agpm

Ответ от Ўлия Дурникина[активный]
Использование Advanced Group Policy Management для защиты ваших GPOOSzone.net » Windows » Windows Server 2003 » Администрирование » Использование Advanced Group Policy Management для защиты ваших GPO Автор: Дерек Мелбер (Derek Melber)Иcточник: WinSecurity.ruОпубликована: 20.07.2007 Большинство компаний на сегодняшний день используют политики групп (Group Policy) для контроля практически каждого аспекта и области в сетевом окружении. В некоторых случаях политики группы (Group Policy) также используются для контроля серверов. Благодаря такому большому доверию политикам групп (Group Policy) необходимо приложить все усилия, чтобы защитить объекты политики группы (Group Policy Object), которые отвечают за эти конфигурации. Новый инструмент под названием Advanced Group Policy Management (AGPM или расширенное управление политиками групп) от компании Microsoft поможем вам разобраться с этим и многим другим. Мои GPO на сегодняшний день не защищены?Компания Microsoft выпустила консоль для управления политиками группы (Group Policy Management Console или GPMC) год назад, что стало великолепным нововведением в управлении политиками группы (Group Policy). Инструмент позволяет осуществлять контроль над политиками группы Group Policy благодаря следующему:•Простота администрирования всех объектов GPO во всем лесе Active Directory Forest •Просмотр всех объектов GPO в одном списке •Отчет о настройках GPO, безопасности (security), фильтрах (filter), копировании (delegation) и т. п. •Контроль наследования GPO inheritance с помощью Block Inheritance (блокировка наследования) , Enforce (усиление) и Security Filtering (фильтры безопасности) •Модель передачи (Delegation model) •Создание резервных копий объектов GPO •Перемещение объектов GPO в различные домены и леса Несмотря на все эти преимущества, по-прежнему существуют недостатки при использовании одной лишь консоли GPMC. Гарантировано, что консоль GPMC необходима и должна использоваться каждым, для чего она идеальна. Однако, она немного ограничена, если вы хотите защитить ваши объекты политики группы GPO от следующих вещей:•Копирование, основанное на ролях при управлении GPO •При редактировании в промышленной среде, вы потенциально можете нанести ущерб рабочим станциям и серверам •Забыли создать резервную копию GPO после его модификации •Изменение управления для каждой модификации для каждого GPO Выполнение передачи с помощью AGPMЕсли вы работали с политикой группы (Group Policy) и GPO в течение долгого периода времени, то, я уверен, что сделаете ошибочную настройку в объекте GPO, которая затем может нанести ущерб сети. Все это происходит благодаря тому, как объекты GPO редактируются по умолчанию. GPO редактируются напрямую на контроллере домена, а затем, если было сделано изменение (и нажата кнопка OK или Apply), изменение сразу же происходит в GPO, а затем копируется. Нет такой настройки как “Undo” (отменить) или “Save” (сохранить) , изменения происходят сразу же. Такое поведение в настоящее время контролируется в GPMC благодаря установке передачи GPO для редактирования, как показано на Рисунке 1. Рисунок 1: Передача Delegation within GPMC to allow editing of GPOs Такую передачу внутри GPMC для узла Group Policy Objects необходимо удалить сразу же после установки AGPM. Причина для такого изменения заключается в следующем:•AGPM использует свою собственную модель передачи (delegation model), которая является более подробной •В AGPM все редактирование объектов GPO происходит в автономном режиме, не касаясь промышленных GPO •Без передачи GPMC delegation, администраторы не смогут больше редактировать промышленные GPO AGPM также использует служебную учетную запись (service account) для доступа к объектам GPO в архиве AGPM. Все из объектов GPO в архиве AGPM archive не являются промышленными, т. е. являются автономными, благодаря чему редактирование GPO стало безопаснее. Для того, чтобы создать переданные права внутри среды AGP

Ответ от 3 ответа[гуру]

Ответ от 3 ответа[гуру]