Group Policy ‎‏ در ويندوز سرور 2008 و ويندوز7(1)

با عرضه Windows Server 2008 تنظيمات خط مشي گروه نيز توسط شرکت مايکروسافت ارائه شد، يک مجموعه با بيش از 20 خط مشي توسعه يافته که در گستره تنظيماتي که قابليت آن را دارند که پيکربندي آنها را تغيير داد، در درون يک GPO توسعه يافته اند.
(يادداشت مترجم:1- تنظيمات خط مشي گروه يا همان Group Policy Preferences عبارتند از تنظيمات گسترده اي از خط مشي هاي گروه که پيش از اين آن ها را با عنوان PolicyMakers مي شناختيم. مايکروسافت پس از خريد PolicyMarkers آنها را با Windows Server 2008 يکپارچه نمود. مايکروسافت همچنين ابزار انتقال (Migration tools) را عرضه نموده است که اين امکان را فراهم نمود تا کاربر از بخش هاي Policy Markers به تنظيمات خط مشي گروه انتقال يابد. 2- GPO مخفف عبارت Group Policy Objects مي باشد و عبارت ست از مجموعه اي از تنظيمات که آنچه يک سيستم به آن شبيه خواهد بود را مشخص مي کنند واينکه اين سيستم براي يک گروه معين از کاربران چگونه رفتار خواهد کرد را نشان مي دهد)
در راستاي انتشار اين خط مشي هاي جالب، ممکن است شما انتظار ويژگي هاي جديد خط مشي گروه يک سرشت مشابه در Windows Server 2008 R2 و Windows 7 را داشته باشيد. متاسفانه بيشتر آنچه را که شما خواهيد ديد و من در اين مقاله در مورد آنها صحبت خواهم کرد، صرفاً يک پيشرفت و ترقي افزاينده نسبت به مدل قبلي است نه يک تغيير شگرف و اساسي.
بنابرآنچه که گفته شد، مايکروسافت موفق شد با برداشتن اولين گام آزمايشي در جهت مديريت خط مشي گروه بصورت خودکار با استفاده از PowerShell، يک تغيير اساسي در Windows Server 2008 R2 و Windows 7 ايجاد نمايد. باقي بخش هاي جديدي که در آخرين نسخه ارائه شده ويندوز خواهيد يافت صرفاً بروز شده بخش هاي خط مشي موجود، برخي مولفه هاي اضافي ويندوز تحت مديريت خط مشي گروه، و بعضي از گسترش ها در ناحيه تنظيمات خط مشي گروه مي باشد. اجازه دهيد کمي عميق تر به اين تغييرات نظر افکنيم.

تغييرات قالب اجرايي (Administrative Template Changes)
 

داغ ترين خبر در زمينه قالب هاي اجرايي، يا خط مشي ثبت (registry policy)، هنگامي که Windows Vista به بازار عرضه شد، منتشرگرديد. با Windows Vista مايکروسافت يک فرمت ADMX و مرکز ذخيره سازي اطلاعات جديد را معرفي نمود. فرمت ADMX يک پشتيبان چندزبانه بهتري را فراهم نمود، مرکز ذخيره سازي اطلاعات فايل هاي قديمي ADM خارج از بخش SYSVOL هر GPO را در بر داشت. با Windows Server 2008 R2 و Windows 7 بزرگترين تغيير در اين ناحيه عبارت است از تنظيمات قالب هاي اجرايي (Administrative Templates) که در اين حوزه بيش از 300 تغيير را شاهد هستيم.
اين تنظيمات گروهي از ويژگي هاي جديد Windows Server 2008 R2 و همچنين Windows 7 را پوشش مي دهند ( يعني خط مشي هايي به منظور کنترل عناصر UI جديد بويژه براي هر پايگاه Platform). شما يک ليست کامل از قالب هاي اجرايي و تنظيمات خط مشي امنيتي در فرمت Excel در "مرجع تنظيمات خط مشي گروه براي Windows و Windows Server" مايکروسافت را پيدا خواهيد کرد.
(www.microsoft.com/downloads/details.aspx?displaylang=en&family ID=18c90c80-8boa-a4f5-ff24cc2030fb)

يکي از تغييرات ظريف قالب هاي اجرايي عبارت است از طرح اصلاح شده ADMX که اکنون دو مقدار جديد رجيستري زير را پشتيباني مي کند:
REG_MULTI_SZ و REG_QWORD.
قبلاً شما نمي توانستيد از قالب هاي اجرايي اين دو مقدار را تغيير دهيد. انتخاب شما براي اين مقادير از طريق registry scripts انجام مي شد يا با استفاده از تنظيمات خط مشي گروه الحاقات رجيستري شما قادر بوديد اين مقادير را بر روي ماشين هاي سرويس گيرنده بدست آوريد. اکنون اين مقادير در ترکيب ADMX پشتيباني مي شوند، و شما مي توانيد قالب هاي ADMX رايج را ايجاد نماييد که اين نوع جديد را پشتيباني مي کنند.
يکي ديگر تغييرات هوشمندانه قالب هاي اجرايي ارتقا UI مي باشد. در Server 2008 و Vista، مايکروسافت مفهوم توضيح تنظيمات قالب هاي اجرايي را ارائه نمود.اگر شما هر تنظيم خط مشي را انتخاب مي کرديد شما قادر بوديد به آن توضيحاتي اضافه نماييد. اين توضيحات و متون توضيحي پيشرفته که مطالب ارزنده اي را درخصوص اين تنظيمات در اختيار کاربر قرار مي داد، بصورت سه زبانه مجزا در درون ويرايشگر خط مشي گروه UI Group Policy Editor يا به اختصار GPE نمايش داده مي شدند. شايد اين امر موجب سردرگمي شما بين اين زبانه هنگام استفاده از آنها مي گرديد.
در Server 2008 R2 و Windows 7، اين سه عنصر بر روي يک پنجره نشان داده مي شوند که به شما کمک مي کند تا به سادگي آنها را ببينيد و ويرايش نماييد.

پشتيبان PowerShell
 

همان طور که پيشتر نيز به آن اشاره شد بزرگترين تغيير در اين نسخه عرضه شده از ويندوز اضافه شدن پشتيباني براي PowerShell در دنياي خط مشي گروه مي باشد. مايکروسافت برنامه پشتيباني را براي اجراي Scripts PowerShell در درون هر ماشين يا کاربر script Policy اضافه نمود و همچنين يک مجموعه 25 تايي از PowerShell cmdlets را براي PowerShell 2/0 فراهم کرد تا بيشتر عملياتي را که شما مي توانيد درون GPMC انجام دهيد، را پشتيباني نمايد.
(GPMC: Group Policy Management Console)
اجازه دهيد نگاهي به پشتيبان script policy جديد بياندازيم.
هنگاميکه شما يک startup script جديد يا logon script در GPE ايجاد مي نماييد، يک زبانه جديد را مشاهده خواهيد کرد. همان طور که در شکل 3 مي بينيد، شما اکنون Power Shell scripts به scripts policy خود اضافه نموده ايد و مي توانيد اين scripts را کنترل نماييد تا قبل يا بعد از non-PowerShell scripts اجرا شود. اما توجه کنيد که فقط در يک شبکه کاربراني که از خط مشي گروه Server 2008 R2 و Windows 7 استفاده مي کنند قادرند اين PowerShell جديد را که بر اساس script policies پايه ريزي شده اند را اجرا نمايند. در صورتي که آنها بر روي نسخه هاي قبلي ويندوزها عمل نمي کنند.
شايد جالب ترين ارتقاء در PowerShell را بايد در مجموعه cmdlets درون ماژول PowerSell 2/0 جديد براي خط مشي گروه جستجو نمود. اين cmdlets بيشتر توابع درون نمونه هاي GPMC، scripts را هم کاسه کردند. از اين PowerShell cmdlets شما مي توانيد خط مشي گروه مربوط به برنامه هاي اجرايي نظير را ايجاد نماييد، نظير ساخت GPOهاي جديد يا حذف GPO موجود، لينک نمودن GPOها به OUها يا دامنه ها (Domains)، و مجوز دوباره GPOها (Repermissoning GPO).
شکل (4) ليست کامل cmdlets که در يک ماژول جديد قرار گرفته اند را نشان مي دهد، اين ماژول جديد همان خط مشي گروه (Group Policy) است که داراي قابليت RSAT در Server 2008 R2 و Windows 7 مي باشد.
Remote Server Administration ToolS)‎ ‏)‏ ‏RSAT‏:اين ابزار امکان مديريت وظايف و خصيصه ها در Windows Server 2008 از راه دور را از طريق کامپيوتر ديگري که داراي Windows Vista با Service Pack1 يا حتي نسخه هاي قديمي تر Windows Vista مي باشد را براي بخش کنترلي سيستم (Administrator) فراهم مي نمايد.
توجه داشته باشيد که براي استفاده از ماژول خط مشي گروه، شما بايد PowerShell 2/0 را بر روي Server 2008 R2 و Windows 7 اجرا نماييد.
به منظور فراهم نمودن اين نوع GPMC PowerShell بر روي نسخه هاي قديمي تر Windows، يک مجموعه از GPMC PowerShell 1/0 cmdlets نوشته ام و آنها را بر روي وب سايتم قرار داده ام که شما مي توانيد آنها را به صورت رايگان از آدرس زير دانلود کنيد.
www.sdmsoftware.com/freeware
اجازه دهيد نگاهي به تواني که اين cmdlets براي ما مهيا مي سازند، بياندازيم. تصور کنيد شما مي خواهيد يک GPO در يک PowerShell scripts ايجاد/ اجازه دسترسي/ و لينک نماييد. خط دستوري زير تمام کاري را که سه cmdlet جديد و PowerShell انجام مي دهند به تنهايي قادر به انجام دادن مي باشد:
New-gpo "Marketing IT GPO"‎‏
Set-GPPermission-TargetName
‏‏Marketing Users" – TargetType Group‎ "
PermissionLevel 1 GPOEdit new-gplink‏-
Order 1-Target"OU=Marketing‎‏ -
DC=cpand 1, DC=com"‎‏‏"
در اين مثال از سه ‎New-GPO،Set-GPPermissions)cmdlet ‏و‎New_GPLINK)استفاده گرديده است که از اين cmdletها براي ايجاد GPOهائي که Marketing IT GPO ناميده مي شود سود جسته ايم، هدف از اين کار تغيير مجوزهاي GPO به منظور اعطاي حقوق گروه امنيت (Markting Users Active Directory AD) به ويرايش GPO مي باشد تا بتوان اين GPO را به Marketing OU در دامنه Active Directory cpandl.com لينک کرد. همه اين کارها در يک فرمان با استفاده از قابليت PowerShell pipelining براي فرستادن خروجي يک دستور به فرمان ديگر، انجام مي پذيرد. با بکارگيري PowerShell و ماژول Group Policy، فراهم نمودن وظايف مديريتي Group Policyهاي پيچيده تر را بر ما آسان مي کند.

تغييردادن Registry Policy با استفاده از PowerShell
 

توابع GPMC تمام آنچه که مايکروسافت در ماژول Group Policy قرار داده نيست. مايکروسافت همچنين پشتيبان پايه اي را براي تغيير يک زيرمجموعه کوچک از تنظيمات درون يک GPO اضافه نموده است. پيشتر آنچه را که مايکروسافت انجام داده، براي شما توصيف کردم، اکنون اجازه دهيد يک پيش زمينه اي را براي شما در اين مورد اين مبحث ايجاد کنم. در حال حاضر شما دو راه در Group Policy براي بيرون کشيدن مقادير رجيستري در پيش رو داريد. راه نخست، مديريت کردن تنظيمات رجيستري در Group Policy است که براي اين کار بايد از Administrative Templates Policy استفاده نمود.
Administrative Templates از فايل هاي Template, ADM يا ADMX، براي ساختن UI در GPE بهره مي برد که مقادير رجيستري که از طريق Group Policy قابل مديريت کردن مي باشند، را توصيف مي کند و آنها همچنين متني به عنوان Help ايجاد مي کنند که توضيحاتي در مورد آنچه که تنظيمات يک Policy قادر به انجام آن است را ارائه مي دهد. هنگامي که شما خط مشي ها (policies Administrative Templates) در GPE تنظيم مي کنيد، تنظيمات خط مشي که شما تعريف کرده ايد در درون بخش SYSVOL در GPO در يک فايل که registry.pol ناميده مي شود، ذخيره مي شود. اين فايل دستورالعمل ها براي مقادير رجيستري را که شما مايل به گسترش دادن در GPO هستيد را در خود نگه مي دارند. روش ديگر براي مديريت کردن مقادير رجيستري، بخش الحاقي رجيستري Group Policy preferences مي باشد.

اين روش نسبت به روشي که پيشتر در مورد آن صحبت کرديم يعني Administrative Templates policy، انعطاف پذيرتر مي باشد، و همچنين اين روش ويژگي هاي مورد نظر را که ناشي از Group Policy preferences مي باشند را دسته بندي مي نمايد. هر دو روش اين امکان را براي شما فراهم مي نمايند که تغييرات رجيستري را بصورت مرکزي مديريت کنيد، و هر روش قدرت مختص به خود را در اين زمينه دارا مي باشد.
آنچه که مايکروسافت در Server 2008 R2 و Windows 7 نسبت به نسخه پشتيبان PowerShell فراهم نموده است قابليت تغيير دادن تنظيمات GPO براي هر دو روش مذکور براي رجيستري، مي باشد. درمورد اول، شما اکنون اين cmdletها را در اختيار داريد:
Get-GPRegistryValue
Set-GPRegistryValue
Remove-GPRegistryValue cmdlets
و قادر به تغيير دادن فايل هاي اساسي registry.pol هستيد که مورد استفاده Administrative Templates Policy براي ذخيره سازي تنظيماتش ، مي باشد .مزيت استفاده از اين cmdlet براي تغيير دادن Administrative Templates policyآن است که شما احتياجي به ايجاد يک فايل رايج ADM به منظور تخصيص يک مقدار به يک مقدار رجيستري ويژه، نخواهيد داشت. زيرا اين cmdletها روي فايلهاي ADM يا ADMX قرار ندارند، اما در عوض به شما اجازه مي دهند مقادير رجيستري را در فايل ذخيره ساز اصلي قرار دهيد، شما مي توانيد به سرعت يک مقدار رجيستري را در يک GPO قرار دهيد. ضعف اين روش در آن است که اين روش براي مشخص کردن مقادير رجيستري مورد استفاده شما بدون تکيه بر فايل هاي ADM يا ADMX، اين کار را انجام مي دهد، شما بايد registry key و registry value اصلي را که مي خواهيد گسترش دهيد، بشناسيد. علاوه بر اين، اگر شما به يک GPO که از اين روش براي تشکيل يک registry Setting Policy استفاده مي کند نظري افکنيد- هيچ فايل ADM يا ADMX اساسي که اين تنظيمات را نشان دهد وجود ندارد- گزارش تنظيمات GPMC آنرا به صورت يک Extra Registry Setting نشان خواهد داد.
اگر GPE را ارتقاء دهيد، شما مقدار رجيستري را که به فايل registry.pol اعمال کرده بوديد را مشاهده نخواهيد کرد. پيدا است، کار کردن با اين روش با تعداد زيادي آيتم و بخش هاي گوناگون، بسيار گيج کننده خواهد بود. من پيشنهاد نمي کنم که با تکيه بر اين روش شما تغييراتي را در Administrative Templatesهاي خود ايجاد نماييد، اما براي کار با بخش هاي کم و به صورت محدود اين روش ممکن است کارآمد باشد.
دومين هدف PowerShell براي registry policy آن است که توانايي خواندن و تغيير دادن تنظيمات در Group Policy preferences الحاقات رجيستري را براي registry policy فراهم نمايد.
مايکروسافت اين cmdlet ها را براي اين منظور در نظر گرفته است.
Get-GPPrefRegistryValue
Set-GPPrefRegistryValue
Remove-GPPrefRegistryValue

اين سه cmdlet اين امکان را براي شما فراهم مي کنند که تنظيمات Group Policy preference جديد را مديريت کنيد ( توجه داشته باشيد که شما نمي توانيد از اين cmdletها براي تغيير خط مشي رجيستري Group Policy preference موجود، استفاده نماييد). براي نمونه، اجازه دهيد ببينيم چگونه شما مي توانيد از اين cmdletihها براي اضافه نمودن يک مقدار رجيستري جديد به تنظيمات رجيستري يک Group Policy preference استفاده نماييد. مثال زير دستوري است که ميزان صداي "بيپ" مربوط به موس را در يک GPO که Test ناميده مي شود، مشخص مي کند:
Set-GPPrefRegistryValue -Name Test
-Context User_Action Create-Key "H K E Y_C U R R E N T_ U S E R\C O N T R O L Panel
Mouse"-Valuename "Beep" – Value "Yes" – Type "String"‎‏
توجه کنيد که در اين دستور، شما بايد registry key, valuename, value را مشخص کنيد تا بتوانيد با موفقيت تنظيمات Group Policy preference را انجام دهيد. چيزي که اين cmdletها قادر به فراهم نمودن آن نمي باشند، امکان دست يابي به خصيصه هاي پيشرفته Group Policy preferences است، نظير بخش هايي که شما بر روي Common Tab و item-level targeting مي بينيد ( قابليت دسته بندي کردن تنظيمات مرجح هدف). اما cmdletها يک گام مناسب و يک شروع خوب در جهت فراهم نمودن Group Policy خودکار مي باشد.
منبع: بزرگراه رايانه، شماره ي 137 .