使用基于XML的模板提高活动目录的安全性.pdfVIP

系统与网络 使用基于XML的模板 提高活动目录的安全性 更改组策略系统管理模板以提高安全性 作者 ／RussellSmjth 译者 ／欧阳宇 板使你能够集中存储管理文件。减少需要在 D 满足需求。 即使在短期之 内你不打算升级到WindowsVista，你的 通过集中储存提高完整性 lT部 门也可能利用 WindowsVista来进行系统管理。如果是 在Windows2000和WindowsServer2003域中，adm文 这样，你可以利用微软公司对WindowsVista的组策略管理 件被本地存储在加入域 的机器和组策略模板 (GPT)中，这 模板进行的改进。WindowsVista的．admx文件 (即微软的新 些文件位于域控制器的Sysvoi目录中。每一个GPO都包括一 的基于×ML格式的管理模板 )的功能与前几代操作系统的管 个GPT，因此每个DC中都有一个复制的．adm文件副本。．adm 理模板有所不同。 文件的版本控制是通过对 比本地文件和文件的GPT~J本的时 组策略管理模板，即．adm文件，定义了基于注册表的 间及 日期戳来实现的。如果本地．adm文件比GPT版本新，那 设置，这些设置都显示在组策略对象编辑器 内。模板分为两 么本地文件就会被上传到Sysvol目录并被复制。 个部分，分别用来定义计算机设置和用户设置。这些设置位 但是如果本地amd文件受损 ，这种行为就会导致完整性 于组策略对象编辑器的AdministrativeTemplates节点下。你 问题：或者如果有人恶意修改了．adm文件，就会导致安全问 可以创建 自己的管理模板来控制注册表设置 ，并将它们添加 题。你可以阻止将 adm文件的本地副本上传到DC——并强 到一个组策略对象 (GPO)中，你只需要在组策略对象编辑 制使用本地．adm文件，你需要做的就是启用AlwaysuseJocal 器 中右键单击AdministrativeTemplates，单击Add／Remove admfilesforGroupPolicyeditor组策略设置，这个设置位于 Templates。在 WindowsServer2008中，GroupPolicyPref— Configuration＼AdministrativeTemplates＼System＼GroupPolicyT。 erences不需要通过创建 自定义管理模板或脚本来管理注 然而 ，这就意味着所有的管理工作站 中的．adm文件必 册表。 须保持同步。虽然．adm文件不能进行集中储存，但是．admx 文件可以集中存储在一个Windows2000或WindowsSewer 系统与网络 WindowsVista和WindowsServer2008~新XML格式 2003域中，并且在DC之间进行复制。一旦这个存储被建立 adm文件格式从WindowsNTServer的系统策略中发展 起来，为 了避免．adm文件 自动上传到Sysvol目录 ，你应该使 而来oWindowsVista与WindowsServer2008的．admx文档 用WindowsVista或WindowsServer2008来管理 GPO。这个 基于 (正如其它XML格式的文件一样 )一个归档的模式—— 过程中是可选 的；不过 ，如果你希望在WindowsServer2008 这使得它更容易修改文件、开发能够处理新格式的应用程 域中使用一个中央储存区，那么就必须执行此过程。在测试 序。．adm格式的文件包含这样一个部分，其中的字符串被定 环境 中，你应该执行下列步骤一一通过这些步骤 ，我们在 义为供组策略对象编辑器使用。．ad