Aktualizacja reguł analizatora najlepszych rozwiązań dotyczących usług AD DS w systemie Windows Server 2008 R2

Analizator najlepszych rozwiązań dotyczących usług AD DS

Analizator najlepszych rozwiązań dotyczących usług AD DS może ułatwić implementację najważniejszych wskazówek w konfiguracji domeny. Po zainstalowaniu analizatora najlepszych rozwiązań usług AD DS na kontrolerach domeny z systemem Windows Server 2008 R2 Analizator najlepszych rozwiązań skanuje rolę serwera usług AD DS i zgłasza niezgodności z najlepszymi praktykami. Wyniki można filtrować lub wykluczać z raportów analizatora najlepszych rozwiązań usług AD DS, których nie potrzebujesz. Zadania Analizatora najlepszych rozwiązań usług AD DS można również wykonywać przy użyciu graficznego interfejsu użytkownika Menedżera serwera (GUI) lub za pomocą poleceń cmdlet dla interfejsu wiersza polecenia programu Windows PowerShell.

Reguły zmienione przez tę aktualizację

Ta aktualizacja dodaje lub aktualizuje następujące reguły w narzędziu Analizator najważniejszych wskazówek dotyczących usług AD DS:

1. Konta użytkowników i relacje zaufania nie powinny być skonfigurowane do szyfrowania "DES-Only".

2. Przypisanie prawa użytkownika "Uzyskiwanie dostępu do tego komputera z sieci" powinno być przyznane następującym grupom zabezpieczeń na wszystkich kontrolerach domeny:

   • Użytkownicy uwierzytelnieni

   • Wbudowani Administratorzy

   • Kontroler domeny przedsiębiorstwa

   Przypisanie prawa użytkownika "odmowa dostępu do tego komputera z sieci" nie powinno być udzielane następującym grupom zabezpieczeń na wszystkich kontrolerach domeny:

   • Wszyscy

   • Użytkownicy uwierzytelnieni

   • Wbudowani Administratorzy

   • Kontroler domeny przedsiębiorstwa

3. Sprawdź, czy obiekty zasad grupy domyślnych zasad kontrolerów domeny są połączone z wszystkimi obiektami komputera kontrolera domeny, nawet jeśli niektóre obiekty komputerów nie znajdują się w wbudowanej jednostce organizacyjnej kontrolery domeny .

4. Roli wzorca infrastruktury i roli wykaz globalny (GC) nie należy włączać na tym samym serwerze. Jednak te role można włączyć na tym samym serwerze, gdy jest spełniony co najmniej jedno z następujących warunków:

   • W lesie istnieje tylko pojedynczy kontroler domeny.

   • Wszystkie kontrolery domeny w lesie są serwerami wykazu globalnego.

5. Wszystkie obiekty zaufania zewnętrznego w domenie muszą mieć włączoną funkcję filtrowania identyfikatorów SID. Aby uzyskać więcej informacji na temat filtrowania identyfikatorów SID, odwiedź następującą witrynę firmy Microsoft w sieci Web:

   Informacje ogólne na temat filtrowania identyfikatorów SID

Problem rozwiązany w istniejącej regule

Następująca reguła jest niepoprawnie stosowana w odniesieniu do wpisu MaxPosPhaseCorrection:

• Wartość wpisu MaxNegPhaseCorrection na kontrolerze domeny powinna być równa 48 godzin.

Przed zastosowaniem tej aktualizacji ścieżka rejestru jest niepoprawnie ustawiona w następującej lokalizacji:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrectionPo zastosowaniu tej aktualizacji ścieżka rejestru zostanie poprawiona do następującej lokalizacji:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection

Informacje o aktualizacji