Actualizare pentru regulile Analyzer AD DS pentru cele mai bune practici din Windows Server 2008 R2

Analizor de cele mai bune practici AD DS

Analizor de bune practici AD DS vă poate ajuta să implementați cele mai bune practici în configurarea domeniului. După ce instalați Analyzer AD DS cele mai bune practici în controlerele de domeniu care execută Windows Server 2008 R2, cele mai bune practici Analyzer scanează rolul de server AD DS și raportează încălcările bunelor practici. Puteți să filtrați sau să excludeți rezultatele din rapoartele de analiză a celor mai bune practici din AD DS de care nu aveți nevoie. De asemenea, aveți posibilitatea să efectuați activitățile Analyzer pentru cele mai bune practici din AD DS utilizând interfața grafică cu utilizatorul a serverului Manager (GUI) sau utilizând cmdleturi pentru interfața linie de comandă Windows PowerShell.

Reguli care sunt modificate de această actualizare

Această actualizare adaugă sau actualizează regulile următoare în AD DS cele mai bune practici Analyzer:

1. Conturile de utilizator și trusturile nu trebuie configurate pentru criptarea "DES-Only".

2. Atribuirea corectă a utilizatorului "accesați acest computer din rețea" ar trebui să fie acordată următoarelor grupuri de securitate pentru toate controlerele de domeniu:

   • Utilizatori autentificați

   • Administratori predefinite

   • Controler de domeniu de întreprindere

   Atribuirea corectă a utilizatorului "refuzați accesul la acest computer din rețea" nu trebuie acordată următoarelor grupuri de securitate pentru toate controlerele de domeniu:

   • Toată lumea

   • Utilizatori autentificați

   • Administratori predefinite

   • Controler de domeniu de întreprindere

3. Validați faptul că obiectele politicii de grup politica controlerele de domeniu (GPO) implicite sunt legate la toate obiectele computer controler de domeniu, chiar dacă unele obiecte de computer nu se află în unitatea organizațională Controlere de domeniu predefinite.

4. Rolul coordonator de infrastructură și rolul global catalog (GC) nu trebuie activate pe același server. Cu toate acestea, aceste roluri pot fi activate pe același server atunci când una dintre următoarele condiții este adevărată:

   • Există doar un singur controler de domeniu în pădure.

   • Toate controlerele de domeniu din pădure sunt servere de catalog global.

5. Toate obiectele Trust extern dintr-un domeniu trebuie să aibă activată caracteristica de filtrare SID. Pentru mai multe informații despre Filtrarea SID, vizitați următorul site Web Microsoft:

   Informații generale despre Filtrarea SID

O problemă remediată într-o regulă existentă

Următoarea regulă se aplică incorect la intrarea MaxPosPhaseCorrection:

• Valoarea intrării MaxNegPhaseCorrection din controlerul de domeniu trebuie să fie egală cu 48 de ore.

Înainte de a aplica această actualizare, o cale de registry este setată incorect la următoarea locație:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrectionDupă ce aplicați această actualizare, calea de registry este corectată la următoarea locație:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection

Informații despre actualizare