Материал: Книга Active directory

включает п о л и т и к у г р у п п с ограниченным доступом, которая указывает, что эта группа я в л я е т с я ч л е н о м г р у п п ы Администраторы . Компьютер с именем

2 . Домен contoso . com с о д е р ж и т о б ъ е к т G P O Корпоративная справка, связанный с п о д р а з д е л е н и е ^ К л и е н т ы , а . т а к ж е объект G P O Поддержка Сидней, связанный с д о ч е р н и м п о д р а з д е л е н и е м С и д н е й в подразделении Клиенты.

Г.Справка.

Д. П о л ь з о в а т е л и у д а л е н н о г о рабочего стола ( R e m o t e Desktop Users).

3 . Домен contoso . com с о д е р ж и т о б ъ е к т G P O К о р п о р а т и в н а я справка, связанный с п о д р а з д е л е н и е м К л и е н т ы , а т а к ж е объект G P O Поддержка Сидней,

C O N T O S O \ C n p a B K a . О б ъ е к т G P O П о д д е р ж к а Сидней включает политику групп с о г р а н и ч е н н ы м д о с т у п о м д л я г р у п п ы С О Ы Т 0 5 0 \ П о д д е р ж к а Сидней, где указано, что эта группа я в л я е т с я членом группы Администраторы (Administrators). В п о д р а з д е л е н и и С и д н е й к домену присоединяется компьютер D E S K T O P 2 3 4 . К а к а я из с л е д у ю щ и х учетных записей будет членом группы А д м и н и с т р а т о р ы ( A d m i n i s t r a t o r s ) на компьютере D E S K T O P 2 3 4 ? (Укажите все варианты . )

А. Администратор ( A d m i n i s t r a t o r ) .

Б. Администраторы домена (Domain Admins).

Занятие 2. Управление параметрами безопасности

Безопасность является изначальной областью задач администраторов Windows. Система Windows Server 2008 содержит многочисленные параметры, которые влияют на запуск служб, открытие портов, разрешения передачи входящих и исходящих сетевых пакетов, права и разрешения доступа пользователей, а также аудит активности в системе. Существует огромное количество параметров, которыми можно управлять, но, к сожалению, универсальной формулы для применения идеальной конфигурации сервера нет. Соответствующая конфигурация безопасности сервера зависит от выполняемых им ролей, операционных систем в среде и политик безопасности, которые сами по себе зависят от нормативов, принятых вне организации.

Поэтому требуется определить и отконфигурировать параметры безопасности, необходимые для серверов организации, и*. подготовит*ьоя к управлению этими параметрами путем централизации и оптимизации конфигурации безопасности. В Windows Server 2008 предусмотрено несколько механизмов, с помощью которых конфигурируются параметры.безопасности-в одной или нескольких системах. На этом занятии мы обсудим эти механизмы и их взаимодействие.

Изучив материал этого занятия, вы сможете:

SКонфигурировать параметры безопасности на компьютере с помощью локальной политики безопасности.

SСоздавать и применять шаблоны безопасности для управления конфигурацией безопасности.

SАнализировать конфигурацию безопасности на основе шаблонов безопасности.

S Создавать, редактировать и применять политики безопасности с помощью

мастера настройки безопасности.

«

У Развертывать конфигурацию безопасности с помощью групповой политики.

Продолжительность занятия —• около 60 мин.

Настройка локальной политики безопасности

Каждый сервер Windows Server 2008 поддерживает набор параметров безопасности, которыми можно управлять с помощью локального объекта GPO. Локальный объект групповой политики конфигурируется с помощью оснастки Редактор объектов групповой политики (Group Policy Object Editor) в консоли Локальная политика безопасности (Local Security Policy). Доступные категории параметров политики показаны на рис. 7-5.

На этом занятии мы рассмотрим механизмы настройки и управления параметрами безопасности, а не сами параметры. Многие из этих параметров,

' 3 0 6 Параметры групповой политики Глава 7

Конфигурацией лучше всего управлять с п о м о ш ы о групповой п о л и т и к и домена, а не путем настройки локальной групповой п о л и т и к и на к а ж д о й машине; это относится и к контроллерам домена. О б ъ е к т г р у п п о в о й п о л и т и к и Default Domain Controllers Policy создается при п о в ы ш е н и и ранга сервера до первого контроллера в домене. Этот объект с в я з ы в а е т с я с п о д р а з д е л е н и е м D o m a i n Controllers и должен использоваться для у п р а в л е н и я о с н о в н ы м и п а р а м е т р а м и безопасности всех контроллеров в домене с ц е л ы о с о г л а с о в а н н о й настройки .

Управление конфигурацией безопасности с помощью шаблонов безопасности

Вторым механизмом управления к о н ф и г у р а ц и е й б е з о п а с н о с т и я в л я е т с я шаб-

бражают эти параметры в интерфейсе, где к о н ф и г у р а ц и ю б е з о п а с н о с т и можно сохранить в качестве файлов и развертывать п р и н е о б х о д и м о с т и . С п о м о щ ь ю шаблона безопасности также м о ж н о а н а л и з и р о в а т ь соответствие т е к у щ е й конфигурации компьютера требованиям организации .

- l a l x i

Рис. 7-7. Параметры безопасности в шаблоне безопасности

Хранение конфигурации безопасности в ш а б л о н а х б е з о п а с н о с т и обеспечивает несколько преимуществ. Н а п р и м е р , п о с к о л ь к у эти ш а б л о н ы представляют собой открытые текстовые ф а й л ы , с н и м и м о ж н о работать вручную, как и с любым текстовым файлом, при необходимости в ы р е з а я и в с т а в л я я секции. Кроме того, шаблоны у п р о щ а ю т х р а н е н и е р а з л и ч н ы х т и п о в к о н ф и г у р а ц и и безопасности для применения разных у р о в н е й безопасности к компьютерам, выполняющих различные роли.

Далее описаны типы политики и параметров, к о т о р ы е м о ж н о конфигури -

с п о м о щ ь ю о б ъ е к т о в г р у п п о в о й п о л и т и к и Active Directory, оснастки Анализ и настройка б е з о п а с н о с т и ( S e c u r i t y Configuration and Analysis), а также утилиты Secedit.exe. П р и с в я з ы в а н и и ш а б л о н а безопасности с объектом Active Directory параметры в ш а б л о н е в к л ю ч а ю т с я в объект G P O , связанный с объектом в Active Directory. Ш а б л о н б е з о п а с н о с т и т а к ж е м о ж н о применить непосредственно к компьютеру — в этом случае п а р а м е т р ы в шаблоне будут включены в локальные политики к о м п ь ю т е р а . На э т о м з а н я т и и мы рассмотрим все эти способы.

Оснастка шаблонов безопасности

Для работы с ш а б л о н а м и б е з о п а с н о с т и используется оснастка Шаблоны безопасности ( S e c u r i t y T e m p l a t e s ) . По у м о л ч а н и ю в W i n d o w s Server 2008 не включена консоль с этой о с н а с т к о й , т а к что ее н у ж н о создать вручную с помощью

мыши узел, п р е д с т а в л я ю щ и й п у т ь п о и с к а ш а б л о н а (например, C : \ U s e r s \ Documents\AflMHHHCTpaTop\Security\Templates) и выполните команду Создать шаблон (New Template) . Вы м о ж е т е создать шаблон с текущей конфигурацией

сам по себе шаблон — это т е к с т о в ы й ф а й л , его синтаксис довольно сложный. Использование оснастки г а р а н т и р у е т и з м е н е н и е параметров с применением корректного синтаксиса . И с к л ю ч е н и е м из этого правила является добавление параметров реестра, к о т о р ы е еще не перечислены в секции шаблона Локальные п о л и т и к и \ П а р а м е т р ы безопасности (Local Policies\Security Options). Как только станут и з в е с т н ы м и н о в ы е п а р а м е т р ы безопасности, конфигурируемые