Актуализиране на правилата за анализатор на най-добри практики на AD DS в Windows Server 2008 R2

Анализатор на най-добри практики в AD DS

Анализаторът за най-добри практики в AD DS може да ви помогне да реализирате най-добрите практики в конфигурацията на вашия домейн. След като инсталирате анализатор на най-добри практики на AD DS в домейновите контролери, на които се изпълнява Windows Server 2008 R2, анализатор на най-добри практики сканира ролята на AD DS Server и докладва за най-добри практики. Можете да филтрирате или да изключите резултати от отчетите за анализиране на най-добри практики на AD DS, от които не се нуждаете. Можете също да изпълнявате задачи за анализатор на най-добри практики на AD DS с помощта на графичния потребителски интерфейс (GUI) на диспечера на сървърите или чрез кратки команди за интерфейса на командния ред на Windows PowerShell.

Правилата, които са променени от тази актуализация

Тази актуализация добавя или актуализира следните правила в анализатора на най-добри практики в AD DS:

1. Потребителските акаунти и тръстове не трябва да бъдат конфигурирани за шифроване "само за DES".

2. Назначението "достъп до този компютър от мрежата" трябва да бъде предоставено на следните групи за защита на всички домейнови контролери:

   • Удостоверени потребители

   • Вградени администратори

   • Корпоративен домейнов контролер

   Командата "отказване на достъпа до този компютър от мрежата" не трябва да се предоставя на следните групи за защита на всички домейнови контролери:

   • Всички

   • Удостоверени потребители

   • Вградени администратори

   • Корпоративен домейнов контролер

3. Проверете дали обектите за групови правила по подразбиране за правилата на ДОМЕЙНИ (GPO) са свързани с всички обекти на компютъра за домейнов контролер дори ако някои обекти на компютъра не са в организационната единица за вградени домейнови контролери .

4. Ролята "образец за инфраструктура" и ролята на глобален каталог (GC) не трябва да се разрешават на един и същ сървър. Тези роли обаче могат да бъдат разрешени на един и същ сървър, когато е изпълнено едно от следните условия:

   • В гората съществува само един домейнов контролер.

   • Всички домейнови контролери в гората са сървъри на глобален каталог.

5. Всички външни обекти за сигурност в даден домейн трябва да имат разрешени функции за филтриране на SID. За повече информация за филтрирането на Сид посетете следния уеб сайт на Microsoft:

   Обща информация за филтрирането на Сид

Проблем, който е фиксиран в съществуващо правило

Правилото по-долу се прилага неправилно към записа на MaxPosPhaseCorrection:

• Стойността на записа на MaxNegPhaseCorrection в домейновия контролер трябва да е равна на 48 часа.

Преди да приложите тази актуализация, траекторията на системния регистър е неправилна настройка на следното местоположение:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrectionСлед като приложите тази актуализация, пътят на системния регистър се коригира към следното местоположение:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection

Актуализиране на информацията