Windows Server 2003 veya Windows 2000 etki alanýndaki Windows Vista istemci bilgisayarlarý için Grup Ýlkesi'ni kullanarak ayrýntýlý güvenlik denetimi ayarlarýný yapýlandýrma

Bu makalede, Windows Server 2003 veya Windows 2000 etki alanýndaki Windows Vista istemci bilgisayarlarýnda ayrýntýlý güvenlik denetimi ayarlarýný yapýlandýrmak üzere Grup Ýlkesi'nin nasýl kullanýlacaðý açýklanýr. Windows Vista'da, baðýmsýz denetim ilkesi alt kategorileri üzerinde önceki Windows iþletim sistemlerinden daha fazla denetime sahip olursunuz. Windows Vista'da kullanýlabilen baðýmsýz denetim ilkesi alt kategorileri, Grup Ýlkesi araçlarýnýn arabiriminde görüntülenmez. Yöneticiler bu makalede açýklanan yordamý kullanarak, bir Windows Server 2003 veya Windows 2000 etki alanýndaki Windows Vista istemci bilgisayarlarýna ayrýntýlý güvenlik denetimi ayarlarý uygulayan özel bir denetim ilkesini daðýtabilir.

Göz önüne alýnmasý gereken noktalar

Aþaðýda, bu makalede açýklanan yordamý gerçekleþtirmeden önce göz önüne almanýz gereken bazý noktalar açýklanmaktadýr:

• Yordamda örnek kod kullanýlýr. Örnek kod, Netlogon paylaþýmýný kullanýr. Ayrýca, örnek kod, önbellek olarak %SystemRoot%\Temp klasörünü kullanýr.
• Yordamda Contoso.com örnek etki alaný kullanýlýr.
• Yordamda, aþaðýdaki koþullarýn doðru olduðu varsayýlýr:
  • Aþaðýdaki teknoloji ve araçlar konusunda bilgi sahibisiniz:
    • Grup Ýlkesi baþlangýç komut dosyalarý
    • Grup Ýlkesi Yönetim Konsolu
    • Auditpol.exe komut satýrý aracý
  • Toplu iþ dosyasý çalýþtýrma konusunda temel bilgilere sahipsiniz.
  • Bir Windows Server 2003 veya Windows 2000 etki alanýndaki Windows Vista istemci bilgisayarlarý için bir denetim ilkesini yapýlandýrabilirsiniz. Denetim ilkesi, Varsayýlan Etki Alaný Ýlkesi'ne atanýr.
• Etki alaný tabanlý eski denetim ilkesi ayarlarýný Windows Vista'da kullanýlabilen ayrýntýlý denetim ilkesi ayarlarýyla geçersiz kýlmak üzere yordam tarafýndan kullanýlan komut dosyalarý konusunda bilgi sahibisiniz. Windows Vista'da kullanýlabilen ayrýntýlý denetim ilkesi ayarlarýný yapýlandýrmak istemezseniz, bu makalede anlatýlan yordamý kullanmayýn.

Windows Vista istemci bilgisayarlarý için ayrýntýlý güvenlik denetimi ayarlarýný yapýlandýrmak üzere Grup Ýlkesi'ni kullanma

Bir Windows Server 2003 veya Windows 2000 etki alanýndaki Windows Vista istemci bilgisayarlarýnda ayrýntýlý güvenlik denetimi ayarlarýný yapýlandýrmak üzere Grup Ýlkesi'ni kullanmak için aþaðýdaki adýmlarý izleyin.

Adým 1: Windows Vista istemci bilgisayarlarýna daðýtmak istediðiniz güvenlik denetimi ayarlarýný belirleyin

1. Windows Vista çalýþan bilgisayarda yönetici kimlik bilgileri olan bir kullanýcý olarak oturum açýn.
2. Baþlat'ý týklatýn, Tüm Programlar'ýn üzerine gelin, Donatýlar'ý týklatýn, Komut Ýstemi'ni sað týklatýn ve sonra da Yönetici olarak çalýþtýr'ý týklatýn.
3. Kullanýcý Hesabý Denetimi iletiþim kutusunda, Devam'ý týklatýn.
4. Varsayýlan denetim ilkesi ayarlarýný temizleyin. Bunu yapmak için, komut istemine aþaðýdaki satýrý yazýp ENTER tuþuna basýn:
   auditpol /clear
5. Auditpol.exe komut satýrý aracýný kullanarak, istediðiniz özel denetim ilkesi ayarlarýný yapýlandýrýn.
   
   Örneðin, komut istemine aþaðýdaki satýrlarý yazýn. Her satýrýn ardýndan ENTER tuþuna basýn.
   auditpol /set /subcategory:"user account management" /success:enable /failure:enable
   auditpol /set /subcategory:"logon" /success:enable /failure:enable
   auditpol /set /subcategory:"IPSEC Main Mode" /failure:enable
   Not Kullanabileceðiniz tüm kategori ve alt kategorileri görmek için, komut istemine aþaðýdaki satýrý yazýp ENTER tuþuna basýn:
   auditpol /list /subcategory:*
6. Komut istemine aþaðýdaki satýrý yazýn ve ENTER tuþuna basýn:
   auditpol /backup /file:auditpolicy.txt
7. Auditpolicy.txt dosyasýný, etki alanýndaki birincil etki alaný denetleyicisi (PDC) öykünücüsü rolüne sahip olan etki alaný denetleyicisinin Netlogon paylaþýmýna kopyalayýn.
   
   Auditpolicy.txt dosyasý yapýlandýrýlmýþ tüm denetim ilkesi ayarlarýný içerir. Baþlangýç komut dosyasý, ilkeyi yeniden uygulamak için bu dosyayý kullanýr. Baþlangýç komut dosyasýný bir kez baþarýyla uyguladýktan sonra, denetim ilkesi ayarlarýný güncelleþtirmek için bilgisayarý yeniden baþlatmanýz gerekmez. Denetim ilkesi ayarlarýný güncelleþtirmek için, Auditpolicy.txt dosyasýnýn Netlogon paylaþýmýna kopyaladýðýnýz önceki sürümünün üzerine yazýn. Bunu yapmak için, yeni bir Auditpolicy.txt dosyasý oluþturun ve bu yeni Auditpolicy.txt dosyasýný Netlogon paylaþýmýna kopyalayýn.

Adým 2: Eski etki alaný denetim ilkesinin Windows Vista istemci bilgisayarlarýndaki denetim ilkesinin üzerine yazmasýný engelleyin

Denetim ilkesinin eski etki alaný denetim ilkesi tarafýndan üzerine yazýlmasýný engellemek için, Denetim ilkesi kategori ayarlarýný geçersiz kýlmak için denetim ilkesi alt kategori ayarlarýný zorla (Windows Vista veya daha sonraki sürümü) ilke ayarýný etkinleþtirmelisiniz. Bu ayar, etki alaný tabanlý denetim ilkesinin Windows Vista istemci bilgisayarlarýndaki daha ayrýntýlý denetim ilkesi ayarlarýnýn üzerine yazmasýný engeller. Bunu yapmak için þu adýmlarý izleyin:

1. Bir etki alanýna katýlmýþ Windows Vista istemci bilgisayarýnda, Varsayýlan Etki Alaný Ýlkesi'ni açýn.
2. Sýrasýyla Bilgisayar Yapýlandýrmasý'ný, Windows Ayarlarý'ný, Güvenlik Ayarlarý'ný, Yerel Ýlkeler'i ve sonra da Güvenlik Seçenekleri'ni týklatýn.
3. Denetim: Denetim ilkesi kategori ayarlarýný geçersiz kýlmak için denetim ilkesi alt kategori ayarlarýný zorla (Windows Vista veya daha sonraki sürümü) ilke ayarýný çift týklatýn.
4. Etkin'i ve sonra Tamam'ý týklatýn.

Adým 3: Komut dosyalarýný oluþturun ve sonra da bunlarý Netlogon paylaþýmýna ekleyin

Microsoft, programlama örneklerini yalnýzca gösterim amacýyla saðlar; örtülü veya açýk garanti vermez. Buna satýlabilirlik veya belirli bir amaca uygunluk zýmni garantileri de dahildir, ancak bunlarla sýnýrlý deðildir. Bu makale, gösterilen programlama dilini ve yordamlarý oluþturmak ve hata ayýklamak amacýyla kullanýlan araçlarý kullanmayý bildiðinizi varsayar. Microsoft destek mühendisleri, belirli bir yordamýn iþlevselliðinin açýklanmasýna yardýmcý olabilir, ancak gereksinimlerinizi karþýlamaya yönelik olarak ek iþlevsellik saðlamak veya yordamlar geliþtirmek amacýyla bu örnekleri deðiþtirmezler.

1. AuditPolicy.cmd komut dosyasýný oluþturun. Bunu yapmak için þu adýmlarý izleyin:
   1. Not Defteri'ni baþlatýn ve boþ bir belge açýn.
   2. Aþaðýdaki kodu Not Defteri belgesine yapýþtýrýn:

      @echo off
      
      REM AuditPolicy.cmd
      REM (c) 2006 Microsoft Corporation.  Tüm haklarý saklýdýr.
      REM Windows Vista Parçalý Denetim Ýlkesi ayarlarýný
      REM daðýtmak için örnek Denetim Komut Dosyasý.
      
      REM Grup Ýlkesi'nden baþlangýç komut dosyasý olarak çalýþtýrýlmalýdýr
      
      REM ###################################################
      REM Dosya adlarýnýn/yollarýnýn komut dosyasýnda tek bir
      REM konumdan düzenlenebilmesi için Baðýmsýz Deðiþkenleri belirtin
      REM ###################################################
      
      set AuditPolicyLog=%systemroot%\temp\auditpolicy.log
      set OSVersionSwap=%systemroot%\temp\osversionwap.txt
      set OsVersionTxt=%systemroot%\temp\osversion.txt
      set MachineDomainTxt=%systemroot%\temp\machinedomain.txt
      set MachineDomainSwap=%systemroot%\temp\machinedomainSwap.txt
      set ApplyAuditPolicyCMD=applyauditpolicy.cmd
      set AuditPolicyTxt=auditpolicy.txt
      
      REM ###################################################
      REM Günlüðü Temizle ve temiz baþlat
      REM ###################################################
      
      if exist %AuditPolicyLog% del %AuditPolicyLog% /q /f
      date /t > %AuditPolicyLog% & time /t >> %AuditPolicyLog%
      echo.
      
      REM ###################################################
      REM ÝS Sürümünü Denetle
      REM ###################################################
      
      ver | findstr "[" > %OSVersionSwap%
      for /f "tokens=2 delims=[" %%i in (%OSVersionSwap%) do echo %%i > %OsVersionTxt%
      for /f "tokens=2 delims=] " %%i in (%OsVersionTxt%) do set osversion=%%i
      echo ÝS Sürümü=%osversion% >> %AuditPolicyLog%
      
      REM ###################################################
      REM Vista Öncesini Atla
      REM ###################################################
      
      if "%osversion%" LSS "6.0" exit /b 1
      
      REM ###################################################
      REM Etki Alaný Adýný Al
      REM ###################################################
      
      WMIC /namespace:\\root\cimv2 path Win32_ComputerSystem get domain /format:list > %MachineDomainSwap%
      find /i "Domain=" %MachineDomainSwap% > %MachineDomainTxt%
      for /f "Tokens=2 Delims==" %%i in (%MachineDomainTxt%) do set machinedomain=%%i
      echo Makine etki alaný=%machinedomain% >> %AuditPolicyLog%
      
      REM ###################################################
      REM Komut Dosyasýný ve Ýlkeyi Yerel Dizine Kopyala veya Sonlandýr
      REM ###################################################
      
      xcopy \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% %systemroot%\temp\*.* /r /h /v /y
      if %ERRORLEVEL% NEQ 0 (
          echo \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% okunamadý >> %AuditPolicyLog%
          exit /b 1
      ) else (
          echo \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% dosyasý %systemroot%\temp konumuna kopyalandý >> %AuditPolicyLog%
      )
      
      xcopy \\%machinedomain%\netlogon\%AuditPolicyTxt% %systemroot%\temp\*.* /r /h /v /y
      if %ERRORLEVEL% NEQ 0 (
          echo \\%machinedomain%\netlogon\%AuditPolicyTxt% okunamadý >> %AuditPolicyLog%
          exit /b 1
      ) else (
          echo \\%machinedomain%\netlogon\%AuditPolicyTxt% dosyasý %systemroot%\temp konumuna kopyalandý >> %AuditPolicyLog%
      )
      
      REM ###################################################
      REM Ýlkenin Uygulanacaðý Adlandýrýlmýþ ve Zamanlanmýþ Görevi Oluþtur
      REM ###################################################
      
      %systemroot%\system32\schtasks.exe /create /ru System /tn audit /sc hourly /mo 1 /f /rl highest /tr "%systemroot%\temp\%ApplyAuditPolicyCMD%"
      if %ERRORLEVEL% NEQ 0 (
          echo Denetim için zamanlanmýþ görev oluþturulamadý >> %AuditPolicyLog%
          exit /b 1
      ) else (
          echo Denetim için zamanlanmýþ görev oluþturuldu >> %AuditPolicyLog%
      )
      
      REM ###################################################
      REM Ýlkenin Uygulanacaðý Adlandýrýlmýþ ve Zamanlanmýþ Görevi Baþlat
      REM ###################################################
      
      %systemroot%\system32\schtasks.exe /run /tn audit
      if %ERRORLEVEL% NEQ 0 (
          Denetim için zamanlanmýþ görev yürütülemedi >> %AuditPolicyLog%
      ) else (
          echo Denetim için zamanlanmýþ görev yürütüldü >> %AuditPolicyLog%
      )

   3. Dosya menüsünde, Kaydet'i týklatýn.
   4. Kayýt türü kutusunda, Tüm Dosyalar'ý týklatýn, Dosya adý kutusuna AuditPolicy.cmd yazýn ve sonra da Kaydet'i týklatýn.
2. ApplyAuditPolicy.cmd komut dosyasýný oluþturun. Bunu yapmak için þu adýmlarý izleyin:
   1. Not Defteri'ni baþlatýn ve boþ bir belge açýn.
   2. Aþaðýdaki kodu Not Defteri belgesine yapýþtýrýn:

      @echo off
      
      REM ApplyAuditPolicy.cmd
      REM (c) 2006 Microsoft Corporation.  Tüm haklarý saklýdýr.
      REM Windows Vista Parçalý Denetim Ýlkesi ayarlarýný
      REM daðýtmak için örnek Denetim Komut Dosyasý.
      
      
      REM ###################################################
      REM Dosya adlarýnýn/yollarýnýn komut dosyasýnda tek bir
      REM konumdan düzenlenebilmesi için Baðýmsýz Deðiþkenleri belirtin
      REM ###################################################
      
      set DeleteAudit=DeleteAudit.txt
      set AuditPolicyLog=%systemroot%\temp\AuditPolicy.log
      set ApplyAuditPolicyLog=%systemroot%\temp\ApplyAuditPolicy.log
      set OSVersionSwap=%systemroot%\temp\osversionwap.txt
      set OsVersionTxt=%systemroot%\temp\osversion.txt
      set MachineDomainTxt=%systemroot%\temp\machinedomain.txt
      set MachineDomainSwap=%systemroot%\temp\machinedomainSwap.txt
      set ApplyAuditPolicyCMD=ApplyAuditpolicy.cmd
      set AuditPolicyTxt=AuditPolicy.txt
      
      REM ###################################################
      REM Günlüðü Temizle ve temiz baþlat
      REM ###################################################
      
      if exist %ApplyAuditPolicyLog% del %ApplyAuditPolicyLog% /q /f
      date /t > %ApplyAuditPolicyLog% & time /t >> %ApplyAuditPolicyLog%
      echo.
      
      REM ###################################################
      REM ÝS Sürümünü Denetle
      REM ###################################################
      
      ver | findstr "[" > %OSVersionSwap%
      for /f "tokens=2 delims=[" %%i in (%OSVersionSwap%) do echo %%i > %OsVersionTxt%
      for /f "tokens=2 delims=] " %%i in (%OsVersionTxt%) do set osversion=%%i
      echo ÝS Sürümü=%osversion% >> %ApplyAuditPolicyLog%
      
      REM ###################################################
      REM Vista Öncesini Atla
      REM ###################################################
      
      if "%osversion%" LSS "6.0" exit /b 1
      
      REM ###################################################
      REM Etki Alaný Adýný Al
      REM ###################################################
      
      WMIC /namespace:\\root\cimv2 path Win32_ComputerSystem get domain /format:list > %MachineDomainSwap%
      find /i "Domain=" %MachineDomainSwap% > %MachineDomainTxt%
      for /f "Tokens=2 Delims==" %%i in (%MachineDomainTxt%) do set machinedomain=%%i
      echo Makine etki alaný=%machinedomain% >> %ApplyAuditPolicyLog%
      
      REM ###################################################
      REM Denetim Görevini Sil
      REM Yalnýzca sözde ilkeyi istemci makinelerden kaldýrmak için
      REM kullanýlmalýdýr (bu komut dosyasýnýn artýk gerekli
      REM olmayacaðý ve kullanýlmayacaðý sonraki Vista
      REM düzenlemeleri için tasarlanmýþtýr).
      REM Kullanmak için, NETLOGON paylaþýmýnda yukarýdaki
      REM DeleteAudit deðiþkenin içeriðiyle eþlenen adla bir dosya oluþturun
      REM ###################################################
      
      if exist \\%machinedomain%\netlogon\%DeleteAudit% (
          %systemroot%\system32\schtasks.exe /delete /tn "Audit" /F
          DEL %AuditPolicyLog%
          DEL %ApplyAuditPolicyLog%
          DEL %OSVersionSwap%
          DEL %OsVersionTxt%
          DEL %MachineDomainTxt%
          DEL %MachineDomainSwap%
          DEL %systemroot%\temp\%ApplyAuditPolicyCMD%
          DEL %systemroot%\temp\%AuditPolicyTxt%
          exit /b 1
      ) 
      
      REM ###################################################
      REM Denetim Ýlkesini Yerel Dizine Kopyala
      REM Kopyalama iþlemi yalnýzca "önbelleði temizleme" olduðu için,
      REM bu iþlem hatalarý önler.
      REM ###################################################
      
      xcopy \\%machinedomain%\netlogon\%AuditPolicyTxt% %systemroot%\temp\*.* /r /h /v /y
      if %ERRORLEVEL% NEQ 0 (
          echo \\%machinedomain%\netlogon\%AuditPolicyTxt% okunamadýðýndan önbellekteki önceki kopyasý kullanýlýyor >> %ApplyAuditPolicyLog%
      ) else (
          echo \\%machinedomain%\netlogon\%AuditPolicyTxt% dosyasý %systemroot%\temp komununa kopyalandý >> %ApplyAuditPolicyLog%
      )
      
      REM ###################################################
      REM Ýlkeyi Uygula
      REM ###################################################
      
      %systemroot%\system32\auditpol.exe /restore /file:%systemroot%\temp\%AuditPolicyTxt%
      if %ERRORLEVEL% NEQ 0 (
          echo Denetim ayarlarý uygulanamadý >> %ApplyAuditPolicyLog%
      ) else (
          echo Denetim ayarlarý baþarýyla uygulandý >> %ApplyAuditPolicyLog%
      )

   3. Dosya menüsünde, Kaydet'i týklatýn.
   4. Kayýt türü kutusunda, Tüm Dosyalar'ý týklatýn, Dosya adý kutusuna ApplyAuditPolicy.cmd yazýn ve sonra da Kaydet'i týklatýn.
3. AuditPolicy.cmd ve ApplyAuditPolicy.cmd komut dosyalarýný, etki alanýndaki PDC öykünücüsü rolüne sahip olan etki alaný denetleyicisinin Netlogon paylaþýmýna kopyalayýn.
4. Active Directory çoðaltmasý gerçekleþtirilinceye kadar bekleyin. Ayrýca, sistem birimi (SYSVOL) paylaþýlan klasöründeki dosya ve klasörler etki alanýndaki denetleyicilere çoðaltýlýncaya kadar bekleyin.
5. Baþlangýç komut dosyasýný Varsayýlan Etki Alaný Ýlkesi'ne ekleyin. Bunu yapmak için þu adýmlarý izleyin:
   1. Active Directory Kullanýcýlarý ve Bilgisayarlarý aracýný baþlatýn.
   2. EtkiAlanýAdý'ný sað týklatýn ve sonra da Özellikler'i týklatýn.
   3. Sýrasýyla Grup Ýlkesi sekmesini, Varsayýlan Etki Alaný Ýlkesi'ni ve sonra da Düzenle'yi týklatýn. Grup Ýlkesi Nesne Düzenleyicisi aracý baþlatýlýr.
   4. Bilgisayar Yapýlandýrmasý'ný geniþletin, Windows Ayarlarý'ný geniþletin ve ardýndan Komut Dosyalarý (Baþlangýç/Kapatma) öðesini týklatýn.
   5. Baþlangýç'ý çift týklatýn ve sonra Ekle'yi týklatýn.
   6. Komut Dosyasý Adý kutusuna, Netlogon paylaþýmýnda bulunan AuditPolicy.cmd dosyasýnýn evrensel adlandýrma kuralý (UNC) yolunu yazýn. Þu biçimi kullanýn:
      \\TamEtkiAlanýAdý\Netlogon\AuditPolicy.cmd
      Örneðin, \\contoso.com\netlogon\auditpolicy.cmd yazýn.
   7. Ýki kez Tamam'ý týklatýn.

Adým 4: Güvenlik denetimi ayarlarýnýn baþarýyla uygulandýðýný doðrulayýn

1. Active Directory çoðaltmasý gerçekleþtirilinceye kadar bekleyin. Ayrýca, sistem birimi (SYSVOL) paylaþýlan klasöründeki dosya ve klasörler etki alanýndaki denetleyicilere çoðaltýlýncaya kadar bekleyin.
2. Etki alanýna katýlmýþ bir Windows Vista istemci bilgisayarýný yeniden baþlatýn. Ardýndan, yönetici kimlik bilgileri olan bir kullanýcý olarak bilgisayarda oturum açýn.
3. Baþlat'ý týklatýn, Tüm Programlar'ýn üzerine gelin ve sonra da Donatýlar'ý týklatýn.
4. Komut Ýstemi'ni sað týklatýn ve ardýndan Yönetici olarak çalýþtýr'ý týklatýn.
5. Kullanýcý Hesabý Denetimi iletiþim kutusunda, Devam'ý týklatýn.
6. Komut istemine aþaðýdaki satýrý yazýp ENTER tuþuna basýn:
   auditpol /get /category:*
7. Komut isteminde görüntülenen güvenlik denetimi ayarlarýnýn, "Adým 1: Windows Vista istemci bilgisayarlarýna daðýtmak istediðiniz güvenlik denetimi ayarlarýný belirleyin" bölümünde oluþturulan AuditPolicy.txt dosyasýnda yapýlandýrýlmýþ ayarlarla eþlendiðini doðrulayýn.
   
   Güvenlik denetimi ayarlarý eþlenmezse, baþlangýç komut dosyasý tarafýndan %SystemRoot%\Temp klasöründe oluþturulan günlük dosyalarýný inceleyin. %SystemRoot%\Temp klasöründe günlük dosyasý yoksa, Grup Ýlkesi'nin neden uygulanmadýðýný belirlemek üzere Windows Vista istemci bilgisayarýný inceleyin.

Active Directory'de baþlangýç komut dosyalarýný yapýlandýrma hakkýnda daha fazla bilgi için aþaðýdaki Microsoft Web sitelerini ziyaret edin: Grup Ýlkesi Yönetim Konsolu hakkýnda daha fazla bilgi için, aþaðýdaki Microsoft Web sitesini ziyaret edin:Auditpol.exe ve Schtasks.exe komut satýrý araçlarý hakkýnda daha fazla bilgi için, Windows Vista Yardým ve Destek bölümüne bakýn.