3. Назначение и возможности системной политики

3.1. Обзорные сведения о системной политике

Системная политика (System policies) представляет собой еще одно средство, которое системные администраторы могут использовать для централизован­ного управления доступом пользователей к сети и настройкой рабочих сто­лов, в том числе разделением данных и конфигурированием параметров системы. Системная политика представляет собой настройки реестра, авто­матически устанавливаемые при регистрации пользователя на ПК. Основное отличие между системной политикой и пользовательскими профилями за­ключается в том, что системная политика применима к пользователям, группам пользователей и к конкретным компьютерам. Для каждого из этих компонентов системные администраторы могут задавать, изменять и под­держивать настройки реестра. Для определения параметров каждой политики системные администра­торы просто создают шаблоны системной политики.

В Windows 2000 для управ­ления конфигурациями групп пользователей и компьютеров используется оснастка ММС Group Policy, которая предоставляет возмож­ности по управлению конфигурациями клиентских компьютеров, в том чис­ле опции политики в отношении реестра (registry based policies), параметры безопасности (security settings), параметры установки программного обеспе­чения, скрипты и перенаправление папок (folder redirection). Параметры груп­повой политики, задаваемые администратором, содержатся в объекте группо­вой политики (Group Policy Object, GPO), который, в свою очередь, ассо­циируется с одним из контейнерных объектов Active Directory — узлом, доменом или организационной единицей.

Групповая политика Windows 2000 обладает рядом весьма существенных преимуществ перед системной политикой Windows NT 4.0, а также Win­dows 95/98:

– возможность ассоциирования с узлами (sites), доменами (domains) и орга­низационными единицами (organizational units) Active Directory. Политика, ассоциированная с контейнером Active Directory, влияет на все компью­теры и всех пользователей в пределах этого контейнера (узла, домена или организационной единицы);

– дальнейшая конфигурируемость посредством включения компь­ютеров и пользователей в группы;

– в Windows 2000 параметры реестра, задаваемые с помощью групповой политики, записываются в защищенные ключи реестра и очищаются, когда объект групповой политики становится неприменимым.

3.2. Административные шаблоны

В Windows 2000 Админи­стративные шаблоны – эти файлы имеют расшире­ние ADM – указывают, какие параметры реестра могут быть модифицированы с помощью пользовательского интерфейса ос­настки ММС Group Policy.

3.2.1. Параметры безопасности

С помощью оснастки ММС Group Policy можно задать конфигурацию безо­пасности, применимую к одной или большему количеству зон безопасности (security areas), поддерживаемых в Windows 2000 Professional или Win­dows 2000 Server. Заданная с помощью оснастки Group Policy конфигурация безопасности затем применяется ко всем компьютерам в пределах контей­нера Active Directory как часть групповой политики.

Установка параметров безопасности с помощью оснастки Group Policy до­полняет существующие функциональные возможности операционной сис­темы. Так, в распоряжение администратора предоставляются следующие возможности:

– Account Policies. Это параметры безопасности компьютера в отношении паролей, политика в отношении блокировки учетных записей, а также политики в отношении Kerberos (в доменах Windows 2000).

– Local Policies. Это группа параметров, которые задают настройки в от­ношении политики аудита, назначенных пользователям прав доступа, а также другие параметры безопасности. Опции Local policies позволяют конфигурировать доступ к данному компьютеру локально и через сеть, а также задавать события, подлежащие аудиту.

– Event Log. Параметры, управляющие безопасностью системных журналов (Application, Security и System), доступ к которым осуществляется при помощи утилиты Event Viewer.

– Restricted Groups. Эти параметры позволяют указать пользователей, при­надлежащих к группам, в отношении которых требуется жесткое соблю­дение правил безопасности.

– System Services. Эти опции управляют режимом запуска и дескрипторами безопасности для системных и сетевых сервисов.

– Registry. Используется для конфигурирования параметров безопасности для ключей реестра, включая контроль доступа, аудит, а также права вла­дельца.

– File System. Используется для конфигурирования параметров безопасно­сти в отношении объектов файловой системы, включая списки контроля доступа, аудит и права владельца.