![](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/sk_SK/312766e3df7f57c1f549da2dab216b36.png)
Integrácia počítačov Mac so službou Active Directory
Počítač Mac môžete nakonfigurovať na prístup k základným informáciám o užívateľských účtoch v doméne Active Directory so serverom Windows 2000 (alebo novšou verziou). Konektor Active Directory je uvedený v zozname na paneli Služby v Adresárovej utilite a generuje všetky atribúty požadované na autentifikáciu systému macOS zo štandardných atribútov v užívateľských účtoch Active Directory. Konektor podporuje aj pravidlá autentifikácie Active Directory vrátane zmeny hesiel, uplynutí platnosti, vynútených zmien a možností zabezpečenia. Keďže konektor podporuje tieto funkcie, v prípade, že chcete získať základné informácie o užívateľských účtoch, nemusíte robiť v doméne Active Directory žiadne zmeny schémy.
![Diagram zobrazujúci spôsob, akým sa Mac integruje s Active Directory.](https://help.apple.com/assets/664256E0F9FFA26F690A0B01/664256E3F9FFA26F690A0B07/sk_SK/349ecbfbfe8d3348ece6c5e2c66ffe9a.png)
Poznámka: Systém macOS sa nebude môcť pripojiť k doméne Active Directory bez funkčnej úrovne domény minimálne Windows Server 2008, pokiaľ explicitne nepovolíte „weak crypto“. Aj keď sú funkčné úrovne domény 2008 alebo novšie, správca môže explicitne špecifikovať dôveryhodnosť každej domény na používanie šifrovania Kerberos AES.
Ako Mac používa DNS na dotazovanie domény Active Directory
Systém macOS používa DNS (Domain Name System) na dotazovanie topológie lokálnej domény Active Directory. Používa Kerberos na autentifikáciu a protokol LDAPv3 (Lightweight Directory Access Protocol) na rozlíšenie užívateľov a skupín.
Keď je systém macOS plne integrovaný s Active Directory, užívatelia:
Podliehajú pravidlám hesiel domény danej organizácie
Používajú rovnaké osobné údaje na autentifikáciu a prístup k zabezpečeným zdrojom
Môžu sa im vydávať identity užívateľských a strojových certifikátov zo servera certifikátových služieb Active Directory
Môžu automaticky prechádzať priestor názvov DFS (Distributed File System) a pripájať sa k príslušnému základnému serveru SMB (Server Message Block).
Ďalšie informácie o pripojení k DFS bez vytvorenia väzby nájdete v informáciách o podpore priestoru názvov systému DFS (Distributed File System) nižšie.
Tieto nastavenia môžete nakonfigurovať aj pomocou objemu dát Adresár vo svojom riešení správy mobilných zariadení (MDM) a potom tento objem dát odovzdať do všetkých Macov vo vašej organizácii. Ďalšie informácie nájdete v téme Nastavenia objemu dát MDM Adresár.
Klienti Mac predpokladajú prístup s úplným čítaním k atribútom pridaným do adresára. Môže byť preto nevyhnutné zmeniť zoznam ACL (access control list) týchto atribútov tak, aby skupiny počítačov mohli tieto pridané atribúty prečítať.
Pravidlá hesiel domén
macOS v čase naviazania (a následne v pravidelných intervaloch) do domény Active Directory odosiela požiadavku na pravidlá hesiel. Tieto pravidlá sa uplatňujú pre všetky sieťové a mobilné účty na Macu.
macOS počas pokusu o prihlásenie, keď sú k dispozícii sieťové účty, požiada Active Directory o stanovenie časového intervalu zostávajúceho do povinnej zmeny hesla. Ak je heslo povinné zmeniť v priebehu najbližších 14 dní, prihlasovacie okno užívateľa podľa predvolených nastavení požiada o jeho zmenu. Ak užívateľ heslo zmení, táto zmena prebehne v Active Directory aj v mobilnom účte (ak je nastavený) a zároveň sa aktualizuje heslo v prihlasovacej kľúčenke. Ak užívateľ zmenu hesla odmietne, prihlasovacie okno bude zmenu vyžadovať až do dňa pred uplynutím jeho platnosti. Užívateľ, ak chce pokračovať, musí zmeniť heslo do 24 hodín. Správca systému macOS môže zadaním nasledujúceho príkazu v príkazovom riadku zmeniť predvolené hlásenie o uplynutí platnosti hesla: defaults write /Library/Preferences/com.apple.loginwindow PasswordExpirationDays -int <počet dní>
.
Poznámka: Systém macOS nepodporuje podrobné pravidlá pre heslá pomocou PSO (Password Settings Object) v Active Directory. Pri výpočte vypršania platnosti hesla sa používa iba predvolená doménová smernica.
Podpora pre priestor názvov DFS (Distributed File System)
Na Macoch prepojených so službou Active Directory systém macOS podporuje prechádzanie priestorov názvov súborového systému DFS (Distributed File System). Mac naviazaný na Active Directory vykoná požiadavku na DNS a doménové radiče v doméne Active Directory, čím sa automaticky vyrieši príslušný servera SMB (Server Message Block) pre konkrétny priestor názvov.
Pomocou funkcie Pripojiť na server vo Finderi môžete určiť úplný názov domény (FQDN) priestoru názvov DFS, ktorý obsahuje koreň systému DFS, ku ktorému sa má sieťový súborový systém pripojiť. Na Macu kliknutím na plochu otvorte Finder, v menu Prejsť vyberte príkaz Pripojiť k serveru a zadajte adresu smb://resources.betterbag.com/DFSroot.
macOS využije všetky dostupné lístky Kerberos a pripojí sa k základnému SMB serveru (Server Message Block) a ceste. Pri niektorých konfiguráciách Active Directory môže byť nutné do poľa Prehľadávať domény v konfigurácii DNS pre sieťové rozhranie zadať úplný názov domény Active Directory.
Tip: Ak je prostredie DFS nakonfigurované na použitie úplných názvov domén v odkazoch, môžete k zdieľaným prostriedkom v systéme DFS pristupovať a prechádzať ich aj bez vytvorenia väzby so službou Active Directory. Pokiaľ dokáže Mac riešiť názvy hostiteľov príslušných serverov, pripojenie bude úspešné bez potreby viazania Macu na adresár.