5. Керування груповими політиками засобами Active Directory
5.1 Об'єкти групових політик
Всі налаштування, які ви створите в рамках групових політик, будуть зберігатися в об'єктах групової політики (Group Policy Object, GPO). Об'єкти групових політик бувають двох типів: локальний об'єкт групової політики та об'єкти групових політик Active Directory. Локальний об'єкт групової політики є на комп'ютерах під управлінням Windows 2000 і вище. Він може бути тільки один, і це єдиний GPO, який може бути на комп'ютері, не входить у домен.
Об'єкт групової політики - це загальна назва набору файлів, директорій і записів в базі Active Directory (якщо це не локальний об'єкт), які зберігають ваші настройки і визначають, які ще параметри ви можете змінити за допомогою групових політик. Створюючи політику, ви фактично створюєте і змінюєте об'єкт групової політики. Локальний об'єкт групової політики зберігається в% SystemRoot% \ System32 \ GroupPolicy. GPO Active Directory зберігаються на контролері домену та можуть бути пов'язані з сайтом, доменом або OU (Organizational Unit, підрозділ чи організаційна одиниця). Прив'язка об'єкта визначає його область дії. За умовчанням в домені створюється два об'єкти групової політики: Default Domain Policy і Default Domain Controller Policy. У першому визначається політика за замовчуванням для паролів і облікових записів в домені. Другий зв'язується з OU Domain Controllers і підвищує налаштування безпеки для контролерів домену.
5.2 Створення об'єкта групової політики
Для того щоб створити політику (тобто фактично створити новий об'єкт групової політики), відкриваємо Active Directory Users & Computers і вибираємо, де створити новий об'єкт. Створювати і прив'язувати об'єкт групової політики можна тільки до об'єкта сайту, домену або OU.
Щоб створити GPO і зв'язати його, наприклад, з OU testers клацаємо правою кнопкою миші на цьому OU і в контекстному меню вибираємо properties. У вікні властивостей відкриваємо вкладку Group Policy і натискаємо New.
Даємо назву об'єкту GP, після чого об'єкт створений, і можна приступати до конфігурації політики. Двічі клацаємо на створеному об'єкті або натискаємо кнопку Edit, відкриється вікно редактора GPO, де ви можете налаштувати конкретні параметри об'єкта.
Більшість основних налаштувань інтуїтивно зрозумілі (до того ж мають опис, якщо відкрити вкладку Extended), і ми не будемо докладно зупинятися на кожній. Як видно з рисунку, GPO складається з двох розділів: Computer Configuration і User Configuration. Установки першого розділу застосовуються під час завантаження Windows до комп'ютерів, які у цьому контейнері і нижче (якщо не скасовано спадкування), і не залежать від того, який користувач увійшов в систему. Установки другого розділу застосовуються під час входу користувача в систему.
5.3 Порядок застосування об'єктів групової політики
Коли комп'ютер запускається, відбуваються наступні дії:
Читається реєстр і визначається, до якого сайту належить комп'ютер. Робиться запит DNS-сервера з метою отримання IP адрес контролерів домену, розташованих в цьому сайті.
Отримавши адреси, комп'ютер з'єднується з контролером домену.
Клієнт запитує список об'єктів GP у контролера домену та застосовує їх. Останній надсилає список об'єктів GP в тому порядку, в якому вони повинні застосовуватися.
Коли користувач входить в систему, комп'ютер знову запитує список об'єктів GP, які необхідно застосувати до користувача, витягує і застосовує їх.
Групові політики застосовуються при завантаженні OC і при вході користувача в систему. Потім вони застосовуються кожні 90 хвилин, з варіацією в 30 хвилин для виключення перевантаження контролера домену в разі одночасного запиту великої кількості клієнтів. Для контролерів домену інтервал оновлення складає 5 хвилин. Змінити цю поведінку можна в розділі Computer Configuration \ Administrative Templates \ System \ Group Policy. Об'єкт групової політики може діяти тільки на об'єкти «комп'ютер» і «користувач». Політика діє тільки на об'єкти, що знаходяться в об'єкті каталогу (сайт, домен, підрозділ), з яким пов'язаний GPO і нижче по «дереву» (якщо не заборонено успадкування). Наприклад: Об'єкт GPO створений в OU testers (як ми зробили вище).
Всі налаштування, зроблені в цьому GPO, діятимуть тільки на користувачів і комп'ютери, що знаходяться в OU testers і OU InTesters. Розглянемо порядок застосування політик на прикладі. Користувач test, розташований в OU testers, входить на комп'ютер comp, що знаходиться в OU compOU.
У домені існують чотири GPO:
SitePolicy, пов'язаний з контейнером сайту;
Default Domain Policy, пов'язаний з контейнером домену;
Policy1, пов'язаний з OU testers;
Policy2, пов'язаний з OU compOU.
При завантаженні Windows на робочій станції comp, параметри, визначені в розділах Computer Configuration, застосовуються в такому порядку:
Параметри локального GPO;
Параметри GPO SitePolicy;
Параметри GPO Default Domain Policy;
Параметри GPO Policy2.
При вході користувача test на комп'ютер comp - параметри, визначені в розділах User Configuration:
Параметри локального GPO;
Параметри GPO SitePolicy;
Параметри GPO Default Domain Policy;
Параметри GPO Policy1.
Тобто GPO застосовуються в такому порядку: локальні політики, політики рівня сайту, політики рівня домену, політики рівня OU.
Групові політики застосовуються до клієнтів з ОС Windows XP асинхронно, а з ОС Windows 2000 - синхронно, тобто користувальницький екран входу з'являється тільки після застосування всіх політик комп'ютера, а політики користувача застосовуються до того, як з'явився робочий стіл. Асинхронне застосування політик означає, що користувальницький екран входу з'являється раніше, ніж встигають застосуватися всі політики комп'ютера, а робочий стіл - раніше, ніж застосуються всі користувальницькі політики, що призводить до прискорення завантаження та входу користувача.
Описана вище поведінка змінюється в двох випадках. Перший - комп'ютер клієнта виявив повільне з'єднання з мережею. За замовчуванням у цьому випадку застосовуються тільки параметри налаштування захисту та адміністративні шаблони. Повільним вважається підключення з пропускною здатністю менше 500 Кб / сек. Змінити це значення можна в Computer Configuration \ Administrative Templates \ System \ Group Policy \ Group Policy slow link detection. Також в розділі Computer Configuration \ Administrative Templates \ System \ Group Policy можна налаштувати деякі інші параметри політик так, щоб і вони оброблялися по повільному з'єднанню. Другий спосіб зміни порядку застосування політик - опція User Group policy loopback processing. Ця опція змінює порядок застосування політик за замовчуванням, при якому для користувача політики застосовуються після комп'ютерних та перезаписують останні. Ви можете встановити опцію loopback, щоб політики комп'ютера застосовувалися після користувацьких політик і перезаписували всі користувальницькі політики, суперечать політикам комп'ютера. У параметра loopback є 2 режими:
Merge (з'єднати) - спочатку застосовується комп'ютерна політика, потім користувацька і знову комп'ютерна. При цьому комп'ютерна політика замінює суперечать їй параметри користувальницької політики своїми.
Replace (замінити) - призначена для користувача політика не обробляється.
Проілюструвати застосування параметра User Group policy loopback processing можна, наприклад, на загальнодоступному комп'ютері, на якому необхідно мати одні й ті ж обмежені настройки, незалежно від того, який користувач ним користується.