Aktualizace pravidel Analyzátoru osvědčených postupů služby AD DS v systému Windows Server 2008 R2

Analyzátor osvědčených postupů služby AD DS

Analyzátor osvědčených postupů služby AD DS vám pomůže při implementaci osvědčených postupů v konfiguraci vaší domény. Po instalaci analyzátoru osvědčených postupů služby AD DS na řadičích domény, na kterých je nainstalovaný Windows Server 2008 R2, Analyzátor osvědčených postupů zkontroluje roli serveru AD DS a ohlásí porušení osvědčených postupů. Výsledky v sestavách analyzátoru osvědčených postupů služby AD DS můžete filtrovat nebo vyloučit, které nepotřebujete. Úlohy Analyzátoru osvědčených postupů služby AD DS můžete také provést pomocí grafického uživatelského rozhraní (GUI) správce serveru nebo pomocí rutin pro rozhraní příkazového řádku Windows PowerShell.

Pravidla změněná touto aktualizací

Tato aktualizace přidá nebo aktualizuje následující pravidla v analyzátoru osvědčených postupů služby AD DS:

1. Uživatelské účty a vztahy důvěryhodnosti by neměly být nakonfigurovány pro šifrování "DES-Only".

2. Oprávnění k přístupu k tomuto počítači ze sítě by mělo být přiděleno následujícím skupinám zabezpečení na všech řadičích domény:

   • Ověření uživatelé

   • Přednastavení správci

   • Podnikový řadič domény

   Oprávnění Odepřít přístup k tomuto počítači ze sítě se uživateli neuděluje následujícím skupinám zabezpečení na všech řadičích domény:

   • Směr

   • Ověření uživatelé

   • Přednastavení správci

   • Podnikový řadič domény

3. Ověřte, jestli jsou objekty zásad skupiny (GPO) výchozích zásad řadičů domény propojené se všemi objekty počítačů řadiče domény, a to i v případě, že některé objekty počítače nejsou v organizační jednotce předdefinovaných řadičů domény .

4. Roli hlavního serveru infrastruktury a roli globálního katalogu (GC) byste neměli povolit na stejném serveru. Tyto role však lze povolit na stejném serveru, pokud platí jedna z následujících podmínek:

   • V doménové struktuře je jenom jeden řadič domény.

   • Všechny řadiče domény v doménové struktuře jsou servery globálního katalogu.

5. U všech objektů externích vztahů důvěryhodnosti v doméně musí být povolena funkce filtrování identifikátorů SID. Další informace o filtrování identifikátorů SID najdete na následujícím webu společnosti Microsoft:

   Obecné informace o filtrování identifikátorů SID

Problém opravený v existujícím pravidle

Nesprávné použití následujícího pravidla u položky MaxPosPhaseCorrection:

• Hodnota položky MaxNegPhaseCorrection v řadiči domény by měla být 48 hodin.

Než použijete tuto aktualizaci, bude cesta registru nesprávně nastavena do následujícího umístění:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrectionPo instalaci této aktualizace se cesta registru opraví do následujícího umístění:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection

Aktualizace informací