Leseprobe. Martin Dausch. Gruppenrichtlinien in Windows Server 2008 R2 und Windows 7. Ein praktischer Leitfaden für die Netzwerkverwaltung

Transkript

1 Leseprobe Martin Dausch Gruppenrichtlinien in Windows Server 2008 R2 und Windows 7 Ein praktischer Leitfaden für die Netzwerkverwaltung ISBN: Weitere Informationen oder Bestellungen unter sowie im Buchhandel. Carl Hanser Verlag, München

2 3.6 Praktisches Beispiel für die Verarbeitungsreihenfolge von Gruppenrichtlinien Praktisches Beispiel für die Verarbeitungsreihenfolge von Gruppenrichtlinien Das folgende Beispiel verdeutlicht, wie in der Praxis mit Gruppenrichtlinien gearbeitet wird und welche Rolle dabei die Reihenfolge der Richtlinienverarbeitung spielt. Sie administrieren das Netzwerk eines mittelständischen Unternehmens in der Metallverarbeitung. Das Unternehmen hat zwei Standorte, die Hauptniederlassung in Berlin und eine Außenstelle in München. An beiden Standorten sind Produktionsabteilungen, in denen unter anderem CAD-Systeme eingesetzt werden. Mobile Mitarbeiter setzen tragbare Rechner an beiden Standorten ein. Betrachten Sie zur Verdeutlichung die OU-Struktur in der folgenden Darstellung. BILD 3.15 OU-Struktur der Beispielfirma Sie möchten nun die folgenden Einstellungen mittels Gruppenrichtlinien realisieren:

3 40 3 Verarbeitungsreihenfolge von Gruppenrichtlinien TABELLE 3.1 Anforderungen für Gruppenrichtlinien Kennwörter sollen mindestens neun Zeichen lang sein und müssen den Komplexitätsanforderungen entsprechen. Alle Rechner sollen einen lokalen WSUS-Server für die Verarbeitung von Softwareupdates verwenden. Dies betrifft auch die mobilen Rechner. Standardbenutzer dürfen die Bildschirmauflösung nicht ändern. CAD-Benutzer dürfen die Bildschirmauflösung ändern. Wartungs-Ingenieure dürfen auf alle Funktionen der Systemsteuerung zugreifen. Wartungs- Ingenieure sind zugleich Standardbenutzer der Produktionsabteilung. Standardsoftware soll an alle Benutzer der Produktionsabteilung verteilt und auf jedem Rechner installiert werden, an dem sich die Benutzer anmelden. Softwareverteilung der Produktionssoftware soll nur an Produktionsserver erfolgen, nicht an andere Rechner der Produktionsabteilung Kennwortrichtlinie Kennwortrichtlinien greifen nur für Domänenkonten, wenn sie in der Default Domain Policy definiert werden. Darum muss die Default Domain Policy entsprechend angepasst werden. HINWEIS: Es gibt zwar auch die Möglichkeit über Kennwort-Einstellungsobjekte (Password Settings Objects, PSOs) Kennwortregeln zu definieren, diese sind jedoch keine Gruppenrichtlinien und sollen an dieser Stelle nur der Vollständigkeit halber erwähnt werden Lokaler WSUS Damit Rechner ihre Updates von einem lokalen WSUS-Server beziehen, müssen Sie zwei Richtlinien für die unterschiedlichen Standorte Berlin und München verwenden. Da zusätzlich mobile Rechner im Einsatz sind, dürfen die Richtlinien nicht auf Organisationseinheiten angewendet werden, sonst müsste man die Computerkonten der mobilen Rechner bei jeder Verlagerung des Benutzers zwischen den Organisationseinheiten verschieben. Hier bieten sich statt dessen zwei Standortrichtlinien an. Bezieht nun ein mobiles Gerät über den lokalen DHCP-Server eine zum Standort passende IP-Adresse, wird vom Active Directory automatisch auch der Standort ermittelt, und die passende Gruppenrichtlinie kann angewendet werden.

4 3.6 Praktisches Beispiel für die Verarbeitungsreihenfolge von Gruppenrichtlinien Bildschirmauflösung Standardbenutzer Damit Standardbenutzer der Produktion die Bildschirmauflösung nicht ändern können, wird eine Gruppenrichtlinie definiert, die entsprechende Einstellungen für die Benutzer sperrt. Diese wird mit der OU OU-B-Produktion verknüpft. Entsprechend wird für München verfahren Bildschirmauflösung CAD-Benutzer Die Benutzerkonten der CAD-Benutzer sind in einer untergeordneten Organisationseinheit OU-B-Prod-CAD. In dieser wird die Sperrung der Systemsteuerungselemente für die Bildschirmauflösung aufgehoben. Da die Richtlinie der Unter-OU später verarbeitet wird, werden die entsprechenden Einstellungen der übergeordneten Richtlinie überschrieben. Würde statt dessen die Richtlinienvererbung für die OU-B-Prod-CAD deaktiviert, so erhielten die Benutzer auch andere benötigte Einstellungen nicht Wartungs-Ingenieure Damit die rigiden Einstellungen der GPO für Benutzer der Produktionsabteilung nicht die Wartungs-Ingenieure behindern, muss ihnen das Übernehmen der Gruppenrichtlinie für Produktionsbenutzer verweigert werden. Andere Richtlinien der OU sollen trotzdem für sie gelten Softwareverteilung Produktionsbenutzer Standardsoftware soll für alle Benutzer der Produktionsabteilung installiert werden. Da die Installation nur erfolgt, wenn ein Benutzer sich erstmalig an dem Rechner anmeldet und dieser anschließend neu startet, stellen die mobilen Rechner hierbei kein Problem dar, und die Richtlinie kann an die OU-B-Produktion (respektive OU-M-Produktion) mit dem passenden lokalen Pfad zur Installations-Freigabe erfolgen. HINWEIS: Dies ist ein Grund, warum man die Vererbung der OU-B-Prod-CAD nicht deaktivieren darf. Die Richtlinie würde sonst nicht auf die CAD-Benutzer angewendet werden Softwareverteilung Produktionsserver Da die Spezialsoftware nur auf ausgewählten Computern installiert werden soll, könnte man hierzu mit einer positiven Sicherheitsfilterung gewährleisten, dass nur die Gruppe Produktions server die Richtlinie anwenden darf. Hierzu würde man die Authentifizierten Benutzer entfernen und statt dessen eine entsprechende Sondergruppe einsetzen.

5 6.9 Richtlinien im Bereich Netzwerksicherheit Netzwerkzugriffsschutz Mit Netzwerkzugriffsschutz (Network Access Protection, NAP) können Sie den gesamten Bereich der Clientkonfiguration für NAP zentral verwalten. BILD 6.42 NAP-Clientkonfiguration Da NAP einen ganz eigenen Themenkomplex darstellt und nur als Sonderfall in Unternehmensnetzwerken intern zum Einsatz kommt, sei es an dieser Stelle nur kurz erwähnt. Für nähere Informationen zu Netzwerkrichtlinien in Zusammenhang mit IEEE 802.1X, Radius, Zertifizierungsstellen, NPS und Integritätsrichtlinien konsultieren Sie bitte geeignete Fachliteratur Anwendungssteuerung mit AppLocker AppLocker stellt eine der Neuerungen dar, die mit Windows Server 2008 R2 und Windows 7 in den Enterprise- und Ultimate-Editionen Einzug gehalten haben. AppLocker stellt dabei ein mächtiges (und entsprechend komplexes) Tool dar, mit dem sich sehr differenziert steuern lässt, welche Programme in welchen Versionen welchen Benutzern zur Verfügung stehen sollen.

6 102 6 Windows-Einstellungen Computerverwaltung BILD 6.43 Zugriffssteuerung für Anwendungen AppLocker im Vergleich zu Software-Einschränkungen Sie können in einem GPO entweder Software-Einschränkungen oder AppLocker-Regeln verwenden. Wenn in einem GPO sowohl AppLocker-Regeln als auch Software-Einschränkungen definiert werden, so werden nur die AppLocker-Regeln angewendet. Eine der Einschränkungen, denen AppLocker gegenüber den Software-Einschränkungsrichtlinien unterliegt, ist dabei die Beschränkung auf Verweigerungen als Standardregelaktion. Dafür ist aber eine Reihe von neuen Möglichkeiten dazugekommen, die eine sehr viel genauere Arbeitsweise erlauben. Die folgende Tabelle liefert einen differenzierten Vergleich von Software-Einschränkungsrichtlinien und AppLocker.

7 6.9 Richtlinien im Bereich Netzwerksicherheit 103 TABELLE 6.7 AppLocker im Vergleich zu Software-Einschränkungen Option AppLocker Software-Einschänkungen Standardaktion der Regel Verweigern Zulassen oder Verweigern Mögliche Regelungen Zulassen oder Verweigern Zulassen oder Verweigern Regelbedingung Wer wird betroffen Dateipfad, Hash oder Herausgeber Ausgewählte Benutzer oder Gruppen Import/Export von Regeln Ja Nein Regelsammlung Ja Nein Assistent für das Erstellen Ja Nein mehrerer Regeln gleichzeitig Benutzerdefinierte Ja Nein Fehlermeldung Überwachungsmodus Ja Nein PowerShell-Unterstützung Ja Nein Dateipfad, Hash, Zertifikat, Registrierungspfad oder Internetzone Alle Benutzer AppLocker-Regeln Regelsammlungen AppLocker arbeitet mit Regelsammlungen, die es Administratoren ermöglichen, für die vier Bereiche ausführbare Dateien, Skripts, Windows-Installer-Dateien und DLL-Dateien jeweils steuernd einzugreifen. BILD 6.44 Erzwingen der Regelsammlungen von AppLocker

8 104 6 Windows-Einstellungen Computerverwaltung DLL-Regelsammlungen sind normalerweise nicht konfiguriert, sondern müssen erst über die erweiterten Eigenschaften von AppLocker zugewiesen werden. BILD 6.45 Warnung vor den Folgen des Aktivierens der DLL-Regelsammlung HINWEIS: Seien Sie besonders im Umgang mit DLL-Regelsammlungen vorsichtig, nicht umsonst werden diese getrennt von den anderen Regelsammlungen verwaltet. Wenn Sie fehlerhafte DLL-Regeln erstellen, können Sie die Systemstabilität gefährden. Daneben wird durch DLL-Regeln die Systemleistung massiv gefordert. Jede einzelne DLL, die von einer Anwendung benötigt wird, muss von AppLocker geprüft werden. Die folgende Tabelle zeigt auf, welche Dateitypen zu welcher Regelsammlung gehören. TABELLE 6.8 Regelsammlungen Regelsammlung Ausführbare Dateien Skripts Installer-Dateien DLL-Dateien Dateitypen EXE, COM PS1, BAT, CMD, VBS, JS MSI, MSP DLL, OCX Regelbedingungen Die Regelbedingungen sind in drei primären Typen zusammengefasst. Geprüft werden kann nach Herausgeber, nach Pfadbedingungen oder nach Dateihash.

9 6.9 Richtlinien im Bereich Netzwerksicherheit 105 Herausgeberregeln Herausgeber werden über digitale Signaturen geprüft. Dabei werden der Herausgeber, das Produkt, der Dateiname und die Version erfasst, sofern diese im Zertifikat angegeben sind. Wenn eine Versionsnummer angegeben ist, können Sie steuern, ob die Regel nur für diese Version, für diese und jede höhere, oder für diese und jede niedrigere gelten soll. BILD 6.46 Festlegen, welche Versionen einer Datei erlaubt werden Für ausführliche Informationen zu den Herausgeberregeln können Sie die AppLocker- Dokumentation aufrufen, indem Sie den Link unter Erste Schritte in Konsolenfenster bei AppLocker aufrufen. Pfadregeln Über Pfadregeln kann festgelegt werden, dass bestimmte Speicherorte im Dateisystem erlaubt werden sollen. Dabei erstellt der Assistent Variablen für Verzeichnisse in Windows, die Sie vorher mit Dateien durchsuchen aufrufen können: BILD 6.47 Pfadregel mit AppLocker erstellen Die Variablen entsprechen leider nicht den Standardsystemvariablen, sondern verwenden ein eigenes Format. Die folgende Tabelle gibt eine Übersicht über die Formate:

10 10 Einstellungen In diesem Kapitel: Wie verwende ich Gruppenrichtlinien Einstellungen? Zielgruppenadressierung auf Element ebene: Wie kann ich Einstellungen auf bestimmte Rechner oder Benutzer anwenden? Variablen-Einsatz: Einstellungen auf eigene Dateien beliebiger Benutzer anwenden (Drucker im Netzwerk verteilen, Netzlaufwerke verbinden, Einstellungen der Systemsteuerung auto matisieren etc.) 10.1 Einführung Gruppenrichtlinien-Einstellungen stellen eine Erweiterung der Gruppenrichtlinien dar, die mit Windows Server 2008 eingeführt wurde. Sie erlauben es Administratoren, eine ganze Reihe von Aufgaben zu automatisieren, die vorher nur mittels Skripten ausgeführt werden konnten. So lassen sich z. B. Laufwerke verbinden und Drucker zuweisen, Dateien und Ordner anlegen und lokale Benutzer und Gruppen erstellen. Die Verarbeitung auf den Clients erfolgt über die Gruppenrichtlinien-Einstellungs-Clienterweiterungen (Group Policy Preferences Client Side Extensions, CSE). Diese sind in Windows 7, Server 2008 und Server 2008 R2 bereits enthalten.

11 Einstellungen 10.2 Voraussetzungen Um die Gruppenrichtlinien-Einstellungen verwenden zu können, müssen eine Reihe von Bedingungen erfüllt werden. Diese betreffen Betriebssystem, Servicepack (SP) und zusätzliche Module. Dabei müssen CSEs und XmlLite in der entsprechenden 32- oder 64-Bit-Version installiert werden. Unterstützte Betriebssysteme und Servicepacks ab Windows XP mit SP2 Windows Server 2003 mit SP1 Windows Vista Client Side Extensions ab Windows XP mit SP2 Windows Server 2003 mit SP1 Windows Vista Low-Level-XML-Parser XmlLite ab Windows XP mit SP2 Windows Server 2003 mit SP1 BILD 10.1 Gruppenrichtlinien-Einstellungen 10.3 Zielgruppenadressierung Eine der Besonderheiten bei den Gruppenrichtlinien-Einstellungen ist die Tatsache, dass sie eine zusätzliche Filterung innerhalb einer Richtlinie erlauben. Diese wird als Zielgruppenadressierung auf Elementebene bezeichnet. Die Zielgruppenadressierung basiert auf WMI-Abfragen. Sie erlaubt es, bestimmte Bedingungen abzufragen und nur, wenn diese erfüllt sind, die Einstellung vorzunehmen.

12 10.3 Zielgruppenadressierung 199 Das folgende Beispiel soll verdeutlichen, wie die Zielgruppenadressierung funktioniert: Sie möchten den XP-Computern der Buchhaltungsabteilung Drucker zuweisen. Sie verwenden Drucker A, der nicht von 64-Bit-Betriebssystemen unterstützt wird, und Drucker B, der 64-Bit-Betriebssysteme unterstützt, dessen Kosten pro Seite aber höher sind. Sie erstellen zwei Einstellungen. In der ersten wird Drucker A zugewiesen. Über die Zielgruppenadressierung auf Elementebene wird abgefragt, ob das Betriebssystem NICHT Windows XP mit 64 Bit ist. In der zweiten wird Drucker B zugewiesen, wenn die Bedingung XP mit 64 Bit erfüllt ist. BILD 10.2 Betriebssystemabfrage im Zielgruppenadressierungseditor Das Beispiel verdeutlicht, dass Sie mit einer negativen Bedingung arbeiten müssen, da es keine Abfrage gibt, die nur 32-Bit-Betriebssysteme erkennt. Die folgende Tabelle erläutert, welche Abfragen Sie für die Zielgruppenadressierung auf Elementebene verwenden können: TABELLE 10.1 Elemente der Zielgruppenadressierung Element Mögliche Einstellungen Akku vorhanden Akku ist (nicht) vorhanden Computername Computername ist (nicht) [NetBIOS-Name / DNS-Name] CPU-Geschwindigkeit CPU-Geschwindigkeit ist (nicht) größer oder gleich [Zahl] MHz Datumsübereinstimmung Hier können Sie einen Wochentag, einen Tag im Monat oder ein festes Datum eingeben.