Налаштування середовища настільної системи і управління безпекою

Налаштування середовища настільної системи і управління безпекою

Автор: Dan DiNicolo

Ласкаво просимо в шосту статтю моєї серії. Ця стаття розглядає як Налаштування і виявлення несправностей середовища настільної системи, так і Впровадження, моніторинг та виявлення несправностей безпеки системи. Тут будуть розглянуті такі розділи, як user profile (профіль користувача), windows installer packages (інсталяційні пакети), настройки робочого столу, accessibility services (спеціальних можливостей), політики, управління обліковими записами в домені і багато іншого. Ця стаття вийшла довшою, ніж звичайні 6 сторінок - велика порція, так як ми об'єднали 2 теми разом (більш ніж 10 сторінок!). Зауважте, що деякі теми, що обговорюються в цій статті, такі як Group Policy (Групові політики), розглядаються оглядово, без подробиць, які вам не потрібно знати у всіх деталях для іспиту з Windows 2000 Professional. Повна версія цих тем буде охоплена пізніше в цій серії з великою глибиною - не хвилюйтеся!

Матеріали цієї статті включають в себе:

• Профілі користувачів та сценарії входу
• Багатомовна підтримка і регіональні стандарти
• Інсталяційні пакети Windows
• Серед настільних системи і налаштування спеціальних можливостей
• політики
• Управління користувачами домену, групами і ідентифікація

профілі користувачів

Windows 2000 підтримує конфігурацію робочого столу користувача і налаштування середовища за допомогою того, що називають профілем користувача. Налаштування, що входять в профіль користувача, включають такі речі, як шпалери робочого столу, встановлені користувачем, місце розташування іконок на робочому столі, настройки миші і так далі. У Windows 2000 профілі користувачів можна знайти в директорії Document and Settings, в папці, яка відповідає імені користувача, як показано нижче:

Якщо система була модернізована з NT 4, однак, профілі будуть продовжувати перебувати в папці% systemroot% \ profiles. За замовчуванням, всі профілі користувачів є локальними. Це означає, що коли користувач входить в систему вперше, він отримує новий профіль, і він може зберігатися на цій машині тільки. На відміну від цього, ви також можете зберегти профіль користувача на сервері, так, щоб він переміщався за користувачем, коли він переходить з машини на машину. Ця можливість називається roaming profile (переміщуваний профіль). Коли користувач виходить з системи, його налаштування (включаючи будь-які зміни, які він зробив) зберігаються на центральному сервері. Зауважте, що Windows 2000 підтримує локальну кешовану копію переміщуваного профілю в системі. Тому, коли у користувача великий переміщуваний профіль і він зазвичай використовує одну і ту ж машину, тільки зміни копіюються туди і назад, а не весь профіль, кожен раз, коли користувач входить в систему і виходить з неї.

Як і в NT 4, ви можете зробити профіль незмінним (mandatory), перейменувавши файл Ntuser.dat в профілі на Ntuser.man.

Windows 2000 дозволяє вам як і раніше встановлювати сценарії входу, які виконуються, коли користувач входить в систему. Це може бути використано для установки таких речей, як підключення мережевих дисків, принтерів і т.д. Властивості вхідних сценаріїв встановлюються у властивостях облікового запису користувача, як показано нижче:

Зауважте, що вам необхідно лише надати ім'я сценарію. Сценарій повинен бути збережений в папці Sysvol \ domain \ scripts на контролері домену. Як і в NT 4.0, ви можете також повідомити місце розташування (home directory) домашнього каталогу, який може бути як на локальній машині, так і в мережі.

Багатомовна підтримка і регіональні стандарти

Windows 2000 здатний підтримувати багато різних мов і включає підтримку різних регіонів світу. Language setting (налаштування мови) встановлюється на вкладці General в програмі Regional Option (регіональні настройки) в Control Panel, як показано нижче:

Чи не переплутайте Language setting (в нижній частині розташованого вище малюнка) і Local setting (регіональні настройки), які будуть обговорюватися через хвилину. Додаткові мови дозволять вам читати і писати документи на декількох мовах. Вони не змінюють мову інтерфейсу операційної системи. Зауважте, що тільки адміністратор може встановлювати додаткові мови, і що необхідна перезавантаження системи.

Регіональні настройки відрізняються від настройки мов, яка дозволяє вам контролювати установки, пов'язані з мовами. Регіональні настройки включають в себе символи валют, формат календарних дат, номерів і т.д. Є два типи національних налаштувань - user locals (регіональні настройки користувача) і input locals (встановлені мови і розкладки клавіатури). User locals підтримують налаштування для кожного користувача, такі як символи валюти, формат календарної дати і т.д. input locals контролюють розкладку клавіатури і дозволяють вам перемикатися між розкладками на «льоту», через іконку в системному вікні на панелі завдань (як показано нижче). Input locals залежать від того, які мови встановлені.

Тільки не спитайте дві речі: в Windows 2000 можлива багатомовна версія, а також версія, яка дозволяє змінювати мову інтерфейсу операційної системи з одного на інший. Наприклад, якщо на системі працюють користувачі, які говорять по-іспанськи, вони можуть використовувати інтерфейс на іспанському, але для інших користувачів ви можете змінювати інтерфейс на англійську. Профіль кожного користувача буде зберігати потрібну мову інтерфейсу.

Інсталяційні пакети Windows

Windows 2000 включає нову службу, яка називається Windows Installer Service (Установча служба Windows), яка відповідає за управління інсталяцією і видаленням додатків. Установча служба працює у взаємодії з новим форматом пакетних додатків - msi-файлів. msi-файли - це пакети, які містять всі необхідні інструкції для установки програми на комп'ютер. Сюди входить інформація, які записи в реєстрі повинні бути додані або змінені, які файли і в яке місце розташування повинні бути скопійовані, які іконки повинні бути створені і так далі. Ця технологія дозволяє додатку бути розгорнутим без будь-якої участі з боку користувача. Зауважте, що msi-файл не містить насправді все файли, які повинні бути встановлені. Він містить тільки докладну інструкцію, як додаток має бути розгорнуто. Виграш від використання msi і нового методу інсталяції програмних продуктів включає в себе здатність самовідновлення і стійкість додатків. Так, якщо користувач випадково видалить або перемістить файли, пов'язані з розгорнутим додатком, то додаток саме звернеться до файлів джерела (звичайно, якщо вони доступні), і автоматично відновить їх.

Ще про MSI і про середовище настільної системи

Багато додатків тепер розподіляються з використанням настановних msi-файлів. Однак, ви можете також створювати ваші власні msi -пакети, використовуючи різні програмні продукти. На Windows 2000 CD є переупаковували додаток - WinInstall LE, яке може бути використане для створення msi-пакет для різних додатків.

Якщо на вашому комп'ютері встановлена ​​Active Directory, то пакети можуть розподілятися через групові політики як для користувачів, так і для комп'ютерів. Хоча я і буду дотримуватися більшу частину подробиць для статей, присвячених Windows 2000 серверу, тут я все ж наведу основні деталі цього процесу:

• Пакети, розподіляються через групову політику (використовуючи Active Directory), не вимагають додаткових привілеїв для їх впровадження. Так звичайний користувач може викликати інсталяцію пакета без необхідності бути адміністратором, наприклад.
• Пакети можуть бути assigned (призначені) та published (опубліковані) для користувачів або комп'ютерів через групову політику. Якщо пакет призначений комп'ютера, то він буде встановлений при наступному завантаженні комп'ютера. Якщо призначений користувачеві, то пакет не встановлюється, але надається для установки (як клавіша швидкого виклику в стартовому меню). Коли користувач натискає на клавішу - пакет інсталюється. Якщо він публікується для користувача, то додаток стає доступним через Add / Remove programs в Control Panel (або автоматично, коли користувач «клацне» на файлі з розширенням, асоційованим з даними додатком). Пакети не можуть бути опубліковані для комп'ютера.
• Якщо програма не може бути переупакованої, вона може бути розгорнута за допомогою групової політики і .zap - файлів. zap - файли - це текстові файли, які містять інструкцію про те, як встановити додаток. Користувачеві необхідні додаткові права, щоб встановити додаток, який розгортається з використанням zap - файлу. zap - файл може бути тільки використаний для публікації додатка для користувача.

Серед настільних системи і більш доступного режиму

Windows 2000 містять кілька невеликих змін середовища настільних систем в термінах як взаємодії, так і спеціальних можливостей. Налаштування робочого столу, які можуть контролюватися користувачем, включають в себе параметри, які стосуються клавіатурі, миші, дисплея, звуку, панелі інструментів і стартового меню. Всі ці настройки зберігаються як частина профілю користувача і показані на малюнку нижче.

Клавіатура - програма клавіатура в Control Panel контролює установки, які стосуються функціонування клавіатури, включаючи частоту мерехтіння курсору, частота повторення і затримку перед початком повтору символів, так само як і комбінацію клавіш для перемикання розкладок клавіатури.

Миша - дозволяє вам контролювати налаштування миші на руку (для «лівші), так само як і покажчика, швидкості натискання та самого пристрою.

Дисплей - дозволяє налаштувати фон робочого столу, хранитель екрану, зовнішній вигляд екрану, «активний» робочий стіл, ефекти (такі як поступове розкриття і згортання), так само як колірну настройку і дозвіл екрана.

Звук та мультимедіа - дозволяє налаштовувати системний звуки, рівень і схеми звуку.

Панель інструментів - Windows 2000 дозволяє вам бачити додаткові панелі інструментів на панелі завдань у нижній частині екрана. Клацніть правою клавішею миші та виберіть настройки панелей інструментів, які дозволять вам бачити різні панелі інструментів, включаючи посилання, адресний рядок, звичайні кнопки і кнопки швидкого запуску (для програм, які ви використовуєте найчастіше, і на які ви можете перетягнути іконку документа для його відкриття в цій програмі).

Меню Start - меню Start в Windows 2000 може бути змінено перетягуванням ярликів на або з нього. Більш того, меню Start може «вивчати» вас і відображати тільки ті ярлики, які ви найчастіше використовуєте. Це властивість називається персоналізоване меню, і воно може бути відключено. Конфігурація меню Start здійснюється через програму Taskbar and Start menu (Панель задач і меню «Пуск»), що викликається натисканням ярлика Setting option в меню Start. Це дозволяє налаштувати вдосконалене меню, включаючи можливість показувати і приховувати Адміністративні інструменти, так само як і можливість розкривати кнопки як Control Panel, щоб була можливість побачити інструменти всередині меню. Приклад такої установки показаний нижче:

Windows 2000 також підтримує різні спеціальні можливості для користувачів з зоровими, слуховими і руховими розладами. Ці установки контролюються з двох різних місць - меню Accessibility (більш доступного режиму) і з Control Panel. Програма Accessibility Options в Control Panel дозволяє вам встановлювати параметри, які стосуються клавіатурі, звуку, екрану і миші. Кожна з них розглянута нижче, в порядку, відповідному розташуванню на вкладках:

Клавіатура - містить налаштування для установки Sticky Keys (коли ви можете натиснути комбінацію клавіш, таку як CTRL + ALT + DEL, одну за одною), Filter Keys (яка ігнорує короткі або швидко повторювані натискання клавіш) і Toggle Key (які супроводжують сигналом натискання таких клавіш, як CapsLock, NumLock або ScrollLock.

Звуки - містить налаштування для установки Sound Sentry ( «вартовий», яка відкриває відповідне вікно на екрані, коли система видає звук) і Show Sounds (яка виводить на екран написи, для будь-яких звуків або мови).

Дисплей - містить налаштування для виведення шрифтів і кольорів екрану з високою контрастністю, спрощуючи читання.

Миша - містить налаштування Mouse Keys, яка дозволяє управляти курсором за допомогою клавіш цифрової частини клавіатури.

General - ця вкладка містить параметри, що дозволяють вам контролювати такі властивості спеціальних можливостей, як виключення їх, якщо вони не використовувалися протягом 5 хвилин, або застосовність цих налаштувань до всіх користувачів системи. Вкладка General показана на малюнку нижче:

Windows 2000 пропонує нові інструменти з меню Accessibility, представлені нижче:

Narrator (диктор) - цей інструмент озвучує зміст таких речей, як меню ярликів, тексти і т.д.

On-Screen Keyboard (клавіатура на екрані) - цей інструмент поміщає зображення клавіатури на дисплей, що дозволяє користувачеві натискати клавіші мишкою, на відміну від реальної клавіатури.

Magnifier (збільшувальна лінза) - цей інструмент дійсно збільшує частину поля екрану, розділяючи зображення на два вікна. Верхня частина екрану - це збільшена версія тієї області, куди вказує миша в нижній частині екрана.

Accessibility Wizard (майстер спеціальних можливостей) - по суті, цей інструмент дозволяє вам створювати індивідуальний профіль користувача, використовуючи спеціальні настройки, які обговорювалися раніше. Ці установки можуть бути збережені в спеціальному файлі з розширенням .acw і потім застосовані до інших користувачів, які потребують схожою конфігурації. Зауважте, що за умовчанням, збережений acw-файл буде мати ACL (associated access control list) до якого мають права доступу тільки користувач, який створив його і адміністратор. Якщо ви хочете, щоб і інші користувачі мали доступ до acw -файлу, ви повинні налаштувати відповідні дозволи для нього.

політики

Політики є базисом середовища і системної конфігурації в Windows 2000. У широкому сенсі, існує два типи політик - Local Policy (локальна політика, яка встановлюється на кожному окремому комп'ютері) і Group Policy (Групова політика, яка може бути застосована до безлічі комп'ютерів відповідно до їх становищем в Active Directory). Без Active Directory можуть застосовуватися тільки локальні політики. Спочатку ми розглянемо локальні політики, а потім перейдемо до введення в групові політики.

Локальні політики безпеки контролюють пов'язані з безпекою настройки окремих Windows 2000 систем. Налаштування виробляються в інструменті Local Security Settings (локальні настройки безпеки), в трьох головних областях - Account Policy (політика облікових записів), Local Policy (локальна політика) і Public Key Policy (політика загальних ключів), як показано нижче:

Account Policies контролюють такі установки, як політика пароля (унікальність пароля, вік і т.д.) і політика блокування облікового запису (поріг блокування, тривалість блокування і т.д.) для локальних облікових записів. Тому, ці установки застосовуються тільки до облікових записів, що зберігаються в системній базі даних SAM (Security Accounts manager) і не застосовні до доменних облікових записів.

Локальні політики містять установки відносяться до Audit Policy (політиці аудиту) на локальній системі, призначення прав користувачів і налаштувань безпеки. Політика аудиту включає в себе налаштування для типу подій, які ви хотіли б відстежувати, такі як доступ до файлів і об'єктів на даній окремій системі. Призначення прав користувачів - тут ви можете дати користувачам або групам права на виконання системних завдань, таких як право змінювати системний час або право здійснювати резервне копіювання файлів і папок. Зауважте, що це відрізняється від механізму, що застосовується в NT 4.0, де права призначалися за допомогою інструменту User Manager. Секція Security Policies (політики безпеки) в локальною політикою дозволяє вам контролювати пов'язані з безпекою системи настройки, такі як блокування Ctrl + Alt + Del запиту для входу в систему, очищення файлу підкачки при виключенні комп'ютера і так далі. Приклад настройки прав користувача показаний нижче:

Політика Загальних Ключів в оснащенні Local Security Settings дозволяє вам встановити EFS recovery agent (Агента відновлення EFS), яким за замовчуванням є локальний адміністратор.

Хоча локальні політики дають вам сильний рівень контролю над системою, вони продовжують залишатися недостатньо гнучким інструментом, так як повинні налаштовуватися локально на кожній машині. Зауважте, що можливо зберігати налаштування політики в файл і потім експортувати ці локальні настройки на інші системи. Windows 2000 також включаються в оснастку, звану Security Configuration and Analysis (Конфігурація і аналіз безпеки). Цей інструмент дозволяє вам зберігати налаштування політики в файлі бази даних, і потім порівнювати зміни в настройках безпеки з цим файлом. Це дуже корисний інструмент для визначення впливу, яке виробляє зміна в налаштуваннях політики. Цей інструмент також дозволяє зберігати базу даних як файл шаблону (.inf-файл), який може бути потім використаний на інших системах.

Для більш детального огляду інструменту Security Configuration and Analysis, дивіться тут .

У середовищі Active Directory настройки політик простіше застосовувати використовуючи Групові Політики. Групові Політики - більш ефективний інструмент, тому що він дозволяє вам централізувати застосування політики. Групові Політики можуть бути застосовані на трьох рівнях Active Directory: сайті, домені, organizational unit (OU - організаційна одиниця). Групові політики дозволяють вам настроїти всі види налаштувань, які стосуються середовищі користувача і комп'ютера, такі як видалення команди Run або застосування єдиних шпалер робочого столу. Вони також включають настройки для безпеки, такі ж, як і в Локальної Політиці. Більш глибоке розгляд налаштувань політик ми зробимо при вивченні матеріалів по Windows 2000 сервера.

Хоча ми ще не обговорювали Active Directory в нашій серії, невеликий огляд ми почнемо зараз. Сайт - це фізичне місце розташування в Active Directory. Якщо політика застосовується до сайту, це означає, що вона застосовується до всіх користувачів на цьому сайті, незалежно від того, чи належать вони, крім того, до якого-небудь домену або OU. Домен, це структура, дуже схожа на подібну в NT 4.0. Будь-яка політика, застосована до домену, буде впливати на всіх користувачів і комп'ютери в домені. І, нарешті, організаційна одиниця або OU - це невеликий контейнер всередині домену, який представляє частину структури, утворену для цілей адміністрування або організації об'єктів (таких як користувачі або комп'ютери). Будь-яка групова політика, застосована до OU впливає на користувачів в даній OU, так само як і інших OU, які є дочірніми (вкладеними) для даної OU.

Так як Групові Політики можуть бути застосовані на різних рівнях, є можливість того, що політика, застосована на якомусь рівні (сайт), буде конфліктувати з встановленої на іншому рівні (наприклад, OU). А раз так, то дуже важливо розуміти порядок, в якому Групові Політики застосовуються. Він такий:

Local Policy - Site - Domain - OU

Значення цього дуже важливо і ви повинні розуміти це. Уявіть, що ви є членом OU званої «Продажі», розташованої на сайті, званому Таллінн. Все Групові Політики зливаються разом. Так, якщо політика на рівні сайту говорить, щоб шпалери на робочий стіл були зеленими, а політика рівня OU видаляє команду Run, в результаті ви отримаєте зелені шпалери і відсутність команди Run. Однак, якщо тут будуть суперечливі вимоги, то настройки діють по старшинству. Уявіть, що політика сайту видаляє команду Run, а політика OU встановлює її - ви отримаєте присутню команду Run, так як політика на рівні OU застосовується після політики на рівні сайту. Зауважте, що немає необхідності виходу з системи і повернення в неї для поновлення більшості основних установок Групових Політик в Windows 2000. Установки Групових Політик автоматично оновлюються на клієнтській системі кожні 90 хвилин за замовчуванням (з 30-хвилинним зрушенням). І це все про групову політику тут, більш детальний огляд пізніше - в матеріалах, присвячених Windows 2000 сервера.

Управління користувачами і групами в домені

Локальні користувачі та групи існують лише в SAM локальної системи Windows 2000 і можу використовуватися тільки для входу в систему, на якій вони існують. Як наслідок, локальні облікові записи не надто практичні для використання у великій середовищі, внаслідок їх розподіленої адміністративної природи. А раз так, багато компаній встановлюють домени, які централизуют адміністрування користувачів і груп, так само як і функцію аутентифікації, використовуючи Windows 2000 сервери як контролери домену. Контролери домену не мають локальну SAM, але підтримують і реплікують базу даних Active Directory, де об'єкти Користувачі і Групи (серед інших) існують. У цьому розділі ми розглянемо деякі властивості облікових записів, які ще продовжують бути присутнім, а деякі вже відрізняються від тих, які існували в NT 4.0.

Перш за все, кожна обліковий запис в Active Directory - це об'єкт і кожен об'єкт має свої властивості. Прикладом властивостей можуть служити такі речі, як ім'я, прізвище, пароль, номер телефону і так далі. Властивостей, пов'язаних з доменної обліковим записом, більше ніж у локального облікового запису, як видно на малюнку нижче (властивості локального облікового запису зліва, доменної - праворуч):

Попросту кажучи, локальні облікові записи продовжують залишатися дуже схожими на облікові записи в NT 4.0, в той час як Windows 2000 доменний обліковий запис має набагато більше властивостей, пов'язаних з нею. Доменний обліковий запис (користувача, групи, комп'ютера і т.д.) встановлюється за допомогою оснастки Active Directory Users and Computers (користувачі і комп'ютери в Active Directory).

Деякі базові речі, які необхідно знати про облікові записи користувачів і груп в доменній середовищі Windows 2000:

• Облікові записи користувачів і груп безпеки продовжують зберігати SID (security identifier), пов'язаний з ними. Перейменування облікового запису зберігає SID. Це може бути чудовим шляхом для заміни одного працівника компанії на іншого, з метою збереження доступу до ресурсів.
• Якщо ви видаляєте обліковий запис користувача, ви також видаляєте пов'язаний з ним SID. Створення іншого облікового запису з таким же ім'ям призведе до появи нового SID і, отже, це буде абсолютно новий запис.
• Якщо працівник звільнився або відсутній, ви можете блокувати його обліковий запис.
• Обліковий запис Адміністратора домену та Гостя не може бути видалена, але може (і повинна) бути перейменована. Запис Гість блокована за замовчуванням.
• Ви також можете скопіювати призначену для користувача доменну обліковий запис, як і в NT 4. Зауважте, що тільки родова складова записи буде скопійована, така як членство в групах і т.д. Більш специфічні властивості, такі як домашня адреса користувача і т.д. чи не копіюються. Копіювання облікового запису дуже зручно, коли ви створюєте шаблон облікового запису для різних типів користувачів. (Зауважте, що якщо ви створюєте шаблон облікового запису і блокуєте його, всі облікові записи, створені за допомогою цього шаблону, виявляться заблокованими, поки ви не розблоковуєте їх). Зауважте також, що якщо ви копіюєте аккаунт, званий Майкл, наприклад, і його копія називається Боб, то дозволу, встановлені на ресурсах для Майкла, чи не копіюються для аккаунта Боба.
• Коли ви розглядаєте облікові записи груп, ви можете просто визначити, в які групи входить дана група, перевіривши вкладку Member Of. Вкладка Member покаже вам, які користувачі і групи входять в дану групу.

Зауважте, що Windows 2000 підтримує три різних типи груп: Domain Local (локальні групи домену), Global (Глобальні) і Universal (Універсальні). Групи Windows 2000 також можуть бути вкладені одна в одну (потенційно - тут є правила!). Зауважте, що вкладені групи і Універсальні групи підтримуються тільки в Native Mode (чистому стані - стані, в якому все контролери домену працюють під Windows 2000) і не підтримуються в Mixed mode (змішаному стані - коли в домені можуть зберігатися NT 4.0 BDC). Ця тема буде докладніше розглянута в наступних статтях.

аутентифікація

Для того, щоб користувач міг використовувати систему Windows 2000 Professional, він повинен бути аутентифікований. Аутентифікація має місце, коли користувач надає діючу комбінацію імені користувача та пароля для системи або домену, до якого він входить. Якщо відбувається вхід в локальну систему, то користувач повинен надати ім'я користувача і пароль з локальної бази даних SAM системи. Якщо відбувається вхід в домен, то повинно бути представлено чинне ім'я користувача, пароль і ім'я домену (зі списку). В якості альтернативи, ви можете також увійти в систему за допомогою того, що називають User Principal Name (UPN - принципове ім'я користувача), яке виглядає як адреса електронної пошти в форматі [email protected]. Якщо UPN надано, користувач не зобов'язаний вибирати домен зі списку (ця опція фактично блокується, якщо UPN використовується). Коли користувач входить в систему, перебуваючи перед екраном її монітора, це називається interactive logon (інтерактивний вхід). Так само як і в NT 4, якщо ви хочете, щоб система була блокована автоматично після простою протягом деякого часу, ви можете встановити зберігач екрану - система буде замкнена автоматично через певний вами час.

І остання можливість Windows 2000, про яку ви повинні бути інформовані - це можливість автоматизувати процес входу в систему. Ви можете налаштувати Windows 2000 так, щоб не було потрібно надавати ім'я користувача і пароль при вході. Замість цього, система дозволяє здійснювати автоматичний вхід, використовуючи мандат, яким ви забезпечені. Ви можете контролювати таку поведінку (яке явно не рекомендується на системах, що вимагають підвищеної безпеки), використовуючи програму User and Password з Control Panel. Ви повинні визначити для користувача обліковий запис, який може використовувати автоматичний вхід в систему. Зауважте, що аутентифікація продовжує здійснюватися, але кожен користувач автоматично аутентифицирующей як один і той же.