Administracja Windows Server Kielce

Co się dzieje z laptopem, który przez pół roku nie widzi kontrolera domeny?

Formalnie działa, praktycznie odkleja się od firmy. System wpuszcza kierownika na pulpit dzięki buforowanym poświadczeniom, czyli zapamiętanemu skrótowi ostatniego udanego logowania, i to wystarcza do pracy na plikach leżących lokalnie. Reszta rozjeżdża się po cichu.

Hasło konta dochodzi do terminu ważności i komunikat o zmianie pojawia się na komputerze, który nie ma jak dogadać się z kontrolerem, więc kończy się to zablokowaniem konta w najgorszym możliwym tygodniu. Zasady grupy nie odświeżają się, bo nie mają skąd, więc mapowany dysk projektowy albo drukarka w kontenerze znikają po pierwszej zmianie w konfiguracji zrobionej w centrali. Relacja zaufania między komputerem a domeną też ma swój okres odnowienia i przy długiej nieobecności potrafi się rozjechać.

Wniosek z tego jest prosty i wyznacza sposób, w jaki ustawiamy domenę w kieleckich firmach: komputer musi widzieć kontroler regularnie, choćby przez kilka minut w tygodniu, i musi robić to sam, bez proszenia użytkownika o cokolwiek.

Dlaczego drugi kontroler w kontenerze nie rozwiązuje tego problemu?

Bo problem nie leży w odległości do kontrolera, tylko w tym, że sprzęt jeździ. Drugi kontroler ma sens w oddziale, który istnieje latami, ma własne łącze, własną szafę i kilkanaście stałych stanowisk. Zaplecze budowy istnieje jeden sezon, jest przenoszone razem z inwestycją, a bywa, że mieści cztery osoby.

Postawienie tam kontrolera oznaczałoby serwer trzymający pełną kopię katalogu firmy w kontenerze zamykanym na kłódkę, replikację przez łącze komórkowe i procedurę wycofania go z domeny po zakończeniu budowy, o której na pewno nikt nie pamięta. Ryzyko jest większe niż korzyść.

Rozwiązaniem, które faktycznie działa w tych warunkach, jest zestawiany automatycznie tunel do centrali i logowanie działające także wtedy, gdy tunel akurat nie wstał. Wtedy zaplecze budowy nie ma nic do zdemontowania poza routerem, a domena zostaje tam, gdzie było.

Jak układamy uprawnienia, gdy katalog żyje dokładnie tyle, co inwestycja?

Struktura oparta na działach sprawdza się w firmie, w której ludzie siedzą w tych samych pokojach przez dekadę. W firmie prowadzącej kilka budów naraz rozsypuje się po roku, bo ten sam projektant pracuje przy trzech inwestycjach, a każda ma innego kierownika, innego inwestora i inny krąg osób z zewnątrz.

Budujemy więc grupy odpowiadające inwestycjom, a nie stanowiskom, i to do nich przypisujemy dostęp do katalogów. Włączenie kogoś do budowy jest wtedy jedną zmianą, a jej zakończenie jedną drugą. Uprawnienia nadajemy wyłącznie na grupach, nigdy imiennie na katalogu, bo dostęp przypisany do nazwiska przeżywa zwykle i inwestycję, i pracownika.

Odbiór budowy uruchamia domknięcie: dostęp firm zewnętrznych gaśnie, katalog przechodzi w tryb tylko do odczytu, a po ustalonym czasie schodzi do archiwum na osobnym wolumenie. Cała ta procedura mieści się na jednej stronie i jest częścią opisu środowiska, żeby wykonał ją także ktoś, kto akurat zastępuje prowadzącego.

Kto dostaje konto, gdy przy budowie pracuje konsorcjant i nadzór?

Ludzie spoza firmy pojawiają się w dokumentacji budowlanej stale, i to nie na zasadzie wyjątku. Inspektor nadzoru chce wglądu w rysunki i protokoły, partner konsorcjum potrzebuje swojej części dokumentacji, projektant wrzuca kolejne wersje, a inwestor prosi o dostęp do zdjęć z odbiorów.

Zasada jest jedna: każdy z nich dostaje własne konto, nigdy wspólne, nigdy konto Waszego pracownika pożyczone na tydzień. Do tego dochodzą trzy ograniczenia, które ustawiamy zawsze: zakres zawężony do jednej inwestycji, drugi składnik przy logowaniu i data wygaśnięcia wpisana w chwili zakładania konta. Konto wygasające samo jest jedynym rodzajem konta, o którym nikt nie musi pamiętać.

Skąd wiemy, że zasady grupy dotarły do komputera stojącego w kontenerze?

Z raportu, a nie z założenia. Polityka utworzona w konsoli jest dopiero zamiarem, obowiązuje zaś dopiero wtedy, gdy komputer ją pobrał i zastosował. Przy sprzęcie pracującym w terenie odstęp między jednym a drugim liczy się czasem w tygodniach.

Co sprawdzamy	Jak często	Co robimy przy odchyleniu
Ostatnie zastosowanie zasad grupy na stacji	co tydzień	wymuszenie odświeżenia przy pierwszym połączeniu
Data ostatniego logowania do domeny	co tydzień	kontakt do użytkownika i sesja zdalna z tunelem
Ważność hasła konta użytkownika	codziennie	ostrzeżenie na 14 dni przed terminem
Relacja zaufania komputera z domeną	co tydzień	odnowienie zdalne, bez przywożenia sprzętu
Stan szyfrowania dysku i klucza odzysku	co miesiąc	uzupełnienie klucza w katalogu przed wyjazdem
Replikacja między kontrolerami w centrali	co godzinę	diagnoza tego samego dnia roboczego
Kolejka aktualizacji na stacjach z terenu	co tydzień	nadrobienie zaległości w oknie po powrocie

Ostatnie dwa wiersze dotyczą sprzętu, nie serwera, ale trafiają do tego samego raportu. Domena jest tak dobra, jak jej najsłabiej pilnowany komputer, a przy pracy rozproszonej to zawsze będzie ten, który najdłużej nie zaglądał do biura.

Które role warto zdjąć z tego serwera, a które zostawić w Kielcach?

Poczta w małej firmie budowlanej prawie zawsze wypada lepiej w Microsoft 365 niż na własnej maszynie, bo dostęp z telefonu na budowie ma tam działać domyślnie, a nie po konfiguracji tunelu. Katalog ofertowy i dokumenty, przy których pracują dwie osoby, też dobrze znoszą przeniesienie do chmury.

Serwer plików z modelami zostaje natomiast na miejscu i mówimy to wprost, choć oznacza to jedną maszynę więcej na naszej fakturze. Otwieranie plików projektowych ważących gigabajty przez łącze wygląda źle nawet przy dobrym internecie, a projektant, który czeka na otwarcie modelu, znajdzie sposób, żeby skopiować go sobie na pulpit. Tak powstaje druga, nieoficjalna wersja dokumentacji, i to jest gorszy problem niż koszt serwera.

Warstwę hostów pod tymi maszynami opisuje wirtualizacja serwerów, maszyny linuksowe stojące obok domeny administracja serwerami Linux, a całość opieki administracja serwerami. Rachunek dla własnej liczby maszyn sprawdzicie w kalkulatorze.

Treść sprawdzona i zaktualizowana: 14 sierpnia 2026