Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

204 Kapitel 7: Gruppenrichtlinien
Als letztes Feature möchte ich noch den neuen Knoten Alle Einstellungen erwähnen, den Sie
in Abbildung 7.10 unter dem Knoten Administrative Vorlagen sehen. Alle Einstellungen ist
praktisch eine lange Liste aller Richtlinien in Administrative Vorlagen, die innerhalb des
GPOs zur Verfügung stehen. Sie bietet eine andere (und in gewisser Weise simplere) Ansicht
der Tausenden von Einstellungen aus den Ordnern und Unterordnern in diesem Abschnitt
des Gruppenrichtlinien-Editors.
Wir haben jetzt die Grundlagen von Gruppenrichtlinien kennengelernt und erfahren, was in
Windows Server 2008 neu ist. Jetzt wollen wir uns einige der neuen Richtlinienbereiche
ansehen, die in Windows Server 2008 unterstützt werden. Dabei konzentrieren wir uns vor
allem auf die neuen Sicherheitsfeatures.
Erweiterte Verwaltungsmöglichkeiten für Sicherheitsrichtlinien
Windows Vista und Windows Server 2008 fügen nicht nur etliche neue Einstellungen zu
Administrative Vorlagen hinzu, sondern führen auch eine Reihe neuer CSEs (Client Side
Extensions) ein, mit denen viele Richtlinienbereiche verwaltet werden können. Aufgrund
des Themas dieses Buchs konzentrieren wir uns hier auf diejenigen, die mit Sicherheit zu
tun haben. Sie sollten aber wissen, dass Gruppenrichtlinien ein noch leistungsfähigeres
Werkzeug geworden sind, mit dem Sie die Konfiguration für die meisten Aspekte des Betriebssystems
zentral verwalten können.
Geräteeinschränkungen
Geräteinschränkungen werden in den meisten Organisationen dringend gebraucht. Wie sollen
Sie sonst verhindern, dass Ihre Benutzer USB-Flashlaufwerke und USB-Datensicherungsgeräte
mit in die Arbeit bringen und einen Stapel vertraulicher Informationen kopieren?
Die Gruppenrichtlinien in Windows Vista und Windows Server 2008 bieten eine Lösung: ein
Satz von Richtlinien im Knoten Administrative Vorlagen der Gruppenrichtlinien, mit denen
Sie zwei Kontrollstufen über solche Wechselmedien erhalten. Auf der ersten Stufe bekommen
Sie die Möglichkeit, die Installation von Gerätetreibern für alle Gerätklassen zu verhindern,
insbesondere für Wechselmediengeräte. Auf der zweiten Stufe können Sie den Zugriff
auf diese Medien steuern, sofern die Installation der Treiber erlaubt wurde. Diese zweite
Richtlinienstufe gibt Ihnen die Möglichkeit, schreibgeschützten oder Schreibzugriff auf
einen Wechseldatenträger zu erlauben, den der Benutzer installieren durfte.
Sehen wir uns zuerst die Geräteinstallationseinschränkungen an. Diese Richtlinien finden
Sie im Gruppenrichtlinien-Editor unter Computerkonfiguration\Administrative Vorlagen\
System\Geräteinstallation\Einschränkungen bei der Geräteinstallation. Innerhalb dieser
computerspezifischen Richtlinie können Sie Gerätesetupklassen definieren, deren Installation
erlaubt oder verboten ist. Oder Sie können ganz verbieten, dass irgendwelche Wechseldatenträgergeräte
installiert werden. Beachten Sie, dass dieser Richtlinienbereich verhindern
soll, dass überhaupt Gerätetreiber installiert werden. Falls bereits ein Gerätetreiber für ein
bestimmtes Gerät installiert ist, verhindert diese Richtlinie lediglich, dass dieser Treiber
später aktualisiert wird.