Grupp Policys. Elektronikcentrum i Svängsta Utbildning AB

Storlek: px

Starta visningen från sidan:

Download "Grupp Policys. Elektronikcentrum i Svängsta Utbildning AB 2012-11-05 1"

Åsa Falk
för 8 år sedan
Visningar:

1 Grupp Policys Elektronikcentrum i Svängsta Utbildning AB

2 Sid 1233 Vad är grupp-policys? Grupp-policys är en samling regler som hjälper till med hanteringen av datorer och användare. Mer specifikt: t ex lösenordskrav, utseende på skrivbord, vilka program som får köras, omdirigerade mappar, inloggningsscript m.m. Elektronikcentrum i Svängsta Utbildning AB

Management Console (GPMC) makes administration much easier Many End User

3 One Administrator Action New Policy Active Directory Group Policy enables admins to set and maintain a desired computing state Group Policy Management Console (GPMC) makes administration much easier Many End User Results Many Computer Results Elektronikcentrum i Svängsta Utbildning AB

4 Fördelarna är främst administrativa: Ger administratören kontroll över datorer och användarmiljö Kan säkra upp nätverksmiljön Underlättar löpande underhåll Minskar obehagliga överraskningar Elektronikcentrum i Svängsta Utbildning AB

5 Sid Används för att centralt konfigurera användare och klienter och appliceras i AD. Klienter i arbetsgrupp använder sig av lokal policy. Klienter i domän använder sig av AD grupp-policys. Elektronikcentrum i Svängsta Utbildning AB

6 En policy kan alltså vara: Lokal. Gäller endast den lokala datorn. Icke lokal. Sätts i AD och gäller domänanslutna datorer. GPO s som skapas av AD: Default Domain Policy Default Domain Controller Policy Elektronikcentrum i Svängsta Utbildning AB

7 Sid En policy i AD kallas för en GPO (Group Policy Object) En GPO är en behållare för de inställningar som du väljer att konfigurera Hanteras med verktyget GPMC (Group Policy Management Console) Sparas fysiskt på hårddisken i en underkatalog i SYSVOL \Sysvol\Sysvol\[domain name]\policies\ Elektronikcentrum i Svängsta Utbildning AB

8 Policy Inheritance and Processing Sid Grupp-policys kan appliceras på 4 nivåer: Local (lokal policy på maskinen, lägre prio) Site. Gäller alla klienter och användare i siten Domain. Gäller alla klienter och användare i domänen. OU. Gäller alla klienter och användare som tillhör den OU. (OBS! Appliceras inte på containern Users eller Computers) Elektronikcentrum i Svängsta Utbildning AB

9 Policy Inheritance and Processing Om GPO sätts på flera olika nivåer appliceras dom i följande ordning: Local Site Domain OU. Den sist körda grupp-policyn gäller vid konflikt. Flera GPO satta på samma nivå. Lägst Link Order har högst prioritet. D vs policyn längst ut i trädet vinner! Elektronikcentrum i Svängsta Utbildning AB

10 Policy Inheritance and Processing Sid Undantag: Enforced: Om denna flagga är satt kan den ej skrivas över av en senare inläst policy. Block Policy Inheritance: Blockar policy som annars skulle ärvas. Såvida inte Enforced är satt, för då gäller den. Elektronikcentrum i Svängsta Utbildning AB

11 Uppdatering av policy: Varje 90 minuter frågar klienten efter uppdateringar från DC. Uppdatering på DC var 5:e minut. Uppdateras endast om förändringar gjorts. Vissa ändringar i policy kan kräva flera omstarter för att slå igenom exempelvis folder redirection Manuellt uppdatera grupp policy gpupdate /force. För vilka körs policyn? För de som har read&apply Group Policy satt till allow. Här kan man alltså filtrera för vem policyn ska gälla. Kan vara bra exempelvis när man ska skjuta ut ett program till en eller flera specifika användare. OBS! Tänk på att om en policy har inställningar för Computer Configuration så gäller de för datorobjekt. D vs datorobjektet i AD måste finnas med i hierarkin! Elektronikcentrum i Svängsta Utbildning AB

12 Sid När körs Group Policy? Dator startar Group Policy applicerar Computer Configuration Startup Scripts körs User loggar in Group Policy applicerar User Configuration Logon Scripts körs Elektronikcentrum i Svängsta Utbildning AB

13 Om inställningar i Computer Configuration eller User Configuration inte används kan man inaktivera dessa kategorier. Snabbar upp uppstart/inloggning Minskar på den data som ska replikeras. Cirka inställningar kan göras via gruppolicy. Microsoft har Excelblad där alla inställningarna finns för översikt Elektronikcentrum i Svängsta Utbildning AB

14 Vi tittar på några viktiga policys som har med grundinställningarna för säkerhet att göra: Account Policies (Kan bara sättas en gång i en domän och måste definieras i Default Domain Policy): Här under ligger Password Policy, där man ställer in bla antalet tecken som krävs, komplexitet, hur länge ett lösenord är giltigt mm. Account Lookout Policy. Här ställer man in vad som ska hända om användaren upprepade gånger slår in fel lösenord. Kerberos Policy. Här ställer man bla in hur många minuter klockorna får skilja mellan server och klient för att inloggning ska accepteras Local Policies: Audit Policy. Inställningar för om man vill logga händelser som sker, utnyttjande av skrivare mm. User Rights Assignment. Vav användarna har rätt att göra, ex logga på lokalt, stänga av systemet, lägga till datorer till domänen mm. Security Options. Att inte visa vem som var sist inloggad, avaktivera CTRL-ALT-DEL mm. Elektronikcentrum i Svängsta Utbildning AB

15 GP Starter Policy Sid Starter GPO Policy Kan fungera som utgångsläge för nya policies som skapas En form av mall med förinställda värden att utgå från Fördefinierade Start policies finns från Microsoft Elektronikcentrum i Svängsta Utbildning AB

16 Backup och underhåll Sid Backup av policys kan göras direkt i GPMC-verktyget Kan göras på enskild policy eller på alla policys i domänen Backupen bör lagras på säker plats, t ex en uppsäkrad mapp i nätverket. Återställning kan göras av enskild policy eller av alla policys Domain Admins / Enterprise Admins har rätt att utföra dessa operationer. Elektronikcentrum i Svängsta Utbildning AB

17 Laga policys Kommandot dcgpofix kan användas för att få tillbaks grundinställningarna Gäller bara för Default Domain Policy och Default Domain Controller Policy Återgår till inställningar som görs av dcpromo.exe Delar av policy som inte berörs: Remote installation Services Security Settings Encrypting File System Elektronikcentrum i Svängsta Utbildning AB

18 - FELSÖKNING Sid En effektiv grupp-policy konfiguration kräver testning och felsökning. De verktyg som finns att tillgå är: Resultant Set Of Policy Wizard. Används för att se effektiv grupp policy, samt att prova hur en grupp policy kommer att slå igenom. Kan köras i Logging Mode för att se vilka policy som slagit igenom, samt i Planning Mode för att simulera hur policyn slår igenom. Gpresult. Information om när den sista grupp policyn kördes, detaljerad info om applicerade policy. Gpupdate. Updaterar policyn direkt. Event Viewer. Fel och varningar, syns i event viewer. Kan via register ändring ge mycket detaljerad info. Loggar. Genom register ändring kan du skapa en detaljerad logg för felsökning Userenv.log som skapas i den dolda katalogen %systemroot%\debug\usermode Elektronikcentrum i Svängsta Utbildning AB

19 Sammanfattning Grupp-policy används för att kontrollera användaroch datormiljö i nätverket Grupp-policy ger administrativa fördelar och centraliserad kontroll GPMC är verktyget för att administrera grupp-policy En policy kallas för en GPO (Group policy object) Bygg rätt OU-struktur från början så fungerar arv och GPO-processing mycket bättre! Grupp-policies är ett stort område och kräver mycket testning. Innan drift, testa hårt i labb! Elektronikcentrum i Svängsta Utbildning AB

Relevanta dokument

1DV416 Windowsadministration I, 7.5hp MODULE 4 GROUP POLICY, STORAGE AND ACCESS CONTROLS GROUP POLICY

1DV416 Windowsadministration I, 7.5hp MODULE 4 GROUP POLICY, STORAGE AND ACCESS CONTROLS GROUP POLICY Lecture content Today's lecture Group Policy Överblick Administration Exempel 2013-12- 17 2013 Jacob