[ 358 |
Параметры групповой политики |
Глава 7 |
•Протокол облегченного доступа к каталогам L D A P (Lightweight Directory
|
Access Protocol) |
Начальный протокол доступа в |
Active Directory. Про- |
||||
|
токол LDAP версии 3 определен набором документов Proposed Standard |
||||||
|
в документации |
RFC |
2251 специальной |
к о м и с с и и |
интернет - разработок |
||
|
IETF (Engineering Task Force). |
|
|
|
|
||
• |
Локальный объект групповой политики |
О б ъ е к т |
г р у п п о в о й |
политики |
|||
|
(GPO), который есть на каждом компьютере Windows . Параметры в ло- |
||||||
|
кальном объекте |
G P O |
заменяются параметрами |
объектов G P O службы |
|||
|
каталогов Active |
Directory. |
|
|
|
|
|
• |
Шаблон безопасности |
Коллекция параметров |
настройки безопасности, |
||||
|
которая хранится в текстовом файле с р а с ш и р е н и е м .inf. Д л я |
создания |
|||||
|
базы данных на основе шаблона безопасности и анализа соответствия ком- |
||||||
|
пьютера параметрам в |
этом шаблоне, а также д л я |
п р и м е н е н и я шаблона |
||||
|
к компьютеру можно использовать оснастку Анализ и настройка безопас- |
||||||
|
ности (Security Configuration And Analysis). |
|
|
|
|||
а |
Служба Процесс, который выполняет конкретную системную функцию |
||||||
|
для поддержки приложений или других служб. В качестве примеров служб |
||||||
|
можно привести Доменные службы Active Directory (Active Directory Do- |
||||||
|
main Services), Репликация D F S ( D F S Replication), Сетевой вход (Net- |
||||||
|
logon), Сервер (Server), Планировщик заданий (Task Scheduler) и Журнал I |
||||||
|
событий Windows (Windows Event Log). |
|
|
|
|
||
• |
Пакет установщика W i n d o w s Installer ( ф а й л .msi) |
База данных, содер- |
|||||
|
жащая инструкции по установке и удалению одного или нескольких при- |
||||||
|
ложений. |
|
|
|
|
|
|
• |
Трансформация установщика W i n d o w s Installer ( ф а й л . m s t ) |
Файл, ко- |
|||||
|
торый настраивает пакет установщика Windows Installer. Некоторые прило- |
||||||
|
жения поддерживают трансформации, позволяющие автоматизировать или |
||||||
|
конфигурировать установку приложений (см. пакет установщика Windows |
||||||
|
Installer). |
|
|
|
|
|
|
Сценарии
В следующих сценариях предполагается, что вы сможете применить полученные знания в области управления параметрами безопасности и установки программного обеспечения с помощью групповой п о л и т и к и и аудита. Ответы на вопросы можно найти в разделе «Ответы» в конце книги.
Сценарий 1. Установка программного обеспечения с помощью групповой политики
Будучи администратором в компании Contoso, Ltd, вы собираетесь развернуть новое приложение для пользователей в мобильном отделе продаж и хотите использовать для установки программы групповую политику. В Active Directory все пользователи расположены в подразделении Служащие, а учетные записи всех клиентских компьютеров — в подразделении Клиенты. Приложение лицензировано для машины. Когда персонал отдела продаж находится в офисе, сотрудники входят в другие системы, такие как компьютеры в конференц-зале.
Сценарии |
3 5 9 |
Поскольку нужно установить приложение только на настольных компьютерах и ноутбуках отдела продаж, вы создали трансформацию, которая автоматизирует установку пакета установщика Windows Installer приложения.
1. В какой секции G P O следует создать пакет для приложения — Конфигурация компьютера (Computer Configuration) или Конфигурация пользователя
(User |
Configuration)? Почему? |
|
2. Какой |
тип р а з в е р т ы в а н и я следует выбрать при |
создании пакета — Пуб- |
л и ч н ы й ( P u b l i s h e d ) , Н а з н а ч е н н ы й (Assigned) |
или Особый (Advanced)? |
|
Почему? |
|
|
3. Как назначить область действия объекта GPO, чтобы он применялся только |
||
к мобильным пользователям отдела продаж? |
|
|
Сценарий 2. Настройка безопасности
Вы являетесь администратором в компании Contoso, Ltd и обеспечиваете техническую поддержку двадцати серверов отдела Кадры, которые распределены в семи глобальных узлах. Папка Жалование реплицируется на сервер в каждом узле. Поскольку она содержит уязвимую информацию о компенсации служащим, необходимо обеспечить ее безопасность и выполнять аудит несанкционированных попыток получить к ней доступ. Вы применили разрешения NTFS, которые разрешают доступ к папкам Жалование лишь соответствующему персоналу отдела кадров, причем доступ запрещен даже группе Администраторы (Administrators) на серверах. Естественно, члены группы администраторов серверов всегда могут изменить владельца ресурса и назначить себе разрешения доступа, однако вы без труда можете выполнять аудит таких операций. Для повышения безопасности этих серверов и их уязвимых данных требуется, чтобы только ваша учетная запись и учетная запись вице-президента отдела кадров были включены в группу администраторов сервера. Учетная запись вице-пре- зидента будет использоваться как резервная на случай вашего отсутствия. Необходимо развернуть эту конфигурацию на всех семи серверах, не выполняя каждую операцию вручную. При этом вам не делегированы разрешения создавать или модифицировать объекты групповой политики в организации.
1. Вы д о л ж н ы в ы п о л н я т ь аудит несанкционированных попыток доступа к папке Жалование . Вам также необходимо выполнять аудит всех попыток доступа к этой папке членами группы Администраторы (Administrators) сервера, в к л ю ч а я смену владельца этой папки. Какие элементы аудита нужно отконфигурировать д л я папки Жалование?
2. Какой параметр п о л и т и к и нужно отконфигурировать для ограничения членства группы Администраторы (Administrators)? Можно ли с помощью этой политики удалить учетную запись Администратор (Administrator)?
3. Какие политики аудита нужно отконфигурировать?
4. Как развернуть эту конфигурацию на семи серверах без использования групповой политики?
5.Могут ли параметры в объектах групповой политики Active Directory заменить ваши параметры? Если да, то как время от времени отслеживать серверы, чтобы их конфигурация не изменялась?
[ 360 |
Параметры групповой политики |
Глава 7 |
Практические задания
Для успешной сдачи сертификационного экзамена в ы п о л н и т е упражнения, предложенные ниже.
Группы с ограниченным доступом
Для выполнения упражнений в домене Active Directory д о л ж н ы быть созданы следующие объекты:
•подразделение первого уровня Администраторы;
•два дочерних подразделения Объекты и д е н т и ф и к а ц и и и Группы в подразделении Администраторы;
•глобальная группа безопасности Справка в подразделении Администраторы\Группы администраторов;
•глобальная группа безопасности Поддержка NYC в подразделении Администраторы\Группы администраторов;
• одна или несколько учетных записей п о л ь з о в а т е л е й в подразделении Администраторы\Объекты идентификации, представляющие сотрудников корпоративного отдела справки (эти пользователи д о л ж н ы быть членами группы Справка);
•один или несколько пользователей в подразделении Администраторы\Объ - екты идентификации, которые представляют членов команды поддержки настольных систем в Ныо - Йорке (эти пользователи д о л ж н ы быть членами группы Поддержка NYC);
•подразделение первого уровня Клиенты;
•дочернее подразделение NYC в подразделении Клиенты;
• объект компьютера D E S K T O P l O l в подразделении Клиенты\НУС .
В этих упражнениях предлагается создать оптимальную структуру для делегирования и поддержки клиентских компьютеров, отконфигурировать группу Администраторы (Administrators) на клиентских компьютерах и включить в нее корпоративную группу Справка, а также группу поддержки в соответствии с географическим расположением сайта. Группа А д м и н и с т р а т о р ы не будет включена в группу Администраторы домена ( D o m a i n Admins).
•Упражнение i В этом упражнении вы создадите промежуточные группы для управления делегированием административных задач. В подразделении Администраторы\Группы администраторов создайте две локальные группы безопасности домена: SYS_Clients_Admins и SYS_NYC_Admins. Добавьте группу Справка в группу SYS_Clients_Admins, а группу Поддержка NYC — в группу SYS_NYC_Admins.
•Упражнение 2 Создайте объект GPO, который определяет в качестве членов группы Администраторы (Administrators) только группу SYS_Clients__ Admins. Инструкции можно найти в упражнении 2 занятия 1. В этом упражнении необходимо создать политику групп с ограниченным доступом, для группы Администраторы (Administrators), использующей параметр
Практические задания |
3 6 1 |
Ч л е н ы этой группы (Members Of This Group) и указывающей группу SYS_ Clients_Admins. Задайте область действия для применения G P O ко всем компьютерам в подразделении Клиенты.
•У п р а ж н е н и е 3 Это упражнение похоже на упражнение 3 занятия 1. Создайте объект G P O , который назначает группу SYS_NYC_Admins членом группы Администраторы (Administrators), а затем — политику групп с огра- н и ч е н н ы м доступом д л я группы SYS_NYC_Admins, которая использует параметр Эта группа является членом в (This Group Is A Member Of) и ука-
зывает группу Администраторы (Administrators). Задайте область действия G P O д л я п р и м е н е н и я ко всем компьютерам в подразделении NYC.
•У п р а ж н е н и е 4 Используйте Моделирование результирующей политики ( R S o P ) (Resultant Set of Policy ( R S o P ) Modeling) и убедитесь, что группа Администраторы (Administrators) содержит группы SYS_Clients_Admins и SYS _ NYC _ Admins . И н с т р у к ц и и находятся в упражнении 3 занятия 1.
Если у вас есть тестовый компьютер D E S K T O P l O l , присоединенный к домену, используйте инструкции из опционального упражнения 4 занятия 1, чтобы войти на компьютер и подтвердить членство группы Администраторы (Administrators) . На машине D E S K T O P l O l группа Администраторы (Administrators) больше не содержит группу Администраторы домена (Domain Admins).
Эти упражнения похожи на упражнения занятия 1, однако есть два важных отличия. Во-первых, в упражнении 2 используется параметр Члены этой группы (Members Of This Group) политики групп с ограниченным доступом, который удаляет группу Администраторы домена (Domain Admins) и локальную группу Администраторы (Administrators). Эта методика является оптимальной, поскольку группа Администраторы домена должна применяться только для администрирования службы каталогов и контроллеров домена, а не для универсальной системной поддержки. Во-вторых, на занятии 1 вы задействовали групповую политику, чтобы добавить группы Справка и Поддержка NYC непосредственно в группу Администраторы (Administrators) клиентских компьютеров. На этих занятиях вы добавили в группу клиентских систем Администраторы (Administrators) промежуточные группы SYS_Clients_Admins и SYS_NYC_ Admins, так что группы Справка и Поддержка NYC все еще являются членами, хоть и косвенно. Преимущество косвенной структуры состоит в том, что если другие группы должны быть членами группы Администраторы (Administrators), то не потребуется изменять политики и конфигурацию, — достаточно добавить их в локальную группу в домене. Если, к примеру, вы развертываете приложение, которому необходимы локальные административные привилегии на всех клиентских машинах, работать с каждой машиной и изменять объекты GPO не понадобится. В этом случае добавьте учетную запись приложения в группу SYS_Clients_Admins. Аналогичным образом команда аудиторов, назначенная для анализа всех компьютеров в Ныо-Йорке, добавляется в группу SYS_NYC_Admins. Никаких изменений в конфигурацию безопасности или объекты G P O вносить не требуется.