En av de grunnleggende oppgavene vi hele tiden utfører når vi bruker Windows Server 2012 eller 2016 Det er kontroll alle domeneobjekter som brukere og team og vi vet at en av de mest praktiske måtene å utføre denne oppgaven er å bruke gruppepolicyer siden de lar oss sentralt administrere alle parametrene og verdiene til disse objektene.
Med utviklingen av operativsystemer har også gruppepolitikken blitt endret, og i dag har vi et veldig kraftig verktøy kalt AGPM som vi i dag vil analysere i detalj i et miljø Windows Server 2016.
Hva er AGPMAGPM (Advanced Group Policy Management - Advanced Group Policy Administration) er et program opprettet av Microsoft som gir oss muligheten til å ta spesifikk kontroll over gruppepolicyer i våre domener. For øyeblikket er den tilgjengelige versjonen av AGPM 4.0 og har følgende fordeler:
- Støtter Windows 10
- Støtter Windows Kraftskall
- Oppdatering av skjemaapp trygt og automatisk
- Støtter Windows Server 2012 R2 og Windows Server 2016
1. AGPM -relaterte vilkår
Det er visse ofte brukte begreper på AGPM, disse er:
AGPM -klientDet er datamaskinen der vi har installert AGPM, og hvorfra vi kan som administratorer administrere gruppepolicyer.
AGPM -pluginDet er en programvare plugin som er installert i AGPM -klienter for å utføre administrasjonen riktig.
AGPM -serverDet er serveren som driver AGPM -tjeneste og administrere filer.
AGPM -tjenesteDet er en programvarekomponent som kjører på en server AGPM som en tjeneste.
ArkivPå AGPM er det et lager som inneholder Kontrollerte GPOer som administrerer den tilknyttede AGPM -serveren.
Kontrollert GPODet er en GPO altså administrere AGPM.
Ukontrollert GPODet er en GPO av produksjonsmiljøet som AGPM ikke kontrollerer.
2. Krav for å installere AGPM på Windows Server 2016
Vi må oppfylle en rekke krav for installasjon av AGPM i Windows Server 2016, disse er:
.NET Framework 4.5.1Vi kan Last det ned fra følgende lenke:
.Net Framework 4.5
PowerShell 3.0Hvis du ikke har det, kan det være det Utladet fra følgende lenke:
PowerShell 3.0
GPMC (Group Policy Management Console - Group Policy Management Console)Som standard er det installert, men hvis det ikke er det, kan det være det lastet ned fra følgende lenke:
GPMC
Med disse kravene i bakhodet, fortsetter vi med å installere AGPM på Windows Server 2016.
3. Installer AGPM på Windows Server 2016
Microsoft anbefaler at AGPM installeres på en domenemedlemsserver, men ikke på domenekontrolleren, men hvis vi ikke har flere alternativer, er det mulig å installere det der.
Trinn 1
AGPM kan lastes ned fra følgende lenke. Husk at AGPM krever at grupper administrerer tjenesten, så vi skal Active Directory -brukere og datamaskiner og vi vil opprette de respektive gruppene.
AGPM
Steg 2
Vi har opprettet en OU kalt AGPM og der må vi opprette kontoen for at AGPM -tjenesten skal startes, for dette har vi opprettet følgende objekter:
- AGPM Solvetic User
- Vi inkluderer denne brukeren i gruppen Eiere av gruppepolicyskapere
- Følgende grupper ble opprettet for AGPM -administrasjonsoppgaver:
- Administratorer AGPM
- Godkjent AGPM
- Redaktører AGPM
- Anmeldere AGPM
Trinn 3
Når gruppene og brukerne er definert, fortsetter vi med installasjonen av AGPM ved å kjøre filen agpm_403_server_amd64 som administratorer. Den respektive installasjonsveiviseren vises.
Trinn 4
På et bestemt tidspunkt i installasjonen må vi definere tjenestebrukeren som AGPM -tjenesten skal utføres med, på dette tidspunktet kan vi opprette en bestemt bruker for tjenesten, eller hvis vi er på en domenekontroller, som tilfellet er, vi velg alternativet Lokalt system.
Trinn 5
I det neste vinduet velger vi kontoen du vil ha totale tillatelser Om tjenesten, på dette tidspunktet legger vi til AGPM Administrators -gruppen som vi har opprettet.
Trinn 6
I det neste vinduet konfigurerer vi porten gjennom hvilken AGPM vil motta klientforespørsler, vi lar den være som standard er det 4600.
Trinn 7
Senere definerer vi AGPM -språkene, og vi vil se at vi kan starte installasjonen ved å trykke på knappen Installere.
Trinn 8
Vi kan se at AGPM installasjonsprosess og at installasjonen etter noen få sekunder er fullført.
4. Installer AGPM -klienten på Windows Server 2016
Trinn 1
Når installasjonsprosessen for AGPM Server er avsluttet, må vi installere klienten for å fullføre hele AGPM -strukturen. For dette vil vi kjøre filen som administrator agpm_403_client_amd64.
Steg 2
Vi trykker Neste og vi følger trinnene i veiviseren, og vi kan se på et øyeblikk av installasjonen at vi må definere serveren som skal fungere som AGPM.
Trinn 3
Vi kan se at installasjonsprosessen for AGPM Client starter. Etter noen sekunder var installasjonen endelig har blitt fullført.
5. AGPM -konsollalternativer
Som vi kan se når vi har installert både serveren og AGPM -klienten, har ingen direkte tilgang blitt opprettet eller lagt til noen applikasjoner som sådan, men vi vil se endringene gjenspeiles i gruppepolicyhåndteringen.
Trinn 1
For å få tilgang til dem kan vi bruke et av følgende alternativer:
- Bruk kommandoen Løpe og skriv inn kommandoen gpmc.msc, trykk enter.
- Skriv inn begrepet administrasjon i søkeboksen for Windows Server og velg det riktige alternativet.
Steg 2
Når administratoren er åpen, ser vi følgende vindu.
Trinn 3
Den første forskjellen vi vil legge merke til i forhold til tradisjonelle gruppepolicyer er på tidspunktet for distribusjon av domenet vårt, nå får vi se en ny container som heter Endre kontroll.
Trinn 4
Ved å klikke på Endre kontroll vi kan se følgende alternativer.
Trinn 5
De grunnleggende alternativene vi har er:
InnholdFra denne fanen kan vi administrere kontrollerte eller ukontrollerte GPOer.
Delegering av domenerFra dette stedet definerer vi tillatelser som skal gis til hver bruker eller gruppe brukere på domenet. På samme måte kan vi legg til en e -postkonto slik at når en uautorisert bruker prøver å få tilgang til AGPM -serveren, vil vi bli varslet om dette forsøket.
AGPM -serverGjennom denne fanen vi kan se og redigere IP -adressen fra AGPM -serveren.
ProduksjonsdelegasjonI denne kategorien kan vi se hvilke brukere og grupper som har tillatelse til å få tilgang til AGPM -produksjonsmiljøet.
6. Grunnleggende oppgaver i AGPM
Ta kontroll over GPOerEn av de grunnleggende oppgavene vi har når vi bruker AGPM er muligheten til å ha kontroll av disse GPOer som for øyeblikket er ukontrollerte, Husk at en ukontrollert GPO er en som er i produksjonsmiljøet, men som ikke administreres av AGPM.
Vi kan se GPO -ene uten kontroll i fanen Innhold / Ingen kontroll
For å ta kontroll over disse GPO -ene vil vi velge GPO -ene vi vil ha kontroll og høyreklikke på dem og velge alternativet Kontroll.
Når vi velger alternativet Kontroll vi kan se følgende melding.
Vi trykker Å akseptere og vi vil se at disse GPO -ene går til fanen Sjekket.
Opprett en ny kontrollert GPOFor å lage en GPO kontrollert fra bunnen av må vi høyreklikke på Endre kontroll og velg alternativet Ny GPO kontrollert.
Vi vil se følgende veiviser hvor vi vil tildele et navn til den kontrollerte GPO.
Vi trykker Å akseptere og vi vil se vår GPO opprettet riktig, og vi kan visualisere forskjellige alternativer når vi dobbeltklikker på GPO.
FORSTØRRE
Legg til brukere for å kontrollere GPOerEn oppgave som kan være nødvendig er legge til en ny bruker eller gruppe direkte fra AGPM, og for dette vil vi gjøre følgende:
Fra vinduet Innhold vi velger alternativet Legg til plassert nederst og det følgende vinduet vil bli vist der vi må finne brukeren eller gruppen som skal legges til.
Vi trykker Å akseptere og det følgende vinduet vil vises der vi må definere rolletype som brukeren eller gruppen vil oppfylle. Når rollen er definert, klikker du Å akseptere.
Vi kan se at brukeren er lagt til.
Rediger en kontrollert GPODette er kanskje et av de mest interessante aspektene ved AGPM er sikkerheten ved redigering av en kontrollert GPO. For å redigere en kontrollert GPO må vi gi høyreklikk på GPO og velg Redigere men vi vil se følgende, alternativet Redigere den er deaktivert som standard.
For å aktivere utgaven av den kontrollerte GPO må vi klikke på knappen Sjekk ut og det følgende vinduet vises der vi må forklare hvorfor GPO er ubeskyttet.
Vi trykker Å akseptere og utsjekkingsprosessen starter.
Hvis vi nå høyreklikker på GPO -en igjen, kan vi se at utgaven er aktivert. (Ubeskyttet status).
Hvis vi klikker på Redigere Vi vil kunne gjøre de nødvendige justeringene av GPO. Når endringene er fullført, kan vi trykke på Beskytt -knappen for å unngå å redigere den.
Som vi ser med AGPM har vi et kraftig verktøy for hånden sentralisert administrasjon av alle GPOer av organisasjonen og har mer spesifikk kontroll over sine tilganger og tillatelser. For å lære mer om AGPM kan vi besøke følgende lenke.
AGPM dokumentasjon
