Jeden ze základních úkolů, které při používání neustále provádíme Windows Server 2012 nebo 2016 to je řízení všechny doménové objekty jako např uživatelé a týmy a víme, že jedním z nejpraktičtějších způsobů, jak tento úkol provést, je použít zásady skupiny, protože nám umožňují centrálně spravovat všechny parametry a hodnoty těchto objektů.
S rozvojem operačních systémů byly upraveny také zásady skupiny a dnes máme velmi účinný nástroj nazvaný AGPM že dnes budeme podrobně analyzovat v prostředí Windows Server 2016.
Co je AGPMAGPM (Advanced Group Policy Management - Advanced Group Policy Administration) je aplikace vytvořená společností Microsoft, která nám dává možnost převzít konkrétní kontrolu nad zásadami skupiny v našich doménách. Aktuálně je dostupná verze AGPM 4.0 a má následující výhody:
- Podporuje Windows 10
- Podporuje Windows Prostředí PowerShell
- Aktualizace aplikace formuláře bezpečné a automatické
- Podporuje Wzavádí Server 2012 R2 a Windows Server 2016
1. Podmínky související s AGPM
Existují určité často používané výrazy na AGPM, tyto jsou:
Klient AGPMJe to počítač, kde jsme nainstalovali AGPM a odkud jako správci můžeme spravovat zásady skupiny.
Plugin AGPMTo je softwarový plugin který je nainstalován v klientech AGPM za účelem správného provádění správy.
Server AGPMJe to server, který spouští Služba AGPM a spravovat soubory.
Služba AGPMJedná se o softwarovou součást, která běží na serveru AGPM jako služba.
ArchivNa AGPM je to sklad, který obsahuje Řízené GPO který spravuje přidružený server AGPM.
Řízené GPOJe to GPO řízení AGPM.
Nekontrolovaný GPOTo je GPO produkčního prostředí že AGPM nekontroluje.
2. Požadavky na instalaci AGPM na Windows Server 2016
Pro instalaci AGPM v systému Windows Server 2016 musíme splnit řadu požadavků, kterými jsou:
.NET Framework 4.5.1Můžeme stáhnout to z následujícího odkazu:
.Net Framework 4.5
PowerShell 3.0V případě, že ji nemáte, může být Vypuštěno z následujícího odkazu:
PowerShell 3.0
GPMC (Konzola pro správu zásad skupiny - Konzola pro správu zásad skupiny)Ve výchozím nastavení je nainstalován, ale v případě, že jej nemáte, může být staženo z následujícího odkazu:
GPMC
S ohledem na tyto požadavky přistoupíme k instalaci AGPM na Windows Server 2016.
3. Nainstalujte AGPM na Windows Server 2016
Společnost Microsoft doporučuje, aby byl AGPM nainstalován na server člena domény, ale ne na řadič domény, ale pokud nemáme více možností, je možné jej nainstalovat tam.
Krok 1
AGPM lze stáhnout z následujícího odkazu. Pamatujte, že AGPM vyžaduje ke správě služby skupiny, takže se chystáme Uživatelé a počítače Active Directory a vytvoříme příslušné skupiny.
AGPM
Krok 2
Vytvořili jsme OU s názvem AGPM a tam musíme vytvořit účet pro spuštění služby AGPM, za tímto účelem jsme vytvořili následující objekty:
- Uživatel AGPM Solvetic
- Tento uživatel zařazujeme do skupiny Vlastníci tvůrce zásad skupiny
- Pro úkoly správy AGPM byly vytvořeny následující skupiny:
- Správci AGPM
- Schvalovatelé AGPM
- Redaktoři AGPM
- Recenzenti AGPM
Krok 3
Jakmile jsou skupiny a uživatelé definováni, pokračujeme v instalaci AGPM spuštěním souboru agpm_403_server_amd64 jako správci. Zobrazí se příslušný průvodce instalací.
Krok 4
V určitém bodě instalace musíme definovat uživatele služby, se kterým má být služba AGPM spuštěna, v tomto okamžiku můžeme pro službu vytvořit konkrétního uživatele, nebo pokud jsme na řadiči domény, jako v případě vyberte možnost Místní systém.
Krok 5
V dalším okně vybereme účet, který budete mít celková oprávnění O službě v tomto okamžiku přidáváme skupinu AGPM Administrators, kterou jsme vytvořili.
Krok 6
V dalším okně nakonfigurujeme port, přes který bude AGPM přijímat požadavky klientů, ponecháme ten, který je standardně je to 4600.
Krok 7
Později definujeme jazyky AGPM a uvidíme, že instalaci můžeme spustit stisknutím tlačítka Nainstalujte.
Krok 8
Můžeme vidět, že Proces instalace AGPM a že po několika sekundách byla instalace úspěšně dokončena.
4. Nainstalujte klienta AGPM na Windows Server 2016
Krok 1
Jakmile proces instalace serveru AGPM skončí, musíme klienta nainstalovat, aby byla dokončena celá struktura AGPM. Za tímto účelem spustíme soubor jako správce agpm_403_client_amd64.
Krok 2
Stiskneme další a postupujeme podle kroků průvodce a v okamžiku instalace vidíme, že musíme definovat server, který bude fungovat jako AGPM.
Krok 3
Vidíme, že se spustí proces instalace klienta AGPM. Po několika sekundách instalace konečně byl úspěšně dokončen.
5. Možnosti konzoly AGPM
Jak vidíme, když jsme nainstalovali server i klienta AGPM, nebyl vytvořen žádný přímý přístup ani nebyla přidána žádná aplikace jako taková, ale změny se projeví ve správě zásad skupiny.
Krok 1
K přístupu k nim můžeme použít kteroukoli z následujících možností:
- Použijte příkaz Běh a zadejte příkaz gpmc.msc, stiskněte Enter.
- Do pole pro vyhledávání systému Windows Server zadejte správu termínů a vyberte příslušnou možnost.
Krok 2
Jakmile je správce otevřen, zobrazí se následující okno.
Krok 3
První rozdíl, kterého si oproti tradičním zásadám skupiny všimneme, je v době nasazení naší domény, nyní se dočkáme nového kontejneru s názvem Změnit ovládání.
Krok 4
Kliknutím na Změnit ovládání můžeme vidět následující možnosti.
Krok 5
Základní možnosti, které máme, jsou:
ObsahZ této karty můžeme spravovat řízené nebo neřízené objekty GPO.
Delegování doményZ tohoto místa definujeme oprávnění, která mají být udělena každému uživateli nebo skupině uživatelů v doméně. Stejným způsobem můžeme přidat e -mailový účet takže v určitém okamžiku, kdy se neautorizovaný uživatel pokusí o přístup na server AGPM, budeme o tomto pokusu informováni.
Server AGPMProstřednictvím této karty můžeme zobrazit a upravit IP adresu ze serveru AGPM.
Delegace výrobyNa této kartě vidíme, kteří uživatelé a skupiny mají oprávnění pro přístup do produkčního prostředí AGPM.
6. Základní úkoly v AGPM
Převzetí kontroly nad GPOJedním ze základních úkolů, které při používání AGPM máme, je schopnost mít řízení z těch GPO, které jsou v současné době nekontrolované, nezapomeňte, že neřízený GPO je ten, který je v produkčním prostředí, ale není spravován AGPM.
Na kartě můžeme zobrazit objekty zásad skupiny bez kontroly Obsah / Žádná kontrola
Abychom převzali kontrolu nad těmito GPO, vybereme GPO, které chceme mít pod kontrolou, klikneme na ně pravým tlačítkem a vybereme možnost Řízení.
Jakmile vybereme možnost Řízení můžeme vidět následující zprávu.
Stiskneme Přijmout a uvidíme, že tyto GPO přejdou na kartu Kontrolovány.
Vytvořte nový kontrolovaný objekt GPOChcete -li vytvořit GPO řízený od začátku, musíme na něj kliknout pravým tlačítkem Změnit ovládání a vyberte možnost Nové GPO řízené.
Uvidíme následujícího průvodce, kde přiřadíme název ovládanému GPO.
Stiskneme Přijmout a uvidíme správně vytvořený náš GPO a můžeme si zobrazit různé možnosti, když na GPO dvakrát klikneme.
ZVĚTŠIT
Přidejte uživatele k ovládání objektů zásad skupinyJeden úkol, který může být vyžadován, je přidat nového uživatele nebo skupinu přímo z AGPM, a proto uděláme následující:
Z okna Obsah vybereme možnost Přidat umístěné ve spodní části a zobrazí se následující okno, kde musíme vyhledat uživatele nebo skupinu, kterou chceme přidat.
Stiskneme Přijmout a zobrazí se následující okno, kde musíme definovat typ role které uživatel nebo skupina splní. Jakmile je role definována, klikněte na Přijmout.
Vidíme, že uživatel byl úspěšně přidán.
Upravte řízený objekt GPOTo je možná jeden z nejzajímavějších aspektů AGPM, je zabezpečení při úpravách řízeného GPO. K úpravě řízeného GPO musíme dát klikněte pravým tlačítkem na GPO a vyberte Upravit ale uvidíme následující možnost Upravit ve výchozím nastavení je zakázáno.
Abychom mohli povolit edici řízeného GPO, musíme kliknout na tlačítko Překontrolovat a zobrazí se následující okno, kde musíme vysvětlit, proč je GPO nechráněný.
Stiskneme Přijmout a začne proces odhlášení.
Nyní, když znovu klikneme pravým tlačítkem na GPO, vidíme, že jeho vydání bylo povoleno. (Nechráněný stav).
Pokud klikneme na Upravit Budeme moci provést nezbytné úpravy GPO. Jakmile jsou změny dokončeny, můžeme stisknout tlačítko Chránit, abychom se vyhnuli úpravám.
Jak vidíme u AGPM, máme k dispozici účinný nástroj centralizovaná správa všech GPO organizace a mají konkrétnější kontrolu nad svými přístupy a oprávněními. Chcete -li se dozvědět více o AGPM, můžete navštívit následující odkaz.
Dokumentace AGPM
