Доменная политика

Доменная политика устанавливает правила для всех учетных записей в домене, затрагивая такие сферы, как правила паролей, блокировка учетных записей, выбор уполномоченных безопасности, Kerberos-правила и т. д.

Если пароль пользователя долгое время неизменен, защищенность системы от несанкционированного доступа значительно снижается. Именно поэтому система должна принуждать пользователя к периодической смене пароля. Политика ведения учетных записей позволяет задать определенный срок действия пароля в пределах от 1 до 999 дней или назначить пароль постоянным. По умолчанию продолжительность действия пароля 42 дня.

По умолчанию длина пароля пользователя варьируется от 0 до 14 символов. Понятно, что при повышенных требованиях к защищенности системы пустой пароль недопустим. В этом случае администратор системы назначает минимальную длину пароля. Создавая новую учетную запись для пользователя, администратор может указать пароль произвольной длины, независимо от ограничения, заданного политикой ведения учетных записей. Однако если пароль изменяется пользователем после регистрации в системе, то параметры нового пароля должны точно соответствовать политике ведения учетных записей.

Ограничение минимально возможного срока изменения пароля пользователем целесообразно, например, если в системе работает много начинающих пользователей. Во-первых, определенный срок дает пользователям, недавно познакомившимся с Windows NT, возможность привыкнуть к особенностям защищенной работы и убедиться в необходимости помнить свой пароль. Ну а новичку, позабывшему свой пароль, тогда сможет помочь администратор,

Во-вторых, начинающий пользователь, сменив по истечении срока действия пароль, может захотеть вернуться к прежнему. Но сделать это и ослабить таким образом защищенность системы не позволит принудительная задержка. Это особенно эффективно, если установить параметр отслеживания уникальности пароля.

Минимальный период для разрешения смены пароля варьируется в пределах от 1 до 999 дней. По умолчанию он не ограничивается. Обычно, достаточно установить 14 дней.

Квотирование дискового пространства

Windows NT 5.0 — позволяет квотировать (ограничивать) дисковое пространство, предоставленное пользователям. Администраторам серверов файлов хорошо знакома ситуация, когда объем свободного пространства на дисках сервера «тает» на глазах, «съедаемый» пользователями сети. Можно устанавливать жесткие административные меры наказания, можно взывать к совести, но всегда найдутся сотни аргументов типа «эта информация просто бесценна и жизненно необходима», «она полежит на сервере всего денек» и т. п. Можно дополнительно устанавливать жесткие диски в надежде что «всех не передавишь», но и это дает только временную передышку. Радикальное решение — принудительное ограничение пользователей в их притязаниях на свободное пространство. В предыдущих версиях Windows NT такая возможность штатно отсутствовала, что в большинстве случаев приводило к использованию продуктов сторонних фирм. Теперь квотирование выполняется относительно каждого пользователя и каждого дискового тома. Предположим, что пользователи имеют доступ к ресурсу \\Server\Public. Для пользователей этого ресурса установлено ограничение в 5 Мб. Если пользователь исчерпает свой лимит в персональном каталоге \\Server\Public\Sergey и попытается создать (или скопировать) файл в персональный каталог другого пользователя, то система воспрепятствует этому. В зачет использованного дискового пространства идут только файлы, которыми пользователь обладает. Если руководитель группы создаст файл, а остальные члены группы будут его редактировать, то ответственность за используемое пространство по-прежнему будет возложена на руководителя. В результате может сложиться парадоксальная ситуация: владелец файла не сможет его редактировать, в то время как остальные сотрудники не будут подвергаться каким-либо ограничениям. С другой стороны, если некий пользователь вступит во владение файлом объемом 5 Кб, то эта величина добавится к объему, учитываемому для данного пользователя. Так как квотирование выполняется относительно каждого тома, то система отслеживает использование диска, независимо от того, где этот том расположен. Так, например, если имеются два ресурса \\Server\Public и \\Server\Users, то занимаемый объем для каждого из них будет контролироваться отдельно, даже в том случае, если оба этих ресурса расположены на одном разделе диска. Что произойдет, если пользователь превысит установленную квоту? Это зависит от конфигурации системы. В любом случае в системный журнал будет внесена соответствующая запись. Записи ведутся в хронологическом порядке, однако по умолчанию в журнале не фиксируется, какие пользователи в настоящий момент превысили предел. Если администратор задал соответствующий параметр, то любая попытка пользователя записать что-либо после превышения лимита закончится сообщением об отказе в доступе по причине отсутствия свободного пространства. Квотирование диска разрешается, если: • раздел отформатирован в NTFS версии 5.0; • есть соответствующие административные полномочия.