza il menu dei comandi.

Osservazioni

  • Con il parametro -c è possibile utilizzare le costanti #schemaNamingContext e #configurationNamingContext invece dei nomi distinti della partizione di directory dello schema e della partizione di directory di configurazione.

  • Quando si crea il file di importazione da utilizzare con il comando ldifde, utilizzare un valore changeType per definire il tipo di modifiche contenute nel file di importazione. I valori changeType disponibili sono elencati nella tabella seguente.

    Valore Descrizione

    add

    Specifica che nel file di importazione saranno contenuti nuovi dati.

    modify

    Specifica che nel file di importazione sono stati modificati i dati esistenti.

    delete

    Specifica che nel file di importazione sono stati eliminati dei dati.

Di seguito viene illustrato un esempio di formato del file di importazione LDIF (LDAP Data Interchange Format) in cui viene utilizzato il valore add:

DN: CN=UtenteEsempio,DC=NomeDominio

changetype: add

CN: UtenteEsempio

description: DescrizioneFile

objectClass: Utente

userPrincipalName: UtenteEsempio

Esempi

Per recuperare solo il nome distinto, il nome comune, il nome, il cognome e il numero di telefono degli oggetti restituiti, digitare:

-l NomeDistinto, CN, Nome, SN, Telefono

Per omettere l'identificatore univoco globale (GUID) di un oggetto, digitare:

-o dataCreazione, dataModifica, GUIDoggetto

Convenzioni di formattazione

Formato | Significato
Corsivo | Informazioni specificate dall'utente
Bold | Elementi che l'utente deve digitare esattamente come indicato
Puntini di sospensione (...) | Parametro che può essere ripetuto più volte in una riga di comando
Elementi tra parentesi quadre ([]) | Elementi facoltativi
Elementi tra parentesi graffe ({}); varie scelte separate da una barra verticale (|). Esempio: {pari|dispari} | Insieme di opzioni di cui l'utente deve sceglierne una sola
Tipo di carattere Courier | Codice oppure output di programmi

Ulteriori riferimenti

  • Strumenti di amministrazione di AD LDS

  • Importare dati in un'istanza di AD LDS

  • Importare le classi utente fornite con AD LDS

  • Amministrare le partizioni di directory


Ldp

Ldp

La finestra di dialogo Ldp è costituita da due riquadri: l'albero della console e il riquadro dei dettagli. Nell'albero della console sono elencati l'oggetto di base e gli eventuali oggetti figlio. Nel riquadro dei dettagli sono elencati i risultati delle operazioni LDAP (Lightweight Directory Access Protocol). Per aprire Ldp, fare clic sul pulsante Start, fare clic con il pulsante destro del mouse su Prompt dei comandi, scegliere Esegui come amministratore, digitare ldp al prompt dei comandi e quindi premere INVIO.

Nelle sezioni seguenti vengono descritti i comandi dei menu di Ldp:

  • Connessione

  • Sfoglia

  • Visualizza

  • Opzioni

  • Utilità

Connessione

Nella tabella seguente vengono descritti i comandi del menu Connessione.

Comando Dettagli

Connetti

Apre una finestra di dialogo che è possibile utilizzare per l'apertura di una sessione con un server LDAP specificato. Prima di eseguire altri comandi LDAP, è necessario stabilire una connessione con un server LDAP. Digitare il numero di porta appropriato per il servizio a cui si sta effettuando la connessione. Per impostazione predefinita, per una sessione orientata alla connessione in LDAP viene utilizzato il protocollo TCP. Per utilizzare il protocollo UDP (User Datagram Protocol) per una sessione non orientata alla connessione, selezionare la casella di controllo Senza connessione. Per impostazione predefinita, quando viene stabilita una connessione nel riquadro dei dettagli vengono visualizzate le informazioni di RootDSE.

Binding

Apre una finestra di dialogo che è possibile utilizzare per l'autenticazione in un server LDAP specificato. Digitare nome utente e password di un account che disponga di autorizzazioni nel server LDAP. Se si esegue un binding semplice con una password vuota, la connessione viene effettuata con credenziali di accesso anonimo. Per velocizzare l'operazione, utilizzare il comandoBinding senza utilizzare il comando Connetti per eseguire la connessione e quindi eseguire l'autenticazione con l'ultimo server a cui ci si è connessi. Fare clic su Avanzato nella finestra di dialogo Binding per aprire la finestra di dialogo Opzioni binding e configurare le opzioni del metodo di autenticazione.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Opzioni binding.

Opzione | Descrizione
Tipo di funzione | Specifica una categoria di autenticazione per Ldp da utilizzare nella scelta dei metodi di autenticazione.
Generico | Specifica l'utilizzo di un protocollo di autenticazione standard.
Semplice | Specifica che non deve essere utilizzato alcun protocollo di autenticazione e invia la password in testo non crittografato.
Esteso | Non disponibile.
Metodo | Specifica il tipo di autenticazione utilizzato da Ldp per il passaggio delle credenziali.
Sincrono | Specifica che il server di autenticazione deve rispondere immediatamente alle richieste. Questa opzione funziona solo con l'autenticazione semplice.
Usa identità autenticazione | Consente l'utilizzo di credenziali di autenticazione alternative. Tutti i metodi di autenticazione ad eccezione di quelli semplici richiedono chiamate sincrone.

Disconnetti

Termina una sessione aperta con un server LDAP specificato. Chiudendo Ldp si disconnettono automaticamente tutte le sessioni aperte.

Nuova

Mantiene la sessione attualmente connessa, ma cancella il riquadro dei dettagli. I tasti di scelta rapida per questa azione sono CTRL+N.

Salva

Salva le modifiche in un file già salvato in precedenza.

Salva con nome

Salva i contenuti del riquadro dei dettagli in un file di testo. Utilizzare il comando Apri per visualizzare il contenuto di questo file nel riquadro dei dettagli in un secondo momento.

Stampa

Stampa il contenuto del riquadro dei dettagli.

Sfoglia

Nelle sezioni seguenti vengono descritti i comandi del menu Sfoglia.

Aggiungi figlio

Apre una finestra di dialogo che è possibile utilizzare per aggiungere oggetti ad Active Directory Lightweight Directory Services (AD LDS). È necessario immettere il nome distinto completo dell'oggetto, nonché tutti gli attributi obbligatori per la classe dell'oggetto che si desidera aggiungere.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Aggiungi.

Opzione | Dettagli
Dn | Digitare il nome distinto completo del nuovo oggetto.
Attributo | Digitare l'attributo obbligatorio o facoltativo.
Valori | Digitare i valori associati all'attributo. Separare i valori multipli di uno stesso attributo con un punto e virgola. Non sono necessari spazi.
Invia | Aggiunge l'attributo e i valori immessi alla casella Elenco voci e cancella il contenuto delle caselle Attributo e Valori. Continuare fino a immettere tutti gli attributi obbligatori e tutti gli attributi facoltativi desiderati nella casella Elenco voci.
Inserisci file | Apre una finestra di dialogo che è possibile utilizzare per aprire un file di testo con gli attributi e i valori appropriati.
Elenco voci | Visualizza gli attributi e i valori immessi.
Modifica | Apre una finestra di dialogo che è possibile utilizzare per apportare modifiche alla voce selezionata nella casella Elenco voci.
Rimuovi | Elimina la voce selezionata dalla casella Elenco voci.
Esteso | Selezionare questa casella di controllo se l'oggetto che si desidera aggiungere fa parte di un controllo esteso.
Sincrono | Se questa casella di controllo è selezionata (impostazione predefinita), prima di continuare Ldp deve attendere una risposta dal server di destinazione. Deselezionando questa casella di controllo, Ldp continuerà prima di ricevere una risposta. Deselezionare questa casella di controllo quando si verifica il timeout dei comandi Ldp a causa di connessioni WAN (Wide Area Network) lente.
Esegui | Aggiunge gli attributi e i valori correnti presenti nella casella Elenco voci ad AD LDS. Se in Ldp si verifica un errore, l'oggetto non viene aggiunto e nel riquadro dei dettagli viene visualizzato un messaggio di errore.

Elimina

Apre una finestra di dialogo che è possibile utilizzare per eliminare un oggetto da AD LDS. È possibile eliminare gli attributi solo se sono definiti come facoltativi e non contengono valori. Per eliminare i valori di un attributo, dal menu Sfoglia della finestra di dialogo Aggiungi scegliere Modifica.

Opzione | Dettagli
DN | Digitare il nome distinto completo del nuovo oggetto.
Esteso | Selezionare questa casella di controllo se l'oggetto modificato fa parte di un controllo esteso.
Sincrono | Se questa casella di controllo è selezionata (impostazione predefinita), prima di continuare Ldp deve attendere una risposta dal server di destinazione. Deselezionando questa casella di controllo, Ldp continuerà prima di ricevere una risposta. Deselezionare questa casella di controllo quando si verifica il timeout dei comandi Ldp a causa di connessioni WAN lente.
Ricorsivo (client) | Elimina tutti gli oggetti in un contenitore, ma non elimina il contenitore.

Modifica

Apre una finestra di dialogo che è possibile utilizzare per modificare gli attributi di un oggetto archiviato in AD LDS.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Modifica.

Opzione | Dettagli
Dn | Digitare il nome distinto completo del nuovo oggetto.
Attributo | Digitare l'attributo obbligatorio o facoltativo.
Valori | Digitare i valori associati all'attributo. Separare i valori multipli di uno stesso attributo con un punto e virgola. Non sono necessari spazi.
Inserisci file | Apre una finestra di dialogo che è possibile utilizzare per aprire un file di testo con gli attributi e i valori appropriati.
Invia | Aggiunge l'attributo e i valori immessi alla sezione Elenco voci della finestra di dialogo e cancella il contenuto delle caselle Attributo e Valori. Continuare fino a immettere tutti gli attributi obbligatori e tutti gli attributi facoltativi desiderati nella casella Elenco voci.
Operazione | Aggiungi, Elimina o Sostituisci. Per aggiungere un nuovo valore a un attributo esistente, fare clic su Aggiungi. Per rimuovere in modo permanente un attributo dall'oggetto visualizzato, fare clic su Elimina. Non è possibile eliminare attributi che contengono dati. Un tentativo di eliminare attributi obbligatori provoca inoltre un errore. Per sostituire un valore esistente con un altro valore o per modificare i valori elencati di un attributo esistente, fare clic su Sostituisci.
Elenco voci | Visualizza gli attributi e i valori esistenti di un oggetto.
Modifica | Apre una finestra di dialogo che è possibile utilizzare per apportare modifiche alla voce selezionata nella casella Elenco voci.
Sincrono | Se questa casella di controllo è selezionata (impostazione predefinita), prima di continuare Ldp deve attendere una risposta dal server di destinazione. Deselezionando questa casella di controllo, Ldp continuerà prima di ricevere una risposta. Deselezionare questa casella di controllo quando si verifica il timeout dei comandi Ldp a causa di connessioni WAN lente.
Esteso | Selezionare questa casella di controllo se l'oggetto modificato fa parte di un controllo esteso.
Esegui | Invia i valori modificati nella casella Elenco voci ad AD LDS.

Modifica DN

Apre una finestra di dialogo che è possibile utilizzare per modificare i nomi distinti relativi di un oggetto. Questa opzione consente di modificare solo gli oggetti foglia. Se si rinomina la parte del nome distinto relativa al contenitore, l'oggetto viene spostato nel contenitore specificato.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Modifica RDN.

Opzione | Dettagli
DN precedente | Digitare il nome distinto attuale dell'oggetto.
Nuovo DN | Digitare il nuovo nome distinto dell'oggetto.
Elimina precedente | Se questa casella di controllo è selezionata (impostazione predefinita), il nome distinto precedente viene rimosso dalla directory LDAP.
Sincrono | Se questa casella di controllo è selezionata (impostazione predefinita), prima di continuare Ldp deve attendere una risposta dal server di destinazione. Deselezionando questa casella di controllo, Ldp continuerà prima di ricevere una risposta. Deselezionare questa casella di controllo quando si verifica il timeout dei comandi Ldp a causa di connessioni WAN lente.
Ridenominazione estesa | Selezionare questa casella di controllo se l'oggetto rinominato fa parte di un controllo esteso.
Esegui | Invia le modifiche a AD LDS.

Cerca

Apre una finestra di dialogo che è possibile utilizzare per creare un filtro di ricerca personalizzato per eseguire la ricerca nell'albero di informazioni di directory. La base di ricerca deve essere specificata come nome distinto e il filtro deve essere un filtro LDAP valido. Gli elementi restituiti da una ricerca sono separati da caratteri >>.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Cerca.

Opzione | Dettagli
DN di base | Digitare un nome distinto per specificare il punto di inizio della ricerca.
Filtro | Digitare i criteri di ricerca, separati dai filtri di ricerca LDAP. Digitare gli attributi e i valori per trovare un oggetto o un set di oggetti. Si noti che i filtri di ricerca LDAP sono definiti nella specifica RFC 2254 e nell'articolo 255602 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?linkid=4441).
Ambito | Specifica il numero di livelli inclusi nella ricerca.
Base | Cerca solo nell'oggetto di base.
Un livello | Cerca negli oggetti immediatamente subordinati all'oggetto di base, ma non cerca nell'oggetto di base.
Sottoalbero | Cerca nell'intero albero, dall'oggetto di base fino a tutti gli oggetti figlio.
Opzioni | Apre la finestra di dialogo Opzioni di ricerca. È possibile utilizzare queste opzioni per applicare filtri che includono alcune voci e ne escludono altre dalla ricerca e che consentono di controllare la modalità di elaborazione della ricerca.
Esegui | Invia la richiesta di ricerca ad AD LDS.

Confronta

Apre una finestra di dialogo che è possibile utilizzare per confrontare il valore di un attributo di un oggetto con un valore specificato. Il risultato restituito è true o false.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Confronta.

Opzione | Dettagli
Dn | Digitare il nome distinto completo dell'oggetto i cui valori verranno confrontati.
Attributo | Digitare l'attributo da confrontare.
Valore | Digitare il valore che verrà confrontato con il valore esistente in AD LDS. Separare i valori multipli di uno stesso attributo con un punto e virgola. Non sono necessari spazi.
Sincrono | Se questa casella di controllo è selezionata (impostazione predefinita), prima di continuare Ldp deve attendere una risposta dal server di destinazione. Deselezionando questa casella di controllo, Ldp continuerà prima di ricevere una risposta. Deselezionare questa casella di controllo quando si verifica il timeout dei comandi Ldp a causa di connessioni WAN lente.
Esegui | Avvia il confronto.

Operazioni estese

Apre una finestra di dialogo che è possibile utilizzare per inviare un'operazione estesa a una directory LDAP specificando un identificatore di oggetto (OID) LDAP e un valore applicabile.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Operazioni estese.

Opzione | Dettagli
OID | Digitare il numero dell'identificatore di oggetto.
Dati | Digitare il valore dell'attributo dell'identificatore di oggetto.
Controlli | Vedere l'opzione Controlli nella sezione Opzioni.
Invia | Invia l'operazione estesa ad AD LDS.

GetLastError

Chiama la funzione LDAP GetLastError.

Sicurezza

Apre una finestra di dialogo che è possibile utilizzare per inviare un'operazione estesa a una directory LDAP specificando un identificatore di oggetto LDAP e un valore applicabile.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Descrittore di sicurezza.

Opzione | Dettagli
Descrittore di sicurezza | Apre una finestra di dialogo che è possibile utilizzare per visualizzare le autorizzazioni di accesso per un oggetto.

Replica

Apre una finestra di dialogo che è possibile utilizzare per inviare un'operazione estesa a una directory LDAP specificando un identificatore di oggetto LDAP e un valore applicabile.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Metadati replica.

Opzione | Dettagli
Replica/Visualizza metadati | In DN oggetto digitare il nome distinto dell'oggetto per cui si desidera visualizzare i metadati della replica.

Processi in sospeso

Apre una finestra di dialogo in cui è visualizzato l'elenco di richieste di cui non è terminata l'elaborazione.

Visualizza

Nella tabella seguente vengono descritti i comandi del menu Visualizza.

Comando | Dettagli
Albero | In DNBase digitare il nome distinto dell'oggetto da utilizzare come oggetto di base nel riquadro di spostamento.
Configurazione organizzazione | Questa opzione di menu non può essere utilizzata in AD LDS.
Barra di stato | Mostra o nasconde la barra di stato, che è situata nella parte inferiore della finestra di LDAP.

Opzioni

Nelle sezioni seguenti vengono descritti i comandi del menu Opzioni.

Cerca

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Opzioni di ricerca.

Opzione | Dettagli
Limite tempo | Digitare il numero di millisecondi che possono essere utilizzati dalla ricerca nel server. Per impostazione predefinita, il tempo massimo è di 120 secondi.
Limite dimensione | Digitare il numero massimo di byte che possono essere restituiti dalla ricerca. Digitando un valore null non si definisce una dimensione massima dei dati restituiti.
Timeout (s) | Digitare il numero di secondi per l'attesa in Ldp della risposta del server LDAP a una richiesta di ricerca.
Timeout (ms) | Digitare il numero di millisecondi per l'attesa in Ldp della risposta del server LDAP a una richiesta di ricerca.
Dimensione pagina | Digitare la dimensione massima, in byte, di ogni pagina di dati restituiti.
Attributi | Specifica gli attributi da restituire nella ricerca. Separare gli attributi con un punto e virgola. Utilizzare il carattere jolly (*) per indicare tutti gli attributi.
Tipo chiamata ricerca | Specifica un tipo di chiamata da utilizzare nella ricerca. Se la ricerca impiega molto tempo, è possibile fare clic su Asincrona per eseguire altre attività nell'attesa del completamento della ricerca.
Solo attributi | Selezionare questa casella di controllo per restituire solo gli attributi dell'oggetto. Il nome distinto non verrà restituito.
Cerca riferimenti | Esegue una ricerca degli oggetti inclusi nelle directory LDAP esterne. Per impostazione predefinita, i trust degli oggetti delle directory LDAP esterne restituiscono solo un riferimento anziché l'oggetto effettivo.
Visualizza risultati | Visualizza un elenco dettagliato degli oggetti restituiti dalla ricerca. Per impostazione predefinita, viene visualizzata solo un'indicazione del corretto completamento o meno della ricerca e il numero di oggetti trovati.
Chiavi ordinamento | Apre la finestra di dialogo Chiavi ordinamento. Vedere la sezione Chiavi ordinamento seguente.
Controlli | Apre la finestra di dialogo Controlli.

In sospeso

Apre una finestra di dialogo che è possibile utilizzare per applicare filtri all'elenco di processi non ancora completati.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Opzioni processi in sospeso.

Opzione | Dettagli
Tutti i risultati della ricerca | Specifica che devono venire visualizzati tutti i risultati della ricerca.
Blocco | Deselezionare questa casella di controllo per impostare un limite di tempo.
Limite tempo (secondi): | Digitare un limite di tempo in secondi.
Limite tempo (millisecondi): | Digitare un limite di tempo in millisecondi.

Generale

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Opzioni generali.

Opzione | Dettagli
Analisi valori | Specifica la modalità di visualizzazione dei dati LDAP. Binaria visualizza le informazioni LDAP nel formato numerico nativo. Stringa converte le informazioni LDAP dal formato nativo in caratteri ASCII affinché possano essere lette in modo più semplice quando visualizzate. Questa è l'impostazione predefinita. I valori troppo lunghi per essere convertiti vengono visualizzati ancora in formato binario.
Versione LDAP | Specifica la versione di LDAP utilizzata dal server. Il valore predefinito è versione 3.
Elaborazione DN | Converte i nomi distinti, visualizzati nei componenti, estendendo i tipi di dati restituiti da Ldp quando esegue un comando.
Dimensione buffer | In Numero di righe digitare il numero di righe restituite da visualizzare per ogni comando. In Caratteri per riga digitare il numero di caratteri restituiti da visualizzare per ogni comando.
Query contesto dei nomi predefinita automatica | Specifica che tramite Ldp vengono eseguite query sul contesto dei nomi predefinito quando viene stabilita una connessione al server LDAP. Il contesto dei nomi predefinito è RootDSE. Questa impostazione viene utilizzata quando il valore del nome distinto nella finestra di dialogo Visualizza|Albero viene lasciato vuoto.
Visualizzazione elenco virtuale | Selezionare la casella di controllo Esplora automaticamente visualizzazione elenco virtuale quando per visualizzare un elenco virtuale ogni volta che il numero di oggetti è maggiore del valore visualizzato nella casella la dimensione del contenitore è maggiore di. Il valore predefinito è 100.

Opzioni di connessione

Apre una finestra di dialogo che è possibile utilizzare per modificare il valore di qualsiasi opzione.

Nella tabella seguente vengono descritte le opzioni della finestra di dialogo Opzioni di connessione.

Opzione | Dettagli
Nome opzione | Digitare il nome dell'opzione di cui verrà reimpostato il valore.
Valore | Digitare il nuovo valore per l'opzione specificata.
Imposta | Invia le informazioni alla directory LDAP.

Controlli

Nella finestra di dialogo Controlli immettere le informazioni per estendere le funzionalità di LDAP.

L'opzione Identificatore oggetto deve essere specificata quando si implementa un controllo. Per ottenere un elenco di identificatori di oggetti, vedere la proprietà supportedControls nel RootDSE di un controller di dominio.

Ulteriori considerazioni

  • A un server è possibile inviare solo controlli server. I controlli client funzionano solo con le API (Application Programming Interface) LDAP.

  • Per visualizzare un elenco di controlli LDAP estesi, vedere l'articolo 222560 della Microsoft Knowledge Base (http://go.microsoft.com/fwlink/?linkid=4441).

Chiavi ordinamento

Chiavi ordinamento è un tipo di controllo che consente di definire il formato di visualizzazione dei risultati della ricerca. Per formattare la visualizzazione dei risultati della ricerca, nella finestra di dialogo Chiavi ordinamento digitare un tipo attributo.

TLS

Nella tabella seguente vengono descritti i sottocomandi del comando TLS.

Opzione | Dettagli
Avvia TLS o Arresta TLS | Avvia o arresta una sessione sicura con il server LDAP che utilizza TLS (Transport Level Security).

Utilità

Nella tabella seguente vengono descritti i comandi del menu Utilità.

Opzione | Dettagli
Conversione numeri interi grandi | Per convertire valori interi lunghi nelle parti alta e bassa, digitare un valore nella casella Stringa.
Ricerca per SID | Per determinare la coppia dominio\utente associata a un determinato ID di sicurezza (SID), digitare un SID in Elenco dei SID e quindi fare clic su OK. La coppia dominio\utente associata verrà visualizzata nel riquadro dei dettagli.

Ulteriori riferimenti

  • Strumenti di amministrazione di AD LDS

  • Utilizzare Ldp.exe per gestire un'istanza di AD LDS

  • Modifica ADSI


Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services

L'Installazione guidata Active Directory Lightweight Directory Services consente di creare un'istanza del servizio Active Directory Lightweight Directory Services (AD LDS). Negli argomenti seguenti viene descritto come eseguire i diversi passaggi della procedura guidata:

  • Opzioni di installazione

  • Nome istanza

  • Porte

  • Partizione di directory applicativa

  • Percorsi file

  • Selezione account di servizio

  • Amministratori di AD LDS

  • Importazione file LDIF

  • Pronto per l'installazione

I passaggi seguenti riguardano la creazione di un'istanza di replica di AD LDS:

  • Aggiunta a un set di configurazione

  • Credenziali amministrative per il set di configurazione

  • Copia delle partizioni di directory applicative

  • Copia informazioni sulle applicazioni

Ulteriori riferimenti

  • Informazioni sulle istanze di AD LDS


Opzioni di installazione

Nella pagina Opzioni di installazione dell'Installazione guidata Active Directory Lightweight Directory Services è possibile scegliere se installare un'istanza unica di Active Directory Lightweight Directory Services (AD LDS) o se collegarla a un set di configurazione esistente.

Opzione di installazione | Risultato
Un'istanza unica | Se si decide di installare un'istanza di AD LDS unica, l'istanza installata non farà parte di un set di configurazione esistente e non avrà partner di replica. Tramite la procedura guidata verranno create nuove copie predefinite delle partizioni di directory dello schema e di configurazione per la nuova istanza di AD LDS creata. Eventuali estensioni dello schema aggiunte a qualsiasi altra istanza di AD LDS non saranno disponibili in questa nuova istanza di AD LDS.
Una replica di un'istanza esistente | Se si decide di installare una replica di un'istanza di AD LDS esistente, l'istanza installata conterrà copie replicate delle partizioni di directory dello schema e di configurazione, incluse eventuali estensioni dello schema, dell'istanza da cui si esegue la replica. È inoltre possibile scegliere di replicare in modo selettivo eventuali partizioni di directory applicative presenti nel set di configurazione di origine. È necessario specificare un'istanza di AD LDS in esecuzione come origine di replica. Per accelerare il processo di replica per la nuova istanza, è possibile utilizzare come origine dati una copia ripristinata di un'istanza di AD LDS di cui è stato in precedenza eseguito il backup.

Un'istanza di AD LDS è costituita da una singola copia del servizio directory AD LDS, con l'archivio directory associato, le porte LDAP (Lightweight Directory Access Protocol) e SSL (Secure Sockets Layer) assegnate e il registro eventi applicazioni. È possibile eseguire più istanze di AD LDS simultaneamente nello stesso computer.

È possibile aggiungere un'istanza di AD LDS a un set di configurazione solo durante l'installazione di AD LDS.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Nome istanza

Nella pagina Nome istanza è necessario indicare un nome facilmente riconoscibile per l'istanza di Active Directory Lightweight Directory Services (AD LDS) che si sta installando. Questo nome viene utilizzato nel computer locale per identificare in modo univoco l'istanza di AD LDS.

Il nome specificato viene visualizzato nelle posizioni seguenti:

  • Visualizzatore eventi

  • Snap-in Servizi

  • Installazione applicazioni

Nota

Durante l'Installazione guidata Active Directory Lightweight Directory Services viene visualizzato il nome istanza predefinito X, dove X è 1 per la prima istanza di AD LDS installata nel computer, 2 per la seconda istanza e così via.

Il nome specificato deve soddisfare i requisiti seguenti:

  • Deve essere univoco rispetto alle altre istanze di AD LDS in esecuzione nello stesso computer.

  • Non deve contenere più di 44 caratteri.

  • Deve contenere caratteri compresi negli intervalli da a a z, da A a Z o da 0 a 9.

  • Non è possibile utilizzare il nome "ntds".

Il nome specificato per l'istanza viene utilizzato per creare il nome del servizio, il nome visualizzato del servizio e la descrizione del servizio, come descritto nella tabella seguente.

Nome specificato durante l'installazione | Nome del servizio | Nome visualizzato del servizio | Descrizione del servizio
istanza1 | ADAM_istanza1 | istanza1 | Vuota (non viene indicata alcuna descrizione predefinita)

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Porte

Nella pagina Porte è possibile specificare le porte di comunicazione che verranno utilizzate dall'istanza di Active Directory Lightweight Directory Services (AD LDS) per comunicare con le applicazioni abilitate all'uso di directory. Le applicazioni abilitate all'uso di directory individuano un'istanza di AD LDS utilizzando il nome del computer in cui è in esecuzione l'istanza di AD LDS in combinazione con il numero della porta di comunicazione. Un'istanza di AD LDS può comunicare tramite LDAP (Lightweight Directory Access Protocol) o SSL (Secure Sockets Layer). È necessario specificare un numero di porta per ogni protocollo.

Se non si conoscono i numeri delle porte di comunicazione da utilizzare, accettare i valori predefiniti.

Note
  • Per impostazione predefinita, in AD LDS vengono utilizzati i numeri di porta di comunicazione 389 per LDAP e 636 per SSL. Se una delle due porte è già in uso nel computer, AD LDS specifica la prima porta disponibile, a partire da 50000.
  • Se si prevede di eseguire AD LDS e Servizi di dominio Active Directory contemporaneamente nello stesso computer, è necessario assegnare ad AD LDS porte diverse dalla 389 e dalla 636. Servizi di dominio Active Directory deve infatti utilizzare le porte 389 e 636 (nonché le porte 3268 e 3269, se il controller di dominio in cui è in esecuzione Servizi di dominio Active Directory è configurato come catalogo globale).

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Partizione di directory applicativa

Nella pagina Partizione di directory applicativa è possibile creare una nuova partizione di directory applicativa durante l'installazione di Active Directory Lightweight Directory Services (AD LDS). Una partizione di directory applicativa contiene i dati specifici di una o più applicazioni abilitate all'uso di directory. Non è necessario creare una partizione di directory applicativa durante l'Installazione guidata Active Directory Lightweight Directory Services. Le partizioni di directory applicative possono essere create anche dopo l'installazione di un'istanza di AD LDS.

Se si sceglie di creare una partizione di directory applicativa, è necessario specificare un nome distinto per la nuova partizione. AD LDS supporta i nomi distinti nei formati X.500 e DNS (Domain Name System). Quando si specifica una partizione applicativa in AD LDS, è possibile utilizzare i tipi di attributi di nome distinto elencati nella tabella seguente. È necessario includere almeno un attributo per il nome distinto specificato.

Attributo nome distinto | Tipo
C | Paese
CN | Contenitore
DC | Componente dominio
L | Località
O | Organizzazione
OU | Unità organizzativa

Esempio:

CN=Partition1,DC=Woodgrove,DC=COM

Importante

Se si desidera aggiungere contenitori di unità organizzative nella partizione di directory applicativa, limitare il nome distinto che si specifica alle classi di oggetti seguenti: OU, C, O e DC. Per impostazione predefinita, è possibile aggiungere le unità organizzative solo in queste classi di oggetti. È ad esempio possibile aggiungere un'unità organizzativa a o=Microsoft,c=US. Non è possibile aggiungere un'unità organizzativa a cn=test,o=Microsoft,c=US.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Percorsi file

Nella pagina Percorsi file è possibile visualizzare e modificare le directory di installazione predefinite per i file di dati (con estensione dit) e i file di ripristino (con estensione log) di Active Directory Lightweight Directory Services (AD LDS).

Per impostazione predefinita, i file di dati e i file di ripristino di AD LDS vengono installati nel computer di destinazione nella directory seguente:

\%ProgramFiles%\Microsoft ADAM\nomeistanza\data

dove nomeistanza rappresenta il nome dell'istanza di AD LDS specificata nella pagina Nome istanza.

Per impostazione predefinita, i file di programma e gli strumenti di amministrazione di AD LDS vengono installati nella directory seguente:

\%windir%\ADAM

Note
  • Se i percorsi specificati non esistono, verranno creati automaticamente dall'Installazione guidata Active Directory Lightweight Directory Services.
  • L'Installazione guidata Active Directory Lightweight Directory Services non consente di specificare variabili d'ambiente nei percorsi dei file.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Selezione account di servizio

Nella pagina Selezione account di servizio dell'Installazione guidata Active Directory Lightweight Directory Services è necessario selezionare l'account di servizio che dovrà essere utilizzato dall'istanza di Active Directory Lightweight Directory Services (AD LDS). L'account selezionato determina il contesto di sicurezza in cui verrà eseguita l'istanza di AD LDS. Per modificare l'account di servizio dopo l'installazione potrebbero essere necessari interventi di configurazione aggiuntivi.

Nella maggior parte dei casi, l'account di servizio predefinito proposto dall'Installazione guidata Active Directory Lightweight Directory Services è Servizio di rete. L'account Servizio di rete è un account predefinito speciale, con privilegi analoghi a quelli di un account utente autenticato.

Il nome dell'account è NT AUTHORITY\NetworkService. L'account Servizio di rete dispone di un accesso limitato al computer locale. Dispone di accesso autenticato, come l'account computer, alle risorse di rete. Questo accesso limitato protegge il sistema in caso di compromissione di singoli processi o servizi. I servizi che utilizzano l'account Servizio di rete accedono alle risorse della rete utilizzando le credenziali dell'account computer.

Note
  • Per consentire il controllo di un'istanza di AD LDS eseguita con un account di servizio diverso da Servizio di rete, è necessario concedere il diritto Generazione di controlli di sicurezza all'account utilizzato come account di servizio di AD LDS.
  • Per poter utilizzare un account utente di dominio o di workstation come account di servizio, è necessario concedere il diritto Accedi come servizio all'account utilizzato come account di servizio di AD LDS.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Amministratori di AD LDS

Nella pagina Amministratori di AD LDS è necessario selezionare un utente o un gruppo come amministratore predefinito per questa istanza di Active Directory Lightweight Directory Services (AD LDS). L'utente o gruppo selezionato disporrà del controllo amministrativo completo sull'istanza di AD LDS.

Per impostazione predefinita, nell'Installazione guidata Active Directory Lightweight Directory Services viene impostato come amministratore dell'istanza di AD LDS l'utente attualmente connesso al sistema. È possibile modificare questa selezione e impostare qualsiasi account o gruppo locale o di dominio nella rete.

Note
  • Se si specifica un gruppo come amministratore di AD LDS, ogni membro di tale gruppo avrà il controllo amministrativo dell'istanza di AD LDS.
  • L'utente o il gruppo selezionato diventa automaticamente un membro del gruppo Administrators nella partizione di directory di configurazione dell'istanza di AD LDS.
  • Non specificare come amministratori di AD LDS gruppi o account predefiniti, come DOMAIN\Administrators. Se invece si desidera specificare un gruppo, specificare un gruppo di dominio, come nomedominio\Domain Admins, dove nomedominio rappresenta il nome del dominio.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Importazione file LDIF

Nella pagina Importazione file LDIF è possibile specificare l'importazione di file LDAP Data Interchange Format (LDIF) facoltativi. Insieme questi file contengono diverse definizioni di schema classe utente, oltre a oggetti utilizzabili con Gestione autorizzazioni di Windows, che possono essere importate nello schema della nuova istanza di Active Directory Lightweight Directory Services (AD LDS) in fase di installazione.

Nella tabella seguente vengono descritti i singoli file con estensione ldf facoltativi.

File con estensione ldf Classi utente Importare questo file se...

MS-ADAM-DisplaySpecifiers-0409.LDF
  • Non applicabile

Si desidera utilizzare uno snap-in di Active Directory Microsoft Management Console (MMC), come ad esempio Siti e servizi di Active Directory, con AD LDS.

MS-AdamSyncMetadata.LDF
  • Non applicabile

Si desidera utilizzare lo strumento da riga di comando adamsync per sincronizzare AD LDS con Servizi di dominio Active Directory.

MS-AZMan.LDF
  • Non applicabile

Si desidera utilizzare Gestione autorizzazioni di Windows con AD LDS.

MS-InetOrgPerson.LDF
  • Person

  • Organizational-Person

  • User

  • inetOrgPerson

Si desidera creare oggetti utente nella directory di AD LDS, nonché creare utenti della classe InetOrgPerson (come definita nella RFC 2798). MS-InetOrgPerson.LDF è un file di esempio modificabile in base alle specifiche esigenze.

MS-User.LDF
  • Person

  • Organizational-Person

  • User

Si desidera creare oggetti utente nella directory di AD LDS, ma non creare utenti della classe InetOrgPerson (come definita nella RFC 2798). MS-User.LDF è un file di esempio modificabile in base alle specifiche esigenze.

MS-UserProxy.LDF
  • User-Proxy

Si desidera creare oggetti proxy semplici in AD LDS da utilizzare nel reindirizzamento del binding. MS-UserProxy.LDF è un file di esempio modificabile in base alle specifiche esigenze.

MS-UserProxyFull.LDF
  • User-Proxy-Full

Si desidera creare oggetti proxy completi in AD LDS da utilizzare nel reindirizzamento del binding. Per utilizzare questo file, è necessario importare anche il file MS-InetOrgPerson.LDF o MS-User.LDF. MS-UserProxyFull.LDF è un file di esempio modificabile in base alle specifiche esigenze.

Note
  • Se si decide di non importare questi file LDIF durante l'installazione, sarà possibile importarli successivamente tramite lo strumento da riga di comando ldifde.
  • Questa pagina viene visualizzata solo durante l'installazione di un'istanza di AD LDS unica e non durante l'installazione di un'istanza di AD LDS di replica.
  • Per poter importare queste definizioni di classi di schema nello schema AD LDS, è necessario avere eseguito l'accesso con un account specificato come amministratore di AD LDS.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Pronto per l'installazione

Nella pagina Pronto per l'installazione è possibile controllare le opzioni di installazione di Active Directory Lightweight Directory Services (AD LDS) che sono state selezionate. È possibile fare clic su Indietro per tornare a una pagina precedente della procedura guidata e modificare l'impostazione desiderata.

Nota

Quando si fa clic su Avanti nella pagina Pronto per l'installazione, l'Installazione guidata Active Directory Lightweight Directory Services inizia automaticamente a copiare i file e a configurare la nuova istanza di AD LDS.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Aggiunta a un set di configurazione

Nella pagina Aggiunta a un set di configurazione è necessario specificare un'istanza di Active Directory Lightweight Directory Services (AD LDS) da cui replicare le partizioni di directory di configurazione e dello schema per la nuova istanza di AD LDS che si sta installando. L'istanza di AD LDS specificata in questa pagina determina inoltre il set di configurazione di AD LDS in cui verrà inclusa la nuova istanza ADAM.

Importante

Se si sta installando un'istanza di AD LDS di replica in un set di configurazione esistente che include istanze di AD LDS in più foreste, utilizzare il nome Domain Name System (DNS) completo, anziché l'indirizzo IP, quando si specifica l'istanza di AD LDS di origine da cui eseguire la replica.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Credenziali amministrative per il set di configurazione

Nella pagina Credenziali amministrative per il set di configurazione è necessario specificare credenziali amministrative valide per il set di configurazione a cui si sta aggiungendo l'istanza di Active Directory Lightweight Directory Services (AD LDS).

Nota

L'account specificato in questa pagina della procedura guidata deve appartenere al gruppo Administrators nella partizione di directory di configurazione del set di configurazione a cui si sta eseguendo l'aggiunta (CN=Administrators,CN=Roles,CN=Configuration,CN={GUID}).

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Copia delle partizioni di directory applicative

Nella pagina Copia delle partizioni di directory applicative è possibile specificare una o più partizioni di directory applicative da copiare dal set di configurazione a cui si sta aggiungendo l'istanza di AD LDS. Non è obbligatorio copiare partizioni di directory applicative quando si aggiunge l'istanza a un set di configurazione.

Le partizioni di directory di configurazione e dello schema vengono sempre copiate dal set di configurazione a cui si sta aggiungendo l'istanza di AD LDS, anche se si decide di non copiare le partizioni di directory applicative.

Nota

Se Partizioni disponibili non contiene partizioni di directory applicative, l'istanza di Active Directory Lightweight Directory Services (AD LDS) specificata nella pagina Aggiunta a un set di configurazione non contiene partizioni di directory applicative.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services


Copia informazioni sulle applicazioni

Nella pagina Copia informazioni sulle applicazioni è possibile specificare l'istanza di Active Directory Lightweight Directory Services (AD LDS) o il percorso del supporto da cui verrà creata l'istanza di AD LDS di replica. È possibile utilizzare la rete per creare una replica di un'istanza di AD LDS in esecuzione in un altro server o installare un'istanza di AD LDS ripristinata da un backup.

Ulteriori riferimenti

  • Interfaccia utente: Installazione guidata Active Directory Lightweight Directory Services