| Новые программы oszone.net |  |
Введение
Сама инфраструктура групповой политики основана на архитектуре «клиент - сервер» с компонентами клиента и сервера и включает в себя модуль групповой политики, представляющий собой основу для обработки общих функциональных параметров административных шаблонов, а также определенных компонентов, называемых расширениями клиентской стороны (Client-side extension, CSE). Расширения клиентской стороны интерпретируют параметры в объекты групповой политики и вносят соответствующие изменения в конфигурацию компьютера или пользователя. Такие расширения относятся ко всем основным категориям параметров политики. Другими словами, одно расширение клиентской стороны предназначено для установки программного обеспечения, другое применяет изменения безопасности, третье – обеспечивает автоматическую настройку компьютеров, подключенных к проводной сети и так далее. Как, возможно, вы догадались, в разных версиях операционной системы присутствуют конкретные расширения клиентской стороны, причем, с каждой последующей версией Windows функционал групповой политики пополнялся новыми расширениями CSE. Например, с появлением операционной системы Windows Server 2008, функционал групповой политики пополнился более 20 расширениями клиентской стороны, при помощи которых возможно осуществление управления дополнительными параметрами, например, сопоставление дисков или изменение секций в свойствах *.ini-файлов, называемых предпочитаемыми групповыми политиками, которые в отличие от параметров групповой политики, предпочтения групповой политики не так строго привязываются к настройкам определенных компонентов системы. С появлением операционных систем Windows 7 и Windows Server 2008 R2 появилось расширение CSE AppLocker, при помощи которого можно указать, какие пользователи и группы в организации могут запускать определенные приложения в зависимости от уникальных идентификаторов файлов. Таких примеров можно привести много. Но необходимо помнить, что клиент групповой политики всегда извлекает объекты групповой политики из домена, включая настроенные вами расширения клиентской стороны для локального применения параметров. Параметры групповой политики определяют конкретную конфигурацию для применения. Некоторые параметры политики влияют только на пользователя независимо от того, с какого компьютера был выполнен вход в систему, а другие параметры влияют на компьютер, независимо от того, какой пользователь вошел в систему на этом компьютере. Такие параметры называются параметрами конфигурации пользователей и параметрами конфигурации компьютеров. Параметры политики определяются и располагаются в объекте групповой политики, который может включать в себя один или несколько параметров политики и применяться к одной или нескольким конфигурациям пользователя или компьютера. А, как вы знаете, объекты групповой политики (GPO) можно создавать при помощи оснастки «Управление групповой политикой» (GPMC). Из этой статьи вы узнаете об архитектуре механизма групповой политики, а также в ней вкратце будет рассмотрена архитектура таких расширений клиентской стороны, как:
Архитектура групповой политикиКак уже было упомянуто ранее, основным компонентом групповой политики является модуль групповой политики, также называемый ядром групповой политики, представляющий собой инфраструктуру, обрабатывающую серверные расширения, а также расширения клиентской стороны, управляемые при помощи таких административных инструментов, как «Управление групповой политикой» и «Редактор управления групповой политикой». Стоит отметить, что изначально каждый компьютер под управлением операционных систем Windows 2000, Windows XP и Windows Server 2003 содержит только по одному локальному объекту групповой политики, который управляет конфигурацией системы и существует независимо от членства компьютера в рабочей группе или в домене, причем, влияют они только на текущий компьютер. Располагается этот объект в папке %SystemRoot%\System32\GroupPolicy. Начиная с операционных систем Windows Vista и Windows Server 2008, операционные системы содержат множество локальных объектов GPO, где объект групповой политики «Локальный компьютер», применяемый к конфигурации компьютера ничем не отличается от соответствующего объекта GPO в системах-предшественниках. Но параметры пользователей на локальном компьютере модифицируются при помощи пользовательских параметров, которые можно найти в двух новых объектах GPO: «Администраторы» и «Не администраторы», применяемые к пользователям, согласно их членству в локальных группах. В отличие от локального применения групповой политики, доменные объекты групповой политики предназначаются для централизованного управления конфигурацией пользователей и компьютеров в домене Active Directory и хранятся непосредственно на контроллерах домена. В доменной среде, объекты GPO привязываются к таким уровням структуры Active Directory, как сайт, домен или подразделение, предоставляя возможность наследования параметров групповой политики. Изначально после установки роли «Доменные службы Active Directory» создаются два следующих объекта GPO:
Разумеется, помимо этих объектов групповой политики вы можете самостоятельно создавать объекты GPO и привязывать их к сайту, домену или любому подразделению. На следующей иллюстрации изображено взаимодействие архитектуры клиента и сервера групповой политики в рамках параметра обработки политики: Рис. 1. Компоненты групповой политики Всегда при взаимодействии клиента и сервера групповых политик, распространение объекта GPO начинается с того, что администратор при помощи так называемых административных инструментов создает объект групповой политики. На этом этапе системный администратор может вносить изменения в объект групповой политики, используя оснастку «Редактор управления групповыми политиками», вызванную из оснастки «Управление групповой политикой». В этой оснастке, в расширении серверной стороны администратор настраивает параметры политик. Оснастка располагается в библиотеке userenv.dll, которую можно найти в папке Windows\System32\. После этого, изменения, внесенные в параметры объектов групповой политики, передаются в Active Directory на контроллер домена Контроллер домена, который является связующим звеном между изменениями, внесенными в административные шаблоны системным администратором и целевым компьютером, будет извлекать настройки параметров объектов групповой политики. Контроллер домена содержит логический компонент, контейнер групповой политики, который хранит информацию о настройках объектов групповых политик в Active Directory, а также физический компонент, шаблон групповых политик, который хранится в реплицируемой папке SYSVOL, распложенной на каждом контроллере домена. При создании каждого нового объекта групповой политики, в базе данных Active Directory создается контейнер групповой политики (Group Policy Container, GPC), который вы можете найти в оснастке «Active Directory – пользователи и компьютеры». Этот контейнер вы сможете найти как дочерний контейнер Policies контейнера System, только в том случае, когда вы включите отображение дополнительных компонентов из меню «Вид», как можно увидеть на следующей иллюстрации: Рис. 2. Контейнеры групповой политики в домене Active Directory В Active Directory контейнер групповой политики создается как тип groupPolicyContainer, причем его GUID вы можете увидеть в оснастке «Active Directory – пользователи и компьютеры» в столбце «Имя». Можно выделить следующие шесть основных атрибутов, позволяющих описать различные типы данных объекта групповой политики:
значение текущего атрибута выглядит следующим образом: [{35378EAC-683F-11D2-A89A-00C04FBBCFA2}{53D6AB1D-2488-11D1-A28C-00C04FB94F17}], что представляет собой [{GUID CSE-расширения}{GUID расширения MMC}{GUID второго расширения MMC}][GUID-идентификаторы последующих CSE- и MMC-расширений] Помимо упомянутых выше атрибутов, вы еще можете найти атрибуты, отображающие пользователей и группы с правами на управление объекта групповой политики. Несмотря на то, что вы можете изменять данные атрибуты при помощи оснастки «Редактор ADSI», данные атрибуты вручную изменять не желательно. Атрибуты объекта групповой политики вы можете увидеть на следующей иллюстрации:
Рис. 3. Пример атрибутов контейнера групповой политики Каждый контейнер шаблона групповой политики после настройки объекта GPO создается и сохраняется в папке %SystemRoot%\SYSVOL на каждом контроллере домена. Причем, как уже было сказано ранее, каждый шаблон групповой политики создается с именем, указанным в атрибуте контейнера групповой политики. Шаблон групповой политики включает в себя практически все параметры объекта групповой политики, которые были добавлены в сам объект GPO. В основном, эти параметры можно найти в следующих папках:
Последний, кто участвует во взаимодействии клиента и сервера групповой политики – это клиентский компьютер, на который должны распространяться параметры политики, указанные в соответствующем объекте GPO. Если говорить о процессе распространения групповых политик на клиентский компьютер в общих чертах, то это выглядит следующим образом. Целевой компьютер связывается с контроллером домена. Модель групповых политик вызывает расширения клиентской стороны, реализованные в библиотеках, зарегистрированных в системном реестре и отвечающих за внесение изменений, согласно параметрам политики. Для выполнения настроек, указанных в параметрах групповой политики, расширения клиентской стороны изменяют конкретные параметры операционной системы. Изменения, внесенные в операционную систему при помощи модуля групповых политик, записываются в журналы событий. Начиная с операционных систем Windows Vista и Windows Server 2008, в отличие от предыдущих операционных систем, которые для выполнения обработки групповой политики использовали службу Winlogon, теперь для выполнения этих действий используется служба клиента групповой политики gpsvc. Реализовано это было с целью повышения стабильности работы системы, так как эта служба выполняется в процессе Svchost, что позволяет реализовать снижение объема памяти, занимаемого для обработки каждого процесса. В этом случае, подобно тому, как было в предыдущих операционных системах, расширения CSE запускаются в пространстве текущего процесса, как можно увидеть на следующей иллюстрации: Рис. 4. Расширения CSE Как вы видите на этой иллюстрации, в обработке групповой политики принимают участие библиотеки, отвечающие за следующие расширения клиентской стороны:
Продолжение следует.
Теги:
Windows, групповые политики, Дмитрий Буланов.
Комментарии посетителей
Комментарии отключены. С вопросами по статьям обращайтесь в форум.
|
|
Невзирая на размер и сложность построения организации, любые администраторы должны задавать, управлять и обслуживать различные конфигурации пользователей и компьютеров, размещенных в разных подразделениях, так как в каждом отделе могут быть различные ограничения, потребности в использовании специализированного программного обеспечения и многое другое. Групповая политика предоставляет много возможностей, снижающих стоимость управления компьютерными системами, представляя собой компонент операционной системы Windows, позволяющий управлять изменениями и конфигурацией пользователей и компьютеров в центральной точке администрирования. Многие из вас уже не один год работают с групповыми политиками. Благодаря этой технологии, в вашей организации уже, наверное, оптимальным образом настроены клиентские компьютеры и учетные записи пользователей. Возможно, вы даже работаете со всеми доступными клиентскими расширениями, включая предпочитаемые групповые политики, политики защиты доступа к сети, политики ограниченного использования программ, а также расширение «установка программ», о которых в своих статьях я упоминал лишь вскользь. Многие ли из вас задумывались непосредственно об архитектуре групповых политик, а также о компонентах, взаимодействующих при распространении объектов групповой политики, на клиентские компьютеры?
