Atualização das regras do analisador de práticas recomendadas do AD DS no Windows Server 2008 R2

Analisador de práticas recomendadas do AD DS

Analisador de práticas recomendadas do AD DS pode ajudá-lo a implementar práticas recomendadas na configuração do seu domínio. Após a instalação do AD DS Best Practices Analyzer nos controladores de domínio que estão executando o Windows Server 2008 R2, o Best Practices Analyzer varre a função de servidor AD DS e relata violações de práticas recomendadas. Você pode filtrar ou excluir resultados de relatórios do analisador de práticas recomendadas do AD DS que não é necessário. Você também pode executar as tarefas de analisador de práticas recomendadas do AD DS usando o Gerenciador de servidores interface gráfica do usuário (GUI) ou usando os cmdlets para a interface de linha de comando do Windows PowerShell.

Regras são alteradas por esta atualização

Esta atualização adiciona ou atualiza as regras a seguir no analisador de práticas recomendadas do AD DS:

1. Relações de confiança e contas de usuário não devem ser configuradas para criptografia "Somente DES".

2. A atribuição de direito de usuário "Acesso a este computador pela rede" deve ser concedida aos seguintes grupos de segurança em todos os controladores de domínio:

   • Usuários autenticados

   • Administradores internos

   • Controlador de domínio de empresa

   A atribuição de direito de usuário "Negar acesso a este computador pela rede" não deve ser concedida aos seguintes grupos de segurança em todos os controladores de domínio:

   • Todas as pessoas

   • Usuários autenticados

   • Administradores internos

   • Controlador de domínio de empresa

3. Valide que os objetos de diretiva de grupo Default Domain Controllers Policy (GPO) estão vinculados a todos os objetos de computador de controlador de domínio, mesmo se alguns objetos de computador não estiverem na unidade organizacional Controladores de domínio interna.

4. A função de mestre de infra-estrutura e a função do catálogo global (GC) não devem ser ativados no mesmo servidor. No entanto, essas funções podem ser habilitadas no mesmo servidor quando uma das seguintes condições for verdadeira:

   • Existe apenas um controlador de domínio na floresta.

   • Todos os controladores de domínio na floresta são servidores de catálogo global.

5. Todos os objetos de relação de confiança externa em um domínio devem ter o recurso de filtragem de SID habilitado. Para obter mais informações sobre filtragem SID, visite o seguinte site da Microsoft:

   Informações gerais sobre a filtragem SID

Um problema corrigido em uma regra existente

A seguinte regra é aplicada incorretamente a entrada MaxPosPhaseCorrection:

• O valor da entrada MaxNegPhaseCorrection no controlador de domínio deve ser igual a 48 horas.

Antes de aplicar essa atualização, um caminho de registro é definido incorretamente no seguinte local:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrectionDepois de aplicar essa atualização, o caminho do registro é corrigido para o seguinte local:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection

Informações de atualização