Книга Active directory
.pdf' 3 2 8 |
Параметры групповой политики |
Глава 7 |
3. Вы создали политику безопасности с п о м о щ ь ю мастера н а с т р о й к и безопасности. Теперь следует развернуть параметры в этой п о л и т и к е безопасности на серверах в подразделении Серверы. Какие из следующих д е й с т в и й нужно выполнить для этого? (Укажите два действия . К а ж д ы й п р а в и л ь н ы й ответ является частью полного решения . )
A. Применить команду Scwcmd.exe /transform.
Б. Создать объект групповой п о л и т и к и в к о н т е й н е р е О б ъ е к т ы групповой политики (Group Policy Objects) .
B. В объекте G P O щелкнуть правой к н о п к о й м ы ш и узел П а р а м е т р ы безопасности (Security Settings) и в ы п о л н и т ь к о м а н д у И м п о р т ( I m p o r t ) .
Г. Связать объект G P O с подразделением С е р в е р ы .
Занятие 3. Управление установкой программного
обеспечения с помощью групповой политики
Для развертывания программного обеспечения в орг анизации и с п о л ь з у ю т с я такие средства, как Microsoft System Center Configuration M a n a g e r (Configuration Manager) и его предшественник Microsoft Systems M a n a g e m e n t Server ( S M S ) .
Хотя эти инструменты |
обеспечивают з н а ч и т е л ь н ы е |
п р е и м у щ е с т в а , включая |
||
счетчики использования программного |
о б е с п е ч е н и я |
и |
с и с т е м ы инвентариза - |
|
ции, в большинстве случаев программное обеспечение |
м о ж н о р а з в е р н у т ь без |
|||
помощи этих средств, |
и с п о л ь з у я л и ш ь |
у з е л У с т а н о в к а п р о г р а м м ( S o f t w a r e |
||
Installation) групповой |
политики. |
|
|
|
Изучив материалы этого занятия, вы научитесь:
/Развертывать программное обеспечение для компьютеров и пользователей с помощью GPSI (Group Policy Software Installation) .
/Удалять программное обеспечение, установленное с помощью GPSI.
Продолжительность занятия — около 35 мин.
Установка программ в групповой политике
Узел Установка программ (Software Installation) в г р у п п о в о й п о л и т и к е предназначен для создания управляемой п р о г р а м м н о й с р е д ы со с л е д у ю щ и м и характеристиками:
•пользователи имеют доступ к приложениям, н е о б х о д и м ы м д л я выполнения
работы, независимо от компьютера, на к о т о р о м они в х о д я т в сеть;
•на компьютерах устанавливаются необходимые п р и л о ж е н и я без участия команды технической поддержки;
• приложения можно обновлять, п о д д е р ж и в а т ь и у д а л я т ь в соответствий с требованиями организации.
Расширение Установка программ (Software Installation) я в л я е т с я одним из многих расширений (или компонентов) клиентской стороны C S E (Client-Side Extension), которые поддерживают управление и з м е н е н и я м и и конфигурацией
' 3 3 0 |
Параметры групповой политики |
Глава 7 |
|
ПРИМЕЧАНИЕ |
Установка программ в групповой политике и пакеты установщика Windows |
||
Полный контроль над приложениями расширение Установка программ (Software Installation) может обеспечить только в том случае, если приложения развертываются с помощью пакетов Windows Installer. Другие инструменты, включая Configuration Manager и SMS, управляют приложениями, использующими иные механизмы развертывания.
Ф а й л .msi, трансформации |
и другие ф а й л ы , н е о б х о д и м ы е д л я у с т а н о в к и |
приложения, хранятся в общей |
точке р а с п р о с т р а н е н и я п р о г р а м м н о г о обеспе- |
чения (SDP) . |
|
Опции развертывания п р о г р а м м н о г о о б е с п е ч е н и я
Программное обеспечение можно развертывать путем его н а з н а ч е н и я пользователям и компьютерам или путем п у б л и к а ц и и п р и л о ж е н и й д л я пользователей . Необходимое или обязательное программное обеспечение назначается пользователям и компьютерам. Опубликованное п р и л о ж е н и е п о л ь з о в а т е л и могут по желанию установить д л я в ы п о л н е н и я своей работы .
СОВЕТ К ЭКЗАМЕНУ
Запомните разницу между назначением и публикацией приложений.
Назначение п р и л о ж е н и й П р и |
н а з н а ч е н и и п р и л о ж е н и я п о л ь з о в а т е л ю об- |
новляются локальные параметры |
реестра п р и л о ж е н и я , в к л ю ч а я р а с ш и р е н и я |
файловых имен и создание ярлыков в меню Пуск ( S t a r t ) и на рабочем столе, которые обеспечивают доступ к п р и л о ж е н и ю . Я р л ы к д л я д о с т у п а к п р и л о ж е н и ю следует за пользователем независимо от ф и з и ч е с к о г о к о м п ь ю т е р а , с п о м о щ ь ю которого пользователь входит в домен. Это п р и л о ж е н и е у с т а н а в л и в а е т с я при
первой активации п р и л о ж е н и я п о л ь з о в а т е л е м на |
к о м п ь ю т е р е , как, например, |
выбор этой программы в меню П у с к ( S t a r t ) и л и |
о т к р ы т и е докум ента , сопос- |
тавленного с программой. При назначении п р и л о ж е н и я компьютеру программа устанавливается в процессе загрузки компьютера .
Публикация приложений П р и п у б л и к а ц и и п р и л о ж е н и я д л я пользователей приложение не отображается как у с т а н о в л е н н а я п р о г р а м м а на компьютерах
пользователей, то есть в мешо Пуск |
( S t a r t ) |
и |
на рабочем столе нет ярлыков |
программы. Однако п р и л о ж е н и е д о с т у п н о |
в |
а п п л е т е Установка и удаление |
|
программ (Add Or Remove P r o g r a m s ) |
п а н е л и |
у п р а в л е н и я в W i n d o w s ХР или |
|
апплете Программы и компоненты (Programs And Features) в системе Windows Vista и Windows Server 2008. Кроме того, п р и л о ж е н и е может быть установлено при открытии пользователем ф а й л а типа, сопоставленного с этой программой. Например, если для пользователей о п у б л и к о в а н а п р о г р а м м а Acrobat Reader, она будет установлена при открытии пользователем ф а й л а с расширением .pdf.
Назначая или публикуя и н а ц е л и в а я п р и л о ж е н и я на пользователей или компьютеры, вы сможете установить среду, соответствующую целям управления программным обеспечением. В табл. 7-1 о п и с а н ы о п ц и и развертывания программного обеспечения.
' 332 |
Параметры групповой политики |
Глава 7 |
Ответ на контрольный вопрос
• Опубликуйте приложение. Для его установки администратор использует апплет Программы и компоненты (Programs And Features) панели управления в Windows Server 2008 и Windows Vista или Установка и удаление программ (Add/Remove Programs) в Windows ХР.
Подготовка точки SDP
Точка распространения программного обеспечения S D P (Software Distribution Point) представляет собой общую папку, из которой пользователи и компьютеры могут устанавливать приложения. Создайте общую и отдельную папки для каждого приложения. Затем скопируйте в папки приложений программный пакет, модификации и все остальные необходимые файлы. Задайте соответствующие разрешения Чтение и выполнение (Read And Execute) д л я пользователей или компьютеров, предоставляющие минимальный уровень привилегий, необходимый для успешной установки приложения из точки SDP. Д л я обеспечения поддержки SDP администраторы S D P должны иметь возможность изменения и удаления файлов.
Создание объектов GPO для развертывания программного обеспечения
Чтобы создать объект групповой политики д л я развертывания программного обеспечения, используйте консоль Управление групповой политикой (Group Policy Management) или выберите существующий объект G P O . Отредактируйте объект GPO с помощью Редактора управления групповыми политиками (Group Policy Management Editor). Разверните узлы консоли Конфигурация пользователя\Политики\Конфигурация программ\Установка программ (User Configuration\Policies\Software Settings\Software Installation). В качестве альтернативы выберите узел Установка программ (Software Installation) в секции Конфигурация компьютера (Computer Configuration). Щелкните правой кнопкой мыши узел Установка программ, выполните команду Создать (New) и щелкните опцию Пакет (Package). Локализуйте файл .msi приложения. Щелкните Открыть (Open). Откроется диалоговое окно Развертывание программ (Deploy Software), показанное на рис. 7-12. Выберите опцию Публичный (Published), Назначенный (Assigned) или Особый (Advanced). Вы не можете публиковать приложение для компьютеров, так что при создании пакета в узле Установка программ секции Конфигурация компьютера эта опция будет недоступна.
С помощью опции развертывания Особый (Advanced) можно указать публикацию или назначение приложения с доступной настройкой дополнительных свойств программного пакета. Поэтому рекомендуется использовать опцию Особый (Advanced). Откроется диалоговое окно свойств пакета. Помимо других важных опций вы можете отконфигурировать опции, перечисленные ниже.
• Тип развертывания (Deployment Туре) На вкладке Развертывание (Deployment) отконфигурируйте тип развертывания — Публичный (Published) или Назначенный (Assigned).
' 3 3 4 |
Параметры групповой политики |
|
Глава 7 |
для соответствующих компьютеров и л и пользователей . Во |
м н о г и х с ц е н а р и я х |
||
управления программами п р и л о ж е н и я н а з н а ч а ю т с я к о м п ь ю т е р а м , а |
не поль- |
||
зователям, поскольку большинство л и ц е н з и й п р о г р а м м н о г о |
о б е с п е ч |
е н и я поз- |
|
воляют установить приложение на одном компьютере, а е с л и н а з н а ч и т ь приложение пользователю, то оно будет у с т а н а в л и в а т ь с я на к а ж д о м компьютере, куда входит пользователь.
Как описано в главе 6, область д е й с т в и я |
G P O м о ж н о задать п у т е м связы - |
||
вания G P O с подразделением и л и путем ф и л ь т р а ц и и G P O д л я |
п р и м е н е н и я |
||
только к выбранным глобальным г р у п п а м |
б е з о п а с н о с т и . М н о г и е организа - |
||
ции предпочитают управлять п р о г р а м м н ы м |
о б е с п е ч е н и е м |
п у т е м с в я з ы в а н и я |
|
объекта G P O приложения с доменом и ф и л ь т р а ц и и G P O |
с и с п о л ь з о в а н и е м |
||
глобальной группы безопасности, с о д е р ж а щ е й п о л ь з о в а т е л е й и |
компьютеры, |
||
для которых нужно развернуть приложение . Н а п р и м е р , о б ъ е к т |
G P O , развер- |
||
тывающий инструмент X M L Notepad (доступен в ц е н т р е з а г р у з к и Microsoft по адресу http://www.microsoft.com/downloads), с в я з ы в а е т с я с д о м е н о м и фильтру - ется с использованием группы, содержащей разработчиков, к о т о р ы м необходим этот инструмент. Группа получает описательное и м я с у к а з а н и е м ее назначения (например, группа A P P _ X M L ) Notepad д л я р а з в е р т ы в а н и я п р о г р а м м ы X M L Notepad.
СОВЕТ К ЭКЗАМЕНУ
На сертификационном экзамене 70-640 вы можете получить вопросы относительно сценариев установки программ, в которых на самом деле проверяется ваша способность эффективно определять область действия GPO . Отвечая на вопросы экзамена, старайтесь определить, какие конкретно знания требуются для ответа на вопрос.
Поддержка приложений, развернутых с помощью групповой политики
После установки приложения иа к о м п ь ю т е р е с п о м о щ ь ю пакета установщика Windows Installer, указанного объектом G P O , к о м п ь ю т е р не будет пытаться заново установить приложение при к а ж д о м о б н о в л е н и и г р у п п о в о й политики. Тем не менее в некоторых ситуациях необходимо п е р е у с т а н о в и т ь приложение. Например, в начальный пакет установщика W i n d o w s Installer могут быть внесены незначительные изменения. Ч т о б ы заново р а з в е р н у т ь приложение, уже развернутое с помощью групповой политики, в объекте G P O щелкните пакет правой кнопкой мыши, выберите команду Все задачи (All Tasks) и щелкните задачу Развернуть приложение заново (Redeploy Application) .
Вы также можете обновить приложение, развернутое с помощью групповой политики. В узле Установка п р о г р а м м ( S o f t w a r e I n s t a l l a t i o n ) объекта G P O
создайте пакет для новой версии |
п р и л о ж е н и я . Э т о т п а к е т |
л у ч ш е создать в |
том же объекте GPO, где создана |
п р е д ы д у щ а я версия, и л и |
в другом объекте |
GPO. Щелкните пакет правой кнопкой м ы ш и и в ы п о л н и т е команду Свойства (Properties). Перейдите на вкладку О б н о в л е н и я ( U p g r a d e s ) и щелкните Добавить (Add). Откроется диалоговое окно Д о б а в л е н и е о б н о в л е н и я (Add Upgrade Package), показанное на рис. 7-13.
Занятие 3 |
Управление установкой программного обеспечения |
3 3 5 |
|
|
|
*1 |
|
" Еыбор О^СЖИНИВ - |
"' |
|
|
| Г |
текущего объекте групповой погмтикк (GPO) |
|
|
С* |
м уквзз»-ого объекта rpjrmceoa политик* |
|
|
Обновляемое припоже^е
(• Ум;мть.припожекие. затем устапогитьегооСг-овлемпе С Ос^обле^-е возможно поверх «веющегося триложен*я
Рис. 7-13. Добавление |
пакета обновления |
|
Выберите |
п а к е т |
п р е д ы д у щ е й в е р с и и п р и л о ж е н и я в текущем или еще од- |
ном объекте |
G P O . |
Е с л и п р е д ы д у щ и й пакет содержится в еще одном объекте |
G P O , щ е л к н и т е к н о п к у О б з о р ( B r o w s e ) и выберите этот G P O . Затем в списке
О б н о в л я е м о е п р и л о ж е н и е ( P a c k a g e То U p g r a d e ) выберите пакет. На основе |
|
поведения процесса |
о б н о в л е н и я п р и л о ж е н и я выберите одну из опций обнов- |
ления, п о к а з а н н ы х в |
н и ж н е й части на рис. 7-13, и щелкните ОК. |
Ч т о б ы у д а л и т ь п р и л о ж е н и е , р а з в е р н у т о е с помощью групповой политики, |
|
щ е л к н и т е п а к е т п р а в о й к н о п к о й м ы ш и , выберите команду Все задачи (АН |
|
Tasks) и щ е л к н и т е |
з а д а ч у Удалить ( R e m o v e ) . В диалоговом окне Удаление |
||||||
п р и л о ж е н и й |
( R e m o v e S o f t w a r e ) в ы б е р и т е одну из следующих опций. |
||||||
• |
Н е м е д л е н н о е у д а л е н и е э т о г о |
п р и л о ж е н и я с компьютеров всех пользова- |
|||||
|
телей ( I m m e d i a t e l y U n i n s t a l l |
T h e S o f t w a r e F r o m |
Users And Computers) |
||||
|
Эта опция, н а з ы в а е м а я принудительным удалением, |
указывает |
компьютерам |
||||
|
на необходимость у д а л и т ь п р и л о ж е н и е . Расширение групповой политики |
||||||
|
Установка п р о г р а м м ( S o f t w a r e |
Installation) удалит приложение в процессе |
|||||
|
перезагрузки |
компьютера, если п р и л о ж е н и е было развернуто с помощью |
|||||
|
пакета в с е к ц и и |
К о н ф и г у р а ц и я компьютера ( C o m p u t e r Configuration) объ- |
|||||
|
екта G P O . Е с л и |
же пакет р а з м е щ е н в секции Конфигурация пользователя |
|||||
|
(U ser C o n f i g u r a t i o n ) , п р и л о ж е н и е будет удалено |
при следующем входе |
|||||
|
пользователя . |
|
|
|
|
|
|
• |
Р а з р е ш и т ь и с п о л ь з о в а н и е у ж е установленного приложения, но запретить |
||||||
|
н о в у ю у с т а н о в к у ( A l l o w s U s e r s То C o n t i n u e То |
U s e The Software, But |
|||||
|
P r e v e n t s |
N e w |
I n s t a l l a t i o n s ) |
Э т о т параметр, называемый |
опциональным |
||
|
удалением, |
дает |
у к а з а н и е р а с ш и р е н и ю установки программ |
не добавлять |
|||
|
пакет в системы, где он еще не установлен. Компьютеры, где приложение |
||||||
|
было установлено ранее, не будут принудительно удалять приложение, так |
||||||
|
что пользователи могут продолжать работать с этой программой. |
||||||
|
Если вы удаляете программу с использованием одной из описанных опций, |
||||||
важно р а з р е ш и т ь |
п а р а м е т р а м в G P O распространиться на все компьютеры |
||||||
' 3 36 |
Параметры групповой политики |
Глава 7 |
в области действия GPO перед удалением или отключением G P O . Клиентам необходимо получить параметр, указывающий на принудительное или опциональное удаление. Если перед тем, как все клиенты получат этот параметр, удалить или отменить применение G P O , программа не будет удалена в соответствии с инструкциями. В частности, сказанное касается сред с мобильными пользователями ноутбуков, которые нерегулярно подключаются к сети.
Если при создании программного пакета выбрать опцию Удалять это приложение, если его использование выходит за рамки, допустимые политикой управления (Uninstall This Application W h e n It Falls O u t Of T h e Scope Of Management), то при удалении, отключении или «развязывании» объекта G P O приложение будет принудительно удалено всеми клиентами, на которых установлен пакет с этим параметром.
Установка программ и медленные подключения
Когда клиент выполняет обновление групповой политики, он тестирует производительность сети, определяя, используется ли медленное подключение, скорость которого по умолчанию составляет 500 к б и т / с . Каждое клиентское расширение CSE отконфигурировано для обработки групповой п о л и т и к и или отмены обработки параметров в случае п р и м е н е н и я медленного подключения. По умолчанию расширение Установка программ (Software Installation) не выполняет обработку параметров групповой п о л и т и к и через медленное подключение, поскольку при установке п р и л о ж е н и я через медленное соединение могут возникать большие задержки.
Поведение обработки п о л и т и к и медленного п о д к л ю ч е н и я д л я каждого клиентского расширения CSE изменяется с п о м о щ ь ю параметров политики в узле Конфигурация к о м п ы о т е р а \ П о л и т и к и \ А д м и н и с т р а т и в н ы е шаблоны\ Система\Групповая политика (Computer Configuration\Policies\Administrative Templates\System\Group Policy). Например, поведение процесса установки программ для расширения модифицируется, чтобы выполнять обработку этой политики через медленное подключение.
Вы также можете изменить пороговую скорость подключения, определяемую как медленное соединение. Задав низкий порог скорости подключения, укажите клиентскому расширению CSE, что данное подключение не является медленным, даже если его скорость очень низкая. Д л я того чтобы выполнить обработку политики компьютера и политики пользователя, предусмотрено два отдельных параметра политики Обнаружение медленных подключений для групповой политики (Group Policy Slow Link Detection), которые находятся в узле Административные шаблоны\Система\Групповая политика (Administrative Templates\System\Group Policy) соответственно в секциях Конфигурация компьютера (Computer Configuration) и К о н ф и г у р а ц и я пользователя (User Configuration).
Практические занятия. Управление программным обеспечением
спомощью групповой политики
Вприведенных далее упражнениях предлагается установить, обновить и удалить программу с помощью расширения групповой политики Установка про-
Занятие 3 |
Управление установкой программного обеспечения |
3 3 7 |
грамм (Software Installation). В качестве развертываемой программы используется XML - редактор X M L Notepad, доступный в центре загрузки Microsoft. Предварительно необходимо выполнить следующее.
Создайте подразделение первого уровня Группы с дочерним подразделением П р и л о ж е н и я .
В подразделении П р и л о ж е н и я создайте глобальную группу безопасности
A P P _ X M L Notepad д л я пользователей и |
компьютеров, где будет развернуто |
|||
приложение |
X M L Notepad . |
|
|
|
На д и с к е |
С |
м а ш и н ы S E R V E R 0 1 создайте |
папку Software. Внутри нее |
|
создайте папку |
X M L N o t e p a d . В папке |
X M L |
Notepad предоставьте группе |
|
A P P _ X M L Notepad разрешение Чтение и выполнение (Read And Execution). Назначьте о б щ и й доступ к папке Software с именем общего ресурса Software и предоставьте группе Все (Everyone) право Разрешить полный доступ (Allow Full Control).
Загрузите X M L Notepad из центра загрузки Microsoft по адресу http://www. microsoft.com/downloads. Сохраните ф а й л в папке Software/XML Notepad. Запомните номер загружаемой версии. Во время написания этой главы текущей версией программы была версия X M L Notepad 2007.
Упражнение 1. Создание объекта GPO для развертывания программного обеспечения
Создайте объект G P O , к о т о р ы й развертывает программу XML Notepad для разработчиков.
1. Войдите на машину S E R V E R 0 1 как администратор.
2. Откройте консоль Управление групповой политикой (Group Policy Management).
[ 3. Щелкните правой кнопкой мыши контейнер Объекты групповой политики (Group Policy Objects) и выполните команду Создать (New).
4. В поле |
И м я ( N a m e ) введите и м я приложения, например XML Notepad, |
а затем |
щелкните О К . |
'5. Щелкните правой кнопкой мыши объект групповой политики ХМL Notepad
ивыполните команду Изменить (Edit).
6. Разверните узел К о н ф и г у р а ц и я пользователя\Политики\Конфигурация программ (User Configuration\Policies\Software Settings).
7. Щелкните правой кнопкой мыши узел Установка программ (Software Installation), выберите команду Создать (New) и щелкните Пакет (Package).
8. В текстовое поле И м я файла (File Name) введите сетевой путь к папке распространения программного обеспечения, как, например, \\server01\ software, выберите пакет установщика Windows Installer (например, XmlNotepad.msi) и щелкните Открыть (Open).
9.В диалоговом окне Развертывание программ (Deploy Software) выберите метод развертывания Особый (Advanced) и щелкните ОК.
10.На вкладке Общие (General) обратите внимание на то, что имя пакета включает номер версии (например, XML Notepad 2007).