Книга Active directory

9 0 9

Г. П р а в и л ь н ы й Если компьютер отконфигурировать и режиме обработки

з а м ы к а н и я политики, к нему будут применяться параметры политик в

з о в а т е л я

(User Configuration) будет устанавливаться на компьютерах.

3. П р а в и л ь н ы е

ответы: А, В, Г и Д.

Б. Н е п р а в и л ь н ы й

Прежде чем запускать приложение, его следует пол-

ностью установить . П р и публикации приложения пользователь дол-

ж е н установить его с помощью инструмента Программы и компоненты

( P r o g r a m s

And

Features) на панели управления Windows Server 2008

и W i n d o w s

P r o g r a m s )

пись пользователя . Поскольку объект G P O привязан к подразделению

С л у ж а щ и е , его

необходимо фильтровать с помощью группы безопас-

ности, в к л ю ч а ю щ е й пользователей в четырех филиалах.

Д.

П р а в и л ь н ы й

Ч т о б ы приложение было полностью установлено перед I

его п е р в ы м запуском пользователем, необходимо назначить установку

п р и л о ж е н и я .

Е.

Н е п р а в и л ь н ы й

О п ц и я Обязательное обновление для уже установлен-

ных п р и л о ж е н и й (Required Upgrade For Existing Packages) используется

только в сценариях обновления.

при попытках пользователя в о й т и с

п о м о щ ь ю у ч е т н о й записи пользо -

вателя домена на любой к о м п ь ю т е р

в домене .

A. Неправильный

Аудит у п р а в л е н и я у ч е т н ы м и з а п и с я м и создает собы -

тия, связанные с созданием, удалением и м о д и ф и к а ц и е й пользователей,

компьютеров и групп в Active Directory, но он не о т о б р а ж а е т предыду -

Б.

Правильный

С помощью к о м а н д ы Auditpol.exe м о ж н о

в к л ю ч и т ь аудит

изменений службы каталогов, к о т о р ы й з а п и с ы в а е т с в е д е н и я об измене -

ниях, внесенных в атрибуты, как о п р е д е л е н о в с п и с к а х S A C L объектов

Active Directory. В записи ж у р н а л а

с о б ы т и й в к л ю ч а ю т с я п р е д ы д у щ и е

и измененные значения атрибутов .

B. Неправильный

Аудит и с п о л ь з о в а н и я п р и в и л е г и й с в я з а н с в ы п о л н е -

Г.

Н е п р а в и л ь н ы й

Аудит доступа

к

с л у ж б е к а т а л о г о в

о т с л е ж и в а е т из-

не р е г и с т р и р у е т

Правильные ответы: Д, Е, Ж.

A. Н е п р а в и л ь н ы й

Вы о т к о н ф и г у р и р о в а л и р а з р е ш е н и я с з а п р е т о м до -

ступа для консультантов. Поэтому

аудит у с п е ш н ы х п о п ы т о к д о с т у п а

вестись не будет.

Б.

Неправильный

С о б ы т и я доступа

к

рироваться на ф а й л о в ы х серверах,

а

B.

Неправильный

Политика аудита доступа к с л у ж б е к а т а л о г о в с в я з а н а

с изменениями объектов в Active Directory, а не с п а п к о й в д и с к о в о й

подсистеме.

Г.

Неправильный

Параметр политики аудита д о л ж е н п р и м е н я т ь с я к фай -

Д .

Правильный

На ф а й л о в ы х серверах н е о б х о д и м о в к л ю ч и т ь аудит до-

ступа к объектам. Объект групповой

применяется ко всем ф а й л о в ы м

серверам.

Е.

Правильный

События доступа

к ф а й л о в о й системе

р е г и с т р и р у ю т с я

в журнале Безопасность (Security)

каждого ф а й л о в о г о сервера.

Ж. Правильный

Элементы аудита необходимо о т к о н ф и г у р и р о в а т ь в пап-

ке Конфиденциальные данные. О ш и б к и аудита полного доступа (Full

Control) создают события аудита д л я о ш и б к и любого т и п а доступа .

Ответы

9-| •[

Глава 7. Ответы на вопросы сценариев

Сценарий 1. Установка программного обеспечения

с помощью групповой политики

1.

П а к е т д л я

п р и л о ж е н и я необходимо создать в узле Конфигурация

ком-

ф и г у р а ц и я

пользователя (User Configuration), приложение будет связано

2.

тера ( C o m p u t e r Configuration), опция публикации

будет недоступна. Бу-

дут д о с т у п н ы

л и ш ь опции

Назначенный (Assign)

и Особый (Advanced).

Д л я с в я з и т р а н с ф о р м а ц и и с

пакетом следует выбрать особый тип развер-

т ы в а н и я .

3.

( C o m p u t e r

Configuration), поэтому в область действия GPO необходимо

в к л ю ч и т ь

компьютеры . Объект G P O можно связать с доменом или под-

разделением

Клиенты, в котором находятся все клиентские компьютеры.

О б ъ е к т G P O

н у ж н о фильтровать для применения только к компьютерам

в м о б и л ь н о м

отделе продаж. Д л я этого следует создать глобальную груп-

Сценарий 2. Настройка безопасности

1.

o n e ) к папке

на уровне П о л н ы й доступ (Full Control), включающий все

на уровне

П о л н ы й доступ д л я сбора данных о действиях на всех уровнях

доступа.

2.

п о л и т и к и

Ч л е н ы этой группы (Members). Он перечисляет полномочных

I 9 1 2

Ответы

4.

5.

Параметры политики

в объектах

могут заменить ваши

параметры

Глава 8. Ответы на вопросы занятий

Занятие 1

1.

Правильные ответы: В, Г и Д.

A. Неправильный

Default Domain Policy определяют п о л и т и к и д л я всех пользователей

в домене, а не только д л я подразделения Service Accounts.

Б.

Неправильный

телями, но нельзя связать с подразделениями .

B. Правильный

ходимо создать группу, включающую подразделение Service Accounts.

Г.

Правильный

counts. В противном случае параметры в P S O не будут применяться .

Д.

Правильный

ходимо создать группу, включающую подразделение Service Accounts.

A. Неправильный

Параметр политики Продолжительность блокировки

учетной записи

(Account Lockout D u r a t i o n ) задается в минутах. Этот

Ответы

g-|3

перед блокировкой . Он не определяет продолжительность блокировки

учетной записи.

Г.

П р а в и л ь н ы й

Параметр Продолжительность блокировки учетной за-

писи при значении 0 блокирует учетную запись до тех пор, пока она не

будет разблокирована

администратором.

3 . П р а в и л ь н ы й ответ: В .

A.

Н е п р а в и л ь н ы й

Хотя

приоритет у объекта PSO 1 выше, объект PSO,

применяемый к группам, заменяется объектом PSO, применяемым непо-

средственно к пользователю, даже если приоритет PSO пользователя ниже.

Б.

Н е п р а в и л ь н ы й

Уровень приоритета 99 ниже уровня приоритета 1.

B.

П р а в и л ь н ы й

Хотя приоритет объекта P S 0 3 не самый высокий (при-

оритет P S O l выше), он связан с учетной записью пользователя и за-

меняет все остальные объекты PSO .

Г.

Н е п р а в и л ь н ы й О б ъ е к т P S 0 4 привязан к пользователю, однако его

уровень приоритета (200) ниже уровня приоритета PS03 .

A.

Н е п р а в и л ь н ы й

Этот параметр будет генерировать записи журнала со-

б ы т и й при успешном входе пользователя с доменной учетной записью.

П р и у с п е ш н о м

входе учетная запись не блокируется.

Б.

П р а в и л ь н ы й

При неудачных попытках входа учетной записи может

Г.

Н е п р а в и л ь н ы й

компьютера, на который пользователь входит или к которому подклю-

чается по

сети. Л о к а л ь н ы й

вход не связан с блокировкой учетных за-

писей.

2. П р а в и л ь н ы й

ответ: В.

A.

Н е п р а в и л ь н ы й

С о б ы т и я

входа учетной записи генерируются при

входе пользователя с доменной учетной записью на любой компьютер

в домене.

Б.

Н е п р а в и л ь н ы й

П о л и т и к и

аудита находятся в узле Конфигурация

I 9 1 4

Ответы

Г.

Н е п р а в и л ь н ы й

С о б ы т и я

входа

у ч е т н о й з а п и с и г е н е р и р у ю т с я копт -

роллерами домена при проверке

п о д л и н н о с т и входа

пользователя па

любой компьютер в домене. Контроллеры домена не включены в область

действия

этого объекта G P O .

Занятие 3

1.

Правильный ответ: Б.

A . Неправильный

троллер домена

Windows

Server 2 0 0 8 с д о с т у п о м

з а п и с и . Такой конт-

роллер уже есть в домене.

Б .

Правильный

Чтобы к о н т р о л л е р

R O D C мог р е п л и ц и р о в а т ь

разделы

приложений

DNS, следует

з а п у с т и т ь к о м а н д у

Adprep/rodcprep

д л я

па-

стройки

леса.

B.

Н е п р а в и л ь н ы й

Команда

Dmngmt

и с п о л ь з у е т с я

д л я

н а с т р о й к и

раз-

деления

а д м и н и с т р а т и в н ы х р о л е й

н а к о н т р о л л е р е R O D C

п о с л е

его

установки.

Г

Неправильный

Команда Dcpivmo

и с п о л ь з у е т с я д л я у с т а н о в к и иа кон -

троллере домена, включая

R O D C .

2.

Правильный ответ: А.

A. Правильный

На вкладке И с п о л ь з о в а н и е п о л и т и к и (Policy

Usage) диа-

логового

окна

Р а с ш и р е н н а я

п о л и т и к а р е п л и к а ц и и п а р о л е й

( A d v a n c e d

Password

Replication Policy)

п а р о л и

к о т о р ы х

хранятся на контроллере R O D C .

Б .

Н е п р а в и л ь н ы й

Группа

с

п а р о л е й R O D C

(Allowed

R O D C

Password

Replication G r o u p ) у к а з ы в а е т п о л ь з о в а т е л е й ,

учетные данные

которых

к э ш и р у ю т с я иа всех к о н т р о л л е р а х

R O D C в

домене.

B. Неправильный

пользователей, учетные д а н н ы е к о т о р ы х не к э ш и р у ю т с я иа

к о н т р о л л е -

рах R O D C в домене.

Г. Н е п р а в и л ь н ы й

Policy) оценивается политика р е п л и к а ц и и паролей д л я п о л ь з о в а т е л я

или компьютера, по не указывается к э ш и р о в а н и е у ч е т н ы х д а н н ы х этого

пользователя

или компьютера иа к о н т р о л л е р е R O D C .

А.

Н е п р а в и л ь н ы й

Группа

с р а з р е ш е н и е м р е п л и к а ц и и п а р о л е й R O D C

(Allowed R O D C

Password

Replication G r o u p ) у к а з ы в а е т пользователей,

учетные д а н н ы е

к о т о р ы х

к э ш и р у ю т с я н а всех к о н т р о л л е р а х R O D C

в домене. Этим пяти пользователям необходимо входить только па один

из контроллеров ф и л и а л о в .

Б .

Правильный

На вкладке П о л и т и к а р е п л и к а ц и и п а р о л е й ( P a s s w o r d

Replication Policy) контроллера R O D C ф и л и а л а можно указать учетные

данные, которые будут кэшироваться на к о н т р о л л е р е R O D C .

915

В. Неправильный

Пользователям не нужно разрешение локального входа

Г. П р а в и л ь н ы й

Предварительно заполнив учетные данные этих пяти

пользователей, вы гарантируете возможность проверять их подлинность

па контроллере

R O D C без необходимости перенаправлять проверку

I 9 1 6

Ответы

в процессе установки . О д н а к о д л я в ы п о л н е н и я э т о й з а д а ч и м о ж н о т а к ж е

и с п о л ь з о в а т ь

мастер .

Б .

Н е п р а в и л ь н ы й

Ч а щ е всего д л я с о з д а н и я н о в о г о д о м е н а и с п о л ь з у ю т с я

независимые серверы . Э т о означает, ч т о н у ж н о в о й т и в с и с т е м у с права -

ми л о к а л ь н о г о а д м и н и с т р а т о р а , а з а т е м п р е д о с т а в и т ь с о о т в е т с т в у ю щ и е

у ч е т н ы е д а н н ы е л е с а д л я д о б а в л е н и я д о м е н а в о в р е м я у с т а н о в к и .

В .

П р а в и л ь н ы й

н а п е р в ы х

с т р а н и ц а х .

Г .

Н е п р а в и л ь н ы й

У ч е т н ы е д а н н ы е з а п р а ш и в а ю т с я м а с т е р о м п р и подго -

товке к установке .

И с п о л ь з о в а н и е н е з а в и с и м о г о

и л и р я д о в о г о с е р в е р а

никак

не п о в л и я е т

на ход о п е р а ц и и .

2. П р а в и л ь н ы е о т в е т ы : Б и Г.

A .

Н е п р а в и л ь н ы й

Д л я с о з д а н и я д о м е н н о г о д е р е в а

н у ж н о

в ы б р а т ь рас -

ш и р е н н ы й р е ж и м

мастера, о д н а к о в ы б о р

э т о г о р е ж и м а

н е в л и я е т н а

способность мастера создать

д е л е г и р о в а н и е .

Б .

П р а в и л ь н ы й

шего уровня (.ms), д е л е г и р о в а н и е н е о б х о д и м о с о з д а т ь в р у ч н у ю в к о р н е -

вом домене леса. Мастер не м о ж е т с д е л а т ь э т о а в т о м а т и ч е с к и , п о с к о л ь к у

в ы н е располагаете у ч е т н ы м и д а н н ы м и к о р н е в о г о D N S - с е р в е р а , к о т о р ы й

поддерживает это

имя .

B .

Н е п р а в и л ь н ы й

П о с к о л ь к у

в ы с о з д а е т е д е л е г и р о в а н и е

в р у ч н у ю , сле -

дует указать

мастеру п р о п у с т и т ь э т о т э т а п .

Г .

П р а в и л ь н ы й

мастеру п р о п у с т и т ь э т о т этап .

Д .

Н е п р а в и л ь н ы й

В ы можете создать д е л е г и р о в а н и е в р у ч н у ю п о с л е уста -

новки доменного дерева, но л у ч ш е с о з д а т ь его з а б л а г о в р е м е н н о , а з а т е м

добавить к о м п о н е н т ы в его к о н ф и г у р а ц и и

п о с л е с о з д а н и я д о п о л н и т е л ь -

ных к о н т р о л л е р о в

в д о м е н н о м д е р е в е .

Занятие 2

1. П р а в и л ь н ы е о т в е т ы : А, Б, В, Г и Д.

A .

Правильный

очистку д л я всех зон, но л у ч ш е п р о в е р и т ь п р и м е н е н и е о ч и с т к и к в а ш е й

зоне.

Б . П р а в и л ь н ы й

р е к т н о при с о з д а н и и з о н ы ,

н о д л я з о н ы

в с е г д а

л у ч ш е и с п о л ь з о в а т ь

соответствующую

о б л а с т ь р е п л и к а ц и и .

B.

П р а в и л ь н ы й

с о з д а т ь

и д р у г и е

н а с т р а и в а -

емые

записи,

н о

о б я з а т е л ь н о

н у ж н о с о з д а т ь

к а к

м и н и м у м

две: з а п и с ь

Текст

(Text)

( T X T ) и з а п и с ь

О т в е т с т в е н н о е

л и ц о

( R e s p o n s i b l e P e r s o n )

( R P ) , Э т и з а п и с и б у д у т и с п о л ь з о в а т ь с я д л я о б н о в л е н и я з а п и с и S O A

( S t a r t Of A u t h o r i t y ) .

Ответы

9 1 7

Г.

П р а в и л ь н ы й

З а п и с ь Текст (Text) ( T X T ) будет содержать информацию

д л я о п е р а ц и о н н ы х стандартов DNS, п р и м е н я е м ы х к зоне.

Д .

П р а в и л ь н ы й

Адрес э л е к т р о н н о й п о ч т ы назначается записи Ответс-

( R P ) , чтобы обеспечить возможность

с в я з и с о п е р а т о р о м при в о з н и к н о в е н и и проблем разрешения имен.

Е.

Н е п р а в и л ь н ы й

П о с к о л ь к у зона

новая, в ней не должно быть

неис-

п о л ь з у е м ы х з а п и с е й .

З о н ы о б р а т н о г о

просмотра требуются только

в том

случае, когда зона у п р а в л я е т безопасными веб-приложениями. Никакой

и н ф о р м а ц и и о

т а к и х п р и л о ж е н и я х не поступало.

A.

П р а в и л ь н ы й

П о с к о л ь к у все з о н ы локализованы на контроллерах до-

мена, д л я у п р а в л е н и я D N S необходимо использовать учетные данные

а д м и н и с т р а т о р а д о м е н а .

Б.

П р а в и л ь н ы й

Е с л и сервер не включен в раздел, этот раздел будет не-

д о с т у п е н д л я сервера .

B .

Н е п р а в и л ь н ы й

Учетные з а п и с и администратора предприятия требу-

ю т с я т о л ь к о д л я

с о з д а н и я раздела каталога приложений, а не для его

н а з н а ч е н и я .

Г.

Н е п р а в и л ь н ы й

С п о м о щ ь ю командной строки можно назначать зоны

д л я р а з д е л о в , о д н а к о это необязательно .

Д .

Н е п р а в и л ь н ы й

раздела в DNS всегда можно

и з м е н и т ь п о с л е его с о з д а н и я . Это одна

из основных операций с

DNS-

з о н а м и , к о т о р ы е д о л ж н ы в ы п о л н я т ь

администраторы.

Глава 9. Ответы на вопрос сценария

С ц е н а р и й . Б л о к и р о в а н и е к о н к р е т н ы х D N S - и м е н

К о м п а н и я Trey R e s e a r c h

м о ж е т добавить два проблемных имени в глобальный

с п и с о к

б л о к и р о в а н и я

з а п р о с о в на своих

DNS-серверах. Эта операция выпол-

н я е т с я

в к о м а н д н о й с т р о к е с п о м о щ ь ю следующей команды:

dnscmd /config /globalqueryblocklist wpad isatap

biometrics biology

Э т а

к о м а н д а г а р а н т и р у е т , что п р о т о к о л

Web Proxy Automatic Discovery