Материал: Книга Active directory

для пользователя ( п о л у ч е н н ы й в результате выполнения шага 5, указанного

пример, вы м о ж е т е р а з р е ш и т ь п о л ь з о в а т е л ю получать свою типичную конфигурацию при входе на к о м п ь ю т е р в конференц - зале или области приема,

СОВЕТ К ЭКЗАМЕНУ

В темы сертификационного экзамена 70 - 640 могут быть включены вопросы, связанные с областью действия групповой политики. Некоторые вопросы о технических деталях параметра политики на самом деле предназначены для тестирования вашего умения включать в область действия параметра политики соответствуюище системы. Поэтому, получая вопросы о групповой политике, определите вначале, с чем связан вопрос: с конкретным параметром политики или с областью его действия.

Практические занятия. Настройка области действия групповой политики

Упражнение 1. Создание объекта GPO с приоритетным параметром политики

экранной заставки. Некое к р и т и ч е с к и важное приложение, выполняющее длин-

1.Войдите на машину SERVER01 как администратор.

2.Откройте оснастку Active Directory — пользователи п компьютеры (Active Directory Users And Computers) и создайте подразделение первого уровня Кадры с дочерним подразделением Инженеры.

3. Откройте консоль Управление групповой политикой ( G r o u p Policy Mana - gement).

5. Введите имя Параметры политики инженеров и щелкните О К .

6. Разверните подразделение Инженеры (Engineers), щелкните правой кнопкой мыши объект GPO и выполните команду Изменить (Edit) .

7.Разверните папку Конфигурация пользователя\Политики\Административ - ные шаблоны\Панель управления\Окно свойств экрана (User Configuration\Policies\Administrative Templates\Control Panel\Display) .

8. Дважды щелкните параметр политики Таймаут экранной заставки (Screen Saver Timeout).

9. Щелкните опцию Отключен (Disabled), а затем О К .

10.Закройте редактор GPME.

11.В консоли управления групповой политикой G P M C выберите подразделение Инженеры (Engineers) и перейдите на вкладку Наследование групповой политики (Group Policy Inheritance).

12.Объект GPO Параметры политики инженеров должен превалировать н а д объектом групповой политики C O N T O S O Стандарты. Отконфнгурированный параметр, явно отключающий экранную заставку, заменит параметр в объекте групповой политики C O N T O S O Стандарты .

Упражнение 2. Настройка принудительной связи

Необходимо максимально ускорить процесс получения изменений групповой политики всеми системами, и вы принимаете решение о т к о н ф и г у р и р о в а т ь параметр Всегда ждать сеть при запуске и входе в систему (Always Wait For Network At Startup And Logon), описанный на занятии 1. Администраторы не должны изменять эту политику; политика должна принудительно применяться ко всем системам.

1. В консоли управления групповой политикой G P M C щ е л к н и т е п р а в о й кнопкой мыши домен contoso.com и выполните команду Создать объект GPO в этом домене и связать его (Create A G P O In This Domain And Link It Here).

2. Введите имя Принудительные политики домена и щелкните О К .

3. Щелкните правой кнопкой мыши объект G P O и выполните команду Изме - нить (Edit).

5. Дважды щелкните п а р а м е т р п о л и т и к и Всегда ждать сеть при запуске и вхо-

7. Закройте редактор G P M E .

8 . Щелкните правой к н о п к о й м ы п ш объект G P O Принудительные политики домена и установите ф л а ж о к П р и н у д и т е л ь н ы й (Enforced) .

9. Выберите п о д р а з д е л е н и е И н ж е н е р ы и перейдите на вкладку Наследование

неры (Engineers) . П а р а м е т р ы т а к и х объектов G P O не заменят параметров принудительно с в я з а н н о г о о б ъ е к т а G P O .

Упражнение 3. Настройка фильтров безопасности

Со временем вы о б н а р у ж и в а е т е , ч т о небольшое число пользователей нужно освободить от п о л и т и к и т а й м а у т а э к р а н н о й заставки, конфигурируемой объектом C O N T O S O С т а н д а р т ы . З а м е н а параметров непрактична, и вы используете фильтры безопасности д л я у п р а в л е н и я областью действия G P O .

1. Откройте оснастку A c t i v e D i r e c t o r y — пользователи и компьютеры (Active Directory Users A n d C o m p u t e r s ) , создайте подразделение Группы, а в этом

4. В контейнере О б ъ е к т ы г р у п п о в о й п о л и т и к и ( G r o u p Policy Objects) выбе-

8. Введите и м я г р у п п ы и щ е л к н и т е О К .

9. В списке р а з р е ш е н и й н а й д и т е р а з р е ш е н и е Применить групповую политику (Apply G r o u p Policy) и у с т а н о в и т е ф л а ж о к З а п р е т и т ь (Deny) . Затем щелкните О К .

10. Для того чтобы п о д т в е р д и т ь изменение, щ е л к н и т е кнопку Да (Yes).

11. Просмотрите запись на вкладке Делегирование (Delegation) в столбце Разрешено (Allowed Permissions) группы Исключения G P O _ C O N T O S O _ Стандарты.

12.Перейдите на вкладку Область (Scope) и проанализируйте секцию Фильтры безопасности (Security Filtering).

По умолчанию в фильтрах безопасности нового G P O группа П р о ш е д ш и е проверку (Authenticated Users) обладает разрешением П р и м е н и т ь групповую политику (Apply Group Policy), чтобы все пользователи и компьютеры в области действия GPO могли применять параметры этого G P O . Вы отконфнгурнровалн группу с запретом чтения групповой политики ( D e n y Apply Group Policy), который заменяет разрешение (Allow). Чтобы освободить пользователя от политики объекта C O N T O S O Стандарты, м о ж н о просто добавить его в группу.

Упражнение 4. Обработка замыкания политики

Недавно один из менеджеров по продажам Contoso, Ltd показал презентацию важному клиенту на своем компьютере, на рабочем столе которого была непри - стойная картинка. Руководство Contoso, Ltd попросило вас сделать так, чтобы рабочие столы ноутбуков менеджеров по продажам не с о д е р ж а л и ф о н о в ы х рисунков. Это необязательно делать для рабочих столов менеджеров, когда они входят на настольные компьютеры в офисе. Поскольку параметры политики, управляющие фоновым рисунком рабочего стола, относятся к к о н ф и г у р а ц и и пользователя, а вам нужно применить параметры к ноутбукам м е н е д ж е р о в по продажам, требуется использовать обработку политики з а м ы к а н и я . К р о м е того, объекты ноутбуков менеджеров по продажам распределены по несколь - ким подразделениям, и вы используете фильтры безопасности, которые объект GPO применит к группе, а не к подразделению ноутбуков менеджеров по продажам.

1.Откройте оснастку Active Directory — пользователи и к о м п ь ю т е р ы (Active Directory Users And Computers) и в подразделении Группы создайте глобальную группу безопасности с именем Ноутбуки отдела продаж . Кроме того, создайте подразделение Клиенты для объектов компьютеров клиентов.

2.В консоли управления групповой политикой G P M C щелкните правой кноп-

кой мыши контейнер Объекты групповой политики ( G r o u p Policy Objects) и выполните команду Создать (New).

тивные шаблоны\Рабочий стол\Рабочий стол (User Configuration\Policies\ Administrative Templates\Desktop\Desktop).

6. Дважды щелкните параметр политики Фоновые рисунки рабочего стола (Desktop Wallpaper).