Đang tải... (xem toàn văn)
Quản trị mạng window server 2003 Giới thiệu và cài đặt - Chính sách hệ thống
4/21/2010 QUẢN TRỊ MẠNG WINDOWS SERVER 2003 Bài CHÍNH SÁCH HỆ THỐNG Chính sách tài khoản người dùng Windows lên DC có cơng cụ Domain Controller Sercurity Policy Domain Sercurity Policy Domain Controller Sercurity Policy: Các tuỳ chỉnh tác động lên máy DC mà Domain Sercurity Policy: Các tuỳ chỉnh tác động lên toàn user domain Lưu ý: Sau tuỳ chỉnh để thực thi thay đổi bạn phải vào Start chọn Run nhập lệnh gpupdate /force tiến hành logoff máy Restart máy 4/21/2010 Chính sách tài khoản người dùng Account Policy dùng để định thông số tài khoản người dùng Cơng cụ cấu hình: Start Programs Administrative Tools Domain Security Policy (domain) Local Security Policy (chưa nâng cấp domain, lệnh tắt secpol.msc) Chính sách tài khoản người dùng (t.t) Chính sách mật (Password Policies) Password Policies nhằm đảm bảo an toàn cho tài khoản người dùng Password Policies cho phép qui định độ dài, độ phức tạp mật 4/21/2010 Chính sách mật (t.t) Các sách mật mặc định Chính sách Mơ tả Mặc định Enforce Password History Số lần đặt mật không trùng 24 Maximum Password Age Quy định số ngày nhiều mà mật mã người dùng có hiệu lực 42 Minimum Password Age Quy số ngày tối thiểu trước người dùng thay đổi mật mã Chiều dài ngắn mật mã Minimum Password Length Passwords Must Meet Mật phải có độ phức tạp như: Complexity Requirements có ký tự hoa, thường, có ký số Cho phép Store Password Using Reversible Encryption for All Users in the Domain Không cho phép Mật mã người dùng lưu dạng mã hóa Chính sách tài khoản người dùng (t.t) Chính sách khoá tài khoản (Account Lockout Policy) Account Lockout Policy quy định cách thức thời điểm khoá tài khoản 4/21/2010 Chính sách khố tài khoản (t.t) Các sách khố tài khoản mặc định Chính sách Mơ tả Giá trị mặc định Account Lockout Threshold Quy định số lần cố gắng đăng nhập trước tài khoản bị khóa (tài khoản khơng bị khóa) Account Lockout Duration Quy định thời gian khóa tài khoản Là 0, Account Lockout Threshold thiết lập giá trị 30 phút Reset Account Lockout Counter After Quy định thời gian đếm lại số lần đăng nhập không thành công Là 0, Account Lockout Threshold thiết lập giá trị 30 phút Chính sách cục Local Policies cho phép thiết lập sách giám sát đối tượng mạng Chính sách kiểm tốn (Audit Policies) giúp giám sát ghi nhận kiện diễn hệ thống 4/21/2010 Chính sách kiểm tốn Các lựa chọn sách kiểm tốn Chính sách Mơ tả Audit Account Logon Events Kiểm toán kiện tài khoản đăng nhập, hệ thống ghi nhận người dùng logon, logoff tạo kết nối mạng Audit Account Management Hệ thống ghi nhận tài khoản người dùng nhóm có thay đổi thông tin hay thao tác quản trị liên quan đến tài khoản người dùng Audit Directory Service Access Ghi nhân việc truy cập dịch vụ thư mục Audit Logon Events Ghi nhân kiện liên quan đến trình logon thi hành logon script truy cập đến roaming profile Audit Object Access Ghi nhận việc truy cập tập tin, thư mục, máy tin Audit Policy Change Ghi nhận thay đổi sách kiểm tốn Chính sách kiểm tốn Các lựa chọn sách kiểm tốn (t.t) Chính sách Mô tả Audit privilege use Hệ thống ghi nhận lại bạn bạn thao tác quản trị quyền hệ thống cấp xóa quyền Audit process tracking Kiểm tốn theo dõi hoạt động chương trình hay hệ điều hành Audit system event Hệ thống ghi nhận bạn khởi động lại máy tắt máy 4/21/2010 Chính sách cục Quyền hệ thống người dùng (User Rights Assignment) Là quyền cấp cho user thực thi số tác vụ hệ thống tức số quyền mà user sử dụng server Có cách cấp quyền hệ thống cho người dùng gia nhập tài khoản người dùng vào nhóm tạo sẵn (built-in) dùng công cụ User Rights Assignment để gán quyền rời rạc cho người dùng Để thêm, bớt quyền cần add hay remove Chính sách cục Quyền hệ thống người dùng (User Rights Assignment) 4/21/2010 Quyền hệ thống người dùng Một số quyền hệ thống cho người dùng nhóm Quyền Mơ tả Access This Computer from the Network Cho phép người dùng truy cập máy tính thơng qua mạng Mặc định người có quyền Allow log on locally Cho phép người dùng đăng nhập cục vào server Bypass Traverse Checking Cho phép người dùng duyệt qua cấu trúc thư mục người dùng quyền xem (list) nội dung thư mục Back Up Files and Directories Cho phép người dùng lưu dự phòng (backup) tập tin thư mục bất chấp tập tin thư mục người có quyền khơng Change the System Time Cho phép người dùng thay đổi hệ thống máy tính Deny Access to This Computer from the Network Cho phép bạn khóa người dùng nhóm khơng truy cập đến máy tính mạng Quyền hệ thống người dùng Một số quyền hệ thống cho người dùng nhóm (t.t) Quyền Mơ tả Deny Logon Locally Cho phép bạn ngăn cản người dùng nhóm truy cập đến máy tính cục Load and unload device drivers Cho phép người dùng cài đặt gở bỏ driver thiết bị Log On Locally Cho phép người dùng logon máy tính Server Restore Files and Directories Cho phép người dùng phục hồi tập tin thư mục, bất chấp người dùng có quyền file thư mục hay không Shut Down the System Cho phép người dùng shut down cục máy Windows 2003 Take Ownership of Files or Cho người dùng tước quyền sở hữu đối Other Objects tượng hệ thống 4/21/2010 Chính sách cục Các lựa chọn bảo mật (Security Options) Cho phép quản trị khai báo thêm thơng số nhằm tăng tính bảo mật cho hệ thống Các lựa chọn bảo mật Các lựa chọn bảo mật thông dụng Tên lựa chọn Mô tả Shutdown: allow system to be shut down without having to log on Cho phép người dùng shutdown hệ thống mà không cần logon Audit : audit the access of global system objects Giám sát việc truy cập đối tượng hệ thống toàn cục Network security: force logoff when logon hours expires Tự động log off khỏi hệ thống người dùng hết thời gian sử dụng tài khoản hết hạn Interactive logon: not require CTRL+ALT+DEL Không yêu cầu ấn ba phím CTRL+ALT+DEL logon Interactive logon: not display last user name Không hiển thị tên người dùng logon hộp thoại Logon Account: rename administrator account Cho phép đổi tên tài khoản Administrator thành tên Account: rename guest account Cho phép đổi tên tài khoản Guest thành tên 4/21/2010 IP Security (IPSec) IP Security giao thức hổ trợ kết nối an toàn dựa IP IPSec hoạt động tầng thứ (Network) Để sử dụng IPSec bạn tạo quy tắc (rule), quy tắc IPSec kết hợp lọc (IPSec) quy tác động (action) IP Security (IPSec) Các tác động bảo mật Block transmissons: chức ngăn chận gói liệu truyền Encrypt transmissions: Chức mã hóa gói tin truyền Sign transmissions: Chức ký tên vào gói liệu truyền nhằm tránh giả mạu Permit transmissions: Chức cho phép liệu truyền qua, dùng để tạo quy tắt hạn chế số điều không hạn chế số điều khác 4/21/2010 IP Security (IPSec) Các lọc (Filter) IPSec Filter dùng để thống kê điều kiện để quy tắc hoạt động Giới hạn tầm tác dụng tác động lên phạm vi máy tính Bộ lọc IPSec dựa yếu tố: • Địa IP, subnet tên DNS máy nguồn • Địa IP, subnet tên DNS máy đích • Theo số hiệu cổng (port) kiển cổng (TCP, UDP, ICMP…) IP Security (IPSec) Triển khai IPSec Windows Server 2003 10 4/21/2010 Triển khai IPSec Windows Server 2003 Các sách IPSec tạo sẵn Client (Respond Only): sách quy định máy tính bạn khơng chủ động dùng IPSec trừ nhập yêu cầu dùng IPSec từ máy đối tác Server (Request Security): quy định máy server bạn chủ động khởi tạo IPSec thiết lập kết nói tới máy khác Secure Server (Require Security): quy định không cho phép trao đổi liệu với Server không dùng IPSec VD: tạo sách IPSec đảm bảo kết nối mã hóa 11 ... nhận thay đổi sách kiểm tốn Chính sách kiểm tốn Các lựa chọn sách kiểm tốn (t.t) Chính sách Mô tả Audit privilege use Hệ thống ghi nhận lại bạn bạn thao tác quản trị quyền hệ thống cấp xóa... thiết lập sách giám sát đối tượng mạng Chính sách kiểm tốn (Audit Policies) giúp giám sát ghi nhận kiện diễn hệ thống 4/21/2010 Chính sách kiểm tốn Các lựa chọn sách kiểm tốn Chính sách Mơ... thêm, bớt quyền cần add hay remove Chính sách cục Quyền hệ thống người dùng (User Rights Assignment) 4/21/2010 Quyền hệ thống người dùng Một số quyền hệ thống cho người dùng nhóm Quyền Mô