Shopt IT 2014 Ivo Depoorter Pagina 2 van Belangrijkste doeleinden logon scripts. 2 Klassieke werkwijze

Transcriptie

1 Shopt-IT 2014 Het einde van Logon scripts? 1 Belangrijkste doeleinden logon scripts Klassieke werkwijze Logon scripts nu via Group Policy Scripting of GPO preferences instellingen best practices Kan ik mijn logon script s vervangen door group policy preferences? (Persoonlijke) Conclusies Case 1: Logon script vervangen door GPO Vroeger: Logon script (47 lijnen VBS code) locatie netlogon ) Mapping netwerk share (DFS namespace) ) BGInfo op bureaublad tonen ) Update Access Front End 40 lijnen VBS code (installatie afzonderlijk script) ) Schrijf systeeminformatie weg naar share voor Topsis (script Topdesk) Nu: GPO ) Mapping netwerk share (DFS namespace) ) BGInfo op bureaublad tonen ) Installatie (vroeger 64 lijnen code) + Update van programma (Access Front End) ) Schrijf systeeminformatie weg naar share voor Topsis (script Topdesk) Case 2: Persoonlijke mappen maken via GPO Stap 1 - Folder maken/delen en rechten instellen Stap 2 - Security groep nieuwe gebruikers Stap 3 - GPO voor drive mapping Stap 4 - Persoonlijke map aanmaken... 17

2 1 Belangrijkste doeleinden logon scripts Folder mapping Printer mapping Omgevingsvariabelen Registersleutels Acties eigen aan de onderneming 2 Klassieke werkwijze (Belangrijkste) +Voordelen/-Nadelen: + Homedrive wordt automatisch gemaakt incl. rechten - 1 script per gebruiker - Script wordt enkel uitgevoerd tijdens het aanmelden - Scripten is arbeidsintensief en vergt veel kennis(overdracht) Shopt IT 2014 Ivo Depoorter Pagina 2 van 19

3 3 Logon scripts nu via Group Policy Via computer configuration startup/shutdown of user configuration logon/logoff (Belangrijkste) +Voordelen/-Nadelen: + Meerdere Logon & logoff scripts per gebruiker/computer/gpo mogelijk + Volledige ondersteuning van Powershell (Vanaf Windows 7) - Standaard geen ondersteuning voor Windows XP, Vista, Server 2003 (+R2) (installatie van GPO Client side extensions!) 4 Scripting of GPO preferences instellingen best practices Taken die uitgevoerd kunnen worden via group policy preferences Folder mapping Omgevingsvariabelen Bestanden Registerinstellingen Printers (Belangrijkste) +Voordelen/-Nadelen: + Geen kennis van scripting nodig + ITL (Item Level Targetting) + CRUD (Create Read Update Delete) van objecten + Group policies worden periodiek vernieuwd (niet altijd logon of startup nodig) Shopt IT 2014 Ivo Depoorter Pagina 3 van 19

4 5 Kan ik mijn logon script s vervangen door group policy preferences? How to get rid of your logon scripts the easy and free way: Preferences Targeting Targeting operatoren Shopt IT 2014 Ivo Depoorter Pagina 4 van 19

5 6 (Persoonlijke) Conclusies Het scripten van opstart taken is arbeidsintensief en kan in veel gevallen vervangen worden door group policy preferences. GPO s ter vervanging van scripts vraagt soms een andere aanpak Security groepen spelen een belangrijke rol en kunnen voor meerdere doeleinden (her)gebruikt worden. Tip maak gebruikers sjablonen! Het gebruik van de Netlogon share is niet langer nodig Kennis van scripten blijft nodig voor andere doeleinden meer en meer powershell! Shopt IT 2014 Ivo Depoorter Pagina 5 van 19

6 7 Case 1: Logon script vervangen door GPO 7.1 Vroeger: Logon script (47 lijnen VBS code) locatie netlogon 1) Mapping netwerk share (DFS namespace) 2) BGInfo op bureaublad tonen 3) Update Access Front End 40 lijnen VBS code (installatie afzonderlijk script) Front-end schrijft bij het openen het versie nr naar het register Controle bestaat de folder met de front-end op het bureaublad Vergelijkversie uit register met versie uit text bestand op server Updateindien versie verschillend Schrijf nieuw versie nummer naar register 4) Schrijf systeeminformatie weg naar share voor Topsis (script Topdesk) Shopt IT 2014 Ivo Depoorter Pagina 6 van 19

7 7.2 Nu: GPO 1) Mapping netwerk share (DFS namespace) Maak een GPO (in het voorbeeld Drive mapping) Gebruik User Configuration Preferences Drive Maps Vul je eigen parameters (share, drive letter) in volgens het screenshot Maak een security groep (in het voorbeeld GS-DFS-Namespace-User) Shopt IT 2014 Ivo Depoorter Pagina 7 van 19

8 Optioneel: maak een snelkoppeling naar het bureaublad 2) BGInfo op bureaublad tonen Maak een vbs of batch om BGInfo op te starten Maak een nieuwe of gebruik een bestaande GPO Ga naar User Configuration > Policies > Windows Settings > Scripts (Logon/Logoff) en dubbel-click op Logon Zie volledig voorbeeld op Shopt IT 2014 Ivo Depoorter Pagina 8 van 19

9 3) Installatie (vroeger 64 lijnen code) + Update van programma (Access Front End) In deze group policy worden de mappen gemaakt die nodig zijn voor het gebruik van de Acces Front End als de gebruiker lid is van een bepaalde security groep. Het bepalen van de volgorde kan van belang zijn, zeker als je creatie van items (in dit geval folders) afhankelijk maakt van het bestaan van andere items. Opzoekingen in Active Directory zijn arbeidsintensiever van andere opzoekingen, zeker wanneer er een lage bandbreedte is tussen de client en de domein controller. In onderstaand geval wordt er alleen gecontroleerd of de gebruiker lid is van de opgegeven security groep bij de aanmaak van de eerste map (DB_Cliënten order 1 ). Voor de creatie van de andere mappen wordt er gecontroleerd of de eerste map bestaat. Volgorde Maak map Als En 1 DB_Cliënten Gebruiker =lid security groep x De map DB_Cliënten bestaat niet 2 Cliënt_Fiches map DB_Cliënten bestaat 3 Excel_Sjablonen map DB_Cliënten bestaat 4 Word_Sjablonen map DB_Cliënten bestaat 5 Temp map DB_Cliënten bestaat Belangrijk voordeel: dezelfde security groep wordt gebruikt voor 3 doeleinden: Group policy: programma installeren en up-to-date houden SQL Server: rechten op de cliëntdatabank Fileserver: rechten op cliënt bestanden In de volgende stap (order 1) wordt het bestand naar de map DB_Cliënten gekopieerd als deze bestaat. Shopt IT 2014 Ivo Depoorter Pagina 9 van 19

10 Order 2 zorgt voor een update van het programma als de versie niet beantwoord aan de parameter in de group policy. Werking: Tijdens het starten van de front-end schrijft de toepassing het versie nummer weg naar het register De onderstaande ILT (Item Level Targeting) gaat deze versie uitlezen en opslaan in een variabele Er wordt een nieuwe versie gekopieerd als de versie van de variabele niet gelijk is aan de versie opgegeven in de group policy Tot slot worden er ook enkele registersleutels aangemaakt die voordien in het installatiescript zaten en krijgt de front end ook een snelkoppeling op het bureaublad Shopt IT 2014 Ivo Depoorter Pagina 10 van 19

11 4) Schrijf systeeminformatie weg naar share voor Topsis (script Topdesk) Omwille van de compatibiliteit met Topdesk wordt dit script niet gewijzigd. Het script verhuist van de netlogon share naar een group policy onder de instelling: Computer Configuration > Policies > Windows Settings > Scripts Startup Shopt IT 2014 Ivo Depoorter Pagina 11 van 19

12 8 Case 2: Persoonlijke mappen maken via GPO Stap 1 - Folder maken/delen en rechten instellen Maak een map gebruikersmappen aan Deel deze map (gebruikersmappen$) en zet de share permissies op full control voor authenticated users (geverifieerde gebruikers) Wijzig de NTFS rechten door de volgende instellingen: Schakel het erven van bovenliggende rechten uit (disable inheritance) en stel de volgende rechten in SYSTEM = Full Control CREATOR OWNER = Full Control LOCAL\Administrators = Full Control Authenticated Users = Traverse folder (Door map bladeren/bestanden uitvoeren); Create folder (Mappen maken/gegevens toevoegen); Write attributes (Kenmerken schrijven); Write extended attributes (Uitgebreide kenmerken schrijven); Read permissions (Leesmachtigingen) Shopt IT 2014 Ivo Depoorter Pagina 12 van 19

13 Stap 2 - Security groep nieuwe gebruikers Maak een Security groep GS-Persoonlijke_map Stap 3 - GPO voor drive mapping Maak de GPO Drive Mapping aan Onder User configuration preferences Drive maps bepaal je het path, de letter en het label van de homedrive. Door gebruik te maken van %LOGONUSER% zorg je ervoor dat de persoonlijke map de naam krijgt van de aangemelde gebruiker. Shopt IT 2014 Ivo Depoorter Pagina 13 van 19

14 De variabele %LOGONUSER% is een functie die gebruikt kan worden binnen GPO s om de naam van de aangemelde gebruiker weer te geven. Niet verwarren met de lokale variabele %USERNAME%!!! Andere variabelen zijn terug te vinden op: Shopt IT 2014 Ivo Depoorter Pagina 14 van 19

15 Klik op de Common tab en selecteer Run in Logged-on user s security context (Uitvoeren in de beveiligingscontext van de aangemelde gebruiker ) en Item-level targeting (Itemniveau als doel instellen) Run in Logged-on user s security context Als de optie Uitvoeren in de beveiligingscontext van de aangemelde gebruiker is geselecteerd, wordt de beveiligingscontext waarbinnen het voorkeursitems wordt verwerkt, gewijzigd. De voorkeursextensie verwerkt voorkeursitems binnen de beveiligingscontext van de aangemelde gebruiker. De voorkeurextensie verkrijgt hierdoor als gebruiker toegang tot bronnen in plaats van als computer. Dit kan bijzonder belangrijk zijn wanneer er gebruik wordt gemaakt van stations toewijzingen of andere voorkeuren waarin de computer mogelijk niet over de juiste machtigingen voor bronnen beschikt of in gevallen waarin er omgevingsvariabelen worden gebruikt. De waarde van een groot aantal omgevingsvariabelen wijkt af wanneer deze wordt beoordeeld in een andere beveiligingscontext dan in die van de aangemelde gebruiker. Shopt IT 2014 Ivo Depoorter Pagina 15 van 19

16 Item-level targeting Met de optie Itemniveau als doel instellen bepaal je aan welke voorwaarden er voldaan moet worden vooraleer de instelling toegepast worden. De instellingen hebben een waar/onwaar waarde die gewijzigd kan worden. Meerdere voorwaarden kunnen met de logische operatoren En/Of gecombineerd worden. De meest gebruikte filters zijn op security groep, IP adres bereik, organisatie eenheid, registerovereenkomst, bestandsovereenkomst Klik op Targeting en Voeg de security groep GS-Persoonlijke_map toe Shopt IT 2014 Ivo Depoorter Pagina 16 van 19

17 Stap 4 - Persoonlijke map aanmaken In tegenstelling tot de home drive instellingen binnen Active Directory Users And Computers wordt de home map niet automatisch aangemaakt via de group policy dus zijn er enkele bijkomende stappen nodig. Maak een nieuwe group policy Persoonlijke map maken Verwijder authenticated users onder Security Filtering en voeg de net aangemaakte security groep toe (GS-Persoonlijke_map) Editeer de GPO Persoonlijke map maken Ga naar User configuration preferences Folder en maak een map aan die verwijst naar de share gemaakt in stap 1 Shopt IT 2014 Ivo Depoorter Pagina 17 van 19

18 De optie Create (Maken) is hier de beste optie en is ook veilig (zie groen icoontje voor de map naam). Indien de map bestaat wordt er verder niets meer ondernomen. Maken Een nieuwe map voor computers of gebruikers maken. Verwijderen Een map voor computers of gebruikers verwijderen. Een map voor computers of gebruikers verwijderen en opnieuw maken. Het resultaat van de actie Vervangen is dat de inhoud van een bestaande map wordt Vervangen verwijderd en alle bij de map behorende instellingen worden overschreven. Als de map niet bestaat, wordt met de actie Vervangen een nieuwe map gemaakt. Een bestaande map voor computers of gebruikers wijzigen. Het verschil met de actie Vervangen is dat uitsluitend binnen het voorkeursitem gedefinieerde Bijwerken instellingen worden bijgewerkt. Alle andere instellingen blijven zoals ze geconfigureerd zijn voor de map. Als de map niet bestaat, wordt met de actie Bijwerken een nieuwe map gemaakt. Link de GPO s Drive Mapping en Persoonlijke map maken aan een OU en controleer de volgorde van de GPO s. Zorg ervoor dat de link order van de GPO die de map aanmaakt lager is dan de GPO die instaat voor de drive mapping. Shopt IT 2014 Ivo Depoorter Pagina 18 van 19

19 Klik op common Run in Logged-On user s security context Shopt IT 2014 Ivo Depoorter Pagina 19 van 19