Brien M. Posey

Trong phần đầu tiên của loạt bài này, chúng tôi đã giải thích rằng Windows Vista và Windows Server 2008 cung cấp đến hàng trăm thiết lập chính sách nhóm bổ sung so với Windows Server 2003 và Windows XP. Trong bài viết này, chúng tôi sẽ tiếp tục giới thiệu về các thiết lập của Group Policy được sử dụng để điều khiển tài khoản người dùng và các thiết bị phần cứng.

Các thiết lập chính sách nhóm mà chúng tôi sẽ giới thiệu đều được đặt tại Computer Configuration / Windows Settings / Security Settings / Local Policies / Security Options. Bạn có thể xem trong hình A, có quá nhiều thiết lập Group Policy trong mục Security Options để thảo luận về chúng. Chính vì vậy chúng tôi sẽ giới thiệu một số thiết lập chính sách hữu hiệu nhất và cũng thú vị nhất.



Hình A: Tài khoản liên quan đến các thiết lập Group Policy được đặt tại

Computer Configuration / Windows Settings / Security Settings / Local Policies / Security Options

Trạng thái của tài khoản quản trị viên

Một trong những điểm yếu bảo mật chính của các hệ điều hành trước đây là sự tồn tại của tài khoản quản trị viên cục bộ trên các máy trạm làm việc. Với Windows Vista, có thể thiết lập vô hiệu hóa trạng thái tài khoản quản trị viên cục bộ tại phần Accounts: Administrator Account Status

Mặc định, tài khoản quản trị viên được kích hoạt nhưng việc vô hiệu hóa nó rất đơn giản. Tất cả những gì cần thực hiện là thiết lập chính sách này thành “Disabled”. Trước khi bạn bắt đầu việc vô hiệu hóa các tài khoản quản trị viên cục bộ, có một số hậu quả mà bạn cần phải hiểu về chúng. Nếu đã vô hiệu hóa một tài khoản quản trị viên thì bạn sẽ không thể kích hoạt nó trở lại trừ khi mật khẩu của tài khoản quản trị viên đạt được độ dài mật khẩu tối thiểu và đủ yêu cầu phức tạp. Các quản trị viên khác có thể thiết lập lại mật khẩu tài khoản bằng cách thừa nhận sự tồn tại của tài khoản đó.

Nếu bạn bị khóa trái bên ngoài máy tính của chính bạn và không có tài khoản quản trị nào có thể thiết lập lại được mật khẩu, thì không phải là đã hoàn toàn mất hết hy vọng. Tài khoản quản trị viên cục bộ luôn luôn được kích hoạt khi máy tính đang chạy trong chế độ “safe mode”. Chính vì vậy bạn có thể khởi động máy tính trong chế độ “safe mode” (chế độ an toàn), đăng nhập với tư cách là quản trị viên nội bộ và thiết lập lại mật khẩu. Sau đó bạn có thể kích hoạt lại tài khoản quản trị viên cục bộ.

Hạn chế việc sử dụng các mật khẩu trống

Thông thường, không có lý do nào để ai đó trong tổ chức của bạn sử dụng một mật khẩu trống. Đề phòng việc này thông qua phần Accounts: Limit Local Account Use of Blank Passwords to Console Logon Only thiết lập giới hạn đối với các tài khoản có mật khẩu trống có thể được sử dụng như thế nào.

Thiết lập chính sách này được kích hoạt mặc định, sở dĩ như vậy là để bất cứ tài khoản người dùng nào không có mật khẩu chỉ được phép đăng nhập cục bộ. Điều đó có nghĩa là ai đó có thể sử dụng một tài khoản như vậy để đăng nhập trực tiếp vào máy tính đang nhưng không thể đăng nhập thông qua một cơ chế khác như Remote Desktop.

Đặt lại tên của tài khoản quản trị viên

Microsoft luôn nhắc nhở chúng ta nên thay đổi lại tên tài khoản quản trị viên cho mục đích bảo mật. Vấn đề ở chỗ là mỗi một máy trạm làm việc đều có tài khoản quản trị viên của chính nó và việc thay đổi tên lại phải thực hiện thủ công.

Vista và Server 2008 hiện cung cấp cho chúng ta một thiết lập Group Policy, thiết lập này có thể được sử dụng để thay đổi tên tài khoản quản trị viên cục bộ một cách tự động. Tên thiết lập của chính sách là Accounts: Rename Administrator Account. Để sử dụng thiết lập này, tất cả những gì cần thực hiện là nhập vào một tên mới cho tài khoản quản trị viên và sự thay đổi sẽ được phổ biến đến tất cả các máy tính mà Group Policy áp dụng.

Kiểm định các hoạt động Backup và Restore



Một trong những thiết lập thú vị nhất của Group Policy là Audit: Audit the Use of Backup and Restore Privilege. Ý tưởng cơ bản ẩn đằng sau thiết lập chính sách này là nếu bạn chọn kích hoạt nó (thiết lập chính sách bị vô hiệu hóa mặc định) thì các hoạt động backup và restore sẽ được kiểm định.

Tại sao nói rằng đây là một trong những thiết lập chính sách thú vị nhất? Bởi vì nó có cả một số điểm tốt và điểm xấu. Điểm tốt của chính sách này là nó cho phép bạn kiểm định xem ai có quyền backup hệ thống đang thực hiện backup theo chính sách của công ty. Nó cũng cho phép bạn biết về bất cứ hoạt động restore nào xuất hiện. Tuy nhiên nhược điểm của nó là tạo ra một bản ghi cho mỗi file được backup. Điều đó có nghĩa là các bản ghi kiểm định của bạn có nguy cơ tràn ngập. Rõ ràng là một số lượng tài nguyên ổ đĩa và CPU cũng bị sử dụng khi bản ghi đó được ghi. Bản thân ảnh hưởng của việc ghi bản ghi là không đáng kể, nhưng nếu ghi hàng nghìn bản ghi thì các bản ghi này sẽ ảnh hưởng đến hiệu suất của hệ thống.

Các phương tiện di động

Trong nhiều công ty việc sử dụng các phương tiện có thể di rời là điều không được phép. Các phương tiện đó có thể là đĩa CD và DVD cho phép người dùng mang dữ liệu không được kiểm định và các ứng dụng vào tổ chức; hoặc tạo các bản sao dữ liệu nhạy cảm và đôi khi còn xóa dữ liệu từ tổ chức. Khi việc sử dụng các phương tiện di động thường bị ngăn cản như vậy, Microsoft đã tạo ra thiết lập chính sách Devices: Allowed to Format and Eject Removable Media. Như tên được ngụ ý của nó, thiết lập này có thể được sử dụng để ngăn chặn người dùng format hay eject các phương tiện di động.

Các Driver của máy in

Windows được thiết kế theo cách nếu một người dùng muốn in từ một máy in trong mạng thì họ không cần đến đĩa CD có chứa driver của máy in đó, và cũngkhông phải download nó từ Internet. Khi người dùng sử dụng một thỏa thuận đánh tên phổ biến (UNC) để đính vào một máy in đang được chia sẻ bởi máy tính sử dụng Windows, máy chủ quản lý máy in sẽ kiểm tra máy trạm làm việc của người dùng để xem nó có phải là driver thích hợp hay không. Nếu không có driver nào tồn tại thì máy chủ quản lý máy in sẽ gửi đi một bản copy của driver máy in đến máy tính này.

Trong hầu hết các trường hợp, đây có thể là một hành vi đáng mong muốn vì nó cho phép người dùng có thể thực hiện các công việc của họ mà không cần phải liên lạc với bàn trợ giúp mỗi khi họ cần in từ một máy in khác. Trong môi trường bảo mật cao hơn, nó có thể bị xem như rủi ro vì đã cho phép người dùng in mà chưa được chỉ định. Một cách để ngăn chặn người dùng in từ các máy in không được kiểm định là không cho phép họ cài đặt driver của máy in.

Bạn có thể dừng người dùng cài đặt driver máy in bằng cách kích hoạt thiết lập Devices: Prevent Users from Installing Printer Drivers. Thiết lập chính sách này bị vô hiệu hóa mặc định trên các máy trạm làm việc, nhưng nó được kích hoạt mặc định trên máy chủ.

Có một số thứ cần phải lưu ý trong phần này. Đầu tiên, thiết lập chính sách này không ngăn chặn người dùng bổ sung thêm máy in cục bộ, nó chỉ không cho người dùng cài đặt driver cho các máy in của mạng. Một điều khác cũng cần phải lưu ý đó là việc kích hoạt chính sách này sẽ không ngăn người dùng in trên máy in của mạng mà họ đã có driver. Cuối cùng, việc kích hoạt thiết lập này không có hiệu lực đối với các quản trị viên.

Kết luận

Trong phần hai này, chúng tôi đã giới thiệu về các thiết lập Group Policy có liên quan đến việc điều khiển tài khoản người dùng và các phần cứng thiết bị. Trong phần ba, chúng tôi sẽ tiếp tục giới thiệu về một số thiết lập của Group Policy chỉ có duy nhất trong Windows Server 2008 và Windows Vista.

Read more…

Brien M. Posey

Một số thiết lập GP mới với nhiều hữu dụng trong Windows Server 2008 và Windows Vista.

Kể từ khi có Windows 2000 Server, cỗ máy chính cho việc quản lý bảo mật trên mạng Windows đã có các chính sách nhóm (GP). Một vài năm trôi qua, mọi người đều thấy rằng các GP cần phải được mở rộng bởi vì có nhiều khía cạnh của hệ điều hành Windows mà không thể được kiểm soát một cách đơn giản bằng GP. May thay, các chuyên gia phát triển của Microsoft đã biết vấn đề này và sớm giải quyết hoàn thiện trong Windows Vista và Windows Server 2008. Trong bài viết này chúng tôi sẽ giới thiệu cho các bạn về một số tính năng GP mới đó.

Nếu đã làm việc với chính sách nhóm (GP) thì có thể bạn biết có rất nhiều thiết lập của nó trong Windows. Rất khó để có thể đưa cho bạn một số chính xác bao nhiêu thiết lập GP tồn tại vì các thiết lập mới thường được đưa ra trong các gói dịch vụ và thậm chí một số ứng dụng trong download. Ngay trong Windows Server 2003 Service Pack 1 cũng có đến khoảng 1700 thiết lập GP. Con số này đã tăng đến khoảng 2400 trong Windows Vista và Windows Server 2008. Chính vì điều đó mà chúng tôi không thể giới thiệu thiết lập riêng cho bạn mà sẽ chỉ nói về các thiết lập GP quan trọng.

Bảo vệ chống Virus

Một trong những mối đe dọa phát sinh nhiều nhất đối với bảo mật trong những năm gần đây là virus email. Hầu hết các sản phẩm chống virus đều được thiết kế để tích hợp với Microsoft Outlook, ý tưởng này là một phần mềm có thể quét file đính kèm khi chúng ta mở email. Hệ điều hành Windows luôn thiếu một cơ chế tập trung cho việc bảo đảm phần mềm chống virus được cài đặt và làm việc đúng cách. Tuy nhiên, trong Windows Vista và Windows Server 2008 hiện nay với các thiết lập GP sẽ cho phép bạn thiết lập các chính sách chống virus của tổ chức ở mức GP.

Mặc dù các thiết lập chính sách nhóm mà chúng tôi giới thiệu là cho Windows Vista và Windows Server 2008, nhưng chúng cũng có thể được sử dụng để điều chỉnh cho các máy tính đang chạy Windows XP SP2. Bạn có thể tìm thấy các thiết lập có liên quan đến chính sách nhóm trong GP tại: User Configuration\Administrative Templates\Windows Components\Attachment Manager.

Thông báo cho các chương trình chống virus khi mở file đính kèm

Thiết lập chính sách nhóm này được sử dụng để thông báo cho phần mềm chống virus của bạn khi một file đính kèm email được mở, để file có thể được quét virus. Mặc dù thiết lập chính sách này nghe có vẻ đơn giản, nhưng có hai điều mà bạn cần biết để kích hoạt nó. Đầu tiên đó là, nếu phần mềm chống virus của bạn được thiết kế cho tự động quét các file đính kèm bất cứ lúc nào thì việc kích hoạt thiết lập này là không cần thiết.

Một điều nữa là bạn cần biết rằng nếu thiết lập này được kích hoạt và phần mềm chống virus của bạn có một vài lý do thất bại trong việc quét file đính kèm thì Windows sẽ khóa không cho mở file đính kèm.

Không duy trì vùng thông tin trong các file đính kèm

Một trong những khái niệm bảo mật chính trong Internet Explorer là các vùng (Zone). Internet Explorer cho phép quản trị viên phân loại tên miền Web vào các vùng khác nhau dựa vào số lượng quản trị viên tin tưởng website đó. Trong Windows Vista và Windows Server 2008, khái niệm về các vùng này cũng được mang sang email. Khi một thông báo email có file đính kèm, Windows có thể xem tên miền của người gửi và so sánh nó với danh sách trong vùng của IE. Nó có thể sử dụng thông tin của vùng này để trợ giúp xác định độ tin cậy về file đính kèm này như thế nào.

Thiết lập chính sách nhóm nói riêng này sẽ có một chút sai lệch nếu bạn kích hoạt thiết lập chính sách, sau đó các thông tin của vùng sẽ bị bỏ qua toàn bộ. Nếu muốn bảo đảm rằng website sử dụng thông tin vùng cho các đính kèm email thì bạn phải vô hiệu hóa thiết lập chính sách này.

Một khía cạnh quan trọng liên quan đến bảo mật mà bạn cần phải biết đó là vùng của người gửi được lưu như một thuộc tính file. Điều này có nghĩa hệ thống file NTFS cần phải có. Nếu hệ thống được định dạng bằng FAT hoặc FAT-32 thì thông tin vùng sẽ không được duy trì và Windows sẽ không báo cáo về sự thất bại này.

Các cơ chế ẩn để xóa bỏ thông tin vùng

Trong bất kỳ điều kiện nào bạn cũng đều có thể dễ dàng xóa bỏ một vùng có liên quan đến thuộc tính từ file. Để thực hiện điều đó bạn phải kích nút Unblock trên cửa sổ thuộc tính của file. Nếu muốn ngăn không cho người dùng phát hiện ra thông tin vùng từ các file thì bạn chỉ cần kích hoạt chính sách này. Làm như vậy bạn sẽ ẩn được các cơ chế mà người dùng có thể sử dụng để xóa bỏ thông tin vùng từ một file.

Mức rủi ro mặc định cho các file đính kèm

Thiết lập chính sách này cho phép bạn tự động gán mức rủi ro cao, trung bình hay thấp cho các đính kèm email.

Danh sách các kiểu file có mức rủi ro cao

Rõ ràng, một số kiểu file có thể mang theo các mã hiểm độc hơn các kiểu khác. Ví dụ, file .exe hoặc file .PIF có thể là file chứa mã nguy hiểm nhiều hơn file .PDF. Do đó Windows cho phép bạn đánh dấu các kiểu file khác nhau ở các mức rủi ro khác nhau.

Windows cung cấp các thiết lập chính sách nhóm riêng biệt cho danh sách các kiểu file có mức rủi ro cao, trung bình và thấp. Microsoft chọn cách này là bởi vì nó cho phép thiết lập được chặt chẽ hơn, đưa ra quyền ưu tiên trong trường hợp có xung đột. Giả sử rằng một kiểu file cụ thể nào đó đưc liệt trong cả hai mức rủi ro cao và trung bình. Trong trường hợp như vậy, chính sách rủi ro cao hơn sẽ có quyền ưu tiên cao hơn chính sách rủi ro trung bình, và kiểu file sẽ được xử lý ở mức rủi ro cao sẽ không quan tâm đến những thiết lập chính sách gì khác có thể ra lệnh.

Vậy có nghĩa gì khi phân loại kiểu file mở mức rủi ro cao? Khi người dùng cố gắng mở một file, Windows không chỉ xem xét kiểu file mà còn xem trong vùng mà file đó được bắt nguồn. Nếu file này được bắt nguồn từ một vùng bị hạn chế và được phân vào mức rủi ro cao thì Windows sẽ ngăn không cho người dùng mở file. Nếu file được bắt nguồn từ vùng Internet thì Windows sẽ hiển thị một thông báo cho người dùng trước khi mở file đó.

Danh sách các kiểu file có mức rủi ro thấp

Việc định nghĩa kiểu file có mức rủi ro thấp này cũng giống định nghĩa như file có mức rủi ro cao nhưng có một cặp điểm khác biệt. Sự khác nhau đầu tiên đó là Windows xử lý các kiểu file có mức rủi ro cao một cách mặc định. Nếu bạn thiết lập một trong các kiểu file đó có mức rủi ro thấp thì thiết lập của bạn sẽ có quyền ưu tiên cao hơn đối với thiết lập của Windows, và file đó sẽ được coi có mức rủi ro thấp. Và tất nhiên nếu bạn bổ sung một kiểu file vào danh sách rủi ro mức cao và sau đó thêm nó vào danh sách rủi ro thấp thì file đó sẽ được coi có mức rủi ro cao vì danh sách mức cao sẽ được ưu tiên hơn mức thấp.

Danh sách các kiểu file có mức rủi ro trung bình

Việc định nghĩa kiểu file có mức rủi ro trung bình cũng như việc định nghĩa một file có mức rủi ro thấp nhưng có một ngoại lệ. Nếu file được tổ chức từ vùng Internet hay bị hạn chế thì Windows sẽ hiển thị một cảnh báo trước khi cho phép người dùng mở file đó.

Kết luận

Trong bài này chúng tôi đã giới thiệu cho các bạn Windows Vista và Windows Server 2008 có nhiều thiết lập chính sách hơn Windows Server 2003 và Windows XP, giới thiệu một số thiết lập liên quan đến việc chống virus hữu dụng hơn. Trong phần hai chúng tôi sẽ tiếp tục giới thiệu về một số chính sách mới khác của GP.

Read more…

Jakob H. Heidelberg

Trong phần hai này chúng tôi sẽ giới thiệu cho bạn các thông tin cơ bản rất hữu dụng về các thiết lập mật khẩu trong Windows Server 2008. Chúng tôi sẽ đề cập đến một số thuộc tính mới và các đối tượng người dùng, đối tượng thiết lập mật khẩu (PSO), PSO kết quả, giới thiệu về thiết kế, Shadow Groups (SG)…

Tại sao chúng ta muốn thực hiện điều này?

Chúng ta đã thấy cách tạo các PSO và gán chúng cho người dùng hoặc nhóm, nhưng tại sao chúng ta lại cần nhiều mật khẩu và tài khoản để đến vậy? Có một số lý do cho việc này – một có thể là các kịch bản “hosting” có nhiều công ty nằm trong một miền AD riêng, lý do khác là chúng ta cần các thiết lập chặt chẽ để áp dụng cho một nhóm người nào đó có tài khoản đặc quyền (giống như quản trị viên miền hoặc nhân viên trợ giúp).

Các tài khoản có quyền ưu tiên này cần phải có các yêu cầu phức tạp và yêu cầu cho việc định nghĩa một mật khẩu có tối thiểu 16 kí tự trong mật khẩu của họ, các tài khoản được giới hạn nhiều hơn và có thể có nhiều yêu cầu “thân thiện với người dùng” hơn.

Những ai có thể tác động?

Chính sách đa mật khẩu mới trong Windows Server 2008 (tên mã là “Longhorn”) cho phép chúng ta thiết lập các chính sách mật khẩu riêng và tài khoản khóa chính sách trên các đối tượng người dùng - user objects, đối tượng interOrgPerson và nhóm bảo mật toàn cục - global security groups.

Các chính sách mật khẩu không thể được áp dụng cho OU (đối tượng người dùng) một cách trực tiếp – mà phải áp dụng chính sách này cho các nhóm. Không phải bất kỳ nhóm nào cũng được – nó phải là nhóm bảo mật được thiết lập trong phạm vi toàn cục và có thể thiết lập tùy chọn trên các nhóm khác; mặc dù vậy nó sẽ không làm việc như mong đợi (nếu các thiết lập bị bỏ qua).

Nếu bạn thực sự muốn quản lý các chính sách mật khẩu bên trong cấu trúc OU thì ‘Shadow Groups’ có thể sẽ hữu dụng. (Xem thêm phần “Shadow Groups và cách tạo kịch bản” ở phần dưới)

Mặc định, chỉ có các thành viên của “nhóm quản trị miền” mới có thể thiết lập, tạo và xóa các chính sách mật khẩu– được biết đến như các đối tượng thiết lập mật khẩu (PSO). Mặc dù vậy, các cho phép đó có thể được ủy nhiệm và điều chỉnh nếu cần thiết, nhưng thiết lập mặc định sẽ là tốt hơn trong hầu hết các môi trường. Cụ thể hơn, chỉ thành viên của nhóm quản trị miền mới có các cho phép (quyền) “tạo” và “xóa” trong đối tượng thiết lập mật khẩu - Password Settings Container (PSC).

Để áp dụng PSO cho một người dùng hoặc một đối tượng nhóm bạn phải có các cho phép “ghi” (quyền được ghi) trên đối tượng PSO – các thành viên của nhóm quản trị miền là những người có quyền này mặc định.

Xem xét qua các thuộc tính

Chúng ta phải xem xét một số thuộc tính đó là:

msDS-PSOAppliesTo

Mỗi PSO có một thuộc tính đa giá trị có tên là msDS-PSOAppliesTo, thuộc tính này được biết đến như một “liên kết chuyển tiếp” để liên kết đến các đối tượng người dùng hay các đối tượng nhóm, một nhóm riêng hay nhiều người dùng, nhiều nhóm hoặc nhiều người dùng và các nhóm. Các liên kết trên thực tế là các tên phân biệt (ví dụ “CN=GroupA,OU=MyGoups,DC=Contoso,DC=Local”) của các đối tượng được kết hợp.

Câu hỏi đặt ra: Điều gì sẽ xảy ra nếu chúng đặt lại tên hoặc di chuyển đối tượng người dùng hay đối tượng nhóm (đến OU khác hoặc mục khác), các PSO sẽ theo sau các đối tượng không? Thuộc tính msDS-PSOAppliesTo sẽ được tự động cập nhật bởi dịch vụ thư mục trong background để chỉ ra địa điểm mới (tên phân biệt) của đối tượng đã thay đổi.

msDS-PSOApplied

Thuộc tính msDS-PSOAppliesTo trên các PSO có thể được soạn thảo trái với thuộc tính “liên kết ngược” msDS-PSOApplied, thuộc tính được sử dụng trên các đối tượng người dùng và nhóm. Thuộc tính sau là “chỉ xem” và được quản lý bởi dịch vụ thư mục trong background.

Thuộc tính msDS-PSOApplied gồm có một “liên kết ngược” để PSO trỏ vào đối tượng cha của nó – khi người dùng hay nhóm có nhiều PSO được áp dụng cho họ thì thuộc tính này cũng có nhiều giá trị.

msDS-ResultantPSO

Thuộc tính msDS-ResultantPSO chỉ có trong đối tượng người dùng. Nó gồm có một giá trị đã được tính toán, cũng được nhắc đến như “Resultant Set of Policy” (RSoP). Đây là một liên kết đến PSO riêng – liên kết “may mắn” được kích hoạt trên đối tượng người dùng riêng. Giá trị này được tính toán bởi quá trình dịch vụ thư mục trong background từ các nguyên tắc sẽ được đề cập đến trong phần tiếp theo của bài (Phần thiết kế).

Câu hỏi đặt ra: Khi nào chính sách mật khẩu có hiệu lực đối với người dùng - người đã được bổ sung vào một nhóm? Câu trả lời là, ngay sau khi người dùng được bổ sung vào nhóm thì PSO kết quả cũng được tính toán cho đối tượng người dùng bằng dịch vụ thư mục. Nó cũng tương tự nếu bạn xóa một tài khoản người dùng khỏi nhóm – sự thay đổi sẽ có hiệu quả ngay lập tức.

msDS-PasswordSettingsPrecedence

Thuộc tính msDS-PasswordSettingsPrecedence có trong các đối tượng PSO. Giá trị thấp hơn cho thuộc tính này chỉ thị rằng PSO có mức ưu tiên cao hơn. Thuộc tính này được sử dụng khi nhiều PSO được áp dụng cho một đối tượng người dùng – nghĩa là “cost” thấp nhất được chọn. Nếu bạn gán một giá trị có quyền ưu tiên duy nhất cho mỗi PSO trong miền thì bạn dễ dàng xác định được chính sách mật khẩu có hiệu lực cho một đối tượng người dùng nào đó chưa.

Thiết kế

Trước khi thực hiện các chính sách đa mật khẩu trong miền chúng tôi khuyên bạn nên xem qua các chính sách cần thiết và để kết thúc thiết kế tổng thể của các chính sách đó cùng với sự tương tác của chúng. Có thể có nhiều chính sách được gán cho một người dùng đơn, trực tiếp hoặc thông qua các thành viên nhóm (thậm chí nhóm bảo mật nào đó được định địa chỉ), nhưng chỉ một PSO có thể ảnh hưởng cho một đối tượng người dùng nào đó, mật khẩu hay các thiết lập khóa không thể được kết hợp trong Group Policy.

Vì vậy chúng tôi cần đến một số nguyên tắc tính toán khi nhiều PSO được thể hiện cho người dùng.

Các nguyên tắc đơn giản

PSO kết quả được xác định dưới đây:

1. Một PSO được liên kết trực tiếp với một đối tượng người dùng sẽ có hiệu lực trừ khi nhiều PSO được liên kết trực tiếp với đối tượng người dùng. Nếu có nhiều PSO được liên kết thì PSO có giá trị ưu tiên thấp nhất (msDS-PasswordSettingsPrecedence) sẽ là PSO kết quả. Nếu hệ thống có hai hay nhiều PSO được áp dụng trực tiếp cho một người dùng, tất cả cùng một giá trị msDS-PasswordSettingsPrecedence thì PSO với Global Unique Identifier (GUID) nhỏ nhất sẽ được áp dụng.


2. Nếu không có PSO nào được liên kết với đối tượng người dùng thì các hội viên nhóm bảo mật toàn cục của người dùng được mang đi xét. Nếu người dùng là thành viên của nhiều nhóm bảo mật có áp dụng các PSO khác nhau thì PSO với giá trị ưu tiên thấp nhất sẽ là PSO kết quả. Nếu hệ thống không có hai hay nhiều PSO được áp dụng bởi thành viên nhóm cho mỗi người dùng, tất cả cùng giá trị msDS-PasswordSettingsPrecedence, thì PSO với GUID nhỏ nhất sẽ được áp dụng.

Nếu không có PSO nào thu được từ các điều kiện 1 và 2 thì mật khẩu và các thiết lập khóa từ “Default Domain Policy” được áp dụng, giống như nó là các phiên bản trước của môi trường Active Directory.

Vậy để làm một câu chuyện dài thành ngắn: tập PSO trên các đối tượng người dùng sẽ chiến thắng tập các PSO trên đối tượng nhóm và giá trị có quyền ưu tiên thấp hơn sẽ chiến thắng cái cao hơn – nếu điều đó thất bại thì kết quả được dựa trên số GUID – và nếu không có gì áp dụng chúng ta sẽ trở về nơi bắt đầu: “Default Domain Policy”!

Như các gợi ý chung chúng tôi sẽ đề cập đến các vấn đề sau:

Trường ‘Description’ có thể được sử dụng để chỉ rõ mật khẩu và các thiết lập khóa được phép trong PSO. Sử dụng nó để cấu hình nhanh PSO và sử dụng dự định.

Tạo một tên cho PSO giống như bạn có cho các đối tượng Active Directory khác.

Gán các PSO cho nhóm thay vì trực tiếp đến các đối tượng người dùng, cho khả năng quản lý dễ dàng hơn.

Gán một giá trị ưu tiên duy nhất cho mỗi PSO trong miền của bạn, nó sẽ dễ dàng hơn nhiều khi xác định chính sách mật khẩu có hiệu lực cho một đối tượng người dùng nào đó.

Nguyên tắc Mặc định từ chối tất cả (Default Deny All)

Chúng tôi biết rằng điều này không phải là một thứ có thể nói rộng rãi nhưng vẫn khuyên bạn nên thiết lập các thiết lập mật khẩu có ở “Default Domain Policy” với mức bảo mật rất cao (hầu hết cảm thấy khó chịu). Điều này là bởi vì bạn – hoặc một ai đó – có thể quên tính đến người dùng trong một nhóm bảo mật mật khẩu. Trong trường hợp đó, chính sách mật khẩu tài khoản người dùng sẽ trở thành một chính sách được định nghĩa trong tập thiết lập chính sách mặc định trong mức miền!

Hãy xem chính sách bảo mật trong Default Domain Policy khi có nguyên tắc mặc định từ chối tất cả trong một tường lửa – nếu không có chính sách/ nguyên tắc cụ thể nào có sẵn cho người dùng (hoặc ai đó trong nhóm mà anh ta là một thành viên) thì chúng ta nên đặt một chính sách khắt khe trên ‘đầu’ người dùng. Người dùng có thể gọi cho nhân viên trợ giúp để có được ASAP đã sửa – nếu chúng ta trao cho người dùng một chính sách mật khẩu dễ dàng thì có thể anh ta sẽ không bao giờ phàn nàn. Cách khác để thực hiện điều này là thiết lập một chính sách mật khẩu trên nhóm người dùng trong miền “Domain Users” có mức ưu tiên thấp nhất – nhưng đôi khi cần phải có một số tài khoản nằm bên ngoài nhóm để phục vụ cho các lý do khác…

Ở đây lựa chọn của tôi là nguyên tắc mặc định từ chối tất cả - Default Deny All

Shadow groups và cách tạo kịch bản

Nếu bạn chưa bao giờ nghe về “Shadow Groups” thì cũng đừng lo lắng. Shadow Group (SG) là một nhóm bảo mật (trong trường hợp này là nhóm bảo mật Global) gồm có các đối tượng bên trong một OU như các thành viên. SG là một nhóm bảo mật được bản đồ hóa “một cách logic” đến một OU. Ví dụ bạn có thể có một OU, “OU=Sales,OU=CorpUsers,DC=Contoso,DC=Local”, với các tài khoản người dùng cho toàn bộ phòng bán hàng – SG sẽ là một nhóm tương xứng với 100% nội dung. Với các chính sách mật khẩu thì điều này có thể là một ưu điểm nếu chúng ta muốn các chính sách mật khẩu tuân theo cấu trúc OU “một cách ảo hóa” thay vì theo cấu trúc SG.

Bạn có thể hình dung rằng điều này có ý nghĩa tuyệt vời cho công việc nếu phải nâng cấp các SG một cách thủ công hàng giờ, đó là lý do tại sao chúng tôi đã viết một kịch bản VBS đơn giản để tự động quá trình này bằng sử dụng một nhiệm vụ đã được lập lịch trình.

Kịch bản chọn các tài khoản người dùng từ một OU cụ thể - trên danh nghĩa lý thuyết như một đối số cho kịch bản – và đặt chúng vào một đối tượng thư mục. Sau đó kịch bản sẽ chọn người dùng bên trong một nhóm cụ thể - trên danh nghĩa cũng như một đối số cho kịch bản - và đặt chúng vào một đối tượng thư mục. Bằng việc so sánh các thư mục này, kịch bản có thể thêm, bới người dùng từ “shadows group”. Kịch bản được thiết kế để có thể tạo lịch trình như một nhiệm vụ và được sử dụng với câu lệnh sau: ShadowGroup.vbs "Target OU" "Shadow Group"

Ví dụ:

ShadowGroup.vbs "OU=Test,DC=Contoso,DC=Local" "CN=Shadow,OU=Test,DC=Contoso,DC=Local"

Kịch bản này bạn có thể download tại đây, tuy nhiên sử dụng trong môi trường thực tế có thể gây ra rủi ro. Vì vậy chúng tôi khuyên bạn nên có thói quen quản lý lỗi và có thể báo cáo về việc làm đó. Sự hỗ trợ cho các OU mức con cũng sẽ là một ý tưởng hay cần được bổ sung. Chúng tôi có thể cung cấp cho các bạn một kịch bản như vậy sau.

Tạo kịch bản



Bạn hoàn toàn có thể dùng kịch bản cho việc tạo và thay đổi chính sách mật khẩu và gán các chính sách đó cho người dùng hay nhóm cụ thể.

Chúng tôi sử dụng một công cụ cũ nhưng tốt: LDIFDE và PowerShell. Windows PowerShell có trong Windows Server 2008 và được bổ sung như một tính năng – chọn “Add Feature” trong Server Manager mới, chọn Windows PowerShell, sau đó một lúc PowerShell sẽ sẵn sàng cho bạn.

Chúng tôi khuyên các bạn nên thử Quest AD Cmdlets và kiểm tra PowerGui.org. Ngoài ra còn có một công cụ dòng lệnh miễn phí PSOmgr của Joeware. Với công cụ này bạn có thể quản lý được các đối tượng thiết lập mật khẩu (PSO) trong Windows Server 2008 một cách dễ dàng, như hiển thị các chính sách được áp dụng và chính sách có hiệu lực cho người dùng nào đó, hiển thị các PSO trong miền, thêm và bớt người dùng từ một PSO, tạo, đặt lại tên, xóa, thay đổi các PSO…

Kết luận

Hiểu được cách làm việc của thiết lập mật khẩu – như thế nào, khi nào và tại sao phải sử dụng chúng - là một điều quan trọng. Chúng tôi hy vọng qua hai bài viết về cấu hình thiết lập mật khẩu trong Windows Server 2008 sẽ mang lại nhiều bổ ích cho bạn.

Thiết kế chính sách mật khẩu, bản thân nó có thể là phần khó nhất và chủ yếu nhất trong việc thiết lập nhiều chính sách mật khẩu bên trong một miền AD riêng, và sau đó việc tạo các chính sách cần thiết, phần còn lại chỉ là sự quản lý như thông thường.

Read more…

Hệ điều hành máy chủ mới được Microsoft đưa ra gần đây: Windows Server 2008 (Windows Longhorn) có thực sự là một hệ điều hành tốt nhất, bảo mật hiệu quả nhất dành cho máy chủ không? Câu trả lời còn phụ thuộc tùy vào từng người dùng cụ thể nhưng dù sao thì 10 lý do sau cũng giúp bạn thấy rõ được có thực sự cần cài đặt Windows Server 2008 trên máy chủ của mình không và nó có những tính năng gì khác so với các hệ điều hành máy chủ trước đây của Microsoft.

Windows Server Virtualization

Windows Server 2008 gồm có Windows Server Virtualization (WSv), một công nghệ mạnh, hiệu quả và ảo hóa với sự quản lý mạnh và các tính năng bảo mật cao. Windows Server Virtualization sẽ giúp các doanh nghiệp giảm được chi phí, tăng khả năng linh hoạt và tính sẵn có của hệ thống trong việc hợp nhất máy chủ, khôi phục thảm họa, kiểm tra và phát triển, được kết hợp với System Center Virtual Machine Manager và sự quản lý xuyên suốt của các trung tâm dữ liệu động.

World-Class Web và nền ứng dụng

Windows Server 2008 cung cấp sự bảo mật, nền tảng dễ quản lý cho việc phát triển và khả năng tin cậy vào các ứng dụng chủ và dịch vụ được cung cấp từ máy chủ hoặc trên Web. Các tính năng mới gồm đơn giản hóa sự quản lý, tăng bảo mật, cải thiện hiệu suất và khả năng mở rộng cao, cung cấp một nền tảng hợp nhất cho việc xuất bản Web có tích hợp Internet Information Services 7.0 (IIS7), ASP.NET, Windows Communication Foundation và Microsoft Windows SharePoint Services.

Cải thiện hiệu suất kết nối mạng

Windows Server 2008 đưa ra một thay đổi lớn nhất trong ngăn xếp kết nối mạng kể từ Windows NT 4.0. Các công nghệ như Receive Window Auto-tuning, Receive Side Scaling và Quality of Service (QOS) cho phép các tổ chức có nhiều thuận lợi trong việc kết nối mạng nhiều Gigabit ngày nay. Integrated IPsec và Windows Firewall mới có tính năng bảo mật nâng cao cho phép các tổ chức bảo đảm và kiểm soát toàn bộ được lưu lượng mạng.

Bảo mật nâng cao

Windows Server 2008 đã được phát triển với mong muốn tạo ra sự bảo mật chặt chẽ nhất từ trước đến nay. Nó chỉ cài đặt các dịch vụ cần thiết cho vai trò mà máy chủ đang thực hiện. Thẩm định nâng cao, mã hóa ổ đĩa, chuyển tiếp sự kiện và Rights Management Services là một trong số những công nghệ giúp tổ chức tham gia vào các chuẩn IT ngày nay.

Lấy lại sự kiểm soát trên những chi nhánh văn phòng của bạn

Các máy chủ quản lý, các dịch vụ và sự bảo mật tại vị trí từ xa là một trong những thách thức đang diễn ra đối với các chuyên gia CNTT. Windows Server 2008 đã đơn giản hóa sự quản trị của các máy chủ trong chi nhánh văn phòng với những cải tiến trong Active Directory, những cải tiến này gồm có Read-Only Domain Controller và sự phân biệt vai trò quản trị. Các công nghệ như tùy chọn cài đặt BitLocker và Server Core ở những tính năng cụ thể tăng độ bảo mật và nhằm vào những cần thiết duy nhất chỉ có của các chi nhánh văn phòng.

Quản trị máy chủ dễ dàng hơn

Đơn giản hóa sự phức tạp của việc quản trị máy chủ là một trong những chủ đề chính được cải tiến của Windows Server 2008. Công cụ quản lý mới như Server Manager Console cung cấp giao diện quản lý đơn giản, hợp nhất cho việc quản lý cấu hình của máy chủ, các thông tin hệ thống, hiển thị trạng thái máy chủ và quản lý tất cả các vai trò đã cài đặt trên máy chủ.

Nâng cao kịch bản và tự động hóa nhiệm vụ

Các công nghệ mới như Windows PowerShell, tiện ích dòng lệnh và ngôn ngữ kịch bản giúp chuyên gia CNTT giải quyết các nhiệm vụ chung một cách tự động. Với ngôn ngữ kịch bản tập trung quản lý mới, với hơn 120 công cụ dòng lệnh chuẩn, cú pháp và các tiện ích nhất quán, Windows PowerShell hoàn toàn lý tưởng với chuyên gia CNTT trong việc quản trị hệ thống.

Truy cập ứng dụng tập trung

Với Windows Sever 2008, người dùng sẽ được an toàn khi truy cập vào các ứng dụng bên trong thông qua các cổng tường lửa quen thuộc. Với ứng dụng từ xa Windows Server Terminal Services, chỉ có cửa sổ ứng dụng mà không phải toàn bộ desktop từ xa sẽ đựợc khởi chạy và hoạt động trong cửa sổ có thể điều chỉnh kích thước và có khả năng tương tác trên desktop của máy tính khách.

Bảo vệ các máy tính “không an toàn” khi truy cập mạng

Network Access Protection (NAP) nhằm vào vấn đề khi các máy tính “không an toàn” truy cập và gây tổn hại cho mạng của một tổ chức. NAP được sử dụng để bảo đảm bất kỳ máy tính nào kết nối vào mạng đều phải có được chính sách công ty với yêu cầu về “sự an toàn”, điều này nhằm hạn chế sự truy cập của các máy tính không có chính sách được định nghĩa trước, cung cấp dịch vụ điều chỉnh lại để đưa các máy tính trở về trạng thái “an toàn” và cung cấp cách thức kiểm tra chặt chẽ.

Hoạt động tốt hơn với Windows Vista

Windows Vista và Windows Server 2008 được xây dựng có chia sẻ với nhau một số công nghệ mới trong vấn đề kết nối mạng, lưu trữ, bảo mật và quản lý. Chính vì vậy các tổ chức sẽ thấy được những ưu điểm ngay lập tức khi chạy Windows Server 2008 và Windows Vista trong giải pháp máy chủ và máy khách của họ.

Read more…

Jakob H. Heidelberg

Trong các phiên bản Active Directory trước chúng ta chỉ có một mật khẩu và một tài khoản để khóa chính sách cho toàn bộ miền. Tuy nhiên ở một số công ty phải sử dụng nhiều miền để có nhiều chính sách mật khẩu khác nhau trên các người dùng khác nhau; một số công ty khác thì phát triển các bộ lọc mật khẩu của chính họ hoặc mua từ các nhóm phát triển phần mềm thứ ba. Với Windows Server 2008, chúng ta có thể tùy chọn để chỉ định nhiều chính sách mật khẩu khác nhau cho các người dùng và nhóm khác nhau.

Trong phần đầu tiên của bài gồm hai phần này chúng ta sẽ tìm hiểu về cách tạo một chính sách mật khẩu bổ sung vào chính sách vẫn có trong “Default Domain Policy”

Điểm mới

Trong các tính năng mới, chúng ta tập trung vào “Granular Password Settings” hoặc “Fine-Grained Password Policy“,dựa trên hai lớp đối tượng mới trong lược đồ AD: các đối tượng “Password Settings Container” và “Password Setting”. Các đối tượng này có bản cung cấp cho chúng ta tùy chọn để giới thiệu nhiều chính sách mật khẩu trong một miền Active Directory đơn. Tuy nhiên chúng ta hãy xem xem mình phải cần những gì…

Các công cụ và điều kiện quyết định

Đây là một xem xét sơ qua về các công cụ và điều kiện quyết định cần thiết cho việc tạo chính sách mật khẩu bổ sung.

ADUC

Trước hết, mức chức năng miền Active Directory phải là “Windows Server 2008”. Điều này có thể được kiểm tra bằng cách sử dụng Active Directory Users and Computers (ADUC) – bằng cách kích chuột phải vào miền > chọn “Raise domain functional level” – mức chức năng miền hiện hành sẽ đọc “Windows Server 2008” (dưới đây là màn hình phiên bản beta 3 của Windows Server 2008):



Hình 1

GPMC

Chúng ta vẫn phải sử dụng Group Policy Management Console (GPMC) để thiết lập chính sách mật khẩu mặc định cho toàn bộ miền. Nếu quên cách thiết lập mật khẩu miền mặc định và khóa các thiết lập thì bạn có thể tìm thấy chúng trong GPMC tại mức miền tại “Default Domain Policy” > Computer Configuration > Windows Settings > Security Settings > Account Policies > Password Policy/Account Lockout Policy.

Bằng cách này, GPMC có trong Windows Server 2008 (giống như Windows Vista), nhưng phải được bổ sung như một tính năng – chọn “Add Feature” trong Server Manager, chọn ‘Group Policy Management’, sau đó bạn sẽ vào được ‘Group Policy Ready’.

ADSI Edit

Công cụ quan trọng nhất cho “bài tập” này là một công cụ mà hầu hết các quản trị viên đều lo ngại trong nhiều năm – vì bất cứ khi nào bạn sử dụng nó thì gần như sẽ có một vấn đề nào đó lại xuất hiện -, chúng tôi chuyển sang tiện ích ADSI Edit (adsiedit.msc). Hầu hết các thiết lập chính sách mật khẩu cốt lõi đều được tạo và cấu hình từ bên trong công cụ này. ADSI Edit là một phần của bộ cài đặt Windows Server 2008 chuẩn vì vậy bạn không cần phải bổ sung nó về sau.

Các bước

Các bước cần thiết để cấu hình thiết lập chính sách mật khẩu trong Windows Server 2008:

1. Tạo đối tượng thiết lập mật khẩu (Password Settings Object - PSO) trong thư mục thiết lập mật khẩu (Password Settings Container - PSC) bằng ADSI Edit

2. Cấu hình các tùy chọn PSO bằng cách hoàn thành wizard gốc bên trong ADSI Edit

3. Gán PSO cho một tài khoản người dùng hoặc một nhóm bảo mật toàn cục.

4. Xác nhận các thiết lập này được áp dụng

Bắt đầu

Đầu tiên, chúng ta mở ADSI Edit bằng cách kích Start > Run… > “adsiedit.msc” và kích OK (hoặc nhấn Enter).

Kích chuột phải vào “ADSI Edit” và chọn “Connect to…”



Hình 2

Kích OK để đồng ý với các tùy chọn mặc định trong hộp thoại “Connection Settings”



Hình 3

Trong ADSI Edit bạn có thể mở rộng miền, mở rộng thư mục ‘System’ và cuối cùng là kích chuột phải vào ‘Password Settings Container’ (PSC) mới và chọn New > “Object...”.



Hình 4

Bây giờ phải chọn một lớp cho đối tượng mới, nhưng bạn chỉ nhận được một lựa chọn. Chọn msDS-PasswordSettings và kích Next:



Hình 5

Lúc này, wizard được bắt đầu, hướng dẫn chúng ta đi qua toàn bộ quá trình tạo đối tượng thiết lập mật khẩu (PSO). Chúng ta phải chỉ định giá trị cho một trong 11 thuộc tính dưới đây. Nhập vào giá trị như thể hiện trong bản dưới đây.

Thuộc tính	Giá trị	Giải thích nhanh
Cn	PassPolAdmins	Đây là tên của chính sách. Bạn nên đặt tên thường lệ cho các chính sách này
msDS-PasswordSettingsPrecedence	10	Số này được sử dụng như một “chi phí” cho sự ưu tiên giữa các chính sách khác nhau trong trường hợp một người dùng được sử dụng bởi nhiều PSO. Bạn phải để lại khoảng trắng bên dưới và ở trên cho sử dụng tương lai. Các thiết lập mật khẩu PSO càng mạnh hơn thì “chi phí” càng thấp hơn.
msDS-PasswordReversibleEncryptionEnabled	False	Giá trị nhị phân để chọn nếu các mật khẩu được lưu với sự mã hóa đảo ngược (thường thì đây không phải là ý tưởng tốt)
msDS-PasswordHistoryLength	32	Bao nhiêu mật khẩu trước đó sẽ được hệ thống lưu lại.
msDS-PasswordComplexityEnabled	True	Người dùng phải sử dụng mật khẩu phức tạp? (giá trị nhị phân)
msDS-MinimumPasswordLength	16	Số lượng tối thiểu của các kí tự trong mật khẩu tài khoản người dùng?
msDS-MinimumPasswordAge	-864000000000 (9 zeros)	Thời hạn tối thiểu của mật khẩu là bao nhiêu (trong trường hợp này là 1 ngày)
msDS-MaximumPasswordAge	-36288000000000 (9 zeros)	Thời hạn tối đa của mật khẩu là bao nhiêu? (trong trường hợp này là 42 ngày)
msDS-LockoutTreshold	30	Bao nhiêu lần thử thất bại trước khi tài khoản người dùng sẽ bị khóa?
msDS-LockoutObservationWindow	-18000000000 (9zeros)	Sau bao nhiêu lâu bộ đếm các lần thử thất bại được thiết lập lại? (trong trường hợp này là 6 phút)
msDS-LockoutDuration	-18000000000 (9zeros)	Bao lâu thì đối tượng tài khoản người dùng bị khóa trong trường hợp có quá nhiều mật khẩu sai nhập vào? (trong trường hợp này là 6 phút)

Bảng 1

Khi tất cả dược đưa vào thì bạn sẽ thấy cửa sổ dưới đây – hãy kích Finish.



Hình 6

Thực hiện

Bây giờ PSO được tạo và bạn có thể thấy được nó dưới PSC trong cả ADSI Edit và ADUC/Server Manager (hãy nhớ kích hoạt “Advanced Features” trong menu View), nó trông giống như hình dưới đây



Hình 7

Từ đây những gì chúng ta phải thực hiện là gán một chính sách mới cho một người dùng, nhiều người dùng, một nhóm bảo mật toàn cục, nhiều nhóm bảo mật toàn cục hoặc kết hợp các người dùng và nhóm bảo mật toàn cục.

Để thực hiện điều này, bạn kích chuột phải và PSO trong ADUC (hoặc ADSI Edit), chọn Properties – kích Filter và bảo đảm rằng bạn đã chọn các tùy chọn dưới đây:



Hình 8

Hình trên bao gồm các tùy chọn được chọn: “Mandatory”, “Optional”, “Constructed”, “Backlinks” và “System-only”. Tùy chọn “Show only attributes that have values” không được chọn.



Bây giờ thì vào msDS-PSOAppliesTo, chọn nó và kích Edit.



Hình 9

Trong “Multi-valued String Editor” bạn chèn tên phân biệt của người dùng hoặc nhóm bảo mật toàn cục trong trường “Value to add” và kích Add. Bạn có thể thêm nhiều tên phân biệt trong hộp thoại này – khi xong kích OK.



Hình 10

Trong ví dụ trên, chúng tôi đã bổ sung một nhóm bảo mật toàn cục có tên là “Admins” (với tên phân biệt là “CN=Admins,CN=Users,DC=Contoso,DC=Local”). Mỗi tài khoản người dùng là một thành viên của nhóm này được sử dụng bởi chính sách mật khẩu mới “PassPolAdmins” thay cho chính sách đã được định nghĩa trong Default Domain Policy.

Tới đây, bạn có thể phân vân rằng điều gì sẽ xảy ra nếu người dùng sẽ bị ảnh hưởng bởi nhiều chính sách mật khẩu xung đột. Chúng tôi sẽ quay trở lại vấn đề này một cách chi tiết hơn trong phần tiếp theo.

Chú ý đến sự thay đổi

Khi duyệt trong ADUC, bạn có chú ý đến tab “Attribute Editor” mà chúng ta có trên hầu hết các đối tượng (xem các tính năng nâng cao “Advanced Features” phải được kích hoạt) hay không?



Hình 11

Điều này thực sự hữu dụng bởi vì nó cho phép quản trị viên có thể xem hoặc soạn thảo rất nhiều thứ như chúng ta bình thường vẫn làm trong công cụ soạn thảo ADSI Edit. Với tab này, chúng ta có thể lấy các thuộc tính trên PSO trong miền và thay đổi thuộc tính msDS-PSOAppliesTo để thiết lập dễ dàng chính sách mật khẩu trên người dùng hoặc các đối tượng nhóm.

Chính sách nào đã được áp dụng ở đây?

Bạn có thể khó nhận ra chính sách nào đã được áp dụng cho đối tượng người dùng cụ thể (có thể là một ai đó với giá trị ưu tiên AKA thấp nhất) - Resultant Set of Policy (RSoP) có thể cho bạn thực hiện điều này một cách dễ dàng. Tuy nhiên Microsoft đã đề cập đến vấn đề này bằng cách giới thiệu thuộc tính msDS-ResultantPSO lại chỉ cho các đối tượng người dùng.



Hình 12

Giá trị này xác định ra chính sách nào được áp dụng cho người dùng nào đó (trong ví dụ của chúng tôi, người dùng có tên là “Windows Admin”).

Cả đối tượng nhóm và người dùng đều có thuộc tính mới, msDS-PSOApplied, thuộc tính nắm giữ tất cả các chính sách mà nhóm hoặc người dùng được sử dụng trực tiếp hoặc thông qua thành viên nhóm. Trong ví dụ dưới đây, nhóm có tên gọi là “Admins” được sử dụng bởi hai chính sách mật khẩu khác nhau.



Hình 13

Nếu bạn không thấy các giá trị được đề cập ở đây, hãy bảo đảm là đã thiết lập đúng tab “Attribute Editor” được phép lọc các tùy chọn trong phần Make it happen ở trên.

Read more…