Search results matching tag 'group policy'

Make Your Favorite IT Pro Happy for the Holidays and save 25% on a new TechNet Subscription with TMSAM09

Matt-MS — Thu, 10 Dec 2009 08:00:00 GMT

Good morning everyone, I want to mention we are still offering the discount for the TechNet Subscriptions. Due to the continued success of the program, it is back again this year and the savings have been increased to 25%!!!!!

Just Use TMSAM09 when ordering your new subscription.

Click here to get your TechNet Subscription:

Purchase a TechNet Subscription

Then just enter the Promotion Code: TMSAM09

If you have not checked out what you get with a TechNet Subscription here are a few of the benefits:

Full-version software licensed for evaluation purposes; includes Microsoft operating systems, servers, and Office System software as well as Beta software: pre-release versions of Microsoft software to keep up to date on the latest technologies.
Two (2) complimentary technical support incidents and a 20% discount on additional phone support incidents you purchase.

And of course you still get the TechNet Library containing the Microsoft Knowledge Base, security updates, service packs resource kits, utilities, technical training, and product documentation to keep your systems and IT skills up to date!!!!

Some details about the offer:

This promo code is only for new subscriptions, you can use the code for renewals as well, however you are already saving 33% on renewals (but if you use my code it makes me look like I am doing my job :-) Again we are having a bit of a contest so please use my code: TMSAM09.

So go get your TechNet Subscription today, and remember use the promotion code: TMSAM09 to save 25%!!!!!!!!

Windows 7, Windows Server 2008 R2 and the Group Policy Central Store

NedPyle — Wed, 09 Dec 2009 08:00:00 GMT

Mike here again to help bring clarity to something we are seeing with Windows Server 2008 R2 and existing Group Policy central store. Before that discussion, let us cover some background information.

ADMX Files and the Group Policy Central Store

Microsoft introduced the ADMX file format with Windows Vista and Windows Server 2008. This XML-based file format replaced the token-based ADM file format used by earlier versions of Windows to define administrative templates. Group Policy uses administrative templates to represent registry-based policy settings that appear when editing Group Policy. The content included in administrative templates describes the user interface used by Group Policy editors and registry locations where Windows stores policy settings. Windows Server 2008 R2 and Windows 7 provide a new set of administrative template files in the ADMX format.

Windows 7 ADMX files now include support for two registry types: REG_MULTI_SZ and REG_QWORD. The REG_MULTI_SZ registry data type represents multi strings entries within a single registry value. The REG_QWORD registry data type represents a 64-bit number, which is twice the size of the 32-bit number stored in REG_DWORD. These new aspects of the ADMX syntax are only viewable when using the GPMC and Group Policy editors from Windows Server 2008 R2 or Windows 7 Remote Server Administration Tools (RSAT). Group Policy editors and the GPMC from Windows Vista cannot read ADMX files containing this new syntax.

The Central Store

Earlier versions of Group Policy that used ADM files suffered from a symptom known as SYSVOL bloat. These versions of Windows copied the set of ADM files into each Group Policy object stored on SYSVOL. Each set of ADM files required approximately 4MB of disk space. A domain can realistically have 100 Group Policy objects. One hundred Group Policy objects multiplied by 4 megabytes of disk space equates to 400MB of redundant data—what a waste. Windows Server 2008 and Vista introduced the concept of the Group Policy Central Store to overcome SYSVOL bloat. The Group Policy Central Store is a single folder on each domain controllers SYSVOL that stores one set of ADMX files for the entire domain. The central store effectively relieves the symptoms of SYSVOL bloat and reduces the amount of data transferred during SYSVOL replication when new Group Policy objects are created. Some documentation refers to the Group Policy Central Store as an alternate location to store ADMX files (the other location is the local store found in %SYSTEMROOT%\PolicyDefinitions). A more accurate description of the Central Store is the preferred location.

So what’s the Problem?

The Group Policy Management Console and the Group Policy Management Editor always use the Group Policy Central store, when it is present. The pro here is that all instances of the GPMC and GPME use the same set of ADMX files. The con is that servicing ADMX files is difficult. Also, GPMC cannot use the local store as long as a Group Policy Central Store exists. So adding a single ADMX set for a single computer is not possible when using a central store. So, when we released Windows 7 and Windows Server 2008 R2, we also released a new set of ADMX files (within the operating system). These new ADMX files expose new Windows 7 and Windows 2008 R2 policy settings as well as policy settings for previous operating systems. Therefore, you need these files to configure Windows 7 Group Policies. Here’s where the dilemma continues.

A Central Store and Windows 7

If you have a central store (presumably hosted with Windows Server 2008 ADMX files), then you have two choices: upgrade the ADMX files or remove the central store.

Updating the Central Store

Updating the Central Store affects all users in the domain that use GPMC and its editor. It is important to understand this because newer ADMX files may not be compatible with older versions of Group Policy Tools, as in the case with Windows Server 2008 R2. The screen capture below occurs in Windows Vista and Windows Server 2008 computers attempting to read a Group Policy Central store hosted with Windows Server 2008 R2 ADMX files.

Windows Server 2008 R2 ADMX file, in this example the TerminalServer-Server.adml, contains an unknown element named <multiTextBox>. This element represents the REG_MULTI_SZ implementation that is new with Windows 7 and Windows Server 2008 R2. Newer ADMX files can contain new features, which older Group Policy Tools may not understand. This is why it is always a best practice to use the latest Group Policy Tools to manage Group Policy. Backwards compatibility is an important aspect of Group Policy; however, forward compatibility is not.

Also, you may be using Windows 7, but do not see Windows 7 policy settings. Remember, GPMC prefers the Group Policy Central Store over the local store. The Windows 7 GPMC (actually RSAT) uses the Group Policy Central Store (hosted with Windows Vista or Windows Server 2008 ADMX files) over its local store that hosts the Windows 7 ADMX. If you want to see Windows 7 policy settings, then you’ll need to upgrade your central store or remove it.

Note: I have successfully used Windows Vista RSAT with an upgraded Group Policy Central Store. However, the ADMX and ADML files were from a Windows 7 computer. Using Windows Server 2008 R2 ADMX files produces the error in the preceding image using GPMC from Windows Server 2008 or Windows Vista RSAT.

Removing the Group Policy Central Store

Removing the Central Store targets all Group Policy tools to use their local store for ADMX file. This allows Windows 7 RSAT and Windows Server 2008 R2 computer to use their ADMX files. Windows Vista RSAT and Windows Server 2008 use their local ADMX files. Windows Vista computers cannot manage or report on Windows 7 policy settings.

An Alternative to the Central Store

There is way for us to “have our cake and eat it too”. The answer is Terminal Services. I often suggest to customers that have many people managing Group Policy to setup a GPMC Terminal Server. Dedicating a single server as the means to manage Group Policy provides:

The concept of a central store
A single point of Group Policy management
Easy to audit and maintain

A dedicate Group Policy Terminal Server can provide the look and feel of a Group Policy Central Store without implementing a Central Store. ADMX files are located in one location, the terminal server. GPMC does not load the ADMX files from a network location. Domain controllers do not need to replicate the additional content of a Central Store—all the benefits of a Central Store, without creating one.

Group Policy is a critical part of the enterprise and yet it seems little is done to reduce its exposure. A dedicated Terminal Server running GPMC provide a true single point of management for the entire Group Policy experience. Terminal Services security can be implemented to reduce the number of people having access to GPMC. Auditing interactive logons can further assist with identifying changes made to Group Policy. Combine this with using Group Policy to prevent other computers from opening GPMC and you’ve effectively lowered the surface and exposure to Group Policy to only the people that actually need it.

Hopefully, this helps with understanding the pros and cons of using a Group Policy Central Store. Also, it should help with answer some of the common questions that arise regarding updating the central store or managing the latest Group Policy settings with Windows 7. And lastly, perhaps consolidating Group Policy Management to a Terminal Server will help limit access to Group Policy management to only the people that actually need it.

Mike “He’s making a left turn” Stephens

Screencast: Windows 7 Enhanced Security and Control: Introduction

Matt-MS — Wed, 09 Dec 2009 08:00:00 GMT

So as some of you have seen I did 4 brief screencasts on Windows 7 and some of the security improvements. Well I had a camera, got a liitle bored it was one rare moments I had some extra time, and I had a green screen. I decided to record an overview of the enhancements for Windows 7 security, just a sneak peak of the other screencasts (links are below). So get your 3d glasses ready for this one and have some fun with this one:

To watch the other screencast I did in this series click one of the following links:

Screencast: Windows 7 Enhanced Security and Control: App Locker

Matt-MS — Tue, 08 Dec 2009 08:00:00 GMT

One of the great tools we always had for management of our Active Directory Infrastructures is Group Policy. Group Policy is a centralized management tool allow you to control and manage your users desktops. You can control settings from desktop configuration to deploying software. Another great group of policy settings are the Software Restriction Policies. These allowed you control what applications a user could run on their desktop, as solid as software restriction policies were, there was room for improvement. In Windows 7 we have a new way to control applications called App Locker. Take a look at the following screencast for a quick overview of these new and powerful tool built into Windows 7.

If you want to learn more about group policy take a look at the screencast series I did a while back, even though the series is from Windows Server 2003, you can get some good foundation knowledge here: A Blast from the Past: Group Policy and Active Directory Webcast series

Upgrading AD Domains to Windows Server 2008 R2 AD DS Domains

Keith Combs — Sun, 29 Nov 2009 08:00:00 GMT

Upgrading your network operating system requires minimal network configuration and typically has a low impact on user operations. The upgrade process is straightforward, efficient, and allows your organization to take advantage of the improved security that is offered by the Windows Server® 2008 and Windows Server 2008 R2 operating systems.

This guide is intended for use by system administrators and system engineers. It provides detailed guidance for upgrading Windows 2000 or Windows Server 2003 Active Directory domains to Active Directory Domain Services (AD DS) domains that have domain controllers running Windows Server 2008 or Windows Server 2008 R2. For a seamless deployment experience, use the checklists that are provided in this guide and complete the tasks in the order in which they are presented.

Go get the guide @ http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=fa629de2-f4dd-47ac-8d80-3db46b2877a2.

Running in a DC in Hyper-V

If you plan to run a Windows Server 2008 Domain Controller as a Hyper-V virtual machine, you should also download and review the latest guide on that as well. This guide discusses many of the important considerations that are specific to the deployment of a Windows Server 2003 and Windows Server 2008 virtual domain controller. It provides recommendations and tips to help you deploy and manage domain controllers in Hyper-V.

Some of the Hyper-V issues, such as storage and backup, that are not specific to domain controllers are not covered in this guide. This guide also does not address the potential cost savings of migration to virtual servers. Furthermore, because the process of making a virtual server a domain controller does not differ from the process of making a physical server a domain controller, this process (domain controller promotion) is not described in this guide.

Go get it @ http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=7425e34b-3990-43d8-b93b-cb6442858c21.

그룹정책 Preferences 로깅과 Windows 7

escapetrouble — Tue, 24 Nov 2009 08:00:00 GMT

원문주소 : Group Policy Preferences Logging and Windows 7

http://blogs.technet.com/askds/archive/2009/11/19/group-policy-preferences-logging-and-windows-7.aspx

안녕하세요? 마이크(Mike)입니다. 2007년 6월에 RSAT를 사용하여 그룹정책 Preferences 디버그 로깅을 활성화시키는 방법을 설명했습니다. 새로운 내용으로 그룹정책 Preferences 디버그 로깅은 그룹정책 관리 템플릿을 통해 활성화할 수 있습니다. 많은 고객은 RSAT와 Windows Vista를 사용하여 로깅을 활성활때정책 설정이 존재하지 않는다는 문제가 발생한다고 합니다. Windows 7 RSAT를 사용할때도 같은 증상을 경험하실 겁니다.

그림 1 Windows 7 RSAT 뷰

그룹정책 Preferences 관리 템플릿은 Windows 7에 포함되어 있지 않습니다. 하지만 Windows Server 2008 R2에는 포함되어 있습니다. 간단한 솔루션은 Windows Server 2008 R2의 ADMX과 ADML파일을 Windows 7 컴퓨터에 복사하는 것입니다. 또는 이 블로그에서 파일을 복사할 수 있습니다. 이 절차는 Windows Vista에서와 같이 남아있습니다. 세부적인 절차는 2007년 6월 블로그를 확인하세요.

그림 2 Windows 2008 R2 GPMC 뷰

참고 : Vista와 Windows 7 그룹정책 Preferences 관리 템플릿 사이에는 미묘한 차이가 존재합니다. 기능상에는 변경이 없지만 많은 ADL 파일에 있는 많은 문자열이 변경되었습니다. 하나의 버전의 Windows ADML 파일과 ADMX 파일을 섞거나 일치시키지 마세요.

Mike “Neebler-Treehouse builder” Stephens

윈도우 비스타 이후에서 그룹정책의 느린 링크 검출하기

escapetrouble — Thu, 19 Nov 2009 08:00:00 GMT

원문주소 : Group Policy Slow Link Detection using Windows Vista and later

http://blogs.technet.com/askds/archive/2009/10/23/group-policy-slow-link-detection-using-windows-vista-and-later.aspx

안녕하세요? 마이크(Mike)입니다. 많은 그룹정책 기능은 잘 연결된 네트워크가 필요합니다. 하지만, 모든 연결이 완벽하거나 이상적일 수는 없는데 일부 연결은 느릴 것입니다. 그룹정책 인프라는 느린 링크를 검출하는 기능을 제공합니다. 하지만, 이것은 Windows Server 2008과 Windows Vista와 이전의 운영체제에서 다른 방법을 사용합니다.

Windows Server 2008과 Vista 이전 버전

Windows Server 2003, Windows XP, Windows 2000 그룹정책은 그룹정책 클라이언트와 도메인 컨트롤러 사이의 느린 연결을 결정하기 위해 ICMP 프로토콜을 사용했습니다. 이 프로세스는 다음과 같이 마이크로소프트 KB227260에 기술되어 있습니다. 사용자 프로필 및 그룹 정책 처리에 대한 느린 연결 검색(http://support.microsoft.com/kb/227260/ko)

그룹정책 인프라는 그룹정책 클라이언트에서 도메인 컨트롤러에 ICMP 핑을 연속으로 보냅니다. 첫번째 핑은 0바이트의 payload를 가지고 있고 두번째 핑은 2048바이트의 payload를 가지고 있습니다. 두 핑의 결과를 통해 계산해서, 대역폭을 예상합니다. 하지만, ICMP를 사용하는 것은 제한이 있습니다.

수많은 "나쁜" 응용 프로그램은 ICMP를 악의적으로 사용합니다. 이것은 ICMP를 증가시켰고 IT 전문가는 이것을 예방을 해야 했습니다. 예방책은 ICMP를 차단하는 것입니다. ICMP 차단하는 대안은 악의적인 ICMP 패킷을 방지했지만, 그룹정책을 막게됩니다. 따라서 다음과 같은 대안이 만들어졌습니다. (마이크로소프트 KB816045 그룹정책이 네트워크 ICMP 정책으로 적용되지 않음) 하지만 업데이트는 ICMP 의존성을 제거하기 않았습니다.

Windows Server 2008과 비스타 시대

Windows 7과 Windows Vista는 이 문제를 해결했습니다. 새로운 운영체제는 ICMP를 사용하지 않는 새로운 느린 링크 검출 매커니즘을 구현했습니다. 그러면 어떻게 새로운 그룹정책은 느린 링크를 검출할지 궁금하실 겁니다.

새로운 방식의 느린 링크를 검출하는 가장 쉬운 대답은 NLA(Network Location Awareness)입니다. 이 네트워킹 계층 서비스와 프로그래밍 인터페이스는 자신의 메소드나 알고리즘에서 구현하지 않고 응용프로그램에서 컴퓨터의 네트워크 어댑터로부터 네트워크 정보를 요청합니다. NLA는 특정 네트워크 인터페이스에서 존재하는 트래픽을 모니터링하여 이 작업을 완료합니다. 이것은 두가지 혜택을 제공합니다. 1) 이것은 대역폭 측정을 위해서 추가적인 네트워크 트래픽을 요구하지 않습니다. 2) ICMP를 사용하지 않습니다.

NLA를 통한 그룹정책

일반적으로 하는 질문은 어떻게 그룹정책 느린 연결 검출을 NLA로 구현했냐는 것입니다. NLA에서 사용하는 실제 알고리즘은 대역폭 측정을 위해 NLA에 요청하는 동안 그룹정책이 무엇을 하는지만큼 중요하지 않습니다.

도메인 컨트롤러 위치

그룹정책 클라이언트는 그룹정책을 성공적으로 적용하려면 도메인 컨트롤러와의 통신이 필요합니다. 그룹정책 서비스는 반드시 도메인 컨트롤러를 찾아야 합니다. 이것은 DCLocator 서비스를 통해 수행합니다. 윈도우 클라이언트는 일반적으로 그룹정책 응용프로그램보다 이전에 도메인 컨트롤러를 발견합니다. DCLocator는 이 정보를 캐쉬해서 다른 응용프로그램과 서비스가 사용할 수 있게 합니다. 그룹정책 서비스는 도메인 컨트롤러에 연결하기 위해 세번의 시도를 하는데, 첫번째 시도는 캐쉬에 저장된 도메인 컨트롤러 정보를 사용합니다. 두번째 시도는 DCLocator가 도메인 컨트롤러 정보를 다시 발견하도록 합니다. 캐쉬된 도메인 컨트롤러 정보를 검색은 네트워크를 가로질러 가지 못합니다. 하지만 강제로 재발견을 요청하여 확인합니다. 도메인 컨트롤러 정보는 도메인 컨트롤러의 IP 주소를 포함합니다. 그룹정책 서비스는 대역폭 측정을 시작하기 위해 도메인 컨트롤러의 IP 주소(DCLocator에서 받은)를 사용합니다.

대역폭 측정하는 동안 하는 일

그룹정책 서비스는 도메인 컨트롤러의 위치를 확인한 후에 대역폭 측정을 시작합니다. 도메인 컨트롤러 위치는 도메인 컨트롤러의 IP 주소를 포함하고 있습니다. 그룹정책 서비스는 대역폭을 측정하는 동안 다음의 동작을 수행합니다.

참고 : 이 섹션에 있는 모든 동작은 클라이언트에서 도메인 컨트롤러로 네트워크 트래픽을 발생시킵니다. 이 결과는 네트워크 트래픽을 발생하는 방식을 사용하여 수행되기 때문에 네트워크 트래픽을 발생하지 않는 작업을 포함했습니다. 이 작업은 분명히 추가됩니다.

인증

대역폭을 측정동안 수행하는 첫번째 동작은 인증된 LDAP 연결과 DCLocator 프로세스를 진행하는동안 돌아온 도메인 컨트롤러에 바인드하는 것입니다. 도메인 컨트롤러에 연결은 사용자 보안 컨텍스트와 인증을 위한 커버로스를 사용하여 실행합니다. 이 연결은 NTLM을 지원하지 않습니다. 그러므로, 이 연결 순서는 프로세스를 진행하기 위해서 그룹정책을 위한 커버로스를 사용해야 합니다. 한번 성공하면, 그룹정책 서비스는 LDAP 연결을 닫습니다.

참고 : 사용자 보안 컨텍스트는 그룹정책 프로세싱의 형태와 가깝습니다. 컴퓨터 그룹 정책을 수행을 위한 보안 컨텍스트는 컴퓨터입니다. 사용자를 위한 보안 컨텍스트는 현재 세션을 위한 현재 사용자입니다.

그룹정책 서비스는 사용자 정책 프로세싱은 루프백-교체 모드에 구성되었을때 컴퓨터로 인증된 LDAP 연결을 만듭니다.

네트워크 이름 결정

그룹정책 서비스는 네트워크 이름을 결정합니다. 이 서비스는 도메인 컨트롤러의 IP 주소로 통신하는 최적의 네트워크 인터페이스를 결정하는 것을 IPHelper API를 통해 수행합니다. 이 액션은 또한 Winsock API를 사용합니다. 하지만, 이 액션은 다른 네트워크 트래픽을 만들지 않습니다. 추가로, 도메인 컨트롤러와 네트워크 이름은 향후 사용을 위해서 클라이언트 컴퓨터의 레지스트리에 저장됩니다.

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\GroupPolicy\History에 이 값이 저장됩니다. 값의 이름은 DCName과 NetworkName입니다.

참고 : NetworkName 값은 도메인 방화벽 프로필을 로드하는 것을 결정하려고 윈도우 방화벽에서 사용됩니다.

사이트 쿼리

그룹정책 프로세싱은 컴퓨터가 속한 사이트를 반드시 알아야 합니다. 이것을 수행하려고, 그룹정책 서비스는 Netlogon 서비스를 사용합니다. 클라이언트 사이트 검색은 클라이언트 컴퓨터에서 도메인 컨트롤러에 하는 RPC 호출입니다. 클라이언트 netlogon 서비스는 내부적으로 컴퓨터의 사이트 이름을 캐쉬하고 있습니다. 사이트 이름을 위한 TTL(time-to-live)은 5분입니다. 하지만, TTL은 요구할 때 종결됩니다. 이것은 클라이언트는 오직 클라이언트 검색하는 동안에만 TTL을 확인하는 것을 의미합니다. 이 확인작업은 Netlogon(그룹정책 서비스가 아님)에 의해 구현됩니다. 도메인 컨트롤러로부터 마지막으로 가져온 이름이 캐쉬된 이름이 5분보다 오래되었다면, Netlogon 서비스는 컴퓨터 사이트를 검색하기 위해 도메인 컨트롤러에 RPC 호출을 합니다. 이것은 그룹정책 프로세싱동안 RPC 호출을 볼 수 없는 이유입니다. 하지만, 네트워크 트래픽을 볼 수 있습니다.

관리 범위 결정

다음의 그룹정책 동작은 그룹정책 프로세싱 모드의 기반하여 바뀝니다. 컴퓨터 그룹정책 프로세싱은 일반 그룹정책 프로세싱을 사용합니다. 하지만, 사용자 그룹정책 프로세싱은 일반, 루프백-통합, 루프백-교체 모드를 사용합니다.

일반 모드

일반 그룹정책 프로세싱은 그룹정책 프로세싱 동작의 가장 일반적인 형태입니다. 개념적으로 사용자와 컴퓨터에 상관없이 똑같이 동작합니다. 가장 큰 차이점은 그룹정책 서비스에서 사용되는 DN(distinguished name)입니다.

OU와 도메인 리스트 생성

그룹정책 서비스는 컴퓨터/사용자의 DN을 OU와 그룹정책 개체에서 찾을 수 있는 도메인의 리스트를 결정하기 위해서 사용합니다. 그룹정책 서비스는 왼쪽에서 오른쪽으로 DN을 분석하면서 리스트를 만듭니다. 이 서비스는 이름의 OU= 의 각 인스턴스의 이름을 찾아 스캔합니다. 그리고나서 DN을 리스트에 복사하고, 나중에 사용합니다. 그룹정책 서비스는 OU가 첫 DC= 인스턴스를 만날때까지 DN 스캔을 계속합니다. 이 부분에서, 그룹정책 서비스는 목록을 완료할 도메인 이름을 찾습니다. 이 동작은 네트워크 트래픽을 발생시키지 않습니다.

예 : 다음은 주어진 DN의 목록입니다.

Distinguished Name:

cn=user,OU=marketing,OU=hq,DC=na,DC=contoso,DC=com

List:

OU=marketing,OU=hq,DC=na,DC=contoso,DC=com

OU=hq,DC=na,DC=contoso,DC=com

DC=na,DC=contoso,DC=com

관리 범위 평가

그룹정책 서비스는 그룹정책 객체가 각 관리범위에 링크되고 옵션이 각 링크에 연결되었는지 결정하기 위해 OU의 리스트를 사용합니다. 서비스는 이전에 검색된 도메인 컨트롤러에 단일 LDAP 쿼리를 사용하여 연결된 그룹정책 객체를 결정합니다.

LDAP 요청은 베이스, 범위, 필터, 속성의 4가지 주요 구성요소로 되어 있습니다. 베이스는 검색을 시작할 수 있는 디렉터리 내의 위치를 지정하는데 사용하는데, 일반적으로 DN으로 표시합니다. 범위는 디렉터리 내에서 검색을 어디까지 할지 결정하는데, 베이스에서 시작합니다. 옵션은 베이스, 한 단계, 하위트리를 포합합니다. 베이스 범위 옵션은 베이스에 일치하는 필터에 일치하는 객체만을 반환합니다. 한 단계 옵션은 베이스보다 한단계 아래에 있는 객체를 반환하지만, 베이스를 포함하지 않습니다. 하위트리 옵션은 베이스로부터 베이스 아래에 있는 모든 수준의 객체를 반환합니다. 필터는 검색할때 어떤 객체를 반환할지 지정하는 방법은 제공합니다(LDAP 검색 필터 문법에 대한 자세한 정보는 MSDN을 참조하세요). 속성 설정은 필터와 일치하는 객체를 발견하면 반환해야 할 속성의 리스트입니다.

서비스는 다음의 구분으로 LDAP 요청을 만듭니다.

BaseDN: domain

Scope: Sub Tree

Filter: (|(distinguishedname=OU=xxx)( more OUs)(ends domainNC DC=))

Attributes: gpLink, gpOptions, ntSecurityDescriptor

Example: Scope of management LDAP search

BaseDN: DC=na,DC=contoso,DC=com

Scope: SubTree

Filter: (|(distinguishedname= OU=marketing,OU=hq,DC=na,DC=contoso,DC=com)

(distinguishedname =OU=hq,DC=na,DC=contoso,DC=com)

(distinguishedname =DC=na,DC=contoso,DC=com))

Attributes:gPlink,gPoptions,nTSecurityDescriptor

일반적인 그룹정책 프로세싱 모드의 범위를 결정하는 것은 보안 원리를 적용하는 보안 컨텍스트에서 발생합니다. 컴퓨터는 LDAP 쿼리 컴퓨터 프로세싱을 수행하고 사용자는 사용자 프로세싱을 위한 LDAP 쿼리를 수행합니다. 통합하고 변경하는 것은 사용자 프로세싱 모드에서만 있는데, 사용자의 보안 컨텍스트로 실행됩니다.

사용자 프로세싱을 교체하는 것은 컴퓨터의 DN을 사용하여 LDAP 쿼리를 수행합니다. DN의 각 구성요소는 LDAP 쿼리의 필터 부분에 삽입됩니다. LDAP 쿼리 필터 파라미터는 도메인 컴퓨터의 DN으로 끝납니다.(컴퓨터의 DN의 일부분을 사용하여 재구성합니다)

사용자 프로세싱 통합은 두개의 LDAP 쿼리를 수행합니다. 첫번째 LDAP 쿼리는 사용자 객체의 DN을 사용합니다. 두번째 쿼리는 컴퓨터 객체의 DN을 사용합니다. 그룹정책 링크는 하나의 리스트로 통합된 쿼리로 반환됩니다. 그룹 정책 서비스는 사용자 쿼리로부터 반환된 그룹정책 링크 리스트의 끝에 컴퓨터 쿼리에서 반환된 그룹정책 링크를 추가하여 리스트를 통합합니다. 사용자 리스트의 끝에 컴퓨터 리스트와 연결시켜서 그룹정책 링크는 순서대로 리스트됩니다.

링크 상태 검출

그룹정책 서비스는 클라이언트 컴퓨터와 도메인 컨트롤러 사이의 링크 상태를 결정할 준비가 되었습니다. 서비스는 NLA에게 초기 그룹정책 동작이 실행되기 전에 짐작되는 대역폭을 요청합니다. 그룹정책 서비스는 NLA가 GroupPolicyMinTransferRate 갑에 반환한 값을 비교합니다. 그 값은 다음의 위치에 저장되어 있습니다. HKEY_LOCAL_MACHINE\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon, 이것은 선호되는 키이고, HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System 이것은 정책 키입니다. 그룹정책 느린 링크를 측정하는 기본 최소 전송률은 500 (Kbps)입니다. 만약 NLA가 반환한 예측된 대역폭이 레지스트리에 저장된 값보다 작으면 도메인 컨트롤러와 클라이언트 사이의 링크는 느린 것입니다. 만약 레지스트리에 두 값이 있다면 정책 값은 처음 위치를 선택합니다. 링크 상태를 성공적으로 결정한 이후에는(빠르거나 느린), 그룹정책 서비스는 느린 링크 상태를 그룹정책 히스토리에 저장하는데 이 값은 레지스트리에 있습니다. 이름은 IsSlowLink이고 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\GroupPolicy\History에 위치합니다. 이 값은 REG_DWORD이며 부울 값으로 해석됩니다. 0이 아니면 거짓, 0이면 참입니다. 만약 그룹정책 서비스에 에러가 발생한다면, 히스토리 키의 마지막 값을 읽고 느린 링크 검출을 위해 거짓 또는 참값을 사용합니다.

결론

그룹 정책 느린 링크 검출은 ICMP를 사용한 느린 링크 검출의 시대 이후에 성숙했습니다. 오늘날에서는, Windows 7과 Windows Vista의 그룹 정책 서비스는 추가적인 네트워크 트래픽없이 클라이언트와 도메인 컨트롤러 사이의 TCP 통신을 샘플링하기 위해서 NLA를 사용합니다.

- Mike “Huuuh, whaaaa?” Stephens

Premiers pas avec Windows 7 et Windows Server 2008 R2 : la liste de toutes les vidéos

stanislas-quastana — Thu, 19 Nov 2009 08:00:00 GMT

[mise à jour du 19 novembre 2008]

Depuis plusieurs mois, nous préparons et enregistrons avec Fabrice Meillon, de nombreuses vidéos de type tutoriel dans une série baptisée “Premiers pas avec Windows Server 2008 R2 et Windows 7”. L’objectif est de vous permettre de découvrir et reproduire sur une plateforme de test les nouveautés fonctionnelles de Windows 7 et Windows 2008 R2.

Aujourd’hui, cela représente une trentaines de vidéos (d’autres sont planifiées) et c’est l’occasion de faire une synthèse de ce qui est disponible :-)

Installation

Premiers pas avec Windows Server 2008 R2 – Installation et préparation à la duplication (Sysprep)
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=558323ab-b286-4e77-9025-97c65a4d3750

Premiers pas avec Windows 7 – Installation et préparation à la duplication (Sysprep)
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=300aeff0-ebe5-4325-af74-b0227399d81e

Active Directory et Services de certificats

Premiers pas avec Windows Server 2008 R2 : Promotion du 1er controleur de domaine Active Directory
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=04dabde5-652b-430c-a3cb-65791cd1e11a

Premiers pas avec Windows Server 2008 R2 : Installation d'une CA d'entreprise avec Windows Server 2008 R2
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=a276f92d-51f6-492f-84b3-ed5910746194

Virtualisation de machines et haute disponibilité

Premiers pas avec Windows Server 2008 R2 : Installation et configuration basique d'Hyper-V sur Windows Server 2008 R2
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=77edf83a-56e7-4653-9e71-039cb4bdc0b3

Premiers pas avec Windows Server 2008 R2 : Mise en oeuvre de la live migration avec les volumes partagés de cluster (CSV)
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=c75145a5-7ae1-4e8d-a7b3-dbeeb96507c6

Premiers pas avec Hyper-V Server 2008 R2 – Installation, mise en cluster et live migration en démonstration
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=4d83c43b-7cf0-418d-89ff-7cee664e8cfd

1Premiers pas avec Windows Server 2008 R2 - Hyper-V, failover clustering et live migration
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=044acda6-08c0-47ce-94f0-1cff53db796f
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=5b906be5-e27b-418f-ab7d-cd0c3a5877fe

Mobilité avec Windows 7 et Windows Server 2008 R2 : DirectAccess et VPN Reconnect

Premiers pas avec Windows Server 2008 R2 : Configuration DirectAccess - partie 1 - Les certificats
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=3a3e0a19-0bfa-409e-a57e-06f06f5c4271

Premiers pas avec Windows Server 2008 R2 : Configuration DirectAccess - partie 2 - GPO Parefeu Windows
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=b032fc09-7994-411e-b403-26d4531c971c

Premiers pas avec Windows Server 2008 R2 : Configuration DirectAccess - partie 3 - configuration DNS interne et externe
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=c14c9118-6935-4341-b33e-37082f6ab40b

Premiers pas avec Windows Server 2008 R2 : Configuration DirectAccess - partie 4 - Configuration du NLS
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=a152d6bb-5f44-4e44-a0ed-f6f860575fac

Premiers pas avec Windows Server 2008 R2 : Configuration DirectAccess - partie 5 - Configuration des prérequis du serveur DirectAccess
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=8c37bc43-3b6d-4592-9520-3dbdb1de3a8d

Premiers pas avec Windows Server 2008 R2 : Configuration DirectAccess - partie 6 - Assistant de configuration du serveur DirectAccess
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=47fc2bb9-8627-4da1-80f9-5f4e0ab86d2b

Premiers pas avec Windows Server 2008 R2 : Configuration d'une passerelle VPN sur Windows Server 2008 R2
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=47e23c50-f3fd-4483-953e-3954c10c87ee

Virtualisation des applications et du poste de travail

Premiers pas avec les services Bureau à distance (RDS) de Windows Server 2008 R2 - Installation du gestionnaire de licences et du serveur hôte
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=5257e932-26cc-4dec-aa68-d33bd760e659

Premiers pas avec les services Bureau à distance (RDS) de Windows Server 2008 R2 - Nouveautés Accès par le Web et Passerelle RDS
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=39baf975-7c5c-4776-be9a-f73448148107

Premiers pas avec Windows Server 2008 R2 - Virtualisation de postes de travail (Part 1) - Configuration Service Broker et hôte de virtualisation
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=0d224992-fe9c-4333-8acb-67036adcd761

Premiers pas avec Windows Server 2008 R2 - Virtualisation de postes de travail (Part 2) - Configuration des VMs et création du pool
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=178cccd1-ce73-4ffb-92fe-5a108e4fa605

Premiers pas avec Windows Server 2008 R2 - Virtualisation de postes de travail (Part 3) - Assignation de VM et connexion distante
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=944402f4-40eb-42e5-a2b2-7c31f60327db

Premiers pas avec Windows Server 2008 R2 - Services Bureau à distance - SSO avec le service broker
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=182e3438-13ac-4975-bb47-38974dace6ee

Administration

Premiers pas avec Windows Server 2008 R2 : Installation des RSAT sur Windows 7
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=8869001d-a4bd-48f5-b62a-f4ce2c318166

Protection des données

Premiers pas avec Windows Server 2008 R2 : Windows 7 BitLocker to Go - partie 1
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=5f54df46-23f4-4279-835b-8f788f836d8f

Premiers pas avec Windows Server 2008 R2 : Windows 7 BitLocker to Go - partie 2
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=23b1100a-791a-429f-b237-a8ba33cdef74

Premiers pas avec Windows Server 2008 R2 : Windows 7 BitLocker to Go - partie 3
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=d0c641f2-e89e-461a-a065-5f40d4042280

Contrôle de conformité pour l'accès aux réseaux

Premiers pas avec Windows Server 2008 R2 : NAP DHCP avec Windows Server 2008 R2 - partie 1
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=6b954fc6-11a3-43e2-ba5d-12266fc9fab0

Premiers pas avec Windows Server 2008 R2 : NAP DHCP avec Windows Server 2008 R2 - partie 2
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=55a7a353-8929-496f-81ac-35a04e3de9ac

Contrôle de l'usage des applications

Premiers pas avec Windows Server 2008 R2 : Restriction de l'usage des applications avec AppLocker
http://www.microsoft.com/france/vision/WebcastTechnet.aspx?eid=c5efb796-0520-41a1-bd8b-a7fe01a63b77

Bon visionnage !

Group Policy Preferences Logging and Windows 7

mstephen — Thu, 19 Nov 2009 08:00:00 GMT

Hi all, Mike here again. Back in July of 2007, I posted a blog explaining how to enable Group Policy Preferences debug logging using RSAT. As a refresher, Group Policy Preferences debug logging is enabled through Group Policy administrative templates. Many customers experienced a problem when trying to enable the logging using RSAT and Windows Vista: the policy settings did not exist. You’ll experience the same behavior when using Windows 7 RSAT.

Figure 1 Windows 7 RSAT View

The Group Policy Preferences administrative template is not included with Windows 7; however, it is included in Windows Server 2008 R2. The simply solution is copy the ADMX and ADML files from Windows Server 2008 R2 to the Windows 7 computer. Or, you can copy the files from this blog post. The procedure remains the same as it was from Windows Vista. Check out the blog from July 2007 for the detailed procedures.

Figure 2 Windows 2008 R2 GPMC view

Note: There are some subtle differences between the Vista and Windows 7 Group Policy Preferences administrative templates—no change in functionality—but many string names have changed in the ADL file. Do not try to mix and match the ADMX from one version of Windows with the ADML of another.