簡報題目

Size: px

Start display at page:

Download "簡報題目"

戒伊
4 years ago
Views:

1 政府組態基準 (GCB) 實作研習活動 ( 部署教學 ) 行政院國家資通安全會報技術服務中心

2 大綱群組原則說明 GCB 導入流程恢復原始設定之方式 SCM 操作說明調整 GCB 設定值 RHEL 5 組態設定方式問題與討論 1

3 群組原則說明 2

4 目的群組原則的基本說明 (1/2) 管理使用者和電腦的一般性功能與安全性管理軟體部署 Service Pack 修正程式應用程式強制實施安全性的設定確保有相同的操作介面 3

5 種類群組原則的基本說明 (2/2) 本機站台 (Site) 網域 (Domain) 組織單位 (OU) 對象電腦使用者來源群組原則物件 (GPO) 資料來源 : 微軟網站 4

6 群組原則的套用時機電腦設定電腦開機時使用者設定使用者登入時群組原則衝突處理電腦設定優於使用者設定 ( 以電腦設定為主 ) 更新的頻率 90~120 分鐘手動立即更新群組原則 gpupdate /force 5

7 電腦設定與使用者設定 Active Directory 使用者和電腦組織單位電腦使用者群組原則管理組織單位群組原則連結電腦電腦原則使用者使用者原則 6

8 群組原則的套用順序 7

9 群組原則的繼承型態繼承群組原則繼承上層的原則禁止繼承原則不繼承上層的原則禁止覆蓋不允許下層的原則覆蓋上層的原則應用在強制性的原則 GCB 群組原則建議使用強制避免被下層原則覆蓋 8

10 範例 1 互動式登入 : 在密碼到期前提示使用者變更密碼本機 :20 天網域 :19 天技術服務中心 :16 天主任室 : 無檢測評鑑組 :10 天 9

11 範例 2 互動式登入 : 在密碼到期前提示使用者變更密碼本機 :20 天網域 :19 天 ( 強制 ) 技術服務中心 :16 天主任室 : 無檢測評鑑組 :10 天 ( 強制 ) 10

12 GCB 導入流程 11

13 導入流程開始是是否透過 AD 進行導入否 GPO 檔匯入 GPO 至 AD 安裝 LocalGPO 程式 LocalGP O 程式將已匯入 GPO 的群組原則物件連結至組織單位 (OU) 使用 LocalGPO 程式匯入 GPO GPO 檔使用者電腦登入網域, 套用群組原則使用者電腦重新開機, 套用群組原則結束 12

14 GPO 檔說明 Windows Server 2008 R2 Domain Security( 網域帳戶原則 ) Domain Controller Security( 網域主控站電腦設定原則 ) IE 11 Internet Explorer 11 Computer Settings ( 電腦設定管理 ) Internet Explorer 11 User Settings ( 使用者設定管理 ) 13

15 使用 AD 導入 GCB 方式開始是是否透過 AD 進行導入否 GPO 檔匯入 GPO 至 AD 安裝 LocalGPO 程式 LocalGP O 程式將已匯入 GPO 的群組原則物件連結至組織單位 (OU) 使用 LocalGPO 程式匯入 GPO GPO 檔使用者電腦登入網域, 套用群組原則使用者電腦重新開機, 套用群組原則結束 14

16 匯入 GPO 至 AD(1/10) 點擊開始所有程式系統管理工具群組原則管理 15

17 匯入 GPO 至 AD(2/10) 在群組原則物件節點按滑鼠右鍵選擇新增在名稱欄位中輸入群組原則物件的名稱 16

18 匯入 GPO 至 AD(3/10) 點選此新建的群組原則物件選擇匯入設定值 17

19 匯入 GPO 至 AD(4/10) 在歡迎使用匯入設定精靈頁面, 點選下一步 18

20 匯入 GPO 至 AD(5/10) 在備份 GPO 頁面, 點選下一步 19

21 匯入 GPO 至 AD(6/10) 在備份位置頁面, 選取放置 GPO 的資料夾, 然後點選下一步 20

22 匯入 GPO 至 AD(7/10) 在來源 GPO 頁面中選取欲匯入的 GPO, 然後點選下一步 21

23 匯入 GPO 至 AD(8/10) 在掃描備份頁面點選下一步 22

24 匯入 GPO 至 AD(9/10) 在正在完成匯入設定頁面, 點選完成 23

25 匯入 GPO 至 AD(10/10) 在匯入進度的頁面, 點選確定完成匯入 GPO 至群組原則物件中 24

26 將群組原則物件連結至 OU 將已匯入 GPO 的群組原則物件連結至組織單位 (OU), 完成部署作業使用者電腦登入網域後, 即可套用 GCB 設定 25

27 本機逐台導入 GCB 方式開始是是否透過 AD 進行導入否 GPO 檔匯入 GPO 至 AD 安裝 LocalGPO 程式 LocalGP O 程式將已匯入 GPO 的群組原則物件連結至組織單位 (OU) 使用 LocalGPO 程式匯入 GPO GPO 檔使用者電腦登入網域, 套用群組原則使用者電腦重新開機, 套用群組原則結束 26

28 安裝 LocalGPO 程式 (1/8) 執行 LocalGPO 安裝檔 27

29 安裝 LocalGPO 程式 (2/8) 點選 Next 28

30 安裝 LocalGPO 程式 (3/8) 接受授權協議後, 點選 Next 29

31 安裝 LocalGPO 程式 (4/8) 確認安裝路徑後, 點選 Next 30

32 安裝 LocalGPO 程式 (5/8) 點選 Install 開始進行安裝 31

33 安裝 LocalGPO 程式 (6/8) 點選是, 允許安裝 LocalGPO 在這部電腦上 32

34 安裝 LocalGPO 程式 (7/8) 點選 Finish 完成安裝作業 33

$C:\Program Files\LocalGPO 34$

35 安裝 LocalGPO 程式 (8/8) 安裝檔案放置於 C:\Program Files\LocalGPO 34

36 使用 LocalGPO 程式匯入 GPO(1/3) 複製放置 GPO 的完整目錄路徑 35

37 使用 LocalGPO 程式匯入 GPO(2/3) 點選 LocalGPO Command-line, 點選右鍵選擇以系統管理員身分執行 36

38 使用 LocalGPO 程式匯入 GPO(3/3) 在 LocalGPO 工具的目錄下執行 cscript LocalGPO.wsf /path:< 放置 GPO 的完整目錄路徑 > 重複上一步驟, 匯完所有的 GPO 後, 必須重新開機 37

39 檢查 GPO 套用狀況之方式 38

40 使用 RSOP 檢查群組原則在 AD 環境下, 以系統管理員身分執行命令提示字元, 在本機使用 Rsop.msc 指令 39

41 使用 Gpresult 檢查群組原則在 AD 環境下, 以系統管理員身分執行命令提示字元, 在本機使用 Gpresult 指令 40

42 使用 Gpedit.msc 檢查群組原則在單機環境下, 以系統管理員身分執行命令提示字元, 在本機使用 Gpedit.msc 指令 41

43 恢復原始設定之方式 42

44 AD 環境下恢復原始設定方式在欲取消連結的 GPO 上按一下滑鼠右鍵, 再點選 [ 刪除 ], 即可將群組原則物件自 OU 中移除使用者電腦重新登入網域後, 即可恢復原始設定按一下滑鼠右鍵, 再點選 [ 刪除 ] 43

45 本機恢復原始設定之方式 (1/2) 點選 LocalGPO Command-line, 點選右鍵選擇以系統管理員身分執行 44

46 本機恢復原始設定之方式 (2/2) 在 LocalGPO 工具的目錄下執行 cscript LocalGPO.wsf /Restore 重新開機後即可恢復原始設定 45

47 SCM 安裝及操作說明 46

48 安裝 SCM(1/10) 需先安裝 Microsoft.NET Framework 4 下載網址 : 47

49 安裝 SCM(2/10) 下載 SCM( 目前版本為 3.0): Omsi-Excellent-MS-2593b2eb 48

50 安裝 SCM(3/10) 按滑鼠右鍵選擇以系統管理員身分執行 Security_Compliance_Manager_Setup.exe 49

51 安裝 SCM(4/10) 在 Welcome to the Security Compliance Manager Setup 頁面, 點選 Next 50

52 安裝 SCM(5/10) 在 License Agreement 頁面選取 I accept the terms of the license agreement 並點選 Next 51

53 安裝 SCM(6/10) 在 Installation Folder 頁面, 選擇要安裝的 Folder, 然後點選 Next 52

54 安裝 SCM(7/10) 接下來會開始安裝 SQL Server 2008 Express, 請點選 Next 53

55 安裝 SCM(8/10) 在 License Agreement 頁面選取 I accept the terms of the license agreement 並點選 Next 54

56 安裝 SCM(9/10) SQL Server 2008 Express 安裝完成後, 在 Read to Install 頁面, 點選 Install 後進行 SCM 的安裝 55

57 安裝 SCM(10/10) 在 Installation Successful 的頁面點選 Finish 56

58 SCM 的基本功能匯入 / 匯出 GPO 檔比較 / 合併 GPO 檔複製 / 刪除 GPO 檔搜尋 / 新增 / 修改 / 刪除 GPO 設定值內容 57

59 匯入 GPO 檔 (1/2) 在行動窗格中選擇 Import GPO Backup (folder) 58

60 匯入 GPO 檔 (2/2) 在瀏覽資料夾中選擇要匯入的 GPO 目錄下之機碼資料夾, 並點選確定 SCM 會自動帶出 GPO 名稱, 點選 OK 即可匯入 59

61 匯出 GPO 檔 (1/2) 在 SCM 中點選欲匯出的 GPO 在行動窗格中選擇 Export GPO Backup folder 60

62 匯出 GPO 檔 (2/2) 建立一個新資料夾存放 GPO 按確定後, 會將所選擇的 GPO 匯出至指定的資料夾 61

63 合併 2 個 GPO 檔 (1/4) 選取第 1 個 GPO 檔, 在行動窗格中選擇 Baseline Compare/Merge 62

64 合併 2 個 GPO 檔 (2/4) 選取要合併的 GPO 檔, 並點選 OK 63

65 合併 2 個 GPO 檔 (3/4) 在 Compare Baselines 的視窗中, 會列出 2 個 GPO 異同之處, 確認無誤後請點選 Merge Baselines 64

66 合併 2 個 GPO 檔 (4/4) 最後請填入合併後的 GPO 名稱, 並點選 OK 完成合併 65

67 複製 GPO 檔 (1/2) 選取 1 個 SCM 原生 GPO 檔, 在行動窗格中選擇 Baseline Duplicate 66

68 複製 GPO 檔 (2/2) 對 GPO 檔重新命名與修改描述內容, 選取 Save 儲存 67

69 刪除 GPO 檔 (1/2) 選取 1 個 GPO 檔, 在行動窗格中選擇 Baseline Delete 68

70 刪除 GPO 檔 (2/2) 在確認視窗選取是刪除 GPO 檔 69

71 修改 GPO 設定值 (1/2) 由左視窗選擇 GPO 檔, 並在中間視窗的 Advanced View 以欄位或關鍵字尋找要修改的群組原則 70

72 修改 GPO 設定值 (2/2) 點選要修改的群組原則, 依需要調整設定值 71

73 調整 GCB 設定值 72

74 使用時機套用 GCB 後, 若發生系統異常或無法使用導致影響日常公務, 則可以視需求調整設定值並進行例外管理已知可能影響系統運作的群組原則 : ActiveX 可透過將網站加入信任網站或調整 ActiveX 控制項與外掛程式等例外管理方式處理密碼模組可透過調整 GPO 設定值並以例外管理方式處理 73

75 GCB 設定值調整步驟找出影響系統運作的群組原則變更群組原則設定值測試新設定值並確認障礙已排除部署調整後的 GPO 使用 AD 使用 SCM+LocalGPO 將調整的群組原則納入例外管理 74

76 調整與測試 GCB 設定值使用 gpedit.msc 在本機調整 GCB 設定值使用 gpupdate /force 立即更新群組原則測試新設定值是否可排除障礙 75

77 使用 AD 調整 GCB 76

78 使用 SCM+LocalGPO 調整 GCB 77

79 新增網站至信任的網站 78

80 執行步驟 (1/5) 執行 gpedit.msc, 啟動本機群組原則編輯器 79

81 執行步驟 (2/5) 電腦設定系統管理範本 Windows 元件 Internet Explorer 網際網路控制台安全性網頁指派網站到區域清單, 按右鍵, 點選編輯按右鍵, 點選編輯 80

82 執行步驟 (3/5) 確認狀態為已啟用點選顯示按鈕

83 執行步驟 (4/5) 值名稱欄位: 輸入欲加入到信任的網站的網址 ( 例如 :member.nat.gov.tw) 值欄位: 輸入 2 後, 按確定, 並關閉本機群組原則編輯器

84 執行步驟 (5/5) 啟用 cmd.exe, 執行 gpupdate /force, 更新群組原則設定後, 即完成將網站新增至信任的網站作業 83

85 RHEL 5 組態設定方式 84

86 RHEL 5 組態設定方式依照 RHEL 5 GCB 文件設定方法欄位進行設定 85

87 RHEL 5 組態設定實作 (1/2) /etc/group 檔案權限擁有者及群組依照技服中心公告文件設定方法欄位進行組態設定 86

88 RHEL 5 組態設定實作 (2/2) 依照技服中心公告文件檢測方法欄位進行組態設定檢查 87

89 問題與討論 88

90 報告完畢敬請指教

簡報題目

簡報題目政府組態基準 (GCB) 實作研習活動 ( 部署實務 ) 國家資通安全會報技術服務中心大綱群組原則說明 GCB 導入流程恢復原始設定之方式 SCM 操作說明調整 GCB 設定值問題與討論 1 群組原則說明目的群組原則的基本說明 (1/2) 管理使用者和電腦的一般性功能與安全性管理軟體部署 Service Pack 修正程式應用程式強制實施安全性的設定確保有相同的操作介面 3 種類