Установка домена

Microsoft Windows Server 2003Доводы в пользу нескольких объектовЕсли вы измените объект политик по умолчанию (Default Domain Policy),то значения в нем уже не будут соответствовать настройкам по умолчаниюи его название потеряет смысл. Вернуться к исходным значениямбудет непросто, если не документировать тщательнейшим образом, чтоименно было изменено.Другая причина — гибкость управления. Вы могли бы создать отдельныйобъект для ограничения функциональности главного меню, отдельный —для ограничения рабочего стола и т.п. и применять некоторые из этих объектовна уровне подразделений, а другие — на уровне всего домена.17.3.4. Администраторские привилегиии как их не потерятьНастройка локальных администраторских привилегийКогда вы включаете компьютер под управлением Windows XP Professionalв домен, вам больше не обязательно знать пароль локального администратора,потому что теперь вы можете управлять этим компьютером какадминистратор домена. Это возможно благодаря тому, что группа DomainAdmins по умолчанию входит в локальную группу Administrators.Когда вы убираете компьютер из домена, группа Domain Admins излокальной группы Administrators удаляется. Но удалить ее можетвручную пользователь, если он знает пароль локального администратораили его доменная учетная запись тоже (индивидуально, а не благодарячленству в группах) входит в локальную группу Administrators. Дляадминистратора домена этот риск неприемлем, но, к счастью, применениеподходящей групповой политики позволяет свести его на нет.Другим применением для групповой политики, о которой пойдет речьв этом параграфе, является следующая задача. Допустим, вам нужно насотне рабочих станций под управлением Windows XP Professional добавитьв реестр, в ключ HKEY_LOCAL_MACHINE, некоторый подключ.Право на это действие есть у локальных администраторов, которыми выявляетесь благодаря членству в группе Domain Admin, но выполнять егосамому у вас нет времени. А если нанять на несколько дней контрактникадля выполнения этой работы, то пришлось бы раскрыть ему паролилокальных администраторов. Пришлось бы, если бы не было политикиГруппы с ограниченным доступом (ветвь Конфигурация компьютера\Конфигурация Windows\IIapaMeTpbi безопасности).Членами такой группы являются только те учетные записи и группы, которыевы явно укажете. Так, в группу локальных администраторов можно336