Использование Group Policy для управления клиентскими и серверными машинами

Обработка и наследование при использовании Group Policy

Прежде чем объединять объекты GPO и связывать их со структурой Active Directory, вам нужно понять, как происходит обработка с помощью Group Policy и каким образом наследование в этой иерархической структуре влияет на выбор настроек, которые применяются к пользователям и компьютерам. На самом деле понимание обработки и наследования дает вам намного больше возможностей в управлении и делает Group Policy еще более гибким и целенаправленным средством.

Объекты GPO можно привязывать (по уровням) к сайтам, доменам или организационным единицам (OU); вы можете, например, используя GPMC, связать один GPO со всеми этими тремя уровнями или просто сохранить его и затем связывать его по отдельности с каждым из них в форме уникальных экземпляров GPO. Вы можете также связать в целях управления любое количество объектов GPO с одним сайтом, доменом или OU.

Объекты GPO обладают свойствами наследования в Active Directory и накопления. Они также влияют на все компьютеры и на всех пользователей в соответствующем контейнере Active Directory. На клиентских компьютерах Windows 2000, Windows XP Professional или Windows Server 2003 объекты GPO обрабатываются в следующем порядке.

Таким образом, первые настройки, применяемые при загрузке или входе, берутся из локального объекта (LGPO), который вы конфигурируете на уровне отдельной машины. Но зачем это нужно, если вы используете Group Policy? Это может потребоваться разве что для применения каких-то особых настроек к машине конкретного пользователя, например, начальника, которому требуется что-то, недоступное никому другому (и при этом нужно проследить, чтобы эта настройка не переопределялась следующими по порядку объектами GPO). После LGPO обрабатываются GPO, привязанные к сайтам, затем - к доменам, затем - к родительским OU и, наконец, к дочерним OU различных уровней внутри этих родительских OU.

Например, предположим, что вы присоединяете три объекта GPO - один к сайту (GPO1), один к домену в этом сайте (GPO2) и один к OU в этом домене (GPO3), - а также конфигурируете определенную машину с помощью LGPO. Чтобы сделать этот пример более интересным, предположим, что некоторые настройки конфигурируют компьютеры противоречивым образом (например, дают различные настройки рабочего стола или безопасности). При загрузке на клиентской машине сначала обрабатывается LGPO, затем - GPO1, затем - GPO2 и затем - GPO3. Все, что имеется в GPO3, получает приоритет по сравнению с тем, что обработано в GPO2, и затем по цепочке в GPO1 и в LGPO, поэтому вы должны внимательно следить за тем, что используется объектами GPO вашей организации, какие настройки могут оказаться конфликтными (т.е. переопределять ранее определенные настройки), а также должны тестировать новые GPO, прежде чем направлять их в эксплуатируемую среду. Если вы присоединяете несколько GPO к одной OU, то можете задать порядок обработки этих GPO, добавляя еще один уровень проверки.

Используйте средства Group Policy Modeling и Group Policy Results, описанные ниже в этой лекции, чтобы определить, имеются ли какие-то конфликты, когда выполняется привязка нового GPO.

Как вы можете ожидать, объекты GPO, присоединенные к определенному уровню иерархии Active Directory, не влияют на компьютерные и пользовательские учетные записи, которые находятся выше в этой иерархии. Например, если OU NYHR находится ниже OU New York Users и вы присоединяете какой-либо GPO к OU NYHR, то этот GPO не влияет на компьютерные и пользовательские объекты в OU New York Users.

Настройки GPO, присоединенного к сайту, распространяются на все домены (леса) в пределах этого сайта и наследуются всеми доменами и OU внутри этого сайта согласно иерархии Active Directory. Таким образом, репликация нового присоединенного GPO на каждый контроллер домена выполняется в соответствии с обычным расписанием репликации, поэтому вы можете наблюдать некоторую задержку, прежде чем будут полностью реализованы настройки GPO, присоединенного к сайту.

Настройки GPO, присоединенного к домену, распространяются на всех пользователей и все компьютеры в этом домене и наследуются всеми OU внутри этого домена. Если этот домен охватывает несколько сайтов, то репликация данного GPO на удаленные контроллеры домена происходит по расписанию межсайтовой репликации; по возможности старайтесь избегать этой ситуации. Очевидно, что присоединенные к домену объекты GPO не наследуются между доменами; но вы можете присоединять один GPO к нескольким доменам. Такие GPO применяются из исходного домена GPO к клиентским компьютерам в присоединенном домене при входе пользователя или при загрузке. В такой ситуации тоже старайтесь просто дублировать GPO в каждом домене и затем присоединяйте эти дубликаты внутри их локальных доменов.

Имеются два специальных объекта GPO, которые присоединяются к каждому домену, когда происходит установка первого контроллера домена и когда администратор выполняет первый вход. Это GPO Default Domain Policy (Политика домена по умолчанию) и GPO Default Domain Controller Policy (Политика контроллера домена по умолчанию). Эти GPO содержат политики Account Policy (Политика учетных записей), Password Policy (Политика паролей), Account Lockout Policy (Политика блокировки паролей) и Kerberos Policy, которые реализуются контроллерами домена. Не изменяйте и не удаляйте эти GPO.

Настройки объекта GPO, присоединяемого к OU, применяются ко всем пользователям и компьютерам в этой OU и наследуются всеми пользователями и компьютерами в любых дочерних OU этой OU. Присоединение объектов GPO к организационным единицам действительно помогает применять настройки к конкретным группам, отделам организации или наборам пользователей, включаемых в контейнеры нижнего уровня Active Directory. Например, вы можете сгруппировать всех пользователей New York Human Resources в одну OU с именем NYHR (как в нашем предыдущем примере), которая подчинена родительской OU с именем New York Users. Присоединяя GPO с настройками, подходящими для группы, которая определяется этой OU, вы можете снабдить этих пользователей программным обеспечением, настройками безопасности и настройками рабочего стола, необходимыми для их работы, в то время как остальные пользователи домена получают присоединенный к этому домену объект GPO, в котором нет этого ПО или настроек рабочего стола.

Когда происходит обработка объектов GPO

Расширения Group Policy вызываются программой Winlogon при следующих событиях.

Фильтрация в Group Policy

Вы можете использовать фильтрацию в объекте GPO, чтобы он применялся только к членам определенных групп или чтобы управлять тем, как применяются объекты GPO. Используя иерархию обработки Active Directory и используя возможности Security Filtering и WMI Filtering, вы можете целенаправленно применять настройки GPO и управлять их поведением без необходимости создания и управления большим числом объектов GPO.

Security Filtering (Фильтрация субъектов безопасности)

Security Filtering используется, чтобы указывать, какие субъекты безопасности в присоединенном контейнере Active Directory получат настройки объекта GPO. Вы не можете применить Security Filtering к какой-либо одной настройке Group Policy, а только ко всему объекту GPO.

Для фильтрации GPO по группе безопасности добавьте группу в секции Security Filtering вкладки Scope (Область действия) в консоли GPMC. В поле Enter The Object Name To Select (Для выбора введите имя объекта) введите имя группы безопасности, пользователя или компьютера, которых хотите добавить к фильтру безопасности (Security Filter).

Подробнее об использовании Security Filtering см. в оперативной справке по GPMC.

WMI Filtering

WMI (Windows Management Instrumentation) Filtering используется для управления тем, где применяются объекты GPO. Вы можете присоединить GPO к одному фильтру WMI (WMI Filter), который оценивается на клиентском компьютере во время обработки GPO. Если фильтр WMI дает значение true, то применяется этот GPO. Фильтры WMI игнорируются машинами с Windows 2000 и более ранними операционными системами, поэтому объекты GPO всегда применяются к ним независимо от WMI Filtering. WMI может предоставлять вам такие данные о компьютере, как конфигурация оборудования, объем свободного пространства на диске, установленное ПО, пользовательские настройки, информация реестра и многое другое.

Вы можете использовать WMI Filtering только при наличии хотя бы одного контроллера домена Windows Server 2003. В противном случае вы не увидите секцию WMI Filtering во вкладке Scope для объектов GPO и элемента WMI Filtering под доменом в консоли GPMC.

Подробнее об использовании WMI Filtering см. в оперативной справке по GPMC.

Объекты Group Policy

Настройки Group Policy, которые вы создаете, содержатся в объекте Group Policy (GPO), который передает затем эти настройки пользователям и компьютерам в присоединенных контейнерах Active Directory. Объекты GPO хранятся на уровне домена. Информация, содержащаяся в GPO, хранится в контейнере Group Policy в Active Directory и в шаблоне Group Policy на томе Sysvol каждого контроллера домена. Каждое из этих хранилищ имеет свое расписание и метод репликации. Обязательно прочитайте оперативную справочную информацию по Group Policy, чтобы получить подробные сведения по устранению проблем, включая вопросы репликации.

Второй тип GPO - это LGPO (локальный GPO), который имеется на каждом компьютере, даже если вы не конфигурировали этот GPO. Объекты LGPO не присоединяются к каким-либо контейнерам Active Directory. Если у вас нет необходимости к какой-то особой конфигурации на конкретных компьютерах, то вы можете не затрагивать объекты LGPO. К тому же они дают намного меньше возможностей, чем объекты GPO.

По мере роста числа настроек и скриптов, которые содержат объекты GPO, они увеличиваются в размерах и используют более весомую долю пропускной способности сети. С ростом числа присоединяемых GPO доля используемой пропускной способности тоже увеличивается, хотя это менее существенно, чем увеличение количества настроек и скриптов, передаваемых каждым GPO. Объекты LGPO не влияют на пропускную способность сети.

Чтобы создать GPO с помощью бесплатной консоли GPMC, щелкните правой кнопкой на Group Policy Objects в домене, где вы хотите создать этот GPO, и затем выберите пункт New (Создать).

Редактирование объектов Group Policy

Вы можете легко создать или редактировать GPO, но не так-то просто определить, как конфигурировать все эти сотни опций. Открыв только что созданный GPO, вам нужно выбрать одну из этих настроек; если она находится в секции Administrative Templates (Административные шаблоны) данного GPO, то вы увидите описание этой настройки непосредственно в режиме расширенного представления GPOE Extended View. На рис. 13.1 показана оснастка GPOE, открытая так, чтобы можно было увидеть многие из имеющихся расширений. В данном случае пользователь щелкнул на System в Administrative Templates секции User Configuration и затем щелкнул правой кнопкой мыши на настройке Specify Windows installation file location (Задать местоположение файлов установки Windows), после чего можно выбрать пункт Properties.

Чтобы внести изменения в новый GPO, щелкните правой кнопкой на этом GPO в консоли GPMC, щелкните на кнопке Edit и затем используйте оснастку GPOE. Если вы не установили GPMC, то можете также запускать оснастку GPOE непосредственно из командной строки, набрав Gpedit.msc (после того, как вы добавили эту оснастку в Microsoft Management Console [MMC] с помощью средства Add/ Remove Snap-In [Добавление/Удаление оснастки]). После редактирования GPO ваши изменения применяются ко всем присоединенным контейнерам.

Чтобы редактировать GPO, у вас должны быть полномочия Edit (Редактирование) по этому GPO. Чтобы редактировать передаваемые в GPO настройки IPSec, вы должны быть администратором домена (Domain Administrator).

Чтобы задать какую-либо настройку в GPO, откройте окно Properties (дважды щелкните на этой настройке, щелкните на ссылке Properties в описании или щелкните правой кнопкой на этой настройке и выберите пункт Properties). Появится окно конфигурирования для этой настройки. В большинстве настроек предлагаются варианты выбора Not Configured (Не сконфигурирована), Enabled (Включена) и Disabled (Отключена), хотя некоторые настройки требуют ввода информации в текстовом поле или задания других деталей. Окно конфигурирования настройки содержит также текст Explain (Описание) для этой настройки, включая операционные системы или компоненты Windows, которые поддерживают эту настройку, то есть наиболее раннюю ОС или компонент Windows (например, версия Windows Media Player или Internet Explorer), которые поддерживают эту настройку. Напомню, что вы можете использовать объекты GPO, которые не поддерживаются на некоторых машинах, содержащихся в присоединенном сайте, домене или OU; они просто не распознают их и на них не влияют эти настройки.

Все это упаковывается в каждый объект GPO с помощью механизма под названием Group Policy. Теперь вы получите обзор этих возможностей.

Секция Computer Configuration

Эта часть GPO содержит настройки конфигурирования компьютеров, содержащихся в контейнере Active Directory, который присоединен к данному GPO. Эти настройки влияют на всех пользователей такого компьютера. На рис. 13.2 показана раскрытая секция Computer Configuration, где показаны все ваши опции конфигурирования для этого узла. Отмечу, что я разделил снимок экрана на две части и поставил эти части рядом, чтобы вы могли видеть все опции на одной печатной странице.

Теперь рассмотрим группы настроек, содержащихся в секции Computer Configuration.

Настройки ПО (Software Settings)

В этом узле содержится расширение Software Installation. Здесь также содержатся настройки ПО, которые применяются к компьютерам независимо от того, кто выполнил на них вход. Эта папка может также содержать другие настройки, помещаемые сюда пакетами ПО, которые вы развертываете с помощью Group Policy.

Software Installation.Вы используете расширение Software Installation (Установка ПО) для централизованного развертывания, обновления, модернизации и удаления программных приложений без необходимости посещать каждую машину или полагаться на то, что ваши пользователи сами загрузят, обновят или модернизируют нужное им ПО. Вы назначаете приложения компьютеру, чтобы пользователи компьютера получили надежный доступ к нужным приложениям. Эти приложения показаны также в окне Add Or Remove Programs (Установка и удаление программ).

Если вы назначаете пакет ПО компьютерам в сайте, домене или OU, это ПО становится доступно для пользователей при следующей перезагрузке или при следующем входе. Соответствующее приложение может быть также полностью установлено пользователем из меню Start (Пуск), из окна Add Or Remove Programs, с помощью ярлыка рабочего стола или путем открытия документа (по требованию), имеющего расширение имени файла, ассоциированное с этим приложением.

Это ПО может удалить только локальный или сетевой администратор, хотя пользователь может вносить исправления в это ПО. Пользователь может временно удалить это ПО и затем при необходимости снова выполнить его установку. Однако, используя Group Policy, вы гарантируете, что назначенные приложения будут доступны по требованию, даже если их удаляют пользователи, и эти приложения будут доступны снова при следующем входе пользователя или перезагрузке компьютера.

Расширение Software Installation использует пакеты ПО, поддерживающие Windows Installer ( .msi -файлы). Если вам нужно развертывать пакеты ПО, не поддерживающие Windows Installer, то вы будете использовать специальные программы "пакетирования", чтобы создать необходимые .msi -файлы, или создадите простые текстовые .zap -файлы. Файлы Windows Installer ( .msi -файлы) дают много преимуществ по сравнению с .zap -файлами, поэтому используйте по возможности такие файлы.

После того как вы назначили ПО компьютерам в сайте, домене или OU, это ПО автоматически устанавливается при следующей перезагрузке компьютера или входе пользователя. После установки вы можете не беспокоиться, что пользователи удалят (деинсталлируют) его (это может сделать только локальный или сетевой администратор), хотя пользователь может внести в него исправления с помощью средства Repair в окне Add Or Remove Programs.

Настройки Windows (Windows Settings)

Секция Windows Settings имеется в узлах Computer Configuration и User Configuration оснастки GPOE. Настройки Windows Settings в узле Computer Configuration применяются ко всем пользователям целевого компьютера. В эту секцию включены два расширения Security Settings (Настройки безопасности) и Scripts (Скрипты).

Scripts.Вы можете использовать передаваемые с помощью Group Policy скрипты для автоматизации загрузки и завершения работы с помощью расширения Scripts. Эти скрипты выполняются с использованием полномочий Local System.

Для объектов GPO Windows Server 2003 и Windows 2000 вы можете ограничивать эти скрипты с помощью наследования, а также средств WMI Filtering и Security Filtering, как это описано выше в этой лекции.

В Windows Server 2003 включена поддержка WSH (Windows Script Host) - независимого от языков сервера скриптов Windows для 32-битных платформ, включая файлы Visual Basic Scripting Edition ( .vbs -файлы) и JScript ( .js -файлы), а также файлы WSH ( .wsf -файлы). WSH включен в Windows Server 2003 и Windows 2000. Вы можете использовать WSH для запуска скриптов .wsf, .vbs и .js непосредственно на клиентском компьютере или в командной консоли с помощью двойного щелчка на файле скрипта или путем ввода скрипта в командной строке.

Вы можете использовать для создания скриптов любой язык, поддерживаемый WSH. Существует много источников поддержки WSH от поставщиков ПО для языков сценариев, таких как Perl и JavaScript, а также для пакетных файлов (с расширением .bat и .cmd ).

Конфигурируя расширение Group Policy Scripts, вы создаете новые скрипты, которые сохраняются в соответствующей подпапке папки <windir>\System32\ GroupPolicy\Machine\Scripts\. Чтобы сконфигурировать скрипт в объекте GPO, откройте окно Properties, дважды щелкнув на этой настройке, щелкнув на ссылке Properties в описании или щелкнув правой кнопкой на этой настройке и выбрав затем пункт Properties. Появится окно конфигурирования для этой настройки.

Security Settings (Настройки безопасности).Вы используете секцию Security Settings, чтобы конфигурировать защиту компьютеров и вашей сети в целом. Вы можете задавать настройки безопасности для своего сайта, домена или OU любого уровня. В табл. 13.4 показаны типы настроек, которые можно задавать с помощью расширения Group Policy Security Settings в узле Computer Configuration.

Как можно видеть из этой таблицы, вы можете использовать расширение Group Policy Security Settings для передачи и реализации разнообразных конфигураций безопасности на машинах Windows XP Professional, Windows 2000 и Windows Server 2003. Эти политики безопасности применяются к компьютерам при каждой обработке GPO, который присоединен к контейнеру Active Directory, содержащему эти машины. Некоторые настройки начинают действовать только после перезагрузки. Чтобы определить, какие объекты GPO, содержащие настройки безопасности, были применены при последнем обновлении политик, посмотрите локальный кэш в файлах <windir>\security\templates\policies\gpt*.*. Каждый файл представляет шаблон безопасности в одном GPO, и в этом файле хранится GUID (глобально уникальный идентификатор) для данного GPO.

Настройки Security Settings повышают возможности существующих средств безопасности для остальной части Group Policy, а также вкладок Security окон Properties для файлов, папок, объектов Active Directory и т.д. Отметим, что настройки Security Settings могут отражаться и в реестре, даже если определенная настройка больше не задана в GPO, который применил ее, или сам GPO удален или отсоединен.

Administrative Templates

Большинство людей, когда слышат термин "Group Policy", ассоциируют его с административными шаблонами, которые централизованно конфигурируют реестр клиентских компьютеров. Это расширение применяется в том месте Group Policy, где находятся связанные с реестром административные шаблоны ( .adm -файлы). Примерно 700 уникальных настроек доступны за счет использования .adm -файлов.

Windows Components (Компоненты Windows).Конфигурирование настроек для таких компонентов операционной системы, как NetMeeting, Internet Explorer и Terminal Services.

System (Система).Конфигурирование различных системных компонентов для управления такими средствами, как дисковые квоты, скрипты и вход, а также отчетами об ошибках. Дисковые квоты ограничивают объем пространства на диске, которое может заполняться специальными папками пользователей.

Network (Сеть).Эти настройки позволяют вам конфигурировать компоненты операционной системы, которые связывают клиентскую машину с сетью. Здесь можно указывать первичный суффикс DNS и запрещать пользователям его изменение. Вы можете также конфигурировать в этой секции автономные файлы (Offline Files) и службу SNMP (Simple Network Management Protocol).

Printers (Принтеры).Эта секция содержит много настроек для управления конфигурациями сетевых принтеров и опциями публикования.

User Configuration

Эта часть GPO содержит настройки для конфигурирования пользователей в контейнере Active Directory, который присоединен к этому GPO. На рис. 13.3 показана раскрытая секция User Configuration, где показаны все ваши опции конфигурирования для этого узла. Отмечу, что я разделил снимок экрана на две части и поставил эти части рядом, что вы могли видеть все опции на одной странице.

Теперь рассмотрим группы настроек, содержащихся в секции User Configuration.

Настройки ПО (Software Settings)

В этом узле содержится расширение Software Installation. Здесь также содержатся настройки ПО, которые применяются к пользователям независимо от компьютера, который они используют. Эта папка может также содержать другие настройки, помещаемые сюда пакетами ПО, которые вы развертываете с помощью Group Policy.

Software Installation.Вы используете расширение Software Installation (Установка ПО) для централизованного развертывания, обновления, модернизации и удаления программных приложений без необходимости посещать каждую машину или полагаться на то, что ваши пользователи сами загрузят, обновят или модернизируют нужное им ПО. Вы назначаете или публикуете приложения для пользователей, чтобы они получили надежный доступ к нужным приложениям. Эти приложения показаны также в окне Add Or Remove Programs для инициируемого пользователем обновления, удаления (в случае публикации) или повторной установки.

ПО, опубликованное для пользователей в сайте, домене или OU, можно устанавливать путем открытия документа с ассоциированным расширением имени (если у вас выбран вариант автоматической установки - Auto-Install) или с помощью окна Add Or Remove Programs. Если вы присоединили GPO для развертывания ПО и хотите, чтобы это ПО было доступно сразу, то обновите этот GPO, прежде чем соответствующее приложение появится в окне Add Or Remove Programs. Пользователь может удалить это ПО и в дальнейшем снова установить его, используя Add Or Remove Programs.

ПО, назначенное пользователям в сайте, домене или OU, автоматически устанавливается при следующей перезагрузке компьютера или входе пользователя. После установки вы можете не беспокоиться, что пользователи удалят (деинсталлируют) его (это может сделать только локальный или сетевой администратор), хотя пользователь может вносить в него исправления с помощью средства Repair в окне Add Or Remove Programs.

Расширение Software Installation использует пакеты ПО, поддерживающие Windows Installer ( .msi -файлы). Если вам нужно развертывать пакеты ПО, не поддерживающие Windows Installer, то вы будете использовать специальные программы "пакетирования", чтобы создать необходимые .msi -файлы, или создадите простые текстовые .zap -файлы. Файлы Windows Installer ( .msi -файлы) дают много преимуществ по сравнению с .zap -файлами, поэтому используйте по возможности такие файлы.

Windows Settings

Секция Windows Settings имеется в узлах Computer Configuration и User Configuration оснастки GPOE. Настройки Windows Settings в узле User Configuration применяются ко всем пользователям независимо от компьютера, который они используют. Эта секция содержит также пять расширений: Remote Installation Services, Scripts (startup, shutdown, logon и logoff), Security Settings, Folder Redirection и Internet Explorer Maintenance.

Remote Installation Services.Вы можете использовать Group Policy, чтобы задавать, должен ли пользователь машины, конфигурируемой с помощью Remote Installation Services (RIS), указывать имя компьютера во время установки, нужно ли повторять попытку удаленной установки, если ее не удалось выполнить, и получают ли пользователи доступ к служебным средствам до установки операционной системы. GPO может поддерживать варианты выбора, которые выводятся мастером Client Installation Wizard при использовании RIS для установки операционной системы.

Scripts.Вы можете использовать передаваемые с помощью Group Policy скрипты для автоматизации загрузки и завершения работы с помощью расширения Scripts. Эти скрипты выполняются с использованием полномочий User. Для объектов GPO Windows Server 2003 и Windows 2000 вы можете ограничивать эти скрипты с помощью наследования, а также средств WMI Filtering и Security Filtering, как это описано выше в этой лекции.

В Windows Server 2003 включена поддержка WSH (Windows Script Host) - независимого от языков сервера скриптов Windows для 32-битных платформ, включая файлы Visual Basic Scripting Edition ( .vbs -файлы) и JScript ( .js -файлы), а также файлы WSH ( .swf -файлы). WSH включен в Windows Server 2003 и Windows 2000. Вы можете использовать WSH для запуска скриптов .wsf, .vbs и js непосредственно на клиентском компьютере или в командной консоли с помощью двойного щелчка на файле скрипта или путем ввода скрипта в командной строке.

Вы можете использовать для создания скриптов любой язык, поддерживаемый WSH. Существует много источников поддержки WSH от поставщиков ПО для языков сценариев, таких как Perl и JavaScript, а также для пакетных файлов (с расширением .bat и .cmd ).

Конфигурируя расширение Group Policy Scripts, вы создаете новые скрипты, которые сохраняются в соответствующей подпапке папки <windir>\System32\ GroupPolicy\Machine\Scripts\. Чтобы сконфигурировать скрипт в объекте GPO, откройте окно Properties, дважды щелкнув на этой настройке, щелкнув на ссылке Properties в описании или щелкнув правой кнопкой на этой настройке и выбрав затем пункт Properties. Появится окно конфигурирования для этой настройки.

Security Settings (Настройки безопасности).Вы используете секцию Security Settings, чтобы конфигурировать защиту компьютеров и вашей сети в целом. Вы можете задавать настройки безопасности для своего сайта, домена или OU любого уровня. В табл. 13.5 показаны типы настроек, которые можно задавать с помощью расширения Group Policy Security Settings в узле User Configuration.

Вы можете использовать Public Key Policies (Политики открытых ключей) для следующего.

Обычно вам не требуется использование Public Key Policies для развертывания инфраструктуры открытых ключей, но эти настройки дают больше возможностей в управлении созданием доверительных отношений, выдачей сертификатов и развертыванием EFS (Encrypted File System).

Software Restriction Policies (Политики ограничения ПО) содержат правила, определяющие программы, которые разрешается запускать, а также исключения из этих правил. Вы можете конфигурировать Security Levels (Уровни безопасности), задавать Additional Rules (Дополнительные правила), задавать Enforcement (Применение политик), указывать свойства для Designated File Types Properties (Назначенные типы файлов) и определять свойства для Trusted Publishers (Доверяемые издатели). Эти правила определяют программные приложения и указывают, разрешается ли запускать определенное приложение, сопровождая каждое правило описательным текстом, помогающим понять, зачем создано правило. Чтобы определять программное обеспечение, политика ограничения ПО поддерживает четыре правила, представленных в табл. 13.6.

Используя расширение Security Settings в обоих узлах - Computer Configuration и User Configuration, - вы можете использовать Group Policy, чтобы передавать и реализовывать разнообразные конфигурации безопасности для машин Windows XP Professional, Windows 2000 и Windows Server 2003. Эти политики безопасности применяются к компьютерам при каждой обработке объекта GPO, присоединенного к контейнеру Active Directory, в котором содержится данный пользователь. Некоторые настройки начинают действовать только после перезагрузки или входа пользователя. Чтобы определить, какие объекты GPO, содержащие настройки безопасности, были применены при последнем обновлении политик, посмотрите локальный кэш политик в файлах <windir>\security\templates\policies\gpt*.*. Каждый файл представляет шаблон безопасности в одном GPO, и в этом файле хранится GUID (глобально уникальный идентификатор) для данного GPO.

Настройки Security Settings повышают возможности существующих средств безопасности для остальной части Group Policy, а также вкладок Security окон Properties для файлов, папок, объектов Active Directory и т.д. Отметим, что настройки Security Settings могут отражаться и в реестре, даже если определенная настройка больше не задана в GPO, который применил ее, или сам GPO удален или отсоединен.

Folder Redirection (Перенаправление папок).Перенаправляя файлы с локальных машин в сетевой разделяемый ресурс, вы можете поддерживать их резервное копирование как часть своей повседневной работы, не полагаясь но то, что пользователи будут что-то делать для сохранения своих данных. В Group Policy имеется настройка Folder Redirection для перенаправления специальных папок в сетевые разделяемые ресурсы. Каждая опция Folder Redirection позволяет вызывать дополнительные опции, которые учитывают членство в группах безопасности (Security Group). Вы можете перенаправлять следующие специальные папки:

Если вы активизировали Roaming User Profiles (Профили перемещающихся пользователей), то в профиль перемещающегося пользователя включается только путь к папке My Documents, но не сама папка. Это освобождает вашу сеть от необходимости копирования файлов между клиентской машиной и сервером во время входа и завершения сеанса пользователя. Даже если пользователь выполняет вход с различных компьютеров сети, его документы будут всегда доступны.

Если вы активизируете Offline Files (Автономные файлы), то пользователи могут осуществлять доступ к перенаправленным папкам, даже если они не подсоединены к сети. Это удобно, если у вас много лэптопов, перемещающихся пользователей или часто случаются отключения сети. Средство Offline Files работает с любым локальным или удаленным диском, который доступен пользователю в режиме offline. Средство Offline Files не зависит от Folder Redirection, хотя они хорошо работают совместно. Если пользователь отключается от сети, то в области уведомлений (внизу справа в панели задач) появляется значок Offline Files, а пользователи уведомляется с помощью всплывающего сообщения.

Если какой-либо удаленный пользователь и пользователь в сети вносят изменения в один и тот же файл, то новый подсоединившийся пользователь может выбирать между сохранением автономной версии этого файла в сети, поддержкой другой версии или сохранением обеих версий.

Internet Explorer Maintenance.Group Policy поддерживает администрирование и настройку Microsoft Internet Explorer для клиентских компьютеров, работающих под управлением Windows 2000, Windows XP Professional и Windows Server 2003. Расширение Internet Explorer Maintenance содержит настройки для конфигурирования Internet Explorer. Используйте эти настройки для управления такими элементами, как зоны безопасности, прокси-настройки, поиск и временные файлы интернета.

Administrative Templates

Большинство людей, когда слышат термин "Group Policy", ассоциируют его с административными шаблонами, которые централизованно конфигурируют реестр клиентских компьютеров. Это расширение применяется в том месте Group Policy, где находятся связанные с реестром административные шаблоны (.adm-файлы). Примерно 700 уникальных настроек доступны за счет использования .adm-файлов.

Windows Components (Компоненты Windows).Используйте эти настройки, чтобы конфигурировать следующие компоненты операционной системы Windows:

Start Menu and Taskbar (Меню "Пуск" и Панель задач).Используйте эти настройки, чтобы конфигурировать, добавлять, удалять и отключать части меню Start, панели задач и области уведомлений. Около 50 настроек доступны здесь для вашего выбора.

Desktop (Рабочий стол).Используйте эти настройки, чтобы управлять рабочими столами на клиентских компьютерах, включая настройки Active Desktop, значки My Documents и My Computer и многие другие опции. Вы можете также использовать представленные здесь настройки, чтобы определять, каким образом пользователи будут взаимодействовать с Active Directory.

Control Panel (Панель управления).Используйте эти настройки, чтобы настроить панель управления пользователей, включая представление и поведение окна Add/Remove Programs, заставки (screen saver) и соответствующие заставки, защищенные паролем, опции языков и доступ пользователя к Control Panel.

Shared Folder (Разделяемая папка).Используйте эти настройки, чтобы разрешать публикацию разделяемых папок или корней DFS.

Network (Сеть).Используйте эти настройки, чтобы конфигурировать компоненты операционной системы, которые связывают клиентскую машину с сетью. Здесь можно указывать первичный суффикс DNS и запрещать пользователям его изменение. Вы можете также конфигурировать в этой секции автономные файлы (Offline Files). Здесь также доступны многие настройки сетевых соединений (Network Connections).

System (Система).Используйте эти настройки, чтобы управлять поведением таких средств, как User Profiles (Профили пользователей), Scripts (Скрипты), CTRL+ALT+DEL Options, Logon, Group Policy, Power Management (Управление электропитанием) и многими другими элементами, включая автоматические обновления Windows Automatic Updates.

Нестандартные шаблоны

По умолчанию вы имеете доступ к более чем 700 настройкам Group Policy. И все же вам может потребоваться создание дополнительных настроек политик для поддержки нового ПО, приобретенного вашей организацией, или для управления настройками реестра, которые не конфигурируются с помощью существующих настроек Group Policy. Вы можете выполнять эти задачи, используя три способа.

Некоторые приложения записывают и устанавливают свои собственные дополнительные расширения (как расширения Group Policy, так и расширения для клиентских машин), чтобы расширить возможности управления с помощью объектов GPO.

Обычно вам не требуется создание новых расширений ввиду большого разнообразия и полноты существующих возможностей. Но если какое-либо приложение или средство ищет настройки политик в реестре, то вам может потребоваться создание нового .adm-файла и последующий импорт этого нового .adm -шаблона в расширение Administrative Templates. Это по существу текстовые файлы, которые вы создаете с помощью простого текстового редактора, такого как Notepad (Блокнот), и сохраняете с расширением имени файла .adm. Подробности создания нестандартных .adm -файлов можно найти в какой-либо книге по Group Policy, но как только вы поймете основы, вам будет совсем нетрудно создавать и настраивать эти файлы.

Сведения по загрузке других .adm -шаблонов (находятся в папке <windir>\Inf, которая не загружается в Administrative Templates) реально существуют только для поддержки системной политики, и они затрагивают реестр. По возможности не используйте эти .adm -файлы.

Использование консоли GPMC для управления Group Policy

Консоль GPMC - это новое бесплатное средство управления Group Policy даже в случае нескольких лесов. Используйте GPMC для управления всеми объектами GPO, фильтрами WMI, делегированием и связанными с Group Policy полномочиями. GPMC состоит из набора сценарных интерфейсов для управления Group Policy и оснасткой MMC, включающей такие средства Group Policy, как GPOE, RSoP и Active Directory Users and Computers, а также многие другие средства. GPMC работает в системе Windows Server 2003 или Windows XP Professional Service Pack, начиная с версии 1. С помощью консоли GPMC можно управлять доменами Active Directory Windows Server 2003 и Windows 2000, но она не запускается с машины Windows 2000. Вы можете использовать в GPMC метод drag-and-drop, что еще больше упрощает использование этой консоли для управления объектами GPO.

На рис. 13.4 показан интерфейс пользователя GPMC.

Прочитайте help-информацию GPMC для получения пошаговой информации по использованию GPMC для развертывания и управления Group Policy, которая доступна только путем загрузки GPMC.

Чтобы открыть GPMC, выберите Start/Programs/Administrative Tools/Group Policy Management (Пуск/Программы/Администрирование/Управление Group Policy). Чтобы загрузить бесплатную GPMC, перейдите на веб-сайт Microsoft: .

Создание объектов Group Policy

Чтобы создать неприсоединенный GPO, раскройте дерево консоли GPMC до уровня Group Policy Objects в контейнере, для которого вы хотите создать новый GPO. Щелкните правой кнопкой на Group Policy Objects и затем выберите пункт New (Создать). В диалоговом окне New GPO задайте имя этого нового GPO и затем щелкните на кнопке OK. Теперь, создав новый GPO, вы можете настроить его в соответствии с требованиями ваших клиентов и серверов. Чтобы редактировать GPO, в дереве консоли GPMC щелкните правой кнопкой на этом GPO и затем щелкните на кнопке Edit. Будет запущена оснастка GPOE, которую мы изучали выше в этой лекции.

Вы можете выбрать вариант Create And Link A GPO Here (Создать и присоединить здесь GPO), что означает применение этого GPO к любому объекту Active Directory, который представлен в дереве консоли GPMC, но это не принесет ничего, кроме проблем. Новые GPO пытаются реализовать свои настройки сразу, поэтому всегда создавайте неприсоединенные GPO, конфигурируя их по мере необходимости, и затем тестируйте их в неэксплуатируемой среде, прежде чем присоединять их к эксплуатируемым контейнерам Active Directory.

Присоединение объектов Group Policy к контейнерам Active Directory

После тестирования GPO вам нужно присоединить (привязать) его к контейнерам Active Directory, чтобы этот GPO начал действовать. Для присоединения (привязки) GPO щелкните правой кнопкой на контейнере Active Directory, к которому вы хотите присоединить этот GPO, и затем щелкните на Link An Existing GPO Here (Присоединить здесь существующий GPO). Перетащите GPO из узла Group Policy Objects в соответствующую организационную единицу (OU). Этот метод "drag-and-drop" действует только в пределах одного домена.

Чтобы отсоединить GPO, щелкните правой кнопкой на этом GPO. В правой панели щелкните на вкладке Scope (Область действия). В секции Links (Связи) щелкните правой кнопкой на объекте Active Directory, от которого вы хотите отсоединить данный GPO. Выберите пункт Delete Link (Удалить связь). При удалении GPO вам предлагается удалить этот GPO и все связи с этим GPO в данном домене. Это не вызовет удаления связей с этим GPO из других доменов. Кроме того, прежде чем удалить GPO, обязательно удалите все связи с этим GPO из других доменов.

Делегирование управления Group Policy

Вы можете делегировать следующие задачи Group Policy:

Чтобы делегировать полномочия по присоединению объектов GPO к контейнерам Active Directory, щелкните на соответствующем узле в дереве консоли GPMC и затем щелкните на вкладке Delegation (Делегирование) в правой панели GPMC. Здесь имеется несколько элементов, поэтому щелкните правой кнопкой на элементе, полномочия которого хотите изменить, и выберите пункт Link GPOs (Присоединение объектов GPO), Perform Group Policy Modeling Analyses (Выполнение анализа моделирования Group Policy) или Read Group Policy Results Data (Чтение информации о результатах Group Policy). Вы можете также сконфигурировать нестандартные полномочия, щелкнув на кнопке Advanced (Дополнительно) и выбрав объект, полномочия которого хотите изменить.

Чтобы редактировать GPO, вам нужно, чтобы по этому GPO были разрешены (Allow) следующие полномочия: Read (Чтение), Write (Запись), Create All Child Objects (Создание всех дочерних объектов) и Delete All Child Objects (Удаление всех дочерних объектов). GPMC задает все эти полномочия, когда вы предоставляете полномочия Edit. Обязательно прочитайте более подробные сведения по делегированию с помощью GPMC и управлению с помощью GPOE в оперативной help-информации GPMC

Моделирование Group Policy

GPMC использует возможности RSoP (Resultant Set of Policy - Результирующий набор политики), хотя они немного отличаются в GPMC. Мастер моделирования Group Policy Modeling Wizard имитирует действие объектов GPO и создает данные RSoP до того, как вы присоединяете эти GPO к сети. Вы можете просматривать этот отчет с данными RSoP, чтобы увидеть взаимодействие GPO и устранить потенциальные проблемы, прежде чем они возникнут. Отчет можно увидеть во вкладке Settings правой панели GPMC после выделения нужного GPO.

Чтобы запустить моделирование Group Policy, вам нужен хотя бы один контроллер домена Windows Server 2003 и вам должны быть предоставлены полномочия Perform Group Policy Modeling analyses в контейнере Active Directory, где вы хотите запустить анализ. Чтобы запустить мастер, щелкните правой кнопкой на Group Policy Modeling (или на контейнере Active Directory) и затем выберите Group Policy Modeling Wizard. Если вы запускаете моделирование Group Policy из контейнера Active Directory, то мастер заполняет поля Container для пользователя и компьютера; в противном случае вам нужно заполнить поля, запрашиваемые мастером.

Результаты сохраняются в виде запроса в секции Group Policy Modeling. Чтобы окончательно сохранить результаты, щелкните правой кнопкой на этом запросе и затем выберите пункт Save Report (Сохранить отчет).

Вы можете увидеть, какой GPO передает каждую настройку, в секции Winning GPO (Приоритетный GPO). Чтобы увидеть, какие настройки GPO не сработали, щелкните правой кнопкой на элементе Group Policy Modeling и затем выберите Advanced View (Расширенное представление). Для каждой настройки имеется вкладка Precedence (Приоритет), позволяющая выполнять дальнейший поиск проблем. Поскольку моделирование Group Policy не дает оценку локальных GPO (LGPO), вы увидите отличия между моделированием и реальными результатами, если сконфигурировали объекты LGPO.

Результаты Group Policy

Мастер результатов Group Policy Results Wizard сообщает, какие настройки Group Policy применяются к пользователю или компьютеру, путем сбора информации RSoP с целевой машины. На целевой машине должна быть установлена система Windows XP Professional или Windows Server 2003. Вы можете просматривать этот отчет RSoP для устранения проблем существующих GPO. Отчет можно видеть во вкладках Settings и Summary (Сводка результатов) правой панели GPMC после того, как вы выделили какой-либо GPO.

Вы можете получать удаленный доступ к результатам Group Policy вместо посещения каждой задействованной машины, но сначала вы должны получить полномочия Remotely Access Group Policy Results Data по контейнеру Active Directory, где содержится данный пользователь или компьютер, или должны быть локальным администратором (Local Administrator) и иметь сетевое соединение с целевой машиной. Чтобы делегировать результаты Group Policy, в Active Directory должна существовать схема Windows Server 2003, то есть вам не обязательно нужен контроллер домена Windows Server 2003. Чтобы установить эту схему, запустите ADPrep /forestprep на любом контроллере домена Windows 2000 или Windows Server 2003.

После запуска этого мастера результаты сохраняются в виде запроса в секции Group Policy Results, и они показывают, каким образом Group Policy применяется к целевому элементу. Чтобы окончательно сохранить результаты, щелкните правой кнопкой на этом запросе и затем выберите пункт Save Report. Вы можете увидеть, какой GPO передает каждую настройку, в секции Winning GPO.

Резервное копирование объектов Group Policy

GPMC упрощает резервное копирование всех ваших GPO. Вы можете создать резервную копию объектов GPO на любом локальном компьютере или в сетевой папке, где вы имеете доступ типа Write. Для работы с этой папкой резервной копии всегда используйте GPMC (с помощью оснастки MMC GPMC или с помощью скрипта). Вы можете взаимодействовать с объектами GPO в резервной копии посредством операций GPMC Import (Импорт) и Restore (Восстановление). Для резервного копирования объектов GPO используйте следующую процедуру.

Импорт настроек GPO

Очень полезное средство GPMC - это импорт настроек из существующих GPO в новый GPO. Для импорта настроек GPO щелкните правой кнопкой на GPO, в который хотите импортировать настройки, и затем выберите пункт Import Settings (Импортировать настройки). Пройдите через страницы мастера Import Settings Wizard, работая с имеющим резервную копию GPO, настройки которого хотите импортировать, и затем щелкните на кнопке Finish.

Восстановление объектов Group Policy из резервной копии

Используя GPMC, вы восстанавливать GPO из его резервной копии в том же домене, где была создана его резервная копия. Вы не можете восстановить GPO в домене, отличном от исходного домена этого GPO; используйте для этого другие операции GPMC, которые описаны выше. Для восстановления GPO из его резервной копии щелкните правой кнопкой на этом GPO и затем выберите пункт Restore From Backup (Восстановить из резервной копии). Пройдите через страницы мастера Restore Group Policy Object Wizard, работая с имеющим резервную копию GPO, который хотите восстановить, и затем щелкните на кнопке Finish.

Копирование объектов Group Policy

Вы можете использовать GPMC для копирования объектов GPO из того же домена или даже из других доменов. При копировании какого-либо GPO консоль GPMC создает новый GPO. Это действительно простая операция: выполнить копирование и вставку или перетащить методом drag and drop GPO, который вы хотите копировать, и это все! Правда, копирование между доменами выполняется сложнее, поскольку вам, видимо, потребуется скопировать списки DACL по этому GPO, чтобы новый GPO содержал такие же настройки Security Filtering и конфигурацию делегирования, как исходный GPO. При копировании между организационными единицами (OU) в одном домене щелкните на Use The Default DACL For New GPOs (Использовать DACL по умолчанию для новых GPO) или Preserve The Existing DACL (Сохранить существующий список DACL) и затем щелкните на кнопке OK. Кроме того, поскольку настройки GPO часто относятся к конкретному домену (например, сетевые пути), то вам, видимо, потребуются таблицы миграции, которые описаны ниже.

Миграция настроек GPO

GPMC упрощает миграцию стандартного GPO между доменами. Настройки GPO часто относятся к конкретному домену, поэтому в GPMC используются таблицы миграции. Таблицы миграции - это XML-файлы с расширением имени .migtable. Создание и использование таблиц миграции относится к расширенным операциям Group Policy, поэтому прочитайте раздел "Migrating GPOs Across Domains by Using GPMC" (Миграция объектов GPO между доменами с помощью GPMC) на веб-сайте Microsoft GPMC: http://www.microsoft.com/windowsserver2003/gpmc/default.mspx.

Создание скриптов операций GPMC

GPMC содержит обширный набор COM-интерфейсов для создания скриптов (сценариев) всех операций GPMC (кроме редактирования объектов GPO). После установки GPMC вы можете увидеть в папке \Program Files\GPMC\Scripts\ примеры скриптов, которые используют эти интерфейсы. Все эти скрипты запускаются из командной строки. При запуске скрипта с ключом /? выводится описание применения этого скрипта.

В этих примерах скриптов выводится эхо-отображение в окне командной строки, и они должны запускаться с помощью cscript.exe. Если cscript.exe нет на вашем сервере скриптов по умолчанию, то вам нужно явно указывать cscript.exe в командной строке. Например, введите d: \Program Files\GPMC\Scripts>cscript ListAllGPOs.wsf. Введите cscript //<диск>:cscript в командной строке, чтобы сделать cscript сервером скриптов по умолчанию.

Многие из этих примеров скриптов основываются на библиотеке типичных help-функций, содержащихся в файле Lib_CommonGPMCFunctions.js. Если вы копируете эти скрипты в другое место, то должны также скопировать в это место файл данной библиотеки, чтобы можно было работать с этими примерами скриптов.