Instytut Sterowania i Systemów Informatycznych Uniwersytet Zielonogórski Systemy operacyjne Laboratorium Zasady lokalne i konfiguracja środowiska Windows 2000 Cel ćwiczenia Celem ćwiczenia jest zapoznanie się z możliwościami stosowania zasad lokalnych do konfiguracji środowiska Windows 2000 dla róznych grup użytkowników pracujących na komputerze lokalnym. Podstawowe pojęcia Podczas użytkowania komputera z systemem Windows 2000 w ustawieniu grupy roboczej (a nie domeny) może zajść potrzeba wprowadzenia na danym komputerze zasad lokalnych, które mają być stosowane względem wszystkich bądź wybranych użytkowników komputera z wyjątkiem użytkowników należących do grupy administratorzy. Wyjątek ten pozwala administratorowi systemu na zachowanie nieograniczonego dostępu i kontroli nad komputerem, a także pozwala na ograniczenie grupy użytkowników, którzy mogą się logować na danym komputerze. Aby ta procedura odniosła skutek, komputer z systemem Windows 2000 musi działać w ustawieniu grupy roboczej. Wtedy zasady domeny nie będą zastępować zasad lokalnych, ponieważ faktycznie zasady domeny nie obowiązują. Konfiguracja użytkownika Węzeł Konfiguracja użytkownika w konsoli Zasady grup służy do ustawiania zasad stosowanych do użytkowników, niezależnie od tego, do którego komputera logują się ci użytkownicy. Węzeł Konfiguracja użytkownika zazwyczaj zawiera podwęzły Ustawienia oprogramowania, Ustawienia systemu Windows i Szablony administracyjne. Jednakże, dla przystawki Zasady grup mogą być dodawane i usuwane rozszerzenia, dlatego rzeczywisty zestaw podwęzłów może być inny. 1. Ustawienia oprogramowania. Przystawka Zasady grup ma dwa węzły dotyczące ustawienia oprogramowania. Węzeł \Konfiguracja komputera\ustawienia oprogramowania jest przeznaczony dla ustawień oprogramowania stosowanych do użytkowników, którzy logują się do danego komputera. Węzeł ten ma podwęzeł Instalacja oprogramowania i może mieć inne węzły umieszczone w nim przez niezależnych dostawców oprogramowania. Węzeł \Konfiguracja użytkownika\ustawienia oprogramowania jest przeznaczony dla ustawień oprogramowania stosowanych do użytkowników, niezależnie od tego, do którego komputera logują się ci użytkownicy. Węzeł ten ma podwęzeł Instalacja oprogramowania i może mieć inne węzły umieszczone w nim przez niezależnych dostawców oprogramowania. 2. Ustawienia systemu Windows. Przystawka Zasady grup ma dwa węzły dotyczące ustawień systemu Windows. Węzeł \Konfiguracja komputera\ustawienia systemu Windows jest przeznaczony dla ustawień systemu Windows stosowanych do
Rys. 1. Konsola Zasady grupy użytkowników, którzy logują się do danego komputera. Węzeł ten ma dwa podwęzły: Ustawienia zabezpieczeń i Skrypty. Węzeł \Konfiguracja użytkownika\ustawienia systemu Windows jest przeznaczony dla ustawień systemu Windows stosowanych do użytkowników, niezależnie od tego, do którego komputera logują się ci użytkownicy. Węzeł ten ma trzy podwęzły: Przekierowanie folderu, Ustawienia zabezpieczeń i Skrypty. 3. Szablony administracyjne. Węzeł Szablony administracyjne w przystawce Zasady grup zawiera wszystkie informacje o zasadach oparte na rejestrze. Konfiguracje użytkownika są zapisywane w kluczu HKEY_CURRENT_USER (HKCU), a konfiguracje komputera w kluczu HKEY_LOCAL_MACHINE (HKLM). Ustawienia zasad dla oprogramowania obejmują zasady grup dla programów oraz dla systemu operacyjnego Windows 2000 i jego składników. Obszar nazw w węźle Szablony administracyjne jest wypełniany przy użyciu plików.adm lub przez rozszerzenie przystawki Zasady grup. Pliki.adm są instalowane automatycznie, gdy węzeł ten jest używany po raz pierwszy. Jeśli planowane jest tworzenie pozycji dla węzła Szablony administracyjne, obszar nazw należy wypełnić przy użyciu następującej konwencji nazewniczej, która używana jest również w rejestrze: \NazwaFirmy\produkt\wersja lub \NazwaFirmy\produkt&wersja. Na przykład ustawienia systemu operacyjnego dla systemu Windows 2000 znajdują się w kluczu \Microsoft\Windows 2000. 2
Pliki Registry.pol Rozszerzenie Szablony administracyjne przystawki Zasady grup zapisuje informacje w plikach Registry.pol. Pliki te zawierają dostosowane ustawienia rejestru (określone przy użyciu przystawki Zasady grup), które mają zostać zastosowane do części rejestru związanej z komputerem lub użytkownikiem. Jeden z plików Registry.pol zawiera ustawienia rejestru, które mają zostać zastosowane do klucza HKEY_LOCAL_MACHINE. Jest on przechowywany w folderze GPT\Machine. Drugi plik Registry.pol zawiera ustawienia rejestru dla klucza HKEY_CURRENT_USER. Jest on przechowywany w folderze GPT\User. Stosowanie zasad lokalnych Aby zastosować zasady lokalne względem wybranej grupy użytkowników z wyjątkiem administratorów, należy wykonać następujące kroki: 1. Zalogować się do komputera jako administrator lub członek grupy administratorzy, 2. Otworzyć lokalne zasady bezpieczeństwa. Aby to zrobić, wykonaj następujące czynności: (a) Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz polecenie gpedit.msc, i zaakceptuj klawiszem ENTER. (b) alternatywny sposób: Kliknij przycisk Start, kliknij polecenie Uruchom, wpisz polecenie mmc, naciśnij klawisz ENTER, dodaj Edytora obiektów zasad grupy, a następnie skonfiguruj go do lokalnych zasad bezpieczeństwa. Jeśli jedną z zasad, które mają być skonfigurowane, jest usunięcie polecenia Uruchom, firma Microsoft zaleca edytwanie tej zasady za pomocą konsoli Microsoft Management Console (MMC), a następnie zapisanie wyniku jako ikony. Wówczas polecenie Uruchom nie będzie potrzebne do powtórnego otwarcia tej zasady. 3. Rozwiń obiekt Konfiguracja użytkownika, a następnie obiekt Szablony administracyjne. 4. Włącz wszystkie potrzebne zasady, na przykład dla pulpitu Ukryj moje miejsca sieciowe lub Ukryj ikonę programu Internet Explorer na pulpicie. UWAGA! Upewnij się, że wybrane zostały odpowiednie zasady. W przeciwnym razie może dojść do ograniczenia możliwości administratora zalogowania się do komputera i dokończenia kroków niezbędnych w celu konfiguracji komputera. Firma Microsoft zaleca rejestrowanie wszystkich dokonywanych zmian. Z informacji tej można również skorzystać w kroku 10. 5. Zamknij przystawkę gpedit.msc Zasady grupy, lub jeśli korzystasz z konsoli MMC, zapisz konsolę jako ikonę, aby później była dostępna, a następnie wyloguj się. 6. Zaloguj się do komputera jako administrator. W tej sesji logowania można zweryfikować dokonane wcześniej zmiany zasad, ponieważ domyślnie zasady lokalne stosują się do wszystkich użytkowników, z administratorami włącznie. 7. Wyloguj się z komputera, a następnie zaloguj się jako każdy z pozostałych użytkowników tego komputera, do których te zasady mają się stosować. Zasady te będą stosowane względem wszystkich tych użytkowników oraz względem administratora. 3
UWAGA! Do każdego konta użytkownika, na które w tym kroku nie nastąpiło logowanie, określone zasady nie zostaną zastosowane. 8. Zaloguj się do komputera jako administrator. 9. Kliknij przycisk Start, wskaż polecenie Ustawienia, a następnie kliknij polecenie Opcje folderów. Kliknij kartę Widok, kliknij opcję Pokaż ukryte pliki i foldery, a następnie kliknij przycisk OK, aby zobaczyć folder ukryty Zasady grupy. Alternatywny sposób: otwórz Eksploratora Windows, kliknij menu Narzędzia, a następnie kliknij polecenie Opcje folderów, aby zobaczyć te ustawienia. 10. Skopiuj plik Registry.pol znajdujący się w folderze %Systemroot%\System32\ GroupPolicy\User do miejsca przechowywania kopii zapasowej (na przykład na inny dysk twardy, dyskietkę lub do innego folderu) 11. Otwórz powtórnie zasadę lokalną za pomocą przystawki gpedit.msc Zasady grupy albo ikony konsoli MMC, a następnie włącz dokładnie te same funkcje, które zostały wyłączone w oryginalnych zasadach utworzonych dla tego komputera. UWAGA! Po wykonaniu tej czynności edytor zasad tworzy nowy plik Registry.pol. 12. Zamknij edytor zasad, a następnie skopiuj kopię zapasową pliku Registry.pol utworzoną w kroku 10 z powrotem do folderu %Systemroot%\System32\GroupPolicy \User. Po wyświetleniu monitu o zastąpienie istniejącego pliku kliknij przycisk Tak. 13. Wyloguj się, a następnie zaloguj się jako administrator. Można sprawdzić, że dokonane pierwotnie zmiany nie są teraz stosowane, ponieważ użytkownik zalogował się do komputera jako administrator. 14. Wyloguj się, a następnie zaloguj się jako inny użytkownik (lub użytkownicy). Można sprawdzić, czy dokonane pierwotnie zmiany są teraz stosowane, ponieważ do tego komputera zalogował się użytkownik (nie administrator). 15. Zaloguj się do komputera jako administrator, aby sprawdzić, czy zasady lokalne nie są stosowane względem lokalnego administratora tego komputera. Przywracanie pierwotnych zasad lokalnych Aby odwrócić proces ustawiania zasad lokalnych należy wykonać następujące kroki: 1. Zaloguj się jako administrator. 2. Kliknij przycisk Start, wskaż polecenie Ustawienia, a następnie kliknij polecenie Opcje folderów. Kliknij kartę Widok, kliknij opcję Pokaż ukryte pliki i foldery, a następnie kliknij przycisk OK, aby zobaczyć folder ukryty Zasady grupy. 3. Przenieś, zmień nazwę lub usuń plik Registry.pol z folderu %Systemroot%\System32 \GroupPolicy\User. Po wylogowaniu z systemu i powtórnym uruchomieniu komputera system ochrony plików systemu Windows 2000 utworzy inny domyślny plik Registry.pol. 4
4. Otwórz zasady lokalne, a następnie załaduj lokalne zasady bezpieczeństwa. Następnie wszystkie elementy z ustawieniem Wyłączone lub Włączone ustaw na Nie skon figurowane, aby cofnąć wszelkie zmiany zasad dokonane w rejestrze systemu Windows 2000. 5. Wyloguj się, a następnie ponownie zaloguj się jako administrator. 6. Wyloguj się, a następnie zaloguj się kolejno jako każdy z użytkowników komputera lokalnego, tak aby zmiany zostały cofnięte także na ich kontach. Przebieg ćwiczenia UWAGA! Sposób logowania jako administrator: koniecznie zaznaczyć pole Workstation Only, użytkownik adm, hasło zostanie podane przez prowadzącego zajęcia. 1. Zaloguj sie jako adm i utwórz użytkownika nowy należącego do grupy użytkowników standardowych. 2. Czy użytkownik nowy może otworzyć i edytowować przystawkę Zasady grupy? 3. Zaloguj się jako adm. Otwórz przystawkę Zasady grupy i zapoznaj się z węzłami Konfiguracja komputera oraz Konfiguracja użytkownika. 4. Skonfiguruj pulpit tak aby nie bylo możliwe: dodawanie niowych elementów na pulpit, usuwanie elementów z pulpitu, edytowanie elementów na pulpicie. Zaloguj się jako nowy i sprawdz czy ustawienia są efektywne. 5. Zmodyfikuj menu Start tak, aby pojawił się w nim element Wyloguj, programy z menu Ustawienia były niedostępne, usunąć łącza Windows Update oraz usunąć menu Dokumenty. Zaloguj się jako nowy i sprawdz czy ustawienia są efektywne. 6. Skonfiguruj Przeglądarkę internetową tak, aby: opcja Zapisza jako... była niedostępna, opcja Opcje internetowe była wyłączona, opcja Ulubione była ukryta oraz opcja Zapisać ten program na dysku była również wyłączona. Zaloguj się jako nowy i sprawdź, czy nowe ustawienia obowiązują. 7. Wyłącz Panel sterowania. Czy użytkownik nowy może używać programów z poziomu zakłądki Właściwości w menu kontekstowym? 8. Włącz Panel sterowania. Wyłącz możliwość dodawania i usuwania drukarek, wyłącz aplet Ekran w panelu sterowania oraz wyłącz aplet Dodaj/Usuń programy. Zaloguj się jako nowy i sprawdź efektywność ustawień. 9. Skonfiguruj system tak, aby nie było możliwe zablokowanie komputera przez użytkowników. 10. Zaloguj się jako adm i sprawdz jakie uprawnienia mają użytkownicy do folderu %Systemroot%\System32\GroupPolicy. Sprawdź zawartość plików Registry.pol oraz gpt.ini. Przenieś plik Registry.pol do innego folderu. Wyloguj się, a następnie ponownie zaloguj. Czy Zasady grupy nadal obowiązują? 5
11. Otwórz przystawkę Zasady grupy i włącz wszystkie zmienione opcje na Nie skonfigurowane. Usuń użytkownika nowy oraz jego profil z katalogu Documents and Settings. 6