<<- Előző Következő->>
GPO - néhány gyakorlati példa
A szerver-kliens alapú hálózatok bevezetésének egyik legfőbb érve az erőforrásokhoz történő hozzáférés vezérlése, finomhangolása. E rövid dokumentumban az állományok jogosultságbeállításának néhány követendő elvét foglalom össze.
NTFS jogosultságokkal mindenki találkozott már, azonban hatékonyan, illetve biztonságosan állítgatni ezt a hozzáférésszabályzó rendszert tervezés nélkül nem lehet. Könyvtárstruktúránk kialakításakor
több szempontot kell figyelembe venni.
Hogyan hitelesíti magát a felhasználó / lesznek-e publikus mappák, ahová bárki másolhat?
Követendő stratégia, hogy kizárólag az Active Directoryban létrehozott felhasználói fiókoknak engedélyezzünk hozzáférést bármiféle erőforráshoz. Amennyiben a kliensszámítógép támogatja a tartományi hitelesítést, a felhasználóknak csak a bejelentkezéskor kell megadnia hitelesítő adatait. Ez vonatkozik egyébként az Exhcange postafiók használatára, sharepoint munkaterület, vagy éppen ISA 2004 szerverünk proxyszolgáltatásának elérésére is. A megosztott mappák legjellemzőbb felhasználása, hogy egy login script segítségével bejelentkezéskor betűvel jelzett meghajtókon tesszük elérhetővé a felhasználók
számára a hálózaton megosztott mappákat. Az ílymódon elérhető mappák köre személyenként változó lehet, csoportházirend segítségével ez teljesen rugalmasan szabályozható.
Amely gépek nem tudnak csatlakozni a tartományhoz, vagy valami okból nem rendelkeznek tartományi tagsággal, azokról körülményesen érhető el a megosztás: többszöri hitelesítés szükséges, illetve a megosztási útvonalak központi terjesztéséből is kimaradhatnak. Ebben az esetben sok kézihajtányos munkára számíthat a hálózat üzemeltetője.
Mit tegyünk, hogy a felhasználók a mappákhoz csak megosztáson keresztül férhessenek
hozzá?
Ez az egyszerűbb eset, ugyanis ha ügyesek vagyunk, a felhasználó csak annyit lát a szerverünk mappalistájából, amennyit engedélyezünk. Ehhez azt kell tennünk, hogy a felhasználók ne a nehezen megjegyezhető UNC útvonalakkal dolgozzanak a kliensekről (pl. \\sbs\users\beton.odon), hanem célzottan „meppeljük” be valamilyen betűjelre az adott felhasználónak szükséges megosztott mappákat. E stratégia csoportházirend segítségével könnyedén támogatható, e cikksorozatban találhatunk néhány tippet ezzel kapcsolatban is. Íme egy viszonylag jól felszerelt SBS megosztott könyvtárainak
listája. Ne feledjük: a "be-nem-meppelt" meghajtók is láthatóvá válnak a felhasználók
számára, ha ügyesen próbálkoznak az UNC útvonalakkal, ezért semmilyen körülmények
között se engedjük meg magunknak azt a luxust, hogy a jogosultságokkal lazán bánjunk!
Helyben is (vagy csak helyben) kell hozzáférnie a tartalomhoz?
Ha tehetjük, kerüljük a szerverre történő, nem adminisztratív jellegű interaktív bejelentkezést. Ha a feladat jellegéből fakadóan ez mégis elkerülhetetlen (például
egy speciális program futtatása), jusson eszünkben a jó öreg Terminátor (terminálszolgáltatások),
és csak azon keresztül engedélyezzük a hozzáférést. Miért is? Mert a Terminátor
lehetővé teszi, hogy csak az adott program futtatását engedélyezzük a munkamenetben a felhasználó számára! Az engedélyezett programot a felhasználói fiók tulajdonságlapján adhatunk meg:
Így egy teljes munkamenethez képest kevesebb erőforrással futtathatjuk a programot a szerveren. Itt fut az imént beállított calc.exe:
Akár teljes felhasználói felületet kap, akár csak ezt az egy programot, mindig gondoljunk
arra, hogy a felhasználó "bent van" a szerveren, és közvetlenül a megosztások megkerülésével
hozzáfér az NTFS fájlrendszerhez. Ezt a tényt vegyük figyelembe a jogosultságok tervezésénél!
Jogosultságtippek
Az SBS 2003 telepítővarázslója, illetve a felhasználó létrehozása varázsló létrehoz egy megosztott mappastruktúrát. Az alapértelmezés szerinti „Users Shared Folders” nevű mappa jogosultságait tilos megváltoztatni, ugyanis a felhasználólétrehozó varázsló hibával leáll! A mappa gyökerében minden felhasználónak saját mappa jön létre, amelyhez csak a felhasználó fér hozzá, illetve néhány adminisztratív jogosultságok van rajta.
Előfordul, hogy pl. az ügyvezetőnek minden mappa tartalmát el kell érnie, ekkor a jogosultságok babrálása helyett helyezzük a személyt a „Folder Operators” csoportba! Ezt a stratégiát érdemes követni úgy általában is, vagyis közvetlenül ne rendeljünk felhasználói fiókot egy-egy jogosultsághoz, hanem hozzunk létre egy biztonsági csoportot, majd annak tegyük tagjává az illetékes felhasználót. Így jóval rugalmasabban dolgozhatunk,
ráadásul kevesebb hibalehetőségbe futhatunk bele a jogosultságkiosztás folyamatában.
Ha szeretnénk olyan mappákat is megosztani, amelyet több felhasználó is használhat (egyszóval bonyolultabb jogosultságokat létrehozni), érdemes egy külön mappastruktúrát készíteni, illetve megosztani e célra. Így készül általában egy Public-közös mappa, amely mindenki számára olvasható, de csak az illetékeseknek írható.
Ajánlott tanfolyamjaink:
SBSR2 - SBS-specifikus szolgáltatások, általános Windows Server 2003 technológiák
SBSAD - Windows tartomány kezelése, csoportházirendek
<<- Előző Következő->>