подключение шаблона документа параметры безопасности
Применение предопределяемых шаблонов безопасности в Windows Server 2003
В этой пошаговой статье описывается применение заранее заданной шаблоны безопасности.
Применяется к: Windows Server 2003
Исходный номер КБ: 816585
Сводка
Microsoft Windows Server 2003 включает несколько предопределяемых шаблонов безопасности, которые можно применить для повышения уровня безопасности в сети. Шаблоны безопасности можно изменять в соответствии с требованиями, используя шаблоны безопасности в консоли управления Майкрософт (MMC).
Предопределяные шаблоны безопасности в Windows Server 2003
Безопасность по умолчанию (Настройка безопасности.inf)
Шаблон setup security.inf создается во время установки и является специфическим для каждого компьютера. Она варьируется от компьютера к компьютеру, в зависимости от того, была ли установка чистой установкой или обновлением. Настройка security.inf представляет параметры безопасности по умолчанию, применяемые при установке операционной системы, включая разрешения на файл для корневого диска системы. Его можно использовать на серверах и клиентских компьютерах; она не может применяться к контроллерам домена. Часть этого шаблона можно применить для целей аварийного восстановления.
Не применять setup security.inf с помощью групповой политики. Если вы это сделаете, производительность может снизиться.
В Microsoft Windows 2000 г. существуют два разных шаблона безопасности: ocfiless (для файловых серверов) и ocfilesw (для рабочих станций). В Windows Server 2003 эти файлы были замехали файлом setup security.inf.
Безопасность контроллера домена по умолчанию (dc security.inf)
Этот шаблон создается при продвижении сервера в контроллер домена. Он отражает параметры безопасности файлов, реестра и системной службы по умолчанию. При повторном повторном добавлении этого шаблона эти параметры устанавливаются по умолчанию. Однако шаблон может переписать разрешения на новые файлы, ключи реестра и системные службы, созданные другими программами.
Этот шаблон изменяет разрешения файла и реестра по умолчанию, которые выданы членам группы пользователей таким образом, чтобы соответствовать требованиям большинства программ, не принадлежащих к Windows Logo Program for Software. Совместимый шаблон также удаляет всех членов группы Power Users.
Дополнительные сведения о программе Windows для программного обеспечения можно получить на следующем веб-сайте Microsoft: Windows Server Catalog
Не применять совместимый шаблон к контроллерам домена.
Шаблоны Secure определяют расширенные параметры безопасности, которые менее всего влияют на совместимость программ. Например, шаблоны Secure определяют более надежные параметры пароля, блокировки и аудита. Кроме того, шаблоны ограничивают использование протоколов проверки подлинности LAN Manager и NTLM, настраивая клиентов для отправки только ответов NTLMv2, а также настраивая серверы для отказа в ответах LAN-менеджера.
В Windows Server 2003 есть два предопределительных шаблона Secure: Securews.inf для рабочих станций и Securec.inf для контроллеров домена. Дополнительные сведения об использовании этих шаблонов и других шаблонов безопасности можно получить в Центре справки и поддержки поиска для «предопределяемого шаблона безопасности».
Высокая безопасность (hisec*.inf)
В шаблонах с высокой безопасностью указываются дополнительные ограничения, которые не определяются шаблонами Secure, такие как уровни шифрования и подписание, необходимые для проверки подлинности и обмена данными по защищенным каналам и между клиентами и серверами блока сообщений сервера (SMB).
Корневая безопасность системы (Rootsec.inf)
Этот шаблон указывает корневые разрешения. По умолчанию Rootec.inf определяет эти разрешения для корневого диска системы. Этот шаблон можно использовать для повторного применения разрешений корневого каталога, если они непреднамеренно изменены, или можно изменить шаблон для применения тех же корневых разрешений к другим томам. Как указано, шаблон не переопределяет явные разрешения, определенные на детских объектах; он распространяет только разрешения, наследуемые детскими объектами.
Нет пользовательского SID пользователя Terminal Server (Notssid.inf)
Этот шаблон можно применить для удаления идентификаторов безопасности Терминал Windows server (SID) из файловой системы и расположения реестра, когда службы терминалов не запускаются. После этого система безопасности не обязательно улучшается. Дополнительные сведения обо всех предопределяемых шаблонах в Windows Server 2003 в Центре поиска и поддержки для «предопределяемого шаблона безопасности».
Реализация шаблона безопасности на контроллере домена может изменить параметры политики контроллера домена по умолчанию или политики домена по умолчанию. Приложенный шаблон может переписать разрешения на новые файлы, ключи реестра и системные службы, созданные другими программами. Восстановление этих политик может потребоваться после применения шаблона безопасности. Перед выполнением этих действий в контроллере домена создайте резервную копию доли SYSVOL.
Работа с оснасткой «Шаблоны безопасности»
Введение
Из предыдущих статей по групповым политикам вы узнали о назначении и использовании оснастки «Редактор объектов групповой политики», об административных шаблонах, ознакомились с некоторыми локальными политиками безопасности. В этой статье вы узнаете еще об одном механизме управления конфигурацией безопасности – о шаблонах безопасности и их применении в производственной среде. Разумеется, при помощи локальных политик безопасности вы можете централизовано разворачивать практически все возможные настройки для пользователей и компьютеров, но иметь представление о настройке шаблонов безопасности просто необходимо, так как не во всех случаях у вас получится развернуть на предприятии нужные для вас настройки групповых политик.
При помощи шаблонов безопасности вы можете настраивать параметры политики, которые отвечают за следующие компоненты безопасности:
Рекомендуется не вносить изменения в предустановленный шаблон Setup security.inf, так как при помощи этого шаблона у вас есть возможность восстановления параметров безопасности, используемых по умолчанию. Также, чтобы избежать многих проблем, желательно перед внедрением созданного шаблона в эксплуатацию, протестировать его на отдельном компьютере.
Использование оснастки «Шаблоны безопасности»
Откройте оснастку «Шаблоны безопасности». Для этого выполните следующие действия:
При первом открытии данной оснастки, в папке Documents вашей учетной записи создается папка Security с вложенной папкой Templates. Именно в папке Templates и хранятся созданные вами шаблоны безопасности. На следующей иллюстрации отображена оснастка «Шаблоны безопасности», открытая впервые:
Рис. 1. Первое открытие оснастки «Шаблоны безопасности»
Создание нового шаблона безопасности
Для последующей работы с шаблонами безопасности создайте новый шаблон. Для этого вам предстоит выполнить действия, описанные в следующей процедуре:
Рис. 2. Диалог создания нового шаблона безопасности
При желании вы можете изменить путь для поиска шаблонов, созданный по умолчанию. Для этого, в дереве консоли, нажмите правой кнопкой мыши на узле «Шаблоны безопасности» и выберите команду «Найти путь для поиска шаблонов…». В диалоговом окне «Обзор папок» выберите папку, в которой будут сохраняться новые шаблоны безопасности и нажмите на кнопку «ОК».
Рис. 3. Изменение пути для поиска шаблонов
Изменение настроек шаблона безопасности
После создания нового шаблона, в оснастке вы увидите набор групповых политик, подобный тем, которые отображаются в оснастке «Редактор объектов групповых политик». Не стоит также забывать, что оснастка шаблонов безопасности представляет собой только редактор набора групповых политик и не влияет на изменение текущей конфигурации. То есть, после полного изменения политик, предоставленных в данной оснастке, вам не стоит волноваться о том, что настройки на вашем рабочем месте будут изменены. Далее мы рассмотрим набор политик системных служб, добавление параметров реестра, а также редактирование групп с ограниченным доступом.
На следующей иллюстрации отображен новый шаблон безопасности:
Рис. 4. Новый шаблон безопасности
Настройка системных служб
Узел «Системные службы» предназначен для последующего изменения конфигурации системных служб средствами групповых политик при развертывании. Содержимое этого узла сильно напоминает оснастку «Службы», однако между ними есть одна существенная разница. При помощи оснастки «Службы» вы настраиваете тип запуска служб на локальном компьютере, а используя шаблоны безопасности, вы можете распространить указанные настройки системных служб одновременно на несколько компьютеров. Рассмотрим подробно применение содержимого данного узла на простом примере:
На компьютерах вашего малого офиса, в котором нет домена, никогда не будут использоваться планшетные ПК, устройства BlueTooth и смарт-карты. Допустим, вы опасаетесь вторжения на компьютеры недоброжелателей, поэтому хотите отключить возможность удаленного управления системного реестра, службы удаленных рабочих столов, а также вашим пользователям нельзя на рабочих местах использовать Windows Media Center. По этой же причине необходимо полностью отключить на компьютерах вашей сети все эти службы. Чтобы развернуть эти настройки служб на всех компьютерах, выполните следующие действия:
Рис. 5. Диалог свойств системной службы
Настройка системного реестра
После подробного изучения параметров групповых политик, вы можете обнаружить, что, несмотря на использование групповых политик и шаблонов безопасности, пользователи умудряются изменять некоторые системные параметры при помощи реестра. Вы знаете раздел системного реестра, отвечающий за определенную настройку, но хотите дать возможность вносить изменения в этот раздел только указанной группе пользователей. Допустим, вам нужно дать полный доступ на изменение параметров раздела реестра, отвечающего за компонент «Дата и время» только для групп «Система» и «Администраторы», причем пользователям, которые являются членами группы «Пользователи» нужно запретить даже просмотр данного раздела. Для этого выполните следующие действия:
Рис. 6. Диалоговое окно «Выбор раздела реестра»
Рис. 7. Диалог «Безопасность» раздела системного реестра
Рис. 8. Диалог «Добавление объекта»
Рис. 9. Узел «Реестр»
Настройка групп с ограниченным доступом
При помощи групп с ограниченным доступом вы можете указывать пользователей, которые будут принадлежать к определенной группе. Политики, применяемые с шаблонами безопасности, будут распространяться на всех пользователей, которые входят в группы с ограниченным доступом. Для того чтобы указать членов группы с ограниченным доступом, выполните следующие действия:
Рис. 10. Диалог добавления группы
Рис. 11. Диалог свойств новой группы
По окончании изменения шаблона безопасности, вам нужно его сохранить для дальнейшего использования. Для сохранения шаблона безопасности нажмите правой кнопкой мыши на наименовании узла шаблона безопасности и выберите команду «Сохранить» или «Сохранить как» из контекстного меню. Шаблон будет сохранен с расширением *.inf.
Заключение
В этой статье был рассмотрен очередной механизме управления конфигурацией безопасности – шаблоны безопасности и их применении в производственной среде. Зачастую данный механизм применяют на небольших предприятиях без доменной сети. Вы узнали о том, как можно открыть данную оснастку, а также настроить новый шаблон безопасности, который является текстовым файлом, с расширением *.inf.
Шаблоны безопасности
Шаблоны безопасности (security template) позволяют централизованно управлять параметрами безопасности на рабочих станциях и серверах. Они используются для применения к отдельным компьютерам заданных наборов параметров групповой политики, связанных с безопасностью. Эти наборы затрагивают, в основном, следующие политики:
• Политики учетных записей Безопасность паролей, блокировка учетных записей и Kerberos.
• Локальные политики Аудит, назначение прав пользователей и другие параметры безопасности.
• Политики журнала событий Безопасность журнала событий.
• Политики групп с ограниченным доступом Администрирование членства в локальных группах.
• Политики системных служб Безопасность и режим запуска локальных служб.
• Политики файловой системы Безопасность путей к файлам и папкам локальной файловой системы.
• Политики реестра Значения параметров реестра, связанных с безопасностью.
ConfiguratiomWindows Settings\Security Settings. В шаблоны не включены некоторые параметры безопасности, относящиеся, например, к беспроводным сетям, параметрам открытого ключа, ограничениям программ и безопасности IP.
Приступая к работе с шаблонами безопасности, выясните, сможете ли вы воспользоваться в качестве отправной точки существующим шаблоном. Стандартные шаблоны находятся в папке %SystemRoot%\Security\ Templates. Доступ к ним вы получите с помощью оснастки Шаблоны безопасности (Security Templates).
Оснастка также позволяет создавать новые шаблоны. В ней доступны, в частности, следующие стандартные шаблоны:
• dc security Стандартные параметры безопасности для контроллеров домена.
• setup security Стандартные параметры безопасности для рядовых серверов.
• securedc Ограниченные параметры безопасности для контроллеров домена.
• securews Ограниченные параметры безопасности для рабочих станций.
• hisecdc Строжайшие параметры безопасности для контроллеров домена.
• hisecws Строжайшие параметры безопасности для рабочих станций.
Применить шаблоны в оснастке Шаблоны безопасности (Security Templates) нельзя, Для этого предназначена оснастка Анализ и настройка безопасности (Security Configuration and Analysis). Она же позволяет провести сравнение параметров шаблона с параметрами, установленными в данный момент на компьютере. В результате анализа будут отмечены области, в которых текущие значения не совпадают со значениями параметров из шаблона. Это полезно, поскольку позволяет установить, например, изменились ли параметры безопасности после применения шаблона.
Использование шаблонов безопасности – многоступенчатый процесс, состоящий из следующих этапов:
1. При помощи оснастки Шаблоны безопасности (Security Templates) выберите шаблон и изучите его параметры.
2. При необходимости внесите изменения в шаблон.
3. При помощи оснастки Анализ и настройка безопасности (Security Configuration and Analysis) проанализируйте различия между параметрами безопасности выбранного шаблона и текущими параметрами компьютера.
4. Внесите в шаблон необходимые изменения.
5. При помощи оснастки Анализ и настройка безопасности (Security Configuration And Analysis) примените шаблон, заменив существующие параметры безопасности.
Управление Windows 7 с помощью групповой политики » Работа с оснасткой «Шаблоны безопасности»
Введение
При помощи шаблонов безопасности вы можете настраивать параметры политики, которые отвечают за следующие компоненты безопасности:
Рекомендуется не вносить изменения в предустановленный шаблон Setup security.inf, так как при помощи этого шаблона у вас есть возможность восстановления параметров безопасности, используемых по умолчанию. Также, чтобы избежать многих проблем, желательно перед внедрением созданного шаблона в эксплуатацию, протестировать его на отдельном компьютере.
Использование оснастки «Шаблоны безопасности»
При первом открытии данной оснастки, в папке Documents вашей учетной записи создается папка Security с вложенной папкой Templates. Именно в папке Templates и хранятся созданные вами шаблоны безопасности. На следующей иллюстрации отображена оснастка «Шаблоны безопасности», открытая впервые:
Рис. 1. Первое открытие оснастки «Шаблоны безопасности»
Создание нового шаблона безопасности
Для последующей работы с шаблонами безопасности создайте новый шаблон. Для этого вам предстоит выполнить действия, описанные в следующей процедуре:
Рис. 2. Диалог создания нового шаблона безопасности
Рис. 3. Изменение пути для поиска шаблонов
Изменение настроек шаблона безопасности
На следующей иллюстрации отображен новый шаблон безопасности:
Рис. 4. Новый шаблон безопасности
Настройка системных служб
На компьютерах вашего малого офиса, в котором нет домена, никогда не будут использоваться планшетные ПК, устройства BlueTooth и смарт-карты. Допустим, вы опасаетесь вторжения на компьютеры недоброжелателей, поэтому хотите отключить возможность удаленного управления системного реестра, службы удаленных рабочих столов, а также вашим пользователям нельзя на рабочих местах использовать Windows Media Center. По этой же причине необходимо полностью отключить на компьютерах вашей сети все эти службы. Чтобы развернуть эти настройки служб на всех компьютерах, выполните следующие действия:
Рис. 5. Диалог свойств системной службы
Настройка системного реестра
Рис. 6. Диалоговое окно «Выбор раздела реестра»
Рис. 7. Диалог «Безопасность» раздела системного реестра
Рис. 8. Диалог «Добавление объекта»
Настройка групп с ограниченным доступом
При помощи групп с ограниченным доступом вы можете указывать пользователей, которые будут принадлежать к определенной группе. Политики, применяемые с шаблонами безопасности, будут распространяться на всех пользователей, которые входят в группы с ограниченным доступом. Для того чтобы указать членов группы с ограниченным доступом, выполните следующие действия:
Рис. 10. Диалог добавления группы
Рис. 11. Диалог свойств новой группы
Заключение
Управление Windows 7 с помощью групповой политики » Работа с оснасткой «Шаблоны безопасности»
Введение
При помощи шаблонов безопасности вы можете настраивать параметры политики, которые отвечают за следующие компоненты безопасности:
Рекомендуется не вносить изменения в предустановленный шаблон Setup security.inf, так как при помощи этого шаблона у вас есть возможность восстановления параметров безопасности, используемых по умолчанию. Также, чтобы избежать многих проблем, желательно перед внедрением созданного шаблона в эксплуатацию, протестировать его на отдельном компьютере.
Использование оснастки «Шаблоны безопасности»
При первом открытии данной оснастки, в папке Documents вашей учетной записи создается папка Security с вложенной папкой Templates. Именно в папке Templates и хранятся созданные вами шаблоны безопасности. На следующей иллюстрации отображена оснастка «Шаблоны безопасности», открытая впервые:
Рис. 1. Первое открытие оснастки «Шаблоны безопасности»
Создание нового шаблона безопасности
Для последующей работы с шаблонами безопасности создайте новый шаблон. Для этого вам предстоит выполнить действия, описанные в следующей процедуре:
Рис. 2. Диалог создания нового шаблона безопасности
Рис. 3. Изменение пути для поиска шаблонов
Изменение настроек шаблона безопасности
На следующей иллюстрации отображен новый шаблон безопасности:
Рис. 4. Новый шаблон безопасности
Настройка системных служб
На компьютерах вашего малого офиса, в котором нет домена, никогда не будут использоваться планшетные ПК, устройства BlueTooth и смарт-карты. Допустим, вы опасаетесь вторжения на компьютеры недоброжелателей, поэтому хотите отключить возможность удаленного управления системного реестра, службы удаленных рабочих столов, а также вашим пользователям нельзя на рабочих местах использовать Windows Media Center. По этой же причине необходимо полностью отключить на компьютерах вашей сети все эти службы. Чтобы развернуть эти настройки служб на всех компьютерах, выполните следующие действия:
Рис. 5. Диалог свойств системной службы
Настройка системного реестра
Рис. 6. Диалоговое окно «Выбор раздела реестра»
Рис. 7. Диалог «Безопасность» раздела системного реестра
Рис. 8. Диалог «Добавление объекта»
Настройка групп с ограниченным доступом
При помощи групп с ограниченным доступом вы можете указывать пользователей, которые будут принадлежать к определенной группе. Политики, применяемые с шаблонами безопасности, будут распространяться на всех пользователей, которые входят в группы с ограниченным доступом. Для того чтобы указать членов группы с ограниченным доступом, выполните следующие действия:
Рис. 10. Диалог добавления группы
Рис. 11. Диалог свойств новой группы
Заключение
Ссылки по теме
| Помощь |
 | |
| Задать вопрос | |
| программы | |
| обучение | |
| экзамены | |
| компьютеры | |
| |
| ICQ-консультанты | |
| |
| Skype-консультанты | |
| Общая справка | |
| Как оформить заказ | |
| Тарифы доставки | |
| Способы оплаты | |
| Прайс-лист | |
| Карта сайта | |
| |
| О нас |