[مهندس بهزاد انصاری]

نصب نرم افزار روی تمام کامپیوتر های شبکه
--------------------------------------------------------------------------------


در این مقاله قصد دارم روش نصب یک نرم افزار روی تمام یک Domain و یا OU را مورد بررسی قرار دهم. مسئله ساده ای است و بسیار کاربرد دارد. معمولا آنچه که می خواهیم روی کامپیوتر های کلاینت نصب کنیم سه دسته می شوند:
1. فایل های MSU که مربوط به به روز رسانی های ویندوز می شود. با WSUS آن ها را منتشر می کنیم و در اینجا بررسی نمی شوند.
2. فایل های MSI که با کمترین زحمتی قابل نصب روی تمام کلاینت های مورد نظر هستند و در اینجا روی این فایل ها تمرکز نمی کنیم.
3.فایل های غیر از MSI مانند EXE که می خواهیم روی تمام کلاینت های مورد نظر نصب شوند و قدری کار بیشتر نیاز است.

برای نصب یک نرم افزار باید مراحل زیر را طی کنیم.

- دسترسی به Group Policy مربوط به OU یا دامین ... مورد نظر. مثلا در کنسول Active Directory Users and Computers روی OU مورد نظر کلیک راست کرده و Properties را می زنیم. در زبانه Group Policy دکمه Edit را می زنیم.

- می دانیم قسمت Computer Configuration مربوط به کامپیوتر ها و قسمت User Configuration مربوط به User ها می باشد. بر اساس سناریو انتخاب می کنیم که از کدام یک استفاده کنیم. هرچند هریک محدودیت هایی دارند که در ادامه ذکر می شوند.

- باید یک Package برای نصب آماده کنیم. برای این کار روی Software Installation در قسمت مورد نظر کلیک راست می کنیم و سپس در New گزینه Package را انتخاب می کنیم. بر حسب آنکه فایل MSI است یا نه در اینجا باید مراحل مختلفی را انجام دهیم. اگر MSI باشد، فایل را انتخاب می کنیم و مراحل ساخت پکیج را ادامه می دهیم. اما اگر ZAP باشد باید ابتدا یک ZAP فایل بسازیم که در ادامه توضیح می دهم.

*مهم: در هنگام انتخاب مسیر فایل Installation و ZAP فایل فراموش نکنید و تاکید می کنم فراموش نکنید که مسیر فایل را در شبکه وارد کنید. مثلا از طریق My Network Places مسیر را وارد کنید یا مثلا :

\\Server1\office\word.msi

بنابراین بدیهی است که باید فایل ها Share باشند. البته اگر فراموش کنید، ویندوز با پیام هشداری به شما یادآوری می کند.

- پس از ساخت پکیج سه گزینه در دسترس داریم:

Published : اگر یک package به صورت published تنظیم شود، اولین باری که کاربر login کند Add Remove Program برای او نمایش داده خواهد شد و می تواند انتخاب کند که برنامه نصب شود یا خیر.
Assigned : اگر یک Package به صورت Assigned به کاربری تنظیم شود، اولین باری که کاربر Login کند برنامه نصب می شود و پیش از اولین بار اجرا نهایی می شود. اگر یک Package به صورت Assigned به کامپیوتری تنظیم شود، اولین باری که ویندوز ستارت می شود پکیج نصب می شود و پیش از اولین اجرا نهایی می شود. برای تمام کاربران آن کامپیوتر نرم افزار قابل دسترسی خواهد بود.

بدیهی است از آنجا که کامپیوتر ها نمی توانند تصمیم بگیرند که آیا یک پکیج نصب شود یا خیر، گزینه Published برای کامپیوتر ها غیر فعال است.

فایل های ZAP فقط می توانند برای کاربران یعنی در قسمت User Configuration تنظیم شوند. چرا که فایل های ZAP از برنامه نصب کننده اختصاصی خود استفاده می کنند و نمی توانند از elevated privileges استفاده کنند. بنابراین در هنگام نصب اگر Administrative Permission نیاز باشد تنها کاربرانی که دارای این مجوز هستند می توانند این فایل را نصب کنند . بنابراین باید Published شوند تا کاربری مراحل نصب را انجام دهد.

Advanced : تنظیمات اضافی را در اختیار قرار می دهد. بسیاری از نکات از جمله Advanced را فعلا صرف نظر می کنیم.

توجه : به نسخه های 32 بیتی و 64 بیتی توجه کنید.

ساختن یک ZAP فایل:
Zap فایل یک فایل متنی است که بنابراین می تواند به راحتی با Notepad و یا هر ویرایشگر متن دیگری نوشته شود. در اینجا دو مثال برای ساخت Zap فایل ارائه می دهم. مثال اول کوتاه، خلاصه و کافی است و در مثال دوم اطلاعات بیشتری ارائه شده.

* به آسانی کد زیر را در NotePad کپی پیست کنید و تغییرات لازم را انجام دهید و آن را با پسوندzap ذخیره کنید. در این مثال Excel 2007 را نصب می کنیم. دقت کنید که فایل را با پسوند zap.txt به اشتباه ذخیره نکنید.


کد های مربوط به یک ZAP فایل - مثال 1 :

[Application]

FriendlyName = "Microsoft Excel 2007"
SetupCommand="\\server5\share\Excel 2007\setup.exe"

کد های مربوط به یک ZAP فایل - مثال 2 :

[Application]
; Only FriendlyName and SetupCommand are required,
; everything else is optional.

; FriendlyName is the name of the program that
; will appear in the software installation snap-in
; and the Add/Remove Programs tool.
; REQUIRED
FriendlyName = "Microsoft Excel 97"

; SetupCommand is the command line used to
; run the program's Setup. With Windows Server 2003
; and later you must specify the fully qualified
; path containing the setup program.
; Long file name paths need to be quoted. For example:
; SetupCommand = "\\server\share\long _ ; folder\setup.exe" /unattend
; REQUIRED SetupCommand = "\\server\share\setup.exe"

; Version of the program that will appear
; in the software installation snap-in and the
; Add/Remove Programs tool.
; OPTIONAL
DisplayVersion = 8.0

; Version of the program that will appear
; in the software installation snap-in and the
; Add/Remove Programs tool.
; OPTIONAL
Publisher = Microsoft

برای اطلاعات بیشتر می توانید به اینجا + + + + + + مراجعه کنید.(مقالاتی در Technet و Help & Support)

[مهندس بهزاد انصاری]

آشنایی با powercfg.ex
---------------------------------

یکی از ابزار های خط فرمان که برای برخی مدیران کار کردن با آن ساده نیست، powercfg.exe است. هرچند از دستور پرکاربردی نیست، اما با توجه به نسخه های Core ویندوز سرور 2008 خط فرمان بسیار مهم شده است. این دستور در ( WAIK ( Windows Automated Installation Kit و حتی تنظیمات Group Policy در سیستم عامل های قبل از ویندوز ویستا بسیار کاربرد دارد. با این ابزار می توانید تنظیمات Power کلاینت ها را کنترل کنید. در اینجا تا حدودی با ترکیب (Syntax) و سناریو های مربوطه آشنا می شویم.فرم کلی دستور به همراه سوییچ ها به شکل زیر است:

powercfg [-l] [-q ] [-x] [-changename] [-duplicatescheme] [-d] [-deletesetting] [-setactive] [-getactivescheme] [-setacvalueindex] [-setdcvalueindex] [-h] [-a] [-devicequery] [-deviceenablewake] [-devicedisablewake] [-import] [-export] [-lastwake] [-?] [-aliases] [-setsecuritydescriptor] [-getsecuritydescriptor]

سوییچ ؟ توضیحات کاملی از این دستور ارائه می کند. این توضیحات به نسبت توضیحات اکثر بیشتر از حد است.

powercfg /list یا powercfg /l : فهرست تمام طرح های پاور را نمایش می دهد. (Power Schemes) گزینه ای که با * مشخص می شود، طرح فعال است.

powercfg –change یا powercfg –change : برای تغییر دادن یکی از تنظیمانت Power Scheme فعال است. نوشتن این دستور عبارت است از:

powercfg –change –یک عبارت

این عبارت می تواند شامل موارد زیر باشد:

-monitor-timeout-ac دقیقه
-monitor-timeout-dc دقیقه
-disk-timeout-ac دقیقه
-disk-timeout-dc دقیقه
-standby-timeout-ac دقیقه
-standby-timeout-dc دقیقه
-hibernate-timeout-ac دقیقه
-hibernate-timeout-dc دقیقه

مثال:به فاصله ها دقت کنید. powercfg -change -hibernate-timeout-ac 15 و powercfg -change -monitor-timeout-ac 5

Powercfg –setactive : این دستور طرح فعال را تغییر می دهد، توجه کنید که مقابل سوییج setactive باید GUID طرح مطلوب را بنویسید. با استفاده از لیست کردن می توانید GUID را به دست آورید.مثال: Powercfg -setactive GUID

دستور مقابل طرح فعلی را دوباره اعمال می کند: Powercfg –getactivescheme

powercfg –duplicatescheme : این دستور یک طرح را کپی می کند، دقت کنید مقابل این دستور باید GUID بنویسید. اگر یک GUID نوشته شود، طرح را در یک طرح جدید کپی می کند. اگر 2 GUID نوشته شود، طرح اول را روی طرح دوم کپی می کند. مثال: powercfg -duplicatescheme GUID

powercfg –delete با این می توانید یک طرح را پاک کنید. فراموش نکنید که باید مقابل دستور یک GUID بنویسید.

powercfg –import : با این دستور می توانید از یک فایل، یک طرح را وارد کنید. مثال: powercfg -import c:\scheme.pow

powercfg –export : با این دستور می توانید، یک طرح را در یک فایل ذخیره کنید. ذکر GUID اجباری است و باید GUID طرح مطلوب مقابل دستور نوشته شود. مثال :

powercfg -export c:\scheme.pow 381b4222-f694-41f0-9685-ff5bb260df2e

این دستور امکان Hibernation فعال یا غیر فعال می کند : [Powercfg hibernate [on|off

powercfg –lastwake : اطلاعات مربوط به کار افتادن کامپیوتر از آخرین sleep ارائه می دهد.

powercfg –energy : با این دستور خطاها و هشدار هایی در خصوص مصرف انرژی توسط وسایل کامپیوتر داده اعلام می شود. این دستور به مدت 60 ثانیه از عملکرد سیستم را بررسی می کند و سپس اطلاعات را آنالیز می کند و سپس درایور ها یا تنظیماتی که در مصرف برق زیاده روی می کنند یا عمر باتری را کاهش می دهند را معین می کند. (فقط ویندوز 7 به بعد)

[مهندس بهزاد انصاری]

Vista & cmd


همانطوری که می دانید، از ویژگی های مهم امنیتی ویندوز ویستا این است که به کاربرانی که حتی عضو گروه Administrators باشند، Administrative Privilege را نمی دهد و با استفاده از سیستم User Access Control به اختصار UAC دسترسی این گروه را نیز کنترل می کند. نتیجه آنکه بارها و بارها زمانی که شما مثلا می خواهید Computer Management را باز کنید، با پیغامی رو به رو می شوید که در آن با زدن Continue به می توانید به آن وارد شوید. این قابلیت که قدری اذیت کننده به نظر می رسد، در امنیت سیستم عامل شما بسیار مهم است. در میان تمام ابزار های مدیریتی ویندوز، از Command Prompt بیشتر استفاده می شود. چون در زمانی که Command Prompt می شوید، با حقوق یک کاربر عادی وارد می شوید، نمی توانید به اعمالی که به حقوق مدیریتی احتیاج دارند دسترسی پیدا کنید. برای سهولت اجرا CMD و سرعت بخشیدن به مراحل باز کردن CMD با Administrative Privilage به این مقاله توجه کنید.

برای مثال زمانی که با کاربری که عضو گروه Administrators است و یا با خود کاربر Administrator به سیستم وارد شوید و CMD را اجرا کنید و دستوری که نیاز به حقوق مدیریتی دارد را وارد کنید، از آنجایی که CMD را با استفاده از یک TOKEN که دارای Administrative Privilege است باز نکرده اید، نمی توانید آن دستور را اجرا کنید.

net user administrator MyNewP@ssw0rd!

این دستور باید کلمه عبور کاربر Administrator را به MyNewP@ssw0rd! ، Set کند. در استفاده از این دستور لطفا به مسئله فایل های encrypt شده توجه کنید. توصیه می شود کاربران مبتدی این دستور را استفاده نکنند.

بنابراین برای اینکه از انجام این مراحل آسوده شوید، حتما به فکر قسمت Compatibility در Properties مربوط به CMD می افتید. اما باید یادآوری کنم که اشتباه کردید! از آنجایی که CMD قسمتی از ویندوز است، قسمت Compatibility غیرفعال خواهد بود و شما قادر نخواهید بود که چک باکس مربوط بهPrivilage Level را چک بزنید.

در هر حال، برای آنکه از این دستور بتوانید استفاده کنید باید CMD را ازمسیر Start >All Programs >Accessories >Command Prompt پیدا کنید روی آن Right-Click کنید و Run as administrator را بزنید و سپس در UAC باید Continue را بزنید تا CMD با Administrative Privilegeبازشود. و یا می توانید از CTRL+SHIFT+ENTER استفاده کنید و یا اگر در GUI قرار نداشتید می توانید از دستور RUNAS استفاده کنید.

یکی از ویژگی های خوبی که در ویندوز 2000 ، XP و Server2003 وجود داشت، قابلیت Drag&Drop در CMD بود. مثلا می توانستید یک فایل اجرایی .exe که در مسیر سلسه مراتبی طولانی بود را به راحتی Drag کنید روی پنجره باز CMD و با رها کردن کلید ماوس ( Drop ) آن را اجرا کنید و از استفاده از دستورات خسته کننده و قدیمی برای رسیدن به آن فایل رهایی پیدا کنید.

در زمان انتشار نسخه آزمایشی ویندوز ویستا بسیاری از کاربران نسبت به این مسئله اعتراض داشتند و پاسخ مایکروسافت چیزی جز اینکه در طراحی به این شکل است نبود. به دلایل امنیتی مایکروسافت از انجام این کار سرباز زد و بحث های خاصی را ایجاد کرده بود. در هر حال می توانید با دانلود برنامه کوچک و رایگان Send To Toys و بهره مندی از Send To "Command Prompt" امکان برنامه، نبود این امکان را در ویستا جبران کنید.

برنامه را از http://www.gabrieleponti.com/software دریافت کنید.

[مهندس بهزاد انصاری]

محافظت از فایل ها با مجوزهای ntfs در ویندوز


با NTFS Permissions کاربران می توانند به File ها و Folder ها دسترسی پیدا کنند و سطح دسترسی آن ها معین شود. بدیهی است که از NTFS Permissions تنها روی Volume های NTFS می توان استفاده کرد.

تذکر:Windows XP home edition امکان دسترسی به Volume های NTFS را دارا است اما امکان مشاهده و یا تغییر مجوز ها وجود ندارد.البته در شرایط خاص و یا با دستورات خاص این امر امکان پذیر است.


ACL ;Access Control List, ACE ;Access Control Entry:

NTFS با هر File و Folder ای که در یک NTFS Volume باشد یک ACL در همان Volume ذخیره می کند. ACL شامل لیستی از User ها و Group ها است که به آن ها Permission هایی داده شده. زمانی که یک User می خواهد به یک Resource دسترسی پیدا کند ACL باید دارای یک ACE باشد تا میزان دسترسی تعریف شده برای آن User مشخص شود. با توجه به این مطلب بدیهی به نظر می رسد که اگر هیچ ACE تعریف نشده باشد هیچ کدام از User های تعریف شده نمی توانند به Resource مذکور دسترسی پیدا کند. در ادامه این دو مفهوم را بهتر درک خواهید کرد. تصویر 1

دو مجوز مختلف در اختیار داریم : Allow , Deny
- برای دسترسی داشتن مجوز Allow می دهیم.
- برای ممانعت از دسترسی مجوز Deny می دهیم.
- برای دسترسی نداشتن مجوز Allow نمی دهیم.
* برای دسترسی نداشتن از دادن مجوز Deny پرهیز می کنیم.

گزینه های متعددی برای تعیین سطح دسترسی در اختیار داریم:
با در اختیار داشتن گزینه های متعدد می توان به هزاران شکل متمایز مجوز ها را تنظیم کرد مثلا:
- فقط قابل مشاهده باشد.
- قابل نوشتن و مشاهده باشد اما نتوان حذف کرد.
- قابل ویرایش باشد اما Attribute ها قابل ویرایش نباشند.
- قابل ویرایش باشد اما امکان ساخت فلدر جدیدی وجود نداشته باشد.
- ...

تذکر: هر چند در بسیاری از Resource ها امکان تخصیص مجوز ها وجود دارد اما NTFS Permission تنها مختص فایل ها و فلدر ها در پارتیشن های NTFS است و سایر موارد مثل Printer و یا Object ها در Active Directory Users & Computers مجوز های خاص خود را دارند که با روشی مشابه اعمال می شود اما از NTFS Permission متمایز اند.

ویرایش مجوز ها:

با ساختن یک فایل/فلدر جدید، مجوزهایی به صورت پیش فرض به آن اعمال خواهد شد که در ادامه در خصوص آن صحبت خواهیم کرد. برای ویرایش مجوز های فعلی روی فایل یا فلدر مورد نظر خود کلیک راست کنید و سپس properties را بزنید. به زبانه (Tab) به نام Security بروید. آنچه در این زبانه مشاهده می کنید، جهت سهولت و تسریع در اعمال مجوز ها خلاصه شده است. برای دسترسی به تمام قابلیت ها در اینجا قصد داریم به حالت Advanced برویم. روی دکمه Advanced کلیک می کنیم. چنانچه در ویندوز ویستا و سرور 2008 هستید باید دکمه Edit را برای ویرایش بزنید و پنجره ای جدید باز خواهد شد که در آن می توانید مجوز ها را ویرایش کنید و ممکن است با UAC رو به رو شوید.

با دکمه Add می توانید یک ACE جدید ایجاد کنید. با Edit می توانید یک ACE موجود را ویرایش کنید و با Remove می توان یک ACE موجود را حذف کرد.
تذکر: هرچند هنوز در خصوص وراثت صحبت نکرده ام اما به یاد داشته باشید که برخی مجوز های به ارث برده شده قابل حذف کردن با دکمه Remove نیستند.

افزودن یک مجوز:

1) دکمه add را می زنیم.
2) در پنجره باز شده نام کاربر یا گروه دلخواه را وارد کنید. با گزینه Check Names می توانید اسامی وارد شده را خودکار تصحیح کنید. با زدن Advanced می توانید در میان Users و Groups و برخی از عناصر پیش ساخته جستجو کنید. همواره توصیه می شود به علت حجم query ها وارده تا حد امکان در محیط دامین های بزرگ از جستجو در Entire Directory بپرهیزید.



3) با زدن OK پنجره Entry مربوط به Resource باز خواهد شد. در اینجا مجوز های مورد نظر خود را اعمال کنید در آینده در خصوص برخی از پر کاربرد ترین مجوز ها صحبت خواهد شد. در قسمت Apply to می توان معین کرد که مجوز ها به چه تکه هایی اعمال شود. مثلا فقط به Subfolder ها و یا فقط به File ها درون فلدر. البته این گزینه برای فایل ها غیر فعال است.



4) OK را بزنید. با این کار یک ACE به ACL اضافه کردیم.

نکته1: برای آسان تر شدن مدیریت، کاربران را در گروه هایی قرار دهید و به گروه ها مجوز اعمال کنید.
نکته2:برای آسان تر شدن مدیریت،فایل ها را در چند گروه دسته بندی کنید. این در تهیه نسخه پشتیبان، ویروس یابی و... نیز به شما کمک می کند.
نکته3:حداقل مجوز ها را اعمال کنید. مثلا اگر مجوز Allow Read کفایت می کند مجوز Allow Write ندهید.
نکته4: از مجوز Deny بپرهیزید. و فقط در مواردی مثل سناریوی زیر از Deny استفاده کنید:
کاربر U به منابع R با توجه به مجوز های به ارث رسیده یا مجوز های گروه هایی که U عضو آن است، دسترسی دارد و می خواهید از آن جلوگیری کنید. برای دسترسی نداشتن یک کاربر فقط به او مجوز Allow ندهید. زیاده روی استفاده از Deny مدیریت را پیچیده و گاهی با مشکل رو به رو می کند. تاکید می کنم Deny کردن امنیت فرا تر از Allow ندادن را ایجاد نمی کند.

مجوز های موثر:
می توان چندین مجوز مختلف را به یکUser اختصاص داد، در این صورت مجموعی از مجوز های اختصاص یافته بر کاربر اعمال می شوند. مجوز های موثر، مجوز نهایی است که به کاربر اعمال می شود. برای محاسبه مجوز های موثر باید قوانین الویت ها را یاد بگیریم.

فرمول محاسبه: مجوزهای موثر یک کاربر نسبت به یک Resource برابر است با مجموع مجوز هایی که به خود User و گروه های که آن User در آن عضو هستند.

گاهی این فرمول به منظور سهولت درک چنین بیان می شود:
ابتدا مجوز های Allow که به کاربر و گروه هایی که کاربر در آن عضو است را اجتماع می گیریم و سپس تفاضل آن را با مجوز های Deny محاسبه می کنیم.

نکته1. مجوز های File ها نسبت به مجوز های Folder ها در اولویت است.
یعنی زمانی که User به File ای که درون یک Folderاست دسترسی داشته باشد اما به Folder دسترسی نداشته باشد می تواند به File دسترسی پیدا کند. مثلا از طریق آدرسی UNC و...

\\Computer_name\share\File.*در شبکه
Drive_letter:\folder\file.*محلی

البته محدود به شرایطی است که حق Bypass Traverse Checking به کاربر داده شده است. توجه کنید که در اینجا Share نامی است که Folder با آن Share شده است.

نکته2. مجوز های Allow افزایشی اند!
مثلا اگر کاربری به نام U عضو دو گروه G1 و G2 باشد و گروه G1 به Resource دارای مجوز Read Allowو گروه G2 به Resource دارای مجوز Write Allowباشند User دارای هر دو مجوز خواهد بود. که

نکته3. مجوز های Deny دارای الویت بیشتری نسبت به مجوزهای Allow هستند.
مثلا اگر کاربری به نام U عضو دو گروه G1 و G2 باشد و گروه G1 به Resource دارای مجوز Read Allowو گروه G2 دارای مجوز Read Deny به Resourceباشند User دارای مجوز Deny خواهد بود.

نکته4.ارث بری:
By default ، تمام مجوزها که به Folder های والد اعمال می شود بهSub-Folder ها و file های فرزند به ارث می رسد. البته می توانید فرزندان را از ارث محروم کنید و یا فرزندان خودشان ارث را قبول نکنند. درست است که ویژگی ارث بری موجود است اما حقیقتا ACL برای هر Resource متعلق به خودش است در واقع زیرساخت امنیتی برای تشخیص مجوزها به والد Resource مراجعه نمی کند. فقط جهت سهولت این خاصیت را به عنوان قانون ارث بری عنوان می شود (توسط مایکروسافت) و معمولا به متخصصین این مطلب تذکر داده می شود.

نکته5. مجوز های مستقیم دارای الویت بالاتری نسبت به مجوز های ارث برده هستند.
مثلا اگر کاربری به نام User عضو دو گروه G1 و G2 باشد و گروه G1 به والد یک Resource دارای مجوز Read Denyو گروه G2 به خود Resource دارای مجوز Read Allowباشند User دارای مجوز allow خواهد بود.

- برای جلوگیری به ارث بردن یک فرزند از والد خود ، گزینه Inherit From Parent The Permission Entries That Apply to Child Objects را غیر فعال می کنیم. برای اجبار کردن فرزندان حتی اگر گزینه فوق را فعال شده باشد، گزینه Replace Permission Entries On All Child Objects With Shown Here That Apply to Child Object را فعال می کنیم .



---------------------------------------------------------------------------------------------
---------------------------------------------------------------------------------------------

[مهندس بهزاد انصاری]

محافظت از فایل ها با مجوزهای NTFS در ویندوز- قسمت دوم




مالکیت:در صورتی که کاربری نسبت به folder والد مجوزCreate Folders/Append Data یا Create file/Write Data داشته باشد می تواند یک File یا Folder داخل آن بسازد. آنگاه آن user مالک آن resource و سازنده آن خواهد بود.

1. مالک یک شیئ می تواند همواره Permission های آن شیئ را ویرایش کند حتی اگر Permission های لازم را نداشته باشد.
2. به صورت پیش فرض،گروه Administrators همواره می توانند مالکیت هر resource را از آن خود کنند.
3. به صورت پیش فرض،گروه Administrators می توانند عمل انتقال مالکیت را انجام دهند.
4. کاربرانی که مجوز Take Ownership داشته باشند می توانند مالکیت شیئ را از آن خود کنند.
5. کاربرانی که حق Take Ownership of files or other object داشته باشند می توانند مالکیتی شیئ را از آن خود کنند.
6. در ویندوز 2003 Server کاربرانی که مجوز Restore files & Directories را داشته باشند می توانید عمل انتقال مالکیت را انجام دهند.
7. در XP امکان انتقال مالکیت وجود ندارد.

محاسبه اتوماتیک مجوزهای موثر:

با استفاده از این ابزار از محاسبه دستی مجوز ها رهایی پیدا می کنید (محاسبه دستی مجوزها عملی وقت گیر است).البته لازم به تذکر است که لیست نهایی که نشان داده می شود تنها یک تخمین است! همچنین امکان محاسبه عضویت های مخصوص که برخی از آن ها در زیر ذکر شده است وجود ندارد.

1) Anonymous logon
2) Batch
3) Creator Owner
4) Dialup
5) Enterprise Domain Controllers
6) Interactive
7) Network
*****
9) Restricted
10) Remote Interactive Logon
11) Service
12) System
13) Terminal Server User
14) Other Organization
15) This organization




تاثیرات Copy و Move بر مجوزها:

1.Copy : زمانی که یک File یا Folder را کپی می کنید (در داخل یک یا دو پارتیشن NTFS) :

a.با آن به عنوان یک File یا Folder جدید برخورد کرده و مجوزها را از Parent (والد) خود به ارث می برد.
b. باید نسبت به مقصد مجوز Write داشته باشید.
c. مالک آن خواهید بود.
تذکر:در کپی کردن به پارتیشن های FAT، از آنجایی که در فایل سیستم FAT ، مجوزهای NTFS پشتیبانی نمی شود بدیهی است که مجوزها از بین می روند.

2.Cut :

الف)در داخل یک پارتیشن:

a.چون فقط آدرس آن ها در Partition Table عوض می شود ، Permission ها ثابت می ماند.
b.باید نسبت به مقصد مجوز Write داشته باشید.
c.در مبدا باید مجوز Modify داشته باشید.
d. مالک آن خواهید بود.

ب)در بین دو پارتیشن:

a.چون در واقع آن File یا Folder در مبدا پاک شده و در مقصد ایجاد می شود، همانند کپی + پاک کردن است.
b.مجوزها را از والد خود به ارث می برد.
c.باید در مبدا مجوز Modify داشته باشید.
d.باید در مقصد مجوز Write داشته باشید.
e.مالک آن خواهید بود.

[مهندس بهزاد انصاری]

محافظت از فایل ها با مجوزهای NTFS در ویندوز- قسمت سوم



مجوز های مختلف:

همانطور که گفته شد، مجوز های مختلفی برای تعیین سطح دسترسی وجود دارد، در اینجا به برخی آن ها اشاره می شود.

* ترکیب این مجوز ها با سه گزینه Allow و Deny و ندان یک مجوز (خالی) حالت های بیشماری را ایجاد می کند. همچنین مجوز ها روی فایل و فلدر ها متفاوت است.

مجوز های پیشرفته

1. Full Control : تمام مجوزها
2. Traverse Folder/ Execute File : اجازه حرکت به داخل فلدر، آنچه در نکته 1 توضیح داده شده بود می باشد. با داشتن این مجوز چنانچه کاربر مجوز مشاهده خود فلدر را نداشته باشد اما می تواند در صورت داشتن مجوز به فایل های داخل فلدر دسترسی پیدا کند.Execute File اجازه اجرای فایل های اجرایی exe است.
* همانطور که در نکته 1 اشاره شد، به صورت پیش فرض گروه EveryOne دارای حق Bypass Traverse Checking هستند، و در صورت داشتن این حق، این مجوز بی اثر است.
3. List Folder/ Read Data : مجوز نمایش فایل ها و فلدرهای داخلی و همچنین نمایش محتویات یک فایل غیر اجرایی است.
4. Read Attributes : مجوز خواندن ویژگی ها (صفات) یک فایل یا فلدر. همانند Hidden یا Read-only یا Archive . این مجوز در امکان تغییر صفات بی اثر است. این صفات توسط NTFS تعیین می شوند.
5. Read Extended Attributes : اجازه نمایش صفات اضافی و Data Stream یک فایل یا فلدر می باشد. این صفات توسط برنامه ها معین می شوند.این مجوز در امکان تغییر صفات بی اثر است.
6.Create File / Write Data : امکان ساختن یک فایل جدید. این همان مجوزی است که در بحث مالکیت به آن اشاره شد. همچنین امکان ویرایش را نیز تعیین می کند.
7. Create Folders / Append Data : اجازه ایجاد یک فلدر در داخل فلدری که مجوز روی آن اعمال می شود. Append Data مجوز تغییر، حذف یا بازنویسی یک فایل است و فقط روی فایل ها اعمال می شود.
8. Write Attribute : اجازه ویرایش آنچه در 4 گفته شد.
9. Write Extended Attributes :اجازه ویرایش آنچه در 5 گفته شد.
10. Delete Subfolders and files : اجازه حذف فایل ها یا فلدر های داخلی بدون آنکه روی آن فایل یا فلدر مجوز delete وجود داشته باشد.
11. Delete : مجوز پاک کردن یک فایل یا فلدر
12. Read Permission : مجوز خواندن مجوز ها
13. Change Permission : مجوز تغییر دادن مجوز ها.
14. Take Ownership : مجوز گرفتن مالکیت یک فایل یا فلدر. مشابه آنچه در 2 گفته شده، به کاربرانی که حق گرفتن مالکیت را داشته باشند بی اثر است. برای اطلاعات دقیق تر بحث مالکیت را بخوانید.

مجوز های ساده

15. Full Control : معادل 1 است.
16. Read & Execute : خواندن فایل ها و صفات آن ها و اجرای فایل های اجرایی
17. Modify : حذف یا ویرایش یک فایل یا فلدر
18. List Folder Contents : مشاهده فایل ها و فلدر های داخلی
19.Write : ایجاد فایل و فلدر، تغییر صفات
20.Read : مشاهده فایل ها و فلدر های داخلی، نمایش مالک، مجوزهاو صفات

گرفتن مالکیت:
1. روی فایل یا پوشه مورد نظر کلیک راست کنید و Properties را بزنید.
2. در فسمت Security، روی دکمه Advanced کلیک کنید.
3. به زبانه (Tab) تعیین مالک یعنی Owner بروید و دکمه Edit را بزنید.
4. اکنون خود یا فرد دیگری را به عنوان مالک انتخاب کنید.
5. چنانچه می خواهید تغییر مالکیت روی فایل و فلدر های داخلی نیز اعمال شود گزینه Replace Owner On Subcontainers and Objects را چک بزنید و سپس OK کنید.

بازبینی (Auditing):

برای Auditing روی یک resource خاص علاوه بر اعمال تنظیمات مربوطه روی آن باید ، در تنظیمات audit policy نیز auditing برای object ها نیز فعال باشد. در ضمن برای جلوگیری از افزایش حجم ، انبوه شدن گزارش ها و وقت گیر بودن و دشوار بودن خواندن log ها همواره تلاش کنید تا auditing ها را بهینه تنظیم نمایید. انتخاب گزینه های متعدد سبب این خواهد شد که تعداد بسیاری log نوشته شود، که این علاوه بر انکه ممکن است باعث شود تا برخی از لاگ ها نخوانده حذف شوند، کارایی لاگ مانیتورینگ کاهش یابد. برخی معمولا فقط دسترسی های ناموفق را لاگ می کنند چرا که ایم سوال را مهم تر می دانند: چه کسانی نتوانسته اند دسترسی پیدا کنند و می خواستند دسترسی پیدا کنند؟

برای فعال سازی بازبینی (Auditing) روی یک فایل خاص باید مراحل زیر را انجام دهید:
1. روی فایل یا پوشه مورد نظر کلیک راست کنید و Properties را بزنید.
2. در فسمت Security، روی دکمه Advanced کلیک کنید.
3. به زبانه (Tab) تعیین مالک یعنی Auditing بروید و دکمه Edit را بزنید.
4. مشابه آنچه در اعمال مجوزها انجام دادید، می توانید بازبینی را تنظیم کنید.

* تاکید می کنم باید در Audit Policy، سیاست Object Access را فعال کنید.

اکنون با استفاده از Event Viewer می توانید لاگ ها را بخوانید. برای دسترسی به Event Viewer در run وارد کنید EVENTVWR.msc و در قسمت Security می توانید لاگ ها را بخوانید. خواندن لاگ ها مهارت خاصی نیاز دارد که مجالش در اینجا نیست.

استفاده از دستور XCOPY و حل مشکل حذف شدن مجوز در زمان کپی کردن:

در گذشته در خصوص Copy و Cut کردن و تغییر مجوز ها صحبت شد. اکنون در خصوص کپی کردن همراه با مجوز ها و... بحث می کنیم.
تذکر:همانطور که گفته شده بود، باید در مقصد دارای مجوز Write و یا Create Folder باشید.
دستور XCOPY برای کپی کردن یک فایل یا فلدر همراه با فلدر ها و فایل های داخلی کاربرد دارد. ترکیب (Syntax) کلی آن به فرم زیر است.

xcopy Source [Destination] [/w] [/p] [/c] [/v] [/q] [/f] [/l] [/g] [/d[:mm-dd-yyyy]] [/u] [/i] [/s] [/e] [/t] [/k] [/r] [/h] [{/a|/m}] [/n] [/o] [/x] [/exclude:file1[+[file2]][+[file3]] [{/y|/-y}] [/z]

در اینجا در خصوص برخی سوییچ ها باید اطلاعات کافی داشته باشیم.

- E : فایل ها و فلدر ها را کپی می کند حتی اگر خالی باشند.
- H : فایل های مخفی (Hidden) را نیز کپی می کند.
- k : تمام صفات را کپی می کند. به صورت پیش فرض صفت Read-only کپی نمی شود.
- O : مالکیت ها و در مجوز ها را کپی می کند. منظور از کپی مجوز ها کپی ACL است.
- X : تنظیمات Auditing را نیز کپی می کند.
* دانستن تمام سوییچ های این دستور بسیار مفید است.

نکته مهم : با استفاده از دستور Xcopy نمی توان از به ارث رسیدن مجوز های مقصد جلوگیری کرد. بنابراین در مقصد باید شرایط لازم ایجاد شود. به عنوان مثال مجوز های Deny ممکن است مشکل ساز شوند.

مثال: کپی کردن فلدر OldDocs که در والیوم C قرار دارد به مسیر D:\erfantaheri به صورت زیر است:

xcopy c:\olddocs d:\erfantaheri /O /X /E /H /K

یادآوری می کنم برای اطلاعات بیشتر در زمینه این دستور می توانید از سوییچ ؟ ، Help & Support و Technet استفاده کنید.

مجوز ها روی خط فرمان:

حتما در مورد اهمیت داستن دستور ها و کارکردن با خط فرمان اطلاعات کافی دارید. در گذشته از ابزار cacls استفاده می شد. از ویندوز ویستا دستور icacls نیز اضافه شده. در اینجا با چند مثال قصد داریم با دستور icacls قدری آشنا شویم.

ترکیب (Syntax) کلی به شکل زیر است:

icacls <FileName> [/grant[:r] <Sid>:<Perm>[...]] [/deny <Sid>:<Perm>[...]] [/remove[:g|:d]] <Sid>[...]] [/t] [/c] [/l] [/q] [/setintegritylevel <Level>:<Policy>[...]]

icacls <Directory> [/substitute <SidOld> <SidNew> [...]] [/restore <ACLfile> [/c] [/l] [/q]]

برخی از سوییچ ها:

- t : عملیات را برای تمام فایل ها و فلدر های داخلی انجام می دهد.
- c : عملیات را بدون توجه به هر error انجام می دهد. البته error ها نمایش داده می شوند.
- save : تمام acl ها را برای استفاده های بعدی در یک فایل acl ذخیره می کند.
- restore : از یک فایل acl مجوز ها را اعمال می کند.
- setowner : مالک یک فایل را تغییر می دهد.
- reset : تمام مجوز ها را به مجوز های به ارث رسیده باز می گرداند.
- grant : چنانچه با r همراه باشد، تضمین می کند که کاربر یا گروه معین شده مجوز لازم را دارد، و مجوز جدید روی مجوز قبلی نوشته می شود. چنانچه بدون r باشد، مجوز های جدید به acl اضافه می شوند.
- deny : دسترسی را سلب می کند. یک ACE جدید برای سلب مجوز اضافه می کند.
- remove : تمام ACE های مربوط به یک SID را حذف می کند. چنانچه با g همراه باشد، فقط ACE های allow یا در واقع ACE های مربوط به سوییچ Grant را حذف می کند. اگر با d همراه باشد فقط ACE های Deny یا در واقع ACE های مربوط به سوییچ Deny را حذف می کند.

لیست معادل مجوز ها در خط فرمان:

مجوز های ساده

F معادل Full Control - M معادل Modify - RX معادل Read & Execute - R معادل Read - W معادل Write

مجوز های پیشرفته

D (delete) - RC (read control) - WDAC (write DAC) - WO (write owner) - S (synchronize) - AS (access system security) -MA (maximum allowed) - GR (generic read) - GW (generic write) - GE (generic execute) - GA (generic all) - RD (read data/list directory) - WD (write data/add file) - AD (append data/add subdirectory) - REA (read extended attributes) - WEA (write extended attributes) - X (execute/traverse) - DC (delete child) - RA (read attributes) - WA (write attributes)

مثال 1: دستور زیر، تمام مجوز های مربوط به فلدر erfantaheri و فلدرها و فایل های داخل آن را در یک فایل ACL ذخیره می کند.

icacls c:\erfantaheri\ /save aclfile /t

مثال 2: دستور زیر، تمام مجوز های فایل ها و پوشه های درون فلدر erfantaheri را از روی تمام فایل های ACL که در آن فلدر وجود دارد، باز می گرداند.

icacls c:\erfantaheri\ /restore aclfile

مثال 3: دستور زیر، تضمین می کند که کاربر erfan دارای مجوز Delete و Write نسبت به فلدر erfantaheri و تمام محتویات آن است.

icacls c:\erfantaheri\ /grant User1d,w) /t

مثال 4: دستور زیر، دسترسی کاربر BadUser را نسبت به فایل important سلب می کند. در واقع معادل Deny Full Control است.

icacks important.doc /deny BadUser:f

تذکر مهم: فراموش نکنید که CMD را با مجوز مدیریتی باز کنید.( Run as administrator ) برای اطلاعات بیشتر اینجا را بخوانید.

[مهندس بهزاد انصاری]

مقدمه ای بر Local Security Policy

با local Security Policy چه کارهایی می توان کرد؟

1. Account Policies: اتخاذ سیاست های در خصوص حساب های کاربری (User Accounts )
2. Local Policies
Auditing Policies : ردیابی اعمال کاربران
User Rights : اختصاص یا عدم اختصاص مجوز کنترل کردن برخی از فعالیت های سیستم همانند تغییر ساعت
Security Option : امکان اعمال تنظیمات امنیتی گوناگون
3. Public Key Policies : مربوط به encrypt data recovery و Certificate authorities
4. Software Restriction Polices : جلوگیری از اجرای برخی از نرم افزار ها
5. System Services : مدیریت و اعمال تنظیمات امنیتی برای قسمت های مثل : Network Services و File & Print Services
6. File System: مدیریت و اعمال تنظیمات امنیتی در خصوص Local File System
7. Registry
8.IP Security Policy


همانطور که مشاهده می کنید بسیاری از تنظیمات مهم از طریق Local Security Policy امکان پذیر است. Local Security Policy در Administrative Tools بیابید و یا از secpol.msc استفاده کنید.




Security Templates :

ویندوز یک سری قالب های پیش ساخته جهت تنظیمات عمومی امنیتی در local Security Policy دارد. شما می توانید این تنظیمات را پس از اعمال به میل خود تغییر دهید و آن را به عنوان یک قالب جدید داشته باشید. استفاده از قالب های امنیتی دو مزیت دارد:
1. با استفاده از قالب های امنیتی پیش ساخته لازم نیست تا تمام تنظیمات را از ابتدا تنظیم کنید.
2. با استفاده از قالب های امنیتی که خود ساخته اید ، لازم نیست تا تنظیمات را روی هر کامپیوتر در شبکه جداگانه تنظیم نمایید. فقط کافی است یک قالب را اعمال کنید.

قالب های پیش ساخته:

· Default security Setup ,security.inf
قالبی است که در زمان نصب ویندوز به صورت خودکار به هر کامپیوتری اعمال می شود. این قالب بر حسب بر حسب آنکه نصب ویندوز clean installation بوده و یا upgrade متفاوت است. این قالب به DC ها نمی تواند اعمال شود.
تذکر: در ویندوز 2000 دو قالب ocfiless برای سرور ها و ocfilesw برای workstation ها استفاده می شد. security.inf به هر دو کامپیوتر سرور و کلاینت می تواند اعمال شود.در Disaster Recovery نیز برای بازگشت تنظیمات امنیتی به حال پیش فرض این قالب اعمال می شود.

نکته از کتاب 70-270 مایکروسافت : این قالب شامل تمام تنظیمات امنیتی است که در زمان نصب ویندوز XP روی یک پارتیشن NTFS اعمال می شود و در زمان برگرداندن تنظیمات به پیش فرض مفید است.

· Domain controller default security ,DC security.inf
این قالب زمانی اعمال می شود که یک سرور ، DC می شود.بر registry ، system service و سایر تنظیمات پیش فرض اعمال می شود.

· Compatible, Compatws.inf
این قالب امنیت فراتری را نصب به قالب پیش فرض نصب ایجاد می کند. اما با این حال به صورت پیش فرض اجرای برنامه هایی که دارای Windows-Certificated (winlogo) باشند بدون مشکل خواهد بود و برنامه های فاقد مجوز فقط توسط Power Users قابل اجرا خواهد بود.

تذکر: در صورت اعمال این قالب اعضای گروه Power Users حذف خواهند شد.
تذکر: این قالب را به DC ها اعمال نکنید.

نکته : دو قالب امنیتی زیر هم برای DC ها و workstation ها موجود است. اگر قالب با دو حرف WS ختم شود مربوط به workstation و اگر به DC ختم شودمربوط به Domain Controller می باشد.

· Secure ,Secure*.inf
این قالب امنیت فراتری را ایجاد می کند ، اما compatibility را تحت شعاع قرار می دهد. مثلا password های قوی تری را الزام می کند و یا lockout و auditing را اعمال می کند.

· Highly Secure, hisec*.inf
این قالب حداثر امنیت در نظر گرفته شده است. با اعمال این قالب به نسبت Secure تاثیری بر compatibility نخواهد داشت. این قالب با الزام کردن استفاده از encryption های قوی تر و امضا برای تشخیص هویت (authentication) و انتقال داده در secure channels بین SMB و سرور تاثیر بسیاری در امنیت برای ترافیک شبکه را دارد.

· System root security, Rootsec.inf
این قالب شامل permission هایی است که به صورت پیش فرض به پارتیشن سیستمی اعمال می شوند.

· No Terminal Server user SID, Notssid.inf
با اعمال این قالب SID های مربوط به Windows Terminal Service پاک خواهند شد و بنابراین Windows Terminal Service اجرا نخواهد شد. توجه داشته باشید که با اعمال این قالب الزاما امنیت افزایش پیدا نخواد کرد.

· Internet Explorer iesacls.inf
با این قالب امکان audit بر استفاده از IE Internet Explorerفراهم می شود.

تذکر مهم : با اعمال قالب های امنیتی ، تنظیمات جدید جایگزین می شود. لذا در DC ها حتما از SYSVOL نسخه پشتیبان (Backup) تهیه کنید و در سایر موارد نیز همواره گرفتن نسخه پشتیبان توصیه می شود.
برای اطلاعات بیشتر در خصوص قالب های پیش ساخته به Technet مراجعه کنید.

برای تغییر در یک قالب پیش ساخته:
1. با استفاده از run ، mmc را اجرا نمایید.
2. یک کنسول جدید ایجاد کنید.
3. در کنسول جدید ، Snap-in با نام Security Template را اضافه کنید.
4. تغییرات دلخواه را روی قالب مورد نظر خود اعمال کنید و سپس Save as را بزنید.

برای اعمال یک قالب:
1. با استفاده از run ، mmc را اجرا نمایید.
2. یک کنسول جدید ایجاد کنید.
3. در کنسول جدید ، Snap-in با نام Security configuration & analysis را اضافه کنید.
4. روی ساختار درختی در کنسول روی Security configuration & analysis ، Right –Click کرده و Open database را بزنید.
5. نام Database ای را که قصد ساختن آن را دارید وارد نمایید و ok را بزنید.
6. سپس ، قالبی را که ساخته اید انتخاب کنید.
7. روی Security configuration & analysis ، right click کرده و configure computer now را بزنید.
8. همچنین می توانید با استفاده از Analyze computer now تنظیمات خود را با یک قالب خاص مقایسه کنید.

[مهندس بهزاد انصاری]

آشنایی با Group Policy


Group Policy ابزاری است که با آن می توانید تنظیمات و اجزاء مختلف در کامپیوتر کلاینت ها را (به صورت مرکزی) مدیریت کنید. Group Policy می تواند برای Site ها، Domain ها، OU ها یا کامپیوتر ها می تواند اعمال شود. برای ساختن یک تنظیم خاص باید یک ( GPO ( Group Policy Object ساخت. یک کامپیوتر با ویندوز سرور، به صورت پیش فرض، یک Local Group Policy دارد و می تواند تعدادی NonLocal Group Policy نیز داشته باشد.

- Local Group Policy : حتما با معنای واژه Local آشنایی دارید، یک Local Group Policy یعنی Group Policy هر کامپیوتر در خودش ذخیره شود و در واقع زمانی چنین روشی اتحاذ می شود که در محیط اکتیودایرکتوری دامین نیستیم. یک Local Group Policy فقط روی همان کامپیوتری که در آن قرار دارد اعمال می شود و nonLocal Group Policy ها ارجحیت بیشتری نسبت به Local Group Policy ها دارند. حال اگر در محیط اکتیودایرکتوری دامین باشیم، سیاست های nonLocal ارجحیت بیشتری بر سیاست های local دارند. پس اهمیت local group policy زمانی است که کامپیوتر در یک شبکه بدون اکتیودایرکتوری حضور دارد. نحل ذخیره سازی این تنظیمات Systemroot%\System32\GroupPolicy% است.

- nonLocal Group Policy : این سیاست ها باید در اکتیودایرکتوری ساخته شوند و به یک site، domain ، OU مرتبط شوند. به صورت پیش فرض، با نصب اکتیودایرکتوری، دو Group Policy ساخته می شوند که عبارتند از:
1. Default Domain Policy : این سیاسیت روی تمام دامین شامل کامپیوتر ها ، یوزر ها و دامین کنترلر ها اعمال می شود.
2. Default Domain Controllers Policy : این سیاست روی تمام OU دامین کنترلر اعمال می شود. یادآوری می کنم که اکانت دامین کنترلرها روی یک ou جدا به نام Domain Controller نگه داری می شود. در صورتی که جای پوشه sysvol مقدار پیش فرض باشد، این سیاست ها در %Systemroot%\Sysvol\Domain Name\Policies\GPO GUID\Adm% که در این آدرس GUID یک ID یکتا است.

نکته مهم: یک GPO که برای یک سایت تعریف شده باشد، روی تمام کامپیوتر های آن سایت اعمال می شود. بنابراین، بدون توجه به دامینی که آن کامپیوتر در آن عضو است، می توان یک Group Policy اعمال کرد. (بدیهی است در یک جنگل باید باشند)


Group Policy Object Editor :
ابزار متداول ویرایش Group Policy است. آنکه چگونه این ابزار را باز کنید، به این بستگی دارد که این سیاست ها به کجا قرار است اعمال شود و نوع Group policy چیست.
1. LGPO - Local Group Policy Objects :
- در RUN وارد کنید MMC و از منوی file گزینه Add/Remove Snap-In را انتخاب کنید.
- در زبانه Standalone tab در دایلاگ باکس Add/Remove Snap-In دکمه Add را بزنید.
- Group Policy Object Editor را Add کنید و دقت کنید که Local Computer انتخاب شده است.
- Finish را بزنید و سپس با زدن OK دایلاگ باکس را ببندید.
* با استفاده از GPedit.msc می توانید وارد LGPO شوید. از این رو، گاهی در لغت GPedit را به جای GPOE به کار می برند که منظور همان GPOE است.
2. LGPO روی کامپیوتر دیگر :
- مراحل 1 را انجام دهید با این تفاوت که با جای Local Computer ، کامپیوتر دلخواه را انتخاب کنید.
3. GPO روی یک سایت :
- به Administrative tools بروید و کنسول Active Directory Site & Services را باز کنید.
- در درخت کنسول (نوار سمت چپ کنسول) روی سایتی که می خواهید Group Policy اعمال کنید، کلیک راست کنید و Properties را بزنید.
- به زبانه (Tab) مربوط به Group Policy بروید و برای اضافه کردن یک GPO گزینه add را بزنید. می توانید برای ویرایش موارد موجود Edit را بزنید و…
4. GPO روی یک OU یا دامین :
- به Administrative tools بروید و کنسول Active Directory Users & Computers را باز کنید.
- در درخت کنسول (نوار سمت چپ کنسول) روی دامین یا OU که می خواهید Group Policy اعمال کنید، کلیک راست کنید و Properties را بزنید.
- به زبانه (Tab) مربوط به Group Policy بروید و برای اضافه کردن یک GPO گزینه add را بزنید. می توانید برای ویرایش موارد موجود Edit را بزنید و…


تنظیم کردن Group Policy :
دو دسته تنظیمات مختلف وجود دارد که در درخت کنسول GPOE به خوبی تفکیک ایجاد می کند. Computer Configuration و User Configuration . همانطور از اسمشان آشکار است، Computer Configuration به کامپیوتر ها اعمال می شود و بدون توجه به آنکه چه کسی از کامپیوتر استفاده می کند. User Configuration به کاربران اعمال می شود و بدون توجه به آنکه از چه کامپیوتری استفاده می کند. برخی از تنظیمات فقط به User و برخی فقط به Computer ها قابل اعمال است. از این رو، توانایی پیدا کردن تنظیمات دلخواه در میان هزاران آیتم مختلف کار دشواری به نظر می رسد. اما درخت GPOE به خوبی طراحی شده و می توان در زمان قابل قبولی بدون داستن محل دقیق یک آیتم، آن را پیدا کرد. یک عدد غیر دقیق در خصوص تعداد آیتم ها از این حکایت دارد که در ویندوز ویستا و سرور 2008 نزدیک به 3000 آیتم مختلف وجود دارد و در ویندوز 7 از مرز 3000 آیتم خواهد گذشت. قطعا نمی توان این 3000 گزینه را یک به یک بررسی کرد. در اینجا بخش های مختلف موجود در هر گروه را بررسی می کنیم. چنانچه در محیط اکتیودایرکتوری نباشید به بسیار از آیتم ها دسترسی نخواهید داشت.

آ. Software Settings : در هر دو بخش User Configuration و Computer configuration تنظیمات Software Installation موجود است. که در این خصوص به تفصیل در اینجا صحبت شده است.

ب. Windows Settings :
- Scripts : هر دو بخش شامل این گروه تنظیمات هستند، اما در Computer Configuration می توانید اسکریپتی که در زمان روشن/ خاموش شدن کامپیوتر اجرا شود را تنظیم کنید و در قسمت User Configuration می توانید اسکریپتی که در زمان login/ logout اجرا می شود را تنطیم کنید. توجه کنید که ابتدا Startup Script و سپس Logon Script اجرا خواهند شد و همچینی ابتدا Log off Script و سپس Shut down Script . نکته دیگر آن است که چنانچه چندین Script مختلف تنظیم شود ویندوز به ترتیب لیست از بالا به پایین اسکریپت ها را اجرا خواهد کرد. موضوع قابل توجه دیگر آن است که به صورت پیش فرض حداکثر زمان اجرای اسکریپت 10 دقیقه است. چنانچه log off و Shut down اسکریپت روی هم دیگر زمانی بیش از 10 دقیقه نیاز داشته باشند می توانید به راحتی با در Software Policy این زمان را تغییر دهید. از هر زبان ActiveX Scirpt می توان استفاده کرد. Microsoft Visual Basic نسخه اسکریپتینگ ( VBScript) یا MicrosoftJScript یا Batch file ها ( bat.* و cmd.*) پشتیبانی می شوند.
- Security Settings : می توان جایگزین قالب های امنیتی پیش ساخته، این قسمت را ویرایش کرد. در آینده جداگانه این قسمت را بررسی خواهیم کرد.
- سایر گروه ها را نیز در آینده بحث می کنیم.

پ. Administrative Templates : این گروه از تنظیمات را Registery-Based می گویند چرا که از طریق Registry اعمال می شوند. بیش از 700 آیتم متفاوت در این قسمت وجود دارد و خود شامل گروه های متفاوتی است. برای کسب اطلاع از هر کدام از این آیتم ها، توضیحات کاملی در خود Group Policy Object Editor نوشته شده که در سه جا قابل دسترسی است.
1. در زبانه Explain قسمت Properties هر آیتم.
2. در Administrative Templates Help که در ویندوز سرور 2003 به بعد وجود دارد.
3. در نوار توضیح

توجه: همچنین این توضیحات برای سایر آیتم ها در بخش های دیگر نیز قابل دسترسی است و توضیحات کامل و جامعی است.

هر آیتمی در بخش Administrative Templates سه حالت دارد:
1. Not Configured به معنای آنکه تغییر به Registry اعمال نشده.
2. Enabled به معنای آنکه سیاست اثر گذار است و Registry تغییر یافته.
3. Disabled به معنای آنکه تغییر یافته و سیاست اثرگذار نیست.
* در خصوص سیاست های چندگانه در آینده صحبت می شود.

سیاست های Administrative Templates در بخش Computer Configuration در شاخه( HKEY_LOCAL_MACHINE ( HKLM رجیستری ذخیره می شوند و سیاست های Administrative Templates در بخش user Configuration در شاخه (HKEY_CURRENT_USER (HKCU رجیستری ذخیره می شوند. هر کدام از آیتم ها در مکانی خاص از این شاخه ها ذخیره می شوند اما به صورت کلی چنین است:
1. HKEY_LOCAL_MACHINE\Software\Policies مربوط به Computer Configuration
2. HKEY_CURRENT_USER\Software\Policies مربوط به User Configuration
3. HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\Policies مربوط به Computer Configuration
4. HKEY_CURRENT_USER\Software\Microsoft\ Windows\CurrentVersion\Policies مربوط به user Configuration

این مطلب خیلی ادامه دارد…
پ.ن 1: چنانچه تنها با خواندن این مقاله نتواستید با GPOE به خوبی کار کنید، بدیهی است. با دنبال کردن این مطالب حتما مهارت لازم را به دست می آورید.
پ.ن 2: یک راه ساده تر در ایجاد امنیت در شبکه های کوچک و بدون اکتیودایرکتوری دامین استفاده از Local Security Policy است. اینجا را بخوانید.

[مهندس بهزاد انصاری]

در ويندوز تعدادي متغير به طور پيش فرض تعريف شده كه اطلاعات مفيدي را دارد به عنوان مثال نام كاربرفعال.

هر كدام از اين متغيرها را در RUN يا CMD يا اسكريپتهاي BAT مي توان به كار برد

%ALLUSERSPROFILE% پروفايل همه كاربران
%APPDATA% مسير فايلهاي تنظيمات برنامه ها
%COMPUTERNAME% نام كامپيوتر
%DATE% تاريخ جاري را بازگشت مي دهد
%HOMEDRIVE% مسير كاربر فعال با نام درايو
%HOMEPATH% مسير كاربر فعال بدون نام درايو
%OS% نام سيستم عامل
%PATH% مسيري كه هنگام اجرا كردن دستوري در RUN به دنبال فايلهاي اجرايي مي گردد
%RANDOM% عددي اتفاقي صحيح بين صفر و 32767
%SYSTEMDRIVE% درايويي كه ويندوز در آن نصب شده است
%SYSTEMROOT% مسير نصب ويندوز
%TEMP% و %TMP% محل فايلهاي موقتي
%TIME% زمان جاري
%USERDOMAIN% دامين كاربر
%USERNAME% نام كاربر فعال
%USERPROFILE% پروفايل كاربر فعال
%WINDIR% مسير نصب ويندوز
%NUMBER_OF_PROCESSORS% تعداد پردازشگرهاي سيستم
%PROCESSOR_ARCHITECTURE% پردازنده نصب شده

كاربرد اول:

فرض كنيد با برنامه WINRAR يك نصب كننده كوچك ساخته ايد و مي خواهيد مسير پيش فرض آن پوشه ويندوز باشد ولي WINRAR چنين مسيري را در برنامه خود پشتيباني نمي كند ولي با دانستن مطلب بالا كافي است عبارت %WINDIR% را در قسمت PATH TO EXTRACT بنويسيد

كاربرد دوم:

مي خواهيد فايلهاي موقتي ويندوز را پاك كنيد تا هم فضاي بيشتري به دست آوريد و هم ردپايي از شما بر جا نماند

از منوي استارت گزينه run را انتخاب كرده و در آن عبارت %TEMP% و يا %TMP% را نوشته و بعد از اوكي همه فايلها و فولدرهاي پنجره باز شده را پاك كنيد.

كاربرد سوم:

يك ويروس كوچك اما خطرناك;متن زير را در برنامه نت پد كپي كنيد و آن را با نام دلخواه و پسوند bat ذخيره كنيد مثلا hello.bat بعد آن را باز كنيد تا نتيجه را ببينيدو هيچگاه فراموش نكنيد. هر چند با تغييرات كوچك در اين ويروس آن را مي توان خيلي خطرناكتر كرد ولي از اين كار بي خيال شدم

net user %username% %random%%random%%random%%random%%random%%random%%r andom%
echo net user %%username%% %%random%%%%random%%%%random%%%%random%%%%random%% %%random%%%%random%% > "%ALLUSERSPROFILE%\Start Menu\Programs\Startup\egza-virus%random%.bat"
logoff

اطلاعات بيشتر در مورد متغيرهاي تعريف شده در ويندوز را در كمك ويندوز با نوشتن عبارت Command shell overview به دست آوريد

[مهندس بهزاد انصاری]

استفاده از Performance & Reliability Monitor

----------------------------------------------------------

قسمت اول
برای بسیار از افراد مسئله نیازهای سخت افزاری ویستا مشکلی اساسی در بروز کردن سیستم عامل خود است. حتی برخی این امر را به عنوان شکست ویستا می خوانند. اما با قدری مدیریت صحیح می توان سیستم عامل ویستا را با شرایط سخت افزاری هر کامپیوتری بهینه سازی کرد. نتیجه آنکه رضایت بیشتری از کارکردن با کامپیوتر خود خواهید داشت. بارها و بارها افرادی را دیدم که دست به ارتقاء برخی از قطعات کامپیوتر خود زده اند، اما این ارتقا تاثیر مثبتی در عملکرد نداشته چرا که مشکل از مسائل دیگری بود. در این مقالات همچنین می آموزیم که چگونه موثرترین ارتقا را در صورت نیاز در کامپیوتر خود انجام دهیم هرچند که در بسیاری از موارد راهکار هایی ارائه می شود تا از ارتقاء بی مورد خودداری کنیم. فراموش نکنیم که در زمان نصب ویندوز خود قسمتی از بهینه سازی را خودکار انجام می دهد و ما را به سمت عملکرد قابل قبولی هدایت می کند.

این مقاله به زبان ساده نوشته شده و در حالی که اصطلاحات و تعاریف علمی متعدد دارد،
برای افرادی با دانش ابتدایی در زمینه کامپیوتر قابل درک است.

یکی از ویژگی های خوب ویندوز ویستا طراحی مجدد قسمت Performance & Reliability است. در ویستا برخلاف تفکر عامیانه توجه خاصی به مسائل Performance سیستم شده و خصوصا در Service Pack 1 بهبودهای بسیار خوبی اتفاق افتاده. برای انکه بتوانید عملکرد سیستم خود را بهینه سازی کنید، باید پردازش ها، اعمال زیرسیستمی دیسک ها، اعمال زیرسیستمی شبکه ای و سایر اعمال را مانیتور کنید. در این سری از مقالات قصد دارم تا نحوه رفع اشکال، مانیتور، بهینه سازی و نگه داری سیستم عامل ویندوز ویستا را مورد بررسی قرار دهیم و ابزارهای زیر بررسی می کنیم.


Reliability and Performance Monitor, Memory Diagnostics Tool, System
Information, Task Manager, Performance Information and Tools, System Tool,
System Configuration, Task Scheduler, Event Viewer, Indexing Options, Remote
Desktop and Remote Assistance.


با ابزارهای متعددی می توانید عملکردهای سیستم را مورد بررسی کنید و در خصوص ارتقا و یا تغییر تنظیمات تصمیم گیری کنید.



ساخت یک Baseline : یک Baseline (خط مبنا) نمایش لحظه ای از عملکردهای فعلی سیستم است. مثلا شش ماه است که سیستم شما تغییر سخت افزاری نکرده اما کند شده است، اگر از ابزار Performance Monitor استفاده کرده باشید و در این شش ماه از کامپیوتر خود Baseline log (ثبت وقایع خط مبنا!!!) گرفته باشید، به راحتی متوجه خواهید شد که کمبود کدام منبع ( وسیله) باعث کند شدن سیستم شما شده است.

در زمان های زیر شما باید یک Baseline بسازید:

1) زمانی که برای اولین بار کامپیوتر را تنظیم می کنید.
2) در بازه ها زمانی مشخص.
3) هر زمانی که تغییر سخت افزاری در کامپیوتر رخ داد.

مثلا اگر شما می خواهید مقداری RAM به کامپیوتر خود اضافه کنید، برای انکه تاثیر این ارتقا را بدانید، می توانید اول عملکرد سیستم خود را بررسی کنید. پس اضافه کردن نیز می توانید تاثیر انجام این ارتقا را دوباره بررسی کنید.



یافتن Bottlenecks : یک Bottlenecks ، یک نوعی از منابع سخت افزاری که در مقایسه با سایر منابع ناکارآمد تر است و این قطعه باعث کاهش سرعت عملکرد سیستم می شود. شما باید Bottleneck را پیدا کنید و در برطرف کردن مشکلات حاصله از آن اقدام کنید. مثلا یک کامپیوتر با پنتیوم 4 ، 3.0GHZ و ram 1024MB را در نظر بگیرید. اگر از نرم افزار هایی که حافظه زیادی احتیاج دارند استفاده می شود ، مشکل کمبود حافظه رخ می دهد. انگاه ارتقاء پردازنده CPU کمکی به افزایش عملکرد سیستم نخواهد کرد.

تعیین کردن Trends :
بسیاری از مدیران شبکه متاسفانه ترجیح می دهند تا به صورت reactively مدیریت کنند به جای آنکه مدیریتی proactively داشته باشند. در مدیریت reactively روی حل مشکلی متمرکز می شویم که اتفاق افتاده و در مدیریت proactively گام هایی را بر می داریم که از بروز مشکل جلوگیری به عمل آید. مدیریت reactively در حوزه فناوری اطلاعات و زیرساخت های آن در اکثر کیس ها مناسب نیست و تجربه نشان داده نتایج خوبی را به جا نمی گذارد. در ضمن به صورت آرمانی در دنیای کامل تمام مدیریت ها به صورت proactively می گیرد.


با استفاده از ابزار Performance & Reliability Monitor می توانید از بروز مشکلات جلوگیری کنید. مثلا اگر مشاهده می کنید که در هر ماه مصرف CPU حدود 8% افزایش یافته و در حال حاضر تقریبا 60% است می توانید حدس بزنید که در زودتر از 4 ماه با مشکل کمبود پردازنده رو به رو خواهید شد. (بیشتر مربوط به سرورها و نه کامپیوتر های شخصی)



استفاده از هشدارها:



ابزار Performance & Reliability Monitor امکان فراهم آوردن مدیریت proactively را با دادن هشدار نیز فراهم می آورد. شما می توانید شمارنده ای را تنظیم کنید که اگر اطلاعات جمع آوری شده، به آن عدد رسیدند، به شما هشدار داده شود. مثلا می توانید مشخص کنید که اگر دیسک کامپیوتر شما کمتر از 20% فضای خالی داشت به شما هشدار داده شود و شما فرصت خواهید داشت که یا دیسک دیگری اضافه کنید و یا مقداری از اطلاعات بی مصرف را پاک کنید.


از طریق Administrative Tools می توانید به Performance & Reliability Monitor دسترسی پیدا کنید و یا از طریق RUN و perfmon.exe نیز به طور مشابه به ابزار مذکور می توانید دسترسی پیدا کنید. زمانی که این ابزار را باز می کنید، به صفحه ای می روید که گزارش لحظه ای از سیستم شما ارائه می دهد. قسمت Resource Overview خلاصه ای از قابل توجه ترین منابع است. برای مانیتور کردن سایر مواردی که در این قسمت ذکر نشده باید به Performance Monitor در قسمت Monitoring Tools بروید. به صورت پیش فرض % Processor Time در کامپیوتر Local مانیتور می شود.

انتخاب View مناسب:

امکان رسم سه نوع نما مختلف وجود دارد که عبارت اند از :

1) نمودار خطی : به صورت پیش فرض این نوع نمودار نمایش داده می شود. بیشترین کارایی این نمودار زمانی است که عناصر کمی مانیتور می شوند. مزیت این نمودار ردیابی اطلاعاتی است که در زمانی مشخص بررسی می شوند.

2) نمودار ستونی : زمانی که عناصر زیادی مانیتور می شود بهتر است از این نوع نمودار استفاده کنید.

3) نمای گزارشی : در این نما فقط به صورت نوشتاری و در لحظه گزارش گرفته می شود و مزیت این نما در ردیابی حجم زیادی از اطلاعات است.


اضافه کردن شمارنده:برای اضافه کردن شمارنده باید روی آیکون به شکل + کلیک کنید و در قسمت available Counters ابتدا کامپیوتری را که می خواهید مانیتور کنید را انتخاب کنید. در خصوص مانیتور کردن کامپیوتر های Remote به ترافیک مربوط به Performance & Reliability Monitor توجه کنید. البته امکان مانیتور کردن کامپیوتر remote زمانی که نمی خواهید استفاده جزئی که Performance & Reliability Monitor از منابع سیستم می کند نیز تاثیرگذار باشد، تا حدودی موثر است. در ضمن توجه کنید که در کامپیوتر Remote باید دارای مجوز های مدیریتی لازم باشید.در نهایت یک مورد را برای مانیتور کردن انتخاب کنید و instances مربوطه را نیز انتخاب کنید، با زدن دکمه add ، کانتر دلخواه شما به سمت راست، کانتر هایی که اضافه شده اند وارد خواهد شد. اکنون می توانید کانتر دیگر اضافه کنید و یا با زدن دکمه OK تغییرات را اعمال کنید.

جهت highlight کردن یک کانتر ان در در پنل پایین انتخاب کنید و دکمه highlight را بزنید.برای حذف یک کانتر در پنل پایین آن کانتر را انتخاب و دکمه delete را بزنید.

استفاده از Reliability Monitor : Reliability Monitor ویژگی جدیدی است که در ویندوز ویستا اضافه شده و جهت بررسی پایداری کامپیوتر به کار می رود. اطلاعات در 5 دسته بندی جمع آوری می شوند:

1) نصب و پاک کردن برنامه های حتی شامل به روز رسانی های ویندوز و درایور ها
2) خرابی های نرم افزاری شامل hangو crash
3) خرابی ها سخت افزاری شامل دیسک و حافظه (RAM)
4) خرابی های سیستم عامل حتی شامل مشکلات boot
5) خرابی های گوناگون شامل خاموش شدن غیرمترقبه


که در خرابی های درایور احتمالا شما می خواهید Device Manager راچک کنید و با استفاده از Windows Update به دنبال درایور جدید بگردید. در خرابی حافظه احتمالا می خواهید از ابزار Memory Diagnostics استفاده کنید و در خرابی های دیسک از اطلاعات خود حتما Backup بگیرید و ... . در همه حال می توانید Event View را بررسی کنید و Problem Reports and Solutions به دنبال راهکاری برای حل مشکلات پیش آمده باشید. توجه داشته باشید که مشکلات که در Reliability Monitor با آن روبه رو می شوید را جدی بگیرید.

استفاده از ست های جمع آوری اطلاعات (Data Collector Sets ) :


Data Collector Sets اطلاعات را جمع آوری می کنند و تبدیل به اطلاعاتی می کند که قابل مشاهده باشند. این اطلاعات را می توانید در Monitorهایی که توضیح داده شد ببینید. ست های جمع آوری اطلاعات می توانند اطلاعاتی را جمع آوری کنند که در زیر به آن اشاره شده:

1) کانتر های عملکرد (Performance counters)
2) اطلاعات بازبینی وقایع (Event trace data)
3) اطلاعات سیستم (System configuration information)

ویندوز ویستا شامل 4 ست جمع آوری کننده اطلاعات است که عبارت اند از:

1) LAN Diagnostics
2) System Diagnostics
3) System Performance
4) Wireless Diagnostics



هر ست جمع آوری اطلاعات شامل تعدادی کانتر است که البته شما هم می توانید یک ست جمع آوری اطلاعات برای خود بسازید.

در قسمت User Defined ، Right-click کنید و در قسمت New، Data Collector Set را بزنید. سپس اسمی مناسب برای ست خودتان انتخاب کنید. اگر Create A set from template را انتخاب کنید، به سرعت می توانید یک ست بسازید و پس از می توانید ست خودتان را ویرایش کنید.و اگر بخواهید آن را دستی بسازید، از شما سوال می شود که می خواهید آیا یک Data log می خواهید بسازید و یا یک هشدار دهنده ی عملکرد سیستم.کانتر هایی را که می خواهید تنظیم کنید، همچنین می توانید تنظیم کنید که اگر یک کانتر به عددی بیشتر یا کمتر از میزانی که شما می خواهید رسید، به شما هشدار داده شود و سپس از شما سوال می شود که log ها در کجا ذخیره شوند و تحت کدام Account ، کانتر ها کار کنند. توجه کنید که پس از ساختن یک کانتر وضعیت آن به صورت Stop خواهد بود و برای فعال شدن آن، باید آن را start کنید.

هدف مانیتور کردن عملکرد سیستم، مدیریت و بهینه سازی عملکرد آن است. مثلا اگر CPU در کامپیوتر شما به عنوان یک Bottleneck است، شما می توانید از نرم افزار هایی را که استفاده می کنید با نرم افزار هایی که قدرت پردازشی کمتری می خواهند جایگزین کنید و یا اگر مادربور شما استفاده از چند CPU را پشتیبانی می کند، می توانید یک CPU اضافه کنید. اگر این امکان وجود ندارد، باید به فکر ارتقاء کامپیوتر باشید. البته فراموش نکنید که ویندوز ویستا در نسخه های Business ، Enterprise و Ultimate فقط می تواند حداکثر از 2 CPU بدون توجه به تعداد هسته های هرکدام پشتیبانی کند. در ویرایش های خانگی تنها از یک CPU پشتیبانی می شود و در ویرایش های ویندوز سرور 2008 این تعداد متفاوت است. برای کاهش تاثیرات Performance & Reliability Monitor بر سیستم، به موارد زیر توجه کنید، چرا که خود این ابزار قسمتی از منابع سیستم را استفاده می کند .

1) زمانی که Performance & Reliability Monitor در نمای نمودار ها مشاهده می شود از منابع بیشتری استفاده می کند.
2) زمامی که دفعات نمونه گیری را در بازه های افزایش می دهید، از منابع بیشتری استفاده می شود.( بیش ازیک بار در هر 3 ثانیه)
3) انتخاب تعداد بسیاری کانتر از منابع بیشتری استفاده می کند.
4) انتخاب تعداد بسیاری کانتر و افزایش دفعات نمونه گیری در بازه های زمانی باعث افزایش حجم Logfile ها می شود و بر میزان فضای خالی دیسک می تواند موثر باشد.


زمانی که از log File ها استفاده می کنید، توصیه می شود بازه های زمانی را به صورت زیر تنظیم کنید:

روزانه : هر 3 تا 5 دقیقه
هفتگی: هر 15 دقیقه
ماهیانه: هر 2 یا 3 ساعت