ZMI Produkthandbuch Gruppenrichtlinien. Windows-Gruppenrichtlinien

Transkript

1 ZMI Produkthandbuch Gruppenrichtlinien Windows-Gruppenrichtlinien Version:

2 Herausgeber Zentrum für Medien und IT ANSCHRIFT: HAUS-/ZUSTELLADRESSE: TELEFON: -ADRESSE: Zentrum für Medien und IT Universitätsstr. 21, Hagen +49 (23 31) Joerg.Schiffer@fernuni hagen.de VERSION: 1.4 AUTOR(EN): SC Betrieb Copyright 2007 FernUniversität in Hagen Zentrum für Medien und IT Windows-Gruppenrichtlinien Version: 1.4 Seite 2 von 2

3 Änderungsübersicht Datum Änderung Version Status Erweitern der Datei und Druckfreigabe um den Sophos Server 1.1 erledigt Remote Registrierungsdienst automatisch starten 1.2 erledigt Portausnahmen festlegen (Firewall) IP Adresse von Dublin durch IP Adresse von Cobra ersetzt 1.3 erledigt Einträge für Remote Unterstützung 1.4 erledigt Windows-Gruppenrichtlinien Version: 1.4 Seite 3 von 3

4 Inhalt 1 Einleitung Gruppenrichtlinien Computerrichtlinien Sicherheitseinstellungen/Kontorichtlinien Kennwort muss Komplexitätsvoraussetzungen entsprechen Kennwortchronik erzwingen n gespeicherte Kennwörter Kennwörter mit umkehrbarer Verschlüsselung speichern Minimale Kennwortlänge Kontensperrungsschwelle Benutzeranmeldeeinschränkungen erzwingen Max. Gültigkeitsdauer des Benutzertickets Max. Gültigkeitsdauer des Diensttickets Max. Toleranz für die Synchronisation des Computertakts Max. Zeitraum, in dem ein Benutzerticket erneuert werden kann Sicherheitseinstellungen/Lokale Richtlinien Netzwerksicherheit: Abmeldung nach Ablauf der Anmeldezeit erzwingen Sicherheitseinstellungen Eingeschränkte Gruppen Sicherheitseinstellungen/Systemdienste Remote-Registrierung Sicherheitseinstellungen/Richtlinien öffentlicher Schlüssel Zertifikate automatisch registrieren Benutzer dürfen das verschlüsselnde Dateisystem verwenden Zertifikate Benutzern erlauben, neue vertrauenswürdige Stammzertifizierungsstellen auszuwählen Folgende Zertifikatspeicher sind vertrauenswürdig Folgende Kriterien müssen erfüllt sein, um die zertifikatbasierte Authentifizierung von Benutzern und Computern auszuführen Administrative Vorlagen Die Standardoption Updates installieren und herunterfahren im Dialogfeld Windows herunterfahren nicht anpassen (WSUS) Automatische Updates konfigurieren (WSUS) Internen Pfad für den Microsoft Updatedienst angeben (WSUS) Keinen automatischen Neustart für geplante Installationen durchführen (WSUS) Windows-Gruppenrichtlinien Version: 1.4 Seite 4 von 4

5 Suchhäufigkeit für automatische Updates (WSUS) Automatische Updates sofort installieren (WSUS) Erneut zu einem Neustart für geplante Installationen auffordern (WSUS) Nicht-Administratoren gestatten, Updatebenachrichtigungen zu erhalten (WSUS) Empfohlene Updates über Automatische Updates aktivieren (WSUS) Aktivieren des Windows Update-Energieverwaltungsfeatures zum automatischen Einschalten des Systems zur Installation von geplanten Updates (WSUS) Sicherheitsgruppe Administratoren zu servergespeicherten Profilen hinzufügen Remoteunterstützung anbieten Suchliste für DNS-Suffix Windows-Firewall: Programmausnahmen festlegen (Firewall) Windows-Firewall: Ausnahme für lokale Programme zulassen (Firewall) Windows-Firewall: Ausnahme für Datei- und Druckerfreigabe zulassen (Firewall) Portausnahmen festlegen (Firewall) Windows Firewall: Ausnahmen für lokale Ports zulassen (Firewall) Benutzerrichtlinien Windows-Gruppenrichtlinien Version: 1.4 Seite 5 von 5

6 1 Einleitung Um die Konfiguration von Computern zu beeinflussen, bietet Microsoft die Möglichkeit Gruppenrichtlinien zu erstellen. Mit diesen Richtlinien können Regeln definiert werden, die Einstellungen an Rechnern direkt und ohne zutun des Benutzers treffen. So ist es möglich, zentral verwaltete Regeln zu konfigurieren und auf den einzelnen Arbeitsplätzen anzuwenden. Es können beispielsweise das Aussehen des Desktops, die Einstellungen der Firewall oder Gruppenzugehörigkeiten zentral eingerichtet werden. Windows-Gruppenrichtlinien Version: 1.4 Seite 6 von 6

7 2 Gruppenrichtlinien Die Gruppenrichtlinien werden in zwei Kategorien unterteilt. Zum einen in Computerrichtlinien, die an der FernUniversität eingesetzt werden, zum anderen in Benutzerrichtlinien, die bisher nicht verwendet werden. Computerrichtlinien beziehen sich auf das jeweilige Gerät, während sich die Benutzerlinien auf den jeweils angemeldeten Benutzer beziehen. Bis auf ganz wenige Regeln sind standardmäßig alle Regeln deaktiviert. Um sie zu nutzen, müssen sie aktiviert, bzw. mit Werten besetzt werden. In den folgenden Kapiteln werden die aktivierten Regeln erklärt und deren Nutzung an der FernUniversität erläutert. 2.1 Computerrichtlinien Sicherheitseinstellungen/Kontorichtlinien Kennwort muss Komplexitätsvoraussetzungen entsprechen Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kennwortrichtlinien Wert: deaktiviert Die Windows Komplexitätsvoraussetzungen für Kennwörter sind bei uns deaktiviert, da sie Komplexitäten erzwingen, die wir bisher nicht benötigen. So müsste ein Kennwort aus mindestens 6 Zeichen bestehen und 3 Werte der Rubriken Großbuchstaben, Kleinbuchstaben, Ziffern oder Sonderzeichen beinhalten. Des Weiteren darf der Kontoname oder ein Teil des Kontonamens nicht im Kennwort enthalten sein Kennwortchronik erzwingen n gespeicherte Kennwörter Wert: 1 Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kennwortrichtlinien Durch diese Regel wird erzwungen, dass mindestens ein neues Kennwort benutzt werden muss, bevor wieder ein altes Kennwort benutzt werden darf Kennwörter mit umkehrbarer Verschlüsselung speichern Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kennwortrichtlinien Windows-Gruppenrichtlinien Version: 1.4 Seite 7 von 7

8 Wert: deaktiviert Diese Regel verhindert, dass Kennwörter als Nur Text Versionen gespeichert werden Minimale Kennwortlänge Wert: 4 Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kennwortrichtlinien Diese Regel erzwingt eine Mindestkennwortlänge von 4 Zeichen Kontensperrungsschwelle Wert: 0 Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kontosperrungsrichtlinien Diese Regel definiert die Anzahl der fehlgeschlagenen Anmeldeversuche, bis das Benutzerkonto gesperrt wird. Der Wert 0 bedeutet, dass das Konto nie gesperrt wird Benutzeranmeldeeinschränkungen erzwingen Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kerberos Richtlinien Diese Regel aktiviert die Kerberos V5 Schlüsselüberprüfung und ist standardmäßig akiviert Max. Gültigkeitsdauer des Benutzertickets Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kerberos Richtlinien Wert: 10 Stunden Diese Regel legt fest, wie lange ein Benutzerticket gültig ist. Es ist der Standardwert eingetragen Max. Gültigkeitsdauer des Diensttickets Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kerberos Richtlinien Wert: 600 Minuten Diese Regel legt fest, wie lange ein Sitzungsticket für einen bestimmten Dienst benutzt werden darf. Es ist der Standardwert eingetragen. Windows-Gruppenrichtlinien Version: 1.4 Seite 8 von 8

9 Max. Toleranz für die Synchronisation des Computertakts Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kerberos Richtlinien Wert: 5 Minuten Diese Regel legt den Toleranzwert fest, wie groß die Differenz zwischen der Client Uhrzeit und Server Uhrzeit sein darf, um noch als synchron zu gelten. Es ist der Standardwert eingetragen Max. Zeitraum, in dem ein Benutzerticket erneuert werden kann Wert: 7 Tage Einstellungen/Sicherheitseinstellungen/Kontorichtlinien/Kerberos Richtlinien Diese Regel legt den Zeitraum fest, in der ein Benutzerticket erneuert werden kann. Es ist der Standardwert eingetragen Sicherheitseinstellungen/Lokale Richtlinien Netzwerksicherheit: Abmeldung nach Ablauf der Anmeldezeit erzwingen Einstellungen/Sicherheitseinstellungen/Lokale Richtlinien/Sicherheitsoptionen Wert: deaktiviert Diese Regel legt fest, ob Benutzer nach Ablauf ihrer Anmeldezeit automatisch getrennt werden Sicherheitseinstellungen Eingeschränkte Gruppen Einstellungen/Sicherheitseinstellungen/Eingeschränkte Grupppen Wert: Gruppe BUEROKOMMUNIK\G SMS Mitglied von Administratoren Durch diese Regel wird die Gruppe G SMS in die lokale Administratoren Gruppe auf den Arbeitsplatzrechnern eingetragen. In dieser Gruppe ist der Benutzer SMSUser, der die Installation des SMS Clients auf den Arbeitsplätzen vornimmt. Der Benutzer hat ein komplexes Passwort und ist dadurch vor Missbrauch geschützt. Das Passwort kann durch den Benutzer nicht geändert werden. Windows-Gruppenrichtlinien Version: 1.4 Seite 9 von 9

10 2.1.4 Sicherheitseinstellungen/Systemdienste Remote-Registrierung Einstellungen/Sicherheitseinstellungen/Systemdienste Wert: Automatisch Durch diesen Schlüssel wird der Dienst Remote Registrierung automatisch beim Hochfahren des Arbeitsplatzrechners gestartet. Dies ist bei Windows XP die Standardeinstellung, aber nicht bei Windows Vista. Wenn der Dienst nicht gestartet ist, scheitert die Installation des SMS Clients Sicherheitseinstellungen/Richtlinien öffentlicher Schlüssel Zertifikate automatisch registrieren Einstellungen/Sicherheitseinstellungen/Richtlinien öffentlicher Schlüssel Abgelaufene Zertifikate erneuern, ausstehende Zertifikate aktualisieren und gesperrte Zertifikate entfernen: deaktiviert Zertifikate aktualisieren, die Zertifikatvorlagen verwenden: deaktiviert Benutzer dürfen das verschlüsselnde Dateisystem verwenden Einstellungen/Sicherheitseinstellungen/Richtlinien öffentlicher Schlüssel/Dateisystem wird verschlüsselt Zertifikate Einstellungen/Sicherheitseinstellungen/Richtlinien öffentlicher Schlüssel Wert: Administrator Certification Authority (CA) Certification Authority (CA) 2005 DFN Verein PCA Basic G01 Dateiwiederherstellung Alle Alle Alle Windows-Gruppenrichtlinien Version: 1.4 Seite 10 von 10

11 Benutzern erlauben, neue vertrauenswürdige Stammzertifizierungsstellen auszuwählen Einstellungen/Sicherheitseinstellungen/Richtlinien öffentlicher Schlüssel/Vertrauenswürdige Stammzertifizierungsstellen Folgende Zertifikatspeicher sind vertrauenswürdig Einstellungen/Sicherheitseinstellungen/Richtlinien öffentlicher Schlüssel/Vertrauenswürdige Stammzertifizierungsstellen Wert: Stammzertifizierungsstellen von Drittanbietern und Organisationen Folgende Kriterien müssen erfüllt sein, um die zertifikatbasierte Authentifizierung von Benutzern und Computern auszuführen Einstellungen/Sicherheitseinstellungen/Richtlinien öffentlicher Schlüssel/Vertrauenswürdige Stammzertifizierungsstellen Wert: Nur in Active Directory registriert Administrative Vorlagen Die Standardoption Updates installieren und herunterfahren im Dialogfeld Windows herunterfahren nicht anpassen (WSUS) Durch diese Regel wird im Dialogfeld Windows herunterfahren die vom Benutzer zuletzt eingestellte Option angezeigt und nicht Updates installieren und herunterfahren Automatische Updates konfigurieren (WSUS) Automatische Updates konfigurieren: 4 Autom. Herunterladen und laut Zeitplan installieren Geplanter Installationstag: 0 täglich Geplante Installationszeit: 09:00 Windows-Gruppenrichtlinien Version: 1.4 Seite 11 von 11

12 Diese Regel legt fest, dass Windows Updates automatisch heruntergeladen werden. Heruntergeladene Updates werden täglich um 9 Uhr installiert Internen Pfad für den Microsoft Updatedienst angeben (WSUS) hagen.de Diese Richtlinie definiert den internen Server, der die Windows Updates bereit stellt und den Statistikserver Keinen automatischen Neustart für geplante Installationen durchführen (WSUS) Diese Regel verhindert, dass Arbeitsplatzrechner nach der Installation von Updates automatisch nach spätestens 5 Minuten neu gestartet werden, wenn ein Benutzer angemeldet ist. Der Neustart muss manuell ausgeführt werden Suchhäufigkeit für automatische Updates (WSUS) 4 Stunden Diese Regel bestimmt, wie oft der Client nach Updates sucht und einen Bericht erstellt Automatische Updates sofort installieren (WSUS) Diese Regel legt fest, dass Updates, die weder Dienste noch Windows neu starten, sofort automatisch installiert werden können Erneut zu einem Neustart für geplante Installationen auffordern (WSUS) 600 Minuten Windows-Gruppenrichtlinien Version: 1.4 Seite 12 von 12

13 Diese Regel gibt an, nach wie viel Minuten erneut zu einem Neustart aufgefordert wird Nicht-Administratoren gestatten, Updatebenachrichtigungen zu erhalten (WSUS) Diese Regel legt fest, dass alle Benutzer Benachrichtigungen über Updates erhalten, auch wenn sie keine administrativen Berechtigungen besitzen Empfohlene Updates über Automatische Updates aktivieren (WSUS) Wert: aktivieren Durch diese Regel werden auch empfohlene Updates und nicht nur wichtige Updates abgerufen Aktivieren des Windows Update-Energieverwaltungsfeatures zum automatischen Einschalten des Systems zur Installation von geplanten Updates (WSUS) Diese Regel legt fest, dass Vista Clients aus dem Ruhezustand reaktiviert werden, wenn Updates anstehen Sicherheitsgruppe Administratoren zu servergespeicherten Profilen hinzufügen Computerkonfiguration/Administrative Vorlagen/System/Benutzerprofile Durch diese Regel wird der Gruppe der lokalen Administratoren die Berechtigung Vollzugriff auf das Profil Verzeichnis der Benutzer gegeben. Ansonsten hätten die Domänen Administratoren keinen Zugriff auf diese Verzeichnisse. Diese Einstellung ist wichtig, wenn im Service Center demnächst servergespeicherte Profile eingeführt werden. Windows-Gruppenrichtlinien Version: 1.4 Seite 13 von 13

14 Remoteunterstützung anbieten Computerkonfiguration/Administrative Vorlagen/System/Remoteunterstützung Helfer dürfen den Computer remote steuern Helfer: buerokommunik\g Supporter Durch diese Regel wird der Gruppe G Supporter die Möglichkeit eingeräumt den Benutzern über eine Remote Sitzung Hilfe anzubieten. Der Benutzer muss den Zugriff genehmigen Suchliste für DNS-Suffix Computerkonfiguration/Administrative Vorlagen/Netzwerk/DNS Client DNS Suffixe: buerokommunikation.fernuni hagen.de,fernuni hagen.de Diese Regel legt fest, welche DNS Suffixe an einen einfachen Namen angehängt werden Windows-Firewall: Programmausnahmen festlegen (Firewall) Computerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkverbindungen/Windows Firewall/Domänenprofil Wert: %systemroot%\pchealth\helpctr\binaries\helpsvc.exe %systemroot%\system32\sessmgr.exe Es werden zwei Programme für die Remoteunterstützung in der Firewall freigegeben Windows-Firewall: Ausnahme für lokale Programme zulassen (Firewall) Computerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkverbindungen/Windows Firewall/Domänenprofil Diese Regel erlaubt es den lokalen Administratoren über die Windows Firewallkomponenten in der Systemsteuerung eine Programmausnahme Liste zu definieren Windows-Firewall: Ausnahme für Datei- und Druckerfreigabe zulassen (Firewall) Computerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkverbindungen/Windows Firewall/Domänenprofil Windows-Gruppenrichtlinien Version: 1.4 Seite 14 von 14

15 Unerbetene eingehende Nachrichten zulassen von: localsubnet, , Durch diese Regel wird die Datei und Druckerfreigabe in der Windows Firewall aktiviert. Es werden so die TCP Ports 139 und 445 und die UDP Ports 137 und 138 freigegeben. Diese Ports werden benötigt, da über diese Ports der SMS Client und der Sophos Client auf den Arbeitsplätzen installiert werden. Der Zugriff wird aber eingeschränkt auf das lokale Subnetz, den SMS Server und den Sophos Server. Nachdem diese Regel aktiviert ist, ist der Benutzer nicht in der Lage diesen Firewall Eintrag zu ändern Portausnahmen festlegen (Firewall) Computerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkverbindungen/Windows Firewall/Domänenprofil Wert: 135:TCP: /16:enabled:Port :TCP: :enabled:Sophos1 8192:TCP: :enabled:Sophos2 8192:TCP: :enabled:Sophos3 Hier können Portausnahmen für die Windows Firewall definiert werden. Es werden hier die Ports für die Kommunikation der Sophos Clients mit der Sophos Enterprise Console eingetragen. Dies wurde bisher über ein VBS Script erreicht. Des Weiteren wird der Port 135 für den Zugriff der Remoteunterstützung freigegeben Windows Firewall: Ausnahmen für lokale Ports zulassen (Firewall) Computerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkverbindungen/Windows Firewall/Domänenprofil Diese Regel erlaubt es den lokalen Administratoren über die Windows Firewallkomponenten in der Systemsteuerung eine Portausnahme Liste zu definieren. 2.2 Benutzerrichtlinien Windows-Gruppenrichtlinien Version: 1.4 Seite 15 von 15