Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Was ist neu bei Gruppenrichtlinien? 197
Was ist neu bei Gruppenrichtlinien?
Windows Server 2008 und Windows Vista führen einige wichtige Verbesserungen an der
Verwaltung der Gruppenrichtlinien und der Elemente ein, die über Gruppenrichtlinien konfiguriert
werden können. Sehen wir uns zuerst einige dieser Verwaltungsverbesserungen an,
anschließend befassen wir uns damit, welche Richtlinienverbesserungen es im Bereich der
Sicherheitskonfigurationsverwaltung gibt.
Gruppenrichtliniendienst
Die erste Änderung an der Gruppenrichtlinieninfrastruktur ist für Administratoren kaum zu
sehen. Vor Windows Vista und Windows Server 2008 lief das Gruppenrichtlinienmodul
innerhalb des vertrauenswürdigen Winlogon-Prozesses in Windows. Das war damals sinnvoll,
verursachte aber auch einige Probleme. Vor allem liefen auch CSEs (Client Side Extension)
von Microsoft oder Fremdherstellern in diesem Prozess. Und falls Bugs in diesen
CSEs auftraten, konnten sie dazu führen, dass Windows nicht mehr reagierte. In Windows
Vista und Windows Server 2008 verlegte Microsoft das Gruppenrichtlinienmodul aus Winlogon
in den Gruppenrichtlinienclientdienst, der unter dem Svchost.exe-Prozess ausgeführt
wird. Dieser Prozess kann allerdings nicht von einem Administrator beendet oder gestartet
werden, zumindest nicht ohne Weiteres. Der Dienst ist gehärtet, um die Chancen zu verbessern,
dass er immer läuft, während Windows ausgeführt wird. Und weil der Dienst nicht
mehr in Winlogon läuft, bringen fehlerhafte CSEs nur den Dienst zum Absturz, nicht das
gesamte Betriebssystem.
ADMX-Vorlagen und der zentrale Speicher
In Windows-Versionen vor Windows Vista und Windows Server 2008 wurden Einstellungen
im Zweig Administrative Vorlagen durch sprachspezifische ADM-Vorlagendateien gesteuert.
Diese Dateien wurden von Microsoft zur Verfügung gestellt, Administratoren können aber
auch eigene erstellen. Die Syntax dieser Dateien war proprietär, und die Texte, die im Gruppenrichtlinien-Editor
angezeigt wurden, wurden in derselben ADM-Datei gespeichert, die
auch die Registrierungsposition für eine bestimmte Bindung definierte. Außerdem umfasste
jedes GPO einen Satz von ADM-Dateien innerhalb des SYSVOL-Abschnitt des GPOs, die
sogenannte GPT (Group Policy Template, Gruppenrichtlinien-Vorlage). Diese ADM-Dateien
waren im Allgemeinen bei allen GPOs in einer Domäne identisch, aber trotzdem wurden sie
überflüssigerweise auf alle Domänencontroller in der Domäne repliziert.
Mit Windows Vista und Windows Server 2008 führte Microsoft die neuen ADMX- und
ADML-Dateiformate ein. Die ADMX-Datei enthält eine neue XML-basierte Syntax, mit der
Richtlinien für Administrative Vorlagen beschrieben werden. Jeder ADMX-Datei ist eine
ADML-Datei zugeordnet, die sprachspezifische Zeichenfolgen für diesen Satz von Richtlinieneinstellungen
enthält. Indem die Richtlinienelemente von den Anzeigetexten getrennt
wurden, hat Microsoft es Administratoren, die internationale Windows Vista- oder Windows
Server 2008-Versionen verwenden, einfacher gemacht, die Richtlinien in Administrative
Vorlagen in ihrer jeweiligen Sprache zu verwalten.
Die neuen ADMX- und ADML-Dateien nutzen auch ein anderes Speicherungsmodell als
ihre Vorgängerversionen. ADMX- und ADML-Dateien werden von Microsoft standardmäßig
mitgeliefert, sie befinden sich bei einer Windows Vista- oder Windows Server 2008-
Standardinstallation im Ordner %WinDir%\policydefinitions (Abbildung 7.6).