Windows Server 2003. Gestión de GPOs Fernando Punzón Ortiz Código: HOL-WIN02.

Presentación del tema: "Windows Server 2003. Gestión de GPOs Fernando Punzón Ortiz Código: HOL-WIN02."— Transcripción de la presentación:

1 Windows Server 2003. Gestión de GPOs Fernando Punzón Ortiz fpunzon@informatica64.com Código: HOL-WIN02

2 Agenda Introducción Infraestructura de GPO GPMC Plantillas de Seguridad Migración de GPO

3 Introducción Las GPO gestionan configuraciones especificas para máquinas y usuarios Incluyen entre otras las siguientes opciones: –Seguridad –Instalacion de Software –Redireccion de carpetas –Mantenimiento de Internet Explorer Las GPO se vinculan a contenedores: –Sitios –Dominios –Unidades organizativas

4 Requisitos Para el uso de GPO: –Directorio Activo –Clientes con Windows 2000 o posteriores Para el uso de la GPMC –Un dominio Windows 2000 o Windows 2003 –Aunque la herramienta debe instalarse en Windows 2003 o Windows XP con SP1

5 Novedades en Windows 2003 Restauracion del sistema Terminal server. Personal firewall. Panel de control Windows Media® Player. Configuracion Wireless Restricciones de software

6 GPMC

7 Agenda Infraestructura de GPO

8 Caracteristicas generales Las GPOs no pueden vincularse directamente a usuarios, equipos o grupos. Una GPO puede vincularse a más de un sitio, dominio o unidad organizativa. Un sitio, dominio o unidad organizativa puede tener varias GPOs vinculadas

9 Orden general de aplicación Local Security Policy Site Policy Domain Policy Parent OU Policy Child OU Policy

10 Ejemplo de aplicacion

11 Gestion de la herencia de las GPO Precedencia cuando existen varias GPO vinculadas a un contenedor Bloqueo de la herencia, a nivel del contenedor que no recibe la herencia desde el contenedor padre –P.e.bloquear una GPO que se aplica para todo el dominio en una determinada OU. No sobreescritura, asegura la precedencia de la GPO del contenedor de mas alto nivel Deshabilitacion de la GPO –Completa –A nivel de equipo, o de usuario

12 Filtrado del ambito de la GPO Filtrado de Seguridad Filtros WMI

13 Filtrado de Seguridad Permite la aplicación de la GPO únicamente a determinados grupos usuarios o maquinas Revocación de los permisos de Lectura y Apply Group Policy (AGP) Por defecto todas las GPO conceden permisos de Lectura y Apply Group Policy (AGP) al grupo de usuarios autentificados que incluye usuarios y maquinas

14 Filtros WMI Los filtros WMI permiten determinar dinámicamente el ámbito de las GPO en función de caracteristicas de la máquina de destino El filtro evalúa la máquina de destino, si el resultado del filtrado es falso la GPO no se aplica. Si la máquina de destino es Windows 2000 el filtro se ignora y siempre se aplica la GPO Los filtros consisten en consultas en lenguaje WQL Cada GPO solo puede tener un unico filtro WMI

15 Posibles usos de filtros WMI Servicios – Equipos en los que el DHCP está arrancado. Hardware – Equipos con un procesador Pentium IV Software– Equipos Visual Studio®.NET instalado. Ping – Equipos que pueden hacer ping a un servidor determinado en menos de 100 milisegundos

16 Ejemplos de filtros WMI Root\CimV2; Select * from Win32_ComputerSystem where manufacturer = Toshiba and Model = Tecra 800 OR Model = Tecra 810 Root\cimv2 ; Select * from Win32_Directory where filename =my documents AND encrypted = false Root\cimv2;Select * from Win32_Product where name = MSIPackage1 OR name = MSIPackage2 OR name = MSIPackage32 Root\CimV2; Select * from Win32_LogicalDisk where FreeSpace > 629145600

17 Agenda GPMC

18 Group Policy Management Console

19

20

21

22

23

24

25 Agenda Plantillas de Seguridad

26 Proporcionan los mecanismos para incrementar la seguridad sobre los equipos. Son ficheros que proporcionan la capacidad para simplificar la implantación de seguridad en equipos. Incrementan o modifican las directivas que se están aplicando.

27 Plantillas de Seguridad

28 Aplicación de Plantillas Las plantillas pueden aplicarse por importación en políticas locales o mediante el uso en GPO. Mediante la herramienta de configuración de seguridad. Mediante línea de comando con la ejecución del comando Secedit.

29 Componentes de las Plantillas Las plantillas de seguridad controlan los siguientes aspectos de una máquina: –Cuentas de usuario. –Auditorías. –Derechos de usuarios. –Opciones de seguridad. –Visor de sucesos. –Grupos restringidos. –Servicios. –Claves de registro. –Sistema de ficheros.

30 Componentes de las Plantillas Área de seguridadDescripción Directivas de cuentas Directivas de contraseñas, de bloqueo de cuentas y Kerberos Directivas locales Directiva de auditoría, asignación de derechos de usuario y opciones de seguridad Registro de sucesos Configuración de los registros de aplicación, sistema y sucesos de seguridad Grupos restringidos Pertenencia a grupos sensibles a la seguridad Servicios del sistema Inicio y permisos para servicios del sistema RegistroPermisos para claves del Registro Sistema de archivos Permisos para carpetas y archivos

31 Plantillas Predefinidas. Plantilla por defecto (Setup security). –Utilizada habitualmente para restaurar a una situacion original en combinacion con plantillas incrementales, contiene una gran cantidad opciones configuradas Plantilla de controladores de dominio (DC security). –Plantilla por defecto aplicada como parte del Dcpromo.

32 Plantillas Predefinidas II Compatible (Compatws). –Incremental relaja las permisos en el sistema de archivos y en el registro para permitir a usuarios sin privilegios ejecutar determinadas aplicaciones Seguridad (Securedc Securews). –Incrementales. Aumentan la seguridad en cliente o servidor Altamente seguro (Hisecdc Hisecws). –Incrementales. Alta seguridad en cliente y en servidor Seguridad permisos raíz de las unidades (Rootsec). –Incremental aplica permisos por defecto a la raiz del sistema.

33 Herramientas de Gestión de Plantillas La administración de las plantillas puede ser realizada desde: –La consola Plantillas de seguridad. –Consola configuración y análisis de la seguridad. Ambas herramientas son añadidas como complementos de MMC.

34 Consola de Plantillas de Seguridad Gestiona aquellas plantillas predefinidas por Microsoft. Se encuentran en la siguiente ruta: %systemroot%\security\templates. Permite generar nuevas plantillas y realizar administración sobre ellas.

35 Configuración y Análisis de la Seguridad Es una herramienta con doble objetivo: –Proporcionar los mecanismos para comparar la seguridad de una máquina con una base de datos de análisis. –Configurar una máquina con la información de una base de datos creada a través de plantillas.

36 Herramientas de Plantillas Administrativas

37

38

39 Agenda Migración de GPO

40 Posibilidades de Migración empleando la GPMC COPIA Permite transferir configuracion desde una GPO existente a una nueva GPO –Transferencia deGPO dentro de un mismo dominio o bosque –Dominios en distintos bosques en los que se confia. BACKUP Permite exportar la configuracion almacenada en el Backup a otra GPO. IMPORTACION Restauracion desde un Backup –Transferencias dentro de un mismo dominio –Transferencias incluso entre dominios sin relaciones de confianza

41 Administrando Políticas de Grupo Respaldando GPOs

42

43 Administrando Políticas de Grupo Restaurando GPOs

44 Administrando Políticas de Grupo Copiando y Migrando

45 Boletín quincenal TechNews

46 Contactos Informática 64 –http://www.informatica64.comhttp://www.informatica64.com –i64@informatica64.comi64@informatica64.com –+34 91 665 99 98 Profesor –fpunzon@informatica64.comfpunzon@informatica64.com