Обновление правил анализатора соответствия рекомендациям доменных служб Active Directory в Windows Server 2008 R2

Анализатор соответствия рекомендациям для доменных служб Active Directory

Анализатор соответствия рекомендациям для доменных служб Active Directory поможет вам реализовать рекомендации в конфигурации домена. После установки анализатора соответствия рекомендациям для доменных служб Active Directory на контроллерах домена под управлением Windows Server 2008 R2 анализатор соответствия рекомендациям проверит роль сервера доменных служб Active Directory и сообщит о нарушениях рекомендаций. Вы можете отфильтровать и исключить результаты из анализатора соответствия рекомендациям из доменных служб Active Directory, которые вам не нужны. Вы также можете выполнить задачи анализатора соответствия рекомендациям доменных служб Active Directory с помощью графического интерфейса пользователя (GUI) диспетчера серверов или командлетов для интерфейса командной строки Windows PowerShell.

Правила, измененные данным обновлением

Это обновление добавляет или обновляет указанные ниже правила в анализаторе соответствия рекомендациям доменных служб Active Directory.

1. Учетные записи пользователей и доверительные отношения не должны быть настроены на шифрование только с помощью алгоритма DES.

2. Назначение прав пользователя "доступ к компьютеру из сети" должно быть предоставлено следующим группам безопасности на всех контроллерах домена:

   • Прошедшие проверку

   • Встроенные администраторы

   • Контроллер домена предприятия

   Назначение прав пользователя "запретить доступ к этому компьютеру из сети" не должно предоставляться следующим группам безопасности на всех контроллерах домена:

   • Пользователю

   • Прошедшие проверку

   • Встроенные администраторы

   • Контроллер домена предприятия

3. Убедитесь в том, что объекты групповой политики для политики контроллеров домена по умолчанию связаны со всеми объектами компьютера контроллера домена, даже если некоторые объекты компьютера не находятся во встроенном подразделении контроллеров домена .

4. Роль хозяина инфраструктуры и роль глобального каталога (GC) не следует включать на одном и том же сервере. Однако эти роли можно включить на одном и том же сервере, если выполняется одно из указанных ниже условий.

   • В лесу есть только один контроллер домена.

   • Все контроллеры домена в лесу являются серверами глобального каталога.

5. Для всех внешних объектов доверия в домене должна быть включена функция фильтрации SID. Дополнительные сведения о фильтрации SID можно найти на веб-сайте корпорации Майкрософт по следующему адресу:

   Общие сведения о фильтрации SID

Проблема, исправленная в существующем правиле

Следующее правило неправильно применено к записи MaxPosPhaseCorrection:

• Значение элемента MaxNegPhaseCorrection на контроллере домена должно быть равно 48 часов.

Перед тем как приступить к установке этого обновления, неверно указан путь в реестре в следующем расположении:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxPosPhaseCorrectionПосле применения этого обновления путь к реестру будет исправлен в следующем расположении:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\W32Time\Config\MaxNegPhaseCorrection

Сведения об обновлении