Installatie en implementatie Windows Server 2008 R2 Installatie en implementatie

1. AFDELINGEN EN WERKNEMERS

Afdelingsdirecteuren De Directie Algemeen Directeur Martin Coppens Afdelingsdirecteuren Jos De Koper Wim De Bruyne Jurgen Smekens

en afdelingsdirecteur Afdeling inkoop Lieven De Wit Ann De Smet en afdelingsdirecteur Jos De Koper

en afdelingsdirecteur Afdeling verkoop Marc Stevens Timothy Verhelst Frederique De Grote Philippe Dullaers Jan De Vroe en afdelingsdirecteur Wim De Bruyne

en afdelingsdirecteur Afdeling boekhouding Vera Oselaer Bart Meeganck en afdelingsdirecteur Jurgen Smekens

Afdeling herstellingen Hubert Donder Sally Verstraeten Jimmy De Pelecijn en afdelingsdirecteur Wim De Bruyne

Op drukke momenten maakt het bedrijf gebruik van interimwerkers

Bedrijfsstructuur Afd. Inkoop Directeur Inkoop Inkoper interim Afd. Verkoop Directeur Verkoop Verkoper Algemeen Directeur Afd. Boekh. Directeur Boekh. Boek- houder Afd. Herstel. Directeur Herstel. Hersteller

2. Organizational units

Afdeling, Gebruiker, Username, Password Algemeen Directeur Martin Coppens MartinC AlgD0001 Afdelings Directeur Jos De Koper JosDK AfdD0001 Wim De Bruyne WimDB AfdD0002 Jurgen Smekens JurgenS AfdD0003 Inkoop Lieven De Wit LievenDW Im0001 Ann De Smet AnnDS Im0002 Verkoop Marc Stevens MarcS Vm0001 Timothy Verhelst TimothyV Vm0002 Frederique De Grote FrederiqueDG Vm0003 Philippe Dullaers PhilippeD Vm0004 Jan De Vroe JanDV Vm0005 Boekhouding Vera Oselaer VeraO Bm0001 Bart Meeganck BartM Bm0002 Herstellingen Hubert Donder HubertD Hm0001 Sally Verstraeten SallyV Hm0002 Jimmy De Pelecijn JimmyDP Hm0003 Interim N/A Im<username>

OU: Algemeen Directeur Martin Coppens Sjabloon Alg. Directeur OU: Afd. Directeur Sjabloon Afd. Directeur Jos De Koper Wim De Bruyne Jurgen Smekens OU: Afdelingen OU: Afd. Inkoop Sjabloon Inkoper Lieven De Wit Ann De Smet OU: Afd. Verkoop Sjabloon Verkoper Marc Stevens Timothy Verhelst Frederique De Grote Philippe Dullaers Jan De Vroe OU: Afd. Boekhouding Sjabloon Boekhouder Vera Oselaer Bart Meeganck OU: Afd. Herstellingen Sjabloon Hersteller Hubert Donker Sally Verstraeten Jimmy De Pelecijn OU: Interim werkers Sjabloon Interim

3. GROUP POLICIES Eerst werden de policies aangepast voor het hele domein (Default Domain Policy), dit om niet met te veel verschillende GPO´s te werken, die het opstarten alleen maar vertragen.

Background user configuration/policies/administrative templates/desktop/desktop wallpaper Shortcut voor Windows Verkenner user configuration/preferences/windows settings/shortcuts new – create Numlock user configuration/preferences/windows settings/registry HKEY-USERS default/control panel/keyboard/initialkeyboardindicators value=2 Greeting computer configuration/policies/windows settings/security settings/local policies/security options interactive logon: message title interactive logon: message text Proxy user configuration/policies/windows settings/internet explorer maintenance/connection/proxy settings

Password settings (min. lengte, max Password settings (min. lengte, max. dagen, geen ww herhaling) computer configuration/policies/windows settings/security settings/ account policies/password policy enforce password history maximum password age minimum password length Account lockout computer configuration/policies/windows settings/security settings/account policies/account lockout policies account lockout threshold No “Run” in start menu user configuration/policies/administrative templates/start menu and taskbar remove run: Enabled Last user display computer configuration/policies/windows settings/security settings/local policies/security options interactive logon: do not display last user name PC lock after 6 min. user configuration/policies/administrative templates/control panel /personalization password protect the screensaver screen saver time out

GPO in de verschillende OU’s Omdat alleen voor de directie de netwerkomgeving zichtbaar mag zijn, werd in de OU Afdelingen en OU Interimwerkers een GPO geplaatst die de netwerkomgeving verbergt. user configuration/policies/administrative templates/windows componants/windows explorer No computers near me in networklocations No entire network in network locations Verder kan in de OU Afdelingen, OU Interimwerkers en OU Algemeen Directeur een GPO worden gemaakt om de administrative tools alleen voor administrator beschikbaar te laten zijn. Hiertoe worden in User configuration/policies/administrative templates/windows components/microsoft management console/ restricted-permitted snap-ins de verschillende administratieve functies (zoals ADUC) op disabled gezet. Nu kan op de client de RSAT voor windows 7 update worden geïnstalleerd, zodat de tools voor de administrator aanwezig zijn en voor alle andere gebruikers. (Eenvoudiger, waar mogelijk, is: als administrator via Remote Desktop op de client de server benaderen, waardoor altijd alle tools ter beschikking van de beheerder staan.)

4. AGDLP-strategie

Aan de hand van de structuur van het bedrijf en de rechten die de werknemers en het management krijgen op gedeelde mappen en op gedeelde applicaties wordt het bedrijf onderverdeeld in globale groepen en (domein)lokale (security) groepen. De gebruikers worden verdeeld in verschillende globale groepen (global groups). Want b.v. de Algemeen Directeur heeft nu eenmaal andere rechten dan Lieven De Wit, werknemer op de inkoopafdeling. Daarna worden de mappen, applicaties, printers, … onderverdeeld in lokale groepen (domain local – security - groups). Een map b.v. wordt verdeeld op basis van de verschillende rechten (permissions) die op die map nodig zijn. Zo mag Lieven alleen een map lezen en mag de afdelings- directeur in diezelfde map lezen en schrijven. Om dit te bereiken maak je per verschillend recht een lokale groep. Zo bekomt men volgend schema:

EasyPay modify Qubic read&write Qubic read Qubic modify Prodate read Prodate modify Prodate read&write COMBO read COMBO modify COMBO read&write Printer GemeenschappelijkeBestanden VerkoopBestanden InkoopBestanden HerstellingenBestanden DirectieBestanden BoekhoudingBestanden Email Alg. Directeur X Dir. Inkoop Dir. Verkoop Dir. Boekh. Dir. Herstelling Inkoop Verkoop Boekhouding Herstellingen Interims

Dus wordt global group Alg. Directeur Dir. Inkoop Dir. Verkoop Dir. Boekh. Dir. Herstelling Inkoop Verkoop Boekhouding Herstellingen Interims gg_Algemeen Directeur gg_Directeur Inkoop gg_Directeur Verkoop gg_Directeur Boekhouding gg_Directeur Herstellingen gg_Inkoop gg_Verkoop gg_Boekhouding gg_Herstellingen gg_Interims

En wordt domain local group EasyPay modify Qubic read&write Qubic read Qubic modify Prodate read Prodate modify Prodate read&write COMBO read COMBO modify COMBO read&write Printer GemeenschappelijkeBestanden VerkoopBestanden InkoopBestanden HerstellingenBestanden DirectieBestanden BoekhoudingBestanden Email dl_EasyPay modify dl_Qubic read&write dl_Qubic read dl_Qubic modify dl_Prodate read dl_Prodate modify dl_Prodate read&write dl_COMBO read dl_COMBO modify dl_COMBO read&write dl_Printer dl_GemeenschappelijkeBestanden dl_VerkoopBestanden dl_InkoopBestanden dl_HerstellingenBestanden dl_DirectieBestanden dl_BoekhoudingBestanden dl_Email

Account (user) Globale groep Domain Lokale groep Permissies op map of applicatie

Enkele voorbeelden over hoe de verschillende groepen (globaal en lokaal) met verschillende rechten toegepast zijn op een map of applicatie:

gg_Algemeen Directeur map Easy Pay dl_Easy Pay gg_Algemeen Directeur Martin Coppens gg_Directeur Boekhouding Jurgen Smekens gg_Boekhouding Vera Oselaer Bart Meeganck

gg_Algemeen Directeur Martin Coppens gg_Boekhouding map Qubic dl_Qubic read&write gg_Algemeen Directeur Martin Coppens gg_Boekhouding Vera Oselaer Bart meeganck dl_Qubic read gg_Directeur Inkoop Jos De Koper gg_Directeur Verkoop Wim De Bruyne gg_directeur Herstellingen Hubert Donder dl_Qubic modify gg_Directeur Boekhouding Jurgen Smekens

De mappen Printer, Email en GemeenschappelijkeBestanden zijn voor iedereen beschikbaar dl_Printer gg_Algemeen Directeur gg_Directeur Inkoop gg_Directeur Verkoop gg_Directeur Boekhouding gg_Directeur Herstellngen gg_Inkoop gg_Verkoop gg_Boekhouding gg_Herstellingen gg_Interims

Met deze indeling is het makkelijk om rechten te geven, te veranderen of te ontnemen. Bij installatie van een nieuwe map of applicatie worden, afhankelijk van de verschillende rechten, nieuwe domein lokale groepen gemaakt, waarin dan bestaande globale groepen worden genest.

Einde van de presentatie