Actividad 8 Directivas de Grupo GPO

ACTIVIDAD Nº 8
DIRECTIVAS DE GRUPO (GPO) EN WINDOWS SERVER 2008
ACTIVIDAD Nº 8 DE PROYECTO – CONFIGURACION DE SERVICIOS DE RED
TECNOLOGIA EN GESTIÓN DE REDES DE DATOS
CENTRO DE SERVICIOS Y GESTIÓN EMPRESARIAL
SENA, MEDELLÍN
INSTRUCTOR MAURICIO ORTIZ
APRENDIZ GUSTAVO MEDINA A.
TECNOLOGÍA EN GESTIÓN DE REDES DE DATOS
SERVICIO NACIONAL DE APRENDIZAJE – SENA
CENTRO DE SERVICIOS Y GESTION EMPRESARIAL
FICHA DE CARACTERIZACIÓN: 259747
MEDELLIN
2012
OBJETIVOS
Implementar políticas o directivas de grupo locales en Windows Server 2008
INTRODUCCIÓN
Un objeto de directiva de grupo (GPO: Group Policy Object) es un conjunto de una o
más políticas del sistema. Cada una de las políticas del sistema establece una
configuración del objeto al que afecta. Por ejemplo, tenemos políticas para:
• Establecer el título del explorador de Internet
• Ocultar el panel de control
• Deshabilitar el uso de REGEDIT.EXE y REGEDT32.EXE
• Establecer qué paquetes MSI se pueden instalar en un equipo
• Etc…
Las directivas según el objeto al que configuran son:
• Configuración del equipo: que se divide en:
software
• Configuración del usuario: se divide en:
PROCEDIMIENTO
NOTA IMPORTANTE: Tenga cuidado al aplicar las directivas de grupo locales ya que
se aplicarán a todos los usuarios locales, incluyendo el administrador del sistema.
Por lo tanto no aplicaremos ciertas políticas como son: desactivar el menú ejecutar,
ocultar panel de control, entre muchas otras.
1. Cree los siguientes usuarios y grupos en Windows Server 2008 (También aplica
para sistemas operativos Windows XP, Windows Server 2003, Windows Vista y
Windows 7)
o carlos
o manuel
: Timers
o bruno
o benji
NOTA: Cada usuario creado deberá cambiar su password al siguiente inicio de sesión
Abrir el Administrador de Servidor
Procedimiento para llegar a al Administrador del servidor ruta
Inicio>Equipo>Administrar : desplegar el menucontextual de Equipo seleccionar
Administrar
Desde el administrador del servidor vamos a configuración expadir el directorio
desde el árbol representado por el signo + y luego a la opción usuarios y grupos
locales expandir el árbol de directorios seleccionar Usuarios .
damos click derecho sobre usuarios y seleccionamos añadir usuario.
Ingresamos el nombre de cada usuario ya descriptos
Ingresamos la contraseña correspondiente para cada usuario
la opción que esta seleccionada (el usuario debe cambiar la contraseña en el
siguiente inicio de sesión) cumple con el requerimiento de este punto 1.
La habilitamos, Repetimos este mismo procedimiento para crear todos los usuarios
que
faltan
(Manuel,
bruno
y
benji).
Creamos los Grupos Killers y Timers
No ubicamos sobre la carpeta de grupos en el árbol de directorios usuarios y grupos
Clic derecho seleccionamos en la opción "agregar grupos"
Ponemos el nombre del grupo y en la opción "agregar" adicionamos los usuarios.
Como se indica en la siguientes imágenes este proceso repite para el otro
grupoTimers
Aquí vemos el primer grupo creado
2. Implemente las siguiente políticas o directivas locales:
Directivas de configuración de equipo: con este comando ingresamos para crear las
políticas o dierectivas
•La vigencia máxima de la contraseña para todos los usuarios de la máquina será de
15 días
vamos a inicio/ejecutar y escribimos gpedit.msc para configurar estas políticas
En la ruta directiva de equipo local/configuración del equipo/configuración de
windows/configuracion de seguridad/directivas de cuenta.
configuramos la vigencia de la contraseña, en este caso 15 dias.
•Las contraseñas deben cumplir con los requisitos de complejidad por defecto de
Windows server ¿Cuáles son estos requerimientos?
*Debe tener letras en mayusculas y minusculas.
*Debe contener numeros (0-9).
*Debe contener caracteres especiales (%#?).
*No puede contener parte del nombre del usuario.
*Debe tener como mínimo 6 caracteres.
•Los usuarios que requieran cambiar su contraseña no podrán usar un password que
se haya usado antes por lo menos desde los 2 últimos cambios.
En la ruta directiva de equipo local/configuración del equipo/configuración de
windows/configuración de seguridad/directivas de cuenta.
En esta ruta anterior escogemos la opción exigir historial de contraseñas y
seleccionamos en el número de días en este caso 2
•Los usuarios del grupo Killers pueden apagar la máquina una vez hayan iniciado
sesión, pero los usuarios del grupo ventas no podrán apagar el equipo (Desde el
sistema operativo)
•Los usuarios del grupo Timers podrán cambiar la hora de la máquina local En la
misma ruta anterior opción cambiar la zona horaria, seleccionamos los usuarios de
timers y damos aceptar.
•Todos los usuarios tendrán las siguientes restricciones al usar el navegador
Internet Explorer:
No podrán eliminar el historial de navegación
En esta ruta directiva del equipo local/configuracion del equipo/plantillas
administrativas/componentes de windows/internet explorer.
Seleccionamos desactivar la funcionalidad "eliminar el historial de exploración" y la
habilitamos.
No se permitirá el cambio de proxy ya que todos los usuarios usarán el mismo proxy
(172.20.49.51:80)
Todos los usuarios usarán el mismo proxy (172.20.49.51:80)
Para esto vamos a pararnos sobre esta ruta directiva del equipo local/configuracion
de
usuario/configuracion
de
windows/mantenimiento
de
internet
explorer/conexion.
Seleccionamos configuración de los servidores proxy, la habilitamos e ingresamos la
dirección del proxy
Configuración del historial deshabiltada
Desde la ruta directiva del equipo local/configuracion del equipo/plantillas
administrativas/componentes de windows/internet explorer. Buscamos la opcion
deshabilitar la configuracion del historial, la habilitamos .
No permitir el cambio de las directivas de seguridad del navegador.
Desde la misma ruta anterior buscamos la opcion zonas de seguridad: no permitir
que los usuario cambien las directivas, la habilitamos y damos aceptar.
•Desactivar la ventana emergente de reproducción automática
En la ruta directiva del equipo local/configuracion del equipo/plantillas
administrativas/componentes de windows/directivas de reproduccion automatica.
Habilitamos la opcion.
•No permitir el apagado remoto de la máquina
Desde la ruta directiva de equipo local/configuracion del equipo/plantillas
administrativas/componentes
de
windows/opciones
de
apagado.
En las propiedades de desactivar interfaz de apagado remoto heredado, habilitamos
esta opcion.
•Aplicar cuotas de 50MB para todos los usuarios locales y remotos (Esta es un cuota
muy baja y es usada solo para fines académicos) En la ruta directiva de equipo
local/configuracion del equipo/plantillas administrativas/sistema/cuotas de disco,
habilitamos
esta
opcion.
Directivas de configuración de usuario:
•La página principal que se cargará para cada usuario cuando abra su navegador
será: http://www.sudominio.com (Página institucional de su empresa)
En la ruta directiva de equipo local/configuración de usuario/configuración de
windows/mantenimiento de Internet explorer/direcciones URL.
Habilitamos personalizar URL de la pagina principal e ingresamos la pagina en este
caso estableci con www.microsoft.com o bien puede ser otra
•El servidor proxy para todos los usuarios locales será 172.20.49.51:80
Deberemos entrara a el editor de directivas de grupo local,para entra aquí
deberemos ejecutar gpedit.msc.
*Editor de directivas de grupo local.
*Configuración de usuario.
*Configuración de Windows.
*Mantenimiento de internet explore.
*Direcciones url.
*Direciones url importantes
En el mismo mantenimiento de internet explorer buscamos conexión, configuracio de
los servidores proxy, chuliamos la casilla habilitar la configuracion de proxy y en este
caso solo dirigimos la opcion http con la direcion de proxy con su puerto y aceptamos
•Restringir desde el navegador el acceso a los siguientes sitios: www.facebook.com
y www.youtube.com por URL, para todos los usuarios. El administrador será el único
con la contraseña de supervisor para el Asesor de Contenidos.
Ingresamos a zonas de seguridad y clasificacion de contenido/configuracion de
privacidad y seguridad/asesor de contenodo, y en la pestaña sitios aprobados,
ingresamos la direccion web de los sitios seguidos de la opcion nunca. La
contraseña de supervisor sena
Editor de directivas de grupo local.
*Configuración de usuario.
*Configuración de Windows.
*Mantenimiento de internet explore.
*Seguridad.
*Zona de seguridad clasificada.
*Clasificación de contenidos seleccionamos importar la configuración actual de
contenido.
*Seleccionamos la ficha sitios aprobados
•Ocultar la unidad C:\ (NOTA: Esto no restringirá el acceso a dicha unidad)
Desde
directiva
equipo
local/configuracion
de
usuario/plantillas
administrativas/componentes de windows/explorador de windows.
Seleccionamos la unidad que queremos ocultar en este caso la C:\
•Ocultar la menú opciones de carpeta del menú de herramientas. Esto con el fin de
que los usuarios no puedan ver archivos ocultos o cambiar algunas configuraciones
de las carpetas.
Desde la misma ruta seleccionamos la opcion quitar el menu opciones de la carpeta
menu herramientas. Habilitamos y damos aceptar.
•Restringir el acceso a la unidad E:\ desde mi PC
Directiva Equipo local-configuracion de ususario-plantillas administrativascomponenetes de Windows-explorador de Windows-ocultar estas unidades
especificadas en mi PC
•Limitar el tamaño de la papelera de reciclaje a 100MB
Desde la misma ruta seleccionamos la opcion tamaño maximo permitido de la
papelera de reciclaje, habilitamos y aceptamos.
•No permitir que se ejecute Messenger
Desde la ruta directiva equipo local/configuracion de usuario/plantillas
administrativas/componentes de windows/windows messenger.
Habilitamos la opcion no permitir que se ejecute windows messenger
•Ocultar todos los elementos del escritorio para todos los usuarios.
Desde la ruta directiva de equipo local/configuracion de usuario/plantillas
administrativas/escritorio, opcion ocultar y deshabilitar todos los elementos del
escritorio, habilitamos la opcion y damos aceptar.
•Bloquear la barra de tareas
Desde directiva de equipo local/configuracion de usuario/plantillas
administrativas/componentes de windows/menu inicion y barra de tareas, opcion
bloquear la barra de tareas, habilitamos y damos aceptar
•Prohibir el acceso del Lecto-escritura a cualquier medio de almacenamiento
extraible. Desde directiva de equipo local/configuracion de usuario/plantillas
administrativas/sistema/acceso de almacenamiento extraible. Habilitamos discos
extraible: denegar acceso de lectura
Denegar permiso de escritura
EVIDENCIAS A PRESENTAR:
1. Publicación en el Blog con el procedimiento para aplicar cada una de las directivas
de grupo (GPO) locales.