Quais configurações da Diretiva de Grupo devem ser definidas dentro da Diretiva de Domínio Padrão?

Question

Alguém tem uma fonte autorizada de políticas que, se configuradas, DEVEM ser definidas dentro da Política de Domínio Padrão (se uma delas optar por defini-las)? Em primeiro lugar, eu sei que as políticas de senha e certas políticas de sessão do usuário devem ser definidas dentro da Política de Domínio Padrão. Estou limpando nossos GPOs de Domínio e tentando separar os GPs que podem ser definidos fora do padrão ...

Para esclarecer , não estou perguntando quais políticas devem ser definidas, estou perguntando quais políticas, devo escolher para defini-las, devem ser definidas dentro da Política de Domínio Padrão.

    

Answer 1

As configurações que você está procurando estão enumeradas em regras de aplicativo de Diretiva de Grupo para controladores de domínio , na medida em que o Controle de domínio Os computadores (DC) aplicam as configurações do Objeto de Diretiva de Grupo (GPO) definidas no nível do domínio. Você não precisa necessariamente especificar essas configurações na "Política de Domínio Padrão" (e, de fato, eu recomendaria não modificar a "Política de Domínio Padrão"). Em vez disso, o conjunto resultante dessas configurações, com base na ordem dos links dos GPOs na raiz do domínio, determina a configuração efetiva que os DCs aplicarão.

As configurações incluem o seguinte para todos os DCs do Active Directory.

• Políticas de conta
• Configurações das opções de segurança: "Efetuar logoff automaticamente dos usuários quando o tempo de logon expirar", "Renomear conta de administrador" e "Renomear conta de convidado".

DCs baseados no Windows Server 2003 (e, presumivelmente, DCs baseados no Windows Server 2008 e 2008 R2) também aplicarão as configurações de Opções de Segurança:

• Contas: status da conta do administrador
• Contas: status da conta de convidado
• Contas: renomear conta de administrador
• Contas: renomear conta de convidado
• Segurança de rede: forçar o logoff quando as horas de logon expirarem

Answer 2

Não há configurações que precisam ser definidas na política de domínio padrão. Na verdade, é recomendável não tocar na política de domínio padrão e na política de controladores de domínio padrão.

    

Answer 3

De acordo com os manuais de treinamento da Microsoft, a Diretiva de Domínio Padrão deve conter apenas configurações de senha, bloqueio de conta e políticas do Kerberos. A política de controladores de domínio padrão deve conter suas políticas de auditoria.

    

Answer 4

As alterações nas configurações da diretiva de segurança de domínio sempre devem ser feitas no GPO de Diretiva de Domínio Padrão.

As alterações nas configurações da diretiva de segurança do controlador de domínio para Atribuição de Direitos do Usuário e Diretiva de Auditoria devem ser feitas para o GPO padrão, em vez de para um GPO recém-criado.

Política de domínio padrão: política de senha, política de bloqueio de conta, política Kerberos.

Política de Controladores de Domínio Padrão: Política de Auditoria, Atribuição de Direitos do Usuário, Opções de Segurança, Política de Log de Eventos.

Aplica-se a: Windows Server 2003/2008 & R2