Иллюстрированный самоучитель по Microsoft Windows 2000

Работа с групповыми политиками домена

Ниже приведен ряд примеров, демонстрирующих работу с групповыми политиками домена.

Создание объекта групповой политики

Для создания самостоятельного, изолированного GPO:

1. Запустите консоль управления Microsoft (MMC).
2. Выберите в меню Консоль команду Добавить/удалить оснастку, в следующем окне нажмите кнопку Добавить.
3. В окне Добавить изолированную оснастку выберите элемент Групповая политика, затем нажмите кнопку Добавить.
4. В окне Поиск объекта групповой политики нажмите кнопку Обзор. Запустится браузер GPO.
5. Для создания нового GPO с именем, установленным по умолчанию, нажмите кнопку Новый объект групповой политики (Create New Group Policy Object).
6. Переименуйте вновь созданный GPO. Дайте ему более информативное имя.

   Примечание
   Операционная система не следит за уникальностью имен объектов групповых политик безопасности, поскольку каждый GPO обладает внутренним глобальным уникальным идентификатором (GUID). За уникальность имени отвечает его создатель.

7. Чтобы закрыть окно браузера GPO, нажмите кнопку ОК. Нажмите кнопку Готово, чтобы закрыть окно диалога Поиск объекта групповой политики.
8. Нажмите кнопку Закрыть, чтобы закрыть окно диалога Добавить изолированную оснастку, затем закройте окно диалога Добавить/удалить оснастку.

Рис. 27.5. Окно диалога Поиск объекта групповой политики (Browse for a Group Policy Object) и кнопка Новый объект групповой политики (Create New Group Policy Object)

Теперь в оснастке Групповая политика загружен только что созданный GPO. Отредактируйте его в соответствии с общей концепцией обеспечения безопасности и ассоциируйте его с соответствующим доменом или OU.

Примечание
Можно создавать и редактировать GPO сразу для конкретного контейнера. Это делается на вкладке Групповая политика в окне свойств этого контейнера (см. ниже раздел "Привязка GPO к объектам Active Directory").

Загрузка уже созданного GPO

Чтобы загрузить GPO:

1. Запустите оснастку Групповая политика. При запуске оснастки укажите загружаемый GPO. Для этого нажмите кнопку Обзор. Запустится браузер GPO.
2. В открывшемся окне диалога Поиск объекта групповой политики выберите нужный GPO и нажмите кнопку ОК.

Редактирование GPO

Чтобы отредактировать GPO:

1. Загрузите нужный GPO в оснастку Групповая политика.
2. После запуска оснастки переместитесь по дереву узлов и откройте редактируемые параметры групповой политики.
3. В правом подокне окна оснастки Групповая политика щелкните на редактируемом параметре. В открывшемся окне установите нужное значение.

Привязка GPO к объектам Active Directory

Чтобы привязать созданный GPO к сайту, домену или подразделению (создать ссылку на некоторый GPO):

1. Запустите оснастку Active Directory – сайты и службы – для работы с сайтами или Active Directory– пользователи и компьютеры – для доменов и подразделений.
2. Укажите тот контейнер, для которого устанавливается ассоциация с GPO, и нажмите правую кнопку мыши. В появившемся меню выберите команду Свойства и в открывшемся окне перейдите на вкладку Групповая политика.
3. Для того чтобы добавить новый GPO, нажмите кнопку Добавить. Запустится браузер GPO.
4. Найдите объект групповой политики, с которым вы хотите ассоциировать выбранный контейнер, и выберите его. Нажмите кнопку ОК. GPO будет добавлен к списку ассоциированных объектов. Для изменения приоритета политик (порядка следования элементов в списке) используйте кнопки Вверх (Up) и Вниз (Down).

Настройка политики паролей для локальных учетных записей

Для настройки политики паролей в некотором домене или подразделении:

1. Создайте GPO, предназначенный для формирования политики паролей, как было описано выше.
2. Загрузите созданный GPO и откройте узел Конфигурация компьютера › Конфигурация Windows › Параметры безопасности › Политики учетных записей › Политика паролей.
3. Установите необходимые значения параметров политики паролей.
4. Закройте окно оснастки Групповая политика. Все сделанные вами изменения будут записаны в GPO.
5. Выполните процедуру привязки созданного GPO к домену или подразделению, описанную в предыдущем разделе.

Теперь можно переместить в этот домен или подразделение все компьютеры, на которые должна действовать созданная вами политика паролей.