История групповых политик
Для операционных систем Windows
концепция групповых политик не является инновационным шагом в области
системной безопасности и настройки операционных систем. Первые политики
появились еще в Windows NT 4.0 и назывались системными политиками. Эти
политики предназначались только для изменения данных системного реестра и
основывались на файлах, которые назывались шаблонами adm. Для создания
этих политик использовался специальный редактор системных политик. На то
время системные политики были значительным шагом в обеспечении
безопасности операционных систем Windows, несмотря на то, что объекты
локальной политики не использовались, и система Windows NT 4.0 не
поддерживала службы Active Directory.
Групповые политики появились
в операционной системе Windows 2000 и включали в себя около 900
настроек для пользователей и компьютеров, которые могли в полной мере
применяться к клиентским компьютерам. Из утилиты, предназначенной для
изменения данных системного реестра, групповые политики операционной
системы Windows 2000 превратились в компонент, предназначенный для
изменения параметров конфигурации операционной системы. Групповые
политики по-прежнему расположены в шаблонах ADM. Система Windows 2000
Server уже позволяет распространять объекты групповых политик для
компьютеров, расположенных в домене и подразделениях (OU) в Active
Directory.
В
операционных системах Windows XP и Windows Server 2003 возможности
групповых политик были расширены. С появлением этих систем у
администраторов появилась возможность управлять параметрами безопасности
и установкой приложений, а количество политик увеличилось до 1400.
Локальные объекты групповой политики существовали независимо от того,
входит ли компьютер в состав домена, рабочей группы или вовсе не
принадлежит к сетевой среде. Все это объекты хранились в папке
%SystemRoot%\System32\Group Policy. Политики распространялись только на
тот компьютер, где хранятся сами GPO. В том случае, если компьютер не
принадлежал к домену, локальная политика использовалась только для
настройки конфигурации локального компьютера. Но если он входил в состав
домена Active Directory, то параметры, привязанные к инфраструктурной
единице домена (домен, лес, сайт) заменяли параметры локального объекта
групповой политики.
Операционные
системы Windows Vista и Windows Server 2008 уже поддерживают около 2500
настроек групповых политик. Новые категории управления политиками
теперь уже обеспечивают управление питанием, возможность блокировки
установки устройств, улучшенные параметры безопасности, расширение
настроек Internet Explorer, а также возможность делегировать
пользователям право устанавливать драйверы принтеров. В этих
операционных системах было создано расширение для формата шаблонов
политик. У форматов adm был значительный недостаток – для реализации
локализации групповых политик нужно было создавать отдельный adm-файл
для каждого языка. Теперь административные шаблоны представляют собой
пару XML-файлов - *.admx файл, который определяет изменения в реестре, а
также .adml файл, который отвечает за языковые настройки указанной
политики. Несмотря на эти изменения, в одной системе могут
сосуществовать как adm, так и admx/adml шаблоны без всяких проблем. В
операционной системе Windows Server 2008 можно создавать стартовые
объекты групповой политики. Использование стартового объекта групповой
политики позволяет хранить набор параметров административных шаблонов
политик в одном объекте и включать эти параметры в новые объекты
групповой политики. Также для каждого объекта групповых политик
появились возможности добавления комментариев, а сведения о подключенных
сетях обеспечивают улучшение отклика групповой политики на изменение
сетевых условий.
В
операционной системе Windows Server 2008 появился следующий функционал:
- Предпочтения
групповых политик. Эти предпочтения предоставляют множества
расширений для групповой политики. С помощью предпочтений групповой
политики можно управлять сопоставлениями дисков, параметрами реестра,
локальными пользователями и группами, службами, файлами и папками без
необходимости изучения языка сценариев.
- Служба групповой
политики. Инфраструктура групповой политики усовершенствована
за счет разработки новой архитектуры для выполнения групповой политикой
уведомлений и обработки.
- Ведение журнала. Для
записи сообщений о событиях групповой политики теперь используется
журнал системы, а не журнал приложения. В средстве «Просмотр событий»
эти новые сообщения с указанием источника Microsoft-Windows-GroupPolicy.
- Работа
с несколькими объектами локальной групповой политики. В
отличие от групповой политики операционных систем Windows XP и Windows
Server 2003, теперь появилась возможность управления несколькими
локальными объектами групповой политики на одном компьютере, что
облегчает управление для среды, где нужно управлять групповыми
политиками только на одном компьютере.
В операционных
системах Windows 7 и Windows Server 2008 R2 уже насчитывается около 3200
настроек групповых политик, а также появились следующие изменения по
сравнению с предыдущими версиями Windows:
- Командлеты
Windows PowerShell для управления групповой политикой. Теперь, в
операционных системах Windows 7 и Windows Server 2008 R2 появилась
возможность управления групповыми политиками средствами мощнейшей
оболочки и языка сценариев Windows – PowerShell. Для выполнения этих
задач можно использовать свыше 25 командлетов.
- Изменения
в предпочтениях групповых политик. С появлениями новых систем
также обновились предпочтения групповых политик. Простейшим примером
того служит улучшение расширения предпочтения «Параметры обозревателя»,
где добавлены элементы предпочтения для Internet Explorer 8.
- Изменения
в начальных объектах групповых политик. Помимо начальных
объектов групповых политик в Windows 7 и Windows Server 2008 R2
появились системные начальные объекты групповой политики. Это объекты,
предназначенные только для чтения, и представляющие основу для
параметров определенного сценария.
- Улучшение
пользовательского интерфейса параметров политик. В новейших
операционных системах очень сильно изменился внешний вид параметров
политики. В предыдущих версиях Windows диалоговое окно свойств политики
административного шаблона содержало три отдельных вкладки: Параметр,
Объяснение и Комментарий. В Windows
Server 2008 R2 эти настройки выполняются в одном месте диалогового окна
свойств.
Из
цикла статей, посвященных, посвященных групповым политикам Windows вы
узнаете о функционале:
- оснастки консоли управления «Редактор
локальной групповой политики»;
- локальных политиках
безопасности (поднаборе политик, связанных с безопасностью компьютера);
- шаблонах
безопасности и групповых политик;
- управлении политиками
средствами PowerShell;
- создании собственных административных
шаблонов.
В статьях, посвященных функционалу групповых
политик в Windows Server 2008/2008R2 вы узнаете о работе:
- оснастки
«Консоль управления групповой политикой»;
- предпочтениях
групповых политик;
- использовании приоритетов для одного и того
же параметра политики в подразделении;
- фильтрах инструментария
управления Windows;
- начальных объектах групповой политики;
- делегировании
прав групповых политик;
- анализе и настройке безопасности.
Также
будут рассмотрены утилиты командной строки, которые являются аналогами
мастера результатов групповой политики, оснастки «Анализ и
настройка безопасности», оснастки «Мастер настройки
безопасности», а также предназначенные для включения аудита
успешных изменений службы каталогов на контроллере домена.
