Групповая политика (Group Policy) является главным компонентом управления изменениями и конфигурациями в операционной системе Microsoft® Windows® 2000. Групповая политика определяет параметры для групп пользователей и компьютеров, включая политики реестра, настройки безопасности, установки программного обеспечения, сценарии (загрузка-завершение, вход-выход из системы) и перенаправление папок.
Эта статья является пошаговым руководством, описывающим возможности Групповой политики. Статья предназначена для менеджеров отделов Информационных Технологий, системных администраторов и всех тех, кто интересуется Групповыми политиками для управления пользовательской средой.
На этой странице
Введение
Этот документ, описывающий возможности операционной системы Windows 2000®, является частью пошагового руководства для менеджеров отделов Информационных Технологий и системных администраторов. Статья представляет собой краткое описание Групповых политик и наглядно показывает, как использовать оснастку Групповой политики, чтобы установить различные политики для групп пользователей и компьютеров. Статья включает в себя следующую информацию:
- Конфигурации оснастки «Групповой политики».
- Создание и управление Объектами Групповой политики.
- Выбор установок для политик реестра, сценариев и политики замыкания на себя.
- Использование групп безопасности вместе с Групповой политикой.
- Связь нескольких Объектов Групповой политики.
- Блокировка и принудительное применение Групповой политики.
Групповая политика и Active Directory
В Windows 2000 администраторы используют Групповую политику (далее ГП) для настройки и контроля рабочей среды пользователей. Для упрощения процесса администраторы могут создавать специальные конфигурации рабочего стола, которые применяются к группам пользователей и компьютеров. В Windows 2000 за применение Групповых политик отвечает служба Active Directory. Информация о политиках содержится в Объектах Групповой политики (ОГП), применяющихся к выбранным контейнерам: сайтам, доменам и подразделениям.
Объекты ГП используются для фильтрации объектов, принадлежащих к разным группам безопасности, что позволяет управлять компьютерами и пользователями как индивидуально, так и централизованно. Для этого администраторы могут использовать фильтрацию по группам безопасности, чтобы определить область действия ГП – для ее централизованного применения на уровне домена или децентрализованного – на уровне подразделения, после чего могут еще раз их отфильтровать группами безопасности. Администраторы используют группы безопасности в ГП для:
- Фильтрации области Объектов Групповой политики. Фильтрация определяет, к каким группам пользователей и компьютеров будет применен данный Объект Групповой политики.
- Назначение контроля над Объектом Групповой политики. Существует два вида управления и контроля над Групповой политикой: управление связями Групповой политики и управление правами на создание/редактирование Объектов Групповой политики.
Оснастка Групповой политики «Консоль MMC» (Microsoft Management Console) используется администраторами для управления параметрами политики. Групповая политика включает различные возможности управления этими параметрами. Вдобавок, третьи стороны могут расширять ГП, вводя возможности управления установками своего программного обеспечения. Данные, генерируемые Групповой политикой, содержатся в объекте ГП, который копируются на все контроллеры внутри одного домена.
Оснастка «Групповая политика» включает в себя несколько расширений оснастки MMC, которые и создают основные узлы в оснастке «Групповая политика». Существует несколько расширений:
- Административные шаблоны (Administrative templates). Эти шаблоны включают в себя политики реестра и используются для управления настройками реестра, отвечающими за поведение и отображение пользовательской среды, включая компоненты операционной системы и программного обеспечения.
- Настройки безопасности. Расширение настроек безопасности используется для установки параметров безопасности для компьютеров и пользователей внутри области данного Объекта Групповой политики. Настройки безопасности могут быть установлены как для локального компьютера, так и для домена или сети.
- Установка программного обеспечения. Оснастка «Установка программного обеспечения» используется для централизованного управления программным обеспечением организации. Использование программного обеспечения может быть предопределено как для пользователей, так и для компьютеров.
- Сценарии. Сценарии используются для автоматической загрузки и выключения компьютера, входа и выхода из системы. В сценариях могут быть использованы любые языки программирования, поддерживаемые сервером сценариев Windows, включая систему разработчика Microsoft Visual Basic®, Scripting Edition (VBScript); JavaScript; PERL; и пакетные файлы MS-DOS® (.bat and .cmd).
- Службы Удаленной установки (Remote Installation Services). Службы Удаленной Установки (RIS) используются для контроля за Удаленной установкой операционной системы.
- Обслуживание Internet Explorer. Обслуживание Internet Explorer используется для контроля и настройки Microsoft® Internet Explorer на компьютерах под управлением Windows 2000.
- Перенаправление папок. Перенаправление используется для переадресации специальных папок из их расположения в профиле пользователя на альтернативное местоположение в сети. Такие специальные папки включают Мои Документы, Application Data, Рабочий стол и меню Пуск.
На рисунке 1 показано, как объекты ГП используют иерархию Active Directory для применения Групповой политики.
Рисунок 1. Иерархия Групповой политики и Active Directory.
Увеличить рисунок.
Объекты Групповой политики в Active Directory связаны с сайтом, доменом и контейнерами подразделения. По умолчанию иерархическая структура Active Directory отображает порядок приоритетов: сайты идут первыми, потом домены, затем подразделения. Любой Объект ГП может быть ассоциирован с более чем одним контейнером Active Directory, а также несколько контейнеров могут быть связаны с одним Объектом ГП.
Наверх страницы
Предварительные условия и начальная конфигурация
Следующий документ, по установке программ, основан на пошаговом руководстве для полного развертывания базовой инфраструктуры Windows 2000 Server
Перед использованием данного руководства необходимо создать инфраструктуру, как описано в документе выше. Если Вы не используете приведенную выше инфраструктуру, то при использовании данного руководства примите к сведению разницу в конфигурациях аппаратного и программного обеспечения.
Сценарии Групповой политики
Данный документ не описывает все возможные сценарии Групповых политик. Пожалуйста, используйте данное руководство для понимания работы ГП и определения того, как Ваша организация может снизить совокупную стоимость владения компьютерами (TCO). Другие возможности Windows 2000, включая «Настройки безопасности» и «Установка программ», построены на Групповой политике. Для информации по использованию ГП в таких характерных сценариях обратитесь к технической документации и интерактивной справке по безопасности в Windows 2000 и «Установке программ». Эта информация доступна веб-сайте Windows 2000.
Важные примечания
Примеры компаний, организаций, продуктов, людей и случаи, описанные в данном руководстве, вымышлены. Всякое сходство с реальными компаниями, организациями, продуктами, людьми и событиями случайно.
Описанная базовая инфраструктура предназначена для использования в частной сети. Вымышленные имена компании и DNS, использованные в данной инфраструктуре, не зарегистрированы для использования в Интернете. Пожалуйста, не используйте эти имена в общественных сетях или Интернете.
Структура службы каталогов Active Directory™ в этой базовой инфраструктуре является примером работы и функциональности управления изменениями и конфигурациями в Windows 2000 совместно с Active Directory. Она не служит моделью конфигурации службы Active Directory для какой-либо организации – для подобной информации обратитесь к документации Active Directory.
Наверх страницы
Конфигурация оснастки «Групповая политика»
Групповая политика тесно связана со службой Active Directory. Оснастка «Групповая политика» дополняет инструменты управления Active Directory, используя механизм расширения оснастки «Консоль управления MMC» (Microsoft Management Console).
Оснастки Active Directory определяют область управления Групповой политики. Самый простой способ обращения к Групповой политике для определения области управления домена и подразделений – это использование оснастки «Active Directory - Пользователи и Компьютеры». Для назначения области управления сайта также можно использовать оснастку «Active Directory — сайты и службы». Расширение оснастки «Групповая политика» включено в оба эти инструмента. Данные инструменты доступны в группе программ Администрирования. Альтернативно, можно создать модифицированную консоль MMC, следуя инструкциям в следующем разделе.
Создание модифицированной консоли
В примерах, приведенных ниже в этом документе, используется модифицированная консоль MMC, которую можно создать, следуя инструкциям данной секции. Консоль необходимо создать до того, как Вы приступите к выполнению остальных шагов этого документа.
Примечание: Если вы хотите узнать больше о создании консолей управления MMC, обратитесь к документу "Пошаговое руководство по Консоли управления ММС"
Модификация консоли
- Войдите на контроллер домена HQ-RES-DC-01 с учетными данными Администратора.
- Нажмите кнопку Пуск, выберите команду Выполнить, напечатайте mmc и нажмите OK.
- В меню Консоль выберите команду Добавить/удалить оснастку.
- В диалоговом окне Добавить/удалить оснастку нажмите на кнопку Добавить.
- В диалоговом окне Добавить изолированную оснастку, в списке Доступные изолированные оснастки щелкните «Active Directory - пользователи и компьютеры» и нажмите на кнопку Добавить.
- Дважды щелкните на оснастке «Active Directory - сайты и службы» в списке Доступные изолированные оснастки.
- В списке Доступные изолированные оснастки дважды щелкните Групповая политика.
- В диалоговом окне Выбор объекта групповой политики выбран Локальный Компьютер в Объекте групповой политики. Нажмите на кнопку Готово для редактирования локального объекта Групповой политики. Нажмите на кнопку Закрыть в диалоговом окне Добавить изолированную оснастку.
- В диалоговом окне Добавить/удалить Оснастку, перейдите на вкладку Расширения. Убедитесь, что Добавить все расширения для каждого основного расширения, добавляемого в консоль MMC, установлен флажок (они выбраны по умолчанию). Нажмите OK.
Сохранение изменений консоли
- В консоле MMC, в меню Консоль выберите пункт Сохранить.
- В диалоговом окне Сохранить как, в поле Имя файла напечатайте GPWalkthrough и нажмите Сохранить.
Консоль должна выглядеть, как показано на рисунке 2:
Рисунок 2. Консоль MMC Групповой политики.
Увеличить рисунок.
Доступ к Групповой политике
Для доступа к Групповой политике выбранного сайта, домена или подразделения используйте соответствующие инструменты Active Directory.
Открытие Групповой политики из «Active Directory - сайты и службы»
- В консоле MMC GPWalkthrough раскройте узел «Active Directory - сайты и службы»
- В дереве консоли правой кнопкой мышки щелкните сайт, к Групповой политике которого хотите получить доступ.
- Выберите Свойства, и затем выберите Групповая политика.
Открытие Групповой политики из «Active Directory - пользователи и компьютеры»
- В консоле MMC GPWalkthrough раскройте узел «Active Directory - пользователи и компьютеры».
- В дереве консоли правой кнопкой мышки щелкните либо на домене reskit либо на подразделении, к Групповой политике которого Вы хотите получить доступ.
- Выберите Свойства, и затем выберите Групповая политика.
Для получения доступа к настройкам Групповой политики определенного компьютера (или локального компьютера) необходимо загрузить в пространство имен консоли MMC оснастку «Групповая политика», нацеленную на выбранный компьютер (или локальный компьютер). Это необходимо делать по следующим причинам:
- Сайты, домены и подразделения могут иметь несколько Объектов Групповой политики, связанных с ними, а для управления этими Объектами требуется вспомогательное окно свойств.
- Объект Групповой политики для определенного компьютера сохранен на конкретном компьютере, а не в Active Directory.
Определение области домена или подразделения
Для определения области домена или подразделения используйте консоль MMC GPWalkthrough, сохраненную ранее.
Определение области Групповой политики для домена или подразделения
- Нажмите кнопку Пуск, наведите курсор на Программы, выберите Администрирование и щелкните GPWalkthrough для открытия консоли MMC, созданную выше.
- Раскройте узел Active Directory - пользователи и компьютеры.
- Раскройте узел reskit.com
- Правой кнопкой мышки щелкните либо на домене (reskit.com), либо на подразделении, и выберите пункт Свойства из контекстного меню.
- Перейдите во вкладку Групповая политика, как показано на рисунке 3 ниже.
Таким образом, открываются свойства Объекта Групповой политики, связанные с выбранным контейнером Active Directory. Эти свойства могут быть использованы для:
- добавления, редактирования, удаления и отключения Объектов Групповой политики;
- установления опций Блокировка сверху;
- изменения порядка связанных Объектов Групповой политики.
Кнопка Правка запускает оснастку «Групповая политика». Дополнительная информация по использованию оснастки «Групповая политика» и ее свойств можно найти ниже в этом документе.
Примечание: Контейнеры компьютеров и пользователей не являются организованными единицами. Поэтому Групповая политика не может быть применена непосредственно к ним. Пользователи или компьютеры этих контейнеров наследуют политики только от Объектов ГП, определенных для данного домена или сайта. А так как контейнер контроллера домена является подразделением, Групповая политика может быть применена непосредственно к нему.
Рисунок 3. Управление Связью Групповой политики
Увеличить рисунок.
Определение области для локальных или удаленных Компьютеров
Для доступа к Групповой политике локального или удаленного компьютера необходимо добавить оснастку «Групповая политика» в консоль MMC и нацелить ее на локальном или удаленном компьютере. Для доступа к Групповой политике локального компьютера используйте консоль GPWalkthrough, созданную ранее в этом документе, и выберите узел Политика «Локальный компьютер». Вы можете добавлять другие компьютеры в поле консоли, добавив оснастку «Групповая политика» в консоль GPWalkthrough и затем, нажав кнопку Обзор в диалоговом окне Поиск объекта групповой политики, выбрав нужный компьютер.
Примечание: Некоторые расширения Групповой политики не загружаются, если Групповая политика противоречит локальному Объекту ГП.
Создание Объекта Групповой политики
Созданные установки Групповой политики содержатся в Объекте Групповой политики (ОГП),
который в свою очередь привязан к выбранным объектам Active Directory, таким как сайты, домены и подразделения.
Создание Объекта Групповой политики (ОГП)
- Откройте консоль MMC GPWalkthrough.
- Раскройте узел «Active Directory - пользователи и компьютеры», и щелкните на домене reskit.com.
- Раскройте узел Accounts.
- Правой кнопкой мышки щелкните на Headquarters и выберите Свойства из контекстного меню.
- В Свойствах Headquarters перейдите на вкладку Групповая политика.
- Нажмите Создать и напечатайте HQ Policy.
- Свойства Headquarters должны выглядеть, как показано на рисунке 4:
Рисунок 4. Свойства Headquarters
Увеличить рисунок.
- На этом этапе Вы можете добавить еще несколько Объектов Групповой политики для подразделения Headquarters, давая каждому из них осмысленное имя. Альтернативно, Вы можете редактировать HQ Policy GPO, которая запускает оснастку «Групповая политика» для данного Объекта ГП. Функциональность групповой политики зависит от расширений оснастки. В этом упражнении включены все расширения. Можно ограничить оснастки расширений, загружаемые для любой выбранной оснастки, используя стандартные методы консоли управления MMC. Для дополнительной информации обратитесь к интерактивной справке Windows 2000 Server по консоли управления MMC (Microsoft Management Console). Для ограничения использования расширений оснастки MMC, также можно использовать специальную групповую политику. Для доступа к этой политике перейдите в узел Система\Групповая политика, находящийся в Административных шаблонах. На вкладке «Объяснение» можно найти дополнительную информацию по каждой политике.
- Если у Вас более одного Объекта ГП, ассоциированного с папкой Active Directory, проверьте порядок этих Объектов. Объект, находящийся вверху списка, имеет наибольший приоритет. Заметьте, что Объекты ГП, находящиеся выше по списку, применяются последними (именно поэтому они имеют больший приоритет). Объекты ГП в списке являются объектами. Они имеют свое контекстное меню, которое может быть использовано для просмотра свойств каждого Объекта. Контекстное меню может быть использовано для просмотра и изменения общей информации Объекта ГП. Эта информация включает в себя Избирательные таблицы управления доступом - Discretionary Access Control Lists (DACL рассматриваются в разделе этого документа - Фильтрация групп безопасности), и перечисляет остальные сайты, домены или подразделения, к которым данный Объект ГП привязан.
- Нажмите Закрыть
Рекомендации: Вы можете еще больше усовершенствовать действие Объекта ГП, используя принадлежность пользователя или компьютера к разным группам безопасности и настраивая DACLs в зависимости от членства в этих группах. Как это сделать рассматривается ниже в этом документе в разделе «Фильтрация групп безопасности».
Управление Групповой политикой
Для управления Групповой политикой необходимо вызвать контекстное меню выбранного сайта, домена или подразделения и, выбрав Свойства, перейти на вкладку Групповая политика. Таким образом, отобразятся свойства Групповой политики.
Необходимо учесть следующее:
- Таким же образом Вы можете просмотреть свойства любого Объекта ГП, привязанного к данному сайту, домену или подразделению. Связи являются объектами. Они имеют контекстное меню, которое может быть вызвано, щелкнув правой кнопкой мыши по объекту. (Если щелкнуть правой кнопкой мыши на пустом пространстве, отобразится контекстное меню для создания, добавления связи или обновления списка.)
- Окно свойств также отображает порядок Объектов ГП с более значимым Объектом во главе списка. Порядок Объектов в списке может быть изменен, используя кнопки Вверх или Вниз.
- Чтобы подключить новый ОГП, нажмите кнопку Добавить.
- Для редактирования уже существующего ОГП выберите его из списка и нажмите кнопку Изменить или просто щелкните по нему дважды. Подробнее об этом написано ниже в этом документе.
- Чтобы удалить ОГП из списка насовсем, выделите его и нажмите кнопку Удалить. После этого подтвердите действие, выбрав вариант Изъять ссылку и окончательно удалить объект групповой политики. Будьте осторожны при удалении объектов, так как ОГП может также быть ассоциирован с другими сайтами, доменами или подразделениями. Если Вы всего лишь хотите удалить ОГП из списка, то нажмите кнопку Удалить и затем выберите вариант Изъять ссылку из списка, не удаляя объект.
- Для того, чтобы определить, какие еще сайты, домены или подразделения ассоциированы с данным ОГП, щелкните по нему правой кнопкой мыши и выберите Свойства из контекстного меню, затем перейдите на вкладку Связи.
- Колонка Не перекрывать помечает выбранный ОГП как объект, политики которого не могут быть переписаны политиками другого ОГП.
Примечание: Свойство Не перекрывать может быть выбрано для одного или более Объектов ГП. Все ОГП, с флажком Не перекрывать, будут иметь приоритет над остальными ОГП. Объект, с более высоким приоритетом, будет применен последним.
- Флажок Отключить просто деактивирует ОГП, не убирая его из списка. Чтобы удалить ОГП из списка, выделите его, нажмите Удалить и за тем в диалоговом окне выберите Изъять ссылку из списка, не удаляя объект.
- Можно отключить только часть ОГП – «Пользователь» или «Компьютер». Для этого щелкните правой кнопкой мыши на Объекте, выберите Свойства, за тем выберите либо Отключить настройки компьютера либо Отключить настройки пользователя и нажмите ОК. Эти параметры доступны в свойствах ОГП на вкладке Общие.
- Опция Блокировка наследования делает недействительными все ОГП, находящиеся выше по лестнице иерархии. Тем не менее, эта опция не может блокировать ОГП, у которого выставлено свойство Не перекрывать; такие ОГП применяются всегда.
Примечание: Настройки политики в локальном ОГП применяются всегда, если только они не были специально перекрыты политиками домена. Блокировка наследования на любом уровне не перекрывает локальные политики.
Редактирование Объекта Групповой политики
Для редактирования Объекта ГП воспользуйтесь модифицированной консолью. Для этого необходимо войти на сервер HQ-RES-DC-01 с учетными данными администратора.
Редактирование Объекта Групповой политики (ОГП)
- Нажмите Пуск, наведите курсор на Программы, выберите Администрирование и затем нажмите GPWalkthrough.
- Раскройте узел Active Directory - пользователи и компьютеры, щелкните на домене reskit.com и выберите Учетные записи подразделения.
- Щелкните правой кнопкой мышки на Headquarters, выберите Свойства, перейдите на вкладку Групповая политика. Политика HQ Policy в списке Ссылки на объект групповой политики должна быть выделена.
- Дважды щелкните на объекте HQ Policy (или нажмите Правка).
Таким способом открывается оснастка «Групповая политика», сфокусированная на Объекте под названием HQ Policy. Данный Объект в свою очередь привязан к подразделению под названием Headquarters. Это должно выглядеть, как показано на рисунке 5 ниже:
Рисунок 5: HQ Policy
Увеличить рисунок.
Добавление Объекта Групповой политики
Диалоговое окно Добавить связь объекта групповой политики отображает Объекты ГП, ассоциированные с доменами, подразделениями или сайтами в данный момент или другими словами, все ОГП независимо от их связей. Диалоговое окно Добавить связь объекта групповой политики показано на рисунке 6 ниже:
Рисунок 6: Добавить связь объекта групповой политики
Увеличить рисунок.
- Объекты ГП сохранены в каждом домене. Раскрывающийся список позволяет выбирать разные домены для просмотра.
- На вкладке Домены/Подразделения в списке отображены подразделения второго уровня и Объекты ГП для выбранного домена или подразделения. Чтобы передвигаться по иерархии, дважды щелкните на подразделении второго уровня и используйте кнопку На один уровень вверх на панели.
- Чтобы добавить новый Объект ГП для выбранного домена или подразделения, щелкните дважды на объекте, или выделите его и нажмите OK.
- Также новый объект ГП можно создать, перейдя на вкладку Все, щелкнув правой кнопкой мыши на свободном месте и выбрав Создать из контекстного меню, или используя кнопку Создание объекта групповой политики на панели.
Кнопка Создание объекта групповой политики активна только на вкладке Все. Чтобы создать новый Объект ГП и связать его с выбранным сайтом, доменом или подразделением, используйте кнопку Создать в свойствах Групповой политики. - Примечание: Разрешается создавать более одного Объекта ГП с одинаковым именем. Такое поведение спланировано специально, так как Объекты ГП сохраняются как GUID и данное имя является всего лишь именем, отображаемым в Active Directory.
- На вкладке Сайты показаны все ОГП, ассоциированные с выбранным сайтом. Чтобы просмотреть другой сайт, используйте раскрывающийся список. Учтите, что раскрывающийся список не отображает иерархию сайтов.
- Вкладка Все показывает список всех Объектов ГП, сохраненных в выбранном домене. Это удобно, когда Вы хотите выбрать ОГП по имени, а не по тому, с чем он связан на данный момент. Это также единственное место, где можно создать ОГП, не связанный с каким-либо сайтом, доменом или подразделением.
- Чтобы создать несвязанный Объект ГП, откройте диалоговое окно Создание объекта групповой политики из свойств выбранного сайта, домена или подразделения. Перейдите во вкладку Все, щелкните Создать на панели или щелкните правой кнопкой мыши на свободном месте и выберите Создать из контекстного меню. Дайте имя создаваемому ОГП, нажмите клавишу Ввод и затем нажмите Отмена – не нажимайте ОК. Если нажать ОК, новый ОГП привяжется к выделенному сайту, домену или подразделению. Нажатие кнопки Отмена создает несвязанный ОГП.
Наверх страницы
