55.2. Пример создания групповой политики
Для создания групповой политики на машине, введённой в домен, необходимо выполнить следующие шаги:
Добавить доменные устройства (компьютеры/пользователи) в подразделение (OU) (инструмент ADMC);
Создать политику и назначить её на OU (инструмент ADMC);
Отредактировать параметры политики (инструмент GPUI).
В качестве примера создадим политику, разрешающую запускать команду ping только суперпользователю (root).
Запустить ADMC можно из меню ( → → ) или командой
admc:
$ admc
В окне аутентификации Kerberos указать имя Kerberos-принципала пользователя и его пароль:
Интерфейс ADMC:
Подготовка объектов для применения GPO:
Создать новое подразделение:
в контекстном меню домена выбрать пункт → :
в открывшемся окне ввести название подразделения (например, OU) и нажать кнопку ОК:
Переместить компьютеры и пользователей домена в созданное подразделение:
в контекстном меню пользователя/компьютера выбрать пункт ;
в открывшемся диалоговом окне Выбор контейнера – ADMC выбрать контейнер, в который следует переместить учетную запись пользователя.
Создание политики для подразделения:
В контекстном меню подразделения (в разделе Объекты групповой политики) выбрать пункт :
В открывшемся окне ввести название политики и нажать кнопку ОК:
Редактирование настроек групповой политики:
В контекстном меню политики выбрать пункт :
Откроется окно редактирования групповых политик (GPUI):
Перейти в раздел → → . Здесь есть несколько разделов, соответствующих категориям control. Выбрать раздел Сетевые приложения, в правом окне редактора отобразится список политик:
Щёлкнуть левой кнопкой мыши по политике Разрешения для /usr/bin/ping. Откроется диалоговое окно настройки политики. Выбрать параметр Включено, в выпадающем списке Кому разрешено выполнять выбрать пункт и нажать кнопку ОК:
После обновления политики на клиенте, выполнять команду
ping сможет только суперпользователь (root):
$ ping localhost
bash: ping: команда не найдена
$ /usr/bin/ping localhost
bash: /usr/bin/ping: Отказано в доступе
# control ping
restricted
Для диагностики механизмов применения групповых политик на клиенте можно выполнить команду:
# gpoa --loglevel 0
В выводе команды будут отображаться полученные объекты групповой политики. В частности, соответствующий уникальный код (GUID) объекта.
