Group Policy – Central Store

Jedną ze zmian związanych z GPO w systemach Windows Server 2008 i Windows Vista jest koncepcja katalogu centralnego (Central Store). Central Store jest po prostu katalogiem przechowywanym w udziale SYSVOL, w którym znajdują się wszystkie pliki szablonów administracyjnych (ADMX i ADML) w obrębie domeny.

Po uruchomieniu GPMC na Windows Server 2008 lub Windows Vista, pierwszym miejscem z którego nastąpi próba załadowania szablonów, będzie właśnie central store. W przypadku gdy system stwierdzi jego brak, kieruje się do lokalnych zasobów.

To rozwiązanie ma uporać się (między innymi) z kilkoma niedogodnościami charakterystycznymi dla procesu tworzenia i zarządzania politykami grup w systemach Windows 2000/XP/2003.

Jedną z tych niedogodności może być wzmożony ruch sieciowy związany z replikacją szablonów ADM. Inną, miejsce zarezerwowane na ich składowanie na kontrolerach domeny. Jeszcze inna niespodzianka czekała na nas, gdy dokonywaliśmy edycji GPO z systemów różniących się wersją językową. Poza tym, w sytuacjach gdy siecią zarządzała większa ilość Administratorów, mogły występować problemy z dokładnym określeniem, którą dokładnie wersję szablonu właśnie poddaliśmy edycji.

Do tej pory, w momencie utworzenia GPO, na SYSVOL zostawał zakładany katalog z GUID nowej GPO w nazwie. Nie zawierał on jednak jeszcze na tym etapie katalogu ADM w którym przechowywane  były szablony administracyjne. Kopiowanie następowało dopiero w momencie gdy dane GPO zostało otwarte w GPOE (Group Policy Object Editor).

Zestaw szablonów dla jednej GPO, to niecałe 4MB. Przy ok. pięćdziesięciu GPO, mówimy już o konieczności replikacji ok. 200 MB. W sytuacjach gdy lokacje w obrębie jednej domeny połączone są przy pomocy niezbyt wydajnych łącz, lub gdy łącza te są po prostu intesywnie wykorzystywane, rozmiar SYSVOL może mieć dość istotne znaczenie.

Jak już wspomniałem na początku, central store jest reprezentowany przez katalog o nazwie PolicyDefinitions w udziale sysvol na kontrolerach domeny. Cały proces tworzenia CS jest bardzo prosty…

1. Na kontrolerze domeny (preferowany jest tutaj DC pełniący rolę PDC Emulator, gdyż to właśnie do tego DC standardowo łączy się GPMC i GPOE), w poniższej ścieżce tworzymy główny katalog w którym składowane będą wszystkie szablony ADMX:

%systemroot%\sysvol\domain\policies\PolicyDefinitions

2. Tworzymy podfoldery dla wersji językowych plików ADML. Nazwy folderów nie są dowolne i możemy je znaleźć np. na liście Valid Locale Identifiers.

3. Kopiujemy pliki .admx z Visty (lub z Windows Server 2008) do folderu PolicyDefinitions na SYSVOL:

copy %systemroot%\PolicyDefinitions\* %logonserver%\sysvol\%userdnsdomain%\policies\PolicyDefinitions\

4. Kopiujemy pliki .adml do odpowiednich podfolderów utworzonych w katalogu PolicyDefinitions na SYSVOL:

copy %systemroot%\PolicyDefinitions\[MUIculture]\* %logonserver%\sysvol\%userdnsdomain%\policies\PolicyDefinitions\[MUIculture]\

Efekt końcowy powinien przedstawiać się następująco:

image

Powyższą procedurę musimy wykonać tylko raz, na jednym DC. Oczywiście konto użytkownika z którego będziemy wykonywać te kroki, musi być członkiem grupy Domain Administrators. Resztę zrobi za nas FRS (lub ewentualnie DFSR, jeżeli poziom funkcjonalny domeny został podniesiony do Windows Server 2008 i dokonaliśmy zmiany sposobu replikacji), który synchronizuje zawartość udziału sysvol na wszystkich kontrolerach w domenie.

Dodatkowa korzyść płynąca z posiadania magazynu centralnego w domenie, to łatwe udostępnianie i korzystanie z niestandardowych plików admx, które po skopiowaniu do CS, staną się automatycznie dostępne dla wszystkich osób administrujących GPO w naszej domenie.

Musimy pamiętać o tym, że od tej pory, edycji GPO powinniśmy dokonywać tylko z sytemów Windows Vista i Windows Server 2008. W innym przypadku, do katalogu edytowanej GPO znajdującym się na sysvol, skopiowany zostanie zestaw plików .adm.

W sytuacji gdy z jakichś powodów katalog PolicyDefinitions będzie niedostępny, wtedy Windows Vista i Windows Server 2008 automatycznie zaczną korzystać z plików .admx i .adml przechowywanych lokalnie.

No comments yet

Skomentuj

Wprowadź swoje dane lub kliknij jedną z tych ikon, aby się zalogować:

Logo WordPress.com

Komentujesz korzystając z konta WordPress.com. Log Out / Zmień )

Zdjęcie z Twittera

Komentujesz korzystając z konta Twitter. Log Out / Zmień )

Facebook photo

Komentujesz korzystając z konta Facebook. Log Out / Zmień )

Google+ photo

Komentujesz korzystając z konta Google+. Log Out / Zmień )

Connecting to %s

%d bloggers like this: