МІНІСТЕРСТВО ОСВІТИ ТА НАУКИ УКРАЇНИ НАЦІОНАЛЬНИЙ УНІВЕРСИТЕТ “ ЛЬВІВСЬКА ПОЛІТЕХНІКА ” ІКТА Кафедра БІТ
Звіт до лабораторної роботи № 6 з курсу: “ Операційні системи ” по темі: “ Керування груповими політиками у Windows XP ” Львів – 2014 р. Мета: набуття практичних навичок роботи з груповими політиками Windows XP, ознайомлення з управлінням груповими політиками на базі середовища “Робочої групи”. ПОРЯДОК ВИКОНАННЯ РОБОТИ Щоб отримати доступ до Групової політики необхідно увійти в систему як член групи Адміністратора, а точніше будь-якої групи, що має достатньо прав. Наведемо витяг з довідки Windows XP з цього приводу: Неможливо відкрити об’єкт групової політики в консолі, навіть за наявності доступу на читання. Причина. Для відкриття об’єкта групової політики в консолі адміністратор повинен мати не тільки доступ на читання, але й повний доступ до об’єкта. Рішення. Необхідно бути членом групи безпеки з повним доступом до об’єкта групової політики. Наприклад , адміністратор домену може управляти груповою політикою на основі Active Directory. Адміністратор комп’ютера може редагувати тільки локальний об’єкт групової політики цього комп’ютера. Далі можна підготувати оснащення для Групової політики через Microsoft Management Console (MMC), або скористатися вже існуючим оснащенням: Пуск - > Виконати, і в рядку Відкрити, ввести " gpedit.msc " і натиснути OK. Відкриється оснастка групової політики. Використання Редактора Об’єкту Групової політики для завдання політик. Подивимося як працює GP. Експерименти будемо ставити на Windows Messenger. ----- Попередження ----- Використання Редактора об’єкта групових політик може привести до небажаних наслідків у роботі системи, і навіть вивести її зі звичного режиму функціонування. Завжди перед початком внесення змін необхідно перевірити наявність повної працездатної резервної копії системи (BackUp). Запускаємо gpedit.msc. / Знаходимо в дереві консолі параметри для Windows Messenger. / Відкриваємо Конфигурация Компьютера Административные шаблоны Компоненты Windows Вибираємо Windows Messenger. У правій панелі вибираємо «Запретить выполнение Windows Messenger». Поточний стан «Не задана». / Повернемося до налаштування політик. Якщо подивитися на Конфигурация пользователя Административные шаблоны Компоненты Windows, то бачимо, що Windows Messenger зустрічається в обох гілках. Виберемо Windows Messenger і бачимо, що в обох гілках ідентичні параметри Групової політики. / Тонка настройка NTFS прав для групи Restricted 1 ) Створити Групу користувачів, для якої не повинні застосовуватися налаштування групової політики, і додати до цього необхідні облікові записи. 2 ) Встановити політики для Локальної Групової Політики - Конфігурації Користувача. 3 ) Відкрити % SystemRoot % System32GroupPolicy і зайти у властивості папки. / 4 ) Перейти на вкладку Безопасность -> Дополнительно -> Разрешения. / 5 ) Далі натиснути «Додати» і вибрати або додати групу, яку хочемо виключити з поширення розділу Конфігурації користувача Локальної Групової політики. / 6 ) Далі тиснемо "Изменить" і виставляємо права, як на картинці: Забороняємо: Обзор/Выполнение Содержание папки/Чтение данных Чтение атрибутов Дозволяємо: Чтение разрешений Смену разрешений / Дана настройка, дозволяє в подальшому вільно змінювати права, не беручи об’єкт у володіння. Тиснемо "ОК". 7 ) Далі потрібно встановити позначку навпроти: «Заменить разрешения для всех объектов заданными здесь разрешениями, применимыми к объектам". Тиснемо "ОК". / 8 ) З’явиться два попередження, на яких тиснемо "Так". / / 9 ) Далі переконуємося, що права встановлені правильно і працюють. З метою перевірки, ми можемо зайти до вкладки безпеки і там коректно відображені права користувачів, але при цьому через провідник не отримуємо доступ до файлів. / Права налаштовані, якщо все було зроблено правильно, то політики не будуть застосовуватися користувачу або користувачам групи Restricted. Параметри розділу Конфігурація Користувача набирають чинності з наступної реєстрації користувача в системі, а параметри розділу Конфігурація Комп’ютера набирають чинності після перезавантаження системи. Або можливо їх негайне застосування через команду gpupdate командного рядка. Б) Повторне редагування Групових політик. Цілком можлива ситуація, що після цієї настройки, необхідно буде внести зміни в Групову політику, але тут виникає проблема. Доступ до редагування Групової політики буде закрито. / Щоб обійти це обмеження, необхідно відновити права на папку GroupPolicy і всі об’єкти в ній для цієї Групи користувачів хоча б до Read. 1 ) Відкрити % SystemRoot % System32GroupPolicy і зайти у властивості папки. 2 ) Перейти на вкладку Безопасность -> Дополнительно -> Разрешения. 3 ) В елементах дозволів вибрати групу Restricted для якої тип прав «Запретить». 4 ) Змінити права на «Разрешить»: Обзор/Выполнение Содержание папки/Чтение данных Чтение атрибутов / Тиснемо "ОК". 5 ) Далі потрібно встановити позначку напроти: «Заменить разрешения для всех объектов заданными здесь разрешениями, применимыми к объектам» / Тиснемо "ОК". З цього моменту доступ до редагування Групової політики з’явиться. Після редагування необхідно знову відновити заборони для групи Restricted.