Windows 2003 IAS轉移到Windows 2008 NPS

微軟真的很喜歡改名字，不知道是為了合八字，還是因為老闆換人。

Windows 2003 有個叫IAS(Internet Authentication Services)的東西，到了Windows 2008改叫NPS(Network Policy and Access Services)，這樣很好玩嗎?

作法:

1、想把Windows 2003 IAS的資料轉移到Windows 2008 NPS，首先要去找iasmigreader這個小工具，這個程式放在Windows 2008的光碟片內:

         \sources\dlmanifests\microsoft-windows-iasserver-migplugin\ 

2、將該程式複製到Windows 2003的目錄下(此範例放在c:\temp底下)，在cmd中切換到該目錄，輸入iasmigreader，開始進行匯出作業。

3、匯出成功後，會顯示出檔案放在”c:\windows\system32\ias\ias.txt”。

4、接下來到Windows 2008這台電腦，先確認NPS已安裝。

5、之後將”ias.txt”這個檔案複製到某資料夾(此範例放在c:\temp底下)。

6、到cmd，輸入 netsh nps import filename=”temp\ias.txt”，開始進行匯入作業。

7、匯入成功後，會出現以下訊息。(訊息中提到SQL的部分，參考後記)

8、回到NPS檢查，就可以發現原本在Windows 2003上的IAS設定，已經全部轉到NPS上了。

9、如果匯入的是新機器，且是不同名稱及IP，那Policy要砍掉重建。因為Policy會帶之前的舊機器的資料，在一台全新的機器上將不會有作用。

後記:

在微軟文件上有提到SQL的匯出，而IAS的預設值是文字檔。除非特別指定，否則不會用SQL做紀錄。

因此在IAS上有用SQL作記錄的人，須將SQL的記錄檔匯出(參考官方文件)，並匯入到NPS，這樣檔案才會一致。

以下是微軟的官方文件:

http://technet.microsoft.com/zh-tw/library/ee791819(v=ws.10).aspx

Windows2003無法修改帳戶原則問題

為了測試LDAP，架了一台Windows2003，並升級為DC。


當要修改”群組原則”內的”帳戶原則”時，卻發現密碼複雜度、長度、有效期…都變成灰色的無法修改。將DC降級之後，發現帳戶原則又可以修改了。

到網路上查詢原因，有一篇文章說DNS沒設定好所引起，還有一篇文章說升級為SP2就可以解決。當然，這兩篇都是牽拖。

找了好久，終於找到問題點。原來我修改的是”本機群組原則”，升級為DC後，要使用”網域安全性原則”。真是大白癡。

本機群組原則

網域安全性原則 

如何查看AD欄位屬性

在研究PHP撈AD資料過程當中，查AD的欄位屬性是一個大麻煩。以AD帳號來說，不含Exchange就有14個標籤類別，每個標籤底下有各自的欄位。這麼多的欄位，誰知道哪個欄位叫什麼名稱？

上網爬文後，查到微軟有個工具程式稱為LDP，可以解決這個問題。


這個工具放在Windows 2003光碟片，裡面的support\tools\suptools.msi這支程式，安裝完畢後就可以開始使用LDP了。

1. 按開始執行，輸入ldp並按Enter，就會跳出ldp的視窗。

 

2. 選擇ConnectionàConnect。

3. 輸入網域名稱，例如abc.com，然後按OK.

4. 右邊視窗出現一堆看不懂的東東，代表成功一半了。

 5.  接下來選擇Connection->Bind。

6. 輸入帳號 / 密碼，按OK.

7. 按ViewàTree。

8. 選擇你想查的DN，也就是資料範圍。

9. 左邊就是User的帳號，只不過都是以完整的DN名稱顯示。
點選User帳號，右邊就會出現這個帳號所有的資訊及對應的欄位名稱。例如:

•  cn:顯示名稱 
•  sn:Last Name 
•  title:職稱 
•  telephoneNumber:電話

其他欄位做對應查詢即可。

Windows 2003軟體派送

最近朋友在問Windows2003網域中軟體派送的問題，趁著這個機會將步驟寫出，也給自己以後忘記時的參考。網路上也有許多相關的文章，我以實例為例，並列出一些注意事項：

a.派送的軟體事先放在一個分享的資料夾，這個資料夾可以在AD本機上，也可以在任何儲存媒介上。因此在設定過程中，這個資料夾必須是以UNC路徑表示所在位置。

b.Windows2003只接受*.msi封裝的軟體，因此派送軟體前須先注意該軟體是否為msi格式。

c.它是利用GPO的功能來達成，因此要確定套用在正確的OU底下才會生效。一般安裝軟體是套用在電腦的OU。

接下來開始做設定:

1.首先在AD本機上建立一個分享的資料夾，名稱自取。在這個案例中，取名為Share。

2.因為在網域中的User都是屬於Domain Users，因此在”安全性”設定，必須將此群組加入，並賦予讀取的權利。

3.將欲派送的軟體，放到此資料夾。

4.接下來進入到AD管理畫面。

在此案例中，所有Client的電腦都放在"Computer"這個OU底下，因此對電腦隸屬的OU做派送即可。選好OU後，按滑鼠右鍵，選擇”內容”。

5.進入內容後，假設要派送Flash軟體到Client安裝：

  a.點選”群組原則”標籤。

  b.選擇”新物件”。

  c.給予一個名稱。

  d.點選這個名稱，然後按編輯。

6.接下來就進入GPO畫面，因為我們要對電腦做派送，因此選擇電腦設定==>軟體設定==>軟體安裝。在右邊畫面，按右鍵選擇新增==>封裝。

7.選擇欲派送的檔案。記得要使用UNC路徑，即使派送的檔案位於本機，也要使用UNC路徑。

8.選擇指派。

9.完成後，會出現以下畫面。(留意來源欄位，使用的是UNC路徑。)

10.GPO設完後大約要等90-120分鐘才會生效，若要馬上使用，到”執行”輸入”gpupdate”，就可以馬上生效。

11.接下來Client端重新開機後，就會自動安裝軟體。