Cai dat va cau hinh Windows Server 2012 R2 (49)

(Tiếp theo của "Cai dat va cau hinh Windows Server 2012 R2 (48)")

Chương 6. Tạo và quản lý các nhóm chính sách

Nhóm chính sách (group policy) hay chính sách hệ thống là các thiết lập cho hệ điều hành Windows, nhằm kiểm soát hoạt động của hệ thống máy tính. Nhóm chính sách gồm các chính sách cho người dùng và cho máy tính.

Đối với máy tính, các chính sách sẽ được thiết lập khi khởi động (startup) và khi tắt máy (shutdown). Đối với người dùng, các chính sách sẽ được thiết lập khi đăng nhập (logon) và khi thoát ra (logoff).

Bạn có thể tạo ra một hoặc nhiều nhóm chính sách, mỗi nhóm chính sách được chứa trong một đối tượng gọi là GPO (group policy object).

Để áp dụng nhóm chính sách lên một thùng chứa (domain, site, hoặc OU) trong AD DS, bạn thực hiện gắn GPO vào (link) thùng chứa. Khi đó, mọi đối tượng trong thùng chứa đều bị tác động bởi GPO. Một GPO có thể áp dụng cho nhiều thùng chứa. Một thùng chứa cho phép gắn nhiều GPO.

Các nội dung sẽ được đề cập trong chương này:

- Tạo GPO
- Cấu hình các chính sách bảo mật
- Quản lý ứng dụng
- Cấu hình tường lửa của Windows

6.1 Tạo GPO

GPO có thể tác động lên tất cả người dùng và máy tính theo phạm vi OU, domain hoặc site. Tuy nhiên, nếu sử dụng chức năng lọc (filter), bạn có thể áp dụng GPO trên các người dùng hoặc máy tính cụ thể. Sau đây là các ích lợi của việc sử dụng nhóm chính sách:

- Dễ dàng quản lý các chính sách liên quan đến người dùng, ứng dụng, và màn hình desktop
- Quản lý dữ liệu của người dùng hiệu quả
- Cấu hình quản lý các máy client nhanh chóng và tự động

Các nội dung sẽ được đề cập trong phần này:

- Cấu hình Central Store
- Tạo và quản lý GPO
- Áp dụng GPO
- Chức năng lọc

GPO

GPO là một đối tượng, được sử dụng để chứa các thiết lập mà bạn muốn áp dụng cho người dùng và máy tính trong domain, site hoặc OU. Để áp dụng GPO, bạn sẽ thực hiện gắn GPO tới domain, site hoặc OU. Các công việc liên quan đến nhóm chính sách gồm: tạo GPO, lưu GPO, sử dụng GPO.

Có ba loại GPO: local GPO, nonlocal GPO và starter GPO.

Local GPO (LGPO)

Mọi hệ điều hành Windows đều có hỗ trợ local GPO. Các bản windows từ phiên bản Windows Server 2008 R2 và Windows Vista trở đi, có hỗ trợ nhiều local GPO. Do vậy, bạn có thể thiết lập GPO riêng biệt cho tài khoản administrator và các GPO khác cho người dùng còn lại. Điều này rất hữu ích trong trường hợp máy tính có nhiều người dùng chung, nhưng không thiết lập hệ thống AD DS. Đối với các bản Windows cũ hơn, bạn chỉ có thể tạo được một local GPO, và local GPO này sẽ được áp dụng lên tất cả người dùng.

Local GPO có một số hạn chế so với domain GPO. Cụ thể, local GPO không hỗ trợ việc chuyển hướng thư mục (folder redirection), không hỗ trợ cài đặt phần mềm, ít các thiết lập liên quan đến bảo mật. Nếu các thiết lập giữa local GPO và nonlocal GPO có xung đột, thì các thiết lập của nonlocal GPO sẽ được ưu tiên hơn.

Nonlocal GPO

Nonlocal GPO là các GPO được tạo ra ở AD DS, được gắn tới site, domain và OU (tạm gọi là thùng chứa). Sau khi được gắn tới các thùng chứa, các thiết lập của GPO sẽ tác động lên tất cả người dùng và máy tính có trong thùng chứa.

Starter GPO

Starter GPO là GPO chuẩn, trong đó có chứa các thiết lập cơ bản, cần thiết đối với một domain GPO (các nonlocal GPO nhưng không phải là Starter GPO?!). Starter GPO được giới thiệu từ bản Windows Server 2008. Khi bạn tạo GPO mới dựa trên starter GPO, các thiết lập của starter GPO sẽ được chép sang GPO mới.

Cấu hình Central Store

Trong các phiên bản Windows cũ, nội dung của GPO được chứa trong các tập tin dạng ADM (token-based administrative template). Từ Windows Server 2008 và Windows Vista, nội dung của GPO được chứa trong tập tin dạng ADMX (XML-based file format).

Các thiết lập của GPO thường được tổ chức dưới dạng các mẫu (administrative template). Mẫu là một tập tin, trong đó chứa các thiết lập của GPO, các thiết lập sẽ làm thay đổi nội dung của registry.

Trong các phiên bản Windows cũ, mỗi khi GPO được tạo ra, nội dung của GPO được chứa trong tập tin dạng ADM, hệ thống sẽ chép một bản của tập tin dạng ADM vào thư mục SYSVOL trên máy domain controller.

Đối với hệ thống AD DS lớn, cần có rất nhiều GPO, mỗi tập tin của GPO có kích thước chuẩn là 4 MB. Điều này sẽ làm cho thư mục SYSVOL bị phình lớn, với rất nhiều thông tin dư thừa. Thông tin trong SYSVOL lại được nhân bản tới tất cả các domain controller trong domain. Đây là một hạn chế cần phải khắc phục.

Để giải quyết vấn đề này, nội dung của GPO sẽ được lưu trong tập tin dạng ADMX, sau đó lưu tập tin ADMX vào Central Store. Mỗi domain controller có một Central Store. Để sử dụng Central Store,

bạn phải chép thư mục chứa chính sách tới thư mục SYSVOL.

Mặc định, chương trình Group Policy Management Console (GPMC) lưu các tập tin ADMX trong thư mục \%systemroot%\PolicyDefinitions, cụ thể với hầu hết các máy sẽ là: C:\Windows\PolicyDefinitions. Để tạo Central Store, bạn phải chép toàn bộ nội dung của PolicyDefinitions tới domain controller tại vị trí %systemroot%\SYSVOL\sysvol\<domain name>\Policies, hoặc theo dạng tên quy ước là: \\<domain name>\SYSVOL\<domain name>\Policies.

Sử dụng Group Policy Management Console

Group Policy Management Console (GPMC) là một công cụ trong bộ MMC (Microsoft Management Console). GPMC được sử dụng để tạo, quản lý và sử dụng các GPO. Để mở và biên tập một GPO, bạn sử dụng công cụ Group Policy Management Editor.

Bạn có thể tạo GPO trước, sau đó gắn GPO tới domain, site, hoặc OU. Hoặc bạn cũng có thể thực hiện hai việc trên cùng một lúc.

Trong Windows Server 2012 R2, các công cụ làm việc với GPO được cài đặt tự động cùng với AD DS. Tuy nhiên, nếu máy tính chưa có, bạn vẫn có thể thực hiện cài đặt các công cụ làm việc với GPO riêng biệt bằng Add Roles And Features Wizard trong Server Manager. Các công cụ làm việc với GPO cũng có trong gói Remote Server Administration Tools.

Tạo và gắn nonlocal GPO

Nếu bạn muốn để nguyên tất cả các GPO do Windows tạo ra, nhằm giữ nguyên sự ổn định của hệ thống, thì bạn nên tạo mới các GPO, sau đó gắn các GPO này tới các thùng chứa mà bạn quan tâm trong AD DS.

Sau đây là các bước thực hiện:

1. Mở Active Directory Administrative Center, trong AD DS tạo một OU có tên là KinhDoanh.

2. Mở Server Manager, chọn trình đơn Tools, chọn Group Policy Management để mở cửa sổ Group Policy Management. Xem hình minh họa.

3. Xổ nút Forest\Domain, chọn nút Group Policy Objects. Tất cả các GPO hiện có của domain sẽ xuất hiện trong cửa sổ Group Policy Objects.

4. Để tạo GPO mới, bấm chuột phải vào Group Policy Objects, chọn New để mở cửa sổ New GPO.

5. Nhập tên cho GPO trong mục Name, bấm OK. GPO vừa được tạo sẽ xuất hiện trong cửa sổ bên phải.

6. Ở cửa sổ bên trái, bấm chuột phải vào domain, site hoặc OU để gắn GPO, chọn Link An Existing GPO để mở cửa sổ Select GPO.

7. Chọn GPO vừa tạo (hoặc bất kì GPO nào bạn muốn) để gắn vào đối tượng, bấm OK. GPO sẽ xuất hiện trong cửa sổ bên phải, trong táp Link Group Objects. Xem hình minh họa.

8. Đóng cửa sổ Group Policy Management Console.

Bạn có thể tạo và gắn GPO tới AD DS cùng lúc bằng cách bấm chuột phải vào domain, site hoặc OU, chọn mục Create A GPO In This Domain And Link It Here.

GPO có tính kế thừa, nghĩa là nếu bạn gắn GPO tới một thùng chứa của AD DS, các chính sách của GPO sẽ được áp đặt lên tất cả các thành phần bên trong của thùng chứa.

Chức năng lọc trong GPO

Thực chất, sau khi gắn GPO tới một thùng chứa, mọi người dùng và máy tính trong thùng chứa sẽ có quyền đọc (read) và áp dụng (apply) các nội dung có trong GPO.

Nhóm Authenticated Users là nhóm có thành viên là toàn bộ người dùng và máy tính đã vượt qua được bước chứng thực khi đăng nhập vào domain. Khi GPO áp dụng trên các thùng chứa, nó sẽ áp dụng lên toàn bộ các đối tượng vừa thuộc Authenticated Users và vừa thuộc thùng chứa. Như vậy, bằng cách gán quyền trên GPO cho người dùng và máy tính cụ thể, bạn có thể thực hiện áp dụng GPO một cách linh hoạt hơn.

Để lựa chọn người dùng hoặc máy tính chịu sự tác động của GPO, tại cửa sổ Group Policy Management Console, bạn chọn GPO ở khung bên trái, trong phần Security Filtering, sử dụng hai nút Add và Remove để thay thế nhóm Authenticated Users bằng các đối tượng khác chịu sự tác động của GPO. Khi đó, chỉ có người dùng, máy tính nằm trong thùng chứa và có trong phần Security Filtering mới nhận được các thiết lập của GPO. Xem hình minh họa.

---------------------------

Tham khảo (Lược dịch): Craig Zacker, Exam Ref 70-410 - Installing and Configuring Windows Server 2012 R2, Microsoft Press, 2014

---------------------------
Cập nhật 2015/5/14
---------------------------
Đọc thêm
Cai dat va cau hinh Windows Server 2012 R2 (50)

Cai dat va cau hinh Windows Server 2012 R2 (48)

(Tiếp theo của "Cai dat va cau hinh Windows Server 2012 R2 (47)")

Lồng group (nesting group)

Lồng group là thuật ngữ đề cập tới tình huống một group là thành viên của group khác. Ví dụ, khi bạn cho group global là thành viên của group universal, bạn có thể nói: group global được lồng vào group universal.

Lồng group giúp giảm bớt công việc liên quan đến cấp quyền sử dụng tài nguyên cho người dùng, đặc biệt trong các hệ thống mạng gồm nhiều domain. Ví dụ, nếu hệ thống mạng gồm nhiều domain con, người dùng trong các domain con cần truy cập tới cơ sở dữ liệu trên domain cha, cách đơn giản nhất để thực hiện là:

1. Tạo group kiểu global trên mỗi domain con, cho tất cả người dùng có nhu cầu truy cập cơ sở dữ liệu là thành viên của group vừa tạo.

2. Tạo group kiểu universal trên domain cha. Lồng các group kiểu global đã tạo ở bước 1 làm thành viên của group universal.

3. Lồng group universal vào group domain local (trên domain cha). Cấp quyền truy cập cơ sở dữ liệu cho group domain local.

Chiến lược lồng nhóm hay được sử dụng là AGUDLP. Ý nghĩa của AGUDLP là: tạo tài khoản người dùng (Account), cho tài khoản người dùng là thành viên của group Global, lồng group global vào group Universal, lồng group universal vào group Domain Local, thực hiện cấp quyền (Permission) cho group domain local. Chiến lược này cũng có thể sử dụng trong ủy quyền quản trị.

Tạo group

Việc tạo group bằng Active Directory Administrative Center hay bằng Active Directory Users And Computers cũng giống với quá trình tạo OU. Nghĩa là cũng cần xác định vị trí tạo group và đặt tên cho group. Tên của group có thể dài 64 kí tự, phải là duy nhất trong domain. Ngoài ra, bạn cũng cần phải lựa chọn group type và group scope cho phù hợp. Xem hình minh họa.

Ngoài việc sử dụng giao diện cửa sổ để tạo group, bạn cũng có thể sử dụng các công cụ dòng lệnh để tạo một lúc nhiều group. Sau đây là một số phương pháp tạo group bằng công cụ dòng lệnh.

Dsadd group

Công cụ dsadd được sử dụng để tạo tài khoản người dùng, ngoài ra, nó cũng được dùng để tạo ra group. Cú pháp của lệnh như sau:

Dsadd group <GroupDN> [parameters]

Trong đó, GroupDN (group distinguished name): thông tin nhận diện group, GroupDN là duy nhất cho mỗi group. GroupDN gồm: tên group, vị trí tạo group.

Mặc định, dsadd sẽ tạo group kiểu security, global. Tuy nhiên, bạn có thể thiết lập trong các tham số để tạo group với kiểu (type, scope) khác nhau, thiết lập thành viên cho group, và các tham số khác. Cụ thể:

-secgrp yes|no : kiểu của group, yes là kiểu security; no là kiểu distribution. Giá trị mặc định là yes.

-Scope l|g|u : kiểu dựa trên phạm vi của group, l là kiểu domain local; g là kiểu global; u là kiểu universal. Giá trị mặc định là g.

-Samid <SAMName> : tên SAM của group, xem thêm thông tin về SAM trong phần tài khoản người dùng.

-desc <description> : mô tả cho group.

-memberof <GroupDN> : group sắp được tạo sẽ là thành viên của group nào.

-members <GroupDN> tên các đối tượng sẽ là thành viên của group sẽ được tạo [//tài liệu gốc ghi là member].

Ví dụ, lệnh sau để tạo group có tên là BanHang trong Users, cho tài khoản Administrator là thành viên của group BanHang:

Dsadd group “CN=BanHang,CN=Users,DC=dalat,DC=com” –members “CN=Administrator,CN=Users,DC=dalat,DC=com”

Sử dụng Windows PowerShell

Để tạo group trong Windows PowerShell, sử dụng lệnh New-ADGroup với cú pháp như sau:

New-ADGroup

-Name <group name>

-SamAccountName <SAM name>

-GroupCategory Distribution|Security

-GroupScope DomainLocal|Global|Universal

-Path <distinguished name>

Ví dụ sau tạo group có tên BanHang trong OU ChiNhanh2.

New-ADGroup –Name BanHang –SamAccountName BanHang –GroupCategory Security

-GroupScope Global –Path “OU=ChiNhanh2, DC=dalat, DC=com”

Thêm thành viên cho group

Active Directory Administrative Center cho phép thiết lập thành viên ngay lúc tạo group. Tuy nhiên, Active Directory Users And Computers yêu cầu bạn phải tạo group trước, sau đó mới thiết lập thành viên cho group.

Để thêm thành viên cho group, chọn group, vào trình đơn Action, chọn Properties để mở cửa sổ Properties, chọn táp Members để thêm thành viên. Chọn táp Member Of để lồng group vào group khác.

Quản lý thành viên của group bằng Group Policy

Ngoài việc sử dụng Active Directory Administrative Center hoặc Active Directory Users And Computers, bạn có thể sử dụng Group Policy để thêm thành viên cho group. Các bước để thực hiện:

1. Mở Server Manager, vào trình đơn Tools, chọn mục Group Policy Management để mở cửa sổ Group Policy Management. Tạo một GPO mới và liên kết tới domain.

2. Bấm chuột phải vào GPO vừa tạo, chọn Edit để mở cửa sổ Group Policy Management Editor, duyệt theo đường dẫn: Computer Configuration\Policies\Windows Settings\Security Settings\Restricted Group. Xem hình minh họa.

3. Bấm chuột phải vào mục Restricted Groups, chọn mục Add group để mở cửa sổ Add Group.

4. Nhập tên hoặc bấm vào nút Browse để tìm tới group cần cấu hình, bấm OK. Tên group vừa được chọn sẽ xuất hiện trong mục Restricted Groups, đồng thời xuất hiện cửa sổ Properties. Xem hình minh họa.

5. Bấm vào các nút Add để nhập thành viên cho group, hoặc lồng group vào group khác.

6. Bấm OK.

7. Đóng cửa sổ Group Policy Management Editor và Group Policy Management.

Việc thiết lập các thành viên của group bằng Group Policy có tính chất cố định. Nghĩa là, người quản trị vẫn có thể sử dụng các công cụ khác để thay đổi các thành viên của group. Tuy nhiên, khi hệ thống cập nhật lại group policy, thì trạng thái của group lại được thiết lập như ban đầu.

Quản lý group bằng DSMOD

Dsmod.exe cho phép thay đổi các thuộc tính của group, như thêm thành viên, xóa thành viên, đổi kiểu của group, đổi phạm vi của group.

Cú pháp của lệnh:

Dsmod group <GroupDN> [parameters]

Các tham số thường được sử dụng là:

–secgrp yes|no : yes là group kiểu security, no là kiểu distribution.

–scope l|g|u : l là kiểu domain local, g là kiểu global, u là kiểu universal.

–addmbr <members> : thêm thành viên cho group.

–rmmbr <members> : xóa thành viên của group.

–chmbr <members> : thiết lập lại toàn bộ thành viên của group.

Ví dụ, lệnh sau sẽ cho tài khoản Administrator là thành viên của group Guests:

dsmod group “CN=Guests, CN=Builtin, DC=dalat, DC=com”

-addmbr “CN=Administrator, CN=Users, DC=dalat, DC=com”

Đổi kiểu của group

Khi group đã được tạo ra, bạn vẫn có thể thực hiện thay đổi kiểu (type) và phạm vi (scope) của nó.
Để thực hiện, mở cửa sổ Properties của group cần thay đổi, chọn táp General, thực hiện các tùy chọn.

Lưu ý, việc thay đổi phạm vi của group phải tuân theo hướng dẫn trong bảng sau:

	Chuyển sang Domain Local	Chuyển sang Global	Chuyển sang Universal
Từ Domain Local	Không được	Không được	Được, nếu group không chứa group domain local khác.
Từ Global	Không được	Không được	Được, nếu group không chứa group global khác.
Từ Universal	Được	Được, nếu group không chứa group universal khác.	Không được

Xóa Group

Cũng giống như tài khoản người dùng, mỗi group sẽ có một định danh (SID) duy nhất, định danh này không thể sử dụng lại được. Định danh được hệ thống sử dụng trong quá trình phân quyền sử dụng tài nguyên.

Khi xóa group, Windows Server 2012 R2 sẽ loại bỏ SID vĩnh viễn, kể cả khi tạo một group mới có tên trùng với group đã bị xóa thì SID cũng sẽ được tạo mới. Điều này có nghĩa là, khi xóa group, hệ thống sẽ xóa luôn các quyền đã được cấp cho group đó, và không thể phục hồi lại các quyền đã cấp bằng cách tạo lại group vừa xóa.

Xóa group chỉ loại bỏ tên, SID của group và các quyền đã được cấp cho group, mà không xóa các thành viên trong group.

Tóm tắt nội dung

- Thêm OU vào AD đơn giản hơn nhiều so với việc thêm một domain vào AD. Với OU, bạn vừa dễ di chuyển, có thể xóa đi, cũng không cần phải đầu tư thêm phần cứng.

- OU có thể chứa người dùng và máy tính như group, tuy nhiên, bạn không thể phân quyền cho một nhóm người dùng cùng lúc bằng OU được, để làm điều này bạn phải tạo group.

- OU được sử dụng để ủy quyền quản trị, chia nhỏ hệ thống để quản trị, các thiết lập trên OU không làm ảnh hưởng đến các phần còn lại của hệ thống AD.

- Group được sử dụng để gán quyền truy cập tài nguyên cho nhiều người dùng hoặc máy tính cùng lúc.

- Group được phân loại dựa trên chức năng và phạm vi. Dựa theo chức năng có hai loại: security và distribution. Dựa theo phạm vi có ba loại: domain local, global, universal.

- Lồng group là khái niệm để chỉ việc group này là thành viên của group khác.

- Có thể thiết lập thành viên cho group bằng công cụ group policy, thiết lập trong Restricted Groups.

Câu hỏi ôn tập

1. Group nào được sử dụng để tập hợp người dùng và group trên nhiều domain hoặc toàn forest?

A. Global

B. Domain local

C. Built-in

D. Universal

2. Phát biểu nào không đúng về mục đích tạo OU?

A. Để tạo một thùng chứa cố định, không thể di chuyển hoặc đổi tên.

B. Mô phỏng các phòng ban trong tổ chức trên hệ thống AD.

C. Ủy quyền quản trị.

D. Tạo các chính sách riêng biệt bằng group policy, sau đó áp dụng trên các nhóm người dùng và máy tính.

3. Việc chuyển đổi kiểu của group nào sau đây không cho phép làm trong mọi tình huống?

A. Từ global sang universal

B. Từ global sang domain local

C. Từ universal sang global

D. Từ domain local sang universal

4. Trong domain đang chạy ở chế độ Windows Server 2012 R2 (Windows Server 2012 R2 domain functional level), các đối tượng nào có thể là thành viên của group kiểu global? (chọn nhiều đáp án)

A. Các tài khoản người dùng.

B. Các tài khoản máy tính.

C. Group kiểu universal.

D. Group kiểu global.

5. Khi bạn sử dụng Active Directory Users And Computers để xóa một group kiểu global, tuy nhiên, hệ thống không cho phép thực hiện. Đâu là nguyên nhân? (chọn nhiều đáp án)

A. Group đang còn chứa các thành viên.

B. Group có chứa thành viên được thiết lập là primary group.

C. Tài khoản hiện tại không có quyền xóa các đối tượng.

D. Không thể xóa group kiểu global bằng công cụ Active Directory Users And Computers.