Det finnes en rekke innstillinger i Windows og programmer vi bruker, som påvirker utseende og hvordan programmene oppfører seg. Noen innstillinger er personlige, mens andre er knyttet til maskinen som brukes. Mange av disse innstillingene lagres i brukerprofiler som er en viktig del av brukermiljøet. Ved hjelp av Group Policy kan vi gjøre om på en mengde innstillinger som forandrer brukernes omgivelser. Påloggingsskript kan også benyttes til å påvirke brukermiljøet.
Profiler brukes for å tilpasse og lagre brukernes omgivelser. I en profil lagres for eksempel skrivebordet, Mine dokumenter og innstillinger i Windows. Også innstillinger fra forskjellige applikasjoner som Word, Excel, Internet Explorer og Windows Live Mail lagres her. Det er for eksempel i profilen vi finner favorittene og adresseboka.
Profiler kan enten lagres lokalt (Local Profiles) eller på en server (Roaming Profiles). Profiler gir oss flere fordeler:Når vi har brukere som logger seg på et Windows-nettverk, bruker vi ofte Roaming Profiles (roaming = omstreifende). Profilen til alle brukere er da lagret på serveren, og brukerne kan logge på alle PCer som er medlem av domenet vårt, og få sin egen profil.
Når en bruker med Roaming Profiles logger seg på, vil hele profilen bli kopiert fra nettet til harddisken på den lokale PCen (normalt til C:\Users). Når brukeren logger seg av, blir eventuelle endringer i profilen kopiert tilbake til profilen på nettet. Profilen blir også liggende på den lokale harddisken, slik at ikke hele profilen må kopieres over neste gang brukeren logger seg på den samme maskinen.
Når vi oppretter en bruker, må vi fortelle hvor profilen til brukeren skal plasseres. Vi kan enten legge profilen i en mappe på brukerens hjemmeområde, eller vi kan lage en egen deling (et share) for profiler der alle brukerne får hver sin mappe for sin profil.
Det kan være noen ulemper med Roaming Profiles. I noen tilfeller kan profilen vokse seg så stor at det tar lang tid å logge seg inn på en ny PC. I andre tilfeller kan profilen bli ødelagt slik at brukeren får problemer med noen programmer.
C:\profil og del denne for Domain users med lesetilgang.Når rettighetene settes slik, vil alle brukerne ha rettigheter til å opprette en katalog for sin profil. Dette skjer automatisk første gang en bruker logger inn med Roaming Profile. Etter at katalogen for brukeren er opprettet, vil rettighetene til Creator Owner sørge for at kun brukeren har tilgang til sin katalog. Dette medfører at heller ikke Administrator har tilgang til brukernes profiler. For å endre dette kan man bruke Group Policien Computer Configuration → Policies → Administrative Templates → System → User Profiles → Add the administrators security group to roaming users profile.
\\server1.mittdomene.no\profile\%username%.Vi kan velge om brukerne i nettverket vårt skal ha lokale profiler eller nettverksprofiler (Roaming). Valg av profiltype kan variere ut fra bruksmønsteret i nettverket og hvilken programvare som brukes.
Her er noen punkter for valg av profiltype:Det er anbefalt å sette opp en Roaming Profile samtidig som man redirigerer flest mulig foldere fra profilen til hjemmeområdet.
Hvis det oppstår feil i en profil, kan det medføre at en bruker ikke får logget seg inn, eller at han eller hun ikke får utført enkelte oppgaver. Det kan også føre til problemer for brukerne hvis profilen blir så stor at det tar lang tid å logge seg inn. Det kan for eksempel skje hvis en bruker lagrer store dokumenter på skrivebordet eller i Mine dokumenter.
Her er noen tips til hvordan du kan løse eventuelle problemer i profiler:C:\users eller c:\brukere. Gå inn i registry og fjern referansen til brukerens profil fra HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList.Computer Configuration\Administrative Templates\System\Logon.Group Policy er et sett med regler som kan knyttes til grupper av maskiner eller brukere. Disse reglene kan brukes til å styre en rekke forskjellige innstillinger for brukere og maskiner. Group Policy (GP) er et kraftig verktøy for administrasjon av brukere og maskiner, men i og med at det har så mange innstillingsmuligheter, er det også en potensiell feilkilde. En stor fordel med GP er at vi kan endre innstillinger på en PC som en normal bruker uten administratortilgang ikke har rettigheter til å gjøre. Det vil si at vi istedenfor å gå rundt på alle maskiner og gjøre en endring, kan vi gjøre dette automatisk når en normal bruker logger inn ved hjelp av en GP-setting.
Her er de viktigste områdene vi kan bruke Group Policy på:Group Policy er nær knyttet til Active Directory. Det er derfor viktig at du kjenner til begrepene Domain (domene) og Organizational Unit (OU) før du tar i bruk Group Policy (se kapitlet om Active Directory).
Group Policy kan settes på følgende objekter:Vi kan ikke sette Group Policy på en sikkerhetsgruppe (se brukeradministrasjon). Gruppebegrepet i Group Policy har altså ingen sammenheng med sikkerhetsgrupper som Domain Users eller Domain Admins. Vi kan derimot sette policy på en OU og deretter sette at den kun skal gjelde for enkelte sikkerhetsgrupper (under Scope).
Vi kan heller ikke sette policy på standard OU-ene Builtin, Users og Computers (policy som er satt på domene, vil fungere). Vi bør flytte brukere og maskiner over i egne OU-er slik at vi har mulighet for å sette policy direkte på disse.
Vi har også noe som heter Local Group Policy. Alle Windows-arbeidsstasjoner (ikke Home-versjonene) har en Local Policy selv om de ikke er knyttet til et nettverk med Active Directory. Her er det et begrenset antall settinger. Når vi melder en maskin inn i et domene, er det ønskelig å styre alle policies fra serveren, så de lokale innstillingene er det da lite aktuelt å bruke.
Vi kan sette policy på flere nivåer. Hvis samme verdi er satt på forskjellige nivåer, vil den som settes sist, gjelde. Følgende rekkefølge gjelder:Vi kan ha flere OU-er under hverandre. I vårt eksempel kan vi sette policy på både Elever og Kull2018. Vi kan også ha flere policies på hvert OU. I og med at det er mulig å sette policy så mange steder, kan vi lett gå i surr når det gjelder hvilke rettigheter en maskin eller bruker ender opp med. Vi må derfor ha en plan for hvordan vi ønsker at Group Policy skal settes.
Her er noen tips i den forbindelse:De objektene det er vanligst å sette Group Policy på, er Domain og OU. Vi bruker verktøyet Group Policy Management i kombinasjon med Active Directory Users and Computers til dette formålet.
Vi ønsker å sette en policy på alle maskiner i elevenes maskinrom som hindrer at nye brukere får velkomstanimasjonen i Windows 10.
Sette policy på maskiner:Vi skal her gå igjennom noen flere eksempler på innstillingsmulighetene i Group Policy.
Vi ser at Group Policy er delt i to hoveddeler: Computer Configuration og User Configuration.
Det er viktig å være klar over at hvis vi lager en Group Policy på en OU som inneholder maskiner, er det kun innstillingene i Computer Configuration som vil bli benyttet, selv om valgene for User Configuration er tilgjengelige. Det motsatte gjelder hvis OU-en inneholder brukere.
Et av bruksområdene til Group Policy er muligheten til automatisk å installere programvare på arbeidsstasjonene. Vi kan knytte et program enten til brukere (User Configuration) eller maskiner (Computer Configuration). Et program kan enten installeres automatisk (Assignment) eller gjøres tilgjengelig slik at brukerne selv kan velge å installere det med funksjonen Add/Remove Programs i kontrollpanelet (Published).
Hvis vi legger ut et program ved å tildele det en bruker, vil det bli lagt snarveier til programmet i Start-menyen og på skrivebordet. Den første gangen brukeren forsøker å starte programmet eller åpne et dokument som hører til programmet, vil programmet bli installert. Hvis vi derimot tildeler en maskin programmet, blir det installert automatisk når maskinen startes.
Før vi kan bruke programvareinstallasjonen, må vi lage en deling som installasjonsfilene kan ligge i. Hvis vi tildeler et program til maskiner, så installeres dette før noen bruker logger inn. Vi må derfor sørge for at maskinen har tilgang til delingsområdet. Dette gjøres enklest ved å gi rettigheter for gruppen Everyone. Hvis man vil begrense tilgangen til området, kan man gi tilgang til gruppen Domain Computers. Velg Object Types.
Installasjon av programvare fra Group Policy baserer seg på at programmet har en installasjonsfil i msi-format (Microsoft Installer). Hvis vi ønsker å installere et program som ikke har noen msi-fil, er det mulig å lage en slik fil selv ved hjelp av egen programvare for dette.
\\server1.mittdomene.no og bla deg fram til Apps → Programpakker.Under Account Policies er det spesielt Password Policy og Account Lockout som er viktige. Her setter vi innstillinger som lengde på passord, hvor ofte det må byttes, hvor mange forsøk brukerne skal få ved feil passord før kontoen sperres, og lignende. Legg spesielt merke til følgende: Account Policies må settes på policyen som ligger på domenenivå (Default Domain Policy). Hvis vi setter Account Policies på OU-er, vil dette kun gjelde for lokale brukerkonti på arbeidsstasjonene i OU-en.
Under Local Policies kan vi styre brukernes rettigheter på de maskinene som dekkes av policyen. Vi kan for eksempel nekte enkelte brukere tilgang til disse maskinene (Deny logon locally) eller kontrollere hvem som skal få lov til å skru dem av (Shut down the system).
Ved å definere grupper under Restricted Groups kan vi styre hvem som er medlem av de lokale gruppene på hver enkelt PC. Dette kan typisk brukes til å gi enkelte brukere eller grupper lokale administratorrettigheter på enkelte maskiner.
Det er mulig automatisk å koble opp skrivere til brukere eller maskiner ved å legge til skriverne under Deployed Printers. For at dette skal fungere, må vi passe på at skriverne er delt og satt opp korrekt på serveren.
Med administrative maler kan vi sette registerinnstillinger (Registry) i Windows.
I Windows Components kan vi lage en del innstillinger for spesielle programmer. Hvilke valg som er tilgjengelige, er avhengig av om vi er under Computer Configuration eller User Configuration. Vi kan blant annet sette innstillinger for Internet Explorer, Windows Explorer og Windows Installer.
Under System kan vi stille inn forskjellige forhold på systemnivå. Vi kan for eksempel fjerne muligheten til å kjøre kommandoen Prompt eller Regedit. Under Logon finner vi innstillinger som har betydning for hva som skjer når en bruker logger seg på eller av.
Fra Control Panel kan vi styre hva brukerne skal ha tilgang til i kontrollpanelet. I Desktop og Start Menu & Taskbar kan vi bestemme hvordan disse menyene skal se ut, og hva som skal være tilgjengelig i dem.
Under Preferences kan vi sette en rekke utvidelser til Group Policy som ble introdusert sammen med Windows Server 2008. Ved hjelp av disse kan vi bl.a. koble opp nettverksstasjoner, legge til nye snarveier på desktop eller startmeny, endre registry og legge til lokale brukere. Disse funksjonene vil i mange tilfeller erstatte funksjoner vi ellers ville gjort i et logonskript.
\\server1.mittdomene.no\apps\notepad.gpresult /v fra kommandolinjen for å se hvilke policies som slår til for brukeren og maskinen.rsop.msc (eventuelt som administrator).gpresult /user brukernavn /v for å se resultatet for den brukeren man ønsker.gpresult /user brukernavn /h rapport.html for å få generert en rapport på html-format.Logon script er en kommandofil som kan kjøres når en bruker logger seg inn på nettverket. Vi kan ha forskjellige skript, både for grupper av brukere og for enkeltbrukere. En av de vanligste funksjonene i et påloggingsskript er oppkobling av logiske stasjoner til områder på en server (mapping).
Vi kan også foreta en del vedlikehold og tilpasninger på hver enkelt brukers arbeidsstasjon i påloggingsskriptet. For eksempel kan vi installere programvare, gjøre endringer i registeret og kopiere filer.
Etter at vi fikk Preferences-tilleggene i Group Policy, er logonscript ofte unødvendig å bruke.
Eksempel på et cmd påloggingsskript:@echo off
net use i: \\server1.mittdomene.no\apps
I Windows Server 2012 kan standard .cmd filer benyttes som påloggingsskript. Slike filer har begrensede muligheter når det gjelder å utføre avanserte kommandoer, så det kan være mer aktuelt å benytte Powershell.
Skript plasseres ofte i delingen netlogon (\WINDOWS\SYSVOL\domain\scripts) lokalt på serveren, men det er mer aktuelt å legge inn skript som en Group Policy (under Windows Settings på Computer eller User Configuration). Ved å bruke Group Policy blir det enklere å ha forskjellige skript for forskjellige typer brukere. Det er også mulig å lage skript som kjøres når en maskin starter opp eller skrus av, og når en bruker logger av.