Книга Active directory

Групповая политика указывает клиенту включить эту группу в его локальную группу Администраторы (Administrators). Эта методика обеспечивает возможность включения других пользователей и группы в локальную группу администраторов отдельных систем. Данный параметр групповой политики также является кумулятивным. Если множество объектов G P O конфигурируют различные принципалы безопасности как члены локальной группы Администраторы (Administrators), все они будут добавлены в эту группу.

Чтобы в полной мере контролировать локальную группу Администраторы (Administrators), выполните следующие действия.

1. В редакторе управления групповыми политиками (Group Policy Management Editor) откройте узел Конфигурация компыотера\Г1олитики\Конфигурация

2.Щелкните правой кнопкой мыши узел Группы с ограниченным доступом и выполните команду Добавить группу (Add Group).

3.Введите имя группы Администраторы (Administrators) и щелкните ОК. Откроется диалоговое окно Свойства (Properties).

4.Напротив секции Члены этой группы (Members Of This Group) щелкните кнопку Добавить (Add).

5.Щелкните кнопку Обзор (Browse) и введите имя группы, которую хотите сделать единственным членом группы Администраторы, например CONTOSO\CnpaeKa, и щелкните ОК.

6.Вновь щелкните ОК, чтобы закрыть диалоговое окно Добавление участника (Add Member). Диалоговое окно свойств групповой политики должно выглядеть, как показано на рис. 7-2.

7.Вновь щелкните ОК, чтобы закрыть диалоговое окно Свойства (Properties).

При использовании параметра членства в группе ( M e m b e r s ) политики групп с ограниченным доступом итоговое членство в указанной группе определяется списком Участники (Members). Выполнив указанные шаги, вы создадите объект GPO, который авторитарно управляет группой Администраторы (Administrators). Когда компьютер применяет этот объект G P O , в локальную группу администраторов добавляются участники, указанные объектом GPO, и удаляются все участники, не указанные GPO, включая группу Администраторы домена (Domain Admins). В группе администраторов остается только локальная учетная запись Администратор (Administrator), поскольку она является постоянным членом группы администраторов, которую нельзя удалить.

Контрольный вопрос

• Вам нужно добавить группу в локальную группу Администраторы (Administrators) на локальных компьютерах, не удаляя учетные записи, уже включенные в данную группу. Опишите политику групп с ограниченным доступом, которую следует создать для выполнения этой задачи.

Ответ на к о н т р о л ь н ы й вопрос

•Создать политику групп с ограниченным доступом для добавляемой группы. Использовать параметр членства группы Эта группа является членом в (This Group Is A Member Of) и указать группу Администраторы (Admi-

•nistrators).

Практические занятия. Делегирование членства с помощью групповой политики

В приведенных далее упражнениях предлагается использовать групповую политику для делегирования членства группы Администраторы (Administrators). Вначале необходимо создать объект G P O с параметром политики групп с ограниченным доступом, чтобы включить группу Справка в локальную группу Администраторы во всех клиентских системах, затем — GPO, который добавляет группу Поддержка NYC в группу Администраторы клиентов в подразделении NYC. И, наконец, проверить, что в подразделении NYC обе группы Справка и Поддержка NYC включены в локальную группу администраторов.

Для выполнения упражнений в домене contoso.com следует создать следующие объекты:

•подразделение первого уровня Администраторы с дочерним подразделением Группы администраторов;

•глобальную группу безопасности Справка в дочернем подразделении Группы администраторов подразделения Администраторы;

•глобальную группу безопасности Поддержка NYC в дочернем подразделении Группы администраторов подразделения Администраторы;

•подразделение первого уровня Клиенты;

•дочернее подразделение NYC в подразделении Клиенты;

•объект компьютера D E S K T O P l O l в подразделении NYC.

Упражнение 1. Д е л е г и р о в а н и е администрирования всех клиентов в домене

Создайте G P O с параметром политики групп с ограниченным доступом, который добавляет группу Справка в локальную группу Администраторы (Administrators) на всех клиентских компьютерах.

1. В консоли Управление групповой политикой (Group Policy Management) разверните узел Л е с \ Д о м е н ы \contoso . com (Forest\Domains\contoso. com). Выберите контейнер Объекты групповой политики (Group Policy Objects).

2.Щелкните правой кнопкой мыши контейнер Объекты групповой политики и выполните команду Создать (New).

3. ]В поле И м я (Name) введите имя Корпоративная справка и щелкните ОК.

4. Щелкните правой кнопкой мыши созданный объект GPO и выполните команду Изменить (Edit).

5.В редакторе управления групповыми политиками (Group Policy Management Editor) откройте узел Конфигурация компыотера\Политики\ Конфигурация Win dows\П ар а метр ы безопасности\Группы с ограниченным доступом (Computer Configuration\Policies\Windows Settings\Security Settings\Restricted Groups).

6.Щелкните правой кнопкой мыши узел Группы с ограниченным доступом и выполните команду Добавить группу (Add Group).

7.Щелкните кнопку Обзор (Browse), в диалоговом окне Выбор: "Группы"

(Select Groups) введите имя группы CONTOSO\Cnpaem и щелкните ОК. 8. Закроите диалоговое окно Добавление группы (Add Group), щелкнув ОК.

9.Напротив секции Эта группа является членом в (This Group Is A Member Of) щелкните кнопку Добавить (Add).

10.Введите имя группы Администраторы (Administrators) и щелкните ОК. Диалоговое окно свойств групповой политики должно выглядеть так, как показано на рис. 7-2.

11.Вновь щелкните ОК, чтобы закрыть диалоговое окно Свойства (Properties).

12.Закройте редактор управления групповыми политиками.

13.В консоли Управление групповой политикой (Group Policy Management) щелкните правой кнопкой мыши подразделение Клиенты и выполните команду Связать существующий объект GPO (Link An Existing GPO) .

14.Выберите объект групповой политики Корпоративная справка, щелкните ОК.

Упражнение 2. Делегирование администрирования поднабора клиентов в домене

Создайте объект GPO с параметром политики групп с ограниченным доступом, который добавляет группу Поддержка NYC в группу Администраторы (Administrators) на всех клиентских компьютерах в подразделении NYC.

1.В консоли Управление групповой политикой (Group Policy Management) разверните узел Л ес\Домены\соп toso.com (Forest\Domains\contoso.com). Выберите контейнер Объекты групповой политики (Group Policy Objects).

2.Щелкните правой кнопкой мыши контейнер Объекты групповой политики

ивыполните команду Создать (New).

3.В поле Имя (Name) введите имя Поддержка Ныо-Йорк и щелкните ОК.

4.Щелкните правой кнопкой мыши созданный объект G P O и выполните команду Изменить (Edit).

5.Повторите шаги 5-12 упражнения 1, только в шаге 7 укажите имя группы

CONTOSO \Поддержка NYC.

6.В консоли управления групповой политикой щелкните правой кнопкой мыши подразделение Юшенты\ЫУС и выполните команду Связать существующий объект GPO (Link An Existing GPO).

7.Выберите объект групповой политики Поддержка Ныо-Йорк и щелкните ОК.

в систему с помощью учетной записи администратора домена и откройте консоль Управление компьютером (Computer Management) в группе Администрирование (Administrative Tools) панели управления. В консоли Управление компьютером разверните узел Локальные пользователи и группы (Local Users And Groups), а затем в папке Группы (Groups) откройте группу Администраторы (Administrators). В ней должны быть перечислены следующие участники:

•группа CONTOSO \ C n p a B K a , примененная объектом G P O Корпоративная справка;

•группа СОМТОБОХПоддержка NYC, п р и м е н е н н а я объектом G P O Поддержка Ныо-Йорк;

• группа Администраторы домена (Domain Admins), которая добавляется в группу Администраторы (Administrators) при присоединении компьютера

к домену;

1локальная учетная запись Администратор (Administrator), по умолчанию являющаяся членом группы администраторов и которую нельзя удалить.

Резюме

•Для делегирования поддержки компьютеров в домене требуется управлять членством групп Администраторы (Administrators) в этих системах.

•Объекты GPO, использующие параметр членства группы ( M e m b e r Of) по-

литик групп с ограниченным доступом, могут добавлять доменные группы в локальную группу Администраторы (Administrators). Параметры членства группы (Member Of) являются кумулятивными, так что в г р у п п у администраторов многие объекты G P O могут добавлять различные группы.

•Объект GPO, использующий параметр членства в группё"(Members) политик групп с ограниченным доступом, может определить членство группы Администраторы (Administrators). Параметры членства в группе (Members) являются окончательными и авторитарными. Если применено несколько объектов GPO, то членство в группе Администраторй определяется лишь

объектом GPO с наивысшим приоритетом.

Закрепление материала

Приведенные далее вопросы предназначены для проверки знаний, порученных на занятии 1 (эти вопросы содержатся и на сопроводительном компакт-диске).

ПРИМЕЧАНИЕ Ответы

Ответы на зти вопросы с пояснениями, почему тот или иной вариант ответа является правильным или неправильным, вы найдете в разделе «Ответы» в конце книги.

1. Домен contoso.com содержит объект групповой политики Корпоративная справка, связанный с подразделением Клиенты, а также объект групповой политики Поддержка Сидней, связанный с дочерйим подразделением Сидней в подразделении Клиенты. Объект G P O Корпоративная справка включает политику групп с ограниченным доступом для группы CONTO - SO\CnpaBKa, которая указывает, что эта группа является членом группы

включает п о л и т и к у г р у п п с ограниченным доступом, которая указывает, что эта группа я в л я е т с я ч л е н о м г р у п п ы Администраторы . Компьютер с именем

2 . Домен contoso . com с о д е р ж и т о б ъ е к т G P O Корпоративная справка, связанный с п о д р а з д е л е н и е ^ К л и е н т ы , а . т а к ж е объект G P O Поддержка Сидней, связанный с д о ч е р н и м п о д р а з д е л е н и е м С и д н е й в подразделении Клиенты.

Г.Справка.

Д. П о л ь з о в а т е л и у д а л е н н о г о рабочего стола ( R e m o t e Desktop Users).

3 . Домен contoso . com с о д е р ж и т о б ъ е к т G P O К о р п о р а т и в н а я справка, связанный с п о д р а з д е л е н и е м К л и е н т ы , а т а к ж е объект G P O Поддержка Сидней,

C O N T O S O \ C n p a B K a . О б ъ е к т G P O П о д д е р ж к а Сидней включает политику групп с о г р а н и ч е н н ы м д о с т у п о м д л я г р у п п ы С О Ы Т 0 5 0 \ П о д д е р ж к а Сидней, где указано, что эта группа я в л я е т с я членом группы Администраторы (Administrators). В п о д р а з д е л е н и и С и д н е й к домену присоединяется компьютер D E S K T O P 2 3 4 . К а к а я из с л е д у ю щ и х учетных записей будет членом группы А д м и н и с т р а т о р ы ( A d m i n i s t r a t o r s ) на компьютере D E S K T O P 2 3 4 ? (Укажите все варианты . )

А. Администратор ( A d m i n i s t r a t o r ) .

Б. Администраторы домена (Domain Admins).

Занятие 2. Управление параметрами безопасности

Безопасность является изначальной областью задач администраторов Windows. Система Windows Server 2008 содержит многочисленные параметры, которые влияют на запуск служб, открытие портов, разрешения передачи входящих и исходящих сетевых пакетов, права и разрешения доступа пользователей, а также аудит активности в системе. Существует огромное количество параметров, которыми можно управлять, но, к сожалению, универсальной формулы для применения идеальной конфигурации сервера нет. Соответствующая конфигурация безопасности сервера зависит от выполняемых им ролей, операционных систем в среде и политик безопасности, которые сами по себе зависят от нормативов, принятых вне организации.

Поэтому требуется определить и отконфигурировать параметры безопасности, необходимые для серверов организации, и*. подготовит*ьоя к управлению этими параметрами путем централизации и оптимизации конфигурации безопасности. В Windows Server 2008 предусмотрено несколько механизмов, с помощью которых конфигурируются параметры.безопасности-в одной или нескольких системах. На этом занятии мы обсудим эти механизмы и их взаимодействие.

Изучив материал этого занятия, вы сможете:

SКонфигурировать параметры безопасности на компьютере с помощью локальной политики безопасности.

SСоздавать и применять шаблоны безопасности для управления конфигурацией безопасности.

SАнализировать конфигурацию безопасности на основе шаблонов безопасности.

S Создавать, редактировать и применять политики безопасности с помощью

мастера настройки безопасности.

«

У Развертывать конфигурацию безопасности с помощью групповой политики.

Продолжительность занятия —• около 60 мин.

Настройка локальной политики безопасности

Каждый сервер Windows Server 2008 поддерживает набор параметров безопасности, которыми можно управлять с помощью локального объекта GPO. Локальный объект групповой политики конфигурируется с помощью оснастки Редактор объектов групповой политики (Group Policy Object Editor) в консоли Локальная политика безопасности (Local Security Policy). Доступные категории параметров политики показаны на рис. 7-5.

На этом занятии мы рассмотрим механизмы настройки и управления параметрами безопасности, а не сами параметры. Многие из этих параметров,

' 3 0 6 Параметры групповой политики Глава 7

Конфигурацией лучше всего управлять с п о м о ш ы о групповой п о л и т и к и домена, а не путем настройки локальной групповой п о л и т и к и на к а ж д о й машине; это относится и к контроллерам домена. О б ъ е к т г р у п п о в о й п о л и т и к и Default Domain Controllers Policy создается при п о в ы ш е н и и ранга сервера до первого контроллера в домене. Этот объект с в я з ы в а е т с я с п о д р а з д е л е н и е м D o m a i n Controllers и должен использоваться для у п р а в л е н и я о с н о в н ы м и п а р а м е т р а м и безопасности всех контроллеров в домене с ц е л ы о с о г л а с о в а н н о й настройки .

Управление конфигурацией безопасности с помощью шаблонов безопасности

Вторым механизмом управления к о н ф и г у р а ц и е й б е з о п а с н о с т и я в л я е т с я шаб-

бражают эти параметры в интерфейсе, где к о н ф и г у р а ц и ю б е з о п а с н о с т и можно сохранить в качестве файлов и развертывать п р и н е о б х о д и м о с т и . С п о м о щ ь ю шаблона безопасности также м о ж н о а н а л и з и р о в а т ь соответствие т е к у щ е й конфигурации компьютера требованиям организации .

- l a l x i

Рис. 7-7. Параметры безопасности в шаблоне безопасности

Хранение конфигурации безопасности в ш а б л о н а х б е з о п а с н о с т и обеспечивает несколько преимуществ. Н а п р и м е р , п о с к о л ь к у эти ш а б л о н ы представляют собой открытые текстовые ф а й л ы , с н и м и м о ж н о работать вручную, как и с любым текстовым файлом, при необходимости в ы р е з а я и в с т а в л я я секции. Кроме того, шаблоны у п р о щ а ю т х р а н е н и е р а з л и ч н ы х т и п о в к о н ф и г у р а ц и и безопасности для применения разных у р о в н е й безопасности к компьютерам, выполняющих различные роли.

Далее описаны типы политики и параметров, к о т о р ы е м о ж н о конфигури -

с п о м о щ ь ю о б ъ е к т о в г р у п п о в о й п о л и т и к и Active Directory, оснастки Анализ и настройка б е з о п а с н о с т и ( S e c u r i t y Configuration and Analysis), а также утилиты Secedit.exe. П р и с в я з ы в а н и и ш а б л о н а безопасности с объектом Active Directory параметры в ш а б л о н е в к л ю ч а ю т с я в объект G P O , связанный с объектом в Active Directory. Ш а б л о н б е з о п а с н о с т и т а к ж е м о ж н о применить непосредственно к компьютеру — в этом случае п а р а м е т р ы в шаблоне будут включены в локальные политики к о м п ь ю т е р а . На э т о м з а н я т и и мы рассмотрим все эти способы.

Оснастка шаблонов безопасности

Для работы с ш а б л о н а м и б е з о п а с н о с т и используется оснастка Шаблоны безопасности ( S e c u r i t y T e m p l a t e s ) . По у м о л ч а н и ю в W i n d o w s Server 2008 не включена консоль с этой о с н а с т к о й , т а к что ее н у ж н о создать вручную с помощью

мыши узел, п р е д с т а в л я ю щ и й п у т ь п о и с к а ш а б л о н а (например, C : \ U s e r s \ Documents\AflMHHHCTpaTop\Security\Templates) и выполните команду Создать шаблон (New Template) . Вы м о ж е т е создать шаблон с текущей конфигурацией

сам по себе шаблон — это т е к с т о в ы й ф а й л , его синтаксис довольно сложный. Использование оснастки г а р а н т и р у е т и з м е н е н и е параметров с применением корректного синтаксиса . И с к л ю ч е н и е м из этого правила является добавление параметров реестра, к о т о р ы е еще не перечислены в секции шаблона Локальные п о л и т и к и \ П а р а м е т р ы безопасности (Local Policies\Security Options). Как только станут и з в е с т н ы м и н о в ы е п а р а м е т р ы безопасности, конфигурируемые