[ Pobierz całość w formacie PDF ]
.Umożliwiają lokalnym administratorom kontrolę nad komputerami lokalnymi.Na przykład załóżmy, że administratorzy domeny Company.com zastosują zasadę (policy) usuwającą polecenie Uruchom (Run) z menu START.Administratorzy jednostki organizacyjnej Phoenix odbierają narzekania od tych swoich użytkowników, którzy lubią polecenie Uruchom (Run) i mogą ustawić założenia jednostki organizacyjnej (OU policy) specjalnie uaktywniające to polecenie.Te założenia mają pierwszeństwo i przywracają użytkownikom wyżej wymienionej jednostki organizacyjnej polecenie Uruchom (Run).lOprócz hierarchii źródeł założeń, założenia grupowe (group policies) mogą być stosowane wybiórczo do poszczególnych grup bezpieczeństwa (security groups).Na przykład firma telemarketingowa może mieć trzy założenia (policies).lBardzo restrykcyjne założenia skonfigurowane dla grupy Outbound_Sales.llTrochę mniej restrykcyjne założenie(policy) skonfigurowane dla grupy Customer Sales.llNajmniej restrykcyjne założenie (policy) skonfigurowane dla Sales_Manager.lW przeciwnym wypadku można umieścić obiekty użytkownika w trzech oddzielnych jednostkach organizacyjnych (OU) i połączyć założenia z tymi jednostkami organizacyjnymi (OUs).Jeśli nie ma innych powodów administracyjnych do dzielenia użytkowników według jednostek organizacyjnych (OU), łatwiej jest zarządzać użytkownikami w jednym kontenerze i stosować założenia do grup.Nie ma żadnych różnic pod względem architektury i wydajności.Blokowanie dziedziczenia założeń (policy)Administratorzy lokalni danej jednostki organizacyjnej (OU) mogą zablokować założenia odziedziczone po jednostkach organizacyjnych znajdujących się wyżej w Active Directory lub mniej ważnych.Dotyczy to również założeń lokacji (Site) i domen, i tych odziedziczonych po macierzystej jednostce organizacyjnej (parent OU).Odziedziczone założenia grupowe (group policies) są blokowane za pomocą opcji Blokuj dziedziczenie założeń (Block Policy Inheritance), ustawianych poprzez konsolę MMC.Rysunek 16.11 przedstawia okno Właściwości (Properties) dla jednostki organizacyjnej (OU), w którym wybrano opcję Blokuj dziedziczenie założeń (Block Policy Inheritance).Założenia użytkownika standardowego (Standard User) przedstawione na rysunku 16.11 są stosowane na poziomie jednostek organizacyjnych (OU), a zablokowanie założeń zapobiega zastępowaniu założeń Domen i Lokacji (Site) przez założenia odziedziczone.Wybranie opcji Nie zastępuj (No override) w założeniach domeny lub Lokacjach (site) zapobiega zastąpieniu innych obiektów założeń grupowych (Group Policy Objects) przez dane założenia.Rysunek 16.12 przedstawia okno Założenia grupowe Opcje, w którym opcja Nie zastępuj (No Override) jest ustawiona w Opcjach połączenia (Link Options).Rysunek 16.11.Okno Właściwości (Properties) jednostki organizacyjnej (OU) przedstawiające zakładkę Założenia grupowe (Group Policy) i listę połączeń założeń grupowych.Rysunek 16.12.Okno Opcje (Options) założeń grupowych (group policy) przedstawiające wybraną opcję Nie zastępuj (No Override).Taki sposób obsługi dziedziczenia założeń jest podobny do sposobu przydzielania praw administracyjnych w Active Directory.Administratorom lokalnym jednostek organizacyjnych (OU) nie dano praw administracyjnych na poziomie domeny.Administratorom działów w potomnej jednostce organizacyjnej (child OU) nie dano praw administracyjnych na poziomie siedziby (Site).Zastosowanie opcji Nie zastępuj (No override) może nie okazać się dobrym pomysłem w przypadku dużej domeny z wieloma jednostkami organizacyjnymi (OUs).Mechanizm pobierania założeńGdy klient Windows 2000 loguje się do domeny, szuka w domenie, siedzibie (site) i obiektach jednostek organizacyjnych połączeń do obiektów GPC.Następnie wykorzystuje informacje ścieżki dostępu odpornej na zakłócenia obiektów GPC do znajdowania folderów założeń w udziale SYSVOL.Ostatecznie pobiera pliki założeń i stosuje do obrazów lokalnego Rejestru w pamięci.Po zakończeniu logowania się, klient wysyła co 90 minut zapytania do kontrolera domeny w celu aktualizacji założeń grupowych (group policies).Okres odświeżania założeń grupowych może być zmieniony za pomocą założeń grupowych (group policies).Dokładniejszy opis znajduje się w podrozdziale „Zarządzanie założeniami założeń grupowych” (Managing Group Policy Policies) zamieszczonym w dalszym ciągu niniejszego rozdziału.Klient wylogowując się sprawdza jeszcze raz aktualizacje założeń grupowych (group policy), ponieważ przyjęto, że założenie (policy) może być zmienione przez zdarzenie wylogowywania (logoff event).Aby system uwzględniał wprowadzone założenia (policies), w wielu przypadkach konieczne jest ponowne uruchomienie komputera.Dobrym sposobem postępowania jest rozprowadzanie założeń w ciągu dnia roboczego, a zalogowanie się użytkownika następnego dnia uaktywni je.W trakcie normalnej pracy systemu, odświeżanie klientów wykonuje się ręcznie korzystając z programu Secedit.Składnia polecenia jest następująca:secedit /refreshpolicy machine_policy (lub user_policy)Program Secedit ma inne funkcje przeznaczone dla założeń grupowych (group policy) związanych z bezpieczeństwem.Szczegóły zawarto w rozdziale 6.Szablony administracyjnePozycje pliku REGISTRY.POL określające założenia Użytkowników i komputerów (User and Computer policies), pochodzą z szablonów administracyjnych.Szablony te mają taką samą postać, jak ich odpowiedniki dla założeń systemowych (System Policies).System Windows 2000 zawiera zestaw szablonów administracyjnych, zapisany w katalogu \WINNT\INF.Oto ich lista:lWinnt.adm.Założenia systemowe interfejsu użytkownika dla Windows NT 4.llWindows.adm.Założenia systemowe interfejsu użytkownika dla Windows 9x.llCommon.adm.Założenia systemowe interfejsu użytkownika dla obydwu platform.llShell.adm.Zbiór ograniczeń dotyczących powłoki Eksploratora (Explorer Shell), wykorzystywanych do kontrolowania Active Desktop.llInetres.adm (ładowany domyślnie).Założenia dla programu Internet Explorer, wpływające na takie składniki systemu Windows jak Internet Explorer, Panel sterowania (Cotrol Panel), strony w trybie offline (Offline Pages), menu usług przeglądania (Browser Menus), Persistence Behavior i Administrator Approved Controls.llSystem.adm (ładowany domyślnie).Zestaw ograniczeń systemowych, zawierających ustawienia menu Start i paska zadań, ustawienia Pulpitu (Desktop Settings), ustawienia Panelu sterowania (Control Panel Settings), ustawienia sieciowe (Network settings), ustawienia systemowe (System settings),takie jak: ustawienia logowania/wylogowywania i ustawienia założeń grupowych (group policy) oraz założenia dla składników systemu Windows jak: Eksplorator (Explorer), MMC, Zadania Zaplanowane (Task Scheduler) i program instalacyjny systemu Windows.llInetset.adm [ Pobierz całość w formacie PDF ]