Виртуальный компьютер с Windows Vista Ultimate

Создание  и назначение групповых  политик.  
Прежде чем объекты групповой политики могут быть использованы для управления параметрами компьютеров и окружения пользователей они должны быть созданы.  
По умолчанию Windows уже имеет локальную политику безопасности, содержащую параметры, настроенные по умолчанию. Аналогично, в каждом домене Active Directory существует две настроенных групповых политики: политика домена и политика контроллеров домена. В домене вы можете создать любое необходимое количество дополнительных групповых политик.  
Шаблоны локальных групповых политик.  
Локальная групповая политика всегда присутствует на любом компьютере Windows 2000 (и более поздних версий) и не может быть создана по аналогии с доменными объектами групповой политики. Однако, вы имеете возможность применять шаблоны локальной групповой политики, полностью переопределяя параметры, определенные в ней по умолчанию.  
Шаблоны политики безопасности содержат только определение параметров политики, связанных с безопасностью. Шаблоны не могут использоваться для настройки остальных параметров политики безопасности. 
Работа с шаблонами групповых политик обычно выполняется в следующей последовательности:

вы подготавливаете  необходимые шаблоны безопасности;

вы применяете шаблоны безопасности, используя  утилиту secedit;

вы перезагружаете политику безопасности, используя утилиту  secedit.

Редактор  шаблонов групповых политик.  
Для редактирования шаблонов групповых политик используется оснастка консоли управления Шаблоны безопасности. Соответствующая консоль управления отсутствует, поэтому вы должны самостоятельно запустить Консоль управления Windows Server 2003 и добавить в нее соответствующую оснастку.  
Для этого в меню Пуск выберите Выполнить и введите команду mmc. Запустится консоль управления, содержащая пустую консоль с именем Консоль1.

 
 
В меню Консоль щелкните Добавить или удалить оснастку. Появится окно добавления и удаления оснасток и расширений. 
 

 
 
В нем щелкните кнопку Добавить, выберите оснастку Шаблоны безопасности, щелкните кнопку Добавить, после чего щелкните кнопку ОК. Оснастка будет добавлена в консоль.

 
 
Если вы планируете активно работать с редактором шаблонов, то, возможно, имеет смысл создать свою собственную консоль управления, содержащую все необходимые оснастки для управления групповыми политиками и шаблонами.  
 
Редактор шаблонов безопасности отображает в дереве консоли все шаблоны безопасности, хранящиеся в папке %systemroot%\Security\Templates - по умолчанию все стандартные шаблоны Windows Server 2003 хранятся в этой папке. Если вы храните свои шаблоны в другой папке, ее тоже можно добавить в дерево консоли. Для этого выберите ветвь Шаблоны безопасности в дереве консоли и нажмите на ней правую кнопку мыши. Выберите пункт Новый путь для поиска шаблонов контекстного меню и укажите папку, в которой хранятся ваши шаблоны.  
 
Каждый шаблон содержит параметры групповой политики безопасности, которая обычно доступна в ветви Конфигурация компьютера\Конфигурация Windows\Параметры безопасности.

Использование редактора групповой  политики.  
 
Независимо от способа запуска и открытого объекта групповой политики окно редактора групповой политики всегда выглядит одинаково:

 
 
Дерево консоли управления содержит два стандартных контейнера:

Конфигурация  компьютера - содержит параметры, настраиваемые для всех пользователей компьютера;

Конфигурация  пользователя - содержит параметры, настраиваемые для конкретного пользователя компьютера.

Каждый из этих контейнеров содержит следующие  вложенные контейнеры:

Конфигурация  программ - параметры автоматической установки и назначения приложений пользователям компьютера;

Конфигурация Windows - различные параметры операционной системы, в том числе политики безопасности, сценарии, перенаправление папок;

Административные  шаблоны - параметры настройки операционной системы и различных программных продуктов Microsoft (в основном Internet Explorer).

В свою очередь  каждый из этих контейнеров может  содержать любое количество вложенных  контейнеров. Структура этих контейнеров  определяется самой операционной системой и дополнительными программными продуктами, устанавливающими свои расширения для редактора групповых политик.  
Вы не можете изменять структуру контейнеров объекта групповой политики, добавлять свои контейнеры, удалять или переименовывать уже существующие контейнеры. Также вы не можете добавлять, удалять или переименовывать параметры групповой политики, хранящиеся в этих контейнерах.  
Для изменения значения любого параметра групповой политики вы должны найти необходимый контейнер в дереве консоли управления, выбрать нужный параметр в списке справа и дважды щелкнуть по нему левой кнопкой мыши. В появившемся окне вы можете настроить значение параметра.

 
 
Окно значения параметра обычно содержит флажок Определить следующий параметр политики в шаблоне или аналогичный, позволяющий отключить соответствующий параметр политики. Это хорошо видно на примере параметра Мин. длина пароля (Minimum password age).

 
Тем не менее, встречаются параметры, которые не имеют такого флажка. Для отключения такого параметра  обычно необходимо задать пустое значение параметра или пустой список. Это  хорошо видно на примере параметра Автозагрузка.  
При настройке значений параметров групповой политики следует придерживаться следующих правил:

не изменяйте  значения параметров, область или  принцип действия которых вам  не известны;

документируйте  изменения, вносимые в объекты групповой политики - это позволит вам быстро определить, параметры какой политики приводят к некорректной работе Windows Server 2003.

Поинтересуйтесь значениями параметров, используемыми  операционной системой для ненастроенных  параметров политики, - не определяйте в групповой политике такие же значения параметров, как и используемые операционной системой по умолчанию. Это уменьшит размер объекта групповой политики и ускорит загрузку клиентских компьютеров. 
Часто используемые контейнеры групповой политики.  
Ниже представлен список и краткое описание наиболее часто используемых контейнеров групповой политики.

Изменения в 20 групповых  политиках

Административные шаблоны.проводник windows.

1. Удалить возможности записи компакт- дисков. Если этот параметр включен, все возможности проводника Windows по записи компакт-дисков будут скрыты. Если этот параметр отключен или не задан, пользователи могут использовать проводник Windows для записи компакт-дисков.
2. Скрыть выбранные диски из окна( мой комп).Удаляет значки, представляющие выбранные диски, из папок «Мой компьютер» и проводника Windows.  Кроме того, буквы дисков, представляющие выбранные диски, не будут отображаться в стандартном диалоговом окне «Открыть».
3. Скрыть значок «вся сеть» в папке «сеть».Удаляет все компьютеры, находящиеся вне рабочей группы пользователя или локального домена, из списков сетевых ресурсов в проводнике Windows и окне «Сеть». Если этот параметр включен, система удаляет значок «Вся сеть» и значки, представляющие сетевые компьютеры, из окна «Сеть» и окна подключения сетевого диска.

Административные  шаблоны.Internet Explorer.

1. Не разрешать пользователям вкл. и откл. надстройки. Если данный параметр политики включен, пользователи не могут разрешать или запрещать надстройки через управление надстройками. Единственное исключение — надстройка добавлена в список надстроек в политике таким образом, что позволяет пользователям продолжать управление надстройками. В этом случае пользователи могут использовать управление надстройками.
2. Включить панель меню по умолчанию. Данный параметр политики позволяет включить или выключить традиционные меню «Файл», «Правка», «Вид» и т. д. в Internet Explorer.Если данный параметр политики включен, меню появится в Internet Explorer по умолчанию без возможности отключения пользователями.Если данный параметр политики отключен, меню не появится в Internet Explorer по умолчанию без возможности включения пользователями.Если данный параметр политики не настроен, меню будет по умолчанию выключено. Пользователи могут как включать, так и выключать панель меню.
3. Отключить возможность «удаление записей в журнале обозревателя» Этот параметр политики запрещает пользователям выполнять операцию «Удалить журнал обозревателя» в Internet Explorer.Если включить этот параметр политики, пользователи не смогут выполнять операцию «Удалить журнал обозревателя» в свойствах обозревателя для Internet Explorer 7.Если отключить или не настроить этот параметр политики, пользователи смогут выполнять операцию «Удалить журнал обозревателя» в свойствах обозревателя для Internet Explorer 7

Диспетчер окна рабочего стола. Не разрешать вызов Flip3d. При включении данного параметра Flip3D будет недоступен.

Политики  автозапуска. Отключение автозапуска. Этот параметр отключает автозапуск для дополнительных типов устройств. Параметр нельзя использовать для включения автозапуска на устройствах, на которых автозапуск отключен по умолчанию.

Центр обновления Windows. Запретить использование любых средств Центра обновления. Автоматическое обновление Windows также отключается. Пользователь не будет получать уведомления и важные обновления из Центра обновления Windows. Этот параметр также запрещает диспетчеру устройств автоматически устанавливать обновления драйверов с веб-узла из Центра обновления Windows.

Меню  пуск и панель задач.

1. Затенить ярлыки меню «пуск» на не полностью установленные программы. К частично установленным программам относятся программы, установку которых назначает системный администратор с помощью установщика Windows и которые были настроены на полную установку при их первом использовании.

Сеть. Сетевые подключения. 1 Запретить просмотр состояния активных подключений.

                 Если включить этот параметр, значок состояния подключения на панели задач и диалоговое окно состояния будут недоступны пользователям (включая администраторов). Функция состояния запрещается в контекстном меню подключения и в меню «Файл» папки «Сетевые подключения». Пользователи не могут включить отображение значка подключения на панели задач из диалогового окна свойств подключения. Внимание. Если параметр «Включить параметры сетевых подключений для администраторов» отключен или не задан, этот параметр не будет применен к администраторам на компьютерах с операционной системой версии позже Windows 2000.

2.запретить  дополнительные настройки  TCP/IP . Если разрешить этот параметр (и разрешить параметр «Разрешить настройки сетевых подключений для администраторов»), кнопка «Дополнительно» в диалоговом окне свойств TCP/IP будет запрещена всем пользователям (включая администраторов). В результате пользователи не смогут открыть страницу свойств дополнительных параметров TCP/IP и изменить параметры IP, например информацию о серверах DNS и WINS.

Панель  управления. Окно свойств  экрана.

1. Запретить изменение фонового рисунка.  Если этот параметр включен, вкладка «Рабочий стол» сохраняется, но все элементы управления на этой вкладке отключены.