Практическая часть. 
Анализ методов и средств администрирования сетей

Структура объекта групповой политики

Множество параметров, определяемых в рамках объекта групповой политики, разделено на две части. Одна часть параметров используется для конфигурирования компьютера (computer configuration), другая часть параметров используется для конфигурирования среды пользователя (user configuration). Конфигурирование компьютера предполагает определение значений для параметров, влияющих на формирование окружения любых пользователей, регистрирующихся на данном компьютере. Конфигурирование среды пользователя дает возможность управлять процессом формирования окружения конкретного пользователя, независимо от того, на каком компьютере он регистрируется в сети.

Независимо от типа конфигурирования, параметры групповой политики организованы в специальные категории (см. Приложение И, Рисунок 5). Каждая из категорий параметров групповой политики определяет отдельную область окружения пользователя. Доступные категории параметров перечислены в таблице (см. Приложение И, Таблица 1). В свою очередь категории параметров групповой политики организованы в три контейнера в соответствии со своим назначением:

• — Software Settings (Конфигурация программ). В контейнере размещаются категории параметров групповой политики, посредством которых можно управлять перечнем приложений, доступных пользователям;
• — Windows Settings (Конфигурация Windows). В контейнере размешаются категории параметров групповой политики, определяющие настройки непосредственно самой операционной системы. Содержимое данного контейнера может быть различным, в зависимости от того, для кого определяются параметры групповой политики (для пользователя или компьютера);
• — Administrative Templates (Административные шаблоны). Этот контейнер содержит категории параметров групповой политики, применяемых для управления содержимым системного реестра компьютера.

Перечисленные в таблице категории параметров предоставляют администратору доступ к различным механизмам конфигурирования рабочих станций. В последующих разделах данной главы мы постараемся рассмотреть подробно каждый из этих механизмов конфигурирования.

Административные шаблоны. Механизм административных шаблонов позволяет администратору посредством групповой политики конфигурировать системный реестр клиентских компьютеров. Для любой рабочей станции, подпадающей под действие некоторого объекта групповой политики, системный реестр будет сконфигурирован в соответствии с административным шаблоном, определенным в рамках данного объекта.

Административные шаблоны не задействуют весь реестр целиком, а только два его ключа: HKEY_LOCAL_MACHINE и HKEY_CURRENT_USER. Создаваемый пользователем административный шаблон может охватывать любые подразделы в рамках указанных ключей. Ключ HKEY_LOCAL_MACHINE используется для определения настроек операционной системы. Значения параметров данного ключа используются для настройки системы непосредственно на этапе ее инициализации (т. е. до момента регистрации пользователя). Содержимое этого ключа реестра определяется в рамках административного шаблона групповой политики конфигурации компьютера (computer configuration).

Ключ HKEY_CURRENT_USER используется для формирования на рабочей станции индивидуальной среды пользователя. Значения параметров данного ключа используются для настройки системы на этапе регистрации пользователя. Содержимое этого ключа реестра определяется в рамках административного шаблона групповой политики конфигурации пользователя (user configuration).

Административный шаблон представляет собой текстовый файл в формате Unicode, в котором определяются требуемые значения параметров реестра. Данный файл имеет расширение adm и хранится в папке %SystemRoot%inf. Файл содержит перечисление ключей и параметров реестра, которые должны быть определены администратором в процессе формирования групповой политики. Административные шаблоны, поставляемые в составе Windows Server 2013, перечислены в таблице (см. Приложение И, Таблица 2). Создание административных шаблонов. Помимо этого, администраторы могут создавать собственные варианты административных шаблонов в соответствии со стоящими перед ними задачами. Необходимо помнить, что административные шаблоны рассматриваются как средство управления содержимым реестра, в том числе параметрами, определяющими настройки пользовательских приложений. Установка приложений приводит к созданию в реестре новых ключей. Используя механизм административных шаблонов, администратор может выполнять настройку указанных приложений. Для построения административного шаблона необходимо использовать специальный язык ADM.

Применение административных шаблонов. Следует четко понимать, что использование административных шаблонов возможно исключительно через механизм групповой политики. Это означает, что для распространения административного шаблона на некоторое множество компьютеров, он должен являться частью соответствующего объекта групповой политики. Чтобы сделать административный шаблон частью объекта групповой политики, следует загрузить его в оснастку Group Policy Object Editor. Для этого в контекстном меню контейнера Administrative Tools необходимо выбрать пункт Add/Remove Templates (Добавить/удалить шаблоны). В открывшемся окне (см. Приложение И, Рисунок 6) надо выбрать интересующий шаблон и нажать кнопку Add (Добавить). В результате, шаблон будет применен к конфигурируемому объекту групповой политики.

При помощи оснастки Group Policy Object Editor администратор имеет возможность редактировать вручную параметры групповой политики, расположенные внутри контейнера Administrative Templates и отвечающие за конфигурирование реестра клиентского компьютера. Выбрав интересующий параметр, администратор должен открыть окно его свойств. На вкладке Settings (Настройки) окна свойств (см. Приложение И, Рисунок 7) можно определить значение выбранного параметра:

• — Not Configured (He определено). Данное значение оставляет неопределенной возможность использования пользователем выбранного режима в рамках рассматриваемого объекта групповой политики. Фактически доступность выбранного режима удаленной установки ставится в зависимость от значения аналогичного параметра групповой политики, определенного на вышестоящем уровне;
• — Enabled (Активизировать). Выбор данного значения активизирует выбранный параметр групповой политики. Применительно к рассматриваемому параметру значение явно разрешает использование выбранного режима установки пользователям, подпадающим под действие конфигурируемого объекта групповой политики;
• — Disabled (Отключить). Выбор данного значения отключает выбранный параметр групповой политики. Применительно к рассматриваемому параметру значение явно запрещает использование выбранного режима установки пользователям, подпадающим под действие конфигурируемого объекта групповой политики.

Сценарии. Под сценарием (scripts) понимается некоторая предопределенная последовательность команд, способных выполнятся в автоматическом режиме (то есть, без участия пользователя). Основное преимущество сценариев заключается в том, что их выполнение может осуществляться в соответствии с некоторым расписанием. Администраторы используют сценарии в ситуациях, когда необходимо многократно выполнять некоторую последовательность действий.

Используя механизм групповых политик, администратор может определить последовательность операций, которые будут выполняться в момент включения или выключения компьютера, либо при регистрации пользователя в системе или при выходе из нее. Таким образом, можно выделить четыре группы сценариев:

• — сценарии, выполняемые при инициализации системы (startup scripts);
• — сценарии, выполняемые при регистрации пользователя в системе (logon scripts);
• — сценарии, выполняемые при выключении компьютера (shutdown scripts);
• — сценарии, выполняемые при выходе пользователя из системы (logoff scripts).

Интерпретация сценариев осуществляется сервером сценариев Windows Script Host. Этот стандартный компонент, входящий в состав Windows 8/7 и Windows Server 2013, позволяет создавать сценарии, используя специализированные языки Visual Basic Scripting Edition, JScript. Для старых версий клиентов (Windows 9x/NT) сценарии должны представлять собой пакетные файлы (.bat-файлы), либо нужно установить на них сервер сценариев Windows Script Host (загружаемый свободно с сайта Microsoft).

Выполнение сценариев происходит в следующем порядке. В первую очередь выполняются сценарии инициализации (startup scripts). После этого выполняются сценарии регистрации пользователя (logon scripts). Сценарии выхода пользователя из системы и сценарии завершения работы выполняются, соответственно, в обратном порядке.

Сценарий должен быть создан и протестирован еще до того момента, как он будет назначен в рамках некоторого объекта групповой политики. Чтобы назначить объекту групповой политики новый сценарий, необходимо перейти к категории параметров Scripts и в панели результатов вызвать контекстное меню объекта, ассоциированного с соответствующим типом сценария. В меню надо выбрать пункт Properties (Свойства).

В открывшемся окне (см. Приложение И, Рисунок 8) администратор может добавить или удалить привязку сценария к конфигурируемому объекту групповой политики. В рамках одного объекта групповой политики администратор может определить несколько сценариев одного типа. При этом администратор должен определить порядок, в котором они будут выполняться. Порядок перечисления сценариев в окне соответствует порядку их выполнения. Для изменения порядка используются кнопки Up (Вверх) и Down (Вниз).

Перенаправление пользовательских папок. Традиционным местом размещения документов пользователей является папка My Documents (Мои документы). В ситуации, когда пользователи перемещаются по организации, регистрируясь в сети на различных рабочих станциях, администратор может использовать перемещаемые профили для организации централизованного хранения пользовательских документов и настроек (roaming user profiles).

Профиль создается в момент первой регистрации пользователя в системе. По умолчанию локальные профили пользователя в операционных системах Windows 8/7 и Windows Server 2013 размещаются в папке Documents and Settings (Документы и настройки). Механизм перемещаемых профилей позволяет организовать централизованное хранение всех настроек и документов пользователей на сервере. Централизованное хранение профилей позволяет упростить такие процессы, как регулярное резервное копирование, проверка на наличие вирусов и тому подобное.

Механизм групповой политики позволяет администратору организовать перенаправление обращений пользователя к папкам пользователя, содержащим его настройки и документы, на некоторый сетевой ресурс. Так же как и в случае с перемещаемыми профилями, информация, содержащаяся в перенаправленных папках, будет доступна пользователю на любой рабочей станции. Перенаправление папок позволяет избежать постоянного копирования информации пользовательских папок с сервера на локальный диск компьютера, характерного для перемещаемых профилей. Система предоставляет прозрачный доступ к данным. Пользователь работает непосредственно с тем сетевым ресурсом, на котором находятся его папки.

Режим перенаправления пользовательских папок настраивается в объектах групповой политики исключительно в конфигурации пользователя. Для определения параметров этого режима используется категория параметров Folder Redirection (Перенаправление папок). Администратор может определить индивидуально параметры перенаправления для каждой из пяти описанных папок. Для этого необходимо в контекстном меню объекта, ассоциированного с папкой, выбрать пункт Properties. На вкладке Target из раскрывающегося списка Setting (Настройка) необходимо выбрать режим перенаправления. Возможны три режима перенаправления папок. .

• — Перенаправление папки не выполняется. Чтобы выбрать данный режим, необходимо выбрать из списка значение Not configured (He определено).
• — Основной режим. В данном режиме указанная папка для всех пользователей, подпадающих под действие редактируемого объекта групповой политики, перенаправляется на один сетевой ресурс. Данному режиму соответствует значение Basic — Redirect everyone’s folder to the same location (Основной — перенаправлять папки всех пользователей в одно место).
• — Расширенный режим. В этом режиме администратор может определить перенаправление папок пользователей на различные сетевые ресурсы. Выбор конкретного сетевого ресурса определяется группой, к которой принадлежит пользователь. Для выбора этого режима перенаправления в списке необходимо выбрать значение Advanced — Specify locations for various user groups (Расширенный — определить место для различных групп пользователей).

Настройка основного режима перенаправления папок. В данном режиме для всех пользователей используется единая схема перенаправления папок. Администратору при этом необходимо определить, какая именно из возможных схем будет использоваться для перенаправления.

Папки всех пользователей перенаправляются в одну общую папку. Для выбора данной схемы в поле Target folder location (Расположение папки) следует выбрать значение Create a folder for each user under the root path (Создать папку для каждого пользователя в корневой папке) (см. Приложение И, Рисунок 9).

В поле Root Path (Путь к корневой папке) необходимо указать общую папку, которая будет использоваться для размещения перенаправленных папок.

• — Папки пользователей перенаправляются на некоторый сетевой ресурс, на котором для каждого пользователя создается отдельная папка. Для выбора данной схемы в списке Target folder location (Расположение папки) необходимо выбрать значение Redirect to the following location (Перенаправить в следующее место). В поле Root Path (Путь к корневой папке) необходимо указать папку, в которую будет производиться перенаправление папок.
• — Папки пользователей перенаправляются в локальный профиль пользователя. Данная схема перенаправления необходима для того, чтобы вернуть содержимое папок из сетевого ресурса в локальный профиль пользователя. Если просто отключить механизм перенаправления, то содержимое папок пользователя будет утеряно. Поэтому перед отключением администратор должен перенаправить папки пользователя на его локальный профиль. Только после выполнения этой операции администратор может отключить механизм перенаправления. Для выбора данной схемы в списке Target folder location (Расположение папки) необходимо выбрать значение Redirect to the local user profile location (Перенаправить в локальный профиль пользователя).

Для папки My Documents (Мои документы) возможна еще одна схема перенаправления. Указанная папка может быть перенаправлена в домашнюю папку пользователя (home directory). Подобная схема перенаправления разрешена только для клиентов, находящихся под управлением операционных систем Windows 7 Professional и Windows Server 2013.

Для выбора данной схемы в списке Target folder location (Расположение папки) необходимо выбрать значение Redirect to the user’s home directory (Перенаправить в домашнюю папку пользователя). При этом на момент перенаправления для пользователя должно быть определено месторасположение домашней папки. Для этого на вкладке Profile (Профиль) окна свойств объекта, ассоциированного с пользователем, необходимо в группе элементов Home folder (Домашняя папка) указать требуемую папку. Это может быть как папка на локальном диске, так и некий сетевой ресурс (см. Приложение И, Рисунок 10).

Настройка расширенного режима перенаправления папок. Расширенный режим позволяет выбирать способ перенаправления папок пользователя в зависимости от его членства в группах. Благодаря этому, администратор может реализовать различные уровни обеспечения надежности для хранимых папок для разных категорий пользователей (см. Приложение И, Рисунок 11). Наиболее важные документы, например, должны храниться на RAID-массивах. Как следствие, администратор может организовать различные политики резервного копирования для этих данных.

Конфигурирование расширенного режима перенаправления папки выполняется аналогично основному режиму. Чтобы определить возможные параметры режима, надо щелкнуть по кнопке Add (Добавить) и в открывшемся окне (см. Приложение И, Рисунок 12) в поле Security Group Membership указать группу, для членов которой необходимо определить перенаправление. Остальные параметры аналогичны рассмотренным в предыдущем разделе.

Управление приложениями. Механизм групповой политики может использоваться как средство управления процессом развертывания приложений на Windows 8/7- и Windows Server 2013;клиентах. Администратор может определить перечень приложений, которые будут доступны пользователям. В зависимости от выбранного режима, в процессе применения объекта групповой политики на компьютере будут установлены все необходимые приложения. Возможны следующие режимы управления процессом развертывания приложений:

• — публикация приложений;
• — назначение приложений пользователям',
• — назначение приложений компьютерам.

Механизм управления процессом развертывания приложений базируется на технологии Windows Installer. В составе большинства продуктов поставляются специальные инсталляционные пакеты (installation package), которые могут быть использованы для автоматической установки данного приложения.

Описание процесса развертывания выходит за рамки данной книги. В данном разделе мы постараемся осветить основные моменты данного процесса.

Публикация приложений. Публикация приложений может осуществляться исключительно в конфигурации пользователей. При этом пользователю, подпадающему под действие объекта групповой политики, предлагается список доступных для установки приложений. При этом пользователь самостоятельно принимает решение о том, необходимо ли выполнять установку приложения или нет.

В процессе публикации приложений инсталляционные пакеты (installation package) помещаются в специальное хранилище. Для установки опубликованного приложения, пользователь должен использовать мастер Add/Remove Programs (Установка/удаление программ). Чтобы просмотреть список опубликованных приложений, пользователь должен щелкнуть по пиктограмме Add New Programs (Добавить новое приложение).

Чтобы опубликовать приложение, в контекстном меню контейнера Software Installation необходимо выбрать пункт New | Package. Указав в открывшемся окне месторасположение инсталляционного пакета, администратор должен указать способ развертывания приложения.

Назначение приложений. Назначение приложений предполагает создание перечня приложений, обязательных для установки. Различают два режима назначения приложений.

• — Назначение приложений пользователям. Этот режим используется в случае определения параметров объекта групповой политики в конфигурации пользователя (user configuration). В процессе регистрации пользователя в системе на его рабочий стол помещается ярлык, идентифицирующий данное приложение. Установка приложения происходит в момент, когда пользователь щелкает по ярлыку, пытаясь запустить приложение, либо когда в первый раз открывается документ, ассоциированный с данным приложением.
• — Назначение приложений компьютерам. Этот режим используется в случае настройки параметров объекта групповой политики в конфигурации компьютера (computer configuration). Приложения устанавливаются на компьютер, подпадающий под действие объекта групповой политики в процессе инициализации системы. После того как назначенные приложения установлены на компьютере, только пользователь с полномочиями локального администратора может выполнить их удаление.

Для назначения приложения в контекстном меню контейнера Software Installation необходимо выбрать пункт Package. В открывшемся окне требуется указать месторасположение инсталляционного пакета. В окне Deploy Software администратор должен установить параметр Assigned.