Алексей Виноградов - Домашний доктор для вашего ПК

Интерактивный вход в систему: текст сообщения для пользователей при входе в систему

Задает текстовое сообщение, показываемое пользователям при входе в систему. В такие сообщения часто включаются сведения юридического характера, например, предупреждения о последствиях неправомерного использования корпоративных данных или о возможном аудите выполняемых пользователями действий. По умолчанию: без сообщения. При использовании данной политики обязательно следует учитывать следующие особенности:

В Windows XP Professional включена поддержка настройки заставок для входа в систему, которые могут содержать свыше 512 символов, в том числе комбинации «возврат каретки/перевод строки». Однако клиенты Windows 2000 не могут интерпретировать и отображать текст сообщений, создаваемых на компьютерах Windows XP Professional. Необходимо воспользоваться компьютером Windows 2000 и создать политику сообщения при входе в систему, применяемую к компьютерам Windows 2000. Если такая политика была создана на компьютере Windows XP Professional и затем обнаружилось, что эти сообщения неправильно отображаются на компьютерах Windows 2000, следует выполнить следующие действия: отменить определение параметра; заново определить параметр на компьютере Windows 2000.

Если просто изменить на компьютере Windows 2000 политику сообщения для входа, определенную в Windows XP Professional, это не даст желаемого результата. Сначала нужно отменить определение параметра.

Интерактивный вход в систему: заголовок сообщения для пользователей при входе в систему

Разрешает задать заголовок, который должен будет отображаться в титульной строке окна, содержащего сообщение политики «Интерактивный вход в систему: текст сообщения для пользователей при входе в систему». По умолчанию: без сообщения.

Интерактивный вход в систему: количество предыдущих подключений к кэшу (в случае отсутствия доступа к контроллеру домена)

Определяет, сколько раз пользователь может войти в домен Windows, используя учетные данные из кэша. Сведения из учетных записей домена, используемые при входе в систему, могут помещаться в локальный кэш, чтобы в случае, если при очередной попытке входа связаться с контроллером домена не удастся, пользователь все равно мог бы войти в систему.

Данный параметр задает число уникальных пользователей, для которых сведения, необходимые для входа в систему, заносятся в локальный кэш.

Если контроллер домена недоступен и учетные данные пользователя содержатся в кэше, пользователь получает следующее сообщение:

Не удалось подключиться к контроллеру вашего домена. Вход выполнен с использованием учетных данных, сохраненных в кэше. Изменения в профиле, внесенные с момента последнего входа в систему, могут быть недоступны.

Если контроллер домена недоступен и учетных данных пользователя в кэше нет, пользователь получает следующее сообщение:

Подключение к системе сейчас невозможно, так как домен <���ИМЯ_ДОМЕНА> недоступен.

По умолчанию: 10. Если установить данный параметр равным 0, локальное кэширование сведений, используемых при входе в систему, отключается. Максимальное значение параметра равно 50.

Интерактивный вход в систему: напоминать пользователям об истечении срока действия пароля заранее Определяет, за сколько дней до истечения срока действия пароля следует предупреждать об этом пользователей. Если пользователя заблаговременно предупредить, он успеет подготовить новый, достаточно надежный пароль. По умолчанию: 14 дней.

Интерактивный вход в систему: требовать проверки на контроллере домена для отмены блокировки

Для снятия блокировки с компьютера необходимо предоставить сведения, используемые при входе в систему. Для учетных записей домена данный параметр определяет, нужно ли для снятия блокировки обращаться на контроллер домена. Если этот параметр отключен, пользователь может разблокировать компьютер, используя учетные данные из кэша. Если параметр включен, контроллер домена должен проверить подлинность учетной записи домена, используемой для снятия блокировки с компьютера. По умолчанию: отключен. Этот параметр применяется к компьютерам Windows 2000, но он недоступен при использовании средств диспетчера настройки безопасности на этих компьютерах.

Интерактивный вход в систему: поведение при извлечении смарт-карты

Определяет, что происходит при извлечении смарт-карты пользователя, вошедшего в систему, из устройства чтения смарт-карт. Возможны следующие варианты: нет действия; блокировка рабочей станции; принудительный выход из системы.

Если в диалоговом окне» Свойства данной политики» выбран вариант «Блокировка рабочей станции», станция при извлечении смарт-карты будет заблокирована; таким образом, пользователь может уйти с рабочего места, взяв с собой смарт-карту, – его сеанс доступа останется под защитой. Если в окне «Свойства этой политики» выбран вариант «Принудительный выход из системы», при извлечении смарт-карты произойдет автоматическое завершение сеанса работы пользователя. По умолчанию: никаких действий.

Политики безопасности типа «Клиент сети Microsoft»

К лиент сети Microsoft: использовать цифровую подпись (всегда)

Определяет, всегда ли компьютер должен использовать цифровую подпись в клиентских сеансах связи. Протокол проверки подлинности SMB (Server Message Block) в системах Windows 2000 Server, Windows 2000 Professional и Windows XP Professional поддерживает взаимную проверку подлинности, позволяющую отражать атаки «третьей стороны» (man-in-the-middle), и проверку подлинности сообщений, обеспечивающую защиту от атак через активные сообщения. Средства подписывания SMB обеспечивают такую проверку, помещая в каждый пакет SMB цифровую подпись, которая затем проверяется и клиентом, и сервером.

Чтобы использовать подписи SMB, необходимо разрешить или потребовать добавление подписей как на клиентском компьютере SMB, так и на сервере SMB. Если подписи SMB разрешены на сервере, то клиенты, на которых они также разрешены, будут использовать этот протокол подписывания пакетов во всех последующих сеансах. Если подписи SMB являются обязательными на сервере, клиент сможет установить сеанс только при условии, что на нем подписи SMB по крайней мере разрешены. Если данная политика включена, то клиент SMB обязан будет подписывать пакеты. Если политика отключена, от клиента SMB не требуется подписывать пакеты. По умолчанию: отключен. Использование подписей SMB неблагоприятно отражается на производительности системы. Этот процесс не требует дополнительной полосы пропускания сети, но использует больше ресурсов процессора как на стороне клиента, так и на стороне сервера.

К лиент сети Microsoft: использовать цифровую подпись (с согласия сервера)