Зверева О.М. Операционные системы. Часть 3: Операционная система Windows 2000 Professional. Дополнительные возможности администрирования и мониторинга системы

Подождите немного. Документ загружается.

В подразделении могут находиться другие ОП. Тем самым

открывается врзможность создания иерархии ОП. Подразделения внутри

домена могут образовывать древовидные структуры, а могут

располагаться независимо друг от друга. Формируя ОП, целесообразно

следовать структуре вашей организации. Если в ней подразделения

связаны и взаимозависимы, то ОП должны быть связанными и

зависимыми друг от

друга. Если структура организации полностью

децентрализованная, то и ОП будут располагаться независимо.

ОП являются объектами применения групповой политики.

Правила, определенные для ОП, имеют преимущество над правилами,

заданными для домена. Есть одно исключение: правило пароля можно

определять только для домена. Даже заданные для подразделения, они

выполняться не будут. Правила для дочернего

подразделения имеют

преимущества над правилами для родительского.

Учетные записи пользователей

Учетные записи могут быть локальными и доменными. До сих

пор нами обсуждались только локальные учетные записи. Эти записи

хранятся на локальном компьютере, и, зарегистрировавшись с их

помощью, вы сможете получить доступ только к ресурсам этого

компьютера.

При попытке получить доступ к

ресурсам домена вы должны

пройти регистрацию в домене с помощью доменной учетной записи. Это

вы делаете либо при начальной регистрации, либо при попытке получить

доступ к некоторому ресурсу в домене. При начальной регистрации в

системе вам нужно явно указать, где вы хотите зарегистрироваться в поле

«Вход в» (или выбрать из

соответствующего списка имя локального

компьютера или имя домена).

При попытке доступа к сетевому ресурсу системой будет

предложено ввести имя пользователя, зарегистрированного в домене и его

пароль, и в дальнейшем вы будете в сети выступать под именем этого

доменного пользователя.

Группы

Удобным средством управления пользователями, как мы уже

видели, является объединение их в группы. В Windows 2000 существуют

две категории групп:

• группы системы безопасности (security groups);

• группы рассылки (distribution groups).

Последние к системе безопасности не относятся и используются

только для рассылки почтовых сообщений. Мы их рассматривать не

будем.

Группы системы безопасности используются в списках

контроля

доступа к объектам и служат для разграничения доступа к файлам,

каталогам и другим объектам ОС.

Универсальные, глобальные и локальные группы

Все группы системы безопасности различаются по сфере влияния

и делятся на три категории: универсальные, глобальные и локальные.

Группы, наиболее широко охватывающие систему (например в

масштабах всего леса доменов), называются

универсальными (universal).

Если дословно перевести название, эти группы можно было бы назвать

«вселенскими», что подчеркивает их сферу влияния. Этот тип появился в

Windows 2000 и в предыдущих версиях Windows NT отсутствует.

Универсальные группы:

• могут включать:

• учетные записи пользователей из любого домена в рамках своей

сферы влияния;

• глобальные группы любого домена в рамках

сферы влияния;

• могут быть включены:

• в любые группы любого домена;

• в списки разрешений доступа любого домена;

• можно создать только в домене, работающем в естественном режиме

(режим работы введенный в Windows 2000, обеспечивающий все воз-

можности этой системы и не совместимый с работой с системами

Windows NT);

• нельзя преобразовать

в другие типы групп системы безопасности.

Группы, ограничивающие свое влияние одним доменом и не

используемые для разграничения доступа в домене, называются

глобальными (global). Аналогичный тип групп есть в Windows NT.

Основное предназначение глобальных групп – экспорт в другой домен для

предоставление там определенных прав доступа. Глобальные группы:

• могут включать:

• учетные записи пользователей из своего домена; домен может

на-

ходиться как в смешанном, так и в «естественном» режиме;

• глобальные группы своего домена; домен может находиться толь-

ко в смешанном режиме (в домене могут быть компьютеры, ра-

ботающие под Windows NT предыдущих версий);

• могут быть включены:

• в любые группы своего домена;

• в списки разрешений доступа любого домена;

•

могут быть преобразованы в универсальные группы, но только если

сами не входят в глобальные группы;

• могут быть перемещены только в пределах домена.

Локальные группы ограничивают свое влияние одним доменом

Windows 2000 или Windows NT (или отдельным компьютером) и

используются для предоставления доступа к ресурсам домена (или

отдельного компьютера). Локальные группы:

• могут включать

• учетные записи пользователей из любого домена, работающего

как в «естественном», так и в смешанном режиме;

• локальные группы из своего домена, работающего в «естествен-

ном» режиме;

• глобальные группы из своего домена;

• универсальные группы из любого домена;

• могут быть включены:

• в локальные группы своего домена, работающего

в «естествен-

ном» режиме;

• в списки разрешений доступа своего домена;

• могут быть преобразованы в универсальные группы, но только если

не содержат других локальных групп домена;

• могут перемещены только в пределах домена.

Примечание. При описании создания групп было описано

создание именно локальных групп, т.к. группы только этого

типа могут

быть созданы на локальном компьютере.

14. ГРУППОВЫЕ ПОЛИТИКИ

Что такое групповые политики?

Эффективное функционирование ни одной

многопользовательской операционной системы невозможно без четкого

разграничения доступа к ресурсам. Одним из средств, позволяющих

настраивать параметры безопасной работы пользователей в сети в

операционных системах Windows, являются политики безопасности. В

предыдущих версиях Windows NT Server политика безопасности домена

хранилась в базе данных Диспетчера учетных

записей безопасности SАМ

(Security Account Manager). Политика состояла из дескриптора

безопасности, предоставляющего доступ к выполнению операций (таких,

например, как создание учетной записи и просмотр учетных записей) и

свойств, описывающих политики в отношении паролей и блокировки

учетных записей пользователей. Локальная политика хранилась в базе

данных политик и состояла из информации о привилегиях пользователей

конфигурации аудита.

Политика домена действовала в отношении всего домена, но не

могла быть общей для нескольких доменов. Дополнительное управление

политиками могло быть осуществлено с помощью членства пользователей

в группах.

Реализация политик безопасности в Windows 2000 предоставляет

значительно более широкие возможности. При необходимости вы можете

устанавливать политики для всего дерева доменов. Различные

контроллеры в

пределах одного домена могут обладать индивидуальными

политиками безопасности. Установив политику безопасности в одном

месте, администраторы могут контролировать безопасность всех серверов

и рабочих станций домена. Политики безопасности в Windows 2000

реализуются с помощью средств групповых политик (Group Policy).

Групповая политика имеет следующие преимущества:

• Основываясь на службе Active Directory системы Windows 2000, по-

зволяет как централизованно, так и децентрализованно

управлять па-

раметрами политики.

• Обладает гибкостью и масштабируемостью. Может быть применена в

широком наборе конфигураций системы, предназначенных как для

малого бизнеса, так и для больших корпораций.

• Предоставляет интегрированный инструмент управления политикой с

простым и хорошо понятным интерфейсом – оснастку консоли управ-

ления Групповая политика (Group Policy).

• Обладает высокой степенью надежности и безопасности.

Групповые политики расширяют и используют преимущества

Active Directory. Их настройки находятся в объектах групповых политик

(Group Policy Objects, GРО), которые, в свою очередь, ассоциируются с

такими контейнерами Аctive Directory

, как сайты, домены и подразделения

(организационные единицы).

Политики безопасности Windows 2000 хранятся в двух типах

объектов ОРО: локальном объекте групповой политики и объекте

групповой политики домена.

Оснастка Групповая политика (Group Policy)

При создании, настройке и хранении параметров групповых

политик применяется подход, позволяющий работать с GРО как с

документами.

После создания GРО ассоциируется с определенным

контейнером

Аctive Directory, и в результате групповые политики, хранящиеся в

данном GРО, будут выполняться для всех компьютеров и пользователей,

находящихся в этом контейнере. Дополнительными средствами настройки

групповых политик в контейнере являются группы безопасности и

дискреционные разрешения доступа.

GРО создается с помошью оснастки консоли управления

Групповая политика, которая может вызываться как изолированный

инструмент (в версиях всех систем Windows 2000) и в качестве

расширения таких оснасток, как Пользователи и компьютеры Active

Directory и Сайты и службы Active Directory в версии Windows 2000

Server.

Для вызова оснастки Групповая политика в качестве расширения

в окне соответствующей оснастки укажите нужный контейнер и щелкните

правой кнопкой мыши. В появившемся контекстном меню выберите

команду Свойства (Properties). В

открывшемся окне перейдите на вкладку

Групповая политика (Group Ро1iсу).

Как запускать оснастку в виде отдельного инструмента - уже

рассказывалось.

Создать групповую политику для контейнера Active Directory

можно только при наличии определенного набора условий. Необходимо

иметь работающий контроллер домена Windows 2000. Пользователь,

который создает групповую политику, должен обладать правами на

чтение и запись в системный том контроллеров домена (папка Sysvol).

Кроме того, он должен иметь

право модификации выбранного контейнера

Active Directory.

После запуска оснастки Групповая политика (рис.12) в окне

структуры появляется набор узлов, которые являются расширениями этой

оснастки. По умолчанию все расширения загружаются в процессе запуска

оснастки. Однако их состав можно изменить с помощью средств создания

Рис.12. Развернутое дерево оснастки Групповая политика, в кото

ом

можно видеть ее расширения

индивидуальной конфигурации консоли ММС и с помощью политик,

определяюших работу самой консоли. Подход, предполагающий

применение расширений, позволяет пользователям создавать свои

собственные расширения оснастки Групповая политика, наделяя ее

способностью устанавливать дополнительные групповые политики.

Любое расширение может в свою очередь состоять из расширений,

поэтому оснастка Групповая политика - чрезвычайно гибкий

инструмент, который можно

сконфигурировать для конкретной

компьютерной среды.

Узел Конфигурация компьютера (Computer Configuration)

Узел Конфигурация компьютера содержит параметры всех

политик, определяющих работу компьютера. Они регулируют

функционирование операционной системы, вид рабочего стола, задают

параметры выполняемых приложений, определяют работу средств

обеспечения безопасности и т. д. Групповая политика применяется к

компьютеру на этапе загрузки системы и в

дальнейшем при выполнении

циклов обновления, о которых сказано ниже.

Узел Конфигурация пользователя

Узел Конфигурация пользователя содержит параметры всех

политик, определяющих работу пользователя на компьютере. Они

регулируют вид рабочего стола, как и в предыдущем случае, задают

параметры выполняющихся приложений, определяют работу средств

обеспечения безопасности и пользовательских сценариев входа и выхода.

Групповая

политика применяется к пользователю при его регистрации на

компьютере и в дальнейшем при выполнении циклов обновления.

Расширения оснастки Групповая политика

Ниже родительских узлов Конфигурация компьютера и

Конфигурация пользователя находятся дочерние узлы, каждый из

которых является полноценным расширением оснастки Групповая

политика. Они могут находиться в обоих родительских узлах, хотя и с

различными

параметрами, или индивидуально расширять узлы

Конфигурация компьютера или Конфигурация пользователя.

Оснастка Групповая политика имеет следующие расширения (рис. 12):

• Административные шаблоны (Administrative Templates). Здесь нахо-

дится групповая политика, определяющая параметры реестра, задаю-

щие работу и внешний вид рабочего стола, компонент операционной

системы и приложений.

• Параметры безопасности (Security Settings). Служит для настройки

параметров системы безопасности компьютеров, на которые воздей-

ствует данный объект групповой политики. С помощью групповых

политик можно настроить

безопасность локального компьютера, до-

мена и целой сети.

• Установка программ (Software Installation). Служит для централизо-

ванного управления программным обеспечением организации. С его

помощью можно задавать различные режимы установки новых про-

грамм на компьютеры пользователей (только для политики в домене).

• Сценарии (Scripts). Сценарии используются для автоматического вы-

полнения набора команд при загрузке

операционной системы и в про-

цессе завершения ее работы, а также при регистрации и отключении

пользователя от сети.

• Перенаправление папок (Folder Redirection). Позволяет перенаправ-

лять обращение к специальным папкам в сеть (только для политики в

домене).

Административные шаблоны (Administrative Templates)

С помощью расширения Административные шаблоны

администратор системы может настроить целый набор параметров

реестра

, задающих режим функционирования компонентов операционной

системы и приложений.

Задать конкретные параметры, доступные для модификации с

помощью интерфейса пользователя оснастки Групповая политика,

можно с помощью специальных административных шаблонов.

Модифицируемые значения параметров реестра, относящиеся к

зарегистрированному в компьютере пользователю, записываются в раздел

реестра НКЕY_CURRENT_USER. Значения шаблонов, относящиеся к

компьютеру, записываются в раздел

НКЕY_LOCAL_MACHINE.

Административный шаблон представляет собой текстовый файл в

кодировке Unicode с расширением adm, информация которого определяет,

как доступные для модификации параметры реестра должны

отображаться в окне интерфейса пользователя оснастки Групповая

политика. Кроме того, административные шаблоны задают разделы

реестра, куда должны быть записаны модифицированные значения

параметров, с их помощью проверяется допустимость вводимых значений

параметров. В некоторых случаях с помощью шаблонов могут быть

заданы значения параметров реестра, выбираемые по умолчанию.

Операционная система Windows 2000 содержит два файла

административных шаблонов – system.adm и inetres.adm, где описаны все

параметры реестра, доступные для изменения и отображаемые в

расшире-

нии Административные шаблоны по умолчанию. Узел

Административные шаблоны может быть расширен. Для этого

администратор должен присоединить индивидуальный административный

шаблон:

7. Установите указатель мыши на узел Административные шаб-

лоны и нажмите правую кнопку.

8. В появившемся контекстном меню выберите команду Добавле-

ние и удаление шаблонов (Add/Remove Template).

9. В окне Добавление и

удаление шаблонов нажмите кнопку До-

бавить. Если вы на данном этапе хотите удалить ненужный

шаблон, нажмите кнопку Удалить (Remove).

10. Если была нажата кнопка Добавить, появится окно диалога

Шаблоны политики (Policy Templates), в котором следует вы-

Рис.13. Присоединение административного шаблона

брать добавляемый шаблон и нажать кнопку Открыть (Open)

(рис. 13).

11. В окне Добавление и удаление шаблонов нажмите кнопку За-

крыть (Close).

Внутри узла Административные шаблоны появятся

дополнительные папки, соответствующие добавленному шаблону. С их

помощью администратор может редактировать параметры

дополнительного набора разделов реестра.

Создание индивидуального административного шаблона. При

установке нового программного обеспечения

содержимое реестра

изменяется. Как правило, в нем появляются новые параметры и даже

ветви. Ими нельзя управлять с помощью оснастки Групповая политика,

поскольку стандартные административные шаблоны не предоставляют

доступ к вновь появившимся разделам реестра. В таких случаях

необходимо создать индивидуальный административный шаблон. Он

может быть сгенерирован с помощью любого текстового редактора,

позволяющего работать с файлами в кодировке Unicode, например,

программы Блокнот (Notepad). В административном шаблоне с помощью

специального языка определяется иерархия категорий и подкатегорий,

задающая взаимоотношения между доступными для модификации

параметрами реестра. Каждая из категорий и подкатегорий может

состоять из нескольких политик. Каждая политика, в свою очередь, может

состоять из нескольких частей. Все политики

и части политик

описываются с помощью операторов языка создания административных

шаблонов. Они позволяют описать название политики, параметр реестра,

который регулирует политика, набор допустимых значений параметра,

элементы управления пользовательского интерфейса оснастки Групповая

политика, с помощью которых можно настроить данный параметр, и т. д.

Состав и синтаксис языка создания административных шаблонов в

данной

книге подробно не рассматривается.

Параметры безопасности (Security Settings)

С помощью расширения Параметры безопасности можно

определить параметры политики безопасности, определяющие различные

аспекты работы системы безопасности Windows 2000. Созданная в

объекте групповой политики конфигурация воздействует на все

компьютеры, находящиеся в контейнере, к которому присоединен данный

GPO.