Jak zainstalować i skonfigurować AGPM w systemie Windows Server 2016

Jedno z podstawowych zadań, które stale wykonujemy, gdy korzystamy Windows Server 2012 lub 2016 To jest kontrola wszystkie obiekty domeny, takie jak użytkownicy i zespoły i wiemy, że jednym z najbardziej praktycznych sposobów realizacji tego zadania jest użycie polityk grupowych, ponieważ pozwalają nam one centralnie zarządzać wszystkimi parametrami i wartościami tych obiektów.

Wraz z rozwojem systemów operacyjnych zmodyfikowano również zasady grupowe, a dziś mamy bardzo potężne narzędzie o nazwie AGPM że dzisiaj przeanalizujemy szczegółowo w środowisku Windows Server 2016.

Co to jest AGPMAGPM (Zaawansowane zarządzanie zasadami grupy - Zaawansowana administracja zasadami grupy) to aplikacja stworzona przez Microsoft, która daje nam możliwość przejęcia określonej kontroli nad politykami grupowymi w naszych domenach. Obecnie dostępna wersja AGPM to 4.0 i ma następujące zalety:

• Obsługuje Okna 10
• Obsługuje Windows PowerShell
• Aktualizacja aplikacji formularza bezpieczny i automatyczny
• Obsługuje WWindows Server 2012 R2 i Windows Server 2016

1. Warunki związane z AGPM

Istnieje kilka często używanych terminów na AGPM, to są:

Klient AGPMJest to komputer, na którym zainstalowaliśmy AGPM i z którego jako administratorzy możemy zarządzać politykami grupowymi.

Wtyczka AGPMTo jest wtyczka oprogramowania który jest instalowany w klientach AGPM w celu prawidłowego zarządzania.

Serwer AGPMTo serwer, na którym działa Usługa AGPM i zarządzać plikami.

Usługa AGPMJest to komponent oprogramowania, który działa na serwerze AGPM jako usługa.

ArchiwumW AGPM jest to magazyn, który zawiera Kontrolowane obiekty GPO który zarządza powiązanym serwerem AGPM.

Kontrolowany obiekt zasad grupyJest to obiekt GPO, który jest zarządzanie AGPM.

Niekontrolowany GPOTo jest GPO środowiska produkcyjnego AGPM nie kontroluje.

2. Wymagania do zainstalowania AGPM na Windows Server 2016

Musimy spełnić szereg wymagań dotyczących instalacji AGPM w Windows Server 2016, są to:

.NET Framework 4.5.1Możemy Pobierz to z poniższego linku:

.Net Framework 4.5

PowerShell 3.0Jeśli go nie masz, może być Rozładowany z poniższego linku:

PowerShell 3.0

GPMC (konsola zarządzania zasadami grupy - konsola zarządzania zasadami grupy)Domyślnie jest zainstalowany, ale w przypadku jego braku może być pobrany z poniższego linku:

GPMC

Mając na uwadze te wymagania, przystępujemy do instalacji AGPM w systemie Windows Server 2016.

3. Zainstaluj AGPM na Windows Server 2016

Microsoft zaleca, aby AGPM był instalowany na serwerze członkowskim domeny, ale nie na kontrolerze domeny, ale jeśli nie mamy więcej opcji, można go tam zainstalować.

Krok 1
AGPM można pobrać z poniższego linku.Pamiętaj, że AGPM wymaga grup do zarządzania usługą, więc zamierzamy Użytkownicy i komputery Active Directory i stworzymy odpowiednie grupy.

AGPM

Krok 2
Stworzyliśmy jednostkę organizacyjną o nazwie AGPM i tam musimy założyć konto do uruchomienia usługi AGPM, w tym celu stworzyliśmy następujące obiekty:

• AGPM Solvetic Użytkownik
• Włączamy tego użytkownika do grupy Właściciele twórców zasad grupy
• Do zadań zarządzania AGPM utworzono następujące grupy:
• Administratorzy AGPM
• Osoby zatwierdzające AGPM
• Redakcja AGPM
• Recenzenci AGPM

Krok 3
Po zdefiniowaniu grup i użytkowników przystępujemy do instalacji AGPM, uruchamiając plik agpm_403_server_amd64 jako administratorzy. Zostanie wyświetlony odpowiedni kreator instalacji.

Krok 4
W pewnym momencie instalacji musimy zdefiniować użytkownika usługi, z którym ma być wykonywana usługa AGPM, w tym momencie możemy utworzyć konkretnego użytkownika dla usługi lub jeśli jesteśmy na kontrolerze domeny tak jak ma to wybierz opcję System lokalny.

Krok 5
W następnym oknie wybierzemy konto, które będziesz posiadał całkowite uprawnienia O usłudze w tym miejscu dodajemy grupę AGPM Administrators, którą stworzyliśmy.

Krok 6
W kolejnym oknie konfigurujemy port, przez który AGPM będzie odbierał żądania klientów, zostawiamy ten, który jest domyślnie jest to 4600.

Krok 7
Później zdefiniujemy języki AGPM i zobaczymy, że możemy rozpocząć instalację naciskając przycisk Zainstalować.

Krok 8
Widzimy, że Proces instalacji AGPM i że po kilku sekundach instalacja zakończyła się pomyślnie.

4. Zainstaluj klienta AGPM na Windows Server 2016

Krok 1
Po zakończeniu procesu instalacji serwera AGPM, musimy zainstalować klienta, aby ukończyć całą strukturę AGPM. W tym celu uruchomimy plik jako administrator agpm_403_client_amd64.

Krok 2
Naciskamy Następny i podążamy za krokami kreatora i widzimy w momencie instalacji, że musimy zdefiniować serwer, który będzie pełnił funkcję AGPM.

Krok 3
Widzimy, że rozpoczyna się proces instalacji klienta AGPM. Po kilku sekundach instalacja wreszcie została pomyślnie zakończona.

5. Opcje konsoli AGPM

Jak widzimy, gdy zainstalowaliśmy zarówno serwer, jak i klienta AGPM, nie utworzono żadnego bezpośredniego dostępu ani nie dodano żadnej aplikacji jako takiej, ale zobaczymy zmiany odzwierciedlone w zarządzaniu zasadami grupy.

Krok 1
Aby uzyskać do nich dostęp, możemy skorzystać z dowolnej z następujących opcji:

• Użyj polecenia Uruchomić i wprowadź polecenie gpmc.msc, naciśnij enter.
• Wprowadź termin administracja w polu wyszukiwania systemu Windows Server i wybierz odpowiednią opcję.

Krok 2
Gdy administrator zostanie otwarty, zobaczymy następujące okno.

Krok 3
Pierwszą różnicą, jaką zauważymy w porównaniu z tradycyjnymi politykami grupowymi, jest moment wdrożenia naszej domeny, teraz zobaczymy nowy kontener o nazwie Zmień kontrolę.

Krok 4
Klikając na Zmień kontrolę widzimy następujące opcje.

Krok 5
Podstawowe opcje jakie mamy to:

ZawartośćZ tej zakładki możemy zarządzać kontrolowanymi lub niekontrolowanymi obiektami GPO.

Delegacja domenyZ tej lokalizacji definiujemy uprawnienia do przyznania do każdego użytkownika lub grupy użytkowników w domenie. W ten sam sposób możemy dodaj konto e-mail dzięki czemu w pewnym momencie, gdy nieautoryzowany użytkownik spróbuje uzyskać dostęp do serwera AGPM, zostaniemy powiadomieni o tej próbie.

Serwer AGPMPrzez tę zakładkę możemy przeglądać i edytować adres IP z serwera AGPM.

Delegacja produkcjiW tej zakładce możemy zobaczyć, którzy użytkownicy i grupy mają uprawnienia dostępu do środowiska produkcyjnego AGPM.

6. Podstawowe zadania w AGPM

Przejęcie kontroli nad obiektami GPOJednym z podstawowych zadań, jakie mamy podczas korzystania z AGPM, jest możliwość posiadania kontrola tych GPO, które są obecnie niekontrolowane, pamiętaj, że niekontrolowany obiekt zasad grupy to taki, który znajduje się w środowisku produkcyjnym, ale nie jest zarządzany przez AGPM.
W zakładce możemy przeglądać obiekty GPO bez kontroli Treść / Brak kontroli

Aby przejąć kontrolę nad tymi obiektami GPO, wybierzemy obiekty GPO, którymi chcemy sterować, a następnie klikniemy na nie prawym przyciskiem myszy i wybierzemy opcję Kontrola.

Po wybraniu opcji Kontrola widzimy następujący komunikat.

Naciskamy Akceptować i zobaczymy, że te GPO przejdą do zakładki W kratę.

Utwórz nowy kontrolowany obiekt zasad grupyAby utworzyć obiekt GPO kontrolowany od podstaw musimy kliknąć prawym przyciskiem myszy Zmień kontrolę i wybierz opcję Nowy kontrolowany obiekt GPO.

Zobaczymy następujący kreator, w którym przypiszemy nazwę do kontrolowanego obiektu GPO.

Naciskamy Akceptować i zobaczymy nasz GPO utworzony poprawnie i będziemy mogli zwizualizować różne opcje po dwukrotnym kliknięciu GPO.

POWIĘKSZAĆ

Dodaj użytkowników, aby kontrolować obiekty zasad grupyJednym z zadań, które może być wymagane, jest: dodaj nowego użytkownika lub grupę bezpośrednio od AGPM, a w tym celu wykonamy następujące czynności:

Z okna Zawartość wybieramy opcję Dodać znajduje się na dole i wyświetli się następujące okno, w którym musimy zlokalizować użytkownika lub grupę do dodania.

Naciskamy Akceptować i wyświetli się następujące okno, w którym musimy zdefiniować typ roli które użytkownik lub grupa spełni. Po zdefiniowaniu roli kliknij Akceptować.

Widzimy, że użytkownik został pomyślnie dodany.

Edytuj kontrolowany obiekt zasad grupyByć może jednym z najciekawszych aspektów AGPM jest bezpieczeństwo podczas edycji kontrolowanego obiektu zasad grupy. Aby edytować kontrolowany obiekt GPO musimy podać kliknij prawym przyciskiem myszy na GPO i wybierz Edytować ale zobaczymy następującą opcję Edytować jest domyślnie wyłączone.

Aby włączyć edycję kontrolowanego obiektu GPO, musimy kliknąć przycisk Sprawdzić i pojawi się następujące okno, w którym musimy wyjaśnić, dlaczego obiekt GPO nie jest chroniony.

Naciskamy Akceptować i rozpocznie się proces wymeldowania.

Teraz, jeśli ponownie klikniemy prawym przyciskiem myszy na GPO, zobaczymy, że jego edycja została włączona. (Stan niezabezpieczony).

Jeśli klikniemy Edytować Będziemy mogli dokonać niezbędnych zmian w GPO. Po zakończeniu zmian możemy nacisnąć przycisk Chroń, aby uniknąć edycji.

Jak widzimy z AGPM mamy pod ręką potężne narzędzie do scentralizowana administracja wszystkich GPO organizacji i mieć bardziej szczegółową kontrolę nad ich dostępami i uprawnieniami. Aby dowiedzieć się więcej o AGPM, odwiedź poniższy link.

Dokumentacja AGPM