Eine der grundlegenden Aufgaben, die wir ständig ausführen, wenn wir verwenden Windows Server 2012 oder 2016 es ist Steuerung alle Domänenobjekte wie Benutzer und Teams und wir wissen, dass eine der praktischsten Möglichkeiten zur Ausführung dieser Aufgabe darin besteht, Gruppenrichtlinien zu verwenden, da wir damit alle Parameter und Werte dieser Objekte zentral verwalten können.
Mit der Weiterentwicklung der Betriebssysteme wurden auch die Gruppenrichtlinien geändert und heute haben wir ein sehr mächtiges Werkzeug namens AGPM dass wir heute in einer Umgebung detailliert analysieren werden Windows-Server 2016.
Was ist AGPMAGPM (Erweiterte Gruppenrichtlinienverwaltung – Erweiterte Gruppenrichtlinienverwaltung) ist eine von Microsoft erstellte Anwendung, die uns die Möglichkeit gibt, die Gruppenrichtlinien in unseren Domänen gezielt zu kontrollieren. Derzeit ist die verfügbare Version von AGPM 4.0 und bietet folgende Vorteile:
- Unterstützt Windows 10
- Unterstützt Windows Power Shell
- Formular-App-Update sicher und automatisch
- Unterstützt Windows Server 2012 R2 und Windows Server 2016
1. AGPM-bezogene Begriffe
Es gibt bestimmte häufig verwendete Begriffe bei AGPM, diese sind:
AGPM-ClientEs ist der Computer, auf dem wir AGPM installiert haben und von dem aus wir als Administratoren können Gruppenrichtlinien verwalten.
AGPM-PluginEs ist ein Software-Plugin die in AGPM-Clients installiert ist, um die Verwaltung korrekt durchzuführen.
AGPM-ServerEs ist der Server, auf dem die AGPM-Dienst und Dateien verwalten.
AGPM-DienstEs ist eine Softwarekomponente, die läuft auf einem Server AGPM als Dienstleistung.
ArchivBei AGPM ist es ein Lager, das die Kontrollierte Gruppenrichtlinienobjekte die den zugehörigen AGPM-Server verwaltet.
Kontrolliertes GPOEs ist ein GPO, das ist Geschäftsführung AGPM.
Unkontrolliertes GPOEs ist ein GPO der Produktionsumgebung die AGPM nicht kontrolliert.
2. Voraussetzungen für die Installation von AGPM auf Windows Server 2016
Wir müssen eine Reihe von Anforderungen für die Installation von AGPM in Windows Server 2016 erfüllen, diese sind:
.NET-Framework 4.5.1Wir können lade es herunter aus folgendem Link:
.Net-Framework 4.5
PowerShell 3.0Wenn Sie es nicht haben, kann es sein Entlassen aus folgendem Link:
PowerShell 3.0
GPMC (Gruppenrichtlinien-Verwaltungskonsole – Gruppenrichtlinien-Verwaltungskonsole)Standardmäßig ist es installiert, aber falls es nicht vorhanden ist, kann es sein heruntergeladen aus folgendem Link:
GPMC
Unter Berücksichtigung dieser Anforderungen fahren wir mit der Installation von AGPM auf Windows Server 2016 fort.
3. Installieren Sie AGPM auf Windows Server 2016
Microsoft empfiehlt die Installation von AGPM auf einem Domänenmitgliedsserver, jedoch nicht auf dem Domänencontroller, aber wenn wir keine weiteren Optionen haben, ist es möglich, es dort zu installieren.
Schritt 1
AGPM kann über den folgenden Link heruntergeladen werden. Denken Sie daran, dass für AGPM Gruppen erforderlich sind, um den Dienst zu verwalten Aktive Verzeichnisse Benutzer und Computer und wir werden die entsprechenden Gruppen erstellen.
AGPM
Schritt 2
Wir haben eine OU namens . erstellt AGPM und dort müssen wir das Konto für den zu startenden AGPM-Dienst erstellen, dafür haben wir folgende Objekte angelegt:
- AGPM Solvetic-Benutzer
- Wir nehmen diesen Benutzer in die Gruppe auf Inhaber von Gruppenrichtlinien-Erstellern
- Die folgenden Gruppen wurden für AGPM-Verwaltungsaufgaben erstellt:
- Administratoren AGPM
- Genehmiger AGPM
- Herausgeber AGPM
- Gutachter AGPM
Schritt 3
Nachdem die Gruppen und Benutzer definiert wurden, fahren wir mit der Installation von AGPM fort, indem wir die Datei ausführen agpm_403_server_amd64 als Administratoren. Der entsprechende Installationsassistent wird angezeigt.
Schritt 4
An einem bestimmten Punkt der Installation müssen wir den Dienstbenutzer definieren, mit dem der AGPM-Dienst ausgeführt werden soll, an dieser Stelle können wir einen bestimmten Benutzer für den Dienst erstellen oder wenn wir uns auf einem Domänencontroller befinden, wie es der Fall ist, wir wähle die Option Lokales System.
Schritt 5
Im nächsten Fenster wählen wir das Konto aus, das Sie haben werden Gesamtberechtigungen Über den Dienst fügen wir an dieser Stelle die von uns erstellte Gruppe AGPM-Administratoren hinzu.
Schritt 6
Im nächsten Fenster konfigurieren wir den Port, über den AGPM Client-Anfragen empfängt, wir belassen den Port, der ist standardmäßig sind das 4600.
Schritt 7
Später definieren wir die AGPM-Sprachen und wir werden sehen, dass wir die Installation durch Drücken des Buttons starten können Installieren.
Schritt 8
Wir können sehen, dass die AGPM-Installationsprozess und dass die Installation nach einigen Sekunden erfolgreich abgeschlossen ist.
4. AGPM-Client auf Windows Server 2016 installieren
Schritt 1
Sobald der Installationsprozess des AGPM-Servers abgeschlossen ist, müssen wir den Client installieren, um die gesamte AGPM-Struktur zu vervollständigen. Dazu führen wir die Datei als Administrator aus agpm_403_client_amd64.
Schritt 2
Wir drücken Nächste und wir folgen den Schritten des Assistenten und können in einem Moment der Installation sehen, dass wir den Server definieren müssen, der als AGPM fungieren wird.
Schritt 3
Wir können sehen, dass der Installationsprozess des AGPM-Clients beginnt. Nach ein paar Sekunden ist die Installation endlich wurde erfolgreich abgeschlossen.
5. AGPM-Konsolenoptionen
Wie wir sehen können, wenn wir sowohl den Server als auch den AGPM-Client installiert haben, wurde kein direkter Zugriff erstellt oder eine Anwendung als solche hinzugefügt, aber wir sehen die Änderungen in der Gruppenrichtlinienverwaltung.
Schritt 1
Um auf sie zuzugreifen, können wir eine der folgenden Optionen verwenden:
- Verwenden Sie den Befehl Laufen und geben Sie den Befehl ein gpmc.msc, Drücken Sie Enter.
- Geben Sie den Begriff Verwaltung in das Suchfeld von Windows Server ein und wählen Sie die entsprechende Option aus.
Schritt 2
Sobald der Administrator geöffnet ist, sehen wir das folgende Fenster.
Schritt 3
Der erste Unterschied, den wir im Vergleich zu herkömmlichen Gruppenrichtlinien bemerken werden, ist zum Zeitpunkt der Bereitstellung unserer Domäne. Jetzt sehen wir einen neuen Container namens Kontrolle ändern.
Schritt 4
Durch Klicken auf Kontrolle ändern Wir können die folgenden Optionen sehen.
Schritt 5
Die grundlegenden Optionen, die wir haben, sind:
InhaltVon dieser Registerkarte aus können wir kontrollierte oder unkontrollierte GPOs verwalten.
Domain-DelegationVon diesem Standort aus definieren wir die Berechtigungen zu erteilen an jeden Benutzer oder jede Benutzergruppe in der Domäne. Genauso können wir E-Mail-Konto hinzufügen so dass wir zu einem bestimmten Zeitpunkt, wenn ein nicht autorisierter Benutzer versucht, auf den AGPM-Server zuzugreifen, über diesen Versuch benachrichtigt werden.
AGPM-ServerÜber diese Registerkarte wir können die IP-Adresse anzeigen und bearbeiten vom AGPM-Server.
ProduktionsdelegationAuf dieser Registerkarte können wir sehen, welche Benutzer und Gruppen Berechtigungen für den Zugriff auf die AGPM-Produktionsumgebung haben.
6. Grundaufgaben in AGPM
Übernahme der Kontrolle über GPOsEine der grundlegenden Aufgaben, die wir bei der Verwendung von AGPM haben, ist die Fähigkeit, die Steuerung von diesen GPOs, die derzeit unkontrolliert sind, Denken Sie daran, dass sich ein unkontrolliertes GPO in der Produktionsumgebung befindet, aber nicht von AGPM verwaltet wird.
Wir können die GPOs ohne Kontrolle in der Registerkarte anzeigen Inhalt / Keine Kontrolle
Um die Kontrolle über diese GPOs zu übernehmen, wählen wir die GPOs aus, die wir kontrollieren möchten, klicken mit der rechten Maustaste darauf und wählen die Option Steuerung.
Sobald wir die Option ausgewählt haben Steuerung Wir können die folgende Nachricht sehen.
Wir drücken Akzeptieren und wir werden sehen, dass diese GPOs auf die Registerkarte gehen Geprüft.
Erstellen Sie ein neues kontrolliertes GPOUm ein von Grund auf gesteuertes GPO zu erstellen, müssen wir mit der rechten Maustaste auf klicken Kontrolle ändern und wähle die Option Neues GPO gesteuert.
Wir sehen den folgenden Assistenten, in dem wir dem kontrollierten Gruppenrichtlinienobjekt einen Namen zuweisen.
Wir drücken Akzeptieren und wir sehen, dass unser GPO korrekt erstellt wurde und wir können verschiedene Optionen visualisieren, wenn wir auf das GPO doppelklicken.
VERGRÖSSERN
Fügen Sie Benutzer hinzu, um GPOs zu steuernEine möglicherweise erforderliche Aufgabe ist einen neuen Benutzer oder eine neue Gruppe hinzufügen direkt von AGPM, und dafür werden wir Folgendes tun:
Vom Fenster Inhalt Wir wählen die Option Hinzufügen befindet sich unten und das folgende Fenster wird angezeigt, in dem wir den hinzuzufügenden Benutzer oder die hinzuzufügende Gruppe suchen müssen.
Wir drücken Akzeptieren und das folgende Fenster wird angezeigt, in dem wir die definieren müssen Rollentyp die der Benutzer oder die Gruppe erfüllen wird. Sobald die Rolle definiert ist, klicken Sie auf Akzeptieren.
Wir können sehen, dass der Benutzer erfolgreich hinzugefügt wurde.
Bearbeiten eines kontrollierten GruppenrichtlinienobjektsDies ist vielleicht einer der interessantesten Aspekte von AGPM, die Sicherheit beim Bearbeiten eines kontrollierten Gruppenrichtlinienobjekts. Um ein kontrolliertes GPO zu bearbeiten, müssen wir geben Rechtsklick auf das GPO und wählen Sie Bearbeiten aber wir werden das folgende sehen, die Option Bearbeiten es ist standardmäßig deaktiviert.
Um die Bearbeitung des kontrollierten GPO zu aktivieren, müssen wir auf die Schaltfläche klicken Kasse und das folgende Fenster wird angezeigt, in dem wir erklären müssen, warum das GPO ungeschützt ist.
Wir drücken Akzeptieren und der Check-out-Prozess beginnt.
Wenn wir jetzt erneut mit der rechten Maustaste auf das GPO klicken, können wir sehen, dass seine Edition aktiviert wurde. (Ungeschützter Status).
Wenn wir auf klicken Bearbeiten Wir werden in der Lage sein, die erforderlichen Anpassungen am GPO vorzunehmen. Sobald die Änderungen abgeschlossen sind, können wir die Schaltfläche Schützen drücken, um eine Bearbeitung zu vermeiden.
Wie wir sehen, haben wir mit AGPM ein mächtiges Werkzeug zur Hand, um zentrale Verwaltung aller GPOs der Organisation und haben eine spezifischere Kontrolle über deren Zugriffe und Berechtigungen. Um mehr über AGPM zu erfahren, können wir den folgenden Link besuchen.
AGPM-Dokumentation
