Настройка локальных политик в windows 7. Редактор групповой политики: что это? Общие понятия и возможности

В предыдущих моих статьях о групповых политиках было рассказано о принципах работы оснастки . Рассматривались некоторые узлы текущей оснастки, а также функционал множественной групповой политики. Начиная с этой статьи, вы сможете узнать об управлении параметрами безопасности на локальном компьютере, а также в доменной среде. В наше время обеспечение безопасности является неотъемлемой частью работы как для системных администраторов в крупных и даже мелких предприятиях, так и для домашних пользователей, перед которыми стоит задача настройки компьютера. Неопытные администраторы и домашние пользователи могут посчитать, что после установки антивируса и брандмауэра их операционные системы надежно защищены, но это не совсем так. Конечно, эти компьютеры будут защищены от множества атак, но что же спасет их от человеческого фактора? Сейчас возможности операционных систем по обеспечению безопасности очень велики. Существуют тысячи параметров безопасности, которые обеспечивают работу служб, сетевую безопасность, ограничение доступа к определенным ключам и параметрам системного реестра, управление агентами восстановления данных шифрования дисков BitLocker, управление доступом к приложениям и многое, многое другое.

В связи с большим числом параметров безопасности операционных систем Windows Server 2008 R2 и Windows 7 , невозможно настроить все компьютеры, используя один и тот же набор параметров. В статье "Настройки групповых политик контроля учетных записей в Windows 7" были рассмотрены методы тонкой настройки контроля учетных записей операционных систем Windows, и это только малая часть того, что вы можете сделать при помощи политик безопасности. В цикле статей по локальным политикам безопасности я постараюсь рассмотреть как можно больше механизмов обеспечения безопасности с примерами, которые могут вам помочь в дальнейшей работе.

Конфигурирование политик безопасности

Политика безопасности - это набор параметров, которые регулируют безопасность компьютера и управляются с помощью локального объекта GPO. Настраивать данные политики можно при помощи оснастки "Редактор локальной групповой политики" или оснастки . Оснастка "Локальная политика безопасности" используется для изменения политики учетных записей и локальной политики на локальном компьютере, а политики учетных записей, привязанных к домену Active Directory можно настраивать при помощи оснастки "Редактор управления групповыми политиками" . Перейти к локальным политикам безопасности, вы можете следующими способами.

Достаточно часто многие пользователи, работающие на компьютерных терминалах без администраторских прав, сталкиваются с проблемой, что какое-то действие отключено администратором или просто запрещено. Для таких запретов и используется редактор групповой политики. Что это такое и как с ним работать, мы сейчас и посмотрим.

групповой политики?

Сам по себе редактор представляет достаточно сложное и мощное средство, позволяющее производить тонкую настройку системы, включать или отключать ее отдельные компоненты, устанавливать разрешения и запреты для пользователей на использование отдельных компонентов Windows, устанавливать или запускать приложения и т. д.

Тут следует учитывать и то, что существует два типа такого инструмента: редактор локальной групповой политики (для данного терминала) и инструментарий для групповых политик службы каталогов (Active Directory используется сайтами, доменами, сетевыми терминалами и т. д.).

Кроме того, обязательно нужно знать, что такие функции предусмотрены в тех же системах Windows 7 или 8 исключительно версий Ultimate, Professional и Enterprise. В домашних версиях типа Home или Starter этот элемент не установлен изначально, так что искать его даже нечего пытаться. Чуть позже мы рассмотрим, как включить редактор групповой политики в домашних сборках Windows. А пока посмотрим на основные функции этого инструмента.

Запуск редактора

Для начала рассмотрим вопрос, как зайти в редактор локальной групповой политики. Самым простым способом считается использование командной строки или меню «Выполнить» (Win + R). Редактор 8 или 7) вызывается командой gpedit.msc.

Теперь посмотрим на основные настройки и разберемся, для чего они предназначены.

Основные параметры и настройки

В левом окне редактора сразу можно увидеть два основных раздела. Первый касается компьютерной системы в целом. Здесь можно редактировать все параметры, которые применяются к системе, независимо от того, какой именно пользователь работает на терминале в данный момент. Во втором разделе находятся настройки, так сказать, привязанные к каждому конкретному юзеру.

В данном случае (естественно, если зайти как администратор) можно устанавливать запреты и разрешения другим пользователям на выполнение тех или иных действий.

Так, например, необходимо отключить, допустим, редактирование реестра, чтобы неопытный юзер не дай бог не полез туда и не удалил важный ключ или запись, которая может повлиять на работоспособность всей «операционки». Для этого используется раздел административных шаблонов пользовательской конфигурации, где и выбирается соответствующий пункт запрета доступа к средствам редактирования реестра. При входе в меню подраздела просто ставится галочка напротив параметра «Включено».

Теперь юзер при вводе команды regedit получит сообщение о том, что редактирование реестра запрещено администратором. Впрочем, это касается любых действий пользователей и действующих ограничений или разрешений.

Интересными выглядят и настройки компьютерной конфигурации. Так, например, совершенно запросто можно изменить, опустим, действие, выполняемое при нажатии сочетания клавиш Ctrl + Alt + Del, или что-то еще. Иными словами, применяя параметры редактора, можно настроить систему, что называется, под себя. Для этого тут имеется достаточно много мощнейших средств.

Установка и включение редактора групповой политики в версиях Windows Home (7, 8)

Теперь несколько слов о том, как можно использовать редактор групповой политики в версиях Windows Home и Starter. Для этого нужно всего лишь скачать из Интернета установочный дистрибутив и инсталлировать данный компонент. Установка проблем не вызывает, поскольку является стандартным процессом. По его завершении потребуется перезагрузка компьютерной системы. Но это еще не все.

Где находится редактор локальной групповой политики

Тут мы подходим к вопросу о местонахождении файла, отвечающего за запуск редактора. В стандартном варианте для систем с архитектурой 32 бита файл запуска располагается в системной папке System32 в корневой директории Windows.

В 64-битных версиях той же «семерки» или «восьмерки» после установки файла при помощи вышеуказанной утилиты его расположение будет изменено на папку SysWOW64 (именно там распложены все файлы команд, вызываемых через меню «Выполнить»).

Так что, если сразу после установки и перезагрузки системы ввести команду вызова редактора, может ничего и не получиться. Система просто выдаст сообщение, что файл gpedit.msc не найден. Ничего страшного. Выход из такой ситуации достаточно прост. Нужно просто искомый файл копировать в папку System32, только и всего.

Заключение

В заключение остается добавить, что редактор групповой политики - инструмент достаточно мощный и серьезный. Поэтому хотя бы без каких-либо начальных знаний изменять параметры, находящиеся там, не рекомендуется, а то еще, чего доброго, вся система «вылетит». Ну а опытный пользователь, используя совестно системный реестр и настройки групповой политики, может доиться очень многого, тем более что сам редактор и реестр взаимосвязаны между собой вплоть до полного дублирования некоторых настроек и параметров.

Редактор групповых политик (Gpedit.msc ) – это специальная mmc консоль, которая позволяет управлять различными параметрами системы путем редактирования предопределенных настроек – политик (на сайте существует целый раздел посвященный ). Если копнуть глубже, то по сути редактор gpedit.msc это просто интерфейс для управления параметрами реестра Windows, т.е. любое изменение политики ведет к изменению того или иного ключа в реестре Windows 7. Существует даже специальные таблицы соответствия между параметрами групповых политик и настройками в реестре. Называются они “Group Policy Settings Reference for Windows and Windows Server “ (http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=25250). Т.е. все те настройки, которые задаются с помощью графической консоли gpedit можно задать вручную, найдя в данной таблице нужный ключ реестра.

Однако консоль управления групповыми политиками доступна только в «старших» версиях ОС – редакции Windows 7 Ultimate, Professional и Enterprise. Если же набрать команду gpedit.msc в Windows 7 Home Premium, Home Basic или Starter, то появится ошибка о том, что команда не найдена. Т.е. редактора групповых политик в этих версиях нет.

Так можно ли установить редактор групповых политик gpedit в Windows 7 Home ? К счастью да (хотя и не тривиально)!

Чтобы установить gpedit.msc в Windows 7 Home нам понадобиться специальный патчик (неофициальный). Скачать его можно .

Распакуйте и запустите установочный файл с правами администратора. Установка осуществляется в режиме мастера и крайне проста.

Если вы используете 64 битную версию Windows Home или Starter, после установки патча необходимо дополнительно скопировать следующие объекты из каталога C:\windows\SysWOW64 в каталог C:\Windows\System32:

• папку GroupPolicy
• папку GroupPolicyUsers
• файл gpedit.msc

После установки обновления необходимо будет перезагрузить компьютер и попробовать выполнить команду gpedit.msc. Если все пройдет успешно, должна открыться искомая консоль редактора групповых политик.

В предыдущих моих статьях о групповых политиках было рассказано о принципах работы оснастки . Рассматривались некоторые узлы текущей оснастки, а также функционал множественной групповой политики. Начиная с этой статьи, вы сможете узнать об управлении параметрами безопасности на локальном компьютере, а также в доменной среде. В наше время обеспечение безопасности является неотъемлемой частью работы как для системных администраторов в крупных и даже мелких предприятиях, так и для домашних пользователей, перед которыми стоит задача настройки компьютера. Неопытные администраторы и домашние пользователи могут посчитать, что после установки антивируса и брандмауэра их операционные системы надежно защищены, но это не совсем так. Конечно, эти компьютеры будут защищены от множества атак, но что же спасет их от человеческого фактора? Сейчас возможности операционных систем по обеспечению безопасности очень велики. Существуют тысячи параметров безопасности, которые обеспечивают работу служб, сетевую безопасность, ограничение доступа к определенным ключам и параметрам системного реестра, управление агентами восстановления данных шифрования дисков BitLocker, управление доступом к приложениям и многое, многое другое.

В связи с большим числом параметров безопасности операционных систем Windows Server 2008 R2 и Windows 7, невозможно настроить все компьютеры, используя один и тот же набор параметров. В статье были рассмотрены методы тонкой настройки контроля учетных записей операционных систем Windows, и это только малая часть того, что вы можете сделать при помощи политик безопасности. В цикле статей по локальным политикам безопасности я постараюсь рассмотреть как можно больше механизмов обеспечения безопасности с примерами, которые могут вам помочь в дальнейшей работе.

Конфигурирование политик безопасности

Политика безопасности - это набор параметров, которые регулируют безопасность компьютера и управляются с помощью локального объекта GPO. Настраивать данные политики можно при помощи оснастки «Редактор локальной групповой политики» или оснастки . Оснастка «Локальная политика безопасности» используется для изменения политики учетных записей и локальной политики на локальном компьютере, а политики учетных записей, привязанных к домену Active Directory можно настраивать при помощи оснастки «Редактор управления групповыми политиками» . Перейти к локальным политикам безопасности, вы можете следующими способами:

В том случае, если ваш компьютер подсоединен к домену Active Directory, политика безопасности определяется политикой домена или политикой подразделения, членом которого является компьютер.

Применение политик безопасности для локального компьютера и для объекта групповой политики рабочей станции, подсоединенной к домену

При помощи следующих примеров вы увидите разницу между применением политики безопасности для локального компьютера и для объекта групповой политики рабочего компьютера, присоединенного к домену Windows Server 2008 R2.

Применение политики безопасности для локального компьютера

Для успешного выполнения текущего примера, учетная запись, под которой выполняются данные действия, должна входить в группу «Администраторы» на локальном компьютере. Если компьютер подключен к домену, то эти действия могут выполнять только пользователи, которые являются членами группы «Администраторы домена» или групп, с разрешенными правами на редактирование политик.

В этом примере мы переименуем гостевую учетную запись. Для этого выполните следующие действия:

После перезагрузки компьютера для того чтобы проверить, применилась ли политика безопасности к вашему компьютеру, вам нужно открыть в панели управления компонент «Учетные записи пользователей» и перейти по ссылке «Управление другой учетной записью» . В открывшемся окне вы увидите все учетные записи, созданные на вашем локальном компьютере, в том числе переименованную учетную запись гостя:

Применение политики безопасности для объекта групповой политики рабочей компьютера, присоединенного к домену Windows Server 2008 R2

В этом примере мы запретим пользователю Test_ADUser изменять пароль для учетной записи на своем компьютере. Напомню, что для выполнения следующих действий вы должны входить в группу «Администраторы домена» . Выполните следующие действия:

После перезагрузки компьютера для того чтобы проверить, применилась ли политика безопасности, перейдите на компьютер, над которым проводились изменения и откройте консоль управления MMC. В ней добавьте оснастку «Локальные пользователи и группы» и попробуйте изменить пароль для своей доменной учетной записи.

Применение политики безопасности для объекта групповой политики с контроллера домена Windows Server 2008 R2

При помощи этого примера, изменим число новых уникальных паролей, которые должны быть назначены учетной записи пользователя до повторного использования старого пароля. Эта политика позволяет вам улучшать безопасность, гарантируя, что старые пароли не будут повторно использоваться в течении нескольких раз. Войдите на контроллер домена или используйте средства администрирования удаленного сервера. Выполните следующие действия:

Об использовании оснастки «Управление групповой политикой» на контроллерах домена и о команде gpupdate будет подробно рассказываться в последующих статьях.

Заключение

Из этой статьи вы узнали о методах применения локальных политик безопасности. В предоставленных примерах проиллюстрирована настройка политик безопасности при помощи оснастки «Локальная политика безопасности» на локальном компьютере, настройка политик на компьютере, подсоединенном к домену, а также управление локальными политиками безопасности с использованием контроллер домена. В следующих статьях из цикла о локальных политиках безопасности вы узнаете об использовании каждого узла оснастки «Локальная политика безопасности» и о примерах их использования в тестовой и рабочей среде.

Политика безопасности представляет собой набор параметров для регулирования безопасности ПК, путем их применения к конкретному объекту или к группе объектов одного класса. Большинство пользователей редко производят изменения данных настроек, но бывают ситуации, когда это нужно сделать. Давайте разберемся, как выполнить данные действия на компьютерах с Виндовс 7.

Прежде всего, нужно отметить, что по умолчанию политика безопасности настроена оптимально для выполнения повседневных задач рядового юзера. Производить манипуляции в ней нужно только в случае возникновения необходимости решить конкретный вопрос, требующий корректировки данных параметров.

Изучаемые нами настройки безопасности регулируются с помощью GPO. В Виндовс 7 сделать это можно, используя инструменты либо «Редактор локальных групповых политик» . Обязательным условием является вход в профиль системы с полномочиями администратора. Далее мы рассмотрим оба этих варианта действий.

Способ 1: Применение инструмента «Локальная политика безопасности»

Прежде всего, изучим, как решить поставленную задачу с помощью инструмента «Локальная политика безопасности» .

1. Чтобы запустить указанную оснастку, щелкните «Пуск» и перейдите в «Панель управления» .



2. Далее откройте раздел «Система и безопасности» .



3. Щелкните «Администрирование» .



4. Из предложенного набора системных инструментов выберите вариант «Локальная политика безопасности» .

   

   Также оснастку можно запустить и через окно «Выполнить» . Для этого наберите Win+R и введите следующую команду:

   Затем щелкните «OK» .



5. Указанные выше действия приведут к запуску графического интерфейса искомого инструмента. В подавляющем большинстве случаев возникает необходимость откорректировать параметры в папке «Локальные политики» . Тогда нужно щелкнуть по элементу с этим наименованием.



6. В данном каталоге располагается три папки.

   В директории определяются полномочия отдельных пользователей или групп юзеров. Например, можно указать, запрет или разрешение для отдельных лиц или категорий пользователей на выполнение конкретных задач; определить, кому разрешен локальный доступ к ПК, а кому только по сети и т.д.

   В каталоге «Политика аудита» указываются события, предназначенные для записи в журнале безопасности.

   В папке «Параметры безопасности» указываются разнообразные административные настройки, которые определяют поведение ОС при входе в неё как локально, так и через сеть, а также взаимодействие с различными устройствами. Без особой необходимости данные параметры изменять не стоит, так как большинство соответствующих задач можно решить через стандартную настройку учетных записей, родительский контроль и разрешения NTFS.

   

7. Для дальнейших действий по решаемой нами задаче щелкните по наименованию одного из указанных выше каталогов.



8. Откроется перечень политик выбранного каталога. Кликните по той из них, которую желаете изменить.



9. После этого откроется окошко редактирования политики. Его вид и действия, которые необходимо произвести, существенно отличаются от того, к какой именно категории она принадлежит. Например, для объектов из папки «Назначение прав пользователя» в открывшемся окне необходимо добавить или удалить имя конкретного пользователя либо группы юзеров. Добавление производится путем нажатия кнопки «Добавить пользователя или группу…» .

   

   Если же необходимо произвести удаление элемента из выбранной политики, то выделите его и нажмите «Удалить» .



10. После завершения манипуляций в окне редактирования политики для сохранения внесенных корректировок не забудьте нажать кнопки «Применить» и «OK» , а иначе изменения не вступят в силу.

Мы описали изменение настроек безопасности на примере действий в папке «Локальные политики» , но по такой же аналогии можно производить действия и в других каталогах оснастки, например в директории «Политики учетных записей» .

Способ 2: Использование инструмента «Редактор локальной групповой политики»

Настроить локальную политику можно также при помощи оснастки «Редактор локальной групповой политики» . Правда, данный вариант доступен не во всех редакциях Windows 7, а только в Ultimate, Professional и Enterprise.

1. В отличие от предыдущей оснастки, данный инструмент нельзя запустить через «Панель управления» . Его можно активировать только путем введения команды в окно «Выполнить» или в «Командную строку» . Наберите Win+R и введите в поле такое выражение:

   Затем щелкните «OK» .