Команда GPResult: диагностика на получените групови политики. Дайте подробно описание на политиката на сървъра относно

Когато инсталирате Windows, повечето от несъществените подсистеми не са активирани или инсталирани. Това се прави от съображения за сигурност. Тъй като системата е защитена по подразбиране, системни администраториможе да се съсредоточи върху проектирането на система, която ще изпълнява само функциите, които са й възложени и нищо повече. За да ви помогне да активирате функциите, които искате, Windows ви подканва да изберете роля на сървъра.

Роли

Ролята на сървъра е набор от програми, които, когато са правилно инсталирани и конфигурирани, позволяват на компютъра да изпълнява специфична функция за множество потребители или други компютри в мрежа. Като цяло всички роли имат следните характеристики.

• Те определят основната функция, цел или цел на използването на компютър. Можете да определите компютър да изпълнява една роля, която се използва силно в предприятието, или да изпълнява множество роли, като всяка роля се използва само от време на време.
• Ролите дават на потребителите в цялата организация достъп до ресурси, които се управляват от други компютри, като уебсайтове, принтери или файлове, съхранявани на различни компютри.
• Те обикновено имат свои собствени бази данни, които подреждат на опашка потребителски или компютърни заявки или записват информация за мрежови потребители и компютри, свързани с дадена роля. Например, Active Directory Domain Services съдържа база данни за съхранение на имената и йерархичните връзки на всички компютри в мрежа.
• Веднъж правилно инсталирани и конфигурирани, ролите функционират автоматично. Това позволява на компютрите, на които са инсталирани, да изпълняват възложени задачи с ограничено взаимодействие с потребителя.

Ролеви услуги

Ролевите услуги са програми, които предоставят функционалността на роля. Когато инсталирате роля, можете да изберете кои услуги да предоставя на други потребители и компютри в предприятието. Някои роли, като DNS сървъра, изпълняват само една функция, така че няма ролеви услуги за тях. Други роли, като услуги за отдалечен работен плот, имат няколко услуги, които можете да инсталирате въз основа на нуждите за отдалечен достъп на вашето предприятие. Ролята може да се разглежда като съвкупност от тясно свързани, допълващи се ролеви услуги. В повечето случаи инсталирането на роля означава инсталиране на една или повече от нейните услуги.

Компоненти

Компонентите са програми, които не са пряко част от роли, но поддържат или разширяват функционалността на една или повече роли или на цял сървър, независимо кои роли са инсталирани. Например инструментът за отказване на клъстерите разширява функционалността на други роли като файлови услуги и DHCP сървър, като им позволява да се присъединят към сървърни клъстери, което осигурява повишена излишество и производителност. Друг компонент, Telnet Client, осигурява отдалечена комуникация със сървъра Telnet чрез мрежова връзка. Тази функция подобрява комуникационните опции за сървъра.

Кога Windows Serverработи в режим Server Core, се поддържат следните сървърни роли:

• Сертификационни услуги на Active Directory;
• Домейн услуги на Active Directory;
• DHCP сървър
• DNS сървър;
• файлови услуги (включително мениджъра на ресурси на файловия сървър);
• Active Directory Lightweight Directory Services;
• Hyper-V
• Услуги за печат и документи;
• Услуги за стрийминг на медии;
• уеб сървър (включително подмножество на ASP.NET);
• Windows Server Update Server;
• Сървър за управление на права на Active Directory;
• Сървър за маршрутизиране и отдалечен достъп и следните подчинени роли:
  • Брокер за връзка с отдалечен работен плот;
  • лицензиране;
  • виртуализация.

Когато Windows Server работи в режим Server Core, се поддържат следните функции на сървъра:

• Microsoft .NET Framework 3.5;
• Microsoft .NET Framework 4.5;
• Windows PowerShell;
• Фонова интелигентна услуга за трансфер (BITS);
• BitLocker Drive Encryption;
• Отключване на мрежата на BitLocker;
• BranchCache
• мост на центъра за данни;
• Подобрено съхранение;
• клъстериране при отказ;
• Многопътен вход/изход;
• балансиране на натоварването на мрежата;
• PNRP протокол;
• qWave;
• дистанционна диференциална компресия;
• прости TCP/IP услуги;
• RPC през HTTP прокси;
• SMTP сървър;
• SNMP услуга;
• Telnet клиент;
• telnet сървър;
• TFTP клиент;
• вътрешна база Данни на Windows;
• Windows PowerShell уеб достъп;
• Услуга за активиране на Windows;
• стандартизирано управление на съхранение в Windows;
• IIS WinRM разширение;
• WINS сървър;
• Поддръжка на WoW64.

Инсталиране на сървърни роли с помощта на Server Manager

За да добавите, отворете Server Manager и в менюто Управление щракнете върху Добавяне на роли и функции:

Отваря се съветникът за добавяне на роли и функции. Щракнете върху Напред

Тип инсталация, изберете Инсталация, базирана на роли или базирана на функции. Следващия:

Избор на сървър - изберете нашия сървър. Щракнете върху Следващи роли на сървъра - Изберете роли, ако е необходимо, изберете услуги за роли и щракнете върху Напред, за да изберете компоненти. По време на тази процедура съветникът за добавяне на роли и функции автоматично ви информира за конфликти на целевия сървър, които могат да попречат на инсталирането или нормалната работа на избраните роли или функции. Също така ще бъдете подканени да добавите ролите, ролевите услуги и функциите, изисквани от избраните роли или функции.

Инсталиране на роли с PowerShell

Отворете Windows PowerShell Въведете командата Get-WindowsFeature, за да видите списъка с налични и инсталирани роли и функции на локалния сървър. Резултатът от този командлет съдържа имената на командите за ролите и функциите, които са инсталирани и налични за инсталиране.

Въведете Get-Help Install-WindowsFeature, за да видите синтаксиса и разрешени параметриКомандлет Install-WindowsFeature (MAN).

Въведете следната команда (-Restart ще рестартира сървъра, ако инсталирането на ролята изисква рестартиране).

Инсталиране-WindowsFeature –Име –Рестартиране

Описание на ролите и ролевите услуги

Всички роли и ролеви услуги са описани по-долу. Нека да видим разширени настройки за най-често срещаните в нашия уеб практикаРоля на сървъра и услуги за отдалечен работен плот

Подробно описание на IIS

• Общи HTTP функции - Основни HTTP компоненти
  • Документ по подразбиране – позволява ви да зададете индексната страница за сайта.
  • Преглеждане на директория – Позволява на потребителите да преглеждат съдържанието на директория на уеб сървър. Използвайте преглед на директории, за да генерирате автоматично списък с всички директории и файлове в директория, когато потребителите не посочат файл в URL адреса и индексната страница е деактивирана или не е конфигурирана
  • HTTP Грешки - позволява ви да персонализирате съобщенията за грешки, връщани на клиентите в браузъра.
  • Статично съдържание - позволява ви да публикувате статично съдържание, като изображения или html файлове.
  • HTTP пренасочване - Осигурява поддръжка за пренасочване на потребителски заявки.
  • WebDAV Publishing ви позволява да публикувате файлове от уеб сървър, използвайки HTTP протокола.
• Здравни и диагностични характеристики - Диагностични компоненти
  • HTTP Logging осигурява регистриране на активността на уебсайта за даден сървър.
  • Персонализираното регистриране осигурява поддръжка за създаване на персонализирани регистрационни файлове, които са различни от "традиционните" регистрационни файлове.
  • Инструментите за регистриране предоставят рамка за управление на регистрационни файлове на уеб сървъра и автоматизиране на общи задачи за регистриране.
  • ODBC Logging предоставя рамка, която поддържа регистриране на активността на уеб сървъра в ODBC-съвместима база данни.
  • Request Monitor предоставя рамка за наблюдение на състоянието на уеб приложенията чрез събиране на информация за HTTP заявки в работен процес на IIS.
  • Проследяването предоставя рамка за диагностициране и отстраняване на неизправности в уеб приложенията. С помощта на неуспешно проследяване на заявка можете да проследявате трудни за намиране събития като лоша производителност или неуспехи при удостоверяване.
• Компоненти за производителност за повишаване на производителността на уеб сървъра.
  • Статичното компресиране на съдържание предоставя рамка за конфигуриране на HTTP компресиране на статично съдържание
  • Динамичното компресиране на съдържание предоставя рамка за конфигуриране на HTTP компресиране на динамично съдържание.
• Компоненти за сигурност
  • Филтрирането на заявки ви позволява да улавяте всички входящи заявки и да ги филтрирате въз основа на правила, зададени от администратора.
  • Основното удостоверяване ви позволява да зададете допълнително оторизиране
  • Централизирана поддръжка на SSL сертификати е функция, която ви позволява да съхранявате сертификати на централно място, като споделяне на файлове.
  • Удостоверяването на картографиране на клиентски сертификат използва клиентски сертификати за удостоверяване на потребители.
  • Digest Authentication работи чрез изпращане на хеш на парола до контролер на домейн на Windows за удостоверяване на потребителите. Ако имате нужда от повече високо нивосигурност в сравнение с основното удостоверяване, помислете за използването на Digest удостоверяване
  • IIS Client Certificate Mapping Authentication използва клиентски сертификати за удостоверяване на потребители. Клиентският сертификат е цифров идентификатор, получен от доверен източник.
  • IP и ограниченията на домейна ви позволяват да разрешите/забраните достъп въз основа на искания IP адрес или име на домейн.
  • Разрешаването на URL ви позволява да създавате правила, които ограничават достъпа до уеб съдържание.
  • Удостоверяване на Windows Тази схема за удостоверяване позволява на администраторите на домейна на Windows да се възползват от инфраструктурата на домейна за удостоверяване на потребители.
• Характеристики за разработка на приложения
• FTP сървър
  • FTP услуга Позволява FTP публикуване на уеб сървър.
  • FTP Extensibility Позволява поддръжка на FTP функции, които разширяват функционалността на
• Инструменти за управление
  • Конзолата за управление на IIS инсталира IIS Manager, който ви позволява да управлявате уеб сървъра чрез GUI
  • IIS 6.0 Management Compatibility осигурява съвместимост напред за приложения и скриптове, които използват Admin Base Object (ABO) и API на Active Directory Interface Service Interface (ADSI). Това позволява съществуващите IIS 6.0 скриптове да се използват от уеб сървъра на IIS 8.0
  • Скриптовете и инструментите за управление на IIS осигуряват инфраструктурата за програмно управление на уеб сървъра на IIS с помощта на команди в командна линияили чрез стартиране на скриптове.
  • Услугата за управление предоставя инфраструктурата за персонализиране на потребителския интерфейс, IIS Manager.

Подробно описание на RDS

• Посредник за свързване на отдалечен работен плот - Осигурява повторно свързване на клиентско устройство към програми, базирани на сесии на работния плот и виртуалния работен плот.
• Шлюз за отдалечен работен плот – Позволява на упълномощени потребители да се свързват с виртуални настолни компютри, програми RemoteApp и базирани на сесии настолни компютри в корпоративна мрежа или през интернет.
• Лицензиране на отдалечен работен плот – инструмент за управление на лицензи за RDP
• Хост за сесия на отдалечен работен плот – Включва сървър за хостване на програми RemoteApp или базирана на настолен компютър сесия.
• Хост за виртуализация на отдалечен работен плот - позволява ви да конфигурирате RDP на виртуални машини
• Уеб достъп до отдалечен работен плот - Позволява на потребителите да се свързват с ресурси на работния плот чрез менюто "Старт" или уеб браузъра.

Помислете за инсталиране и конфигуриране на сървър за терминални лицензи. По-горе е описано как се инсталират роли, инсталирането на RDS не се различава от инсталирането на други роли, в Role Services трябва да изберем Лицензиране на отдалечен работен плот и Хост за сесия на отдалечен работен плот. След инсталирането, елементът Terminal Services ще се появи в Server Manager-Tools. Има два елемента в Terminal Services RD Licensing Diagnoser, това е инструмент за диагностициране на работата на лицензиране на отдалечен работен плот, и Remote Desktop Licensing Manager, това е инструмент за управление на лицензи.

Стартирайте RD Licensing Diagnoser

Тук можем да видим, че все още няма налични лицензи, тъй като режимът на лицензиране не е зададен за сървъра на RD Session Host. Сървърът за лицензи е посочен в local групови политикиох. За да стартирате редактора, изпълнете командата gpedit.msc. Отваря се редакторът на локални групови правила. В дървото отляво разгънете разделите:

• Компютърна конфигурация
• Административни шаблони
• Компоненти на Windows
• Услуги за отдалечен работен плот
• Хост за сесия на отдалечен работен плот
• "Лицензиране" (Лицензиране)

Отворете параметрите Използвайте посочените лицензни сървъри за отдалечен работен плот

В прозореца за редактиране на настройките на правилата активирайте сървъра за лицензиране (Активирано). След това трябва да дефинирате лицензен сървър за услуги за отдалечен работен плот. В моя пример сървърът за лицензи се намира на същия физически сървър. Посочете името на мрежата или IP адреса на сървъра за лицензи и щракнете върху OK. Ако името на сървъра, сървърът за лицензи ще се промени в бъдеще, ще трябва да го промените в същия раздел.

След това, в RD Licensing Diagnoser, можете да видите, че сървърът за терминални лицензи е конфигуриран, но не е активиран. За да активирате, стартирайте Мениджър за лицензиране на отдалечен работен плот

Изберете сървъра за лицензиране със статус Неактивиран . Кликнете върху него, за да активирате. Кликнете с десния бутонмишката и изберете Активиране на сървър. Съветникът за активиране на сървъра ще стартира. В раздела Метод на свързване изберете Автоматично свързване. След това попълнете информацията за организацията, след което лицензният сървър се активира.

Сертификационни услуги на Active Directory

AD CS предоставя конфигурируеми услуги за издаване и управление на цифрови сертификати, които се използват в софтуерни системи за сигурност, които използват технологии с публичен ключ. Цифровите сертификати, предоставени от AD CS, могат да се използват за криптиране и цифрово подписване електронни документии съобщения.Тези цифрови сертификатиможе да се използва за удостоверяване на акаунти на компютър, потребител и устройство в мрежа. Цифровите сертификати се използват за предоставяне на:

• поверителност чрез криптиране;
• интегритет чрез цифрови подписи;
• удостоверяване чрез свързване на ключове на сертификати с акаунти на компютър, потребител и устройство в мрежата.

AD CS може да се използва за подобряване на сигурността чрез свързване на потребител, устройство или самоличност на услуга с подходящата частен ключ. Приложенията, поддържани от AD CS, включват защитени многоцелеви стандартни разширения за интернет поща (S/MIME), защитени безжични мрежи, виртуални частни мрежи (VPN), IPsec протокол, криптираща файлова система (EFS), влизане със смарт карти, сигурност при трансфер на данни и сигурност на транспортния слой (SSL/TLS) и цифрови подписи.

Домейн услуги на Active Directory

Използвайки сървърната роля на Active Directory Domain Services (AD DS), можете да създадете мащабируема, сигурна и управляема инфраструктура за управление на потребители и ресурси; можете също да предоставите приложения с активирана директория, като например Microsoft Exchange Server. Active Directory Domain Services предоставя разпределена база данни, която съхранява информация за мрежови ресурсии данни за приложения с активирана директория и управлявайте тази информация. Сървърът, който изпълнява AD DS, се нарича домейн контролер. Администраторите могат да използват AD DS за организиране на мрежови елементи като потребители, компютри и други устройства в йерархична вложена структура. Йерархичната вложена структура включва гората на Active Directory, домейните в гората и организационните единици във всеки домейн. Функциите за сигурност са интегрирани в AD DS под формата на удостоверяване и контрол на достъпа до ресурси в директорията. С еднократно влизане администраторите могат да управляват информацията и организацията на директорията през мрежата. Оторизираните потребители на мрежата могат също да използват мрежово единно влизане за достъп до ресурси, разположени навсякъде в мрежата. Домейн услугите на Active Directory предоставят следните допълнителни функции.

• Набор от правила е схема, която дефинира класовете обекти и атрибути, които се съдържат в директория, ограниченията и ограниченията за екземпляри на тези обекти и формата на техните имена.
• Глобален каталог, съдържащ информация за всеки обект в каталога. Потребителите и администраторите могат да използват глобалния каталог за търсене на каталожни данни, независимо кой домейн в каталога всъщност съдържа търсените данни.
• Механизъм за заявки и индексиране, чрез който обектите и техните свойства могат да бъдат публикувани и локализирани мрежови потребителии приложения.
• Услуга за репликация, която разпространява данни от директория в мрежа. Всички контролери на домейн за запис в домейна участват в репликацията и съдържат пълно копие на всички данни от директорията за своя домейн. Всички промени в данните от директорията се репликират в домейна на всички домейн контролери.
• Главни роли на операциите (известни също като гъвкави единични главни операции или FSMO). Контролерите на домейни, които действат като господари на операциите, са проектирани да изпълняват специални задачи, за да осигурят последователност на данните и да избегнат конфликтни записи в директорията.

Услуги за федерация на Active Directory

AD FS предоставя на крайни потребители, които се нуждаят от достъп до приложения в защитено с AD FS предприятие, в организации на партньори във федерация или в облака с опростена и сигурна федерация за самоличност и уеб базирани услуги за еднократно влизане (SSO). Windows Server AD FS включва услуга на ролева услуга на федерация, действаща като доставчик на идентичност (удостоверява потребителите да предоставят токени за защита на приложения, които се доверяват на AD FS) или като доставчик на федерация (прилага токени от други доставчици на идентичност и след това предоставя маркери за сигурност към приложения, които се доверяват на AD FS).

Active Directory Lightweight Directory Services

Active Directory Lightweight Directory Services (AD LDS) е LDAP протокол, който осигурява гъвкава поддръжка за приложения на директории без зависимостите и специфичните за домейна ограничения на Active Directory Domain Services. AD LDS може да се изпълнява на членове или самостоятелни сървъри. Можете да стартирате множество екземпляри на AD LDS с независимо управлявани схеми на един и същ сървър. С ролята на услугата AD LDS можете да предоставяте услуги на директории на приложения с активирана директория, без да използвате данни за домейн и горски услуги и без да изисквате една схема за цялата гора.

Услуги за управление на права на Active Directory

Можете да използвате AD RMS, за да разширите стратегията за сигурност на вашата организация, като защитите документи с помощта на управление на правата на информация (IRM). AD RMS позволява на потребителите и администраторите да присвояват разрешения за достъп на документи, работни книги и презентации, използвайки IRM политики. Това ви позволява да се предпазите конфиденциална информацияот разпечатване, препращане или копиране от неоторизирани потребители. След като разрешенията на даден файл са ограничени чрез IRM, ограниченията за достъп и използване се прилагат независимо от местоположението на информацията, тъй като разрешението на файла се съхранява в самия файл на документа. С AD RMS и IRM отделните потребители могат да прилагат собствените си предпочитания относно прехвърлянето на лична и поверителна информация. Те също така ще помогнат на организацията да наложи корпоративни политики за контрол върху използването и разпространението на чувствителна и лична информация. IRM решенията, поддържани от AD RMS, се използват за предоставяне на следните възможности.

• Постоянни правила за използване, които остават с информация, независимо дали е преместена, изпратена или препратена.
• Допълнителен слой на поверителност за защита на чувствителни данни - като отчети, продуктови спецификации, информация за клиенти и имейл съобщения - от умишлено или случайно попадане в грешни ръце.
• Предотвратете неоторизирано изпращане, копиране, редактиране, отпечатване, изпращане по факс или поставяне на ограничено съдържание от упълномощени получатели.
• Предотвратяване на копиране на ограничено съдържание с помощта на функцията PRINT SCREEN in Microsoft Windows.
• Поддръжка за изтичане на файла, предотвратяване на преглед на съдържанието на документа след определен период от време.
• Прилагайте корпоративни политики, които управляват използването и разпространението на съдържание в рамките на организацията

Сървър на приложения

Сървърът на приложения осигурява интегрирана среда за разгръщане и изпълнение на персонализирани сървърно-базирани бизнес приложения.

DHCP сървър

DHCP е технология клиент-сървър, която позволява на DHCP сървърите да присвояват или дават под наем IP адреси на компютри и други устройства, които са DHCP клиенти. Разгръщането на DHCP сървъри в мрежа автоматично осигурява клиентски компютри и други мрежови устройства, базирани на IPv4 и IPv6 валидни IP адреси и допълнителни настройки за конфигурация, изисквани от тези клиенти и устройства.Услугата DHCP сървър в Windows Server включва поддръжка за базирани на правила присвояване и DHCP отказ.

DNS сървър

DNS услугата е йерархична, разпределена база данни, която съдържа съпоставяния на имена на DNS домейни към различни типове данни, като IP адреси. DNS услугата ви позволява да използвате приятелски имена като www.microsoft.com, за да помогнете за намирането на компютри и други ресурси в TCP/IP-базирани мрежи. DNS услугата в Windows Server осигурява допълнителна подобрена поддръжка за DNS модули за сигурност (DNSSEC), включително мрежова регистрация и автоматизирано управление на настройките.

ФАКС Сървър

Факс сървърът изпраща и получава факсове и ви позволява да управлявате факс ресурси като задания, настройки, отчети и факс устройства на вашия факс сървър.

Услуги за файлове и съхранение

Администраторите могат да използват ролята на File and Storage Services, за да настроят множество файлови сървъри и техните хранилища и да управляват тези сървъри с помощта на Server Manager или Windows PowerShell. Някои специфични приложения включват следните функции.

• работни папки. Използвайте, за да позволите на потребителите да съхраняват и да осъществяват достъп до работни файлове персонални компютрии устройства, различни от корпоративни компютри. Потребителите получават удобно място за съхранение на работни файлове и достъп до тях отвсякъде. Организациите контролират корпоративните данни, като съхраняват файлове на централно управлявани файлови сървъри и по избор задават правила за потребителски устройства (като пароли за криптиране и заключване на екрана).
• Дедупликация на данни. Използвайте за намаляване на изискванията за дисково пространство за съхранение на файлове, спестявайки пари за съхранение.
• iSCSI целеви сървър. Използвайте за създаване на централизирани, независими от софтуера и устройства iSCSI дискови подсистеми в мрежи за съхранение (SAN).
• Дискови пространства. Използвайте за разгръщане на хранилище, което е високо достъпно, устойчиво и мащабируемо с рентабилни, стандартни за индустрията устройства.
• Мениджър на сървъра. Използвай за дистанционномножество файлови сървъри от един прозорец.
• Windows PowerShell. Използвайте за автоматизиране на управлението на повечето задачи за администриране на файлов сървър.

Hyper-V

Ролята Hyper-V ви позволява да създавате и управлявате виртуализирана изчислителна среда, използвайки технологията за виртуализация, вградена в Windows Server. Инсталирането на ролята на Hyper-V инсталира предпоставки и допълнителни инструменти за управление. Необходимите компоненти включват хипервизор на Windows, услуга за управление на виртуализация, Hyper-V машини, доставчик на виртуализация на WMI и компоненти за виртуализация като VMbus, доставчик на услуги за виртуализация (VSP) и драйвер за виртуална инфраструктура (VID).

Мрежова политика и услуги за достъп

Мрежови политики и услуги за достъп предоставя следните решения за мрежова свързаност:

• Защитата на мрежовия достъп е технология за създаване, прилагане и коригиране на политики за здравето на клиентите. Със защитата на мрежовия достъп системните администратори могат да задават и автоматично налагат здравни политики, които включват изисквания за софтуер, актуализации на защитата и други настройки. За клиентски компютри, които не отговарят на здравната политика, можете да ограничите достъпа до мрежата, докато конфигурацията им не бъде актуализирана, за да отговарят на изискванията на политиката.
• Ако са внедрени точки за безжичен достъп с активиран 802.1X, можете да използвате сървър за мрежови политики (NPS), за да внедрите базирани на сертификат методи за удостоверяване, които са по-сигурни от удостоверяване, базирано на парола. Внедряването на хардуер с активиран 802.1X с NPS сървър позволява на интранет потребителите да бъдат удостоверени, преди да могат да се свържат с мрежата или да получат IP адрес от DHCP сървър.
• Вместо да конфигурирате политика за мрежов достъп на всеки сървър за достъп до мрежата, можете централно да създадете всички политики, които ще дефинират всички аспекти на заявките за мрежова връзка (кой може да се свързва, когато връзката е разрешена, нивото на защита, което трябва да се използва за свързване към мрежа).

Услуги за печат и документи

Услугите за печат и документи ви позволяват да централизирате задачите на сървъра за печат и мрежовия принтер. Тази роля също ви позволява да получавате сканирани документи от мрежови скенери и да качвате документи в мрежови споделени ресурси - сайт на Windows SharePoint Services или електронна поща.

отдалечен достъп

Ролята на сървъра за отдалечен достъп е логическо групиране на следните технологии за мрежов достъп.

• Директен достъп
• Маршрутизация и отдалечен достъп
• Прокси за уеб приложение

Тези технологии са ролеви услугироля на сървъра за отдалечен достъп. Когато инсталирате ролята на сървъра за отдалечен достъп, можете да инсталирате една или повече услуги за роли, като стартирате съветника за добавяне на роли и функции.

В Windows Server ролята на сървъра за отдалечен достъп предоставя възможността за централно администриране, конфигуриране и наблюдение на DirectAccess и VPN с услуги за отдалечен достъп за маршрутизиране и отдалечен достъп (RRAS). DirectAccess и RRAS могат да бъдат разгърнати на един и същ Edge сървър и да се управляват с помощта на команди на Windows PowerShell и конзола за управление на отдалечен достъп (MMC).

Услуги за отдалечен работен плот

Услугите за отдалечен работен плот ускоряват и разширяват внедряването на настолни компютри и приложения на всяко устройство, като правят отдалечения работник по-ефективен, като същевременно осигуряват критична интелектуална собственост и опростяват съответствието. Услугите за отдалечен работен плот включват инфраструктура за виртуални работни плотове (VDI), базирани на сесии настолни компютри и приложения, давайки на потребителите възможността да работят отвсякъде.

Услуги за обемно активиране

Услугите за активиране на корпоративни лицензи са сървърна роля в Windows Server, започвайки с Windows Server 2012, която автоматизира и опростява издаването на корпоративни лицензи за софтуер Microsoft, както и управлението на такива лицензи в различни сценарии и среди. Заедно с услугите за активиране на корпоративни лицензи можете да инсталирате и конфигурирате услугата за управление на ключове (KMS) и активирането на Active Directory.

уеб сървър (IIS)

Ролята на уеб сървър (IIS) в Windows Server осигурява платформа за хостване на уеб сайтове, услуги и приложения. Използването на уеб сървър осигурява достъп до информация на потребителите в Интернет, интранет и екстранет. Администраторите могат да използват ролята на уеб сървър (IIS), за да настроят и управляват множество уебсайтове, уеб приложения и FTP сайтове. Специалните характеристики включват следното.

• Използвайте мениджъра на Internet Information Services (IIS), за да конфигурирате компоненти на IIS и да администрирате уебсайтове.
• Използване на протокола FTP, за да позволи на собствениците на уебсайтове да качват и изтеглят файлове.
• Използване на изолация на уебсайтове, за да се предотврати влиянието на един уебсайт на сървъра върху други.
• Персонализиране на уеб приложения, разработени с помощта на различни технологии като Classic ASP, ASP.NET и PHP.
• Използвайте Windows PowerShell за автоматично управление на повечето задачи за администриране на уеб сървър.
• Консолидирайте множество уеб сървъри в сървърна ферма, която може да се управлява с IIS.

Услуги за внедряване на Windows

Windows Deployment Services ви позволява да разгръщате операционни системи Windows през мрежа, което означава, че не е нужно да инсталирате всяка операционна система директно от CD или DVD.

Windows Server Essentials Experience

Тази роля ви позволява да изпълнявате следните задачи:

• защита на сървърните и клиентските данни чрез архивиране на сървъра и всички клиентски компютри в мрежата;
• управлявайте потребители и потребителски групи чрез опростено табло за управление на сървъра. В допълнение, интеграцията с Windows Azure Active Directory* предоставя на потребителите лесен достъп до онлайн услуги на Microsoft (като Office 365, Exchange Online и SharePoint Online), като използват идентификационните данни на техните домейни;
• съхранявайте фирмени данни на централизирано място;
• интегрирайте сървъра с Microsoft Online Services (като Office 365, Exchange Online, SharePoint Online и Windows Intune):
• използвайте повсеместни функции за достъп на сървъра (като отдалечен уеб достъп и виртуални частни мрежи) за достъп до сървъра, компютрите в мрежата и данни от отдалечени места от висока степенсигурност;
• достъп до данни отвсякъде и от всяко устройство, използвайки собствен уеб портал на организацията (чрез отдалечен уеб достъп);
• да управлява мобилни устройстваТези, които имат достъп до имейла на вашата организация с Office 365, използвайки протокола Active Sync от таблото за управление.
• следете здравето на мрежата и получавате персонализирани здравни доклади; отчетите могат да бъдат генерирани при поискване, персонализирани и изпращани по имейл до конкретни получатели.

Услуги за актуализиране на Windows Server

WSUS сървърът предоставя компонентите, необходими на администраторите за управление и разпространение на актуализации през конзолата за управление. В допълнение, WSUS сървърът може да бъде източник на актуализации за други WSUS сървъри в организацията. Когато внедрявате WSUS, поне един WSUS сървър в мрежата трябва да бъде свързан към Microsoft Update, за да получава информация за наличните актуализации. В зависимост от мрежовата сигурност и конфигурация, администраторът може да определи колко други сървъри са директно свързани с Microsoft Update.

Въведение

С увеличаването на броя на компютрите в предприятието, въпросът за разходите за неговото управление и поддръжка става все по-остър. Ръчна настройкакомпютрите отнемат много време от персонала и принуждават с увеличаване на броя на компютрите да увеличават персонала на своя персонал. Освен това с голям брой машини става все по-трудно да се следи за спазването на стандартите, приети от предприятието. Групова политика (групова политика) е изчерпателен инструмент за централизирано управление на компютри, работещи под Windows 2000 и по-нова версия в домейн на Active Directory. Груповите правила не се прилагат към компютри с Windows NT4/9x: те се контролират от системни правила, които няма да бъдат обсъждани в тази статия.

GPO

Всички настройки, които създавате в груповите политики, ще се съхраняват в обекти на групови политики (GPO). GPO са два типа: локални GPO и GPO на Active Directory. Локалният GPO е достъпен на компютри, работещи с Windows 2000 и по-нови. Може да има само един и това е единственият GPO, който може да бъде на машина без домейн.

GPO е общото име за набор от файлове, директории и записи в базата данни на Active Directory (ако не е локален обект), които съхраняват вашите настройки и определят какви други настройки можете да промените с помощта на групови политики. Създавайки политика, вие всъщност създавате и променяте GPO. Локалният GPO се съхранява в %SystemRoot%\System32\GroupPolicy. GPO на Active Directory се съхраняват на домейн контролер и могат да бъдат свързани със сайт, домейн или OU (организационна единица, организационна единица или организационна единица). Обвързването на обект определя неговия обхват. По подразбиране в домейн се създават две GPO: политика на домейн по подразбиране и политика на контролера на домейн по подразбиране. Първият дефинира правилата по подразбиране за пароли и акаунти в домейна. Вторият комуникира с OU Domain Controllers и увеличава настройките за сигурност за домейн контролерите.

Създайте GPO

За да създадете политика (тоест всъщност да създадете нов GPO), отворете Active Directory Users & Computers и изберете къде да създадете нов обект. Можете да създавате и свързвате GPO само към сайт, домейн или OU обект.

Ориз. 1. Създайте GPO.

За да създадете GPO и да го свържете с, например, тестери на OU, щракнете с десния бутон върху това OU и изберете свойства от контекстното меню. В прозореца със свойства, който се отваря, отворете раздела Групови правила и щракнете върху Нов.

Ориз. 2. Създайте GPO.

Даваме името на GP обекта, след което обектът се създава и можете да започнете да конфигурирате политиката. Щракнете двукратно върху създадения обект или натиснете бутона Редактиране, ще се отвори прозорецът на редактора на GPO, където можете да конфигурирате конкретни параметри на обекта.

Ориз. 3. Описание на настройките в раздела Разширено.

Повечето от основните настройки са интуитивни (те имат и описание, ако отворите раздела Разширено) и няма да се спираме на всяка една подробно. Както се вижда от фиг. 3, GPO се състои от два раздела: Компютърна конфигурация и Конфигурация на потребителя. Настройките в първия раздел се прилагат при стартиране на Windows към компютри в този контейнер и по-долу (освен ако наследяването не е отменено) и не зависи от това кой потребител е влязъл. Настройките на втория раздел се прилагат по време на влизане на потребителя.

Ред за прилагане на GPO

При стартиране на компютъра се извършват следните действия:

1. Регистърът се чете и се определя към кой сайт принадлежи компютърът. Прави се заявка DNS сървърс цел получаване на IP адресите на домейн контролери, намиращи се в този сайт.
2. След като получи адресите, компютърът се свързва с контролера на домейна.
3. Клиентът изисква списък с GP обекти от домейн контролера и ги прилага. Последният изпраща списък с GP обекти в реда, в който те трябва да бъдат приложени.
4. Когато потребителят влезе, компютърът отново изисква списък с GP обекти, които да бъдат приложени към потребителя, извлича ги и ги прилага.

Груповите правила се прилагат, когато OC стартира и когато потребителят влезе. След това те се прилагат на всеки 90 минути, с 30-минутна вариация, за да се избегне претоварване на домейн контролера, ако голям брой клиенти искат едновременно. За домейн контролери интервалът за актуализиране е 5 минути. Можете да промените това поведение в Computer Configuration\Administrative Templates\System\Group Policy. GPO може да действа само върху обектите Computer и User. Правилата се прилагат само за обекти, разположени в обекта на директорията (сайт, домейн, организационна единица), с който е свързан GPO и по-надолу в дървото (освен ако наследяването не е деактивирано). Например: GPO се създава в OU тестери (както направихме по-горе).

Ориз. 4. Наследяване на настройките.

Всички настройки, направени в този GPO, ще засегнат само потребители и компютри, разположени в OU тестери и OU InTesters. Нека да разгледаме как се прилагат правилата с помощта на пример. Потребителският тест, разположен в тестерите на OU, влиза в компютъра, разположен в OU compOU (вижте Фигура 5).

Ориз. 5. Ред на прилагане на полиците.

Има четири GPO в домейна:

1. SitePolicy, свързана с контейнера на сайта;
2. Правила за домейн по подразбиране, свързана с контейнера на домейна;
3. Политика 1, свързана с OU тестери;
4. Политика 2, свързана с OU compOU.

Когато стартирате Windows на компютърна работна станция, настройките, дефинирани в секциите за конфигурация на компютъра, се прилагат в този ред:

1. Локални настройки на GPO;
2. Настройки на GPO SitePolicy;

4. Настройки на GPO Policy2.

Когато тестовият потребител влезе в компютърния компютър, параметрите, дефинирани в секциите за потребителска конфигурация, са:

1. Локални настройки на GPO;
2. Настройки на GPO SitePolicy;
3. Настройки на правилата за домейн по подразбиране на GPO;
4. Настройки на GPO Policy1.

Тоест GPO се прилагат в този ред: локални политики, политики на ниво сайт, политики на ниво домейн, политики на ниво OU.

Груповите правила се прилагат асинхронно към клиентите на Windows XP и синхронно към клиентите на Windows 2000, което означава, че екранът за влизане на потребителя се появява само след прилагане на всички компютърни правила, а потребителските правила се прилагат преди да се появи работният плот. Асинхронното прилагане на правилата означава, че екранът за влизане на потребителя се появява преди всички правила на компютъра да са приложени, а работният плот се появява преди всички правила на потребителя да са приложени, което води до по-бързо зареждане и влизане на потребителя.
Описаното по-горе поведение се променя в два случая. Първо, клиентският компютър откри бавна мрежова връзка. По подразбиране в този случай се прилагат само настройките за защита и административните шаблони. Връзка с честотна лента по-малка от 500 Kb/s се счита за бавна. Можете да промените тази стойност в Computer Configuration\Administrative Templates\System\Group Policy\Group Policy Откриване на бавна връзка. Също така в секцията Computer Configuration\Administrative Templates\System\Group Policy можете да конфигурирате някои други настройки на правилата, така че те също да се обработват при бавна връзка. Вторият начин за промяна на реда, в който се прилагат политиките, е опцията за обработка на обратна връзка с правилата на потребителската група. Тази опция променя реда, в който се прилагат правилата по подразбиране, където потребителските политики се прилагат след компютърните политики и отменя последните. Можете да зададете опцията loopback да прилагате компютърни политики след потребителски политики и да презапишете всички потребителски политики, които са в конфликт с компютърните политики. Параметърът loopback има 2 режима:

1. Обединяване (за свързване) - първо се прилага компютърната политика, след това потребител и отново компютър. В този случай компютърната политика замества настройките на потребителската политика, които й противоречат, със свои собствени.
2. Замяна (заменя) - потребителската политика не се обработва.

За да илюстрираме използването на опцията за обработка с обратна връзка на политиката на потребителската група, например на публичен компютър, на който трябва да имате едни и същи ограничени настройки, независимо кой потребител го използва.

Приоритет, наследяване и разрешаване на конфликти

Както вече забелязахте, на всички нива GPO съдържат едни и същи настройки и една и съща настройка може да бъде дефинирана на няколко нива по различни начини. В този случай последната приложена стойност ще бъде ефективната стойност (редът, в който се прилагат GPO, беше обсъден по-горе). Това правило важи за всички настройки, с изключение на тези, дефинирани като неконфигурирани. За тези настройки Windows не предприема никакви действия. Но има едно изключение: всички настройки за акаунт и парола могат да бъдат дефинирани само на ниво домейн, на други нива тези настройки ще бъдат игнорирани.

Ориз. 6. Потребители и компютри на Active Directory.

Ако има няколко GPO на едно и също ниво, те се прилагат отдолу нагоре. Чрез промяна на позицията на обекта на политиката в списъка (с помощта на бутоните нагоре и надолу), можете да изберете необходимия ред на приложението.

Ориз. 7. Ред на прилагане на полиците.

Понякога искате определено OU да не получава настройки на правилата от GPO, свързани с контейнери нагоре по веригата. В този случай трябва да деактивирате наследяването на правилата, като поставите отметка в квадратчето Блокиране на наследяване на правила. Всички наследени настройки на правилата са блокирани и няма начин да блокирате отделни настройки. Настройките на ниво домейн, които определят правилата за пароли и правилата на акаунта, не могат да бъдат заключени.

Ориз. 9. Блокиране на наследяване на политика.

Ако искате определени настройки в даден GPO да не се презаписват, изберете желания GPO, натиснете бутона Опции и изберете Без замяна. Тази опция принуждава настройките на GPO да се прилагат, когато наследяването на правила е блокирано. Не се задава замяна на мястото, където GPO е свързан с обекта на директорията, а не на самия GPO. Ако GPO е свързан с множество контейнери в домейн, тогава тази настройка няма да бъде конфигурирана автоматично за останалите връзки. Ако настройката No Override е конфигурирана за множество връзки на едно и също ниво, настройките на GPO в горната част на списъка ще имат предимство (и ефект). Ако настройките без отмяна са конфигурирани за множество GPO на различни нива, настройките на GPO по-високо в йерархията на директорията ще влязат в сила. Тоест, ако настройките за без отмяна са конфигурирани да свързват GPO към обект на домейн и да свързват GPO към OU, настройките, дефинирани на ниво домейн, ще влязат в сила. Клетката за отметка Деактивирано отменя ефекта на този GPO върху този контейнер.

Ориз. 10. Опции No Override и Disabled.

Както бе споменато по-горе, политиките засягат само потребителите и компютрите. Често възниква въпросът: „как да накарам определена политика да засегне всички потребители, включени в определена група за сигурност?“. За да направите това, GPO е свързан с обект на домейн (или всеки контейнер, разположен над контейнерите или OU, в който се намират всички потребителски обекти от желаната група) и се конфигурират настройките за достъп. Щракнете върху Свойства, в раздела Защита, изтрийте групата Удостоверени потребители и добавете необходимата група с права за четене и прилагане на групови правила.

Определяне на настройките, които засягат компютъра на потребителя

За да определите окончателната конфигурация и да отстраните проблеми, трябва да знаете какви настройки на правилата се прилагат към даден потребител или компютър този момент. За да направите това, има инструмент Resultant Set of Policy (резултантният набор от политики, RSoP). RSoP може да работи както в режим на регистрация, така и в режим на планиране. За да извикате RSoP, щракнете с десния бутон върху потребителския или компютърния обект и изберете Всички задачи.

Ориз. 11. Извикване на инструмента за резултатен набор от политики.

При стартиране (в режим на регистриране) ще бъдете помолени да изберете за кой компютър и потребител да дефинирате набора от резултати и ще се появи прозорец за настройки на резултата, показващ кой GPO е приложил коя настройка.

Ориз. 12. Получен набор от политики.

Други инструменти за управление на групови правила

GPResult е инструмент на командния ред, който предоставя част от функционалността на RSoP. GPResult е наличен по подразбиране на всички компютри, работещи с Windows XP и Windows Server 2003.

GPUpdate налага прилагането на групови политики - както локални, така и базирани на Active Directory. В Windows XP/2003 той замени опцията /refreshpolicy в инструмента secedit за Windows 2000.

Описание на синтаксиса на командите е достъпно, когато ги стартирате с ключа /?.

Вместо заключение

Тази статия няма за цел да обясни всички аспекти на работата с групови политики, не е насочена към опитни системни администратори. Всичко по-горе според мен би трябвало само по някакъв начин да помогне за разбирането на основните принципи на работа с политици за тези, които никога не са работили с тях или тепърва започват да ги овладяват.

Помощна програма GPResult.exe– е конзолно приложение, предназначено да анализира настройките и да диагностицира групови политики, които се прилагат към компютър и/или потребител в домейн на Active Directory. По-специално, GPResult ви позволява да получите данни от получения набор от политики (Resultant Set of Policy, RSOP), списък на приложените политики на домейни (GPO), техните настройки и подробна информация за грешките при обработката им. Помощната програма е част от операционната система Windows от дните на Windows XP. Помощната програма GPResult ви позволява да отговорите на въпроси като дали дадена политика се прилага за компютър, кой GPO е променил конкретна настройка на Windows и да разберете причините.

В тази статия ще разгледаме особеностите на използването на командата GPResult за диагностициране и отстраняване на грешки в приложението на групови политики в домейн на Active Directory.

Първоначално, за диагностициране на прилагането на групови политики в Windows, беше използвана графичната конзола RSOP.msc, която направи възможно получаването на настройките на получените политики (домейн + локални), приложени към компютъра и потребителя в подобна графична форма към конзолата на редактора на GPO (по-долу, в примера на изгледа на конзолата RSOP.msc, можете да видите, че настройките за актуализиране са зададени).

Въпреки това, конзолата RSOP.msc в съвременните версии на Windows не е практична за използване, т.к не отразява настройките, прилагани от различни разширения от страна на клиента (CSE), като GPP (Предпочитания за групови правила), не позволява търсене, предоставя малко диагностична информация. Следователно в момента именно командата GPResult е основният инструмент за диагностициране на използването на GPO в Windows (в Windows 10 дори има предупреждение, че RSOP не дава пълен отчет, за разлика от GPResult).

Използване на помощната програма GPResult.exe

Командата GPResult се изпълнява на компютъра, на който искате да тествате прилагането на групови политики. Командата GPResult има следния синтаксис:

GPRESULT ]] [(/X | /H) ]

За да получите подробна информация за груповите политики, които се прилагат към даден AD обект (потребител и компютър) и други настройки, свързани с инфраструктурата на GPO (т.е. получените настройки на GPO политика - RsoP), изпълнете командата:

Резултатите от изпълнението на командата са разделени на 2 секции:

• КОМПЮТЪР НАСТРОЙКИ (Конфигурация на компютъра) – секцията съдържа информация за GPO обекти, които засягат компютъра (като обект на Active Directory);
• ПОТРЕБИТЕЛ НАСТРОЙКИ – потребителски раздел от политики (политики, които се прилагат към потребителски акаунт в AD).

Нека да разгледаме накратко основните параметри/секции, които могат да ни представляват интерес в изхода на GPResult:

• сайтиме(Име на сайта:) - името на сайта на АД, в който се намира компютърът;
• CN– пълен каноничен потребител/компютър, за който са генерирани RSoP данните;
• Последновремегрупаполитикабешеприлаган(Последно приложена групова политика) - времето, когато груповите политики са били последно приложени;
• групаполитикабешеприлаганот(Груповата политика е приложена от) - контролера на домейна, от който е заредена последна версия GPO
• домейнимеи домейнТип(Име на домейн, тип на домейн) – Име и версия на схемата на домейн на Active Directory;
• ПриложеногрупаполитикаОбекти(Приложени GPO)– списъци с активни обекти на групова политика;
• ВследвайкиGPOса билинеприлаганзащототеса билифилтрираннавън(Следните GPO политики не бяха приложени, тъй като бяха филтрирани) - неприложени (филтрирани) GPO;
• Впотребител/компютъреачастнанаследвайкисигурностгрупи(Потребителят/компютърът е член на следните групи за защита) – Групи на домейни, в които членува потребителят.

В нашия пример можете да видите, че потребителският обект е засегнат от 4 групови политики.

• Правила за домейн по подразбиране;
• Активирайте защитната стена на Windows;
• Списък за търсене на DNS суфикси

Ако не искате конзолата да показва едновременно информация както за потребителските, така и за компютърните политики, можете да използвате опцията /scope, за да покажете само секцията, която ви интересува. Само получените потребителски политики:

gpresult /r /scope:user

или само приложени компютърни политики:

gpresult /r /обхват:компютър

Защото Помощната програма Gpresult извежда своите данни директно в конзолата на командния ред, което не винаги е удобно за последващ анализ; нейният изход може да бъде пренасочен към клипборда:

gpresult /r | клип

или текстов файл:

gpresult /r > c:\gpresult.txt

За да покажете супер подробна RSOP информация, добавете превключвателя /z.

HTML RSOP отчет с помощта на GPResult

В допълнение, помощната програма GPResult може да генерира HTML отчет за приложените политики за резултати (достъпни в Windows 7 и по-нови версии). Този отчет ще съдържа подробна информация за всички системни настройки, които са зададени от групови политики и имената на конкретни GPO, които ги задават (резултантният отчет в структурата прилича на раздела Настройки в конзолата за управление на групови политики на домейна - GPMC). Можете да генерирате HTML GPResult отчет с помощта на командата:

GPResult /h c:\gp-report\report.html /f

За да генерирате отчет и автоматично да го отворите в браузър, изпълнете командата:

GPResult /h GPResult.html & GPResult.html

HTML отчетът gpresult съдържа доста полезна информация: Грешките в приложението на GPO, времето за обработка (в ms) и прилагането на специфични политики и CSE са видими (под Подробности за компютъра -> Състояние на компонента). Например, на екранната снимка по-горе можете да видите, че политиката с настройките 24 пароли запомня се прилага от политиката за домейн по подразбиране (колона за печеливш GPO). Както можете да видите, такъв HTML отчет е много по-удобен за анализиране на приложените политики от конзолата rsop.msc.

Получаване на GPResult данни от отдалечен компютър

GPResult може също да събира данни от отдалечен компютър, елиминирайки необходимостта администратор да отиде локално или rdp входкъм отдалечен компютър. Форматът на командата за събиране на RSOP данни от отдалечен компютър е както следва:

GPResult /s сървър-ts1 /r

По същия начин можете да събирате данни както от потребителски политики, така и от компютърни политики от разстояние.

потребителското име няма данни за RSOP

С активиран UAC, стартирането на GPResult без повишени привилегии показва само настройките за персонализирания раздел на груповите правила. Ако трябва да покажете и двата раздела (ПОЛЗИТЕЛСКИ НАСТРОЙКИ и КОМПЮТЪРНИ НАСТРОЙКИ) едновременно, командата трябва да се изпълни. Ако повишеният команден ред е в система, различна от текущия потребител, помощната програма ще издаде предупреждение ИНФО: Theпотребител„домейн\потребител"правинеиматRSOPданни (Потребителят „домейн\потребител“ няма данни за RSOP). Това е така, защото GPResult се опитва да събере информация за потребителя, който го е стартирал, но защото Този потребител не е влязъл в системата и няма налична RSOP информация за този потребител. За да съберете RSOP информация за потребител с активна сесия, трябва да посочите неговия акаунт:

gpresult /r /user:tn\edward

Ако не знаете името на акаунт, в който сте влезли отдалечен компютър, можете да получите акаунт като този:

qwinsta /SERVER:remotePC1

Също така проверете времето(ите) на клиента. Времето трябва да съвпада с времето на PDC (основния контролер на домейн).

Следните правила на GPO не бяха приложени, защото бяха филтрирани

Когато отстранявате групови политики, трябва да обърнете внимание и на раздела: Следните GPO не бяха приложени, защото бяха филтрирани (Следните GPO политики не бяха приложени, защото бяха филтрирани). Този раздел показва списък с GPO, които по една или друга причина не се прилагат към този обект. Възможни опции, за които политиката може да не се прилага:

Можете също да разберете дали политиката трябва да се прилага към конкретен AD обект в раздела Ефективни разрешения (Разширени -> Ефективен достъп).

И така, в тази статия прегледахме функциите за диагностициране на прилагането на групови политики с помощта на помощната програма GPResult и прегледахме типични сценарии за нейното използване.

Функционалността в операционната система Windows Server се изчислява и подобрява от версия на версия, има все повече роли и компоненти, така че в днешната статия ще се опитам да опиша накратко описание и предназначение на всяка роля в Windows Server 2016.

Преди да продължим с описанието на сървърните роли на Windows Server, нека разберем какво точно е " Роля на сървъра» на операционната система Windows Server.

Какво е „роля на сървъра“ в Windows Server?

Роля на сървърае софтуерен пакет, който гарантира, че сървърът изпълнява определена функция и дадена функцияе основният. С други думи, " Роля на сървъра' е дестинацията на сървъра, т.е. за какво е. За да може сървърът да изпълнява основната си функция, т.е. определена роля, в " Роля на сървъра» включва целия необходим софтуер за това ( програми, услуги).

Сървърът може да има една роля, ако се използва активно, или няколко, ако всяка от тях не натоварва силно сървъра и се използва рядко.

Ролята на сървъра може да включва множество услуги за роли, които осигуряват функционалността на ролята. Например в ролята на сървъра " уеб сървър (IIS)” включва доста голям брой услуги, а ролята “ DNS сървър» не включва ролеви услуги, тъй като тази роля изпълнява само една функция.

Role Services могат да бъдат инсталирани всички заедно или поотделно, в зависимост от вашите нужди. По същество инсталирането на роля означава инсталиране на една или повече от нейните услуги.

Windows Server също има " Компоненти» сървър.

Сървърни компоненти (функция)- това е софтуер, които не са роля на сървър, но подобряват една или повече роли или управляват една или повече роли.

Някои роли не могат да бъдат инсталирани, ако сървърът няма необходими услуги или компоненти, които са необходими за функционирането на ролите. Следователно, в момента на инсталиране на такива роли " Съветник за добавяне на роли и функции» автоматично ще ви подкани да инсталирате необходимите допълнителни ролеви услуги или компоненти.

Описание на сървърните роли на Windows Server 2016

Вероятно вече сте запознати с много от ролите, които са в Windows Server 2016, тъй като те съществуват от доста време, но както казах, с всяка нова версия на WindowsСървър, добавят се нови роли, с които може би все още не сте работили, но бихте искали да знаете за какво служат, така че нека започнем да ги разглеждаме.

Забележка! Можете да прочетете за новите функции на операционната система Windows Server 2016 в материала " Инсталация на Windows Server 2016 и какво е новото ».

Тъй като много често инсталирането и администрирането на роли, услуги и компоненти става с използвайки Windows PowerShell , за всяка роля и нейната услуга ще посоча името, което може да се използва в PowerShell, съответно за неговата инсталация или за управление.

DHCP сървър

Тази роля ви позволява централно да конфигурирате динамични IP адреси и свързаните с тях настройки за компютри и устройства във вашата мрежа. Ролята на DHCP сървъра няма ролеви услуги.

Името на Windows PowerShell е DHCP.

DNS сървър

Тази роля е предназначена за разрешаване на имена в TCP/IP мрежи. Ролята на DNS сървър осигурява и поддържа DNS. За да се опрости управлението на DNS сървър, той обикновено се инсталира на същия сървър като Active Directory Domain Services. Ролята на DNS сървъра няма услуги за роли.

Името на ролята за PowerShell е DNS.

Hyper-V

С ролята на Hyper-V можете да създавате и управлявате виртуализирана среда. С други думи, това е инструмент за създаване и управление на виртуални машини.

Името на ролята за Windows PowerShell е Hyper-V.

Атестация за здравето на устройството

роля" » ви позволява да оцените изправността на устройството въз основа на измерени показатели за параметри за сигурност, като индикатори за състоянието на сигурно зареждане и Bitlocker на клиента.

За функционирането на тази роля са необходими много ролеви услуги и компоненти, например: няколко услуги от ролята " уеб сървър (IIS)", компонент " ", компонент " Функции на .NET Framework 4.6».

По време на инсталацията всички необходими ролеви услуги и функции ще бъдат избрани автоматично. Ролята " Атестация за здравето на устройството» Няма ролеви услуги.

Името на PowerShell е DeviceHealthAttestationService.

уеб сървър (IIS)

Осигурява надеждна, управляема и мащабируема инфраструктура на уеб приложения. Състои се от доста голям брой услуги (43).

Името на Windows PowerShell е Web-Server.

Включва следните ролеви услуги ( в скоби ще посоча името на Windows PowerShell):

Уеб сървър (Web-WebServer)- Група ролеви услуги, която осигурява поддръжка за HTML уебсайтове, ASP.NET разширения, ASP и уеб сървъра. Състои се от следните услуги:

• Сигурност (Web Security)- набор от услуги за осигуряване на сигурността на уеб сървъра.
  • Филтриране на заявки (Web-Filtering) - с помощта на тези инструменти можете да обработвате всички заявки, идващи към сървъра, и да филтрирате тези заявки въз основа на специални правила, зададени от администратора на уеб сървъра;
  • Ограничения за IP адрес и домейн (Web-IP-Security) – тези инструменти ви позволяват да разрешите или откажете достъп до съдържание на уеб сървър въз основа на IP адреса или името на домейна на източника в заявката;
  • URL авторизация (Web-Url-Auth) - инструментите ви позволяват да разработите правила за ограничаване на достъпа до уеб съдържание и да ги свържете с потребители, групи или команди за HTTP заглавки;
  • Дайджест Удостоверяване (Web-Digest-Auth) − тази проверкаУдостоверяването осигурява по-високо ниво на сигурност от основното удостоверяване. Дайджест автентификацията за потребителска автентификация работи като предаване на хеш на парола към контролер на домейн на Windows;
  • Основно удостоверяване (Web-Basic-Auth) – Този метод за удостоверяване осигурява силна съвместимост с уеб браузър. Препоръчва се да се използва в малки вътрешни мрежи. Основният недостатък на този метод е, че паролите, предавани по мрежата, могат да бъдат доста лесно прихванати и декриптирани, така че използвайте този метод в комбинация със SSL;
  • Удостоверяването на Windows (Web-Windows-Auth) е удостоверяване, базирано на удостоверяване на домейн на Windows. С други думи, можете да използвате сметки Active Directory за удостоверяване на потребители на техните уеб сайтове;
  • Удостоверяване на картографиране на клиентски сертификат (Web-Client-Auth) – Този метод за удостоверяване използва клиентски сертификат. Този тип използва услугите на Active Directory за предоставяне на картографиране на сертификати;
  • Удостоверяване на картографиране на сертификати на IIS (Web-Cert-Auth) – Този метод също използва клиентски сертификати за удостоверяване, но използва IIS за предоставяне на картографиране на сертификати. Този тип осигурява по-добра производителност;
  • Централизирана поддръжка за SSL сертификат (Web-CertProvider) - тези инструменти ви позволяват централизирано да управлявате SSL сървърни сертификати, което значително опростява процеса на управление на тези сертификати;
• Възможност за обслужване и диагностика (Web-Health)– набор от услуги за наблюдение, управление и отстраняване на неизправности на уеб сървъри, сайтове и приложения:
  • http logging (Web-Http-Logging) - инструментите осигуряват регистриране на активността на уебсайта на даден сървър, т.е. запис в дневника;
  • ODBC Logging (Web-ODBC-Logging) – Тези инструменти също осигуряват регистриране на активността на уебсайта, но поддържат регистриране на тази дейност в ODBC-съвместима база данни;
  • Монитор на заявки (Web-Request-Monitor) е инструмент, който ви позволява да наблюдавате здравето на уеб приложение чрез прихващане на информация за HTTP заявки в работния процес на IIS;
  • Персонализирано регистриране (Web-Custom-Logging) - Използвайки тези инструменти, можете да конфигурирате регистриране на активността на уеб сървъра във формат, който се различава значително от стандартния IIS формат. С други думи, можете да създадете свой собствен модул за регистриране;
  • Инструментите за регистриране (Web-Log-Libraries) са инструменти за управление на регистрационни файлове на уеб сървъра и автоматизиране на задачи за регистриране;
  • Проследяването (Web-Http-Tracing) е инструмент за диагностициране и разрешаване на нарушения в уеб приложения.
• http общи функции (Web-Common-Http)– набор от услуги, които предоставят основна HTTP функционалност:
  • Документ по подразбиране (Web-Default-Doc) – Тази функция ви позволява да конфигурирате уеб сървъра да връща документ по подразбиране, когато потребителите не посочат конкретен документ в URL адреса на заявката, което улеснява достъпа на потребителите до уебсайта, например чрез домейн, без да се посочва файл;
  • Преглеждане на директории (Web-Dir-Browsing) – Този инструмент може да се използва за конфигуриране на уеб сървър, така че потребителите да могат да преглеждат списък с всички директории и файлове на уебсайт. Например, за случаи, когато потребителите не посочват файл в URL адреса на заявката и документите по подразбиране са или деактивирани, или не са конфигурирани;
  • http грешки (Web-Http-Errors) – тази възможностви позволява да персонализирате съобщенията за грешки, които ще се връщат в уеб браузърите на потребителите, когато уеб сървърът открие грешка. Този инструмент се използва за по-лесно представяне на съобщения за грешки на потребителите;
  • Статично съдържание (Web-Static-Content) – този инструмент ви позволява да използвате съдържание на уеб сървър под формата на статични файлови формати, като HTML файлове или файлове с изображения;
  • http пренасочване (Web-Http-Redirect) - използвайки тази функция, можете да пренасочите потребителска заявка към конкретна дестинация, т.е. това е пренасочване;
  • WebDAV Publishing (Web-DAV-Publishing) - ви позволява да използвате технологията WebDAV на IIS WEB сървъра. WebDAV ( Уеб разпределено авторство и версия) е технология, която позволява на потребителите да работят заедно ( четене, редактиране, четене на свойства, копиране, преместване) над файлове на отдалечени уеб сървъри, използващи HTTP протокол.
• производителност (ефективност в мрежата)- набор от услуги за постигане на по-висока производителност на уеб сървъра чрез кеширане на изхода и общи механизми за компресия като Gzip и Deflate:
  • Статично компресиране на съдържание (Web-Stat-Compression) е инструмент за персонализиране на компресирането на http статично съдържание, позволява по-ефективно използване на честотната лента, като същевременно без ненужно натоварване на процесора;
  • Динамично компресиране на съдържание (Web-Dyn-Compression) е инструмент за конфигуриране на HTTP динамично компресиране на съдържание. Този инструмент осигурява по-ефективно използване на честотната лента, но в този случай натоварването на сървърния процесор, свързано с динамична компресия, може да забави сайта, ако натоварването на процесора е високо дори без компресия.
• Разработване на приложения (Web-App-Dev)- набор от услуги и инструменти за разработване и хостване на уеб приложения, с други думи, технологии за разработка на уебсайтове:
  • ASP (Web-ASP) е среда за поддръжка и разработване на уеб сайтове и уеб приложения, използващи ASP технология. В момента има по-нова и усъвършенствана технология за разработка на уебсайтове – ASP.NET;
  • ASP.NET 3.5 (Web-Asp-Net) е обектно-ориентирана среда за разработка на уеб сайтове и уеб приложения, използващи ASP.NET технология;
  • ASP.NET 4.6 (Web-Asp-Net45) също е обектно-ориентирана среда за разработка на уеб сайтове и уеб приложения, използващи новата версия на ASP.NET;
  • CGI (Web-CGI) е способността да се използва CGI за предаване на информация от уеб сървър към външна програма. CGI е един вид интерфейсен стандарт за свързване на външна програма към уеб сървър. Има недостатък, използването на CGI влияе върху производителността;
  • Server Side Inclusions (SSI) (Web-Includes) е поддръжка за езика за скриптове SSI ( активиране от страна на сървъра), който се използва за динамично генериране на HTML страници;
  • Инициализация на приложение (Web-AppInit) – този инструмент изпълнява задачите по инициализиране на уеб приложения преди изпращане на уеб страница;
  • Протокол WebSocket (Web-WebSockets) - добавяне на възможност за създаване на сървърни приложения, които комуникират с помощта на протокола WebSocket. WebSocket е протокол, който може да изпраща и получава данни едновременно между браузър и уеб сървървърху TCP връзка, вид разширение към HTTP протокола;
  • ISAPI разширения (Web-ISAPI-Ext) - поддръжка за динамично развитие на уеб съдържание с помощта на интерфейса за програмиране на приложението ISAPI. ISAPI е API за уеб сървъра на IIS. ISAPI приложенията са много по-бързи от ASP файлове или файлове, които извикват COM+ компоненти;
  • .NET 3.5 Extensibility (Web-Net-Ext) е функция за разширяемост на .NET 3.5, която ви позволява да променяте, добавяте и разширявате функционалността на уеб сървъра в целия тръбопровод за обработка на заявки, конфигурация и потребителски интерфейс;
  • .NET 4.6 Extensibility (Web-Net-Ext45) е функция за разширяване на .NET 4.6, която също ви позволява да променяте, добавяте и разширявате функционалността на уеб сървъра в целия тръбопровод за обработка на заявки, конфигурация и потребителски интерфейс;
  • ISAPI филтри (Web-ISAPI-Filter) - Добавете поддръжка за ISAPI филтри. ISAPI филтрите са програми, които се извикват, когато уеб сървър получи конкретна HTTP заявка, която да бъде обработена от този филтър.

FTP - сървър (Web-Ftp-Server)– услуги, които осигуряват поддръжка на FTP протокола. За FTP сървъра говорихме по-подробно в материала - "Инсталиране и конфигуриране на FTP сървър на Windows Server 2016". Съдържа следните услуги:

• FTP услуга (Web-Ftp-Service) - добавя поддръжка за FTP протокола на уеб сървъра;
• FTP разширяемост (Web-Ftp-Ext) - Разширява стандартните FTP възможности, като добавяне на поддръжка за функции като персонализирани доставчици, потребители на ASP.NET или потребители на мениджър на IIS.

Инструменти за управление (Web-Mgmt-Tools)- Това са инструментите за управление на уеб сървъра IIS 10. Те включват: потребителски интерфейс IIS, инструменти и скриптове на командния ред.

• Конзолата за управление на IIS (Web-Mgmt-Console) е потребителският интерфейс за управление на IIS;
• Наборите от символи и инструментите за управление на IIS (Web-Scripting-Tools) са инструменти и скриптове за управление на IIS с помощта на командния ред или скриптове. Могат да се използват например за автоматизиране на управлението;
• Услуга за управление (Web-Mgmt-Service) - тази услуга добавя възможност за дистанционно управление на уеб сървър от друг компютър с помощта на IIS Manager;
• Управление на съвместимостта на IIS 6 (Web-Mgmt-Compat) - Осигурява съвместимост за приложения и скриптове, които използват двата IIS API. Съществуващите скриптове на IIS 6 могат да се използват за управление на уеб сървъра на IIS 10:
  • IIS 6 Compatibility Metabase (Web-Metabase) е инструмент за съвместимост, който ви позволява да стартирате приложения и набори от знаци, които са мигрирани от по-ранни версии на IIS;
  • IIS 6 Scripting Tools (Web-Lgcy-Scripting) – Тези инструменти ви позволяват да използвате същите IIS 6 Scripting Services, които са създадени за управление на IIS 6 в IIS 10;
  • IIS 6 Management Console (Web-Lgcy-Mgmt-Console) - Инструмент за администриране от разстояние IIS сървъри 6.0;
  • IIS 6 WMI Compatibility (Web-WMI) са скриптови интерфейси на Windows Management Instrumentation (WMI) за програмно контролиране и автоматизиране на задачи на уеб сървъра на IIS 10.0 с помощта на набор от скриптове, създадени в доставчик на WMI.

Домейн услуги на Active Directory

роля" Домейн услуги на Active Directory» (AD DS) предоставя разпределена база данни, която съхранява и обработва информация за мрежовите ресурси. Тази роля се използва за организиране на мрежови елементи като потребители, компютри и други устройства в йерархична структура на задържане. Йерархичната структура включва гори, домейни в гора и организационни единици (OU) във всеки домейн. Сървърът с AD DS се нарича домейн контролер.

Името на ролята за Windows PowerShell е AD-Domain-Services.

Windows Server Essentials Mode

Тази роля е компютърна инфраструктура и предоставя удобни и ефективни функции, например: съхраняване на клиентски данни на централизирано място и защита на тези данни чрез Резервно копиесървърни и клиентски компютри, отдалечен уеб достъп, който ви позволява да осъществявате достъп до данни от практически всяко устройство. Тази роля изисква няколко ролеви услуги и функции, като например: функции на BranchCache, архивиране на Windows Server, управление групова политика, ролева услуга " DFS пространства от имена».

Името на PowerShell е ServerEssentialsRole.

Мрежов контролер

Въведена в Windows Server 2016, тази роля осигурява единна точка за автоматизация за управление, наблюдение и диагностика на физическата и виртуалната мрежова инфраструктура в центъра за данни. Използвайки тази роля, можете да конфигурирате IP подмрежи, VLAN, физически мрежови адаптери Hyper-V хостове, управлявайте виртуални комутатори, физически рутери, настройки на защитната стена и VPN шлюзове.

Името на Windows PowerShell е NetworkController.

Услуга за пазител на възли

Това е сървърната роля на Hosted Guardian Service (HGS) и предоставя услуги за атестиране и защита на ключове, които позволяват на защитените хостове да работят защитени виртуални машини. За функционирането на тази роля са необходими няколко допълнителни роли и компоненти, например: Active Directory Domain Services, Web Server (IIS), " Клъстериране при отказ" и други.

Името на PowerShell е HostGuardianServiceRole.

Active Directory Lightweight Directory Services

роля" Active Directory Lightweight Directory Services» (AD LDS) е олекотена версия на AD DS, която има по-малко функционалност, но не изисква разполагане на домейни или контролери на домейни и няма зависимостите и ограниченията на домейна, изисквани от AD DS. AD LDS работи по протокола LDAP ( Облекчен протокол за достъп до директория). Можете да разположите множество AD LDS екземпляри на един и същ сървър с независимо управлявани схеми.

Името на PowerShell е ADLDS.

MultiPoint услуги

Това също е нова роля, която е нова в Windows Server 2016. MultiPoint Services (MPS) предоставя основна функционалност за отдалечен работен плот, която позволява на множество потребители да работят едновременно и независимо на един и същ компютър. За да инсталирате и работите с тази роля, трябва да инсталирате няколко допълнителни услуги и компоненти, например: Print Server, Windows Search Service, XPS Viewer и други, като всички те ще бъдат избрани автоматично по време на инсталацията на MPS.

Името на ролята за PowerShell е MultiPointServerRole.

Услуги за актуализиране на Windows Server

С тази роля (WSUS) системните администратори могат да управляват актуализациите на Microsoft. Например, създавайте отделни групи компютри за различни набори от актуализации, както и получавате отчети за съответствието на компютрите с изискванията и актуализациите, които трябва да бъдат инсталирани. за функциониране" Услуги за актуализиране на Windows Server» Имате нужда от ролеви услуги и компоненти като: уеб сървър (IIS), вътрешна база данни на Windows, услуга за активиране Windows процеси.

Името на Windows PowerShell е UpdateServices.

• WID свързаност (UpdateServices-WidDB) - зададено на WID ( Вътрешна база данни на Windows) база данни, използвана от WSUS. С други думи, WSUS ще съхранява своите служебни данни в WID;
• WSUS Services (UpdateServices-Services) е услуги за ролята на WSUS, като услуга за актуализиране, уеб услуга за отчитане, уеб услуга за отдалечено API, клиентска уеб услуга, уеб услуга за просто удостоверяване, услуга за синхронизиране на сървър и уеб услуга за удостоверяване на DSS;
• SQL сървърСвързаността (UpdateServices-DB) е инсталирането на компонент, който позволява на услугата WSUS да се свърже с базата данни данни на Microsoft SQL сървър. Тази опция осигурява съхранение на служебни данни в база данни на Microsoft SQL Server. В този случай вече трябва да имате инсталиран поне един екземпляр на SQL Server.

Услуги за активиране на корпоративни лицензи

С тази роля на сървър можете да автоматизирате и опростите издаването на корпоративни лицензи за софтуер от Microsoft и също така ви позволява да управлявате тези лицензи.

Името на PowerShell е VolumeActivation.

Услуги за печат и документи

Тази роля на сървъра е предназначена да споделя принтери и скенери в мрежа, да конфигурира и управлява централно сървъри за печат и сканиране и да управлява мрежови принтерии скенери. Услугите за печат и документи също ви позволяват да изпращате сканирани документи по имейл, обществено мрежови папкиили към сайтове на Windows SharePoint Services.

Името на PowerShell е Print-Services.

• Сървър за печат (Print-Server) - Тази услуга за роля включва " Управление на печат”, който се използва за управление на принтери или сървъри за печат, както и за мигриране на принтери и други сървъри за печат;
• Печат през Интернет (Print-Internet) – За да се реализира печат през Интернет, се създава уебсайт, чрез който потребителите могат да управляват задания за печат на сървъра. За да работи тази услуга, както разбирате, трябва да инсталирате " уеб сървър (IIS)". Всички необходими компоненти ще бъдат избрани автоматично, когато поставите отметка в това квадратче по време на процеса на инсталиране на услугата за роли " Интернет печат»;
• Сървърът за разпределено сканиране (Print-Scan-Server) е услуга, която ви позволява да получавате сканирани документи от мрежови скенери и да ги изпращате до местоназначение. Тази услуга също съдържа " Управление на сканиране”, който се използва за управление на мрежови скенери и за конфигуриране на сканиране;
• LPD услуга (Print-LPD-Service) - LPD услуга ( Демон на линейния принтер) позволява на UNIX-базирани компютри и други компютри, използващи услугата Line Printer Remote (LPR), да отпечатват на споделените принтери на сървъра.

Мрежова политика и услуги за достъп

роля" » (NPAS) позволява на сървъра за мрежови политики (NPS) да задава и налага достъп до мрежата, удостоверяване и упълномощаване и политики за здравето на клиента, с други думи, за защита на мрежата.

Името на Windows PowerShell е NPAS.

Услуги за внедряване на Windows

С тази роля можете да инсталирате дистанционно операционната система Windows през мрежа.

Името на ролята за PowerShell е WDS.

• Сървър за внедряване (WDS-Deployment) - тази услуга за роля е предназначена за отдалечено внедряване и конфигуриране на операционни системи Windows. Освен това ви позволява да създавате и персонализирате изображения за повторна употреба;
• Транспортен сървър (WDS-Transport) – Тази услуга съдържа основните мрежови компоненти, с които можете да прехвърляте данни чрез мултикастиране на самостоятелен сървър.

Сертификационни услуги на Active Directory

Тази роля е предназначена за създаване на сертифициращи органи и свързани ролеви услуги, които ви позволяват да издавате и управлявате сертификати за различни приложения.

Името на Windows PowerShell е AD-Certificate.

Включва следните ролеви услуги:

• Сертифициращ орган (ADCS-Cert-Authority) - използвайки тази услуга за роля, можете да издавате сертификати на потребители, компютри и услуги, както и да управлявате валидността на сертификата;
• Уеб услуга за правила за регистрация на сертификати (ADCS-Enroll-Web-Pol) – Тази услуга позволява на потребителите и компютрите да получават информация за правилата за регистрация на сертификати от уеб браузър, дори ако компютърът не е член на домейн. За функционирането му е необходимо уеб сървър (IIS)»;
• Уеб услуга за регистрация на сертификати (ADCS-Enroll-Web-Svc) – Тази услуга позволява на потребителите и компютрите да регистрират и подновяват сертификати с помощта на уеб браузър през HTTPS, дори ако компютърът не е член на домейн. То също трябва да функционира уеб сървър (IIS)»;
• Онлайн отговорник (ADCS-Online-Cert) – Услугата е предназначена да проверява анулирането на сертификат за клиенти. С други думи, той приема заявка за състояние на анулиране за конкретни сертификати, оценява състоянието на тези сертификати и изпраща обратно подписан отговор с информация за състоянието. За да функционира услугата е необходимо уеб сървър (IIS)»;
• Уеб услуга за регистрация на сертифициращия орган (ADCS-Web-Enrollment) – Тази услуга предоставя уеб интерфейс за потребителите за изпълнение на задачи като заявка и подновяване на сертификати, получаване на CRL и регистриране на сертификати за смарт карти. За да функционира услугата е необходимо уеб сървър (IIS)»;
• Услуга за регистрация на мрежово устройство (ADCS-Device-Enrollment)—с помощта на тази услуга можете да издавате и управлявате сертификати за рутери и други мрежови устройства, които нямат мрежови акаунти. За да функционира услугата е необходимо уеб сървър (IIS)».

Услуги за отдалечен работен плот

Сървърна роля, която осигурява достъп до виртуални настолни компютри, настолни компютри, базирани на сесии, и отдалечени приложениядистанционно приложение.

Името на ролята за Windows PowerShell е Remote-Desktop-Services.

Състои се от следните услуги:

• Уеб достъп до отдалечен работен плот (RDS-Web-Access) - Тази услуга за роля позволява на потребителите да имат достъп до отдалечени работни плотове и приложения RemoteApp чрез " Започнете» или с помощта на уеб браузър;
• Лицензиране на отдалечен работен плот (RDS-лицензиране) – Услугата е предназначена за управление на лицензи, които са необходими за свързване към хост сървър на отдалечен работен плот или виртуален работен плот. Може да се използва за инсталиране, издаване на лицензи и проследяване на тяхната наличност. Тази услуга изисква " уеб сървър (IIS)»;
• Брокер за свързване на отдалечен работен плот (RDS-Connection-Broker) е услуга за роли, която предоставя следните възможности: повторно свързване на потребител към съществуващ виртуален работен плот, приложение RemoteApp и базиран на сесия работен плот, както и балансиране на натоварването между настолни компютри на хост сървъри на отдалечена сесия или между обединени виртуални настолни компютри. Тази услуга изисква " »;
• Хост за виртуализация на отдалечен работен плот (DS-Virtualization) – Услугата позволява на потребителите да се свързват с виртуални настолни компютри с помощта на RemoteApp и Desktop Connection. Тази услуга работи във връзка с Hyper-V, т.е. тази роля трябва да бъде инсталирана;
• Хост за сесии на отдалечен работен плот (RDS-RD-Server) – Тази услуга може да хоства RemoteApp приложения и базирани на сесии настолни компютри на сървър. Достъпът се осъществява чрез клиента за връзка с отдалечен работен плот или RemoteApps;
• Шлюз за отдалечен работен плот (RDS-Gateway) – Услугата позволява на упълномощени отдалечени потребители да се свързват с виртуални настолни компютри, RemoteApps и базирани на сесии настолни компютри в корпоративна мрежа или през интернет. Тази услуга изисква следните допълнителни услуги и компоненти: уеб сървър (IIS)», « Мрежова политика и услуги за достъп», « RPC през HTTP прокси».

AD RMS

Това е сървърна роля, която ще ви позволи да защитите информацията от неоторизирано използване. Той валидира потребителските самоличности и предоставя лицензи на оторизирани потребители за достъп до защитени данни. Тази роля изисква допълнителни услуги и компоненти: уеб сървър (IIS)», « Услуга за активиране на процеси на Windows», « Функции на .NET Framework 4.6».

Името на Windows PowerShell е ADRMS.

• Сървър за управление на правата на Active Directory (ADRMS-Server) - услугата за основна роля, необходима за инсталиране;
• Поддръжка на федерация на идентичност (ADRMS-Identity) е услуга по избор, която позволява на обединените самоличности да консумират защитено съдържание с помощта на услугите за федерация на Active Directory.

AD FS

Тази роля осигурява опростена и сигурна федерация на самоличността и функционалност за единно влизане (SSO) за уебсайтове, използващи браузър.

Името на PowerShell е ADFS-Federation.

Отдалечен достъп

Тази роля осигурява свързаност чрез DirectAccess, VPN и прокси за уеб приложения. Също и ролята Отдалечен достъп „осигурява традиционни възможности за маршрутизиране, включително транслация на мрежови адреси (NAT) и други опции за свързване. Тази роля изисква допълнителни услуги и функции: уеб сървър (IIS)», « Вътрешна база данни на Windows».

Името на ролята за Windows PowerShell е RemoteAccess.

• DirectAccess и VPN (RAS) (DirectAccess-VPN) - услугата позволява на потребителите да се свързват с корпоративната мрежа по всяко време, когато имат достъп до Интернет чрез DirectAccess, както и да организират VPN връзкив комбинация с технологии за тунелиране и криптиране на данни;
• Routing (Routing) - услугата осигурява поддръжка за NAT рутери, LAN рутери с BGP протоколи, RIP протоколи и рутери с поддръжка на мултикаст (IGMP proxy);
• Прокси за уеб приложения (Web-Application-Proxy) – Услугата ви позволява да публикувате приложения, базирани на HTTP и HTTPS протоколите от корпоративната мрежа на клиентски устройства, които са извън корпоративната мрежа.

Услуги за файлове и съхранение

Това е роля на сървър, която може да се използва за споделяне на файлове и папки, управление и контрол на споделяния, репликиране на файлове, осигуряване на бързо търсене на файлове и предоставяне на достъп до клиентски компютри UNIX. Обсъдихме файловите услуги и по-специално файловия сървър по-подробно в материала „Инсталиране на файлов сървър (File Server) на Windows Server 2016“.

Името на Windows PowerShell е FileAndStorage-Services.

Услуги за съхранение- Тази услуга предоставя функционалност за управление на съхранение, която винаги е инсталирана и не може да бъде премахната.

Файлови услуги и iSCSI услуги (файлови услуги)са технологии, които опростяват управлението на файлови сървъри и хранилища, спестяват дисково пространство, осигуряват репликация и кеширане на файлове в клонове, а също така осигуряват споделяне на файлове чрез NFS протокола. Включва следните ролеви услуги:

• Файлов сървър (FS-FileServer) - услуга за роли, която управлява споделени папки и предоставя на потребителите достъп до файлове на този компютър през мрежата;
• Дедупликация на данни (FS-Data-Deduplication) – тази услуга спестява дисково пространство, като съхранява само едно копие на идентични данни на том;
• Мениджър на ресурси на файловия сървър (FS-Resource-Manager) - с помощта на тази услуга можете да управлявате файлове и папки на файлов сървър, да създавате отчети за съхранение, да класифицирате файлове и папки, да конфигурирате квоти на папки и да дефинирате политики за блокиране на файлове;
• iSCSI Target Storage Provider (VDS и VSS доставчици на хардуер) (iSCSITarget-VSS-VDS) - Услугата позволява на приложения на сървър, свързан към iSCSI цел, да се изпълняват копие в сянкатомове на iSCSI виртуални дискове;
• DFS пространства от имена (FS-DFS-Namespace) - като използвате тази услуга, можете да групирате споделени папкихоствани на различни сървъри в едно или повече логически структурирани пространства от имена;
• Работни папки (FS-SyncShareService) - услугата ви позволява да използвате работни файлове на различни компютривключително работни и лични. Можете да съхранявате вашите файлове в работни папки, да ги синхронизирате и да осъществявате достъп до тях от вашата локална мрежа или интернет. За да функционира услугата, компонентът " IIS In-Process Web Core»;
• DFS репликация (FS-DFS-Replication) е многосървърна машина за репликация на данни, която ви позволява да синхронизирате папки през LAN или WAN връзка. Тази технология използва протокола Remote Differential Compression (RDC), за да актуализира само частта от файловете, които са се променили след последната репликация. DFS репликацията може да се използва със или без DFS пространства от имена;
• Сървър за NFS (FS-NFS-Service) – Услугата позволява на този компютър да споделя файлове с UNIX-базирани компютри и други компютри, които използват мрежовия протокол. файлова система(NFS);
• iSCSI Target Server (FS-iSCSITarget-Server) - предоставя услуги и управление за iSCSI цели;
• Услуга BranchCache за мрежови файлове (FS-BranchCache) – Услугата осигурява поддръжка на BranchCache на този файлов сървър;
• Файлов сървър VSS Agent Service (FS-VSS-Agent) – Услугата позволява сенчести копия на обеми за приложения, които съхраняват файлове с данни на този файлов сървър.

факс сървър

Ролята изпраща и получава факсове и ви позволява да управлявате факс ресурси като задания, настройки, отчети и факс устройства на този компютър или в мрежата. Изисква се за работа Сървър за печат».

Името на ролята за Windows PowerShell е Факс.

Това завършва прегледа на сървърните роли на Windows Server 2016, надявам се материалът да ви е бил полезен, засега!

Преди да разработите сокет сървър, трябва да създадете сървър за политики, който казва на Silverlight кои клиенти имат право да се свързват към сървъра на сокетите.

Както е показано по-горе, Silverlight не позволява зареждане на съдържание или извикване на уеб услуга, ако домейнът няма .xml файл на clientaccesspolicy или файл за кръстосани домейни. xml, където тези операции са изрично разрешени. Подобно ограничение се прилага към сървъра на сокетите. Ако не позволите на клиентското устройство да изтегли файла clientaccesspolicy .xml, който позволява отдалечен достъп, Silverlight ще откаже да установи връзка.

За съжаление, предоставяне на клиентска политика за достъп. cml към приложение за сокет е по-голямо предизвикателство, отколкото предоставянето му чрез уебсайт. Когато използвате уебсайт, софтуерът на уеб сървъра може да предостави .xml файл на clientaccesspolicy, просто не забравяйте да го добавите. В същото време, когато използвате сокет приложение, трябва да отворите сокет, до който клиентските приложения имат достъп със заявки за политика. Освен това трябва ръчно да създадете кода, който обслужва сокета. За да изпълните тези задачи, трябва да създадете сървър за политики.

По-нататък ще покажем, че сървърът за политики работи по същия начин като сървъра за съобщения, просто обработва малко по-прости взаимодействия. Сървърите за съобщения и политиките могат да бъдат създадени поотделно или комбинирани в едно приложение. Във втория случай те трябва да слушат за заявки в различни нишки. В този пример ще създадем сървър за политики и след това ще го комбинираме със сървър за съобщения.

За да създадете сървър за политики, първо трябва да създадете .NET приложение. Всеки тип .NET приложение може да служи като сървър за политики. Най-лесният начин е да използвате конзолно приложение. След като отстраните грешките в конзолното си приложение, можете да преместите кода си в услуга на Windows, така че да работи във фонов режим през цялото време.

Файл с правила

Следва файлът с правила, предоставен от сървъра за политики.

Файлът с правилата дефинира три правила.

Позволява достъп до всички портове от 4502 до 4532 (това е пълният набор от портове, поддържани от добавката Silverlight). За да промените обхвата на наличните портове, променете стойността на атрибута port на елемента.

Разрешава TCP достъп (разрешението е дефинирано в протоколния атрибут на елемента).

Позволява обаждане от всеки домейн. Следователно, приложение Silverlight, което установява връзка, може да бъде хоствано от всеки уебсайт. За да промените това правило, трябва да редактирате uri атрибута на елемента.

За да улеснят нещата, правилата на политиката се поставят във файла clientaccess-ploi.cy.xml, който се добавя към проекта. AT визуално студиоНастройката Копиране в изходна директория на файла с правила трябва да бъде настроена на Винаги копиране. трябва просто да намери файла на твърдия диск, да го отвори и да върне съдържанието на клиентското устройство.

Клас PolicyServer

Функционалността на сървъра за политики се основава на два ключови класа: PolicyServer и PolicyConnection. Класът PolicyServer обработва изчакването на връзки. Когато получи връзка, той предава контрола на нов екземпляр на класа PoicyConnection, който предава файла на политиката на клиента. Тази процедура от две части е често срещана в мрежовото програмиране. Ще го видите повече от веднъж, когато работите със сървъри за съобщения.

Класът PolicyServer зарежда файла на политиката от харддиски го съхранява в полето като масив от байтове.

публичен клас PolicyServer

политика за частни байтове;

public PolicyServer(низ политикаФайл) (

За да започне да слуша, сървърното приложение трябва да извика PolicyServer. Старт(). Той създава обект TcpListener, който слуша заявки. Обектът TcpListener е конфигуриран да слуша на порт 943. В Silverlight този порт е запазен за сървъри за политики. Когато правите заявки за файлове с правила, приложението Silverlight автоматично ги насочва към порт 943.

частен слушател на TcpListener;

public void Start()

// Създаване на слушател

слушател = нов TcpListener(IPAddress.Any, 943);

// Започнете да слушате; методът Start() връща II веднага след извикване на listener.Start();

// Изчакване на връзка; методът се връща незабавно;

II чакането се извършва в отделна тема

За да приеме предложената връзка, сървърът за политики извиква метода BeginAcceptTcpClient(). Подобно на всички методи Beginxxx() на .NET рамката, той се връща веднага след като бъде извикан, изпълнявайки необходимите операции в отделна нишка. За мрежовите приложения това е много важен фактор, тъй като позволява едновременното обработване на много заявки за файлове с правила.

Забележка. Начинаещите мрежови програмисти често се чудят как повече от една заявка може да бъде обработена едновременно и смятат, че това изисква няколко сървъра. Въпреки това не е така. С този подход клиентските приложения бързо биха свършили наличните портове. На практика сървърните приложения обработват много заявки през един порт. Този процес е невидим за приложенията, тъй като вградената TCP подсистема в Windows автоматично идентифицира съобщенията и ги насочва към съответните обекти в кода на приложението. Всяка връзка е уникално идентифицирана въз основа на четири параметъра: IP адрес на клиента, номер на клиентски порт, IP адрес на сървъра и номер на порт на сървъра.

При всяка заявка се задейства методът за обратно извикване OnAcceptTcpClient(). Той отново извиква метода BeginAcceptTcpClient O, за да започне да чака следващата заявка в друга нишка и след това започва да обработва текущата заявка.

public void OnAcceptTcpClient(IAsyncResult ar) (

if (isStopped) връщане;

Console.WriteLine("Получена е заявка за политика."); // Изчаква се следващата връзка.

слушател.BeginAcceptTcpClient(OnAcceptTcpClient, null);

// Работа с текущата връзка.

TcpClient клиент = слушател.EndAcceptTcpClient(ar); PolicyConnection policyConnection = нова PolicyConnection(клиент, политика); policyConnection.HandleRequest() ;

хващам (грешно изключение) (

Всеки път, когато се получи нова връзка, се създава нов обект PolicyConnection, който да я обработва. В допълнение, обектът PolicyConnection поддържа файл с правила.

Последният компонент на класа PolicyServer е методът Stop(), който спира да чака заявки. Приложението го извиква, когато приключи.

private bool isStopped;

публична недействителност StopO(

еСтоп = вярно;

слушател. Спри се();

хващам (грешно изключение) (

Console.WriteLine(err.Message);

Следният код се използва в метода Main() на сървъра на приложения за стартиране на сървъра за политики.

static void Main (низови аргументи) (

PolicyServer policyServer = нов PolicyServer("clientaccesspolicy.xml"); policyServer.Start();

Console.WriteLine("Сървърът за правила стартира."); Console.WriteLine("Натиснете клавиша Enter, за да излезете.");

// Изчакване на натискане на клавиш; използвайки метода // Console.ReadKey(), можете да го настроите да изчака определен // ред (например да излезете) или да натиснете произволен клавиш Console.ReadLine();

policyServer.Stop();

Console.WriteLine("Край сървър на политика.");

Клас PolicyConnection

Класът PolicyConnection изпълнява по-проста задача. Обектът PolicyConnection съхранява препратка към данните от файла с правила. След това, след като методът HandleRequest() бъде извикан, обектът PolicyConnection извлича нова връзка от мрежовия поток и се опитва да я прочете. Клиентското устройство трябва да изпрати низ, съдържащ текст. След като прочете този текст, клиентското устройство записва данните за политиката в потока и затваря връзката. Следва кодът на класа PolicyConnection.

публичен клас PolicyConnection(

частен клиент TcpClient; политика за частни байтове;

public PolicyConnection(TcpClient клиент, политика за байтове) (

this.client = клиент; this.policy = политика;

// Създайте клиентска заявка частен статичен низ policyRequestString = "

public void HandleRequest()(

Поток s = client.GetStream(); // Прочетете низ за заявка за политика

байтов буфер = нов байт;

// Изчакайте само 5 секунди client.ReceiveTimeout = 5000;'

s.Read(буфер, 0, buffer.Length);

// Предайте политиката (можете също да проверите дали заявката за политика има // необходимото съдържание) s.Write(policy, 0, policy.Length);

// Затваряне на връзката client.Close();

Console.WriteLine("Обслужен файл с правила.");

И така, имаме напълно работещ сървър за политики. За съжаление, все още не може да бъде тестван, тъй като добавката Silverlight не позволява изрично заявяване на файлове с правила. Вместо това автоматично ги изисква, когато се опитва да използва сокет приложение. Преди да можете да създадете клиентско приложение за това приложение за сокет, трябва да създадете сървър.

Продължаване на темата:

Нови статии

/

Когато инсталирате Windows, повечето от несъществените подсистеми не са активирани или инсталирани. Това се прави от съображения за сигурност. Тъй като системата е защитена по подразбиране, системните администратори могат да се съсредоточат върху проектирането на система, която прави това, което прави, и нищо повече. За да ви помогне да активирате функциите, които искате, Windows ви подканва да изберете роля на сървъра.

Роли

Ролята на сървъра е набор от програми, които, когато са правилно инсталирани и конфигурирани, позволяват на компютъра да изпълнява специфична функция за множество потребители или други компютри в мрежа. Като цяло всички роли имат следните характеристики.

• Те определят основната функция, цел или цел на използването на компютър. Можете да определите компютър да изпълнява една роля, която се използва силно в предприятието, или да изпълнява множество роли, като всяка роля се използва само от време на време.
• Ролите дават на потребителите в цялата организация достъп до ресурси, които се управляват от други компютри, като уебсайтове, принтери или файлове, съхранявани на различни компютри.
• Те обикновено имат свои собствени бази данни, които подреждат на опашка потребителски или компютърни заявки или записват информация за мрежови потребители и компютри, свързани с дадена роля. Например, Active Directory Domain Services съдържа база данни за съхранение на имената и йерархичните връзки на всички компютри в мрежа.
• Веднъж правилно инсталирани и конфигурирани, ролите функционират автоматично. Това позволява на компютрите, на които са инсталирани, да изпълняват възложени задачи с ограничено взаимодействие с потребителя.

Ролеви услуги

Ролевите услуги са програми, които предоставят функционалността на роля. Когато инсталирате роля, можете да изберете кои услуги да предоставя на други потребители и компютри в предприятието. Някои роли, като DNS сървъра, изпълняват само една функция, така че няма ролеви услуги за тях. Други роли, като услуги за отдалечен работен плот, имат няколко услуги, които можете да инсталирате въз основа на нуждите за отдалечен достъп на вашето предприятие. Ролята може да се разглежда като съвкупност от тясно свързани, допълващи се ролеви услуги. В повечето случаи инсталирането на роля означава инсталиране на една или повече от нейните услуги.

Компоненти

Компонентите са програми, които не са пряко част от роли, но поддържат или разширяват функционалността на една или повече роли или на цял сървър, независимо кои роли са инсталирани. Например инструментът за отказване на клъстерите разширява функционалността на други роли като файлови услуги и DHCP сървър, като им позволява да се присъединят към сървърни клъстери, което осигурява повишена излишество и производителност. Друг компонент, Telnet Client, осигурява отдалечена комуникация със сървъра Telnet чрез мрежова връзка. Тази функция подобрява комуникационните опции за сървъра.

Когато Windows Server работи в режим Server Core, се поддържат следните сървърни роли:

• Сертификационни услуги на Active Directory;
• Домейн услуги на Active Directory;
• DHCP сървър
• DNS сървър;
• файлови услуги (включително мениджъра на ресурси на файловия сървър);
• Active Directory Lightweight Directory Services;
• Hyper-V
• Услуги за печат и документи;
• Услуги за стрийминг на медии;
• уеб сървър (включително подмножество на ASP.NET);
• Windows Server Update Server;
• Сървър за управление на права на Active Directory;
• Сървър за маршрутизиране и отдалечен достъп и следните подчинени роли:
  • Брокер за връзка с отдалечен работен плот;
  • лицензиране;
  • виртуализация.

Когато Windows Server работи в режим Server Core, се поддържат следните функции на сървъра:

• Microsoft .NET Framework 3.5;
• Microsoft .NET Framework 4.5;
• Windows PowerShell;
• Фонова интелигентна услуга за трансфер (BITS);
• BitLocker Drive Encryption;
• Отключване на мрежата на BitLocker;
• BranchCache
• мост на центъра за данни;
• Подобрено съхранение;
• клъстериране при отказ;
• Многопътен вход/изход;
• балансиране на натоварването на мрежата;
• PNRP протокол;
• qWave;
• дистанционна диференциална компресия;
• прости TCP/IP услуги;
• RPC през HTTP прокси;
• SMTP сървър;
• SNMP услуга;
• Telnet клиент;
• telnet сървър;
• TFTP клиент;
• Вътрешна база данни на Windows;
• Windows PowerShell уеб достъп;
• Услуга за активиране на Windows;
• стандартизирано управление на съхранение в Windows;
• IIS WinRM разширение;
• WINS сървър;
• Поддръжка на WoW64.

Инсталиране на сървърни роли с помощта на Server Manager

За да добавите, отворете Server Manager и в менюто Управление щракнете върху Добавяне на роли и функции:

Отваря се съветникът за добавяне на роли и функции. Щракнете върху Напред

Тип инсталация, изберете Инсталация, базирана на роли или базирана на функции. Следващия:

Избор на сървър - изберете нашия сървър. Щракнете върху Следващи роли на сървъра - Изберете роли, ако е необходимо, изберете услуги за роли и щракнете върху Напред, за да изберете компоненти. По време на тази процедура съветникът за добавяне на роли и функции автоматично ви информира за конфликти на целевия сървър, които могат да попречат на инсталирането или нормалната работа на избраните роли или функции. Също така ще бъдете подканени да добавите ролите, ролевите услуги и функциите, изисквани от избраните роли или функции.

Инсталиране на роли с PowerShell

Отворете Windows PowerShell Въведете командата Get-WindowsFeature, за да видите списъка с налични и инсталирани роли и функции на локалния сървър. Резултатът от този командлет съдържа имената на командите за ролите и функциите, които са инсталирани и налични за инсталиране.

Въведете Get-Help Install-WindowsFeature, за да видите синтаксиса и валидните параметри за командлета Install-WindowsFeature (MAN).

Въведете следната команда (-Restart ще рестартира сървъра, ако инсталирането на ролята изисква рестартиране).

Install-WindowsFeature –Име -Рестартирам

Описание на ролите и ролевите услуги

Всички роли и ролеви услуги са описани по-долу. Нека разгледаме разширените настройки за най-често срещаните роли на уеб сървър и услуги за отдалечен работен плот в нашата практика.

Подробно описание на IIS

• Общи HTTP функции - Основни HTTP компоненти
  • Документ по подразбиране – позволява ви да зададете индексната страница за сайта.
  • Преглеждане на директория – Позволява на потребителите да преглеждат съдържанието на директория на уеб сървър. Използвайте преглед на директории, за да генерирате автоматично списък с всички директории и файлове в директория, когато потребителите не посочат файл в URL адреса и индексната страница е деактивирана или не е конфигурирана
  • HTTP Грешки - позволява ви да персонализирате съобщенията за грешки, връщани на клиентите в браузъра.
  • Статично съдържание - позволява ви да публикувате статично съдържание, като изображения или html файлове.
  • HTTP пренасочване - Осигурява поддръжка за пренасочване на потребителски заявки.
  • WebDAV Publishing ви позволява да публикувате файлове от уеб сървър, използвайки HTTP протокола.
• Здравни и диагностични характеристики - Диагностични компоненти
  • HTTP Logging осигурява регистриране на активността на уебсайта за даден сървър.
  • Персонализираното регистриране осигурява поддръжка за създаване на персонализирани регистрационни файлове, които са различни от "традиционните" регистрационни файлове.
  • Инструментите за регистриране предоставят рамка за управление на регистрационни файлове на уеб сървъра и автоматизиране на общи задачи за регистриране.
  • ODBC Logging предоставя рамка, която поддържа регистриране на активността на уеб сървъра в ODBC-съвместима база данни.
  • Request Monitor предоставя рамка за наблюдение на състоянието на уеб приложенията чрез събиране на информация за HTTP заявки в работен процес на IIS.
  • Проследяването предоставя рамка за диагностициране и отстраняване на неизправности в уеб приложенията. С помощта на неуспешно проследяване на заявка можете да проследявате трудни за намиране събития като лоша производителност или неуспехи при удостоверяване.
• Компоненти за производителност за повишаване на производителността на уеб сървъра.
  • Статичното компресиране на съдържание предоставя рамка за конфигуриране на HTTP компресиране на статично съдържание
  • Динамичното компресиране на съдържание предоставя рамка за конфигуриране на HTTP компресиране на динамично съдържание.
• Компоненти за сигурност
  • Филтрирането на заявки ви позволява да улавяте всички входящи заявки и да ги филтрирате въз основа на правила, зададени от администратора.
  • Основното удостоверяване ви позволява да зададете допълнително оторизиране
  • Централизирана поддръжка на SSL сертификати е функция, която ви позволява да съхранявате сертификати на централно място, като споделяне на файлове.
  • Удостоверяването на картографиране на клиентски сертификат използва клиентски сертификати за удостоверяване на потребители.
  • Digest Authentication работи чрез изпращане на хеш на парола до контролер на домейн на Windows за удостоверяване на потребителите. Ако имате нужда от повече сигурност от основното удостоверяване, помислете за използването на Digest удостоверяване
  • IIS Client Certificate Mapping Authentication използва клиентски сертификати за удостоверяване на потребители. Клиентският сертификат е цифров идентификатор, получен от доверен източник.
  • IP и ограниченията на домейна ви позволяват да разрешите/забраните достъп въз основа на искания IP адрес или име на домейн.
  • Разрешаването на URL ви позволява да създавате правила, които ограничават достъпа до уеб съдържание.
  • Удостоверяване на Windows Тази схема за удостоверяване позволява на администраторите на домейна на Windows да се възползват от инфраструктурата на домейна за удостоверяване на потребители.
• Характеристики за разработка на приложения
• FTP сървър
  • FTP услуга Позволява FTP публикуване на уеб сървър.
  • FTP Extensibility Позволява поддръжка на FTP функции, които разширяват функционалността на
• Инструменти за управление
  • Конзолата за управление на IIS инсталира IIS Manager, който ви позволява да управлявате уеб сървъра чрез GUI
  • IIS 6.0 Management Compatibility осигурява съвместимост напред за приложения и скриптове, които използват Admin Base Object (ABO) и API на Active Directory Interface Service Interface (ADSI). Това позволява съществуващите IIS 6.0 скриптове да се използват от уеб сървъра на IIS 8.0
  • Скриптовете и инструментите за управление на IIS осигуряват инфраструктурата за програмно управление на уеб сървъра на IIS, чрез използване на команди в прозорец на командния ред или чрез изпълнение на скриптове.
  • Услугата за управление предоставя инфраструктурата за персонализиране на потребителския интерфейс, IIS Manager.

Подробно описание на RDS

• Посредник за свързване на отдалечен работен плот - Осигурява повторно свързване на клиентско устройство към програми, базирани на сесии на работния плот и виртуалния работен плот.
• Шлюз за отдалечен работен плот – Позволява на упълномощени потребители да се свързват с виртуални настолни компютри, програми RemoteApp и базирани на сесии настолни компютри в корпоративна мрежа или през интернет.
• Лицензиране на отдалечен работен плот – инструмент за управление на лицензи за RDP
• Хост за сесия на отдалечен работен плот – Включва сървър за хостване на програми RemoteApp или базирана на настолен компютър сесия.
• Хост за виртуализация на отдалечен работен плот - позволява ви да конфигурирате RDP на виртуални машини
• Уеб достъп до отдалечен работен плот - Позволява на потребителите да се свързват с ресурси на работния плот чрез менюто "Старт" или уеб браузъра.

Помислете за инсталиране и конфигуриране на сървър за терминални лицензи. По-горе е описано как се инсталират роли, инсталирането на RDS не се различава от инсталирането на други роли, в Role Services трябва да изберем Лицензиране на отдалечен работен плот и Хост за сесия на отдалечен работен плот. След инсталирането, елементът Terminal Services ще се появи в Server Manager-Tools. Има два елемента в Terminal Services RD Licensing Diagnoser, това е инструмент за диагностициране на работата на лицензиране на отдалечен работен плот, и Remote Desktop Licensing Manager, това е инструмент за управление на лицензи.

Стартирайте RD Licensing Diagnoser

Тук можем да видим, че все още няма налични лицензи, тъй като режимът на лицензиране не е зададен за сървъра на RD Session Host. Лицензионният сървър е посочен в правилата на локалната група. За да стартирате редактора, изпълнете командата gpedit.msc. Отваря се редакторът на локални групови правила. В дървото отляво разгънете разделите:

• Компютърна конфигурация
• Административни шаблони
• Компоненти на Windows
• Услуги за отдалечен работен плот
• Хост за сесия на отдалечен работен плот
• "Лицензиране" (Лицензиране)

Отворете параметрите Използвайте посочените лицензни сървъри за отдалечен работен плот

В прозореца за редактиране на настройките на правилата активирайте сървъра за лицензиране (Активирано). След това трябва да дефинирате лицензен сървър за услуги за отдалечен работен плот. В моя пример лицензният сървър се намира на същия физически сървър. Посочете името на мрежата или IP адреса на сървъра за лицензи и щракнете върху OK. Ако името на сървъра, сървърът за лицензи ще се промени в бъдеще, ще трябва да го промените в същия раздел.

След това, в RD Licensing Diagnoser, можете да видите, че сървърът за терминални лицензи е конфигуриран, но не е активиран. За да активирате, стартирайте Мениджър за лицензиране на отдалечен работен плот

Изберете сървъра за лицензиране със статус Неактивиран . За да активирате, щракнете с десния бутон върху него и изберете Активиране на сървър. Съветникът за активиране на сървъра ще стартира. В раздела Метод на свързване изберете Автоматично свързване. След това попълнете информацията за организацията, след което лицензният сървър се активира.

Сертификационни услуги на Active Directory

AD CS предоставя конфигурируеми услуги за издаване и управление на цифрови сертификати, които се използват в софтуерни системи за сигурност, които използват технологии с публичен ключ. Цифровите сертификати, предоставени от AD CS, могат да се използват за криптиране и цифрово подписване на електронни документи и съобщения. Тези цифрови сертификати могат да се използват за удостоверяване на акаунти на компютър, потребител и устройство в мрежата. Цифровите сертификати се използват, за да се гарантира:

• поверителност чрез криптиране;
• интегритет чрез цифрови подписи;
• удостоверяване чрез свързване на ключове на сертификати с акаунти на компютър, потребител и устройство в мрежата.

AD CS може да се използва за подобряване на сигурността чрез обвързване на самоличността на потребител, устройство или услуга към съответния частен ключ. Приложенията, поддържани от AD CS, включват защитени многоцелеви стандартни разширения за интернет поща (S/MIME), защитени безжични мрежи, виртуални частни мрежи (VPN), IPsec, криптираща файлова система (EFS), влизане със смарт карти, протокол за сигурност и защита на транспортния слой (SSL/TLS) и цифрови подписи.

Домейн услуги на Active Directory

Използвайки сървърната роля на Active Directory Domain Services (AD DS), можете да създадете мащабируема, сигурна и управляема инфраструктура за управление на потребители и ресурси; можете също да предоставите приложения с активирана директория, като например Microsoft Exchange Server. AD DS предоставя разпределена база данни, която съхранява и управлява информация за мрежови ресурси и данни за приложения с активирана директория. Сървърът, който изпълнява AD DS, се нарича домейн контролер. Администраторите могат да използват AD DS за организиране на мрежови елементи като потребители, компютри и други устройства в йерархична вложена структура. Йерархичната вложена структура включва гората на Active Directory, домейните в гората и организационните единици във всеки домейн. Функциите за сигурност са интегрирани в AD DS под формата на удостоверяване и контрол на достъпа до ресурси в директорията. С еднократно влизане администраторите могат да управляват информацията и организацията на директорията през мрежата. Оторизираните потребители на мрежата могат също да използват мрежово единно влизане за достъп до ресурси, разположени навсякъде в мрежата. Домейн услугите на Active Directory предоставят следните допълнителни функции.

• Набор от правила е схема, която дефинира класовете обекти и атрибути, които се съдържат в директория, ограниченията и ограниченията за екземпляри на тези обекти и формата на техните имена.
• Глобален каталог, съдържащ информация за всеки обект в каталога. Потребителите и администраторите могат да използват глобалния каталог за търсене на каталожни данни, независимо кой домейн в каталога всъщност съдържа търсените данни.
• Механизъм за заявки и индексиране, чрез който обектите и техните свойства могат да бъдат публикувани и локализирани от мрежови потребители и приложения.
• Услуга за репликация, която разпространява данни от директория в мрежа. Всички контролери на домейн за запис в домейна участват в репликацията и съдържат пълно копие на всички данни от директорията за своя домейн. Всички промени в данните от директорията се репликират в домейна на всички домейн контролери.
• Главни роли на операциите (известни също като гъвкави единични главни операции или FSMO). Контролерите на домейни, които действат като господари на операциите, са проектирани да изпълняват специални задачи, за да осигурят последователност на данните и да избегнат конфликтни записи в директорията.

Услуги за федерация на Active Directory

AD FS предоставя на крайни потребители, които се нуждаят от достъп до приложения в защитено с AD FS предприятие, в организации на партньори във федерация или в облака с опростена и сигурна федерация за самоличност и уеб базирани услуги за еднократно влизане (SSO). Windows Server AD FS включва услуга на ролева услуга на федерация, действаща като доставчик на идентичност (удостоверява потребителите да предоставят токени за защита на приложения, които се доверяват на AD FS) или като доставчик на федерация (прилага токени от други доставчици на идентичност и след това предоставя маркери за сигурност към приложения, които се доверяват на AD FS).

Active Directory Lightweight Directory Services

Active Directory Lightweight Directory Services (AD LDS) е LDAP протокол, който осигурява гъвкава поддръжка за приложения на директории без зависимостите и специфичните за домейна ограничения на Active Directory Domain Services. AD LDS може да се изпълнява на членове или самостоятелни сървъри. Можете да стартирате множество екземпляри на AD LDS с независимо управлявани схеми на един и същ сървър. С ролята на услугата AD LDS можете да предоставяте услуги на директории на приложения с активирана директория, без да използвате данни за домейн и горски услуги и без да изисквате една схема за цялата гора.

Услуги за управление на права на Active Directory

Можете да използвате AD RMS, за да разширите стратегията за сигурност на вашата организация, като защитите документи с помощта на управление на правата на информация (IRM). AD RMS позволява на потребителите и администраторите да присвояват разрешения за достъп на документи, работни книги и презентации, използвайки IRM политики. Това ви позволява да защитите поверителна информация от отпечатване, препращане или копиране от неоторизирани потребители. След като разрешенията на даден файл са ограничени чрез IRM, ограниченията за достъп и използване се прилагат независимо от местоположението на информацията, тъй като разрешението на файла се съхранява в самия файл на документа. С AD RMS и IRM отделните потребители могат да прилагат собствените си предпочитания относно прехвърлянето на лична и поверителна информация. Те също така ще помогнат на организацията да наложи корпоративни политики за контрол върху използването и разпространението на чувствителна и лична информация. IRM решенията, поддържани от AD RMS, се използват за предоставяне на следните възможности.

• Постоянни правила за използване, които остават с информация, независимо дали е преместена, изпратена или препратена.
• Допълнителен слой на поверителност за защита на чувствителни данни - като отчети, продуктови спецификации, информация за клиенти и имейл съобщения - от умишлено или случайно попадане в грешни ръце.
• Предотвратете неоторизирано изпращане, копиране, редактиране, отпечатване, изпращане по факс или поставяне на ограничено съдържание от упълномощени получатели.
• Предотвратете копирането на ограничено съдържание с помощта на функцията PRINT SCREEN в Microsoft Windows.
• Поддръжка за изтичане на файла, предотвратяване на преглед на съдържанието на документа след определен период от време.
• Прилагайте корпоративни политики, които управляват използването и разпространението на съдържание в рамките на организацията

Сървър на приложения

Сървърът на приложения осигурява интегрирана среда за разгръщане и изпълнение на персонализирани сървърно-базирани бизнес приложения.

DHCP сървър

DHCP е технология клиент-сървър, която позволява на DHCP сървърите да присвояват или дават под наем IP адреси на компютри и други устройства, които са DHCP клиенти. Разгръщането на DHCP сървъри в мрежа автоматично осигурява клиентски компютри и други мрежови устройства, базирани на IPv4 и IPv6 валидни IP адреси и допълнителни настройки за конфигурация, изисквани от тези клиенти и устройства.Услугата DHCP сървър в Windows Server включва поддръжка за базирани на правила присвояване и DHCP отказ.

DNS сървър

DNS услугата е йерархична, разпределена база данни, която съдържа съпоставяния на имена на DNS домейни към различни типове данни, като IP адреси. DNS услугата ви позволява да използвате приятелски имена като www.microsoft.com, за да помогнете за намирането на компютри и други ресурси в TCP/IP-базирани мрежи. DNS услугата в Windows Server осигурява допълнителна подобрена поддръжка за DNS модули за сигурност (DNSSEC), включително мрежова регистрация и автоматизирано управление на настройките.

ФАКС Сървър

Факс сървърът изпраща и получава факсове и ви позволява да управлявате факс ресурси като задания, настройки, отчети и факс устройства на вашия факс сървър.

Услуги за файлове и съхранение

Администраторите могат да използват ролята на File and Storage Services, за да настроят множество файлови сървъри и техните хранилища и да управляват тези сървъри с помощта на Server Manager или Windows PowerShell. Някои специфични приложения включват следните функции.

• работни папки. Използвайте, за да позволите на потребителите да съхраняват и осъществяват достъп до работни файлове на персонални компютри и устройства, различни от корпоративни компютри. Потребителите получават удобно място за съхранение на работни файлове и достъп до тях отвсякъде. Организациите контролират корпоративните данни, като съхраняват файлове на централно управлявани файлови сървъри и по избор задават правила за потребителски устройства (като пароли за криптиране и заключване на екрана).
• Дедупликация на данни. Използвайте за намаляване на изискванията за дисково пространство за съхранение на файлове, спестявайки пари за съхранение.
• iSCSI целеви сървър. Използвайте за създаване на централизирани, независими от софтуера и устройства iSCSI дискови подсистеми в мрежи за съхранение (SAN).
• Дискови пространства. Използвайте за разгръщане на хранилище, което е високо достъпно, устойчиво и мащабируемо с рентабилни, стандартни за индустрията устройства.
• Мениджър на сървъра. Използвайте за дистанционно управление на множество файлови сървъри от един прозорец.
• Windows PowerShell. Използвайте за автоматизиране на управлението на повечето задачи за администриране на файлов сървър.

Hyper-V

Ролята Hyper-V ви позволява да създавате и управлявате виртуализирана изчислителна среда, използвайки технологията за виртуализация, вградена в Windows Server. Инсталирането на ролята на Hyper-V инсталира предпоставки и допълнителни инструменти за управление. Предпоставките включват хипервизор на Windows, услуга за управление на виртуална машина Hyper-V, доставчик на виртуализация на WMI и компоненти за виртуализация като VMbus, доставчик на услуги за виртуализация (VSP) и драйвер за виртуална инфраструктура (VID).

Мрежова политика и услуги за достъп

Мрежови политики и услуги за достъп предоставя следните решения за мрежова свързаност:

• Защитата на мрежовия достъп е технология за създаване, прилагане и коригиране на политики за здравето на клиентите. Със защитата на мрежовия достъп системните администратори могат да задават и автоматично налагат здравни политики, които включват изисквания за софтуер, актуализации на защитата и други настройки. За клиентски компютри, които не отговарят на здравната политика, можете да ограничите достъпа до мрежата, докато конфигурацията им не бъде актуализирана, за да отговарят на изискванията на политиката.
• Ако са внедрени точки за безжичен достъп с активиран 802.1X, можете да използвате сървър за мрежови политики (NPS), за да внедрите базирани на сертификат методи за удостоверяване, които са по-сигурни от удостоверяване, базирано на парола. Внедряването на хардуер с активиран 802.1X с NPS сървър позволява на интранет потребителите да бъдат удостоверени, преди да могат да се свържат с мрежата или да получат IP адрес от DHCP сървър.
• Вместо да конфигурирате политика за мрежов достъп на всеки сървър за достъп до мрежата, можете централно да създадете всички политики, които ще дефинират всички аспекти на заявките за мрежова връзка (кой може да се свързва, когато връзката е разрешена, нивото на защита, което трябва да се използва за свързване към мрежа).

Услуги за печат и документи

Услугите за печат и документи ви позволяват да централизирате задачите на сървъра за печат и мрежовия принтер. Тази роля също ви позволява да получавате сканирани документи от мрежови скенери и да качвате документи в мрежови споделени папки - на сайт на Windows SharePoint Services или по имейл.

отдалечен достъп

Ролята на сървъра за отдалечен достъп е логическо групиране на следните технологии за мрежов достъп.

• Директен достъп
• Маршрутизация и отдалечен достъп
• Прокси за уеб приложение

Тези технологии са ролеви услугироля на сървъра за отдалечен достъп. Когато инсталирате ролята на сървъра за отдалечен достъп, можете да инсталирате една или повече услуги за роли, като стартирате съветника за добавяне на роли и функции.

В Windows Server ролята на сървъра за отдалечен достъп предоставя възможността за централно администриране, конфигуриране и наблюдение на DirectAccess и VPN с услуги за отдалечен достъп за маршрутизиране и отдалечен достъп (RRAS). DirectAccess и RRAS могат да бъдат разгърнати на един и същ Edge сървър и да се управляват с помощта на команди на Windows PowerShell и конзола за управление на отдалечен достъп (MMC).

Услуги за отдалечен работен плот

Услугите за отдалечен работен плот ускоряват и разширяват внедряването на настолни компютри и приложения на всяко устройство, като правят отдалечения работник по-ефективен, като същевременно осигуряват критична интелектуална собственост и опростяват съответствието. Услугите за отдалечен работен плот включват инфраструктура за виртуални работни плотове (VDI), базирани на сесии настолни компютри и приложения, давайки на потребителите възможността да работят отвсякъде.

Услуги за обемно активиране

Услугите за активиране на корпоративни лицензи са сървърна роля в Windows Server, започвайки с Windows Server 2012, която автоматизира и опростява издаването и управлението на корпоративни лицензи за софтуер на Microsoft в различни сценарии и среди. Заедно с услугите за активиране на корпоративни лицензи можете да инсталирате и конфигурирате услугата за управление на ключове (KMS) и активирането на Active Directory.

уеб сървър (IIS)

Ролята на уеб сървър (IIS) в Windows Server осигурява платформа за хостване на уеб сайтове, услуги и приложения. Използването на уеб сървър осигурява достъп до информация на потребителите в Интернет, интранет и екстранет. Администраторите могат да използват ролята на уеб сървър (IIS), за да настроят и управляват множество уебсайтове, уеб приложения и FTP сайтове. Специалните характеристики включват следното.

• Използвайте мениджъра на Internet Information Services (IIS), за да конфигурирате компоненти на IIS и да администрирате уебсайтове.
• Използване на протокола FTP, за да позволи на собствениците на уебсайтове да качват и изтеглят файлове.
• Използване на изолация на уебсайтове, за да се предотврати влиянието на един уебсайт на сървъра върху други.
• Персонализиране на уеб приложения, разработени с помощта на различни технологии като Classic ASP, ASP.NET и PHP.
• Използвайте Windows PowerShell за автоматично управление на повечето задачи за администриране на уеб сървър.
• Консолидирайте множество уеб сървъри в сървърна ферма, която може да се управлява с IIS.

Услуги за внедряване на Windows

Windows Deployment Services ви позволява да разгръщате операционни системи Windows през мрежа, което означава, че не е нужно да инсталирате всяка операционна система директно от CD или DVD.

Windows Server Essentials Experience

Тази роля ви позволява да изпълнявате следните задачи:

• защита на сървърните и клиентските данни чрез архивиране на сървъра и всички клиентски компютри в мрежата;
• управлявайте потребители и потребителски групи чрез опростено табло за управление на сървъра. В допълнение, интеграцията с Windows Azure Active Directory* предоставя на потребителите лесен достъп до онлайн услуги на Microsoft (като Office 365, Exchange Online и SharePoint Online), като използват идентификационните данни на техните домейни;
• съхранявайте фирмени данни на централизирано място;
• интегрирайте сървъра с Microsoft Online Services (като Office 365, Exchange Online, SharePoint Online и Windows Intune):
• използвайте повсеместни функции за достъп на сървъра (като отдалечен уеб достъп и виртуални частни мрежи) за достъп до сървъра, мрежови компютри и данни от високо защитени отдалечени места;
• достъп до данни отвсякъде и от всяко устройство, използвайки собствен уеб портал на организацията (чрез отдалечен уеб достъп);
• Управлявайте мобилните устройства, които имат достъп до имейла на вашата организация с Office 365 чрез протокола Active Sync от таблото за управление.
• следете здравето на мрежата и получавате персонализирани здравни доклади; отчетите могат да бъдат генерирани при поискване, персонализирани и изпращани по имейл до конкретни получатели.

Услуги за актуализиране на Windows Server

WSUS сървърът предоставя компонентите, необходими на администраторите за управление и разпространение на актуализации през конзолата за управление. В допълнение, WSUS сървърът може да бъде източник на актуализации за други WSUS сървъри в организацията. Когато внедрявате WSUS, поне един WSUS сървър в мрежата трябва да бъде свързан към Microsoft Update, за да получава информация за наличните актуализации. В зависимост от мрежовата сигурност и конфигурация, администраторът може да определи колко други сървъри са директно свързани с Microsoft Update.

Помощна програма GPResult.exe– е конзолно приложение, предназначено да анализира настройките и да диагностицира групови политики, които се прилагат към компютър и/или потребител в домейн на Active Directory. По-специално, GPResult ви позволява да получите данни от получения набор от политики (Resultant Set of Policy, RSOP), списък на приложените политики на домейни (GPO), техните настройки и подробна информация за грешките при обработката им. Помощната програма е част от операционната система Windows от дните на Windows XP. Помощната програма GPResult ви позволява да отговорите на въпроси като дали дадена политика се прилага за компютър, кой GPO е променил конкретна настройка на Windows и да разберете причините.

В тази статия ще разгледаме особеностите на използването на командата GPResult за диагностициране и отстраняване на грешки в приложението на групови политики в домейн на Active Directory.

Първоначално, за диагностициране на прилагането на групови политики в Windows, беше използвана графичната конзола RSOP.msc, която направи възможно получаването на настройките на получените политики (домейн + локални), приложени към компютъра и потребителя в подобна графична форма към конзолата на редактора на GPO (по-долу, в примера на изгледа на конзолата RSOP.msc, можете да видите, че настройките за актуализиране са зададени).

Въпреки това, конзолата RSOP.msc в съвременните версии на Windows не е практична за използване, т.к не отразява настройките, прилагани от различни разширения за групови правила (CSE), като GPP (Предпочитания за групови правила), не позволява търсене, предоставя малко диагностична информация. Следователно в момента именно командата GPResult е основният инструмент за диагностициране на използването на GPO в Windows (в Windows 10 дори има предупреждение, че RSOP не дава пълен отчет, за разлика от GPResult).

Използване на помощната програма GPResult.exe

Командата GPResult се изпълнява на компютъра, на който искате да тествате прилагането на групови политики. Командата GPResult има следния синтаксис:

GPRESULT ]] [(/X | /H)<имя_файла> ]

За да получите подробна информация за груповите политики, които се прилагат към даден AD обект (потребител и компютър) и други настройки, свързани с инфраструктурата на GPO (т.е. получените настройки на GPO политика - RsoP), изпълнете командата:

Резултатите от изпълнението на командата са разделени на 2 секции:

• КОМПЮТЪР НАСТРОЙКИ (Конфигурация на компютъра) – секцията съдържа информация за GPO обекти, които засягат компютъра (като обект на Active Directory);
• ПОТРЕБИТЕЛ НАСТРОЙКИ – потребителски раздел от политики (политики, които се прилагат към потребителски акаунт в AD).

Нека да разгледаме накратко основните параметри/секции, които могат да ни представляват интерес в изхода на GPResult:

• сайтиме(Име на сайта:) - името на сайта на АД, в който се намира компютърът;
• CN– пълен каноничен потребител/компютър, за който са генерирани RSoP данните;
• Последновремегрупаполитикабешеприлаган(Последно приложена групова политика) - времето, когато груповите политики са били последно приложени;
• групаполитикабешеприлаганот(Групова политика е приложена от) - домейн контролерът, от който е заредена последната версия на GPO;
• домейнимеи домейнТип(Име на домейн, тип на домейн) – Име и версия на схемата на домейн на Active Directory;
• ПриложеногрупаполитикаОбекти(Приложени GPO)– списъци с активни обекти на групова политика;
• ВследвайкиGPOса билинеприлаганзащототеса билифилтрираннавън(Следните GPO политики не бяха приложени, тъй като бяха филтрирани) - неприложени (филтрирани) GPO;
• Впотребител/компютъреачастнанаследвайкисигурностгрупи(Потребителят/компютърът е член на следните групи за защита) – Групи на домейни, в които членува потребителят.

В нашия пример можете да видите, че потребителският обект е засегнат от 4 групови политики.

• Правила за домейн по подразбиране;
• Активирайте защитната стена на Windows;
• Списък за търсене на DNS суфикси

Ако не искате конзолата да показва едновременно информация както за потребителските, така и за компютърните политики, можете да използвате опцията /scope, за да покажете само секцията, която ви интересува. Само получените потребителски политики:

gpresult /r /scope:user

или само приложени компютърни политики:

gpresult /r /обхват:компютър

Защото Помощната програма Gpresult извежда своите данни директно в конзолата на командния ред, което не винаги е удобно за последващ анализ; нейният изход може да бъде пренасочен към клипборда:

gpresult /r | клип

или текстов файл:

gpresult /r > c:\gpresult.txt

За да покажете супер подробна RSOP информация, добавете превключвателя /z.

HTML RSOP отчет с помощта на GPResult

В допълнение, помощната програма GPResult може да генерира HTML отчет за приложените политики за резултати (достъпни в Windows 7 и по-нови версии). Този отчет ще съдържа подробна информация за всички системни настройки, които са зададени от групови политики и имената на конкретни GPO, които ги задават (резултантният отчет в структурата прилича на раздела Настройки в конзолата за управление на групови политики на домейна - GPMC). Можете да генерирате HTML GPResult отчет с помощта на командата:

GPResult /h c:\gp-report\report.html /f

За да генерирате отчет и автоматично да го отворите в браузър, изпълнете командата:

GPResult /h GPResult.html & GPResult.html

HTML отчетът gpresult съдържа доста полезна информация: виждат се грешки в приложението на GPO, време за обработка (в ms) и прилагане на специфични политики и CSE (в секцията Компютърни подробности -> Състояние на компонента). Например, на екранната снимка по-горе можете да видите, че политиката с настройките 24 пароли запомня се прилага от политиката за домейн по подразбиране (колона за печеливш GPO). Както можете да видите, такъв HTML отчет е много по-удобен за анализиране на приложените политики от конзолата rsop.msc.

Получаване на GPResult данни от отдалечен компютър

GPResult може също да събира данни от отдалечен компютър, елиминирайки необходимостта администратор да влиза локално или RDP на отдалечен компютър. Форматът на командата за събиране на RSOP данни от отдалечен компютър е както следва:

GPResult /s сървър-ts1 /r

По същия начин можете да събирате данни както от потребителски политики, така и от компютърни политики от разстояние.

потребителското име няма данни за RSOP

С активиран UAC, стартирането на GPResult без повишени привилегии показва само настройките за персонализирания раздел на груповите правила. Ако искате да покажете едновременно и двете секции (ПОЛЗИТЕЛСКИ НАСТРОЙКИ и КОМПЮТЪРНИ НАСТРОЙКИ), трябва да изпълните командата. Ако повишеният команден ред е в система, различна от текущия потребител, помощната програма ще издаде предупреждение ИНФО: Theпотребител„домейн\потребител"правинеиматRSOPданни (Потребителят „домейн\потребител“ няма данни за RSOP). Това е така, защото GPResult се опитва да събере информация за потребителя, който го е стартирал, но защото Този потребител не е влязъл в системата и няма налична RSOP информация за този потребител. За да съберете RSOP информация за потребител с активна сесия, трябва да посочите неговия акаунт:

gpresult /r /user:tn\edward

Ако не знаете името на акаунта, който е влязъл на отдалечения компютър, можете да получите акаунта по следния начин:

qwinsta /SERVER:remotePC1

Също така проверете времето(ите) на клиента. Времето трябва да съвпада с времето на PDC (основния контролер на домейн).

Следните правила на GPO не бяха приложени, защото бяха филтрирани

Когато отстранявате групови политики, трябва да обърнете внимание и на раздела: Следните GPO не бяха приложени, защото бяха филтрирани (Следните GPO политики не бяха приложени, защото бяха филтрирани). Този раздел показва списък с GPO, които по една или друга причина не се прилагат към този обект. Възможни опции, за които политиката може да не се прилага:

Можете също да разберете дали политиката трябва да се прилага към конкретен AD обект в раздела Ефективни разрешения (Разширени -> Ефективен достъп).

И така, в тази статия прегледахме функциите за диагностициране на прилагането на групови политики с помощта на помощната програма GPResult и прегледахме типични сценарии за нейното използване.

Лекция 4 Сървър за мрежови политики: RADIUS сървър, RADIUS прокси и сървър за политики за сигурност

Лекция 4

Тема: Сървър за мрежови политики: RADIUS сървър, RADIUS прокси и сървър за политика за защита на мрежовия достъп

Въведение

Windows Server 2008 и Windows Server 2008 R2 са усъвършенствани операционни системи Windows Server, предназначени да захранват ново поколение мрежи, приложения и уеб услуги. С тези операционни системи можете да проектирате, доставяте и управлявате гъвкави и широко разпространени потребителски и приложения, да изграждате силно защитени мрежови инфраструктури и да увеличавате технологичната ефективност и организация във вашата организация.

Сървър за мрежова политика

Сървърът за мрежови политики ви позволява да създавате и прилагате политики за достъп до мрежата в цялата организация, за да гарантирате здравето на клиента и да удостоверявате и оторизирате заявки за връзка. Можете също да използвате NPS като RADIUS прокси за препращане на заявки за връзка към NPS или други RADIUS сървъри, конфигурирани в отдалечени групи RADIUS сървъри.

Сървърът за мрежови политики ви позволява централно да конфигурирате и управлявате политиките за удостоверяване на достъп до клиентска мрежа, оторизация и здраве чрез следните три опции:

RADIUS сървър. NPS централизирано обработва удостоверяване, оторизация и отчитане на безжични връзки, удостоверени комутационни връзки, комутируеми връзки и връзки с виртуална частна мрежа (VPN). Когато използвате NPS като RADIUS сървър, сървърите за мрежов достъп, като точки за безжичен достъп и VPN сървъри, се конфигурират като RADIUS клиенти на NPS. Той също така конфигурира мрежовите политики, използвани от NPS за оторизиране на заявки за връзка. Освен това можете да конфигурирате отчитането на RADIUS, така че информацията да се регистрира от NPS за регистриране на файлове, съхранявани на локален твърд диск или в база данни на Microsoft SQL Server.

RADIUS прокси. Ако NPS се използва като RADIUS прокси, трябва да конфигурирате политики за заявки за свързване, които определят кои заявки за връзка NPS ще препраща към други RADIUS сървъри и кои специфични RADIUS сървъри ще препращат тези заявки. NPS може също да бъде конфигуриран да пренасочва идентификационни данни, които да се съхраняват на един или повече компютри в отдалечена група RADIUS сървъри.

Сървър за политики за защита на мрежовия достъп (NAP). Когато NPS е конфигуриран като сървър за политика на NAP, NPS оценява състоянията на здравето, изпратени от клиентски компютри с активиран NAP, които се опитват да се свържат с мрежата. Сървър за мрежови политики, конфигуриран със защита на мрежовия достъп, действа като RADIUS сървър, удостоверявайки и оторизирайки заявки за връзка. Сървърът за мрежови политики ви позволява да конфигурирате политики и настройки за защита на мрежовия достъп, включително групи за проверка на състоянието на системата, здравни политики и сървъри за актуализиране, които гарантират, че клиентските компютри се актуализират в съответствие с мрежовата политика на организацията.

Можете да конфигурирате всяка комбинация от функциите, изброени по-горе, на сървъра за мрежови политики. Например, NPS може да действа като сървър за политика на NAP, използвайки един или повече методи на приложение, като същевременно действа като RADIUS сървър за комутируеми връзки и RADIUS прокси за препращане на някои заявки за връзка към група от отдалечени RADIUS сървъри, което позволява удостоверяване и оторизация в различен домейн.

RADIUS сървър и RADIUS прокси

NPS може да се използва като RADIUS сървър, RADIUS прокси или и двете.

RADIUS сървър

Microsoft NPS се реализира в съответствие със стандарта RADIUS, описан в IETF RFC 2865 и RFC 2866. Като RADIUS сървър, NPS извършва централно удостоверяване, оторизация и отчитане на връзката за различни видове достъп до мрежа, включително безжичен достъп, превключване с удостоверяване, набиране -нагоре и VPN достъп, както и връзки между рутери.

Network Policy Server ви позволява да използвате хетерогенен набор от оборудване за безжичен достъп, отдалечен достъп, VPN мрежии превключване. Network Policy Server може да се използва с услугата Routing and Remote Access, която е налична в операционните системи Microsoft Windows 2000 Windows Server 2003, Standard Edition, Windows Server 2003, Enterprise Edition и Windows Server 2003, Datacenter Edition.

Ако NPS компютърът е член на домейн Active Directory®, NPS използва тази услуга на директория като база данни за потребителски акаунти и е част от решението за единичен вход. Същият набор от идентификационни данни се използва за контрол на достъпа до мрежата (удостоверяване и оторизиране на достъп до мрежата) и за влизане в домейн на Active Directory.

Доставчиците на интернет услуги и организациите, които предоставят достъп до мрежата, са изправени пред по-сложните предизвикателства за управление на всички видове мрежи от една точка на администрация, независимо от използваното оборудване за достъп до мрежата. Стандартът RADIUS поддържа тази функционалност както в хомогенна, така и в хетерогенна среда. Протоколът RADIUS е протокол клиент/сървър, който позволява на оборудването за достъп до мрежата (действащо като RADIUS клиенти) да изпраща заявки за удостоверяване и счетоводство до RADIUS сървър.

RADIUS сървърът има достъп до информацията за потребителски акаунт и може да потвърди идентификационните данни при удостоверяване, за да предостави достъп до мрежата. Ако идентификационните данни на потребителя са автентични и опитът за свързване е разрешен, RADIUS сървърът разрешава достъпа на този потребител въз основа на посочените условия и записва информацията за връзката. Използването на протокола RADIUS ви позволява да събирате и поддържате данни за удостоверяване, оторизация и счетоводство на едно място, вместо да се налага да извършвате тази операция на всеки сървър за достъп.

RADIUS прокси

Като RADIUS прокси, NPS препраща съобщения за удостоверяване и счетоводство към други RADIUS сървъри.

С NPS организациите могат да изнесат своята инфраструктура за отдалечен достъп на доставчик на услуги, като същевременно поддържат контрол върху удостоверяването на потребителя, оторизацията и счетоводството.

NPS конфигурации могат да бъдат създадени за следните сценарии:

Безжичен достъп

Dial-up или виртуална частна мрежова връзка в организация.

Отдалечен или безжичен достъп, предоставен от външна организация

достъп до интернет

Удостоверен достъп до външни мрежови ресурси за бизнес партньори

Примери за конфигурация на RADIUS сървър и RADIUS прокси сървър

Следните примери за конфигурация демонстрират как да конфигурирате NPS като RADIUS сървър и RADIUS прокси.

NPS като RADIUS сървър. В този пример NPS е конфигуриран като RADIUS сървър, единствената конфигурирана политика е политиката за заявка за връзка по подразбиране и всички заявки за връзка се обработват от локалния NPS. NPS може да удостоверява и оторизира потребители, чиито акаунти са в домейна на сървъра или в доверени домейни.

NPS като RADIUS прокси. В този пример NPS е конфигуриран като RADIUS прокси, който препраща заявки за връзка към групи от отдалечени RADIUS сървъри в два различни недоверени домейна. Правилата за заявка за свързване по подразбиране се премахва и заменя с две нови политики за заявка за свързване, които пренасочват заявките към всеки от двата ненадеждни домейна. В този пример NPS не обработва заявки за връзка на локалния сървър.

NPS като RADIUS сървър и RADIUS прокси. В допълнение към политиката за заявка за връзка по подразбиране, която обработва заявките локално, се създава нова политика за заявка за връзка, за да ги пренасочи към NPS или друг RADIUS сървър в недоверен домейн. Втората политика се нарича прокси. В този пример политиката за прокси се появява първо в подредения списък с политики. Ако заявката за връзка съвпада с политиката "Прокси", дадено исканена връзката се пренасочва към RADIUS сървъра в групата отдалечени RADIUS сървъри. Ако заявка за връзка не съответства на политиката за прокси, но съвпада с политиката за заявка за връзка по подразбиране, NPS обработва заявката за връзка на локалния сървър. Ако заявка за връзка не съответства на нито една от тези правила, тя се отхвърля.

NPS като RADIUS сървър с отдалечени счетоводни сървъри. В този пример локалният NPS не е конфигуриран за отчитане и политиката за заявка за връзка по подразбиране е променена, така че съобщенията за отчитане на RADIUS да се препращат към NPS или друг RADIUS сървър в групата отдалечени RADIUS сървъри. Въпреки че счетоводните съобщения се препращат, съобщенията за удостоверяване и оторизация не се препращат и подходящата функционалност за локалния домейн и всички доверени домейни се обработва от локалния NPS.

NPS с отдалечен RADIUS към потребителско картографиране на Windows. В този пример NPS действа както като RADIUS сървър, така и като RADIUS прокси за всяка отделна заявка за връзка, като пренасочва заявката за удостоверяване към отдалечен RADIUS сървър, като едновременно с това оторизира с помощта на локален потребителски акаунт на Windows. Тази конфигурация се реализира чрез задаване на атрибута Remote RADIUS Server Mapping към потребител на Windows като условие на политиката за заявка за връзка. (Освен това трябва да създадете локален потребителски акаунт на RADIUS сървъра със същото име като отдалечения акаунт, срещу който отдалеченият RADIUS сървър ще се удостоверява.)

Сървър за политика за защита на мрежовия достъп

Компонентът за защита на мрежовия достъп е включен в Windows Vista®, Windows® 7, Windows Server® 2008 и Windows Server® 2008 R2. Той помага за защитата на достъпа до частни мрежи, като гарантира, че клиентските компютри спазват здравните политики, които са в сила в мрежата на организацията, когато позволява на тези клиенти да имат достъп до мрежови ресурси. В допълнение, съответствието на клиентския компютър с дефинирана от администратор здравна политика се наблюдава от защитата на мрежовия достъп, докато клиентският компютър е свързан към мрежата. С възможността за автоматично актуализиране на защитата на мрежовия достъп, несъвместимите компютри могат да бъдат автоматично актуализирани в съответствие със здравната политика, така че по-късно да им бъде предоставен достъп до мрежата.

Системните администратори дефинират политики за здравето на мрежата и създават тези политики, използвайки NAP компоненти, които са налични от NPS или доставени от други компании (в зависимост от прилагането на NAP).

Здравните политики могат да имат характеристики като софтуерни изисквания, изисквания за актуализация на защитата и изисквания за настройки за конфигурация. Защитата на мрежовия достъп налага здравни политики, като проверява и оценява здравето на клиентските компютри, ограничава мрежовия достъп до компютри, които не отговарят на тези изисквания, и коригира това несъответствие, за да осигури неограничен достъп до мрежата.

Преди да разработите сокет сървър, трябва да създадете сървър за политики, който казва на Silverlight кои клиенти имат право да се свързват към сървъра на сокетите.

Както е показано по-горе, Silverlight не позволява зареждане на съдържание или извикване на уеб услуга, ако домейнът няма .xml файл на clientaccesspolicy или файл за кръстосани домейни. xml, където тези операции са изрично разрешени. Подобно ограничение се прилага към сървъра на сокетите. Ако не позволите на клиентското устройство да изтегли файла clientaccesspolicy .xml, който позволява отдалечен достъп, Silverlight ще откаже да установи връзка.

За съжаление, предоставяне на клиентска политика за достъп. cml към приложение за сокет е по-голямо предизвикателство, отколкото предоставянето му чрез уебсайт. Когато използвате уебсайт, софтуерът на уеб сървъра може да предостави .xml файл на clientaccesspolicy, просто не забравяйте да го добавите. В същото време, когато използвате сокет приложение, трябва да отворите сокет, до който клиентските приложения имат достъп със заявки за политика. Освен това трябва ръчно да създадете кода, който обслужва сокета. За да изпълните тези задачи, трябва да създадете сървър за политики.

По-нататък ще покажем, че сървърът за политики работи по същия начин като сървъра за съобщения, просто обработва малко по-прости взаимодействия. Сървърите за съобщения и политиките могат да бъдат създадени поотделно или комбинирани в едно приложение. Във втория случай те трябва да слушат за заявки в различни нишки. В този пример ще създадем сървър за политики и след това ще го комбинираме със сървър за съобщения.

За да създадете сървър за политики, първо трябва да създадете .NET приложение. Всеки тип .NET приложение може да служи като сървър за политики. Най-лесният начин е да използвате конзолно приложение. След като отстраните грешките в конзолното си приложение, можете да преместите кода си в услуга на Windows, така че да работи във фонов режим през цялото време.

Файл с правила

Следва файлът с правила, предоставен от сървъра за политики.

Файлът с правилата дефинира три правила.

Позволява достъп до всички портове от 4502 до 4532 (това е пълният набор от портове, поддържани от добавката Silverlight). За да промените обхвата на наличните портове, променете стойността на атрибута port на елемента.

Разрешава TCP достъп (разрешението е дефинирано в протоколния атрибут на елемента).

Позволява обаждане от всеки домейн. Следователно, приложение Silverlight, което установява връзка, може да бъде хоствано от всеки уебсайт. За да промените това правило, трябва да редактирате uri атрибута на елемента.

За да улеснят нещата, правилата на политиката се поставят във файла clientaccess-ploi.cy.xml, който се добавя към проекта. Във Visual Studio параметърът Copy to Output Directory на файла с правила трябва да бъде зададен на Cop Always. трябва просто да намери файла на твърдия диск, да го отвори и да върне съдържанието на клиентското устройство.

Клас PolicyServer

Функционалността на сървъра за политики се основава на два ключови класа: PolicyServer и PolicyConnection. Класът PolicyServer обработва изчакването на връзки. Когато получи връзка, той предава контрола на нов екземпляр на класа PoicyConnection, който предава файла на политиката на клиента. Тази процедура от две части е често срещана в мрежовото програмиране. Ще го видите повече от веднъж, когато работите със сървъри за съобщения.

Класът PolicyServer зарежда файла с правила от твърдия диск и го съхранява в полето като масив от байтове.

публичен клас PolicyServer

политика за частни байтове;

public PolicyServer(низ политикаФайл) (

За да започне да слуша, сървърното приложение трябва да извика PolicyServer. Старт(). Той създава обект TcpListener, който слуша заявки. Обектът TcpListener е конфигуриран да слуша на порт 943. В Silverlight този порт е запазен за сървъри за политики. Когато правите заявки за файлове с правила, приложението Silverlight автоматично ги насочва към порт 943.

частен слушател на TcpListener;

public void Start()

// Създаване на слушател

слушател = нов TcpListener(IPAddress.Any, 943);

// Започнете да слушате; методът Start() връща II веднага след извикване на listener.Start();

// Изчакване на връзка; методът се връща незабавно;

II чакането се извършва в отделна тема

За да приеме предложената връзка, сървърът за политики извиква метода BeginAcceptTcpClient(). Подобно на всички методи Beginxxx() на .NET рамката, той се връща веднага след като бъде извикан, изпълнявайки необходимите операции в отделна нишка. За мрежовите приложения това е много важен фактор, тъй като позволява едновременното обработване на много заявки за файлове с правила.

Забележка. Начинаещите мрежови програмисти често се чудят как повече от една заявка може да бъде обработена едновременно и смятат, че това изисква няколко сървъра. Въпреки това не е така. С този подход клиентските приложения бързо биха свършили наличните портове. На практика сървърните приложения обработват много заявки през един порт. Този процес е невидим за приложенията, тъй като вградената TCP подсистема в Windows автоматично идентифицира съобщенията и ги насочва към съответните обекти в кода на приложението. Всяка връзка е уникално идентифицирана въз основа на четири параметъра: IP адрес на клиента, номер на клиентски порт, IP адрес на сървъра и номер на порт на сървъра.

При всяка заявка се задейства методът за обратно извикване OnAcceptTcpClient(). Той отново извиква метода BeginAcceptTcpClient O, за да започне да чака следващата заявка в друга нишка и след това започва да обработва текущата заявка.

public void OnAcceptTcpClient(IAsyncResult ar) (

if (isStopped) връщане;

Console.WriteLine("Получена е заявка за политика."); // Изчаква се следващата връзка.

слушател.BeginAcceptTcpClient(OnAcceptTcpClient, null);

// Работа с текущата връзка.

TcpClient клиент = слушател.EndAcceptTcpClient(ar); PolicyConnection policyConnection = нова PolicyConnection(клиент, политика); policyConnection.HandleRequest() ;

хващам (грешно изключение) (

Всеки път, когато се получи нова връзка, се създава нов обект PolicyConnection, който да я обработва. В допълнение, обектът PolicyConnection поддържа файл с правила.

Последният компонент на класа PolicyServer е методът Stop(), който спира да чака заявки. Приложението го извиква, когато приключи.

private bool isStopped;

публична недействителност StopO(

еСтоп = вярно;

слушател. Спри се();

хващам (грешно изключение) (

Console.WriteLine(err.Message);

Следният код се използва в метода Main() на сървъра на приложения за стартиране на сървъра за политики.

static void Main (низови аргументи) (

PolicyServer policyServer = нов PolicyServer("clientaccesspolicy.xml"); policyServer.Start();

Console.WriteLine("Сървърът за правила стартира."); Console.WriteLine("Натиснете клавиша Enter, за да излезете.");

// Изчакване на натискане на клавиш; използвайки метода // Console.ReadKey(), можете да го настроите да изчака определен // ред (например да излезете) или да натиснете произволен клавиш Console.ReadLine();

policyServer.Stop();

Console.WriteLine("Край сървър на политика.");

Клас PolicyConnection

Класът PolicyConnection изпълнява по-проста задача. Обектът PolicyConnection съхранява препратка към данните от файла с правила. След това, след като методът HandleRequest() бъде извикан, обектът PolicyConnection извлича нова връзка от мрежовия поток и се опитва да я прочете. Клиентското устройство трябва да изпрати низ, съдържащ текст. След като прочете този текст, клиентското устройство записва данните за политиката в потока и затваря връзката. Следва кодът на класа PolicyConnection.

публичен клас PolicyConnection(

частен клиент TcpClient; политика за частни байтове;

public PolicyConnection(TcpClient клиент, политика за байтове) (

this.client = клиент; this.policy = политика;

// Създайте клиентска заявка частен статичен низ policyRequestString = "

public void HandleRequest()(

Поток s = client.GetStream(); // Прочетете низ за заявка за политика

байтов буфер = нов байт;

// Изчакайте само 5 секунди client.ReceiveTimeout = 5000;'

s.Read(буфер, 0, buffer.Length);

// Предайте политиката (можете също да проверите дали заявката за политика има // необходимото съдържание) s.Write(policy, 0, policy.Length);

// Затваряне на връзката client.Close();

Console.WriteLine("Обслужен файл с правила.");

И така, имаме напълно работещ сървър за политики. За съжаление, все още не може да бъде тестван, тъй като добавката Silverlight не позволява изрично заявяване на файлове с правила. Вместо това автоматично ги изисква, когато се опитва да използва сокет приложение. Преди да можете да създадете клиентско приложение за това приложение за сокет, трябва да създадете сървър.

В предишни статии този цикълнаучихте как ефективно да използвате функционалността на местните политики за сигурност, което ви позволява да защитите инфраструктурата на вашата организация възможно най-много от атаки на недоброжелатели отвън, както и от повечето действия на некомпетентни служители. Вече знаете как можете ефективно да настроите правила за акаунти, които ви позволяват да управлявате сложността на паролите на вашите потребители, да настроите правила за одит за по-нататъшен анализ на удостоверяването на вашите потребители в регистрационния файл за сигурност. Освен това научихте как да зададете права на вашите потребители, за да избегнете увреждане на вашата система и дори компютри във вашия интранет, и как можете ефективно да конфигурирате регистрационни файлове на събития, ограничени групи, системни услуги, регистър и файлова система. В тази статия ще продължим нашето изследване на местните политики за сигурност и ще научите за настройките за сигурност на кабелната мрежа за вашето предприятие.

Сървърните операционни системи на Microsoft, започвайки с Windows Server 2008, въвеждат компонента Политики за кабелна мрежа (IEEE 802.3), който осигурява автоматично конфигуриране за разгръщане на услуги за кабелен достъп с IEEE 802.1X удостоверяване за Ethernet 802.3 мрежови клиенти. За да внедрят настройки за сигурност за кабелни мрежи с помощта на групови политики, операционните системи използват услугата Wired AutoConfig (Wired AutoConfig - DOT3SVC). Текущата услуга отговаря за удостоверяването по IEEE 802.1X при свързване към Ethernet мрежи с помощта на съвместими превключватели 802.1X и също така управлява профила, използван за конфигуриране на мрежов клиент за удостоверен достъп. Също така си струва да се отбележи, че ако използвате тези правила, тогава е желателно да попречите на потребителите във вашия домейн да променят режима на стартиране на тази услуга.

Конфигуриране на политика за кабелна мрежа

Можете да зададете настройките на правилата за кабелна мрежа директно от добавката. За да конфигурирате тези настройки, изпълнете следните стъпки:

1. Отворете приставката и изберете възела в дървото на конзолата, щракнете с десния бутон върху него и изберете командата от контекстното меню „Създаване на нова политика за кабелна мрежа за Windows Vista и по-късно“както е показано на следната илюстрация:

   Ориз. 1. Създайте политика за кабелна мрежа

2. В отворения диалогов прозорец „Нова политика за свойства на кабелни мрежи“, в раздела "Общ", можете да посочите да използвате услугата Wired AutoConfig за конфигуриране на LAN адаптери за свързване към кабелна мрежа. В допълнение към настройките на правилата, които се прилагат за Windows Vista и по-нови операционни системи, има някои настройки на правилата, които ще се прилагат само за операционни системи Windows 7 и Windows Server 2008 R2. В този раздел можете да направите следното:
   • Име на политиката. В това текстово поле можете да дадете име на вашата политика за кабелна мрежа. Можете да видите името на политиката в панела с подробности на възела „Правила за кабелна мрежа (IEEE 802.3)“щракване Редактор за управление на групови правила;
   • Описание. Това текстово поле е за попълване на подробно описание на целта на политиката за кабелна мрежа;
   • Използвайте услугата Windows Wired AutoConfig за клиенти. Тази опция прави действителната конфигурация и свързва клиентите към кабелна 802.3 мрежа. Ако деактивирате тази опция, операционната система Windows няма да контролира кабелната мрежова връзка и настройките на правилата няма да влязат в сила;
   • Предотвратете използването на споделени потребителски идентификационни данни за мрежово удостоверяване. Тази настройка определя дали потребителят трябва да бъде възпрепятстван да съхранява споделени потребителски идентификационни данни за мрежово удостоверяване. Можете да промените тази настройка локално с командата netsh lan set allowexplicitcreds;
   • Активиране на периода на блокиране. Тази настройка определя дали да се предотврати автоматичното свързване на компютъра към кабелна мрежа за броя минути, който сте посочили. По подразбиране е 20 минути. Периодът на блокиране се регулира от 1 до 60 минути.

"Общ"правила за кабелна мрежа:

Ориз. 2. Раздел Общи на диалоговия прозорец за настройки на правилата за кабелна мрежа

3. В раздела "безопасност"предоставя опции за конфигурация за метода на удостоверяване и режима на кабелна връзка. Можете да персонализирате следните параметрисигурност:
   • Активирайте IEEE 802.1X удостоверяване за достъп до мрежата. Тази опция се използва директно за активиране или деактивиране на 802.1X удостоверяване за достъп до мрежата. Тази опция е активирана по подразбиране;
   • Изберете метод за мрежово удостоверяване. Използвайки този падащ списък, можете да посочите един от методите за удостоверяване на мрежовия клиент, който ще бъде приложен към вашата политика за кабелна мрежа. Предлагат се следните две опции за избор:
     • Microsoft: защитени EAP (PEAP). За този метод на удостоверяване прозорецът "Имоти"съдържа конфигурационни настройки за използвания метод за удостоверяване;
     • Microsoft: смарт карти или друг сертификат. За този метод за удостоверяване, в прозореца "Имоти"предоставя опции за конфигурация, които ви позволяват да посочите смарт карта или сертификат, към които да се свържете, както и списък с доверени основни CA.

   Метод, избран по подразбиране Microsoft: защитени EAP (PEAP);

4. Режим на удостоверяване. Този падащ списък се използва за извършване на мрежово удостоверяване. Следните четири опции са налични за избор:
   • Удостоверяване на потребител или компютър. Ако е избрана тази опция, ще се използват идентификационни данни за защита въз основа на текущото състояние на компютъра. Дори ако никой потребител не е влязъл, удостоверяването ще се извърши с помощта на идентификационните данни на компютъра. Когато потребител влезе, ще бъдат използвани идентификационните данни на влезлия потребител. Microsoft препоръчва използването на тази настройка за режим на удостоверяване в повечето случаи.
   • Само за компютър. В този случай се удостоверяват само идентификационните данни на компютъра;
   • Удостоверяване на потребителя. При избора даден параметърАктивира принудително удостоверяване на потребителя само при свързване към ново 802.1X устройство. Във всички останали случаи удостоверяването се извършва само за компютъра;
   • Удостоверяване на гост. Тази настройка ви позволява да се свържете с мрежата въз основа на акаунт на гост.
5. Максимален брой грешки при удостоверяване. Тази настройка ви позволява да посочите максималния брой грешки при удостоверяване. Стойността по подразбиране е 1;
6. Кеширайте потребителски данни за последващи връзки към тази мрежа. Когато тази настройка е активирана, потребителските идентификационни данни ще се съхраняват в системния регистър и няма да се изискват идентификационни данни, когато потребителят излезе и след това влезе.

Следващата илюстрация показва раздела "безопасност"този диалогов прозорец:

Ориз. 3. Раздел Защита на диалоговия прозорец Настройки на политиката за кабелна мрежа

Свойства на режимите на удостоверяване

Както беше обсъдено в предишния раздел, и двата метода за удостоверяване имат допълнителни настройкикоито се извикват при щракване върху бутона. "Имоти". В този раздел ще разгледаме всички възможни настройкиза методи за удостоверяване.

Настройки на метода за удостоверяване „Microsoft: Secure EAP (PEAP)“.

EAP (Extensible Authentication Protocol, Extensible Authentication Protocol) е разширяема инфраструктура за удостоверяване, която определя формата на пакета. Налични са следните опции за конфигуриране на този метод за удостоверяване:

Активирайте бързо повторно свързване. Тази опция позволява на потребителите с безжични компютрида се придвижвате бързо между точките за достъп без повторно удостоверяване в нова мрежа. Това превключване може да работи само за точки за достъп, които са конфигурирани като RADIUS клиенти. Тази опция е активирана по подразбиране;

Активирайте защитата на мрежовия достъп. Когато е избрана тази опция, преди да се позволи на кандидатите за EAP да се свържат към мрежата, ще бъдат извършени подходящи проверки, за да се определи проверката на здравните изисквания;

Прекъснете връзката, ако сървърът не поддържа криптирано обвързване чрез TLV механизма. Тази опция е отговорна за карането на свързващи се клиенти да прекъснат процеса на удостоверяване, ако RADIUS сървърът не предоставя криптографска стойност на TLV свързване, която подобрява сигурността на TLS тунела в PEAP чрез комбиниране на вътрешни и външни методи за удостоверяване, така че нападателите да не могат да извършват атаки за подправяне. трета страна;

Активирайте самоличността за поверителност. Тази настройка не позволява на клиентите да подават своята самоличност, преди клиентът да е удостоверил RADIUS сървъра, и по избор предоставя място за въвеждане на стойност на анонимна самоличност.

Диалоговият прозорец Secure EAP Properties е показан на следната илюстрация:

Ориз. 5. Диалогов прозорец Secure EAP Properties

Настройки на метода за удостоверяване "Смарт карта или друг сертификат - настройки на EAP-TLS"

Налични са следните опции за конфигуриране на този метод за удостоверяване:

• Използвайте моята смарт карта при свързване. Ако зададете радио бутона на тази позиция, клиентите, които правят заявки за удостоверяване, ще представят сертификат за смарт карта за мрежово удостоверяване;
• Когато се свързвате, използвайте сертификата на този компютър. Когато е избрана тази опция, проверката на клиентската връзка ще използва сертификата, намиращ се в текущия потребител или локален компютърен магазин;
• Използвайте прост избор на сертификат. Тази опция позволява на операционната система Windows да филтрира сертификати, които не отговарят на изискванията за удостоверяване;
• Проверете сертификата на сървъра. Тази опция ви позволява да зададете проверката на сертификата на сървъра, който се предоставя на клиентските компютри за валиден подпис без изтекъл срок, както и наличието на доверен главен сертифициращ орган, който е издал сертификата на този сървър
• Свържете се със сървъри. Тази опция е идентична с опцията със същото име, описана в предишния раздел;
• Доверен коренови центровесертифициране. Точно както в диалоговия прозорец със защитени EAP свойства, в този списък можете да намерите всички доверени основни сертифициращи органи, които са инсталирани в потребителските и компютърни магазини за сертификати;
• Не подканвайте потребителя да оторизира нови сървъри или доверени сертифициращи органи. С отметка на тази опция, ако има неправилно конфигуриран сървърен сертификат или присъства в списъка за потребителя, няма да се покаже диалогов прозорец с молба да оторизирате такъв сертификат. Тази опция е деактивирана по подразбиране;
• Използвайте различно потребителско име, за да се свържете. Тази настройка определя дали да се използва различно потребителско име за удостоверяване от потребителското име в сертификата. Когато опцията за използване на различно потребителско име е активирана, трябва да изберете поне един сертификат от списъка с доверени основни CA.

Диалоговият прозорец за настройка на смарт карти или други сертификати се показва на следната илюстрация:

Ориз. 6. Диалогов прозорец за настройка на смарт карти или други сертификати

Ако не сте сигурни за сертификата, който сте избрали, тогава като кликнете върху бутона "Преглед на сертификата"ще може да види всички подробности за избрания сертификат, както е показано по-долу:

Ориз. 7. Вижте сертификат от списъка с доверени основни сертифициращи органи

Разширени опции за защита на кабелната политика

Вероятно сте забелязали това в раздела "безопасност"В диалоговия прозорец Настройки на правилата за кабелна мрежа има допълнителни опции за сигурност за промяна на поведението на мрежовите клиенти, които искат достъп с 802.1X удостоверяване. Разширените настройки за кабелна политика могат да бъдат разделени на две групи – настройки за IEEE 802.1X и настройки за единичен вход. Нека разгледаме всяка от тези групи:

В групата настройки на IEEE 802.1X можете да зададете характеристиките на заявките за кабелна мрежа с 802.1X удостоверяване. Следните опции са налични за редактиране:

• Приложете разширени настройки 802.1X. Тази опция ви позволява да активирате следните четири настройки;
• Макс. Съобщения на EAPOL. EAPOL е EAP протокол, който се използва преди компютърът да има време да се удостовери и само след успешно „влизане“ целият друг трафик ще може да премине през порта на комутатора, към който е свързан този компютър. Тази настройка е отговорна за максимална сумаизпратени EAPOL-Start съобщения;
• Период на забавяне (сек). Тази настройка контролира забавянето в секунди, преди да бъде направена следващата заявка за удостоверяване 802.1X след получаване на известие за неуспешно удостоверяване;
• Начален период (начален период). Този параметър контролира времето за изчакване преди повторно изпращане на последователни EAPOL-Start съобщения;
• Период на проверка (сек). Този параметър указва броя на секундите между повторното предаване на последователни първоначални EAPOL съобщения след иницииране на проверка на преходен достъп 802.1X;
• EAPOL-Съобщение за стартиране. С този параметър можете да зададете следните характеристики на предаване на първоначалните EAPOL съобщения:
  • Не прехвърляйте. Ако е избрана тази опция, съобщенията на EAPOL няма да се предават;
  • Прехвърлена. Ако е избрана тази опция, клиентът ще трябва ръчно да изпрати първоначални EAPOL съобщения;
  • IEEE 802.1X предаване. когато е избрана тази опция (дефинирана по подразбиране), съобщенията на EAPOL ще бъдат изпращани до автоматичен режим, изчаква 802.1X удостоверяване да започне.

Когато се използва единичен вход, удостоверяването трябва да се извърши въз основа на конфигурацията за мрежова сигурност по време на процеса на влизане на потребителя в операционната система. За пълна персонализацияпрофили за еднократно влизане са налични следните опции:

• Активиране на единичен вход за мрежата. Активирането на тази опция активира настройките за единичен вход;
• Активирайте точно преди влизане на потребителя. Ако отметнете тази опция, тогава 802.1X удостоверяването ще бъде извършено, преди потребителят да завърши влизането;
• Активирайте веднага след влизане на потребителя. Ако отметнете тази опция, тогава 802.1X удостоверяването ще се извърши, след като потребителят влезе;
• Макс. забавяне на връзката. Този параметър определя максималното време, за което трябва да бъде завършено удостоверяването и съответно колко време ще изчака потребителят, преди да се появи прозорецът за влизане на потребителя;
• Разрешете показването на допълнителни диалогови прозорци с единичен вход. Тази настройка е отговорна за показването на диалоговия прозорец за влизане на потребителя;
• Тази мрежа използва различни VLAN за удостоверяване на идентификационни данни на машината и потребителя. Ако посочите тази настройка, при стартиране всички компютри ще бъдат поставени в една виртуална мрежа и след успешно влизане на потребителя, в зависимост от разрешенията, те ще бъдат прехвърлени в различни виртуални мрежи. Има смисъл да активирате тази опция само ако имате няколко VLAN във вашето предприятие.

Диалогов прозорец допълнителни опцииПолитиката за сигурност на кабелната мрежа е показана на следната илюстрация:

Ориз. Фигура 8. Диалогов прозорец Разширени настройки за защита на политиката за кабелни мрежи

Заключение

В тази статия научихте за всички настройки на правилата за кабелна мрежа на IEE 802.1X. Научихте как можете да създадете такава политика и научихте за методите за удостоверяване на EAP и удостоверяването с помощта на смарт карти или други сертификати. В следващата статия ще научите за локалните политики за сигурност на Network List Manager.

Политиките в Exchange Server 2003 са предназначени да увеличат гъвкавостта на администрирането, като същевременно намаляват тежестта за администраторите. Политиката е набор от настройки за конфигурация, които се прилагат към един или повече обекти от същия клас в Exchange. Например, можете да създадете политика, която засяга определени настройки на някои или всички сървъри на Exchange. Ако трябва да промените тези настройки, просто трябва да промените тази политика и тя ще бъде приложена към съответната организация на сървъра.

Има два типа политики: системна политика и политика на получателя. Правилата за получатели се прилагат към обектите за достъп до поща и определят как се генерират имейл адресите. Политиките за получателите се обсъждат в „Създаване и управление на получатели“. Системните политики се прилагат за сървъри, съхранение пощенски кутиии магазини за публични папки. Тези правила се появяват в контейнера Политики в групата, отговорна за администрациятази политика (Фигура 12.10).

Ориз. 12.10.Обект на системна политика

Забележка. Инсталацията на Exchange Server 2003 не създава контейнер по подразбиране за системни политики. Той трябва да бъде създаден преди изграждането на системни политики. Щракнете с десния бутон върху административната група, в която искате да създадете папка с правила, задръжте курсора на мишката върху Нова и изберете Контейнер за системни правила.

Създайте системна политика

За да създадете системна политика, отидете на съответния контейнер за системни политики, щракнете с десния бутон върху контейнера и след това изберете типа политика за създаване: политика на сървъра, политика за съхранение на пощенска кутия или политика за съхранение на публични папки.

Когато работите със системни политики, не забравяйте да създадете обект на политика в групата, който отговаря за администрирането на тази политика. В противен случай може да възникне грешка при избора на хора, които упражняват административен контрол върху критични политики. Нека да разгледаме как се създава всеки от трите типа политики, като се започне от политиките на сървъра.

Създайте политика на сървъра

Политиката на сървъра определя настройките за проследяване на съобщения и поддръжка на регистрационните файлове. Това не се отнася за настройките за сигурност или други настройки на сървърите в тази административна група. За да създадете сървърна политика, щракнете с десния бутон върху контейнера Системни политики, посочете Нова и след това изберете опцията Политика на сървъра. Ще се появи диалоговият прозорец Нова политика, показан на фигура 1. 12.11, който определя разделите, които се показват на страницата със свойства на правилата. Има само една опция за политиката на сървъра: раздел Общи. Проверете опцията за този раздел и след това щракнете върху OK. Ще се покаже прозорец за конфигурация, в който ще бъде създадена политиката.

Ориз. 12.11.

След това трябва да въведете име за политиката в прозореца на раздела Общи на страницата със свойства на политиката. Както е показано на Фигура 12.12, всъщност има два раздела Общи. Първият раздел се използва за въвеждане на името на политиката. Изберете име, за да опишете задачата, която тази политика е предназначена да изпълнява, като например Правила за проследяване на съобщения или Разрешаване на политиката за регистриране на субекти. Подходящо име, избрано на този етап, ще спести време, защото няма да е необходимо да отваряте страницата със свойства на политиката, за да определите нейната цел.

Разделът Общи (Политика), показан на фиг. 12.13 съдържа действителните настройки на политиката, приложени към Exchange сървърите на въпросната организация. Разделът се нарича Общи (Политика), защото потенциално конфигурира раздела Общи на страниците със свойства за всички налични сървъри. (По-късно в тази глава ще видим как да приложим тази политика към всички сървъри в една организация.) Ако сравните този раздел с раздела Общи на страницата със свойства на сървъра, ще видите, че разделите са едни и същи, с изключение на идентифициращата информация в горната част на раздела.

Разделът Общи (Политика) позволява регистриране и разрешаване на регистриране и показване на теми за всички съществуващи сървъри на Exchange 2003. Тази настройка работи във връзка с опцията Разрешаване на проследяване на съобщения, за да активирате проследяване на съобщения, изпратени в организацията. Тези опции са полезни за отстраняване на източника на проблеми, които възникват, когато някои потребители не получават съобщения от други потребители. Възможно е да се проследи преминаването на съобщение през организация, за да се определи къде има проблеми с предаването на данни. За повече информация относно проследяването на съобщенията и регистрирането на темата на съобщенията вижте Глава 6, Функционалност, сигурност и поддръжка на Exchange Server 2003.

Ориз. 12.12.

Ориз. 12.13.

След като дадена политика влезе в сила, тя не може да бъде променена на ниво локални сървъри. Политиката за проследяване на съобщения, която използвахме като пример, беше генерирана на сървър EX-SRV1 в администраторската група на Аризона. На

Функционалността в операционната система Windows Server се изчислява и подобрява от версия на версия, има все повече роли и компоненти, така че в днешната статия ще се опитам да опиша накратко описание и предназначение на всяка роля в Windows Server 2016.

Преди да продължим с описанието на сървърните роли на Windows Server, нека разберем какво точно е " Роля на сървъра» на операционната система Windows Server.

Какво е „роля на сървъра“ в Windows Server?

Роля на сървъра- това е софтуерен пакет, който осигурява изпълнението на определена функция от сървъра, като тази функция е основната. С други думи, " Роля на сървъра' е дестинацията на сървъра, т.е. за какво е. За да може сървърът да изпълнява основната си функция, т.е. определена роля в Роля на сървъра» включва целия необходим софтуер за това ( програми, услуги).

Сървърът може да има една роля, ако се използва активно, или няколко, ако всяка от тях не натоварва силно сървъра и се използва рядко.

Ролята на сървъра може да включва множество услуги за роли, които осигуряват функционалността на ролята. Например в ролята на сървъра " уеб сървър (IIS)” включва доста голям брой услуги, а ролята “ DNS сървър» не включва ролеви услуги, тъй като тази роля изпълнява само една функция.

Role Services могат да бъдат инсталирани всички заедно или поотделно, в зависимост от вашите нужди. По същество инсталирането на роля означава инсталиране на една или повече от нейните услуги.

Windows Server също има " Компоненти» сървър.

Сървърни компоненти (функция)са софтуерни инструменти, които не са сървърна роля, но разширяват възможностите на една или повече роли или управляват една или повече роли.

Някои роли не могат да бъдат инсталирани, ако сървърът няма необходими услуги или компоненти, които са необходими за функционирането на ролите. Следователно, в момента на инсталиране на такива роли " Съветник за добавяне на роли и функции» автоматично ще ви подкани да инсталирате необходимите допълнителни ролеви услуги или компоненти.

Описание на сървърните роли на Windows Server 2016

Вероятно вече сте запознати с много от ролите, които са в Windows Server 2016, тъй като те съществуват от доста време, но както казах, с всяка нова версия на Windows Server се добавят нови роли, които може да не сте работили с още, но бихме искали да знаем за какво служат, така че нека започнем да ги разглеждаме.

Забележка! Можете да прочетете за новите функции на операционната система Windows Server 2016 в материала "Инсталиране на Windows Server 2016 и преглед на новите функции".

Тъй като много често инсталирането и администрирането на роли, услуги и компоненти става с помощта на Windows PowerShell, ще посоча за всяка роля и нейната услуга име, което може да се използва в PowerShell, съответно за инсталирането му или за управление.

DHCP сървър

Тази роля ви позволява централно да конфигурирате динамични IP адреси и свързаните с тях настройки за компютри и устройства във вашата мрежа. Ролята на DHCP сървъра няма ролеви услуги.

Името на Windows PowerShell е DHCP.

DNS сървър

Тази роля е предназначена за разрешаване на имена в TCP/IP мрежи. Ролята на DNS сървър осигурява и поддържа DNS. За да се опрости управлението на DNS сървър, той обикновено се инсталира на същия сървър като Active Directory Domain Services. Ролята на DNS сървъра няма услуги за роли.

Името на ролята за PowerShell е DNS.

Hyper-V

С ролята на Hyper-V можете да създавате и управлявате виртуализирана среда. С други думи, това е инструмент за създаване и управление на виртуални машини.

Името на ролята за Windows PowerShell е Hyper-V.

Атестация за здравето на устройството

роля" » ви позволява да оцените изправността на устройството въз основа на измерени показатели за параметри за сигурност, като индикатори за състоянието на сигурно зареждане и Bitlocker на клиента.

За функционирането на тази роля са необходими много ролеви услуги и компоненти, например: няколко услуги от ролята " уеб сървър (IIS)", компонент " ", компонент " Функции на .NET Framework 4.6».

По време на инсталацията всички необходими ролеви услуги и функции ще бъдат избрани автоматично. Ролята " Атестация за здравето на устройството» Няма ролеви услуги.

Името на PowerShell е DeviceHealthAttestationService.

уеб сървър (IIS)

Осигурява надеждна, управляема и мащабируема инфраструктура на уеб приложения. Състои се от доста голям брой услуги (43).

Името на Windows PowerShell е Web-Server.

Включва следните ролеви услуги ( в скоби ще посоча името на Windows PowerShell):

Уеб сървър (Web-WebServer)- Група ролеви услуги, която осигурява поддръжка за HTML уебсайтове, ASP.NET разширения, ASP и уеб сървъра. Състои се от следните услуги:

• Сигурност (Web Security)- набор от услуги за осигуряване на сигурността на уеб сървъра.
  • Филтриране на заявки (Web-Filtering) - с помощта на тези инструменти можете да обработвате всички заявки, идващи към сървъра, и да филтрирате тези заявки въз основа на специални правила, зададени от администратора на уеб сървъра;
  • Ограничения за IP адрес и домейн (Web-IP-Security) – тези инструменти ви позволяват да разрешите или откажете достъп до съдържание на уеб сървър въз основа на IP адреса или името на домейна на източника в заявката;
  • URL авторизация (Web-Url-Auth) - инструментите ви позволяват да разработите правила за ограничаване на достъпа до уеб съдържание и да ги свържете с потребители, групи или команди за HTTP заглавки;
  • Digest Authentication (Web-Digest-Auth) – Това удостоверяване осигурява по-високо ниво на сигурност от основното удостоверяване. Дайджест автентификацията за потребителска автентификация работи като предаване на хеш на парола към контролер на домейн на Windows;
  • Основно удостоверяване (Web-Basic-Auth) – Този метод за удостоверяване осигурява силна съвместимост с уеб браузър. Препоръчва се да се използва в малки вътрешни мрежи. Основният недостатък на този метод е, че паролите, предавани по мрежата, могат да бъдат доста лесно прихванати и декриптирани, така че използвайте този метод в комбинация със SSL;
  • Удостоверяването на Windows (Web-Windows-Auth) е удостоверяване, базирано на удостоверяване на домейн на Windows. С други думи, можете да използвате акаунти в Active Directory за удостоверяване на потребители на вашите уеб сайтове;
  • Удостоверяване на картографиране на клиентски сертификат (Web-Client-Auth) – Този метод за удостоверяване използва клиентски сертификат. Този тип използва услугите на Active Directory за предоставяне на картографиране на сертификати;
  • Удостоверяване на картографиране на сертификати на IIS (Web-Cert-Auth) – Този метод също използва клиентски сертификати за удостоверяване, но използва IIS за предоставяне на картографиране на сертификати. Този тип осигурява по-добра производителност;
  • Централизирана поддръжка за SSL сертификат (Web-CertProvider) - тези инструменти ви позволяват централизирано да управлявате SSL сървърни сертификати, което значително опростява процеса на управление на тези сертификати;
• Възможност за обслужване и диагностика (Web-Health)– набор от услуги за наблюдение, управление и отстраняване на неизправности на уеб сървъри, сайтове и приложения:
  • http logging (Web-Http-Logging) - инструментите осигуряват регистриране на активността на уебсайта на даден сървър, т.е. запис в дневника;
  • ODBC Logging (Web-ODBC-Logging) – Тези инструменти също осигуряват регистриране на активността на уебсайта, но поддържат регистриране на тази дейност в ODBC-съвместима база данни;
  • Монитор на заявки (Web-Request-Monitor) е инструмент, който ви позволява да наблюдавате здравето на уеб приложение чрез прихващане на информация за HTTP заявки в работния процес на IIS;
  • Персонализирано регистриране (Web-Custom-Logging) - Използвайки тези инструменти, можете да конфигурирате регистриране на активността на уеб сървъра във формат, който се различава значително от стандартния IIS формат. С други думи, можете да създадете свой собствен модул за регистриране;
  • Инструментите за регистриране (Web-Log-Libraries) са инструменти за управление на регистрационни файлове на уеб сървъра и автоматизиране на задачи за регистриране;
  • Проследяването (Web-Http-Tracing) е инструмент за диагностициране и разрешаване на нарушения в уеб приложения.
• http общи функции (Web-Common-Http)– набор от услуги, които предоставят основна HTTP функционалност:
  • Документ по подразбиране (Web-Default-Doc) – Тази функция ви позволява да конфигурирате уеб сървъра да връща документ по подразбиране, когато потребителите не посочат конкретен документ в URL адреса на заявката, което улеснява достъпа на потребителите до уебсайта, например чрез домейн, без да се посочва файл;
  • Преглеждане на директории (Web-Dir-Browsing) – Този инструмент може да се използва за конфигуриране на уеб сървър, така че потребителите да могат да преглеждат списък с всички директории и файлове на уебсайт. Например, за случаи, когато потребителите не посочват файл в URL адреса на заявката и документите по подразбиране са или деактивирани, или не са конфигурирани;
  • http грешки (Web-Http-Errors) – тази функция ви позволява да конфигурирате съобщения за грешки, които ще се връщат в уеб браузърите на потребителите, когато уеб сървърът открие грешка. Този инструмент се използва за по-лесно представяне на съобщения за грешки на потребителите;
  • Статично съдържание (Web-Static-Content) – този инструмент ви позволява да използвате съдържание на уеб сървър под формата на статични файлови формати, като HTML файлове или файлове с изображения;
  • http пренасочване (Web-Http-Redirect) - използвайки тази функция, можете да пренасочите потребителска заявка към конкретна дестинация, т.е. това е пренасочване;
  • WebDAV Publishing (Web-DAV-Publishing) - ви позволява да използвате технологията WebDAV на IIS WEB сървъра. WebDAV ( Уеб разпределено авторство и версия) е технология, която позволява на потребителите да работят заедно ( четене, редактиране, четене на свойства, копиране, преместване) над файлове на отдалечени уеб сървъри, използващи HTTP протокол.
• производителност (ефективност в мрежата)- набор от услуги за постигане на по-висока производителност на уеб сървъра чрез кеширане на изхода и общи механизми за компресия като Gzip и Deflate:
  • Статично компресиране на съдържание (Web-Stat-Compression) е инструмент за персонализиране на компресирането на http статично съдържание, позволява по-ефективно използване на честотната лента, като същевременно без ненужно натоварване на процесора;
  • Динамично компресиране на съдържание (Web-Dyn-Compression) е инструмент за конфигуриране на HTTP динамично компресиране на съдържание. Този инструмент осигурява по-ефективно използване на честотната лента, но в този случай натоварването на сървърния процесор, свързано с динамична компресия, може да забави сайта, ако натоварването на процесора е високо дори без компресия.
• Разработване на приложения (Web-App-Dev)- набор от услуги и инструменти за разработване и хостване на уеб приложения, с други думи, технологии за разработка на уебсайтове:
  • ASP (Web-ASP) е среда за поддръжка и разработване на уеб сайтове и уеб приложения, използващи ASP технология. В момента има по-нова и усъвършенствана технология за разработка на уебсайтове – ASP.NET;
  • ASP.NET 3.5 (Web-Asp-Net) е обектно-ориентирана среда за разработка на уеб сайтове и уеб приложения, използващи ASP.NET технология;
  • ASP.NET 4.6 (Web-Asp-Net45) също е обектно-ориентирана среда за разработка на уеб сайтове и уеб приложения, използващи новата версия на ASP.NET;
  • CGI (Web-CGI) е способността да се използва CGI за предаване на информация от уеб сървър към външна програма. CGI е един вид интерфейсен стандарт за свързване на външна програма към уеб сървър. Има недостатък, използването на CGI влияе върху производителността;
  • Server Side Inclusions (SSI) (Web-Includes) е поддръжка за езика за скриптове SSI ( активиране от страна на сървъра), който се използва за динамично генериране на HTML страници;
  • Инициализация на приложение (Web-AppInit) – този инструмент изпълнява задачите по инициализиране на уеб приложения преди изпращане на уеб страница;
  • Протокол WebSocket (Web-WebSockets) - добавяне на възможност за създаване на сървърни приложения, които комуникират с помощта на протокола WebSocket. WebSocket е протокол, който може да изпраща и получава данни едновременно между браузър и уеб сървър през TCP връзка, вид разширение на HTTP протокола;
  • ISAPI разширения (Web-ISAPI-Ext) - поддръжка за динамично развитие на уеб съдържание с помощта на интерфейса за програмиране на приложението ISAPI. ISAPI е API за уеб сървъра на IIS. ISAPI приложенията са много по-бързи от ASP файлове или файлове, които извикват COM+ компоненти;
  • .NET 3.5 Extensibility (Web-Net-Ext) е функция за разширяемост на .NET 3.5, която ви позволява да променяте, добавяте и разширявате функционалността на уеб сървъра в целия тръбопровод за обработка на заявки, конфигурация и потребителски интерфейс;
  • .NET 4.6 Extensibility (Web-Net-Ext45) е функция за разширяване на .NET 4.6, която също ви позволява да променяте, добавяте и разширявате функционалността на уеб сървъра в целия тръбопровод за обработка на заявки, конфигурация и потребителски интерфейс;
  • ISAPI филтри (Web-ISAPI-Filter) - Добавете поддръжка за ISAPI филтри. ISAPI филтрите са програми, които се извикват, когато уеб сървър получи конкретна HTTP заявка, която да бъде обработена от този филтър.

FTP - сървър (Web-Ftp-Server)– услуги, които осигуряват поддръжка на FTP протокола. За FTP сървъра говорихме по-подробно в материала - "Инсталиране и конфигуриране на FTP сървър на Windows Server 2016". Съдържа следните услуги:

• FTP услуга (Web-Ftp-Service) - добавя поддръжка за FTP протокола на уеб сървъра;
• FTP разширяемост (Web-Ftp-Ext) - Разширява стандартните FTP възможности, като добавяне на поддръжка за функции като персонализирани доставчици, потребители на ASP.NET или потребители на мениджър на IIS.

Инструменти за управление (Web-Mgmt-Tools)са инструментите за управление на уеб сървъра на IIS 10. Те включват: потребителския интерфейс на IIS, инструменти на командния ред и скриптове.

• Конзолата за управление на IIS (Web-Mgmt-Console) е потребителският интерфейс за управление на IIS;
• Наборите от символи и инструментите за управление на IIS (Web-Scripting-Tools) са инструменти и скриптове за управление на IIS с помощта на командния ред или скриптове. Могат да се използват например за автоматизиране на управлението;
• Услуга за управление (Web-Mgmt-Service) - тази услуга добавя възможност за дистанционно управление на уеб сървър от друг компютър с помощта на IIS Manager;
• Управление на съвместимостта на IIS 6 (Web-Mgmt-Compat) - Осигурява съвместимост за приложения и скриптове, които използват двата IIS API. Съществуващите скриптове на IIS 6 могат да се използват за управление на уеб сървъра на IIS 10:
  • IIS 6 Compatibility Metabase (Web-Metabase) е инструмент за съвместимост, който ви позволява да стартирате приложения и набори от знаци, които са мигрирани от по-ранни версии на IIS;
  • IIS 6 Scripting Tools (Web-Lgcy-Scripting) – Тези инструменти ви позволяват да използвате същите IIS 6 Scripting Services, които са създадени за управление на IIS 6 в IIS 10;
  • IIS 6 Management Console (Web-Lgcy-Mgmt-Console) е инструмент за администриране на отдалечени IIS 6.0 сървъри;
  • IIS 6 WMI Compatibility (Web-WMI) са скриптови интерфейси на Windows Management Instrumentation (WMI) за програмно контролиране и автоматизиране на задачи на уеб сървъра на IIS 10.0 с помощта на набор от скриптове, създадени в доставчик на WMI.

Домейн услуги на Active Directory

роля" Домейн услуги на Active Directory» (AD DS) предоставя разпределена база данни, която съхранява и обработва информация за мрежовите ресурси. Тази роля се използва за организиране на мрежови елементи като потребители, компютри и други устройства в йерархична структура на задържане. Йерархичната структура включва гори, домейни в гора и организационни единици (OU) във всеки домейн. Сървърът с AD DS се нарича домейн контролер.

Името на ролята за Windows PowerShell е AD-Domain-Services.

Windows Server Essentials Mode

Тази роля е компютърна инфраструктура и предоставя удобни и ефективни функции, например: съхраняване на клиентски данни на централизирано място и защита на тези данни чрез архивиране на сървъра и клиентските компютри, отдалечен уеб достъп, който ви позволява да имате достъп до данни от почти всяко устройство . Тази роля изисква няколко ролеви услуги и функции, например: функции на BranchCache, архивиране на Windows Server, управление на групови правила, услуга за роли " DFS пространства от имена».

Името на PowerShell е ServerEssentialsRole.

Мрежов контролер

Въведена в Windows Server 2016, тази роля осигурява единна точка за автоматизация за управление, наблюдение и диагностика на физическата и виртуалната мрежова инфраструктура в центъра за данни. Използвайки тази роля, можете да конфигурирате IP подмрежи, VLAN, физически мрежови адаптери на Hyper-V хостове от една точка, да управлявате виртуални комутатори, физически рутери, настройки на защитната стена и VPN шлюзове.

Името на Windows PowerShell е NetworkController.

Услуга за пазител на възли

Това е ролята на сървъра на Hosted Guardian Service (HGS) и предоставя услуги за атестиране и защита на ключове, които позволяват на защитените хостове да изпълняват екранирани виртуални машини. За функционирането на тази роля са необходими няколко допълнителни роли и компоненти, например: Active Directory Domain Services, Web Server (IIS), " Клъстериране при отказ" и други.

Името на PowerShell е HostGuardianServiceRole.

Active Directory Lightweight Directory Services

роля" Active Directory Lightweight Directory Services» (AD LDS) е олекотена версия на AD DS, която има по-малко функционалност, но не изисква разполагане на домейни или контролери на домейни и няма зависимостите и ограниченията на домейна, изисквани от AD DS. AD LDS работи по протокола LDAP ( Облекчен протокол за достъп до директория). Можете да разположите множество AD LDS екземпляри на един и същ сървър с независимо управлявани схеми.

Името на PowerShell е ADLDS.

MultiPoint услуги

Това също е нова роля, която е нова в Windows Server 2016. MultiPoint Services (MPS) предоставя основна функционалност за отдалечен работен плот, която позволява на множество потребители да работят едновременно и независимо на един и същ компютър. За да инсталирате и работите с тази роля, трябва да инсталирате няколко допълнителни услуги и компоненти, например: Print Server, Windows Search Service, XPS Viewer и други, като всички те ще бъдат избрани автоматично по време на инсталацията на MPS.

Името на ролята за PowerShell е MultiPointServerRole.

Услуги за актуализиране на Windows Server

С тази роля (WSUS) системните администратори могат да управляват актуализациите на Microsoft. Например, създавайте отделни групи компютри за различни набори от актуализации, както и получавате отчети за съответствието на компютрите с изискванията и актуализациите, които трябва да бъдат инсталирани. за функциониране" Услуги за актуализиране на Windows Server» Имате нужда от услуги и компоненти за роли като: уеб сървър (IIS), вътрешна база данни на Windows, услуга за активиране на процеси на Windows.

Името на Windows PowerShell е UpdateServices.

• WID свързаност (UpdateServices-WidDB) - зададено на WID ( Вътрешна база данни на Windows) база данни, използвана от WSUS. С други думи, WSUS ще съхранява своите служебни данни в WID;
• WSUS Services (UpdateServices-Services) е услуги за ролята на WSUS, като услуга за актуализиране, уеб услуга за отчитане, уеб услуга за отдалечено API, клиентска уеб услуга, уеб услуга за просто удостоверяване, услуга за синхронизиране на сървър и уеб услуга за удостоверяване на DSS;
• SQL Server Connectivity (UpdateServices-DB) е инсталация на компонент, която позволява на услугата WSUS да се свързва с база данни на Microsoft SQL Server. Тази опция осигурява съхранение на служебни данни в база данни на Microsoft SQL Server. В този случай вече трябва да имате инсталиран поне един екземпляр на SQL Server.

Услуги за активиране на корпоративни лицензи

С тази роля на сървър можете да автоматизирате и опростите издаването на корпоративни лицензи за софтуер от Microsoft и също така ви позволява да управлявате тези лицензи.

Името на PowerShell е VolumeActivation.

Услуги за печат и документи

Тази роля на сървъра е предназначена за споделяне на принтери и скенери в мрежа, за централно конфигуриране и управление на сървъри за печат и сканиране и за управление на мрежови принтери и скенери. Услугите за печат и документи също ви позволяват да изпращате сканирани документи по имейл, до мрежови споделяния или до сайтове на Windows SharePoint Services.

Името на PowerShell е Print-Services.

• Сървър за печат (Print-Server) - Тази услуга за роля включва " Управление на печат”, който се използва за управление на принтери или сървъри за печат, както и за мигриране на принтери и други сървъри за печат;
• Печат през Интернет (Print-Internet) – За да се реализира печат през Интернет, се създава уебсайт, чрез който потребителите могат да управляват задания за печат на сървъра. За да работи тази услуга, както разбирате, трябва да инсталирате " уеб сървър (IIS)". Всички необходими компоненти ще бъдат избрани автоматично, когато поставите отметка в това квадратче по време на процеса на инсталиране на услугата за роли " Интернет печат»;
• Сървърът за разпределено сканиране (Print-Scan-Server) е услуга, която ви позволява да получавате сканирани документи от мрежови скенери и да ги изпращате до местоназначение. Тази услуга също съдържа " Управление на сканиране”, който се използва за управление на мрежови скенери и за конфигуриране на сканиране;
• LPD услуга (Print-LPD-Service) - LPD услуга ( Демон на линейния принтер) позволява на UNIX-базирани компютри и други компютри, използващи услугата Line Printer Remote (LPR), да отпечатват на споделените принтери на сървъра.

Мрежова политика и услуги за достъп

роля" » (NPAS) позволява на сървъра за мрежови политики (NPS) да задава и налага достъп до мрежата, удостоверяване и упълномощаване и политики за здравето на клиента, с други думи, за защита на мрежата.

Името на Windows PowerShell е NPAS.

Услуги за внедряване на Windows

С тази роля можете да инсталирате дистанционно операционната система Windows през мрежа.

Името на ролята за PowerShell е WDS.

• Сървър за внедряване (WDS-Deployment) - тази услуга за роля е предназначена за отдалечено внедряване и конфигуриране на операционни системи Windows. Освен това ви позволява да създавате и персонализирате изображения за повторна употреба;
• Транспортен сървър (WDS-Transport) – Тази услуга съдържа основните мрежови компоненти, с които можете да прехвърляте данни чрез мултикастиране на самостоятелен сървър.

Сертификационни услуги на Active Directory

Тази роля е предназначена за създаване на сертифициращи органи и свързани ролеви услуги, които ви позволяват да издавате и управлявате сертификати за различни приложения.

Името на Windows PowerShell е AD-Certificate.

Включва следните ролеви услуги:

• Сертифициращ орган (ADCS-Cert-Authority) - използвайки тази услуга за роля, можете да издавате сертификати на потребители, компютри и услуги, както и да управлявате валидността на сертификата;
• Уеб услуга за правила за регистрация на сертификати (ADCS-Enroll-Web-Pol) – Тази услуга позволява на потребителите и компютрите да получават информация за правилата за регистрация на сертификати от уеб браузър, дори ако компютърът не е член на домейн. За функционирането му е необходимо уеб сървър (IIS)»;
• Уеб услуга за регистрация на сертификати (ADCS-Enroll-Web-Svc) – Тази услуга позволява на потребителите и компютрите да регистрират и подновяват сертификати с помощта на уеб браузър през HTTPS, дори ако компютърът не е член на домейн. То също трябва да функционира уеб сървър (IIS)»;
• Онлайн отговорник (ADCS-Online-Cert) – Услугата е предназначена да проверява анулирането на сертификат за клиенти. С други думи, той приема заявка за състояние на анулиране за конкретни сертификати, оценява състоянието на тези сертификати и изпраща обратно подписан отговор с информация за състоянието. За да функционира услугата е необходимо уеб сървър (IIS)»;
• Уеб услуга за регистрация на сертифициращия орган (ADCS-Web-Enrollment) – Тази услуга предоставя уеб интерфейс за потребителите за изпълнение на задачи като заявка и подновяване на сертификати, получаване на CRL и регистриране на сертификати за смарт карти. За да функционира услугата е необходимо уеб сървър (IIS)»;
• Услуга за регистрация на мрежово устройство (ADCS-Device-Enrollment)—с помощта на тази услуга можете да издавате и управлявате сертификати за рутери и други мрежови устройства, които нямат мрежови акаунти. За да функционира услугата е необходимо уеб сървър (IIS)».

Услуги за отдалечен работен плот

Роля на сървъра, която може да се използва за предоставяне на достъп до виртуални настолни компютри, настолни компютри, базирани на сесии, и RemoteApps.

Името на ролята за Windows PowerShell е Remote-Desktop-Services.

Състои се от следните услуги:

• Уеб достъп до отдалечен работен плот (RDS-Web-Access) - Тази услуга за роля позволява на потребителите да имат достъп до отдалечени работни плотове и приложения RemoteApp чрез " Започнете» или с помощта на уеб браузър;
• Лицензиране на отдалечен работен плот (RDS-лицензиране) – Услугата е предназначена за управление на лицензи, които са необходими за свързване към хост сървър на отдалечен работен плот или виртуален работен плот. Може да се използва за инсталиране, издаване на лицензи и проследяване на тяхната наличност. Тази услуга изисква " уеб сървър (IIS)»;
• Брокер за свързване на отдалечен работен плот (RDS-Connection-Broker) е услуга за роли, която предоставя следните възможности: повторно свързване на потребител към съществуващ виртуален работен плот, приложение RemoteApp и базиран на сесия работен плот, както и балансиране на натоварването между настолни компютри на хост сървъри на отдалечена сесия или между обединени виртуални настолни компютри. Тази услуга изисква " »;
• Хост за виртуализация на отдалечен работен плот (DS-Virtualization) – Услугата позволява на потребителите да се свързват с виртуални настолни компютри с помощта на RemoteApp и Desktop Connection. Тази услуга работи във връзка с Hyper-V, т.е. тази роля трябва да бъде инсталирана;
• Хост за сесии на отдалечен работен плот (RDS-RD-Server) – Тази услуга може да хоства RemoteApp приложения и базирани на сесии настолни компютри на сървър. Достъпът се осъществява чрез клиента за връзка с отдалечен работен плот или RemoteApps;
• Шлюз за отдалечен работен плот (RDS-Gateway) – Услугата позволява на упълномощени отдалечени потребители да се свързват с виртуални настолни компютри, RemoteApps и базирани на сесии настолни компютри в корпоративна мрежа или през интернет. Тази услуга изисква следните допълнителни услуги и компоненти: уеб сървър (IIS)», « Мрежова политика и услуги за достъп», « RPC през HTTP прокси».

AD RMS

Това е сървърна роля, която ще ви позволи да защитите информацията от неоторизирано използване. Той валидира потребителските самоличности и предоставя лицензи на оторизирани потребители за достъп до защитени данни. Тази роля изисква допълнителни услуги и компоненти: уеб сървър (IIS)», « Услуга за активиране на процеси на Windows», « Функции на .NET Framework 4.6».

Името на Windows PowerShell е ADRMS.

• Сървър за управление на правата на Active Directory (ADRMS-Server) - услугата за основна роля, необходима за инсталиране;
• Поддръжка на федерация на идентичност (ADRMS-Identity) е услуга по избор, която позволява на обединените самоличности да консумират защитено съдържание с помощта на услугите за федерация на Active Directory.

AD FS

Тази роля осигурява опростена и сигурна федерация на самоличността и функционалност за единно влизане (SSO) за уебсайтове, използващи браузър.

Името на PowerShell е ADFS-Federation.

Отдалечен достъп

Тази роля осигурява свързаност чрез DirectAccess, VPN и прокси за уеб приложения. Също и ролята Отдалечен достъп„осигурява традиционни възможности за маршрутизиране, включително транслация на мрежови адреси (NAT) и други опции за свързване. Тази роля изисква допълнителни услуги и функции: уеб сървър (IIS)», « Вътрешна база данни на Windows».

Името на ролята за Windows PowerShell е RemoteAccess.

• DirectAccess и VPN (RAS) (DirectAccess-VPN) - услугата позволява на потребителите да се свързват към корпоративната мрежа по всяко време с достъп до Интернет чрез DirectAccess, както и да организират VPN връзки в комбинация с технологии за тунелиране и криптиране на данни;
• Routing (Routing) - услугата осигурява поддръжка за NAT рутери, LAN рутери с BGP протоколи, RIP протоколи и рутери с поддръжка на мултикаст (IGMP proxy);
• Прокси за уеб приложения (Web-Application-Proxy) – Услугата ви позволява да публикувате приложения, базирани на HTTP и HTTPS протоколите от корпоративната мрежа на клиентски устройства, които са извън корпоративната мрежа.

Услуги за файлове и съхранение

Това е роля на сървър, която може да се използва за споделяне на файлове и папки, управление и контрол на споделяния, репликиране на файлове, осигуряване на бързо търсене на файлове и предоставяне на достъп до клиентски компютри UNIX. Обсъдихме файловите услуги и по-специално файловия сървър по-подробно в материала „Инсталиране на файлов сървър (File Server) на Windows Server 2016“.

Името на Windows PowerShell е FileAndStorage-Services.

Услуги за съхранение- Тази услуга предоставя функционалност за управление на съхранение, която винаги е инсталирана и не може да бъде премахната.

Файлови услуги и iSCSI услуги (файлови услуги)са технологии, които опростяват управлението на файлови сървъри и хранилища, спестяват дисково пространство, осигуряват репликация и кеширане на файлове в клонове, а също така осигуряват споделяне на файлове чрез NFS протокола. Включва следните ролеви услуги:

• Файлов сървър (FS-FileServer) - услуга за роли, която управлява споделени папки и предоставя на потребителите достъп до файлове на този компютър през мрежата;
• Дедупликация на данни (FS-Data-Deduplication) – тази услуга спестява дисково пространство, като съхранява само едно копие на идентични данни на том;
• Мениджър на ресурси на файловия сървър (FS-Resource-Manager) - с помощта на тази услуга можете да управлявате файлове и папки на файлов сървър, да създавате отчети за съхранение, да класифицирате файлове и папки, да конфигурирате квоти на папки и да дефинирате политики за блокиране на файлове;
• iSCSI Target Storage Provider (VDS и VSS доставчици на хардуер) (iSCSITarget-VSS-VDS) – Услугата позволява на приложения на сървър, свързан към iSCSI цел, да засенчват копия на томове на iSCSI виртуални дискове;
• DFS пространства от имена (FS-DFS-Namespace) – използвайки тази услуга, можете да групирате споделени папки, хоствани на различни сървъри, в едно или повече логически структурирани пространства от имена;
• Работни папки (FS-SyncShareService) - услугата ви позволява да използвате работни файлове на различни компютри, включително работни и лични. Можете да съхранявате вашите файлове в работни папки, да ги синхронизирате и да осъществявате достъп до тях от вашата локална мрежа или интернет. За да функционира услугата, компонентът " IIS In-Process Web Core»;
• DFS репликация (FS-DFS-Replication) е многосървърна машина за репликация на данни, която ви позволява да синхронизирате папки през LAN или WAN връзка. Тази технология използва протокола Remote Differential Compression (RDC), за да актуализира само частта от файловете, които са се променили след последната репликация. DFS репликацията може да се използва със или без DFS пространства от имена;
• Сървър за NFS (FS-NFS-Service) – Услугата позволява на този компютър да споделя файлове с UNIX-базирани компютри и други компютри, които използват протокола Network File System (NFS);
• iSCSI Target Server (FS-iSCSITarget-Server) - предоставя услуги и управление за iSCSI цели;
• Услуга BranchCache за мрежови файлове (FS-BranchCache) – Услугата осигурява поддръжка на BranchCache на този файлов сървър;
• Файлов сървър VSS Agent Service (FS-VSS-Agent) – Услугата позволява сенчести копия на обеми за приложения, които съхраняват файлове с данни на този файлов сървър.

факс сървър

Ролята изпраща и получава факсове и ви позволява да управлявате факс ресурси като задания, настройки, отчети и факс устройства на този компютър или в мрежата. Изисква се за работа Сървър за печат».

Името на ролята за Windows PowerShell е Факс.

Това завършва прегледа на сървърните роли на Windows Server 2016, надявам се материалът да ви е бил полезен, засега!

Прилагане на групови правила (част 3)

Обикновено GPO се присвояват на контейнер (домейн, сайт или OU) и се прилагат към всички обекти в този контейнер. При добре организирана структура на домейна това е напълно достатъчно, но понякога е необходимо допълнително да се ограничи прилагането на политики до конкретна група обекти. За това могат да се използват два вида филтри.

Защитни филтри

Филтрите за защита ви позволяват да ограничите прилагането на политики до конкретна група за защита. Например, да вземем GPO2, който се използва за централно конфигуриране на менюто "Старт" на работни станции с Windows 8.1\Windows 10. GPO2 се присвоява на OU Employees и се прилага за всички потребители без изключение.

Сега да отидем в раздела "Обхват", където в секцията "Филтриране на сигурността" са посочени групите, към които може да се приложи този GPO. По подразбиране тук е посочена групата Удостоверени потребители. Това означава, че политиката може да се приложи към всекипотребител или компютър, който успешно се е удостоверил в домейна.

Всъщност всеки GPO има свой собствен списък за достъп, който може да се види в раздела Делегиране.

За да приложи политиката, обектът трябва да има правата за четене (Четене) и прилагане (Прилагане на групова политика), които има групата Authenticated Users. Съответно, за да може политиката да се прилага не към всички, а само към конкретна група, е необходимо да премахнете удостоверените потребители от списъка, след което да добавите желана групаи му дайте съответните разрешения.

Така че в нашия пример политиката може да се приложи само към групата Счетоводство.

WMI филтри

Windows Management Instrumentation (WMI) е един от най-мощните инструменти за управление на операционната система. Windows система. WMI съдържа огромен брой класове, с които можете да опишете почти всички потребителски и компютърни настройки. Можете да видите всички налични WMI класове като списък с помощта на PowerShell, като изпълните командата:

Get-WmiObject -List

Например вземете класа Win32_OperatingSystem, който отговаря за свойствата на операционната система. Да предположим, че искате да филтрирате всички операционни системи с изключение на Windows 10. Отиваме на компютър с инсталиран Window 10, отваряме конзолата PowerShell и показваме името, версията и типа на операционната система с помощта на командата:

Get-WmiObject -Class Win32_OperatingSystem | fl Име, Версия, Тип на продукта

За филтъра използваме версията и типа на ОС. Версията е една и съща за клиентска и сървърна ОС и се дефинира, както следва:

Windows Server 2016\Windows 10 - 10.0
Windows Server 2012 R2\Windows 8.1 - 6.3
Windows Server 2012\Windows 8 - 6.2
Windows Server 2008 R2\Windows 7 - 6.1
Windows Server 2008\Windows Vista - 6.0

Типът продукт е отговорен за предназначението на компютъра и може да има 3 стойности:

1 - работна станция;
2 - контролер на домейн;
3 - сървър.

Сега нека преминем към създаването на филтър. За да направите това, отворете добавката за управление на групови правила и отидете в секцията WMI филтри. Щракнете с десния бутон върху него и изберете New от контекстното меню.

В прозореца, който се отваря, дайте на филтъра име и описание. След това натискаме бутона "Добавяне" и в полето "Заявка" въвеждаме WQL заявката, която е в основата на WMI филтъра. Трябва да изберем OS версия 10.0 с тип 1, така че заявката ще изглежда така:

ИЗБЕРЕТЕ * ОТ Win32_OperatingSystem КЪДЕ Версия КАТО ″10.0%″ И ProductType = ″1″

Забележка. Windows Query Language (WQL) - език за заявки на WMI. Можете да научите повече за това в MSDN.

Запазете получения филтър.

Сега всичко, което остава, е да присвоите WMI филтъра на GPO, като GPO3. Отидете в свойствата на GPO, отворете раздела "Обхват" и в полето "WMI Filtering" изберете желания филтър от списъка.

Анализ на прилагането на групови политики

При толкова много методи за GPO филтриране е необходимо да можете да диагностицирате и анализирате тяхното приложение. Най-лесният начин да проверите ефекта на груповите политики на компютър е да използвате помощната програма на командния ред gpresult.

Например, нека отидем на компютъра wks2, на който е инсталиран Windows 7, и да проверим дали WMI филтърът работи. За да направите това, отворете cmd конзолата с администраторски права и изпълнете командата gpresult /r, който показва обобщена информация за груповите политики, приложени към потребителя и компютъра.

Забележка.Помощната програма gpresult има много настройки, които могат да се видят с командата gpresult /?.

Както можете да видите от получените данни, GPO3 политиката не е приложена към компютъра, тъй като е филтрирана от WMI филтъра.

Можете също да проверите действието на GPO от добавката за управление на групови правила, като използвате специален съветник. За да стартирате съветника, щракнете с десния бутон върху секцията "Резултати от групови правила" и изберете елемента "Помощник за резултати от групови правила" в менюто, което се отваря.

Посочете името на компютъра, за който ще бъде генериран отчетът. Ако искате да видите само настройките на специфичните за потребителя групови правила, можете да изберете да не събирате настройки за компютъра. За да направите това, поставете отметка в квадратчето по-долу (показване само на настройките на потребителските правила).

След това избираме потребителското име, за което ще се събират данни, или можете да посочите да не включвате настройките на груповата политика за потребителя в отчета (само за показване на настройките на компютърната политика).

Проверяваме избраните настройки, щракваме върху „Напред“ и изчакваме, докато се съберат данните и се генерира отчетът.

Отчетът съдържа изчерпателни данни за GPO, приложени (или неприложени) към потребителя и компютъра, както и използваните филтри.

Например, нека създадем отчети за двама различни потребители и да ги сравним. Нека първо отворим отчета за потребителя Kirill и отидем в секцията с потребителски настройки. Както можете да видите, GPO2 политиката не е била приложена към този потребител, тъй като той няма права да я прилага (Причина Отказано - Недостъпно).

И сега нека отворим отчета за потребителя Oleg. Този потребител е член на счетоводната група, така че политиката е приложена успешно към него. Това означава, че защитният филтър е завършен успешно.

С това може би ще завърша ″увлекателната″ история за прилагането на груповите политики. Надявам се тази информация да бъде полезна и да ви помогне в нелеката задача по системно администриране 🙂