Описания параметров безопасности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности

В пакете обновления Windows XP Service Pack 2 для повышения безопасности вводятся некоторые изменения параметров безопасности. Последнее обновление описаний параметров безопасности см. в разделе «Changes to Functionality in Microsoft Windows XP Service Pack 2» на веб-узле корпорации Майкрософт (http://go.microsoft.com/fwlink/?LinkID=20969).

Область безопасности | Описание
Политики учетных записей | Политика паролей, политика блокировки учетной записи и политика Kerberos
Локальные политики | Политика аудита, назначение прав пользователя и параметры безопасности
Журнал событий | Параметры журналов событий приложений, системных событий и событий безопасности
Группы с ограниченным доступом | Состав групп с особыми требованиями к безопасности
Системные службы | Параметры запуска и разрешения для системных служб
Реестр | Разрешения для разделов реестра
Файловая система | Разрешения для файлов и папок

Параметры безопасности, описываемые в этом разделе, можно настраивать для одного компьютера или сразу для нескольких, используя средства диспетчера настройки безопасности. К этим средствам относятся:

  • Шаблоны безопасности
  • Анализ и настройка безопасности
  • Программа командной строки Secedit.exe
  • Локальная политика безопасности
  • Расширение «Параметры безопасности» для групповой политики

Чтобы установить или изменить отдельные параметры безопасности на отдельных компьютерах, используйте средство «Локальная политика безопасности». Чтобы определить параметры безопасности для нескольких компьютеров, используйте расширение «Параметры безопасности» для групповой политики. Чтобы применить несколько параметров в составе пакета, определите их с помощью шаблонов безопасности и затем примените с помощью средства «Анализ и настройка безопасности» или программы Secedit.exe, или импортируйте шаблон, содержащий нужные параметры, в соответствующую локальную или групповую политику.

Примечание

  • Последнее обновление сведений о пакете обновления Service Pack 2 для Microsoft Windows XP см. на странице веб-узла корпорации Майкрософт (http://www.microsoft.com/).


Политики учетных записей

В этом разделе рассматриваются следующие темы:

  • Политика паролей
  • Политика блокировки учетной записи
  • Политика Kerberos


Политика паролей

В этом разделе рассматриваются следующие темы:

  • Требовать неповторяемости паролей
  • Максимальный срок действия пароля
  • Минимальный срок действия пароля
  • Минимальная длина пароля
  • Пароль должен отвечать требованиям сложности
  • Хранить пароли всех пользователей в домене, используя обратимое шифрование


Требовать неповторяемости паролей

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика паролей

Описание

Определяет число новых паролей, которые должны быть сопоставлены учетной записи пользователя, прежде чем можно будет снова использовать старый пароль. Это значение должно принадлежать дипазону от 0 до 24.

Данная политика позволяет администраторам повышать уровень безопасности, запрещая все время использовать одни и те же старые пароли.

Чтобы добиться эффективной сменяемости паролей, не разрешайте немедленную замену паролей при настройке параметра Минимальный срок действия пароля.

По умолчанию: 1. 1.

Дополнительные сведения см. в разделе:

  • Средства управления настройкой безопасности


Максимальный срок действия пароля

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика паролей

Описание

Определяет период времени (в днях), в течение которого можно использовать пароль, прежде чем система потребует от пользователя заменить его. Можно задать значение в диапазоне от 1 до 999 дней или снять всякие ограничения срока действия, установив число дней равным 0.

По умолчанию: 42. 42.


Минимальный срок действия пароля

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика паролей

Описание

Определяет период времени (в днях), в течение которого необходимо использовать пароль, прежде чем пользователь сможет заменить его. Можно задать значение в диапазоне от 1 до 999 дней или разрешить немедленное изменение, установив число дней равным 0.

Минимальный срок действия пароля должен быть меньше, чем Максимальный срок действия пароля.

Чтобы параметр Требовать неповторяемости паролей действовал эффективно, установите минимальный срок действия пароля, отличный от нуля. Если этого не сделать, пользователь сможет перебрать все свои пароли и дойти до старого пароля, который он предпочитает. Тем не менее по умолчанию для данного параметра устанавливается нулевое значение, чтобы администратор мог задать пароль для пользователя и потребовать от него сменить этот пароль после входа в систему. Если число обязательных неповторяющихся паролей установить равным 0, пользователю не нужно будет выбирать новый пароль. Поэтому число неповторяющихся паролей по умолчанию равно 1.

По умолчанию: 0. 0.


Минимальная длина пароля

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика паролей

Описание

Определяет наименьшее число символов, которые может содержать пароль учетной записи пользователя. Можно задать значение в диапазоне от 1 до 14 символов или отменить использование пароля, установив число символов равным 0.

По умолчанию: 0. 0.


Пароль должен отвечать требованиям сложности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика паролей

Описание

Определяет, должны ли пароли отвечать требованиям сложности.

Если эта политика включена, пароли должны удовлетворять следующим минимальным требованиям.

  • Пароль не может содержать имя учетной записи пользователя или какую-либо его часть.
  • Пароль должен состоять не менее чем из шести символов.
  • В пароле должны присутствовать символы трех категорий из числа следующих четырех:
    • прописные буквы английского алфавита от A до Z;
    • строчные буквы английского алфавита от a до z;
    • десятичные цифры (от 0 до 9);
    • символы, не принадлежащие алфавитно-цифровому набору (например, !, $, #, %).

Проверка соблюдения этих требований выполняется при изменении или создании паролей.

О том, как создавать фильтры паролей, см. в материалах пакета Microsoft Platform Software Development Kit и на веб-узле Microsoft Technet.

По умолчанию отключен.


Хранить пароли всех пользователей в домене, используя обратимое шифрование

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика паролей

Описание

Определяет, используют ли обратимое шифрование системы Windows 2000 Server, Windows 2000 Professional и Windows XP Professional для хранения паролей.

Эта политика обеспечивает поддержку приложений, использующих протоколы, которым для проверки подлинности нужно знать пароль пользователя. Хранить пароли, зашифрованные обратимыми методами, — это все равно что хранить их открытым текстом. Поэтому данную политику следует использовать лишь в исключительных случаях, если потребности приложения оказываются важнее, чем защита пароля.

Эта политика является обязательной при использовании протокола проверки подлинности CHAP в средствах удаленного доступа или службах IAS. Она также необходима при использовании проверки подлинности методом Digest Authentication в информационных службах Интернета (Internet Information Services, IIS).

По умолчанию отключен.


Политика блокировки учетной записи

В этом разделе рассматриваются следующие темы:

  • Блокировка учетной записи на
  • Пороговое значение блокировки
  • Сброс счетчика блокировки через


Блокировка учетной записи на

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика блокировки учетной записи

Описание

Определяет число минут, в течение которых учетная запись остается блокированной, прежде чем будет автоматически разблокирована. Этот параметр может принимать значения от 1 до 99 999 минут. Если установить значение 0, учетная запись будет блокирована на все время до тех пор, пока администратор не разблокирует ее явным образом.

Если пороговое значение блокировки определено, данный интервал блокировки должен быть больше или равен интервалу сброса.

По умолчанию не определен, так как этот параметр имеет смысл только при указании параметра Пороговое значение блокировки.


Пороговое значение блокировки

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика блокировки учетной записи

Описание

Определяет число неудачных попыток входа в систему, после которых учетная запись пользователя блокируется. Блокированную учетную запись нельзя использовать до тех пор, пока она не будет сброшена администратором или пока не истечет ее интервал блокировки. Можно задать значение в диапазоне от 1 до 999 или запретить блокировку данной учетной записи, установив значение 0.

Попытки входа с неверным паролем на рабочие станции или рядовые серверы, заблокированные с помощью клавиш CTRL+ALT+DEL или экранных заставок, защищенных паролем, не считаются неудачными попытками входа.

По умолчанию отключен.


Сброс счетчика блокировки через

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика блокировки учетной записи

Описание

Определяет число минут, которые должны пройти после неудачной попытки входа в систему, прежде чем счетчик неудачных попыток будет сброшен в 0. Этот параметр может принимать значения от 1 до 99 999 минут.

Если определено пороговое значение блокировки, данный интервал сброса не должен быть больше интервала Блокировка учетной записи на.

По умолчанию не определен, так как этот параметр имеет смысл только при указании параметра Пороговое значение блокировки.


Политика Kerberos

В этом разделе рассматриваются следующие темы:

  • Принудительные ограничения входа пользователей
  • Максимальный срок жизни билета службы
  • Максимальный срок жизни билета пользователя
  • Максимальный срок жизни для возобновления билета пользователя
  • Максимальная погрешность синхронизации часов компьютера


Принудительные ограничения входа пользователей

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика Kerberos

Описание

Определяет, должен ли центр распределения ключей Kerberos V5 проверять каждый запрос билета сеанса на соответствие политике прав пользователей, действующей на компьютере назначения. Проверка каждого такого запроса является необязательной, поскольку она требует времени и может замедлить сетевой доступ к службам.

Если эта политика включена, пользователь, запрашивающий билет сеанса, должен для его получения обладать правом на Локальный вход в систему (если запрашиваемая служба запущена на том же компьютере) или правом на Доступ к компьютеру из сети (если запрашиваемая служба находится на удаленном компьютере). Если данная политика отключена, эта проверка не выполняется.

По умолчанию включен.


Максимальный срок жизни билета службы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика Kerberos

Описание

Определяет максимальный интервал времени (в минутах), в течение которого полученный билет сеанса разрешается использовать для доступа к конкретной службе. Это значение должно быть больше 10 минут, но не превышать значения Максимальный срок жизни билета пользователя.

Если клиент, запрашивающий подключение к серверу, предъявляет просроченный билет сеанса, сервер возвращает сообщение об ошибке. Клиент должен запросить новый билет сеанса в центре распределения ключей Kerberos V5. Однако после того как подключение пройдет проверку подлинности, срок действия билета теряет смысл. Билеты сеансов применяются только для проверки подлинности на новых подключениях к серверам. Если во время работы подключения истечет срок действия билета, использовавшегося для проверки подлинности при установке этого подключения, выполняемые операции не прерываются.

По умолчанию 600 минут (10 часов).


Максимальный срок жизни билета пользователя

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика Kerberos

Описание

Определяет максимальный интервал времени (в часах), в течение которого действует пользовательский билет TGT (ticket-granting ticket — билет на выдачу билета). Когда срок действия билета TGT истекает, следует запросить новый или «обновить» существующий.

По умолчанию 10 часов.


Максимальный срок жизни для возобновления билета пользователя

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика Kerberos

Описание

Определяет промежуток времени (в днях), в течение которого можно возобновить пользовательский билет TGT (ticket-granting ticket — билет на выдачу билета).

По умолчанию 7 дней.


Максимальная погрешность синхронизации часов компьютера

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Политики учетных записей\Политика Kerberos

Описание

Определяет максимальное расхождение (в минутах) между показаниями часов клиента и сервера, при котором Kerberos V5 считает их идущими синхронно.

Чтобы защититься от «атак воспроизведения», Kerberos V5 использует отметки времени как часть определения протокола. Чтобы этот механизм работал надлежащим образом, часы клиента и сервера должны быть синхронизированы с максимально возможной точностью. Иными словами, на обоих компьютерах должно быть установлено одинаковое время и одинаковая дата. Поскольку часы двух компьютеров часто выпадают из синхронности, администраторы могут с помощью данной политики установить максимальный допуск рассогласования часов, приемлемый для Kerberos V5. Если расхождение между показаниями часов клиента и часов сервера меньше заданного этой политикой значения, любая отметка времени, используемая в сеансе связи между двумя компьютерами, будет считаться достоверной.

По умолчанию 5 минут.


Локальные политики

В этом разделе рассматриваются следующие темы:

  • Политика аудита
  • Назначение прав пользователя
  • Параметры безопасности


Политика аудита

В этом разделе рассматриваются следующие темы:

  • Аудит событий входа в систему
  • Аудит управления учетными записями
  • Аудит доступа к службе каталогов
  • Аудит входа в систему
  • Аудит доступа к объектам
  • Аудит изменения политики
  • Аудит использования привилегий
  • Аудит отслеживания процессов
  • Аудит системных событий


Аудит событий входа в систему

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежит ли аудиту каждая попытка пользователя войти в систему или выйти из нее на другом компьютере, при условии, что данный компьютер используется для проверки подлинности учетной записи.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждой успешной попытки входа в систему. Аудит отказов означает создание записи аудита для каждой неудачной попытки входа в систему. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

Если аудит успешных попыток входа в систему включен на контроллере домена, в журнал будет заноситься запись о каждом пользователе, прошедшем проверку на этом контроллере домена, несмотря на то, что пользователь на самом деле входит в систему на рабочей станции домена.

По умолчанию:

  • «Нет аудита» для контроллеров домена;
  • не определен для рядового компьютера домена.

Дополнительные сведения см. в следующих разделах:

  • Аудит входа в систему


Аудит управления учетными записями

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежат ли аудиту все события, связанные с управлением учетными записями на компьютере. К таким событиям относятся, в частности, следующие:

  • создание, изменение или удаление учетной записи пользователя или группы;
  • переименование, отключение или включение учетной записи пользователя;
  • задание или изменение пароля.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного события управления учетными записями. Аудит отказов означает создание записи аудита для каждого неудачного события управления учетными записями. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

По умолчанию отключен.


Аудит доступа к службе каталогов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежит ли аудиту событие доступа пользователя к объекту каталога Active Directory, для которого задана собственная системная таблица управления доступом (SACL).

По умолчанию эта политика отменяет аудит для объекта групповой политики «Стандартный контроллер домена» и не определена для рабочих станций и серверов, на которых она не имеет смысла.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита при каждом успешном доступе пользователя к объекту Active Directory, для которого определена таблица SACL. Аудит отказов означает создание записи аудита при каждой неудачной попытке доступа пользователя к объекту Active Directory, для которого определена таблица SACL. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

Следует отметить, что системную таблицу управления доступом для объекта Active Directory можно установить на вкладке Безопасность диалогового окна Свойства этого объекта. Данная политика аналогична политике Аудит доступа к объектам, только она применяется к объектам Active Directory, а не к объектам файловой системы и реестра.

По умолчанию:

  • «Нет аудита» для контроллеров домена;
  • не определен для рядового компьютера домена.


Аудит входа в систему

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежит ли аудиту каждая попытка пользователя войти в систему или выйти из нее на данном компьютере, или подключиться к нему через сеть.

Если на контролллере домена ведется учет успешных попыток для политики Аудит событий входа в систему, попытки входа в систему на рабочих станциях не будут подлежать аудиту. События входа в систему регистрируются только при попытках интерактивного и сетевого входа на сам контроллер домена. События входа в систему для учетной записи создаются на компьютере, где хранится учетная запись; события входа создаются при попытках выполнить вход.

Если этот параметр политики определен, можно задать аудит успехов или отказов либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждой успешной попытки входа в систему. Аудит отказов означает создание записи аудита для каждой неудачной попытки входа. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

По умолчанию отключен.


Аудит доступа к объектам

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежит ли аудиту событие попытки доступа пользователя к объекту (например, к файлу, папке, разделу реестра, принтеру и т.д.), для которого указан собственный список контроля системного доступа (SACL).

Если этот параметр политики определен, можно задать аудит успехов или отказов либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита при каждом успешном доступе пользователя к объекту, для которого определена таблица SACL. Аудит отказов означает создание записи аудита при каждой неудачной попытке доступа пользователя к объекту, для которого определена таблица SACL. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

Следует отметить, что системную таблицу управления доступом для объекта файловой системы можно установить на вкладке Безопасность диалогового окна Свойства этого объекта.

По умолчанию отключен.

Дополнительные сведения см. в следующих разделах:

  • Аудит доступа к службе каталогов


Аудит изменения политики

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежит ли аудиту каждый факт изменения политик назначения прав пользователей, политик аудита или политик доверительных отношений.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита при каждом успешном изменении политик назначения прав пользователей, политик аудита или политик доверительных отношений. Аудит отказов означает создание записи аудита при каждой неудачной попытке изменения политик назначения прав пользователей, политик аудита или политик доверительных отношений. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

По умолчанию отключен.


Аудит использования привилегий

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежит ли аудиту каждая попытка пользователя воспользоваться предоставленным ему правом.

Если этот параметр политики определен, можно задать аудит успехов или отказов либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного применения права пользователя. Аудит отказов означает создание записи аудита для каждого неудачного применения права пользователя. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

По умолчанию аудит не выполняется для использования следующих прав пользователя, даже если задан аудит успехов и отказов для параметра «Аудит использования привилегий».

  • Обход перекрестной проверки
  • Отладка программ
  • Cоздание маркерного объекта
  • Замена маркера уровня процесса
  • Создание журналов безопасности
  • Архивирование файлов и каталогов
  • Восстановление файлов и каталогов


Аудит отслеживания процессов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежат ли аудиту такие события, как активизация программы, завершение процесса, повторение дескрипторов и косвенный доступ к объекту.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного события, связанного с отслеживаемым процессом. Аудит отказов означает создание записи аудита для каждого неудачного события, связанного с отслеживаемым процессом. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

По умолчанию отключен.


Аудит системных событий

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политика аудита

Описание

Определяет, подлежат ли аудиту события перезагрузки или отключения компьютера, а также события, влияющие на системную безопасность или на журнал безопасности.

Если этот параметр политики определен, можно задать аудит успехов или отказов, либо вообще отключить аудит событий данного типа. Аудит успехов означает создание записи аудита для каждого успешного системного события. Аудит отказов означает создание записи аудита для каждого неудачного завершения системного события. Чтобы отключить аудит, в диалоговом окне Свойства данного параметра политики установите флажок Определить следующие параметры политики и снимите флажки Успех и Отказ.

По умолчанию отключен.


Назначение прав пользователя

В этом разделе рассматриваются следующие темы:

  • Доступ к компьютеру из сети
  • Работа в режиме операционной системы
  • Добавление рабочих станций в домен
  • Настройка квот памяти для процесса
  • Разрешать вход в систему через службу терминалов
  • Архивирование файлов и каталогов
  • Обход перекрестной проверки
  • Изменение системного времени
  • Создание файла подкачки
  • Cоздание маркерного объекта
  • Создание постоянных объектов совместного использования
  • Отладка программ
  • Отказ в доступе к компьютеру из сети
  • Отказ во входе в качестве пакетного задания
  • Отказ во входе в качестве службы
  • Отклонить локальный вход
  • Запретить вход в систему через службу терминалов
  • Разрешение доверия к учетным записям компьютеров и пользователей при делегировании
  • Принудительное удаленное завершение работы
  • Создание журналов безопасности
  • Увеличение приоритета диспетчирования
  • Загрузка и выгрузка драйверов устройств
  • Закрепление страниц в памяти
  • Вход в качестве пакетного задания
  • Вход в качестве службы
  • Локальный вход в систему
  • Управление аудитом и журналом безопасности
  • Изменение параметров среды оборудования
  • Выполнение задач по обслуживанию томов
  • Профилирование одного процесса
  • Профилирование загруженности системы
  • Отключение компьютера от стыковочного узла
  • Замена маркера уровня процесса
  • Восстановление файлов и каталогов
  • Завершение работы системы
  • Синхронизация данных службы каталогов
  • Смена владельца файлов или иных объектов


Доступ к компьютеру из сети

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, каким пользователям и группам разрешается подключаться к компьютеру через сеть.

Внимание!

  • Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Сведения по совместимости для этого параметра см. в разделе Access this computer from network (http://go.microsoft.com/fwlink/?LinkId=24267) на веб-узле корпорации Майкрософт.

По умолчанию:

  • На рабочих станциях и серверах:
    • Администраторы
    • Операторы архива
    • Опытные пользователи
    • Пользователи
    • Все
  • На контроллерах домена:
    • Администраторы
    • Прошедшие проверку
    • Все


Работа в режиме операционной системы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Разрешает процессу проходить проверку подлинности как обычному пользователю и таким образом получать доступ к тем же ресурсам, что и любой пользователь. Эта привилегия требуется только для служб проверки подлинности низкого уровня.

Потенциально доступ не ограничен ресурсами, назначенными пользователю по умолчанию, поскольку для процесса вызова может потребоваться, чтобы в описатель доступа были внесены еще какие-либо разрешения. Более важным является тот фактор, что процесс вызова может создать анонимный описатель, способный поддержать любые разрешения на доступ. Кроме того, этот описатель не может служить уникальным идентификатором при отслеживании событий в журнале аудита.

Процессы, которым необходима эта привилегия, должны использовать учетную запись LocalSystem, уже включающую данную привилегию, а не отдельную учетную запись пользователя, специально назначая ей эту привилегию.

По умолчанию локальная система.


Добавление рабочих станций в домен

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие группы и пользователи могут добавлять рабочие станции в домен.

Эта политика действует только на контроллерах домена. По умолчанию таким правом обладает любой пользователь, прошедший проверку подлинности; он может создать до 10 учетных записей компьютеров в домене.

Добавление учетной записи компьютера к домену позволит компьютеру подключаться к сети Active Directory. Например, рабочая станция, добавленная в домен, получает возможность распознавать учетные записи и группы, существующие в Active Directory.

По умолчанию «Прошедшие проверку».

Примечание

  • Пользователи, обладающие разрешением на создание объектов-компьютеров в контейнере Active Directory, также могут создавать учетные записи компьютеров в домене. Но для них число создаваемых учетных записей не ограничено значением 10. Кроме того, владельцем учетных записей, создаваемых с помощью параметра «Добавление рабочих станций в домен», является администратор домена; владельцем же учетных записей, созданных с помощью разрешений на контейнере, является создатель учетной записи. Если пользователь обладает разрешениями на контейнере, а также обладает правом «Добавление рабочих станций в домен», компьютер будет добавлен на основе разрешений контейнера, а не права пользователя.


Настройка квот памяти для процесса

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие учетные записи могут использовать процесс, обладающий разрешением «Запись свойства» для доступа к другому процессу, с целью увеличить назначенную последнему квоту ресурсов процессора.

Данное право пользователя определено в объекте групповой политики стандартного контроллера домена, а также в локальной политике безопасности рабочих станций и серверов.

По умолчанию администраторы.

Примечание

  • Эту привилегию можно использовать для настройки системы, но ее использование может вызвать неблагоприятные последствия, например, в случае атаки типа «отказ в обслуживании».


Разрешать вход в систему через службу терминалов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, каким пользователям и группам разрешается входить в систему в качестве клиента служб терминалов.

По умолчанию:

  • На рабочих станциях и серверах: администраторы, пользователи удаленного рабочего стола.
  • На контроллерах доменов: администраторы.

Важно!

  • Этот параметр не действует на компьютерах Windows 2000 без пакета обновления Service Pack 2.

Дополнительные сведения см. в следующих разделах:

  • Запретить вход в систему через службу терминалов


Архивирование файлов и каталогов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут архивировать содержимое системы, невзирая на имеющиеся разрешения для файлов и каталогов.

Эта привилегия эквивалентна предоставлению указанным пользователям и группам следующих разрешений на доступ ко всем файлам и папкам системы:

  • Обзор папок/Выполнение файлов
  • Содержание папки/Чтение данных
  • Чтение атрибутов
  • Чтение дополнительных атрибутов
  • Чтение разрешений

По умолчанию администраторы и операторы архива.

Дополнительные сведения см. в следующих разделах:

  • Восстановление файлов и каталогов


Обход перекрестной проверки

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут проходить по дереву каталога, независимо от того, имеются ли у них разрешения на доступ к этому каталогу. Эта привилегия не позволяет пользователю выводить список содержимого каталога, а только перемещаться по его структуре.

Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов.

По умолчанию:

  • На рабочих станциях и серверах:
    • Администраторы
    • Операторы архива
    • Опытные пользователи
    • Пользователи
    • Все
  • На контроллерах домена:
    • Администраторы
    • Прошедшие проверку


Изменение системного времени

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи и группы могут изменять время и дату на встроенных часах компьютера.

Данное право пользователя определено в объекте групповой политики стандартного контролера домена, а также в локальной политике безопасности рабочих станций и серверов.

По умолчанию:

  • На рабочих станциях и серверах:
    • Администраторы
    • Опытные пользователи
  • На контроллерах домена:
    • Администраторы
    • Операторы сервера


Создание файла подкачки

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи и группы могут создавать файл подкачки и изменять его размер. Для создания файла подкачки нужно указать его размер для выбранного диска на вкладке Параметры быстродействия окна свойств системы.

По умолчанию администраторы.


Cоздание маркерного объекта

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие учетные записи могут использоваться процессами для создания описателя, позволяющего получать доступ к любым локальным ресурсам, если описатель строится с помощью функции NtCreateToken() или другого API-интерфейса.

Процессам, которым необходима эта привилегия, рекомендуется использовать учетную запись LocalSystem, уже включающую данную привилегию, а не отдельную учетную запись пользователя, специально назначая ей эту привилегию.

По умолчанию локальная система.


Создание постоянных объектов совместного использования

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какую учетную запись можно использовать процессам для создания объекта каталога в диспетчере объектов Windows 2000 Server, Windows 2000 Professional и Windows XP Professional.

Эта привилегия полезна для компонентов режима ядра, которые расширяют пространство имен объектов нулевого уровня в Windows 2000 Server, Windows 2000 Professional и Windows XP Professional. Поскольку компоненты, работающие в режиме ядра, уже обладают этой привилегией, им не нужно специально назначать ее.

По умолчанию локальная система.


Отладка программ

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут запускать программу отладки для любого процесса. Эта привилегия обеспечивает широкие возможности доступа к особо важным компонентам операционной системы.

По умолчанию:

  • Администраторы
  • Локальная система


Отказ в доступе к компьютеру из сети

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, каким пользователям запрещается доступ к данному компьютеру через сеть. Эта политика отменяет политику Доступ к компьютеру из сети, если учетная запись пользователя контролируется обеими политиками.

По умолчанию:

  • На рабочих станциях и серверах:
    • Администраторы
    • Операторы архива
    • Опытные пользователи
    • Пользователи
    • Все
  • На контроллерах домена:
    • Администраторы
    • Прошедшие проверку
    • Все


Отказ во входе в качестве пакетного задания

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие учетные записи запрещается использовать при входе в систему в качестве пакетного задания. Эта политика отменяет политику Вход в качестве пакетного задания, если учетная запись пользователя контролируется обеими политиками.

По умолчанию нет.


Отказать во входе в качестве службы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, каким учетным записям запрещается регистрировать процесс в качестве службы. Эта политика отменяет политику Вход в качестве службы, если учетная запись пользователя контролируется обеими политиками.

По умолчанию нет.


Отклонить локальный вход

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, каким пользователям запрещается вход в систему на данном компьютере. Эта политика отменяет политику Локальный вход в систему, если учетная запись пользователя контролируется обеими политиками.

По умолчанию нет.


Запретить вход в систему через службу терминалов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, каким пользователям и группам запрещается входить в систему в качестве клиента служб терминалов.

По умолчанию нет.

Важно!

  • Этот параметр не действует на компьютерах Windows 2000 без пакета обновления Service Pack 2.

Дополнительные сведения см. в следующих разделах:

  • Разрешать вход в систему через службу терминалов


Разрешение доверия к учетным записям компьютеров и пользователей при делегировании

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут устанавливать атрибут Доверен для делегирования для объекта «Пользователь» или «Компьютер».

Пользователь или объект, наделенный данной привилегией, должен иметь право записи во флаги управления учетной записью объекта «Пользователь» или «Компьютер». Серверный процесс, который работает на компьютере (или в контексте пользователя), доверенном для делегирования, может получать доступ к ресурсам другого компьютера, используя делегированные учетные данные клиента, при условии, что для учетной записи клиента не установлен флаг управления Учетная запись не может быть делегирована.

Данное право пользователя определено в объекте групповой политики стандартного контроллера домена, а также в локальной политике безопасности рабочих станций и серверов.

По умолчанию администраторы на контроллерах доменов.

Примечание

  • Неправильное употребление этой привилегии или параметра Доверен для делегирования может сделать сеть уязвимой для атак, в которых «троянские кони» выдают себя за входящих клиентов и используют их учетные данные для доступа к сетевым ресурсам.


Принудительное удаленное завершение работы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, каким пользователям разрешено завершать работу компьютера из удаленного узла сети.

Данное право пользователя определено в объекте групповой политики стандартного контроллера домена, а также в локальной политике безопасности рабочих станций и серверов.

По умолчанию:

  • На рабочих станциях и серверах: администраторы.
  • На контроллерах доменов: администраторы, операторы сервера.

Дополнительные сведения см. в следующих разделах:

  • Завершение работы системы


Создание журналов безопасности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие учетные записи могут быть использованы процессом для добавления записей в журнал безопасности. Журнал безопасности используется для отслеживания попыток несанкционированного доступа в систему.

По умолчанию локальная система.

Дополнительные сведения см. в следующих разделах:

  • Управление аудитом и журналом безопасности


Увеличение приоритета диспетчирования

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие учетные записи могут использовать процесс, обладающий разрешением «Запись свойства» для доступа к другому процессу, с целью повысить назначенный последнему приоритет выполнения. Пользователь, обладающий этой привилегией, может изменять приоритет планирования процесса в окне диспетчера задач.

По умолчанию администраторы.


Загрузка и выгрузка драйверов устройств

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут динамически загружать и выгружать драйверы устройств. Эта привилегия необходима для установки драйверов устройств Plug and Play.

По умолчанию администраторы.


Закрепление страниц в памяти

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие учетные записи могут использовать процесс для хранения данных в физической памяти, избегая подкачки страниц в виртуальную память на диск. Применение этой привилегии может существенно сказаться на системной производительности, поскольку приводит к уменьшению объема свободной оперативной памяти.

По умолчанию нет.


Вход в качестве пакетного задания

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Позволяет пользователю входить в систему с помощью средства обработки пакетных заданий.

Например, если пользователь инициирует задание с помощью планировщика заданий, планировщик обеспечивает ему вход в систему как пакетному пользователю, а не как интерактивному.

По умолчанию локальная система.

Примечание

  • В Windows 2000 Server, Windows 2000 Professional и Windows XP Professional планировщик заданий автоматически предоставляет это право по необходимости.

Дополнительные сведения см. в следующих разделах:

  • Отказ во входе в качестве пакетного задания


Вход в качестве службы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие учетные записи служб могут зарегистрировать процесс в качестве службы.

По умолчанию нет.

Дополнительные сведения см. в следующих разделах:

  • Отказать во входе в качестве службы


Локальный вход в систему

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут входить в систему на данном компьютере.

Внимание!

  • Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Сведения по совместимости для этого параметра см. в разделе Allow log on locally (http://go.microsoft.com/fwlink/?LinkId=24268) на веб-узле корпорации Майкрософт.

По умолчанию:

  • На рабочих станциях и серверах: администраторы, операторы архива, опытные пользователи, пользователи и гости.
  • На контроллерах доменов: операторы учета, администраторы, операторы архива и операторы печати.

Дополнительные сведения см. в следующих разделах:

  • Отклонить локальный вход


Управление аудитом и журналом безопасности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут задавать параметры аудита доступа к объектам для отдельных ресурсов, таких как файлы, объекты Active Directory и разделы реестра.

Эта политика не позволяет пользователю включать аудит доступа к файлам и объектам в целом. Для этого необходимо настроить параметр Аудит доступа к объектам в папке «Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Политики аудита».

Просмотр записей о событиях аудита в журнале безопасности осуществляется в окне просмотра событий. Пользователь, обладающий такой привилегией, может также просматривать и очищать журнал безопасности.

По умолчанию администраторы.


Изменение параметров среды оборудования

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, каким группам безопасности разрешено изменять значения общесистемных параметров среды.

По умолчанию администраторы, локальная система.


Выполнение задач по обслуживанию томов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Определяет, какие пользователи и группы имеют полномочия на выполнение процедур обслуживания томов, таких как очистка диска и дефрагментация диска.

По умолчанию администраторы.


Профилирование одного процесса

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут вести наблюдение за рабочими характеристиками несистемных процессов.

По умолчанию администраторы, локальная система.

Дополнительные сведения см. в следующих разделах:

  • Профилирование загруженности системы


Профилирование загруженности системы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут вести наблюдение за рабочими характеристиками системных процессов.

По умолчанию администраторы, локальная система.

Дополнительные сведения см. в следующих разделах:

  • Профилирование одного процесса


Отключение компьютера от стыковочного узла

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, может ли пользователь отключать переносной компьютер от стыковочного узла, не входя в систему.

Если эта политика включена, пользователь должен войти в систему перед тем, как отключать компьютер от стыковочного узла. Если эта политика отключена, пользователь может отсоединять компьютер от стыковочного узла, не входя в систему.

По умолчанию отключена.


Замена маркера уровня процесса

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие учетные записи пользователей могут инициировать процесс замены стандартного маркера, связанного с запущенным подпроцессом.

По умолчанию локальная система.


Восстановление файлов и каталогов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут восстанавливать архивированные файлы и каталоги, невзирая на имеющиеся у них разрешения для этих файлов и каталогов, а также назначать любого действительного участника безопасности владельцем объекта.

По умолчанию:

  • Рабочие станции и серверы: администраторы, операторы архива.
  • Контроллеры домена: администраторы, операторы архива, операторы сервера.

Дополнительные сведения см. в следующих разделах:

  • Архивирование файлов и каталогов


Завершение работы системы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут, войдя на локальный компьютер, завершить работу операционной системы с помощью команды Завершение работы.

По умолчанию:

  • Рабочие станции и серверы: администраторы, операторы архива, опытные пользователи, пользователи.
  • Контроллеры домена: операторы учета, администраторы, операторы архива, операторы сервера, операторы печати.

Дополнительные сведения см. в следующих разделах:

  • Принудительное удаленное завершение работы


Синхронизация данных службы каталогов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи и группы имеют полномочия синхронизировать данные, относящиеся к службе каталогов. Эта процедура также называется синхронизацией Active Directory.

По умолчанию нет.


Смена владельца файлов или иных объектов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут становиться владельцем любого объекта системы, контролируемого средствами безопасности, в том числе объектов Active Directory, файлов и папок, принтеров, разделов реестра, процессов и потоков.

По умолчанию администраторы.


Параметры безопасности

Рисунок Microsoft Windows

Средства безопасности

В этом разделе рассматриваются следующие темы:

  • Учетные записи: состояние учетной записи 'Администратор'
  • Учетные записи: состояние учетной записи 'Гость'
  • Учетные записи: ограничить использование пустых паролей для консольного входа
  • Учетные записи: переименование учетной записи администратора
  • Учетные записи: переименование учетной записи гостя
  • Аудит: аудит доступа глобальных системных объектов
  • Аудит: аудит прав на архивацию и восстановление
  • Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности
  • Устройства: разрешено форматировать и извлекать съемные носители
  • Устройства: разрешать отстыковку без входа в систему
  • Устройства: запретить пользователям установку драйверов принтера
  • Устройства: разрешить доступ к дисководам компакт-дисков только локальным пользователям
  • Устройства: разрешить доступ к дисководам гибких дисков только локальным пользователям
  • Устройства: поведение при установке неподписанного драйвера
  • Контроллер домена: разрешить операторам сервера задавать выполнение заданий по расписанию (только для контроллеров домена)
  • Контроллер домена: запретить изменение пароля учетных записей компьютера
  • Член домена: всегда требуется цифровая подпись или шифрование потока данных безопасного канала
  • Член домена: шифрование данных безопасного канала, когда это возможно
  • Член домена: цифровая подпись данных безопасного канала, когда это возможно
  • Член домена: максимальный срок действия пароля учетных записей компьютера
  • Член домена: требует стойкого ключа сеанса (Windows 2000 или выше)
  • Член домена: отключить изменение пароля учетных записей компьютера
  • Интерактивный вход в систему: не отображать последнего имени пользователя
  • Интерактивный вход в систему: не требовать нажатия CTRL+ALT+DEL
  • Интерактивный вход в систему: текст сообщения для пользователей при входе в систему
  • Интерактивный вход в систему: заголовок сообщения для пользователей при входе в систему
  • Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)
  • Интерактивный вход в систему: напоминать пользователям об истечении срока действия пароля заранее
  • Интерактивный вход в систему: требовать проверки на контроллере домена для отмены блокировки компьютера
  • Интерактивный вход в систему: поведение при извлечении смарт-карты
  • Клиент сети Microsoft: использовать цифровую подпись (всегда)
  • Клиент сети Microsoft: использовать цифровую подпись (с согласия сервера)
  • Клиент сети Microsoft: посылать незашифрованный пароль сторонним SMB-серверам
  • Сервер сети Microsoft: длительность простоя перед отключением
  • Сервер сети Microsoft: использовать цифровую подпись (всегда)
  • Сервер сети Microsoft: использовать цифровую подпись (с согласия клиента)
  • Сервер сети Microsoft: отключать клиентов по истечении разрешенных часов входа
  • Сетевой доступ: разрешить трансляцию анонимного SID в имя
  • Сетевой доступ: не разрешать перечисление учетных записей SAM анонимными пользователями
  • Сетевой доступ: не разрешать перечисление учетных записей SAM и общих ресурсов анонимными пользователями
  • Сетевой доступ: не разрешать средству сохранения имен пользователей и паролей сохранять пароли или учетные данные для проверки в домене
  • Сетевой доступ: разрешать применение разрешений для всех к анонимным пользователям
  • Сетевой доступ: разрешать анонимный доступ к именованным каналам
  • Сетевой доступ: пути в реестре доступны через удаленное подключение
  • Сетевой доступ: разрешать анонимный доступ к общим ресурсам
  • Сетевой доступ: модель совместного доступа и безопасности для локальных учетных записей
  • Сетевая безопасность: не хранить хеш-значений LAN Manager при следующей смене пароля
  • Сетевая безопасность: принудительный вывод из сеанса по истечении допустимых часов работы
  • Сетевая безопасность: уровень проверки подлинности LAN Manager
  • Сетевая безопасность: минимальная сеансовая безопасность для клиентов на базе NTLM SSP (включая безопасный RPC)
  • Сетевая безопасность: минимальная сеансовая безопасность для серверов на базе NTLM SSP (включая безопасный RPC)
  • Консоль восстановления: разрешить автоматический вход администратора
  • Консоль восстановления: разрешить копирование дискет и доступ ко всем дискам и папкам
  • Завершение работы: разрешить завершение работы системы без выполнения входа
  • Завершение работы: очистка страничного файла виртуальной памяти
  • Системная криптография: использовать FIPS-совместимые алгоритмы для шифрования, хеширования и подписывания
  • Системные объекты: владелец по умолчанию для объектов, созданных членами группы администраторов
  • Системные объекты: учитывать регистр для подсистем, отличных от Windows
  • Системные объекты: усилить разрешения по умолчанию для внутренних системных объектов (например, символических ссылок)


Учетные записи: состояние учетной записи 'Администратор'

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, включена или отключена учетная запись «Администратор» в обычном режиме работы. При загрузке в безопасном режиме учетная запись «Администратор» всегда включена, независимо от данного параметра.

По умолчанию включен.

Примечания

  • Если попытаться вновь включить учетную запись «Администратор» после того, как она была отключена, но ее текущий пароль не удовлетворяет требованиям, предъявляемым к паролям, учетную запись включить не удастся. В этом случае какой-либо другой член группы «Администраторы» должен установить пароль для учетной записи «Администратор» в оснастке «Локальные пользователи и группы».
  • Отключенная учетная запись «Администратор» может в определенных обстоятельствах вызвать затруднения при выполнении процедур технического обслуживания. Например, если в среде домена по какой-либо причине возникает сбой на безопасном канале, образующем соединение с доменом, и на компьютере нет другой локальной учетной записи «Администратор», нужно будет для устранения неполадок перезагрузиться в безопасном режиме.


Учетные записи: состояние учетной записи 'Гость'

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, включена или выключена учетная запись «Гость».

По умолчанию отключен.

Примечание

  • Если учетная запись «Гость» отключена и параметр безопасности «Сетевой доступ: модель совместного доступа и безопасности» установлен на вход в сеть для учетной записи «Только гости», невозможно выполнить вход через сервер сети Microsoft (службу SMB).


Учетные записи: ограничить использование пустых паролей для консольного входа

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, могут ли сетевые службы, такие как службы терминалов, Telnet и FTP, при удаленном интерактивном входе в систему использовать локальные учетные записи с пустыми паролями. Если этот параметр включен, то для интерактивного входа в систему с удаленного клиентского компьютера необходимо будет использовать локальную учетную запись с непустым паролем.

По умолчанию включен.

Примечания

  • Данный параметр не влияет на интерактивный вход, выполняемый непосредственно на консоли.
  • Действие данного параметра не распространяется на вход в сеть с использованием учетных записей домена.
  • Приложения, использующие процедуры удаленного интерактивного входа, могут обходить ограничение, устанавливаемое этим параметром.


Учетные записи: переименование учетной записи администратора

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, связано ли имя другой учетной записи с идентификатором безопасности (SID) для учетной записи «Администратор». Учетная запись администратора существует на всех компьютерах с Windows 2000 Server, Windows 2000 Professional и Windows XP Professional; но переименование этой учетной записи усложнит пользователям, не имеющим доступа в систему, процесс угадывания имени и пароля пользователя с правами администратора.

По умолчанию администратор.


Учетные записи: переименование учетной записи гостя

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, связано ли имя другой учетной записи с идентификатором безопасности (SID) для учетной записи «Гость». Учетная запись гостя существует на всех компьютерах с Windows 2000 Server, Windows 2000 Professional и Windows XP Professional; но переименование этой учетной записи усложнит пользователям, не имеющим доступа в систему, процесс угадывания имени и пароля пользователя.

По умолчанию гость.


Аудит: аудит доступа глобальных системных объектов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, следует ли проводить аудит доступа к глобальным системным объектам.

Если эта политика включена, то при создании системных объектов, таких как мьютексы, события, семафоры и устройства DOS, для каждого из них будет создаваться стандартная системная таблица управления доступом (SACL). Если при этом также включена политика Аудит доступа к объектам, доступ к таким системным объектам подлежит аудиту.

По умолчанию отключен.


Аудит: аудит прав на архивацию и восстановление

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, следует ли проводить аудит применения всех пользовательских привилегий, в том числе права «Архивация и восстановление», если включена политика Аудит использования привилегий. Если этот параметр включен при включенной политике «Аудит использования привилегий», событие аудита будет создаваться для каждого архивируемого или восстанавливаемого файла.

Если эта политика включена при включенной и работающей политике «Аудит использования привилегий», любое использование прав пользователя будет записываться в журнал безопасности.

Если эта политика отключена, аудит не будет проводиться при использовании пользователями прав на архивацию и восстановление, даже если включен параметр «Аудит использования привилегий».

По умолчанию отключен.


Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, должна ли система завершать работу, если она не может вести журнал событий безопасности.

Если эта политика включена и в журнал безопасности по какой-либо причине не удается внести запись о событии аудита, система прекращает работу. Обычно сбой в создании записи о событии происходит, если журнал безопасности полон и в качестве метода сохранения выбран «Не затирать события» или «Затирать старые события по дням».

Если журнал безопасности заполнен и существующую запись нельзя затереть, а данный параметр безопасности при этом включен, появится сообщение о неустранимой ошибке:

STOP: C0000244 {Audit Failed}
Неудачная попытка выполнения аудита безопасности.

Для восстановления нормального режима работы необходимо, чтобы администратор вошел в систему, создал архивную копию журнала (необязательное действие) и установил данный параметр требуемым образом.

По умолчанию отключен.


Устройства: разрешать отстыковку без входа в систему

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, должен ли пользователь входить в систему, чтобы запросить отсоединение переносного компьютера от стыковочного узла. Если этот параметр отключен, пользователь обязан входить в систему для того, чтобы запросить отстыковку, причем в этот момент он должен обладать разрешением «Отключние компьютера от стыковочного узла». Если параметр включен, пользователь может запросить отстыковку, нажав на переносном компьютере кнопку отстыковки.

По умолчанию включен.

Примечание

  • Этот параметр следует отключать только для переносных компьютеров, не допускающих механической отстыковки. В остальных случаях пользователь может физически отключить компьютер, если у него нет возможности войти в систему и кнопка отсоединения не действует.


Устройства: разрешено форматировать и извлекать съемные носители

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, каким пользователям разрешается форматировать съемные носители NTFS и извлекать их из устройств. Это право может быть предоставлено группам «Администраторы», «Администраторы и опытные пользователи» и «Администраторы и интерактивные пользователи».

По умолчанию администраторы.


Устройства: запретить пользователям установку драйверов принтера

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Чтобы локальный компьютер мог выполнять печать на сетевом принтере, необходимо установить на компьютере драйвер этого принтера. Данный параметр безопасности определяет, кому при добавлении сетевого принтера разрешается устанавливать драйвер принтера. Если параметр включен, то устанавливать драйвер при добавлении сетевого принтера разрешается только группе «Администраторы и опытные пользователи». Если параметр отключен, то устанавливать драйвер при добавлении сетевого принтера может любой пользователь. Этот параметр позволяет запретить пользователям, не имеющим достаточных полномочий, загружать и устанавливать драйвер принтера, взятый из ненадежного источника.

По умолчанию:

  • включен на серверах;
  • отключен на рабочих станциях.

Примечания

  • Если администратор установил путь доверительных отношений для загрузки драйверов, данный параметр утрачивает силу. Если используются доверенные пути, подсистема печати будет пытаться загрузить драйвер именно по такому пути. В случае успешной загрузки драйвер устанавливается от имени любого пользователя. Если загрузка по доверенному пути завершается неудачно, драйвер не устанавливается и сетевой принтер не добавляется.
  • Если данный параметр включен, но на локальном компьютере уже имеется драйвер для сетевого принтера, пользователи все равно могут добавлять сетевой принтер.
  • Этот параметр не влияет на возможность добавления сетевого принтера.


Устройства: разрешить доступ к дисководам компакт-дисков только локальным пользователям

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, доступен ли компакт-диск одновременно локальным и удаленным пользователям.

Если эта политика включена, она разрешает доступ к компакт-дискам только пользователям, вошедшим в систему в интерактивном режиме. Если эта политика включена и в системе нет ни одного пользователя, вошедшего в интерактивном режиме, компакт-диск будет доступен по сети.

По умолчанию отключен.


Устройства: разрешить доступ к дисководам гибких дисков только локальным пользователям

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, доступны ли съемные носители на гибких дисках одновременно локальным и удаленным пользователям.

Если эта политика включена, она разрешает доступ к гибким дискам только пользователям, вошедшим в систему в интерактивном режиме. Если эта политика включена и в системе нет ни одного пользователя, вошедшего в интерактивном режиме, гибкий диск будет доступен по сети.

По умолчанию отключен.


Устройства: поведение при установке неподписанного драйвера

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, что происходит при попытке установить драйвер устройства (с помощью API-функции Setup), не имеющий сертификата WHQL (Windows Hardware Quality Lab).

Возможны следующие варианты:

  • Успешная установка без предупреждения
  • Предупреждать, но разрешать установку
  • Не разрешать установку

По умолчанию. Предупреждать, но разрешать установку.


Контроллер домена: разрешить операторам сервера задавать выполнение заданий по расписанию

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, разрешено ли группе «Операторы сервера» планировать задания с помощью команды AT.

По умолчанию эта политика не определена, это означает, что система рассматривает ее как отключенную.

Примечание

  • Данный параметр безопасности действует только в отношении средства планирования по команде AT, но не планировщика заданий.


Контроллер домена: запретить изменение пароля учетных записей компьютера

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, принимает ли контроллер домена запросы на изменение пароля для учетной записи компьютера. Если этот параметр включен на всех контроллерах домена, то члены этого домена не смогут менять пароли учетных записей своих компьютеров, что делает их уязвимыми для внешних атак.

По умолчанию отключен.


Член домена: всегда требуется цифровая подпись или шифрование потока данных безопасного канала

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, можно ли установить безопасный канал связи с контроллером домена, который не способен подписывать или шифровать весь трафик этого канала. Если этот параметр включен, то безопасный канал нельзя будет устанавливать ни с одним контроллером домена, не обеспечивающим подписывание или шифрование всех данных канала. Если параметр отключен, безопасный канал установить можно, но уровень шифрования и подписывания придется согласовывать.

По умолчанию отключен.

Важно!

  • Прежде чем включать этот параметр на рядовом сервере или рабочей станции домена, необходимо убедиться, что все контроллеры этого домена могут шифровать или подписывать все данные безопасного канала. Это означает, что все такие контроллеры домена должны работать под управлением Windows NT 4.0 с пакетом обновления 4 или более поздней версии.
  • Прежде чем включать этот параметр на контроллере домена, необходимо убедиться, что все контроллеры всех доверенных доменов и доменов-доверителей могут шифровать или подписывать все данные безопасного канала. Это означает, что все такие контроллеры доменов должны работать под управлением Windows NT 4.0 с пакетом обновления 4 или более поздней версии.
  • Если эта политика включена, автоматически включается политика Член домена: цифровая подпись данных безопасного канала, когда это возможно.


Член домена: шифрование данных безопасного канала, когда это возможно

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Обеспечивает шифрование всего трафика безопасного канала, если контроллер домена, с которым установлена связь, также может шифровать весь этот трафик.

По умолчанию включен.

Важно!

  • Не существует причин, по которым этот параметр следовало бы отключить. Это привело бы не только к нежелательному снижению уровня потенциальной конфиденциальности безопасного канала, но и уменьшило бы его пропускную способность, поскольку одновременное прохождение нескольких вызовов API-функций по этому безопасному каналу возможно только в случае, если его трафик подписан или зашифрован.


Член домена: цифровая подпись данных безопасного канала, когда это возможно

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Обеспечивает подписывание всего трафика безопасного канала, если контроллер домена, с которым установлена связь, также может подписывать весь этот трафик.

По умолчанию включен.

Важно!

  • Не существует причин, по которым этот параметр следовало бы отключить. Это привело бы не только к нежелательному снижению уровня потенциальной целостности безопасного канала, но и уменьшило бы его пропускную способность, поскольку одновременное прохождение нескольких вызовов API-функций по этому безопасному каналу возможно только в случае, если его трафик подписан или зашифрован.
  • Если включена политика Член домена: шифрование данных безопасного канала, когда это возможно, этот параметр включается неявным образом.


Член домена: максимальный срок действия пароля учетных записей компьютера

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет максимальный допустимый срок службы пароля учетной записи компьютера.

По умолчанию 30 дней.

Важно!

  • Этот параметр применяется к компьютерам Windows 2000, но он недоступен при использовании средств диспетчера настройки безопасности на этих компьютерах.


Член домена: требует стойкого ключа сеанса (Windows 2000 или выше)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, можно ли установить безопасный канал связи с контроллером домена, который не способен шифровать трафик этого канала с помощью стойкого (128-разрядного) ключа. Если этот параметр включен, то безопасный канал нельзя будет устанавливать ни с одним контроллером домена, не обеспечивающим шифрование всех данных канала стойким ключом. Если параметр отключен, допускаются 64-разрядные ключи сеансов.

По умолчанию отключен.

Важно!

  • Прежде чем включать этот параметр на рядовом сервере или рабочей станции домена, необходимо убедиться, что все контроллеры этого домена могут шифровать данные безопасного канала с использованием стойкого (128-разрядного) ключа. Это означает, что все такие контроллеры домена должны работать под управлением Windows 2000.
  • Прежде чем включать этот параметр на контроллере домена, необходимо убедиться, что все контроллеры всех доверенных доменов и доменов-доверителей могут шифровать данные безопасного канала с использованием стойкого (128-разрядного) ключа. Это означает, что все такие контроллеры доменов должны работать под управлением Windows 2000.


Член домена: отключить изменение пароля учетных записей компьютера

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, должен ли член домена периодически менять свой пароль учетной записи компьютера. Если этот параметр включен, член домена не будет пытаться сменить пароль учетной записи компьютера. Если этот параметр отключен, член домена будет пытаться изменить пароль учетной записи компьютера в соответствии с параметром «Член домена: максимальный срок действия пароля учетных записей компьютера», т.е. по умолчанию каждые 30 дней.

По умолчанию отключен.

Примечания

  • Данный параметр включать не следует. Пароли учетных записей компьютеров используются для установки безопасного канала связи между рядовыми членами и контроллерами домена, а также между контроллерами одного домена. По такому каналу передаются особо важные данные, необходимые для выполнения авторизации и проверки подлинности.
  • Этот параметр не следует применять в конфигурациях с двумя операционными системами, использующими одну и ту же учетную запись компьютера. Если требуется обеспечить при загрузке возможность выбора из двух систем, присоединенных к одному домену, присвойте им разные имена компьютеров.


Интерактивный вход в систему: не отображать последнего имени пользователя

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, отображается ли на экране входа в Windows имя последнего пользователя, вошедшего на данный компьютер.

Если эта политика включена, то имя последнего пользователя, успешно вошедшего в систему, не отображается в диалоговом окне Вход в Windows.

Если политика отключена, имя последнего пользователя должно отображаться на экране.

По умолчанию отключен.


Интерактивный вход в систему: не требовать нажатия CTRL+ALT+DEL

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, должен ли пользователь, прежде чем войти в систему, нажать клавиши CTRL+ALT+DEL.

Если эта политика включена на компьютере, пользователь не должен для входа в систему нажимать CTRL+ALT+DEL. В таком случае компьютер становится уязвимым для атак, основанных на перехвате паролей пользователей. Если потребовать нажатия клавиш CTRL+ALT+DEL перед входом в систему, то пользователям будет гарантирован надежно защищенный канал передачи паролей.

Если эта политика отключена, то любой пользователь должен будет перед входом в Windows нажимать CTRL+ALT+DEL (если только он не входит в систему с помощью смарт-карты).

По умолчанию:

  • отключен на рабочих станциях и серверах домена;
  • включен на автономных рабочих станциях.


Интерактивный вход в систему: текст сообщения для пользователей при входе в систему

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Задает текстовое сообщение, показываемое пользователям при входе в систему.

В такие сообщения часто включаются сведения юридического характера, например предупреждения о последствиях неправомерного использования корпоративных данных или о возможном аудите выполняемых пользователями действий.

По умолчанию сообщение отсутствует.

Внимание!

  • Windows XP Professional дополнительно поддерживает настройку входных баннеров, которые не могут в длину превышать 512 символов и которые могут также содержать символы переноса строки. Однако клиенты Windows 2000 не могут интерпретировать и отображать текст сообщения, созданного компьютерами с Windows XP Professional. Необходимо воспользоваться компьютером Windows 2000 и создать политику сообщения при входе в систему, применяемую к компьютерам Windows 2000. Если политика сообщений при входе была случайно создана на компьютере с Windows XP Professional и отображение на компьютерах с Windows 2000 происходит неправильно, выполните следующие действия:
    • отмените определение параметра;
    • заново определите параметр на компьютере Windows 2000
      • .

    Простой заменой политики сообщений при входе, созданной в Windows XP Professional, на политику, созданную на компьютере с Windows 2000, обойтись невозможно. Сначала нужно отменить определение параметра.

Дополнительные сведения см. в следующих разделах.

  • Интерактивный вход в систему: заголовок сообщения для пользователей при входе в систему


Интерактивный вход в систему: заголовок сообщения для пользователей при входе в систему

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Позволяет отобразить спецификацию заголовка в строке заголовка окна, которое содержит параметр Интерактивный вход: текст сообщения для пользователей при входе в систему.

По умолчанию сообщение отсутствует.


Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, сколько раз пользователь может войти в домен Windows, используя учетные данные из кэша.

Сведения из учетных записей домена, используемые при входе в систему, могут помещаться в локальный кэш, чтобы в случае, если при очередной попытке входа связаться с контроллером домена не удастся, пользователь все равно мог бы войти в систему. Данный параметр задает число уникальных пользователей, для которых сведения, необходимые для входа в систему, заносятся в локальный кэш.

Если контроллер домена недоступен и учетные данные пользователя содержатся в кэше, пользователь получает следующее сообщение:

Не удалось подключиться к контроллеру вашего домена. Вход выполнен с использованием учетных данных, сохраненных в кэше. Изменения в профиле, внесенные с момента последнего входа в систему, могут быть недоступны.

Если контроллер домена недоступен и учетных данных пользователя в кэше нет, пользователь получает следующее сообщение:

Не удалось выполнить вход в систему, поскольку домен <ИМЯ_ДОМЕНА> недоступен.

По умолчанию 10.

Примечания

  • Если установить данный параметр равным 0, локальное кэширование сведений, используемых при входе в систему, отключается.
  • Максимальное значение параметра равно 50.


Интерактивный вход в систему: напоминать пользователям об истечении срока действия пароля заранее

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, за сколько дней до истечения срока действия пароля следует предупреждать об этом пользователей. Если пользователя заблаговременно предупредить, он успеет подготовить новый, достаточно надежный пароль.

По умолчанию 14 дней.


Интерактивный вход в систему: требовать проверки на контроллере домена для отмены блокировки компьютера

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Для снятия блокировки с компьютера необходимо предоставить сведения, используемые при входе в систему. Для учетных записей домена данный параметр определяет, нужно ли для снятия блокировки обращаться на контроллер домена. Если этот параметр отключен, пользователь может разблокировать компьютер, используя учетные данные из кэша. Если параметр включен, контроллер домена должен проверить подлинность учетной записи домена, используемой для снятия блокировки с компьютера.

По умолчанию отключен.

Важно!

  • Этот параметр применяется к компьютерам Windows 2000, но он недоступен при использовании средств диспетчера настройки безопасности на этих компьютерах.


Интерактивный вход в систему: поведение при извлечении смарт-карты

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, что происходит при извлечении смарт-карты пользователя, вошедшего в систему, из устройства чтения смарт-карт.

Возможны следующие варианты:

  • Нет действия
  • Блокировка рабочей станции
  • Принудительный выход из системы

Если в диалоговом окне Свойства данной политики выбрать вариант Блокировка рабочей станции, станция при извлечении смарт-карты будет заблокирована; таким образом, пользователь может уйти с рабочего места, взяв с собой смарт-карту, — его сеанс доступа останется под защитой.

Если в диалоговом окне Свойства этой политики выбрать вариант Принудительный выход из системы, при извлечении смарт-карты произойдет автоматическое завершение сеанса работы пользователя.

По умолчанию действие не указано.


Клиент сети Microsoft: использовать цифровую подпись (всегда)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, всегда ли компьютер должен использовать цифровую подпись в клиентских сеансах связи.

Протокол проверки подлинности для блоков сообщений сервера (SMB) в Windows 2000 Server, Windows 2000 Professional и Windows XP Professional поддерживает взаимную проверку, которая предотвращает «атаку скрытого третьего» и поддерживает проверку подлинности сообщений, что препятствует активным атакам сообщений. Средства подписывания SMB обеспечивают такую проверку, помещая в каждый пакет SMB цифровую подпись, которая затем проверяется и клиентом, и сервером.

Чтобы использовать подписи SMB, необходимо разрешить или потребовать добавление подписей как на клиентском компьютере SMB, так и на сервере SMB. Если подписи SMB разрешены на сервере, то клиенты, на которых они также разрешены, будут использовать этот протокол подписывания пакетов во всех последующих сеансах. Если подписи SMB являются обязательными на сервере, клиент сможет установить сеанс только при условии, что на нем подписи SMB по крайней мере разрешены.

Если данная политика включена, то клиент SMB обязан будет подписывать пакеты. Если политика отключена, от клиента SMB не требуется подписывать пакеты.

Внимание!

  • Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Сведения по совместимости для этого параметра см. в разделе Microsoft network client: Digitally sign communications (always) (http://go.microsoft.com/fwlink/?LinkId=24274) на веб-узле корпорации Майкрософт.

По умолчанию отключен.

Примечание

  • Использование подписей SMB неблагоприятно отражается на производительности системы. Этот процесс не требует дополнительной полосы пропускания сети, но использует больше ресурсов процессора как на стороне клиента, так и на стороне сервера.


Клиент сети Microsoft: использовать цифровую подпись (с согласия сервера)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Если эта политика включена, клиент SMB (Server Message Block) должен будет подписывать пакеты SMB при взаимодействии с сервером SMB, на котором подписывание пакетов SMB разрешено или является обязательным.

По умолчанию включен.

Дополнительные сведения см. в следующих разделах:

  • Клиент сети Microsoft: использовать цифровую подпись (всегда) для получения дополнительных сведений по использованию цифровых подписей в подключениях клиент-сервер.


Клиент сети Microsoft: посылать незашифрованный пароль сторонним SMB-серверам

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Если эта политика включена, перенаправителю SMB (Server Message Block) разрешается открытым текстом передавать пароли серверам SMB сторонних разработчиков, не поддерживающим шифрование паролей во время проверки подлинности.

По умолчанию отключен.


Сервер сети Microsoft: длительность простоя перед отключением

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет продолжительность непрерывного интервала простоя сеанса протокола SMB (Server Message Block), который должен пройти, прежде чем сеанс будет приостановлен.

С помощью этой политики администраторы могут определять, когда компьютер должен остановить сеанс SMB, на котором не наблюдается никакой активности. Если клиент возобновит работу, сеанс автоматически восстановится.

Значение 0 этого параметра означает, что простаивающий сеанс должен быть отключен сразу, насколько это возможно. Максимальное значение равно 99 999 (208 дней); такое значение фактически отключает политику.

По умолчанию:

  • 15 минут для серверов;
  • не определен для рабочих станций.


Сервер сети Microsoft: использовать цифровую подпись (всегда)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Эта политика, будучи включена, требует, чтобы сервер SMB (Server Message Block) подписывал пакеты SMB.

Внимание!

  • Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Сведения по совместимости для этого параметра см. в разделе Microsoft network server: Digitally sign communications (always) (http://go.microsoft.com/fwlink/?LinkId=24275) на веб-узле корпорации Майкрософт.

По умолчанию отключен.

Дополнительные сведения см. в следующих разделах:

  • Клиент сети Microsoft: использовать цифровую подпись (всегда) для получения дополнительных сведений по использованию цифровых подписей в подключениях клиент-сервер.
  • Сервер сети Microsoft: использовать цифровую подпись (с согласия клиента)


Сервер сети Microsoft: использовать цифровую подпись (с согласия клиента)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Эта политика, будучи включена, требует, чтобы сервер SMB (Server Message Block) подписывал пакеты SMB.

По умолчанию:

  • отключен на рабочих станциях;
  • включен на серверах.

Дополнительные сведения см. в следующих разделах:

  • Клиент сети Microsoft: использовать цифровую подпись (всегда)
  • Сервер сети Microsoft: использовать цифровую подпись (всегда)


Сервер сети Microsoft: отключать клиентов по истечении разрешенных часов входа

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, следует ли отключать пользователей, работающих на локальном компьютере после установленного для них допустимого срока. Этот параметр влияет на работу компонента SMB (Server Message Block).

Если эта политика включена, то клиентские сеансы с участием службы SMB будут принудительно прекращаться по истечении времени, отведенного клиенту для работы в системе.

Если эта политика отключена, установленный сеанс клиента может продолжаться по истечении периода, разрешенного для клиента.

По умолчанию не определен.

Дополнительные сведения см. в следующих разделах:

  • Установка времени входа


Сетевой доступ: разрешить трансляцию анонимного SID в имя

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, может ли анонимный пользователь запрашивать атрибуты идентификатора безопасности (SID) другого пользователя.

Если эта политика включена, пользователь, зная идентификатор безопасности администратора, может связаться с компьютером, на котором действует данная политика, и получить имя администратора по этому идентификатору.

По умолчанию:

  • отключен на рабочих станциях;
  • включен на серверах.

Внимание!

  • Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Сведения по совместимости для этого параметра см. в разделе Network access: Allow anonymous SID/Name translation (http://go.microsoft.com/fwlink/?LinkId=24276) на веб-узле корпорации Майкрософт.

Примечание

  • Учетные записи доменов контролируются только одной политикой учетных записей. Она должна быть определена в стандартной политике домена и реализовываться контроллерами этого домена. Контроллер домена всегда получает политику учетных записей из объекта групповой политики «Стандартная политика домена», даже если к подразделению, в котором этот контроллер домена содержится, применяется еще и другая политика учетных записей. Присоединяемые к домену рабочие станции и серверы (т.е. рядовые компьютеры) по умолчанию используют ту же стандартную политику и для своих локальных учетных записей. Однако политики локальных учетных записей рядовых компьютеров могут отличаться от политики учетных записей домена, если они принадлежат подразделению, в котором определена своя политика учетных записей. Параметры Kerberos не применяются к рядовым компьютерам.


Сетевой доступ: не разрешать перечисление учетных записей SAM анонимными пользователями

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, какие дополнительные разрешения будут предоставлены анонимным подключениям к компьютеру.

Windows дает возможность анонимным пользователям выполнять определенные операции, например, проводить перепись имен учетных записей домена и сетевых ресурсов. Это удобно, например, если администратору требуется предоставить доступ пользователям в доверенном домене, в котором не поддерживается двусторонее отношение доверия. Анонимный пользователь по умолчанию имеет те же права доступа к конкретному ресурсу, которые предоставляются группе «Все» для этого ресурса.

Этот параметр безопасности позволяет наложить на анонимное подключение следующие дополнительные ограничения.

  • Отсутствуют. Оставить разрешения по умолчанию.
  • Не разрешать перечисление учетных записей SAM. Этот параметр заменяет значение «Все» на «Прошедшие проверку» в разрешениях безопасности для ресурсов.

По умолчанию:

  • включен на рабочей станции;
  • отключен на сервере.

Важно!

  • Эта политика не действует на контроллерах домена.

Дополнительные сведения см. в следующих разделах:

  • Сетевой доступ: разрешать применение разрешений для всех к анонимным пользователям


Сетевой доступ: не разрешать перечисление учетных записей SAM и общих ресурсов анонимными пользователями

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, разрешается ли анонимным пользователям проводить перепись учетных записей SAM и общих ресурсов.

Windows дает возможность анонимным пользователям выполнять определенные операции, например, проводить перепись имен учетных записей домена и сетевых ресурсов. Это удобно, например, если администратору требуется предоставить доступ пользователям в доверенном домене, в котором не поддерживается двусторонее отношение доверия. Если нужно запретить анонимным пользователям перепись учетных записей SAM и общих ресурсов, включите эту политику.

Внимание!

  • Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Сведения по совместимости для этого параметра см. в разделе Network access: Do not allow anonymous enumeration of SAM accounts (http://go.microsoft.com/fwlink/?LinkId=24277) на веб-узле корпорации Майкрософт.

По умолчанию отключен.

Дополнительные сведения см. в следующих разделах:

  • Сетевой доступ: разрешать применение разрешений для всех к анонимным пользователям


Сетевой доступ: не разрешать средству сохранения имен пользователей и паролей сохранять пароли или учетные данные для проверки в домене

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, должно ли средство сохранения имен пользователей и паролей сохранять пароли или учетные данные, чтобы позднее использовать их при проверке подлинности пользователя домена.

Если этот параметр включен, средству сохранения имен пользователей и паролей запрещается сохранять пароли и учетные данные.

По умолчанию отключен.


Сетевой доступ: разрешать применение разрешений для всех к анонимным пользователям

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, какие дополнительные разрешения предоставляются при анонимном подключении к компьютеру.

Windows дает возможность анонимным пользователям выполнять определенные операции, например проводить перепись имен учетных записей домена и сетевых ресурсов. Это удобно, например, если администратору требуется предоставить доступ пользователям в доверенном домене, в котором не поддерживается двусторонее отношение доверия. По умолчанию из маркера, создаваемого для анонимных подключений, удаляется идентификатор безопасности «Все». Поэтому разрешения, предоставленные группе «Все», не применяются к анонимным пользователям. Если данный параметр установлен, анонимный пользователь получит доступ только к тем ресурсам, для которых ему явным образом предоставлено разрешение.

Если эта политика включена, при создании описателя для анонимного подключения в него добавляется идентификатор безопасности «Все». В таком случае анонимные пользователи будут иметь доступ ко всем ресурсам, на которые группе «Все» предоставлены разрешения.

По умолчанию отключен.

Дополнительные сведения см. в следующих разделах:

  • Сетевой доступ: не разрешать перечисление учетных записей SAM и общих ресурсов анонимными пользователями


Сетевой доступ: разрешать анонимный доступ к именованным каналам

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, каким сеансам связи (каналам) будут назначаться атрибуты и разрешения, допускающие анонимный доступ.

По умолчанию нет.


Сетевой доступ: пути в реестре доступны через удаленное подключение

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, будут ли пути в реестре доступны для обращения к разделу winreg с целью получения разрешений на доступ к этим путям.

По умолчанию нет.


Сетевой доступ: разрешать анонимный доступ к общим ресурсам

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, какие сетевые ресурсы доступны анонимным пользователям.

По умолчанию нет.


Сетевой доступ: модель совместного доступа и безопасности для локальных учетных записей

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет метод проверки подлинности при входе в сеть с использованием локальных учетных записей. Если этот параметр имеет значение Классический, то при проверке подлинности локальной учетной записи используются предъявляемые при входе в сеть учетные данные. Если параметр имеет значение Только гости, то при входе в сеть с использованием локальной учетной записи последней автоматически сопоставляется гостевая учетная запись. Классическая модель позволяет с высокой степенью точности контролировать доступ к ресурсам. С ее помощью можно дифференцировать типы доступа к одному и тому же ресурсу для различных пользователей. В гостевой модели все пользователи считаются равноправными. Все они проверяются как пользователи группы «Гость» и обладают одинаковыми разрешениями на доступ к каждому конкретному ресурсу — либо «Только чтение», либо «Изменение».

Итак, существуют две модели доступа:

  • Классическая: локальные пользователи проходят проверку подлинности со своей учетной записью.
  • Только гости: локальные пользователи проходят проверку подлинности с учетной записью «Гость».

По умолчанию используется модель «Только гости» в Windows XP Professional.

Примечания

  • Действие данного параметра не распространяется на вход в сеть с использованием учетных записей домена.
  • Действие параметра не распространяется на интерактивный вход в сеть, выполняемый в удаленном режиме с использованием таких служб, как Telnet или службы терминалов.
  • Если компьютер не присоединен к домену, данный параметр также определяет внешний вид вкладок Доступ и Безопасность проводника Windows: они настраиваются в соответствии с выбранной моделью доступа и безопасности.

Внимание!

  • В случае гостевой модели любой пользователь, имеющий доступ к данному компьютеру через сеть (в том числе анонимный пользователь Интернета), получит доступ и к общим ресурсам этого компьютера. Следует обезопасить компьютер от несанкционированного доступа с помощью брандмауэра Windows или другого подобного устройства. Точно так же в случае классической модели локальные учетные записи должны быть защищены паролем; в противном случае любой пользователь сможет с помощью такой учетной записи получить доступ к общим системным ресурсам.

Данная политика неприменима на компьютерах Windows 2000.


Сетевая безопасность: не хранить хеш-значений LAN Manager при следующей смене пароля

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, сможет ли протокол LAN Manager при очередной смене пароля сохранить хеш-коды для нового пароля.

По умолчанию отключен.


Сетевая безопасность: принудительный вывод из сеанса по истечении допустимых часов работы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, следует ли отключать пользователей, работающих на локальном компьютере после установленного для них допустимого срока. Этот параметр влияет на работу компонента SMB (Server Message Block).

Если эта политика включена, то клиентские сеансы с участием сервера SMB будут принудительно прекращаться по истечении времени, отведенного клиенту для входа в систему.

Если эта политика отключена, установленный сеанс клиента может продолжаться по истечении времени, отведенного для клиента.

По умолчанию включен.

Примечание

  • Учетные записи доменов контролируются только одной политикой учетных записей. Она должна быть определена в стандартной политике домена и реализовываться контроллерами этого домена. Контроллер домена всегда получает политику учетных записей из объекта групповой политики «Стандартная политика домена», даже если к подразделению, в котором этот контроллер домена содержится, применяется еще и другая политика учетных записей. Присоединяемые к домену рабочие станции и серверы (т.е. рядовые компьютеры) по умолчанию используют ту же стандартную политику и для своих локальных учетных записей. Однако политики локальных учетных записей рядовых компьютеров могут отличаться от политики учетных записей домена, если они принадлежат подразделению, в котором определена своя политика учетных записей. Параметры Kerberos не применяются к рядовым компьютерам.

Дополнительные сведения см. в следующих разделах:

  • Установка времени входа


Сетевая безопасность: уровень проверки подлинности LAN Manager

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, какие протоколы проверки подлинности типа «запрос/ответ» должны использоваться при входе в сеть. От выбранного варианта зависит уровень протокола проверки подлинности, используемого клиентами, согласуемый уровень безопасности сеанса, а также уровень проверки подлинности, принимаемый серверами.

  • Отправлять LM и NTLM ответы. Клиенты используют проверку подлинности LM и NTLM и никогда не используют безопасность сеанса NTLMv2; контроллеры домена поддерживают проверку подлинности LM, NTLM и NTLMv2.
  • Отправлять LM и NTLM — использовать сеансовую безопасность NTLMv2 при согласовании. Клиенты используют проверку подлинности LM и NTLM и используют безопасность сеанса NTLMv2, если сервер ее поддерживает; контроллеры домена поддерживают проверку подлинности LM, NTLM и NTLMv2.
  • Отправлять только NTLM ответ. Клиенты используют только проверку подлинности NTLM и используют безопасность сеанса NTLMv2, если сервер ее поддерживает; контроллеры домена поддерживают проверку подлинности LM, NTLM и NTLMv2.
  • Отправлять только NTLMv2 ответ. Клиенты используют только проверку подлинности NTLMv2 и используют безопасность сеанса NTLMv2, если сервер ее поддерживает; контроллеры домена поддерживают проверку подлинности LM, NTLM и NTLMv2.
  • Отправлять только NTLMv2 ответ, отказывать LM. Клиенты используют только проверку подлинности NTLMv2 и используют безопасность сеанса NTLMv2, если сервер ее поддерживает; контроллеры доменов не поддерживают проверку подлинности LM (поддерживают только проверку подлинности NTLM и NTLMv2).
  • Отправлять только NTLMv2 ответ, отказывать LM и NTLM. Клиенты используют только проверку подлинности NTLMv2 и используют безопасность сеанса NTLMv2, если сервер ее поддерживает; контроллеры доменов не поддерживают проверку подлинности LM и NTLM (поддерживают только проверку подлинности NTLMv2).

По умолчанию:

  • Отправлять LM и NTLM ответы на сервер.
  • Не определен на рабочих станциях.

Важно!

  • Этот параметр может повлиять на способность компьютеров с Windows 2000 Server, Windows 2000 Professional и Windows XP Professional взаимодействовать по сети с клиентскими компьютерами, на которых установлена система Windows NT 4.0 или более ранняя. Например, на момент составления данной справки компьютеры с системой Windows NT 4.0, использовавшейся до выпуска пакета обновления SP4, не поддерживают NTLMv2. Системы Windows 95 и Windows 98 не поддерживают NTLM.
  • Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Сведения по совместимости для этого параметра см. в разделе Network security: Lan Manager authentication level (http://go.microsoft.com/fwlink/?LinkId=24278) на веб-узле корпорации Майкрософт.


Сетевая безопасность: минимальная сеансовая безопасность для клиентов на базе NTLM SSP (включая безопасный RPC)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет минимальные стандарты безопасности для сеансов связи между приложениями для клиента.

Windows NT поддерживает два варианта проверки подлинности по схеме «запрос/ответ» при входе в сеть:

  • LAN Manager (LM);
  • NTLM версии 1.

Протокол LM обеспечивает совместимость с уже действующими платформами клиентов и серверов. Протокол NTLM обеспечивает повышенный уровень безопасности для подключений между клиентами и серверами.

По умолчанию нет требований.

Важно!

  • Этот параметр применяется ко всем компьютерам Windows 2000, но не доступен для просмотра на этих компьютерах.


Сетевая безопасность: минимальная сеансовая безопасность для серверов на базе NTLM SSP (включая безопасный RPC)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет минимальные стандарты безопасности для сеансов связи между приложениями на сервере.

Windows NT поддерживает два варианта проверки подлинности по схеме «запрос/ответ» при входе в сеть:

  • LAN Manager (LM);
  • NTLM версии 1.

Протокол LM обеспечивает совместимость с уже действующими платформами клиентов и серверов. Протокол NTLM обеспечивает повышенный уровень безопасности для подключений между клиентами и серверами.

По умолчанию нет требований.

Важно!

  • Этот параметр применяется ко всем компьютерам Windows 2000, но не доступен для просмотра на этих компьютерах.


Консоль восстановления: разрешить автоматический вход администратора

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, нужно ли вводить пароль учетной записи администратора для получения доступа к системе. Если эта политика включена, консоль восстановления не будет требовать пароль от администратора — он автоматически войдет в систему.

По умолчанию отключен.


Консоль восстановления: разрешить копирование дискет и доступ ко всем дискам и папкам

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

При включении данного параметра становится доступной команда консоли восстановления SET, которая позволяет настраивать следующие переменные среды консоли восстановления.

  • AllowWildCards включает поддержку подстановочных символов для некоторых команд (таких как команда DEL).
  • AllowAllPaths позволяет выполнять доступ ко всем файлам и папкам на компьютере.
  • AllowRemovableMedia позволяет копировать файлы на съемные носители, такие как гибкий диск.
  • NoCopyPrompt не отображает предупреждение при перезаписывании существующего файла.

По умолчанию отключен.


Завершение работы: разрешить завершение работы системы без выполнения входа

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, можно ли завершать работу компьютера, не входя в Windows.

Если эта политика включена, на экране входа в Windows становится доступна команда Завершение работы.

Если эта политика отключена, команда завершения работы на экране входа в Windows не отображается. В этом случае пользователь должен будет для завершения работы системы успешно войти на компьютер и получить право Завершение работы системы.

По умолчанию:

  • включен на рабочих станциях;
  • отключен на серверах.


Завершение работы: очистка страничного файла виртуальной памяти

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, следует ли очищать файл подкачки виртуальной памяти при завершении работы системы.

Виртуальная память использует системный файл подкачки для вытеснения неиспользуемых страниц памяти на диск. На работающем компьютере этот файл подкачки открывается исключительно операционной системой и надежно защищен. Однако в конфигурациях, допускающих загрузку нескольких операционных систем, может возникнуть необходимость очищать файл подкачки при завершении работы системы. Иначе какие-либо секретные данные из памяти процесса, которые могли бы остаться в файле подкачки, окажутся доступны постороннему пользователю, если он непосредственно откроет файл подкачки.

Когда эта политика включена, файл подкачки очищается при каждом завершении работы системы. Кроме того, если данный параметр безопасности включен, то на переносном компьютере при выключении спящего режима будет заполняться нулями файл hiberfil.sys.

По умолчанию отключен.


Системная криптография: использовать FIPS-совместимые алгоритмы для шифрования

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, будет ли поставщик службы безопасности TLS/SSL поддерживать только шифровальный набор TLS_RSA_WITH_3DES_EDE_CBC_SHA. Это по сути означает, что поставщик поддерживает только протокол TLS в качестве клиента и в качестве сервера (если такая конфигурация имеет место). При этом для шифрования трафика TLS используется только алгоритм Triple DES, для обмена ключами TLS и проверки их подлинности — только алгоритм открытых ключей RSA, а для хеширования TLS — только алгоритм хеширования SHA-1.

В службе EFS (Encrypting File System — шифрованная файловая система) для шифрования содержимого файлов Windows NTFS применяется только алгоритм шифрования Triple DES. По умолчанию служба EFS для шифрования файлов использует алгоритм DESX.

По умолчанию отключен.


Системные объекты: владелец по умолчанию для объектов, созданных членами группы администраторов

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, кто по умолчанию является владельцем создаваемых системных объектов — группа «Администраторы» или создатель объекта.

По умолчанию группа администраторов (на серверах).


Системные объекты: учитывать регистр для подсистем, отличных от Windows

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет, распространяется ли требование независимости от регистра символов на все подсистемы. Подсистема Win32 не требует учитывать регистр символов. Однако в других подсистемах, таких как POSIX, ядро поддерживает различение регистров символов.

Если этот параметр включен, то все объекты каталога, символические ссылки и объекты ввода-вывода, включая файлы, используются без учета регистра символов. При отключении этого параметра подсистема Win32 не сможет перейти в режим учета регистра символов.

По умолчанию включен.


Системные объекты: усилить разрешения по умолчанию для внутренних системных объектов (например, символических ссылок)

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Параметры безопасности

Описание

Определяет уровень строгости стандартной избирательной таблицы управления доступом (DACL) для объектов.

Служба Active Directory ведет глобальный список общих системных ресурсов, таких как имена устройств DOS, мьютексы и семафоры. Благодаря этому можно отыскивать нужные объекты и предоставлять их в общий доступ различным процессам. При создании объекта создается стандартная таблица DACL, соответствующая данному типу объектов; в ней указано, кто имеет доступ к объекту и какие предоставляются разрешения.

Если данная политика включена, стандартная таблица DACL становится более строгой: пользователям, не являющимся администраторами, разрешается читать содержимое общих объектов, но запрещается изменять общие объекты, созданные другими пользователями.

По умолчанию включен.


Журнал событий

В этом разделе рассматривается следующая тема:

  • Параметры журнала событий и просмотра событий


Параметры журнала событий и просмотра событий

В этом разделе рассматриваются следующие темы:

  • Максимальный размер журнала приложений
  • Максимальный размер журнала безопасности
  • Максимальный размер системного журнала
  • Запретить доступ локальной группы гостей к журналу приложений
  • Запретить доступ локальной группы гостей к журналу безопасности
  • Запретить доступ локальной группы гостей к системному журналу
  • Сохранение событий в журнале приложений, дней
  • Сохранение событий в журнале безопасности, дней
  • Сохранение событий в системном журнале, дней
  • Сохранение событий в журнале приложений
  • Сохранение событий в журнале безопасности
  • Сохранение событий в системном журнале


Максимальный размер журнала приложений

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Задает максимальный размер журнала событий приложений, который не может превышать 4 ГБ.

По умолчанию 512 КБ.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Максимальный размер журнала безопасности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Задает максимальный размер журнала событий безопасности, который может составлять как минимум 4 ГБ.

По умолчанию 512 КБ.

Внимание!

  • Изменение этого параметра может повлиять на совместимость с клиентами, службами и приложениями. Сведения по совместимости для этого параметра см. в разделе Event Log: Maximum security log size (http://go.microsoft.com/fwlink/?LinkId=24280) на веб-узле корпорации Майкрософт.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Максимальный размер системного журнала

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Задает максимальный размер журнала системных событий, который не может превышать 4 ГБ.

По умолчанию 512 КБ.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Запретить доступ локальной группы гостей к журналу приложений

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет, запрещен ли гостям доступ к журналу событий приложений.

По умолчанию отключен.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Запретить доступ локальной группы гостей к журналу безопасности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет, запрещен ли гостям доступ к журналу событий безопасности.

По умолчанию отключен.

Примечания

  • Данный параметр не отображается в объекте «Политика локального компьютера».
  • Для доступа к журналу безопасности пользователь должен обладать правом Управление аудитом и журналом безопасности.


Запретить доступ локальной группы гостей к системному журналу

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет, запрещен ли гостям доступ к журналу системных событий.

По умолчанию отключен.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Сохранение событий в журнале приложений, дней

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет число самых важных событий дня, которые следует записывать в журнал приложений, если в качестве метода сохранения для журнала приложений выбран метод «По дням».

Устанавливайте это значение только в том случае, если журнал архивируется с определенной периодичностью и значение параметра Максимальный размер журнала приложений достаточно велико для того, чтобы вместить все события за этот период.

По умолчанию нет.

Примечания

  • Данный параметр не отображается в объекте «Политика локального компьютера».
  • Для доступа к журналу безопасности пользователь должен обладать правом Управление аудитом и журналом безопасности.


Сохранение событий в журнале безопасности, дней

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет число самых важных событий дня, которые следует записывать в журнал безопасности, если в качестве метода сохранения для журнала безопасности выбран метод «По дням».

Устанавливайте это значение только в том случае, если журнал архивируется с определенной периодичностью и значение параметра Максимальный размер журнала безопасности достаточно велико для того, чтобы вместить все события за этот период.

По умолчанию нет.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Сохранение событий в системном журнале, дней

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет число самых важных событий дня, которые следует записывать в системный журнал, если в качестве метода сохранения для системного журнала выбран метод «По дням».

Устанавливайте это значение только в том случае, если журнал архивируется с определенной периодичностью и значение параметра Максимальный размер системного журнала достаточно велико для того, чтобы вместить все события за этот период.

По умолчанию нет.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Сохранение событий в журнале приложений

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет метод «переноса» для журнала приложений.

Если архивировать журнал приложений не требуется, в диалоговом окне Свойства данной политики установите флажок Определить следующий параметр политики и установите переключатель в положение Затирать старые события по необходимости.

Если архивация журнала производится регулярно, в диалоговом окне Свойства для этой политики установите флажок Определить следующий параметр политики, а затем выберите параметр Затирать старые события по дням и укажите требуемое число дней для параметра «Сохранение событий в журнале приложений». Значение параметра Максимальный размер журнала приложений должно быть достаточно большим, чтобы вместить все события за этот период.

Если в журнале необходимо сохранять все события, в диалоговом окне Свойства данной политики установите флажок Определить следующий параметр политики и установите переключатель в положение Не затирать события (чистка журнала вручную). В этом случае журнал нужно будет чистить вручную. Если выбран этот вариант, при достижении максимального размера журнала новые события в него не заносятся.

По умолчанию нет.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Сохранение событий в журнале безопасности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет метод «переноса» для журнала безопасности.

Если архивировать журнал безопасности не требуется, в диалоговом окне Свойства данной политики установите флажок Определить следующий параметр политики и установите переключатель в положение Затирать старые события по необходимости.

Если журнал архивируется с определенным интервалом, в диалоговом окне Свойства данной политики установите флажок Определить следующий параметр политики, установите переключатель в положение Затирать старые события по дням и задайте необходимое число дней для параметра «Сохранение событий в журнале безопасности, дней». Значение параметра Максимальный размер журнала безопасности должно быть достаточно большим, чтобы вместить все события за этот период.

Если в журнале необходимо сохранять все события, в диалоговом окне Свойства данной политики установите флажок Определить следующий параметр политики и установите переключатель в положение Не затирать события (чистка журнала вручную). В этом случае журнал нужно будет чистить вручную. Если выбран этот вариант, при достижении максимального размера журнала новые события в него не заносятся.

По умолчанию нет.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Сохранение событий в системном журнале

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Настройка протоколирования

Описание

Определяет метод «переноса» для системного журнала.

Если архивировать системный журнал не требуется, в диалоговом окне Свойства данной политики установите флажок Определить следующий параметр политики и установите переключатель в положение Затирать старые события по необходимости.

Если архивация журнала производится регулярно, в диалоговом окне Свойства для этой политики установите флажок Определить следующий параметр политики, а затем выберите параметр Затирать старые события по дням и укажите требуемое число дней для параметра «Сохранение событий в системном журнале». Значение параметра Максимальный размер системного журнала должно быть достаточно большим, чтобы вместить все события за этот период.

Если в журнале необходимо сохранять все события, в диалоговом окне Свойства данной политики установите флажок Определить следующий параметр политики и установите переключатель в положение Не затирать события (чистка журнала вручную). В этом случае журнал нужно будет чистить вручную. Если выбран этот вариант, при достижении максимального размера журнала новые события в него не заносятся.

По умолчанию нет.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Группы с ограниченным доступом

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Группы с ограниченным доступом

Описание

Позволяет администратору задавать два свойства для групп, на которые влияет безопасность (групп «с ограниченным доступом»).

Эти два свойства — «Члены» и «Член групп». Список Члены группы позволяет определить, кто входит в данную группу с ограниченными правами и кто не входит в нее. Список Член групп показывает, каким другим группам принадлежит данная группа с ограниченным доступом.

При активизации групповой политики ограничения доступа все текущие члены группы с ограниченным доступом, отсутствующие в списке Члены группы, удаляются из группы. Все пользователи из списка Члены группы, не являющиеся в этот момент членами данной группы с ограниченным доступом, добавляются в нее.

Папка «Группы с ограниченным доступом» доступна только в объектах групповой политики, связанных с доменами, подразделениями и сайтами. Она не отображается в объекте «Политика локального компьютера».

Если группа с ограниченным доступом определена так, что в ней нет ни одного члена (т.е. список Члены группы пуст), при применении данной политики в системе из группы удаляются все ее члены. Если пуст список Член групп, никаких изменений с группами, в которые входит данная группа с ограниченным доступом, не производится.

По умолчанию не заданы.

Примечание

  • Пустой список Члены группы означает, что в группе с ограниченным доступом нет членов; пустой список Член групп означает, что группы, которым принадлежит данная группа с ограниченным доступом, не заданы.


Системные службы

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Системные службы

Описание

Позволяет администратору определить режим запуска всех системных служб (ручной, автоматический или отключение), а также разрешения на доступ к ним («Запуск», «Остановка», «Приостановка»).

По умолчанию не определен.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Реестр

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Реестр

Описание

Позволяет администратору определить разрешения на доступ к разделам реестра (в таблицах DACL) и параметры аудита реестра (в таблицах SACL).

По умолчанию не определен.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Файловая система

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Файловая система

Описание

Позволяет администратору определить разрешения на доступ к объектам файловой системы (в таблицах DACL) и параметры аудита этих объектов (в таблицах SACL).

По умолчанию не определен.

Примечание

  • Данный параметр не отображается в объекте «Политика локального компьютера».


Политики открытого ключа

Используя политики открытого ключа в домене Windows 2000, администратор может автоматически выдавать сертификаты компьютерам, управлять агентами восстановления шифрованных данных, создавать списки доверия сертификатов и автоматически устанавливать доверительные отношения с центрами сертификации.

  • Справочные сведения о выполнении конкретных задач см. в разделе Инструкции.
  • Сведения общего характера см. в разделе Основные понятия.


Инструкции

  • Добавление доверенного корневого центра сертификации в объект групповой политики
  • Удаление доверенного корневого центра сертификации из объекта групповой политики
  • Создание автоматического запроса сертификата для компьютеров в объекте групповой политики
  • Удаление автоматического запроса сертификата для компьютеров в объекте групповой политики
  • Создание списка доверия сертификатов для объекта групповой политики
  • Редактирование списка доверия сертификатов для объекта групповой политики
  • Удаление списка доверия сертификатов для объекта групповой политики
  • Добавление агента восстановления для локального компьютера
  • Добавление агента восстановления для домена
  • Изменение политики восстановления для локального компьютера
  • Изменение политики восстановления для домена


Добавление доверенного корневого центра сертификации в объект групповой политики

Рисунок Microsoft Windows

Чтобы добавить доверенный корневой центр сертификации в объект групповой политики

  1. Войдите в домен, в котором у вас имеются административные полномочия на управление объектом групповой политики, подлежащим изменению.
  2. Откройте объект групповой политики, который требуется изменить.
  3. В дереве консоли щелкните компонент Доверенные корневые центры сертификации.

    Где?

    • Имя объекта политики
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Доверенные корневые центры сертификации
  4. Выберите в меню Действие команду Все задачи, а затем команду Импорт. Будет запущен мастер импорта сертификатов; следуя его указаниям, импортируйте корневой сертификат и установите его в качестве доверенного корневого центра сертификации для данного объекта групповой политики.

Примечание

  • О том, как открыть объект групповой политики, см. по ссылке «См. также».
  • Для выполнения данной процедуры необходимо иметь административные полномочия для данного объекта групповой политики.
  • Данная процедура не применяется к объектам локальной политики.
  • Доверенный корневой сертификат можно импортировать из файла PKCS #12 (.pfx, .p12), файла PKCS #7 (.spc, .p7b), файла сертификата (.cer, .crt) или файла хранилища сериализованных сертификатов Microsoft (.sst).

См. также


Удаление доверенного корневого центра сертификации из объекта групповой политики

Рисунок Microsoft Windows

Чтобы удалить доверенный корневой центр сертификации из объекта групповой политики

  1. Войдите в домен, в котором у вас имеются административные полномочия на управление объектом групповой политики, подлежащим изменению.
  2. Откройте объект групповой политики, который требуется изменить.
  3. В дереве консоли щелкните компонент Доверенные корневые центры сертификации.

    Где?

    • Имя объекта политики
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Доверенные корневые центры сертификации
  4. В области сведений выберите корневой сертификат, который требуется удалить.
  5. В меню Действие выберите команду Удалить.
  6. Нажмите кнопку Да, если выбранный сертификат действительно требуется удалить.

Примечания

  • О том, как открыть объект групповой политики, см. по ссылке «См. также».
  • Для выполнения данной процедуры необходимо иметь административные полномочия для данного объекта групповой политики.
  • Данная процедура не применяется к объектам локальной политики.

См. также


Создание автоматического запроса сертификата для компьютеров в объекте групповой политики

Рисунок Microsoft Windows

Чтобы создать автоматический запрос сертификата для компьютеров в объекте групповой политики

  1. Войдите в домен, в котором у вас имеются административные полномочия на управление объектом групповой политики, подлежащим изменению.
  2. Откройте объект групповой политики, который требуется изменить.
  3. В дереве консоли щелкните узел Параметры автоматического запроса сертификатов.

    Где?

    • Имя объекта политики
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Параметры автоматического запроса сертификатов
  4. В меню Действие выберите команду Создать и затем команду Автоматический запрос сертификата. Будет запущен мастер установки автоматических запросов сертификатов. Следуя его указаниям, создайте автоматический запрос сертификата для компьютеров, к которым применяется данный объект групповой политики.

Примечания

  • О том, как открыть объект групповой политики, см. по ссылке «См. также».
  • Для выполнения данной процедуры необходимо иметь административные полномочия для данного объекта групповой политики.
  • Данная процедура не применяется к объектам локальной политики.
  • Для использования мастера установки автоматических запросов сертификатов необходимы следующие сведения.
    • Шаблон сертификата, который требуется использовать. Сертификат, основанный на выбранном шаблоне, будет автоматически запрошен при первом возникновении любого из следующих событий: входа пользователя, обновления групповой политики или присоединения компьютера, указанного в параметре групповой политики, к домену.
    • Имя центра сертификации в домене, который будет выдавать запрашиваемые сертификаты. Это должен быть центр сертификации предприятия, настроенный администратором для выдачи сертификатов запрашиваемого типа.
  • На один объект групповой политики можно запросить не более одного сертификата каждого типа.

См. также


Удаление автоматического запроса сертификата для компьютеров в объекте групповой политики

Рисунок Microsoft Windows

Чтобы удалить автоматический запрос сертификата для компьютеров в объекте групповой политики

  1. Войдите в домен, в котором у вас имеются административные полномочия на управление объектом групповой политики, подлежащим изменению.
  2. Откройте объект групповой политики, который требуется изменить.
  3. В дереве консоли щелкните узел Параметры автоматического запроса сертификатов.

    Где?

    • Имя объекта политики
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Параметры автоматического запроса сертификатов
  4. В области сведений выберите автоматический запрос сертификата, который требуется удалить.
  5. В меню Действие выберите команду Удалить.
  6. Нажмите кнопку Да, если выбранный автоматический запрос сертификата действительно требуется удалить.

Примечания

  • О том, как открыть объект групповой политики, см. по ссылке «См. также».
  • Для выполнения данной процедуры необходимо иметь административные полномочия для данного объекта групповой политики.
  • Данная процедура не применяется к объектам локальной политики.

См. также


Создание списка доверия сертификатов для объекта групповой политики

Рисунок Microsoft Windows

Чтобы создать список доверия сертификатов для объекта групповой политики

  1. Войдите в домен, в котором у вас имеются административные полномочия на управление объектом групповой политики, подлежащим изменению.
  2. Откройте объект групповой политики, который требуется изменить.
  3. В дереве консоли щелкните компонент Доверительные отношения в предприятии.

    Где?

    • Имя объекта политики
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Доверительные отношения в предприятии
  4. В меню Действие выберите команду Создать и затем команду Список доверия сертификатов. Будет запущен мастер списков доверия сертификатов. Следуя его указаниям, создайте список доверия сертификатов для данного объекта групповой политики.

Примечания

  • О том, как открыть объект групповой политики, см. по ссылке «См. также».
  • Для выполнения данной процедуры необходимо иметь административные полномочия для данного объекта групповой политики.
  • Данная процедура не применяется к объектам локальной политики.

  • Для использования мастера списков доверия сертификатов необходимы следующие сведения.

    • Назначения сертификатов для данного списка доверия сертификатов (CTL). Дополнительные сведения о предназначении списков доверия сертификатов см. в разделе Использование политики доверительных отношений в организации.
    • Сертификаты, которые требуется добавить в список доверия сертификатов. Можно добавлять сертификаты из хранилища на локальном компьютере или из файла. Сертификат разрешается импортировать из файла сертификата X.509v3 (.cer, .crt), файла PKCS #7 (.spc, .p7b) или файла хранилища сериализованных сертификатов Microsoft (.sst).
    • Сертификат, имеющий назначение «Подписывание списка доверия», и связанный с ним закрытый ключ в личном хранилище сертификатов. Общие указания о том, как запрашивать сертификат, см. в разделе Запрос сертификата.
    • Существует дополнительная возможность ввести URL-адрес службы, вставляющей в список доверия сертификатов отметки времени.

См. также


Редактирование списка доверия сертификатов для объекта групповой политики

Рисунок Microsoft Windows

Чтобы изменить список доверия сертификатов для объекта групповой политики

  1. Войдите в домен, в котором у вас имеются административные полномочия на управление объектом групповой политики, подлежащим изменению.
  2. Откройте объект групповой политики, который требуется изменить.
  3. В дереве консоли щелкните компонент Доверительные отношения в предприятии.

    Где?

    • Имя объекта политики
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Доверительные отношения в предприятии
  4. В области сведений щелкните список доверия сертификатов, который требуется изменить.
  5. Выберите в меню Действие команду Все задачи, а затем команду Изменить. Будет запущен мастер списков доверия сертификатов. Следуя его указаниям, измените список доверия сертификатов для данного объекта групповой политики.

Примечания

  • О том, как открыть объект групповой политики, см. по ссылке «См. также».
  • Для выполнения данной процедуры необходимо иметь административные полномочия для данного объекта групповой политики.
  • Данная процедура не применяется к объектам локальной политики.

  • Для использования мастера списков доверия сертификатов необходимы следующие сведения.

    • Назначения сертификатов для данного списка доверия сертификатов. Дополнительные сведения о предназначении списков доверия сертификатов см. в разделе Использование политики доверительных отношений в организации.
    • Сертификаты, которые требуется добавить в список доверия сертификатов. Можно добавлять сертификаты из хранилища сертификатов на локальном компьютере или из файла. Сертификат разрешается импортировать из файла сертификата X.509v3 (.cer, .crt), файла PKCS #7 (.spc, .p7b) или файла хранилища сериализованных сертификатов Microsoft (.sst).
    • Сертификат, имеющий назначение «Подписывание списка доверия», и связанный с ним закрытый ключ в личном хранилище сертификатов. Общие указания о том, как запрашивать сертификат, см. в разделе Запрос сертификата.
    • Существует дополнительная возможность ввести URL-адрес службы, вставляющей в список доверия сертификатов отметки времени.

См. также


Удаление списка доверия сертификатов для объекта групповой политики

Рисунок Microsoft Windows

Чтобы удалить список доверия сертификатов для объекта групповой политики

  1. Войдите в домен, в котором у вас имеются административные полномочия на управление объектом групповой политики, подлежащим изменению.
  2. Откройте объект групповой политики, который требуется изменить.
  3. В дереве консоли щелкните компонент Доверительные отношения в предприятии.

    Где?

    • Имя объекта политики
    • Конфигурация компьютера
    • Конфигурация Windows
    • Параметры безопасности
    • Политики открытого ключа
    • Доверительные отношения в предприятии
  4. В области сведений щелкните список доверия сертификатов, который требуется удалить.
  5. В меню Действие выберите команду Удалить.
  6. Нажмите кнопку Да, если выбранный список доверия сертификатов действительно требуется удалить.

Примечания

  • О том, как открыть объект групповой политики, см. по ссылке «См. также».
  • Для выполнения данной процедуры необходимо иметь административные полномочия для данного объекта групповой политики.
  • Данная процедура не применяется к объектам локальной политики.

См. также


Основные понятия

В этом разделе рассматриваются следующие темы:

  • Общие сведения о политиках открытого ключа
  • Общее представление о политиках открытого ключа
  • Использование политик открытого ключа


Общие сведения о политиках открытого ключа

Рисунок Microsoft Windows

Обзор политик открытого ключа

С помощью параметров политики открытого ключа, доступных в оснастке Групповая политика, можно выполнять следующие задачи.

  • Настройка компьютеров на автоматическую отправку запросов в центр сертификации предприятия и установку выдаваемых сертификатов. Это позволяет обеспечить наличие на компьютерах сертификатов, необходимых для выполнения в организации криптографических операций с открытым ключом (например, связанных с использованием протокола IPSec или с проверкой подлинности клиентов). Дополнительные сведения об автоматическом получении сертификатов компьютерами см. в разделе Параметры автоматического запроса сертификатов.

  • Создание и распространение списка доверия сертификатов (CTL). Список доверия сертификатов — это подписанный список сертификатов корневых центров сертификации, признанных администратором пригодными для тех или иных целей, например, для проверки подлинности клиента или защиты электронной почты. Если сертификатам центра сертификации следует доверять при использовании протокола IPSec, но не при проверке подлинности клиента, список доверия позволяет реализовать такие доверительные отношения. Дополнительные сведения о списках доверия сертификатов см. в разделе Политика доверительных отношений в организации.

  • Установка общих доверенных корневых центров сертификации. Эта возможность позволяет привязать компьютеры и пользователей к общим корневым центрам сертификации (в добавление к тем, которые они уже признали доверенными в индивидуальном порядке). Такую политику необязательно использовать для центров сертификации в домене, поскольку они уже являются доверенными для всех пользователей и компьютеров домена. Данная политика предназначена главным образом для установки доверительных отношений с корневым центром сертификации, не являющимся частью организации. Дополнительные сведения о корневых центрах сертификации см. в разделе Политики установки доверительных отношений с корневыми центрами сертификации.

  • Добавление агентов восстановления шифрованных данных и изменение параметров политики восстановления шифрованных данных. Дополнительные сведения об этой политике см. в разделе Восстановление данных. Сведения общего характера о Шифрованной файловой системе EFS (Encrypting File System) см. в разделе Общие сведения о шифрованной файловой системе.
Эти параметры политики открытого ключа необязательно использовать в групповой политике для развертывания инфраструктуры открытых ключей в рамках организации. Тем не менее эти возможности позволяют более гибко контролировать установку доверительных отношений с центрами сертификации, выдачу сертификатов компьютерам и развертывание EFS в домене.


Общее представление о политиках открытого ключа

Операционная система позволяет создавать политики открытого ключа и распространять их действие на компьютеры или пользователей в пределах сайта, домена или подразделения. Для этого следует использовать оснастку Групповая политика с включенным расширением «Параметры безопасности». В этом разделе рассматриваются следующие темы:

  • Параметры автоматического запроса сертификатов
  • Политики для установки доверительных отношений с корневыми центрами сертификации
  • Политика доверительных отношений в предприятии
  • Восстановление данных


Параметры автоматического запроса сертификатов

Процедура регистрации сертификата включает в себя запрос, получение и установку сертификата. Параметры автоматического запроса сертификатов в политиках открытого ключа позволяют настроить компьютеры, связанные с конкретным объектом групповой политики, на автоматическое получение сертификатов. Это позволяет не отправлять заявки на получение сертификата для каждого компьютера в явном виде.

После настройки автоматического запроса сертификатов собственно запрос сертификата выполняется при очередном входе в сеть компьютера, связанного с данным объектом групповой политики.

Дополнительные сведения см. в следующих разделах:

  • Политика автоматического запроса сертификатов
  • Общие сведения о политиках открытого ключа

Примечания

  • Автоматический запрос сертификатов действует только в том случае, если в центре сертификации запущен модуль политики предприятия.
  • Настраивать автоматический запрос сертификатов для объекта групповой политики можно только при наличии административных полномочий.


Политики для установки доверительных отношений с корневыми центрами сертификации

Если клиент предоставляет узлу сертификат, для принятия этого сертификата в качестве действительного реквизита узел должен иметь доверительные отношения с корневым центром сертификации, находящимся на пути сертификации. Для групп пользователей или компьютеров может потребоваться автоматическая установка доверительных отношений с конкретными корневыми центрами сертификации.

С помощью политик открытого ключа в составе групповой политики можно установить общие доверенные корневые центры сертификации для пользователей и компьютеров, связанных с данным объектом групповой политики. Когда объект групповой политики применяется к сайту, домену или подразделению, эта политика наследуется соответствующими компьютерами. При этом компьютеры наследуют и доверительные отношения с корневыми центрами, чьи сертификаты были импортированы в политику доверенных корневых центров сертификации.

Для назначения доверенных центров сертификации можно использовать либо политику доверенных корневых центров сертификации, либо политику доверительных отношений в предприятии. При выборе политики руководствуйтесь следующими соображениями.

  • Если организация имеет собственные корневые центры сертификации Windows 2000 и пользуется службой Active Directory, то для распределения корневых сертификатов не обязательно использовать механизм групповой политики.
  • Если организация имеет собственные корневые центры сертификации, установленные не на серверах Windows 2000, то для распределения корневых сертификатов в организации следует использовать политику доверенных корневых центров сертификации. Дополнительные сведения см. в разделе Политика доверенных корневых центров сертификации.
  • Если организация не имеет собственных центров сертификации, то для установки доверительных отношений организации с внешними корневыми центрами сертификации следует с помощью политики доверительных отношений в предприятии создать списки доверия сертификатов.

Дополнительные сведения см. в следующих разделах:

  • Политика доверительных отношений в предприятии
  • Общие сведения о политиках открытого ключа


Политика доверительных отношений в предприятии

С помощью списка доверия сертификатов (CTL) можно управлять уровнями доверия к назначению и сроку действия сертификатов, выдаваемых внешними центрами сертификации.

Обычно центр сертификации может выдавать сертификаты для различных целей, например, для защиты электронной почты или для проверки подлинности клиента. Однако иногда возникает необходимость ограничить круг доверенных сертификатов, выдаваемых конкретным центром сертификации, особенно если он находится вне данной организации. Для этого можно создать список доверия сертификатов и использовать его в рамках групповой политики.

Предположим, что некоторый центр сертификации способен выдавать сертификаты для проверки подлинности серверов, проверки подлинности клиентов, подписывания кода и защиты электронной почты. Однако в организации требуется доверять только сертификатам, выдаваемым этим центром сертификации для проверки подлинности клиентов. Можно создать список доверия сертификатов и ограничить уровень доверия к сертификатам данного центра только сертификатами, предназначенными для проверки подлинности клиентов. Сертификаты, выданные этим центром сертификации для других целей, не будут приниматься для использования ни одним компьютером или пользователем, относящимся к объекту групповой политики, к которому применяется этот список доверия сертификатов.

В организации может использоваться несколько списков доверия сертификатов. Поскольку режимы использования сертификатов и уровни доверия к ним в разных доменах и подразделениях могут различаться, можно создавать отдельные списки доверия сертификатов, отражающие эти различия, и назначать конкретные списки доверия сертификатов конкретным объектам групповой политики.

Использование групповой политики в организации позволяет определять степень доверия к центру сертификации либо с помощью политики доверенных корневых центров сертификации, либо с помощью политики доверительных отношений в предприятии (списки доверия сертификатов). При выборе политики руководствуйтесь следующими соображениями.

  • Если организация имеет собственные корневые центры сертификации и пользуется службой Active Directory, то для распределения корневых сертификатов не обязательно использовать групповую политику.
  • Если организация имеет собственные корневые центры сертификации, установленные не на серверах, то для распределения корневых сертификатов в организации следует использовать политику доверенных корневых центров сертификации.
  • Если организация не имеет собственных центров сертификации, то для установки доверительных отношений организации с внешними корневыми центрами сертификации следует использовать политику доверительных отношений в предприятии.

Дополнительные сведения см. в следующих разделах.

  • Политика доверенных корневых центров сертификации
  • Использование политики доверительных отношений в предприятии
  • Общие сведения о политиках открытого ключа


Использование политик открытого ключа

В этом разделе собраны сведения по следующим вопросам.

  • Политика автоматического запроса сертификатов
  • Политика доверенных корневых центров сертификации
  • Использование политики доверительных отношений в предприятии
  • Политика агентов восстановления шифрованных данных


Политика автоматического запроса сертификатов

Для подготовки автоматического запроса сертификатов необходимы следующие сведения.

  • Тип сертификатов, которые должны будут получать компьютеры, связанные с данным объектом групповой политики. Компьютеры могут автоматически запрашивать сертификаты только тех типов, назначение которых связано с этими компьютерами, но не с их пользователями. Примеры сертификатов, относящихся к компьютерам:
    • сертификаты компьютеров;
    • сертификаты протокола IPSec (Internet Protocol security);
    • сертификаты веб-серверов.
  • Центр сертификации, который может выдать нужный сертификат.

    Центр сертификации можно выбрать из заранее составленного списка. Выбранный центр сертификации должен иметь возможность выдавать сертификаты указанного типа и назначения.

Дополнительные сведения см. в следующих разделах:

  • Параметры автоматического запроса сертификатов
  • Создание автоматического запроса сертификата для компьютеров в объекте групповой политики
  • Удаление автоматического запроса сертификата для компьютеров в объекте групповой политики


Политика доверенных корневых центров сертификации

Для установки доверенного корневого центра сертификации с помощью групповой политики созданный объект групповой политики должен иметь доступ к корневому сертификату. Для этого следует импортировать копию сертификата корневого центра сертификации.

Соответствующая процедура описана в разделе Добавление доверенного корневого центра сертификации в объект групповой политики.

Корневой сертификат можно импортировать из файла PKCS #12, файла PKCS #7 или двоичного файла сертификата X.509v3. Дополнительные сведения об этих форматах файлов см. в разделе Импорт и экспорт сертификатов.

Дополнительные сведения см. в следующих разделах:
  • Политики для установки доверительных отношений с корневыми центрами сертификации
  • Удаление доверенного корневого центра сертификации из объекта групповой политики


Использование политики доверительных отношений в предприятии

Список доверия сертификатов (CTL) можно назначить объекту групповой политики, создав новый список доверия сертификатов или импортировав существующий. При создании нового списка доверия сертификатов необходимо подписать его с помощью сертификата, выданного для этой цели центром сертификации.

Для создания списка доверия сертификатов также необходимо:

  • иметь корневые сертификаты, которые требуется включить в список доверия сертификатов;
  • знать цели использования корневых сертификатов, которым требуется доверять в этом списке.

Дополнительные сведения см. в следующих разделах:

  • Политика доверительных отношений в предприятии
  • Создание списка доверия сертификатов для объекта групповой политики
  • Редактирование списка доверия сертификатов для объекта групповой политики
  • Удаление списка доверия сертификатов для объекта групповой политики


Политика агентов восстановления шифрованных данных

Управлять политикой восстановления шифрованных данных на компьютерах домена можно с помощью следующих процедур:

  • Добавление агента восстановления для домена
  • Изменение политики восстановления для домена

Следующие процедуры позволяют управлять политикой восстановления шифрованных данных на локальном компьютере:

  • Добавление агента восстановления для локального компьютера
  • Изменение политики восстановления для локального компьютера

Дополнительные сведения см. в следующих разделах:

  • Общие сведения о шифрованной файловой системе
  • Восстановление данных


Отключение компьютера от стыковочного узла

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Локальные политики\Назначение прав пользователя

Описание

Определяет, какие пользователи могут отключать переносной компьютер от стыковочного узла.

По умолчанию на серверах и рабочих станциях пользователи из групп «Администраторы», «Опытные пользователи» и «Пользователи» имеют право отключать переносной компьютер от стыковочного узла на компьютерах с «чистой установкой» Windows 2000 Server, Windows 2000 Professional и Windows XP Professional, т.е. с установкой, которая не была получена из предыдущей версии Windows путем обновления.

Примечание

  • На компьютерах, обновленных с Windows NT до Windows 2000 Server, Windows 2000 Professional или Windows XP Professional, право отключать переносной компьютер от стыковочного узла должно быть явно предоставлено соответствующей группе или пользователю.


Завершение работы при переполнении журнала аудита безопасности

Конфигурация компьютера\Конфигурация Windows\Параметры безопасности\Журнал событий\Параметры журнала событий и просмотра событий

Описание

Определяет, должна ли система автоматически завершать работу, если файл аудита безопасности достигает максимально допустимого размера.

По умолчанию нет.

Примечания

  • Предполагается, что вместо этого параметра политики используется параметр Аудит: немедленное отключение системы, если невозможно внести в журнал записи об аудите безопасности.
  • Данный параметр не отображается в объекте «Политика локального компьютера».