Лабораторная работа №11

Общий доступ к данным, безопасность и аудит

Просмотр имеющихся общих ресурсов

Вы можете просмотреть общие папки на локальном или удаленном компьютере.

1. В консоли Управление компьютером (Computer Management) подключитесь к нужному компьютеру.

2. В дереве консоли раскройте последовательно узлы Служебные программы (System Tools) и Общие папки (Shared Folders), затем выберите Общие ресурсы (Shares). Будут отображены текущие общие ресурсы системы (рис. 11.1).

Рис. 11.1. Список доступных ресурсов в узле Общие папки (Shared Folders)

В панели сведений содержится следующая информация:

• Общий ресурс (Share Name) — имя общей папки;

• Путь к папке (Folder Path) — полный путь к папке на локальной системе;

• Тип (Туре) — тип компьютера, который может использовать этот ресурс;

• Количество клиентских подключений (# Client Connections) — количество клиентов, имеющих доступ к ресурсу в данный момент;

• Описание (Share Description) — описание ресурса.

Примечание Запись «Windows» в столбце Тип (Туре) означает, что к ресурсу могут обращаться все клиенты Microsoft Windows, а также другие разрешенные клиенты, например пользователи Macintosh. Запись «Macintosh» означает, что к этому ресурсу имеют право обращаться только клиенты Macintosh.

Создание общих папок

В Microsoft Windows Server 2003 предусмотрено два способа предоставления общего доступа: к локальным папкам через Проводник (Windows Explorer) или к локальным и удаленным папкам через консоль Управление компьютером (Computer Management).

Консоль Управление компьютером (Computer Management) позволяет управлять общими ресурсами с любого компьютера сети. Для создания общих нанок на Windows Server 2003 вы должны быть членом группы Администраторы (Administrators) или Операторы сервера (Server Operators). Общая папка с помощью консоли Управление компьютером (Computer Management) создается так.

1. Щелкните правой кнопкой элемент Управление компьютером (Computer Management) в дереве консоли и выберите Подключиться к другому компьютеру (Connect to Another Computer). Укажите нужный компьютер.

2. В дереве консоли раскройте последовательно узлы Служебные программы (System Tools) и Общие папки (Shared Folders), а затем выберите Общие ресурсы (Shares). Отобразятся текущие общие ресурсы системы.

3. Щелкнув правой кнопкой элемент Общие ресурсы (Shares), выберите команду Новый общий ресурс (New Share). Откроется Мастер создания общих ресурсов (Share a Folder Wizard). Щелкните Далее (Next).

4. В поле Путь к папке (Folder Path) наберите полный локальный путь к папке, к которой хотите открыть доступ (рис. 11.2), например C:\Data\CorpDocuments. Если вы не знаете пути к папке, найдите ее с помощью кнопки Обзор (Browse). Щелкните Далее (Next).

Примечание Если путь не найден, мастер может создать его. Щелкните Да (Yes), когда появится предложение создать нужную папку.

Рис. 11.2. Мастер создания общих ресурсов (Share a Folder Wizard) позволяет создать новый общий ресурс на выбранном компьютере

5. Введите имя ресурса в поле Общий ресурс (Share Name). Это имя папки, по которому к ней будут обращаться пользователи сети. Имена ресурсов должны быть уникальными для каждой системы.

Совет Ресурс будет скрыт от пользователей сети, если его общее имя заканчивается символом $, например PrivEngData$. Такой ресурс не отображается при просмотре сети средствами Проводника (Windows Explorer), NET VIEW и других подобных утилит. Пользователь может подключиться к такому ресурсу, только зная его имя и обладая необходимыми полномочиями.

6. При желании введите описание ресурса. Впоследствии, когда вы будете просматривать общие ресурсы на каком-то компьютере, описание отобразится в консоли Управление компьютером (Computer Management).

7. По умолчанию ресурс настроен так, что для автономного использования доступны только файлы и программы, указанные пользователем. Чтоб разрешить автономное использование всех файлов и программ ресурса или, напротив, полностью запретить его, щелкните кнопку Изменить (Change) и задайте нужные параметры в диалоговом окне Настройка автономного режима (Offline Settings).

8. Щелкните Далее (Next), а затем настройте базовые разрешения доступа к ресурсу, как показано на рис. 11.3. Вам доступны следующие параметры:

• У всех пользователей доступ только для чтения (All users have read-only access) — пользователи могут только просматривать файлы. Создавать, изменять или удалять файлы и папки им не разрешается;

• Администраторы имеют полный доступ, остальные — доступ только для чтения (Administrators have full access; other users have read-only access) — администраторы могут создавать, изменять и удалять файлы и папки, а на томах NTFS также назначать разрешения и становиться владельцами файлов и папок. Другие пользователи могут только просматривать файлы. Создавать, изменять или удалять файлы и папки им не разрешается;

• Администраторы имеют полный доступ, остальные — доступ для чтения и записи (Administrators have full access; other users have read and write access) - администраторам доступны все возможные действия с файлами и папками. Другие пользователи имеют право создавать, изменять или удалять файлы и папки;

• Использовать особые права доступа к обшей папке (Use custom share and folder permissions) — позволяет настраивать доступ для конкретных пользователей и групп.

Рис. 11.3. Настройка разрешений доступа к общему ресурсу

9. Щелкните Готово (Finish) и Закрыть (Close).

Примечание В Проводнике на значке папки появится изображение руки, означающее, что папка стала общей.

Совет Создав общий ресурс, предназначенный для всех пользователей сети, опубликуйте его в Active Directory. Это облегчит пользователям поиск ресурса. Чтобы опубликовать ресурс в Active Directory, щелкните его правой кнопкой в консоли Управление компьютером (Computer Management) и выберите Свойства (Properties). Перейдите на вкладку Публикация (Publish) выберите Опубликовать этот общий ресурс в Active Directory (Publish this share in Active Directory), введите описание и информацию о владельце, а затем щелкните ОК.

# Просмотр разрешений доступа к общему ресурсу

1. В консоли Управление компьютером (Computer Management) подключитесь к компьютеру, на котором создан общий ресурс.

2. В дереве консоли раскройте последовательно узлы Служебные программы (System Tools) и Общие папки (Shared Folders), а затем выберите Общие ресурсы (Shares).

3. Правой кнопкой щелкните ресурс, который хотите посмотреть, и выберите Свойства (Properties).

4. В диалоговом окне со свойствами ресурса перейдите на вкладку Разрешения для общего ресурса (Share Permissions), показанную на рис. 11.4. Теперь вы видите, какие пользователи и группы имеют доступ к этому ресурсу, и тип этого доступа.

Рис. 11.4. На вкладке Разрешения для общего ресурса (Share Permissions) показаны пользователи и группы, имеющие доступ к ресурсу, и тип этого доступа

Настройка разрешений доступа к общему ресурсу

В консоли Управление компьютером (Computer Management) можно добавить разрешения доступа пользователя, компьютера и группы к ресурсу.

1. Правой кнопкой щелкните ресурс, которым хотите управлять, и выберите Свойства (Properties).

2. В окне свойств перейдите на вкладку Разрешения для общего ресурса (Share Permissions).

3. Щелкните Добавить (Add). Откроется окно, показанное на рис. 11.5.

4. Введите имя пользователя, компьютера или группы из текущего домена и щелкните Проверить имена (Check Names).

Если найдено единственное совпадение, диалоговое окно будет автоматически обновлено, а введенное вами имя — подчеркнуто.

Если совпадений не найдено, вы ввели имя с ошибкой или используете неверное расположение. Исправьте имя и снова щелкните Проверить имена (Check Names) или с помощью кнопки Размещение (Locations) укажите новое расположение.

Рис. 11.5. Добавление пользователей и групп, которые должны иметь доступ к ресурсу

Если найдено несколько совпадений, выделите нужное имя или имена и щелкните ОК. Чтобы продолжить добавление пользователей, компьютеров или групп, введите точку с запятой (;) и повторите этот пункт.

Примечание Кнопка Размещение (Locations) открывает доступ к учетным записям из других доменов. Щелкните ее для просмотра списка текущего домена, доверенных доменов и других ресурсов, к которым вы имеете доступ. Поскольку в Windows Server 2003 используется транзитивное доверие, у вас обычно есть доступ ко всем доменам в дереве или лесу.

5. Щелкните ОК. Пользователи и группы будут добавлены в список имен для общего ресурса.

6. Настройте разрешения доступа для каждого пользователя, компьютера и группы, выбирая учетную запись и предоставляя или отменяя нужные разрешения.

7. Щелкните ОК.

Изменение существующих разрешений

Вы можете изменить разрешения доступа к общему ресурсу, которые назначили пользователю, компьютеру или группе. В консоли Управление компьютером (Computer Management) выполните следующие действия.

1. Правой кнопкой щелкните ресурс, которым хотите управлять, и выберите Свойства (Properties).

2. В окне свойств ресурса щелкните вкладку Разрешения для общего ресурса (Share Permissions).

3. Выделите; пользователя, компьютер или группу, разрешения на доступ к которым вы хотите изменить.

4. Используйте поля в области Разрешения (Permissions) для предоставления или запрета разрешений доступа.

5. Повторите эти действия для других пользователей, компьютеров или групп. Щелкните ОК, когда закончите.

Удаление разрешений

Удалить разрешения доступа к общему ресурсу, назначенные пользователям, компьютерам и группам, можно в окне Разрешения для общего ресурса (Share Permissions). В консоли Управление компьютером (Computer Management) выполните следующие действия.

1. Правой кнопкой щелкните ресурс, которым хотите управлять, и выберите Свойства (Properties).

2. В окне свойств ресурса щелкните складку Разрешения для общего ресурса (Share Permissions).

3. Выделите пользователя, компьютер или группу, разрешения доступа которых вы хотите удалить, и щелкните Удалить (Remove).

4. Повторите эти действия для других пользователей, компьютеров или групп, н щелкните ОК.

Подключение к специальным ресурсам

Имена специальных ресурсов заканчиваются символом «$». Хотя эти ресурсы и не отображаются в проводнике (Windows Explorer), администраторы и некоторые операторы имеют право подключаться к ним. Для этого необходимо выполнить следующие действия.

1. В Проводнике в меню Сервис (Tools) выберите Подключить сетевой диск (Map Network Drive). Откроется диалоговое окно, показанное на рис. 11.6.

Рис. 11.6. Подключение к специальному ресурсу

2. В поле Диск (Drive) выберите свободную букву диска — для доступа к специальному ресурсу.

3. В ноле Папка (Folder) наберите UNC-путь к нужному ресурсу. Например, для доступа к ресурсу С$ на сервере Twiddle нужно внести \\TWIDDLE\CS.

4. Щелкните ОК.

После подключения к специальному ресурсу вы получаете доступ к нему, как к любому другому диску. Поскольку специальные ресурсы защищены, вам не нужно беспокоиться, что обычные пользователи получат доступ к этому ресурсу. Когда вы подключаетесь к ресурсу впервые, вам может быть предложено ввести имя пользователя и пароль.

Просмотр сеансов пользователей и компьютеров

Консоль Управление компьютером (Computer Management) помогает отследить все подключения к общим ресурсам в системе Windows Server 2003. Как только пользователь или компьютер подключаются к общему ресурсу, подключение отображается в узле Сеансы (Sessions).

Вот как просмотреть подключения к общим ресурсам.

1. В консоли Управление компьютером (Computer Management) подключитесь к компьютеру, на котором создан ресурс.

2. В дереве консоли раскройте последовательно узлы Служебные программы (System Tools) и Общие папки (Shared Folders), а затем выберите Сеансы (Sessions).

3. Просмотрите список подключенных к ресурсу пользователей или компьютеров (рис. 11.7).

Рис. 11.7. Просмотр подключений пользователей и компьютеров

Узел Сеансы (Sessions) дает важную информацию о подключениях пользователей и компьютеров:

• Пользователь (User) — имена пользователей/компьютеров, подключенных к общим ресурсам; имена компьютеров показаны с суффиксом «$», чтобы отличить их от имен пользователей;

• Компьютер (Computer) — имя компьютера;

• Тип (Туре) — тип используемого сетевого подключения;

• Количество открытых файлов (Open Files) — количество файлов, с которыми пользователь активно работает;

• Время подсоединения (Connected Time) — время, прошедшее с начала соединения;

• Время простоя (Idle Time) — время, прошедшее с момента, когда соединение использовалось в последний раз;

• Гость (Guest) — регистрировался ли пользователь как гость.

Завершение отдельных сеансов

Вот как отключить отдельных пользователей от общих ресурсов.

1. В консоли Управление компьютером (Computer Management) подключитесь к компьютеру, на котором создан ресурс,

2. В дереве консоли раскройте последовательно узлы Служебные программы (System Tools) и Общие папки (Shared Folders), а затем выберите Сеансы (Sessions).

3. Правой кнопкой щелкните пользовательский сеанс и выберите Закрыть сеанс (Close Session).

4. Щелкните OK для подтверждения действия.

Завершение всех сеансов

Чтобы отключить от общих ресурсов всех пользователей, выполните следующие действия.

1. В консоли Управление компьютером (Computer Management) подключитесь к компьютеру, на котором создан ресурс.

2. В дереве консоли раскройте последовательно узлы Служебные программы (System Tools) и Общие папки (Shared Folders), а затем щелкните правой кнопкой Сеансы (Sessions).

3. Выбрав Отключить все сеансы (Disconnect All Sessions), щелкните OK для подтверждения действия.

Примечание Вы отключаете пользователей от общих ресурсов, а не от домена. Вы можете заставить пользователей завершить сеанс после их входа в домен, только ограничив разрешенное время работы или средствами групповой политики. Так что отключение пользователей от общего ресурса не отключает их от сети.

Управление открытыми ресурсами

Пока пользователь подключен к общему ресурсу, отдельные файлы и объекты ресурса, с которыми он активно работает, отображаются в узле Открытые файлы (Open Files). Этот узел может показать файлы, которые пользователь открыл, но не редактирует в данный момент. Вот как получить доступ к узлу Открытые файлы (Open Files).

1. В консоли Управление компьютером (Computer Management) подключитесь к компьютеру, на котором создан ресурс.

2. В дереве консоли раскройте последовательно узлы Служебные программы (System Tools) и Общие папки (Shared Folders), а затем выберите Открытые файлы (Open Files). Отобразится узел Открытые файлы (Open Files), предоставляющий следующую информацию об использовании ресурса (рис. 11.8):

• Открытый файл (Open File) — путь к открытому файлу или папке на локальной системе; может также быть именованным каналом, например \PIPE\spools для буферизации печати;

• Пользователь (Accessed By) — имя пользователя, открывшего файл;

• Тип (Туре) — тип используемого сетевого подключения;

• Блокировка (# Locks) — количество блокировок ресурса;

• Режим открытия (Open Mode) — использовавшийся при открытии ресурса режим доступа: чтения, записи или чтения-записи.

Рис. 11.8. Вы можете управлять открытыми ресурсами, используя узел Открытые файлы (Open Files)

Закрытие открытого файла

1. В консоли Управление компьютером (Computer Management) подключитесь к компьютеру, с которым хотите работать.

2. В дереве консоли раскройте последовательно узлы Служебные пршраммы (System Tools) и Общие ланки (Shared Folders), а затем выберите Открытые файлы (Open Files).

3. Правой кнопкой щелкните открытый файл и выберите Закрыть открытый файл (Close Open File).

4. Щелкните OK для подтверждения действия.

Закрытие всех открытых файлов

1. В консоли Управление компьютером (Computer Management) подключитесь к компьютеру, с которым хотите работать.

2. В дереве консоли раскройте последовательно узлы Служебные программы (System Tools) и Общие папки (Shared Folders), а затем щелкните правой кнопкой Открытые файлы (Орел Files).

3. Выбрав Отключить все открытые файлы (Disconnect All Open Files), щелкните OK для подтверждения действия.

Прекращение общего доступа к файлам и папкам

1. В консоли Управление компьютером (Computer Management) подключитесь к компьютеру, на котором создан ресурс и раскройте узел Общие ресурсы (Shares).

2. Правой кнопкой щелкните ресурс, который хотите удалить, и выберите Прекратить общий доступ (Stop Sharing).

3. Щелкните Да (Yes) для подтверждения действия.

Никогда не удаляйте папку, содержащую общие ресурсы, предварительно не прекратив доступ к этим ресурсам. Если вы забудете это сделать, Windows Server 2003 попытается восстановить доступ при следующем запуске компьютера, в результате чего появится запись об ошибке в системном журнале.

# Создание теневых копий

Чтобы создать теневую копию па томе NTFS с общими папками, выполните следующие действия.

1. Откройте консоль Управление компьютером (Computer Management) и щелкните правой кнопкой одноименный элемент в дереве консоли. Выберите в контекстном меню команду Подключиться к другому компьютеру (Connect to another computer). Выберите компьютер, с которым собираетесь работать.

2. Раскройте узел Запоминающие устройства (Storage) и выделите элемент Управление дисками (Disk Management). В области сведений отобразятся тома на выбранном компьютере.

3. В списке томов или и графической области щелкните правой кнопкой нужный том и выберите Свойства (Properties).

4. Перейдите на вкладку Теневые копии (Shadow Copies) и выделите в списке Выберите том (Select a volume) нужный том.

5. Щелкните кнопку Параметры (Settings), чтобы задать максимальный размер теневых копий на томе и изменить стандартное расписание. Закончив настройку, щелкните ОК.

6. Щелкните кнопку Создать (Create Now). Па томе будет создана первая теневая копия и задано расписание последующего копирования.

# Удаление теневых копий

При необходимости, например для освобождения дискового пространства, отдельные теневые копии на томе можно удалить. Вот как это делаемся.

1. Откройте консоль Управление компьютером (Computer Management) и щелкните правой кнопкой одноименный элемент в дереве консоли. Выберите в контекстном меню команду Подключиться к другому компьютеру (Connect to another computer). Укажите компьютер, с которым собираетесь работать.

2. Раскройте узел Запоминающие устройства (Storage) и выделите элемент Управление дисками (Disk Management). В области сведений отобразятся тома на указанном компьютере.

3. В списке томов или в графической области щелкните правой кнопкой нужный том и выберите Свойства (Properties).

4. Перейдите на вкладку Теневые копии (Shadow Copies) и выделите в списке Выберите том (Select a volume) нужный том.

5. Выделите нужную (точнее, ненужную) теневую копию и щелкните кнопку Удалить (Delete Now).

Отказ от теневого копирования

Если теневое копирование общих папок на томе вам более не нужно, отключите компонент Теневая копия (Shadow Copy). Новые теневые копии после этого создаваться не будут, а старые будут удалены. Вот как отключить теневое копирование,

1. Откройте консоль Управление компьютером (Computer Management) и щелкните правой кнопкой одноименный элемент в дереве консоли. Выберите в контекстном меню команду Подключиться к другому компьютеру (Connect to another computer). Укажите компьютер, с которым собираетесь работать.

2. Раскройте узел Запоминающие устройства (Storage) и выделите элемент Управление дисками (Disk Management). В области сведений отобразятся тома на указанном компьютере.

3. В списке томов или в графической области щелкните правой кнопкой нужный том и выберите Свойства (Properties).

4. Перейдите на вкладку Теневые копии (Shadow Copies), выделите в списке Выберите том (Select a volume) нужный том и щелкните Отключить (Disable).

5. Подтвердите отключение, щелкнув Да (Yes).

Подключение сетевого диска

В Windows Server 2003 подключение к сетевому диску осуществляется путем назначения ему буквы. Вот что для этого нужно сделать,

1. После регистрации пользователя запустите Проводник на его компьютере.

2. В меню Сервис (Tools) выберите Подключить сетевой диск (Map Network Drive). Откроется диалоговое окно Подключение сетевого диска (Map Network Drive).

3. В списке Диск (Drive) укажите свободную букву диска для создания сетевого диска, к которому можно обращаться через Проводник и папку Мой компьютер (My Computer). Другой способ — создать сетевой диск, не назначая буквы. Этот диск открыпается в собственном окне Проводника и недоступен через окно Мой компьютер (My Computer).

4. В поле Папка (Folder) наберите UNC-путь к нужному ресурсу. Например, для доступа к ресурсу DOCS на сервере ROMEO следует ввести \\ROMEO\DOCS. Если вы не знаете точного места размещения ресурса, щелкните Обзор (Browse) для его поиска.

5. Чтобы сетевой диск автоматически подключался в последующих сеансах, установите флажок Восстанавливать при входе в систему (Reconnect at logon).

6. Для подключения от имени пользователя, отличного от того, под которым вы регистрировались в системе, щелкните гиперссылку Подключение под другим именем (Different User Name) и введите имя пользователя и пароль.

7. Щелкните ОК.

Отключение сетевого диска

Сетевой диск отключается так.

1. После регистрации пользователя запустите Проводник (Windows Explorer) на компьютере пользователя.

2. В меню Сервис (Tools) выберите Отключить сетевой диск (Disconnect Network Drive).

3. Укажите нужный диск и щелкните ОК.

Владение объектами

В Windows Server 2003 владелец объекта не обязательно является его создателем, но именно владелец объекта полностью управляет им. Владелец объекта может разрешать доступ и назначать других пользователей владельцами объекта. Администратор вправе завладеть любыми объектами в сети. За счет этого для авторизованных администраторов нельзя заблокировать файлы, папки, принтеры и другие ресурсы. Но, став владельцем файлов, вам (в большинстве случаев) не удастся вернуть их предыдущему владельцу. Поэтому администратор не сможет получить доступ к файлу, а затем скрыть этот факт. Порядок назначения прав владения изначально определяется местом размещения создаваемого ресурса. Обычно группа Администраторы (Administrators) считается текущим владельцем объекта, а его действительный создатель имеет право стать владельцем. Передать владение можно такими способами:

• если администраторы изначально назначаются владельцами, создатель объекта может стать владельцем при условии, что он сделает это прежде, чем кто-либо другой станет владельцем;

• текущий владелец может предоставить разрешение Смена владельца (Take Ownership) другим пользователям, разрешив им становиться владельцами объекта;

• администратор может стать владельцем объекта, взяв его под свое управление.

Вот как сменить владельца объекта.

1. Запустите средство управления этим объектом. Например, если хотите работать с файлами/папками, запустите Проводник (Windows Explorer).

2. Правой кнопкой щелкните объект, владельцем которого хотите стать.

3. Выберите Свойства (Properties). В окне свойств перейдите на вкладку Безопасность (Security).

4. Щелкнув кнопку Дополнительно (Advanced), откройте диалоговое окно Дополнительные параметры безопасности (Advanced Security Settings). Перейдите на вкладку Владелец (Owner), показанную на рис. 11.9.

Рис. 11.9. На вкладке Владелец (Owner) можно сменить владельца файла

5. Выберите имя нового владельца в списке Изменить владельца на (Change owner to), а затем щелкните ОК.

Совет Вступая во владение папкой, вы можете также стать владельцем всех файлов и подпапок в ней. Для этого нужно установить флажок Заменить владельца подконтейнеров и объектов {Replace owner on subcontainers and objects). Эта процедура работает и для других вложенных объектов.

Наследование объектов

Вот как разрешить или запретить наследование разрешений от родительского объекта.

1. Запустите средство управления для данного объекта. Например, если хотите работать с файлами и папками, запустите Проводник.

2. Правой кнопкой щелкните объект, с которым хотите работать.

3. Выберите Свойства (Properties). В окне свойств перейдите на вкладку Безопасность (Security).

4. Щелкнув кнопку Дополнительно (Advanced), откройте диалоговое окно Дополнительные параметры безопасности (Advanced Security Settings).

5. На вкладке Разрешения (Permission) установите или снимите флажок Разрешить наслслонапие разрешений от родительского объекта к этому объекту... (Allow inheritable permissions from the parent to propagate to this object...).

6. Щелкните ОК.

Разрешения доступа к файлам и папкам

В разделах NTFS вы можете настраивать разрешения безопасности для файлов и папок. Эти разрешения позволяют и запрещают доступ к файлам и папкам. Разрешения безопасности можно просмотреть.

1. В Проводнике правой кнопкой щелкните файл или папку, с которыми хотите работать.

2. Выберите Свойства (Properties), В окне свойств перейдите на вкладку Безопасность (Security).

3. Выделите пользователя, компьютер и группу, разрешения которых хотите просмотреть. Если разрешения затенены, они наследуются от родительского объекта.

# Настройка разрешений для файла и папки

1. В Проводнике правой кнопкой щелкните файл или папку, с которыми хотите работать.

2. В появившемся меню выберите Свойства (Properties), а затем в окне свойств прейдите на вкладку Безопасность (Security), показанную на рис. 11.10.

Рис. 11.10. Вкладка Безопасность (Security) позволяет настроить базовые разрешения для файла или папки

3. Пользователи и группы, которые уже имеют доступ к файлу или папке, перечислены в списке Группы или пользователи (Group or user names). Вы можете изменить разрешения для этих пользователей и групп. Выделите пользователя/группу, разрешения которых хотите изменить. В списке Разрешения (Permissions) предоставьте/запретите разрешения доступа.

Совет Наследуемые разрешения затенены. Если вы хотите перекрыть наследуемое разрешение, выберите противоположное значение.

4. Чтобы задать разрешения доступа для дополнительных пользователей, компьютеров или групп, щелкните Добавить (Add). Откроется диалоговое окно, показанное на рис. 11.11.

Рис. 11.11. Укажите пользователей, компьютеры/группы, которым нужно предоставить/запретить доступ

5. Введите имя пользователя, компьютера или группы из текущего домена и щелкните Проверить имена (Check Names).

Если найдено единственное совпадение, диалоговое окно будет автоматически обновлено, а введенное вами имя — подчеркнуто.

Если совпадений не найдено, вы ввели имя с ошибкой или указали неверное расположение. Исправьте имя и снова щелкните Проверить имена (Check Names) или с помощью кнопки Размещение (Locations) выберите новое расположение.

Если найдено несколько совладений, выделите нужное имя или имена и щелкните ОК. Чтобы продолжить добавление пользователей, компьютеров или групп, введите точку с запятой (;) и повторите этот пункт.

6. В списке Группы или пользователи (Group or user names) ныделите нужных пользователя, компьютер или группу, а затем посредством полей в области Разрешения (Permissions) предоставьте/запретите разрешения доступа. Повторите эти действия д.ш других пользователей, компьютеров или групп.

7. Щелкните ОК, когда закончите.

Настройка политик аудита

Политики аудита — важный фактор обеспечения безопасности и целостности системы. Почти каждая компьютерная система в сети должна быть настроена для протоколирования определенных параметров безопасности. Политики аудита настраиваются с применением групповой политики: вы можете задать политики аудита для всего сайта, домена или организационного подразделения (ОП). Или же настроить политики для отдельной рабочей станции/сервера.

Открыв контейнер групповой политики, настройте политику аудита.

1. Откройте узел Политика аудита (Audit Policy), последовательно спускаясь по дереву консоли (рис. 11.12).

2. Просмотрите текущие параметры аудита:

• Аудит входа в систему (Audit Logon Events) отслеживает события, связанные с регистрацией пользователя, окончанием сеанса работы и удаленными соединениями с сетевыми системами;

• Аудит доступа к объектам (Audit Object Access) отслеживает использование системных ресурсов: файлов, каталогов, общих ресурсов, принтеров и объектов Active Directory;

• Аудит доступа к службе каталогов (Audit Directory Service Access) отслеживает доступ к Active Directory. События генерируются каждый раз, когда пользователи/компьютеры получают доступ к каталогу;

• Аудит изменения политики (Audit Policy Change) отслеживает изменения разрешений доступа пользователей, аудита и доверительных отношений;

• Аудит использования привилегий (Audit Privilege Use) отслеживает применение разрешений доступа и привилегий пользователя типа права резервного копирования файлов и каталогов;

Рис. 11.12. Настройка политики аудита с использованием узла

• Политика аудита (Audit Policy) в групповой политике

Примечание Политика аудита привилегий не отслеживает события, относящиеся к системному доступу, например использование права интерактивного входа/разрешения доступа к компьютеру из сети. Эти события отслеживаются аудитом входа в систему.

• Аудит отслеживания процессов (Audit Process Tracking) отслеживает системные процессы и ресурсы, ими используемые;

• Аудит системных событий (Audit System Events) отслеживает запуск, выключение и перезагрузку системы, а также действия, влияющие на безопасность системы или на журнал безопасности;

• Аудит событий входа в систему (Audit Account Logon Events) отслеживает события, относящиеся к регистрации и окончанию работы пользователя в системе;

• Аудит управления учетными записями (Audit Account Management) отслеживает управление учетными записями посредством консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers). События генерируются каждый раз, когда учетные записи пользователя, компьютера или группы создаются, изменяются или удаляются.

3. Для настройки политики аудита дважды щелкните ее элемент или щелкните его правой кнопкой и выберите Свойства (Properties). Откроется окно свойств этой политики.

4. Выберите Вести аудит следующих попыток доступа (Audit these attempts), а затем установите флажок Успех (Success), Отказ (Failure) или оба сразу. Включение первого флажка протоколирует успешные события, второго — события отказа, например неудачные попытки входа.

5. Щелкните ОК.

Аудит файлов и папок

Включив политику Аудит доступа к объектам (Audit Object Access), вы можете задать уровень аудита для отдельных папок или файлов. Лудит этого типа доступен только на томах NTFS.

Аудит файла или папки настраивается так.

1. В Проводнике щелкните правой кнопкой файл или папку, для которых хотите включить аудит, и выберите Свойства (Properties).

2. На вкладке Безопасность (Security) щелкните кнопку Дополнительно (Advanced).

3. В открывшемся окне перейдите на вкладку Аудит (Auditing), показанную на рис. 11.13.

4. Чтобы наследовать параметры аудита от родительского объекта, установите флажок Разрешить наследование элементов аудита от родительского объекта к этому объекту... (Allow inheritable auditing entries from the parent to propagate to this object...).

5. Если вы хотите, чтобы дочерние объекты текущего объекта наследовали его параметры, выберите Заменить элементы аудита... (Replace Auditing Entries...).

Рис. 11.13. На вкладке Аудит (Auditing) настраивают политики аудита отдельных файлов и папок

6. В списке Элементы аудита (Auditing Entries) укажите пользователей, группы или компьютеры, чьи действия вы желаете отслеживать с помощью аудита. Чтобы удалить учетную запись, выберите ее в списке Элементы аудита (Auditing Entries) и щелкните Удалить (Remove).

7. Чтобы добавить конкретные учетные записи, щелкните Добавить (Add) и укажите имя учетной записи. Щелкнув ОК, вы увидите диалоговое окно Элемент аудита для (Auditing Entry For), показанное на рис.11.14.

Рис. 11.14. В окне Элемент аудита для (Auditing Entry For) задайте элементы аудита для пользователя, компьютера или группы

Примечание Для контроля с помощью аудита действий всех пользователей предназначена специальная группа Все (Everyone).

8. В списке Применять (Apply Onto) определите, где применять аудит объектов.

9. Установите флажки Успех (Successful), Отказ (Failed) или оба сразу для каждого из событий, к которым хотите применять аудит. Первый протоколирует успешные события, типа успешного чтения файла, второй — неудачные события, например неудавшееся удаление файла. События, для которых вы можете использовать аудит, — те же, что и специальные разрешения, за исключением того, что не разрешается отслеживать средствами аудита синхронизацию автономных файлов и папок.

10. Щелкните ОК, когда закончите. Повторите описанный процесс для аудита других пользователей, групп или компьютеров.

Аудит объектов Active Directory

Если в групповой политике включен параметр Аудит доступа к службе каталогов (Audit Directory Service Access), вы можете задать уровень аудита для объектов Active Directory. Это позволяет точно управлять наблюдением за использованием объекта.

Аудит объекта настраивается так.

1. В консоли Active Directory — пользователи и компьютеры (Active Directory Users and Computers) найдите контейнер объекта.

2. Правой кнопкой щелкните объект, для которого будет применяться аудит, и выберите Свойства (Properties).

3. На вкладке Безопасность (Security) щелкните кнопку Дополнительно (Advanced).

4. Перейдите на вкладку Аудит (Auditing). Чтобы наследовать параметры аудита от родительского объекта, выберите Разрешить наследование элементов аудита от родительского объекта к этому объекту... (Allow inheritable auditing entries from the parent to propagate to this object...).

5. В списке Элементы аудита (Auditing Entries) укажите пользователей, группы или компьютеры, чьи действия вы желаете отслеживать с помощью аудита. Чтобы удалить учетную запись, выберите ее в списке Элементы аудита (Auditing Entries) и щелкните Удалить (Remove).

6. Чтобы добавить определенные учетные записи, щелкните Добавить (Add) и укажите имя учетной записи. Щелкнув ОК, вы увидите диалоговое окно Элемент аудита для (Auditing Entry For).

7. Используйте список Применять (Apply Onto), чтобы указать, где применять аудит объектов.

8. Выберите флажки Успех (Successful), Отказ (Failed) или оба сразу для каждого из событий, которые хотите отслеживать.

9. Щелкните ОК, когда закончите. Повторите описанный процесс для аудита других пользователей, групп или компьютеров.

Настройка политик дисковых квот

Лучше всего настраивать дисковые квоты с помощью групповой политики. При этом вы задаете общие правила, которые автоматически применяются при включении квотирования на индивидуальных томах. Это позволяет избежать задания одних и тех же параметров па каждом томе, для которого вы хотите назначить квотирование.

Политики, управляющие дисковыми квотами назначаются на системном уровне. Доступ к ним открывается из узла Конфигурация компьютерах Административные шаблоны\Система\Дисковые квоты (Computer Configuration\ Adrninistrativ Templates\System\Disk Quotas).

1. Откройте консоль Групповая политика (Group Policy) для системы, с которой хотите работать, например, для файлового сервера. Откройте узел Дисковые квоты (Disk Quotas).

2. Дважды щелкните политику Включить дисковые квоты (Enable disk quotas) и на вкладке Параметр (Setting) установите переключатель Включен (Enabled). Щелкните кнопку Следующий параметр (Next Setting). Откроется окно политики Задать предел дисковой квоты (Enforce disk quota limit).

3. Чтобы включить дисковое квотирование на всех томах NTFS этого компьютера, щелкните Включен (Enabled). В противном случае щелкните Отключен (Disabled), а затем задайте квоты для каждого тома и отдельности.

4. Щелкните кнопку Следующий параметр (Next Setting). Откроется окно политики Предел киоты по умолчанию и уровень предупреждения (Default quota limit and warning level), показанное на рис, 11.15. Щелкните Включен (Enabled).

Рис. 11.15. Основные параметры дискового квотирования

5. В области Предел квоты по умолчанию (Default quota limit) укажите предел по умолчанию для пользователей, впервые осуществляющих запись на том с включенным квотированием. Это значение не применяется к текущим пользователям и не затрагивает уже заданные значения.

6. Немного прокрутив вниз вспомогательное окно на этой вкладке, укажите предел предупреждения.

7. Щелкните кнопку Следующий параметр (Next Setting). Откроется окно политики Вести журнал даже при превышении предела квоты (Log event when quota limit exceeded). Щелкните Включен (Enabled).

8. Щелкните кнопку Следующий параметр (Next Setting). Откроется окно политики Заносить событие превышения уровня предупреждения квоты (Log event when quota warning level exceeded). Щелкните Включен (Enabled).

9. Щелкните кнопку Следующий параметр (Next Setting). Откроется окно Применять политику к съемным носителям (Apply policy to removable media). Щелкните Отключен (Disabled).

10. Щелкните ОК.

Совет Чтобы политики вступили в действие немедленно, откройте узел Конфигурация компьютера\Административные шаблоны\Система\Групповая политика (Computer Configuration\ Administrative Templates\System\Group Policy) и дважды щелкните политику Обработка политики дисковой квоты (Disk quota policy processing). Щелкните Включен (Enabled) и установите флажок Обрабатывать, даже если объекты групповой политики не изменились (Process even if the group policy objects have not changed). Щелкните ОК.

Включение квотирования на томе NTFS

Включив соответствующие политики, вы можете задать квоты на локальных и удаленных томах с помощью консоли Управление компьютером (Computer Management).

Чтобы включить квотирование на томе NTFS, выполните следующие действия.

1. Откройте консоль Управление компьютером (Computer Management) и щелкните правой кнопкой одноименный элемент в дереве консоли. Выберите Подключиться к другому компьютеру (Connect to Another Computer). Укажите компьютер, с которым хотите работать.

2. Раскройте узел Запоминающие устройства (Storage) и выделите элемент Управление дисками (Disk Management). В области сведений отобразятся тома на выбранном компьютере.

3. В списке томов или в графической области щелкните правой кнопкой нужный том и выберите Свойства (Properties).

4. Перейдите на вкладку Квота (Quota) и установите флажок Включить управление киотами (Enable Quota Management), как показано на рис. 11.16. Если вы управляете квотами с помощью групповой политики, параметры окажутся недоступными. Для их изменения воспользуйтесь консолью Групповая политика (Group Policy).

Совет Работая с вкладкой Квота (Quota), обращайте особое внимание на значок светофора и описание статуса квотирования рядом с ним. Если квоты не настроены, на светофоре горит красный свет. Желтый сигнал свидетельствует, что система занята или обновляет квоты. Если квоты настроены, на светофоре горит зеленый свет.

Рис. 11.16. Здесь настраиваются параметры квотирования

5. Установите переключатель Выделять на диске не более (Limit disk space to) и задайте предел квотирования. В поле Порог выдачи предупреждений (Set warning level to) задайте порог в процентах от указанного предела квоты.

Совет Квотирование можно настроить отдельно для каждого пользователя. Для этого следует щелкнуть кнопку Записи квот (Quota Entries). Имейте в виду, что эти записи можно экспортировать, а затем импортировать на другом томе.

6. Чтобы пользователи не занимали место на диске сверх своей квоты, установите флажок Не выделять место на диске при превышении квоты (Deny disk space to users exceeding quota limit).

7. С помощью флажков в нижней части вкладки задайте запись в журнал сообщений о превышении квоты или о достижении порога предупреждения.

8. Щелкните ОК. Windows Server 2003 просканирует том и обновит данные о его использовании.

Просмотр записей квот

Контроль за использованием диска ведется для каждого пользователя в отдельности. При включенном квотировании для каждого пользователя, хранящего свои данные на томе, заводится периодически обновляемая запись в файле квоты. В ней записаны следующие данные: текущий объем диска, занятый пользователем, пределы квотирования, порог предупреждения и др.

Чтобы просмотреть текущие параметры квотирования, выполните следующие действия.

1. Откройте консоль Управление компьютером (Computer Management) и щелкните правой кнопкой одноименный элемент в дереве консоли. Выберите Подключиться к другому компьютеру (Connect to Another Computer). Укажите компьютер, с которым хотите работать.

2. Раскройте узел Запоминающие устройства (Storage) и выделите элемент Управление дисками (Disk Management). В области сведений отобразятся тома на выбранном компьютере.

3. В списке томов или в графической области щелкните правой кнопкой нужный том и выберите Свойства (Properties).

4. На вкладке Квота (Quota) щелкните кнопку Записи квот (Quota Entries). В открывшемся диалоговом окне будет показан статус квотирования для всех пользователей.

Создание записей квот

Чтобы создать запись квоты на томе, выполните следующие действия.

1. Откройте диалоговое окно диалоговое окно с записями квот, как описано в предыдущем разделе. В нем перечислены существующие записи квот для всех пользователей. Чтобы обновить список, нажмите F5.

2. Чтобы создать новую запись, выберите в меню Квота (Quota) команду Создать запись квоты (New Quota Entry).

3. В открывшемся диалоговом окне введите нужное имя пользователя и щелкните кнопку Проверить имена (Check Names).

Если найдены совпадения, выделите среди них нужное и щелкните ОК. Если совпадений не найдено, исправьте имя и повторите поиск. Закончив работу, щелкните ОК.

4. Откроется диалоговое окно Добавление новой квоты (Add New Quota Entry), показанное на рис. 11.17. Теперь вы можете отменить все ограничения для этого пользователя, установив переключатель Не ограничивать выделение места на диске (Do not limit disk usage). Чтобы задать пределы квотирования, установите переключатель Выделять на диске не более (Limit disk space to).

5. Щелкните ОК.

Рис. 11.17. В этом окне задаются индивидуальные параметры квотирования

# Удаление записей квот

Удаление записи производится в том случае, если пользователю этот том больше не нужен. При удалении записи квот на экране отображается список всех файлов данного пользователя. Вы можете их удалить, стать их владельцем или переместить в заданную папку на другом томе.

Чтобы удалить запись квоты для одного из пользователей, выполните следующие действия.

1. Откройте диалоговое окно с записями квот, как описано в разделе «Просмотр записей квот». В нем перечислены существующие записи квот для всех пользователей. Чтобы обновить список, нажмите F5.

2. Выделите запись, которую хотите удалить, и нажмите Delete или выберите в меню Квота (Quota) команду Удалить запись квоты (Delete Quota Entry).

3. Подтвердите удаление, щелкнув Да (Yes). Откроется диалоговое окно со списком текущих файлов пользователя.

4. Раскрыв список Файлы, которыми владеет (List Files Owned By), отобразите файлы пользователя, запись квоты которого вы удаляете, и укажите, что с ними нужно сделать. Действие можно задавать как для отдельных файлов, так и для групп, ныделенных клавишами Shift и Ctrl. Вы можете:

• удалить выделенные файлы, нажав клавишу Delete (на экране появится запрос на подтверждение удаления);

• стать владельцем выделенных файлов, щелкнув Смена владельца (Take Ownership);

• переместить выделенные файлы, введя путь к папке на другом томе или отыскав ее с помощью кнопки Обзор (Browse).

5. Щелкните Закрыть (Close). Если вы все сделали правильно, запись квоты будет удалена.

# Экспорт и импорт записей квот

Чтобы вам не приходилось создавать записи киот на каждом томе в отдельности, в Windows Server 2003 предусмотрена возможность их экспорта с одного тома и импорта на другой. Оба тома должны быть томами NTFS. Вот что нужно сделать, чтобы экспортировать, а затем импортировать записи квот.

1. Откройте консоль Управление компьютером (Computer Management) и щелкните правой кнопкой одноименный элемент в дереве консоли. Выберите Подключиться к другому компьютеру (Connect to Another Computer). Укажите компьютер, с которым хотите работать.

2. Раскройте узел Запоминающие устройства (Storage) и вы делите элемент Управление дисками (Disk Management). В области сведений отобразятся тома на выбранном компьютере.

3. В списке томов или в графической области щелкните правой кнопкой нужный том и выберите Свойства (Properties).

4. Щелкните кнопку Записи квот (Quota Entries) на вкладке Квота (Quota).

5. Выберите команду Экспорт (Export) в меню Квота (Quota). На экране появится диалоговое окно Параметры экспорта квоты (Export Quota Settings). Перейдите в нужную папку и задайте имя файла для сохранения параметров квотирования. Щелкните Сохранить (Save).

Совет Сохраняйте файл сразу на целевом томе. Проблем с его передачей по сети не возникнет — файлы квот обычно очень малы.

6. Выберите в меню Квота (Quota) команду Закрыть (Close).

7. Откройте консоль Управление компьютером (Computer Management) и щелкните правой кнопкой одноименный элемент в дереве консоли. Выберите Подключиться к другому компьютеру (Connect to Another Computer). Укажите компьютер, на котором находится целевой том.

8. Откройте окно свойств для целевого тома и щелкните кнопку Записи квот (Quota Entries) на вкладке Квота (Quota).

9. Выберите в меню Квота (Quota) команду Импорт (Import). Найдите только что сохраненный файл и щелкните Открыть (Open).

10. Если на целевом томе уже созданы собственные записи квот, вам будет предложено сохранить их или заменить импортируемыми записями. При возникновении конфликта щелкните Да (Yes), чтобы заменить существующую запись, или Нет (No), чтобы оставить ее. Чтобы выбранное действие выполнялось для всех записей, прежде чем щелкнуть Да (Yes) или Нет (No), установите флажок Применить ко всем записям квот (Do this for all quota entries).

# Отказ от использования квот

Вы вправе отказаться от квотирования для отдельных или для всех пользователей тома. В первом случае ограничения на дисковое пространство будут сняты с конкретного пользователя, но останутся в силе для всех остальных. При выключении квот на всем томе контроль за использованием диска прекращается полностью. Отключение квотирования для отдельного пользователя описано в разделе «Создание записей квот». Чтобы выключить квотирование на всем диске, выполните следующие действия.

1. Откройте консоль Управление компьютером (Computer Management) и щелкните правой кнопкой одноименный элемент в дереве консоли. Выберите Подключиться к другому компьютеру (Connect to Another Computer). Укажите компьютер, с которым хотите работать.

2. Раскройте узел Запоминающие устройства (Storage) и выделите элемент Управление дисками (Disk Management). В области сведений отобразятся тома на выбранном компьютере.

3. В списке томов или в графической области щелкните правой кнопкой нужный том и выберите Свойства (Properties).

4. На вкладке Квота (Quota) сбросьте флажок Включить управление квотами (Enable Quota Management). Щелкните ОК.