Роман Клименко - Windows Vista. Для профессионалов

– infoClsid – содержит CLSID-номер, который определяет интерфейс INapComponentlnfo СОМ-сервера. Тип: string.

– isBound – определяет, ограничен ли клиент SHA агентом NAP. Тип: boolean.

– percentage – указывает процент выполнения приготовлений. Если значение свойства равно 101, то данное свойство не поддерживается. Тип: uint8.

– registrationDate – определяет дату регистрации данного клиента SНА. Тип: string.

– vendorName – указывает производителя данного клиента SHA. Тип: string.

– Version – определяет версию данного клиента SHA. Тип: string.

• NAP_EnforcementClient – содержит информацию о зарегистрированных клиентах, доступ к которым можно ограничить (ЕС). Именно экземпляры этого класса отображаются в подразделе Клиенты системы ограничений оснастки Конфигурация клинета NAP. Данный класс включает в себя следующие свойства, доступные только для чтения.

– f riendlyName – определяет название клиента ЕС. Тип: string.

– id – является ключевым. Оно определяет идентификатор клиента ЕС, по которому можно получить доступ к свойствам данного экземпляра класса. Тип: uint32.

– infoClsid – содержит CLSID-номер, который определяет интерфейс INapComponentlnfo СОМ-сервера. Тип: string.

– isBound – определяет, ограничен ли клиент ЕС агентом NAP. Тип: boolean.

– registrationDate – указывает дату регистрации данного клиента ЕС. Тип: string.

– vendorName – определяет производителя данного клиента ЕС. Тип: string.

– Version – указывает версию данного клиента ЕС. Тип: string.

Безопасность

Диспетчер авторизации

CLSID-номер оснастки: {1F5EEC01-1214-4D94-80C5-4BDCD2014DDD}.

Библиотека: azroleui.dll.

Используется в стандартных консолях: azman.msc.

Данная оснастка представляет собой нововведение операционной системы Windows Vista. С ее помощью можно управлять хранилищем авторизации, которое включает в себя данные менеджера авторизации, необходимые для работы некоторых программ.

Оснастка Диспетчер авторизации может работать только на локальном компьютере, и после ее первого запуска вам предложат создать хранилище авторизации. Если вы этого не сделаете, то при следующем запуске оснастки она сообщит вам о том, что хранилище авторизации не обнаружено. В этом случае нужно в меню Действие консоли выбрать команду Параметры. После этого перед вами отобразится окно, в котором можно выбрать режим работы с хранилищем авторизации. По умолчанию используется режим администратора, в котором можно только управлять готовым хранилищем авторизации. Если же нужно создать новое хранилище авторизации, то требуется перейти в режим разработчика (установить переключатель окна в положение Режим разработчика). После этого в меню Действие появится новая команда – Новое хранилище авторизации, с помощью которой можно создать новое хранилище авторизации.

Окно, вызываемое командой Новое хранилище авторизации (рис. 5.7), позволяет выбрать путь к хранилищу авторизации, его описание, а также формат файла, в котором хранилище будет содержаться. Возможны следующие форматы файла.

Рис. 5.7. Окно создания хранилища авторизации

• Служба Active Directory или ADAM (Active Directory Application Mode) – позволяет содержать хранилище авторизации на контроллере домена Active Directory. В этом случае указывать путь к хранилищу авторизации не нужно.

• Файл XML – позволяет содержать хранилище авторизации в XML-файле. Это наиболее медленный и небезопасный способ хранения, но для его использования не требуется ни разворачивания домена Active Directory, ни установки базы данных Microsoft SQL. По умолчанию хранилище авторизации будет содержаться в папке Документы профиля пользователя.

• Сервер Microsoft SQL – позволяет содержать хранилище авторизации в базе данных SQL. В этом случае нужно указать путь к серверу SQL.

Можно также выбрать версию схемы для создаваемого хранилища авторизации. Вторая версия более функциональна, чем первая, но к ней не смогут получить доступ клиенты, использующие первую версию схемы.

После того как вы создадите хранилище авторизации, оно автоматически будет загружено в оснастку Диспетчер авторизации. Созданное вами хранилище пока что является пустым, и для его использования нужно создать набор групп пользователей, к которым будут применяться настройки этого хранилища. Но сначала рассмотрим параметры настройки самого хранилища авторизации. Для их отображения нужно выбрать команду Свойства из контекстного меню созданного вами хранилища авторизации (то есть из контекстного меню раздела Корень консоли → Диспетчер авторизации → «название вашего хранилища авторизации» консоли управления Microsoft). После этого перед вами отобразится окно, представленное на рис. 5.8.

Оно содержит следующие вкладки.

• Общие – позволяет изменить путь к хранилищу авторизации, его название и описание.

• Число попыток – дает возможность настроить таймаут ожидания ответа от запросов LDAP, применения правил хранилища авторизации, а также максимальное количество кэшируемых правил хранилища авторизации.

• Безопасность – позволяет определить права доступа к хранилищу авторизации определенных учетных записей пользователей. Пользователи могут обладать либо правами администратора, либо только правами на чтение.

Создание групп пользователей

После этого в контекстном меню раздела Группы хранилища авторизации нужно выбрать команду Новая группа приложения. Это приведет к отображению окна Создание группы пользователей приложения (рис. 5.9). С его помощью можно указать имя группы, ее описание, а также тип. В зависимости от типа группы изменяется способ добавления учетных записей пользователей к ней. Существуют следующие типы групп.

• Группа приложений бизнес-правила – пользователи добавляются в группу на основе сценария, создаваемого непосредственно в окне свойств группы, или сценария, хранящегося в одной из папок файловой системы компьютера. Сценарий можно создавать как на языке Jscript, так и на VBScript.

• Группа приложений запросов LDAP – пользователи добавляются в группу на основе создаваемого на вкладке Запрос окна свойств группы, запроса к каталогу Active Directory.

• Группа основных приложений – стандартная группа, пользователи которой могут добавляться как с помощью других групп хранилища авторизации, так и с помощью стандартного выбора учетной записи пользователя, имеющейся на этом компьютере или компьютере контроллера домена. Окно свойств данной группы содержит вкладки Члены группы и Исключения. С помощью первой вкладки можно указать пользователей, входящих в группу, а с помощью второй вкладки – пользователей, не входящих в группу. Обе вкладки содержат раскрывающийся список Выбрать дополнительных участников из, с помощью которого можно выбрать либо добавление пользователей на основе уже существующих в хранилище авторизации групп (Диспетчер авторизации), либо добавление учетной записи локального пользователя операционной системы (Windows и Active Directory).