Informazioni su come bloccare il client di roaming Umbrella in Active Directory

Introduzione

In questo documento viene descritto come bloccare il client Umbrella Roaming in un ambiente Active Directory (AD) utilizzando gli oggetti Criteri di gruppo.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Le informazioni fornite in questo documento si basano sul client Umbrella Roaming

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Panoramica

Per assicurarsi che gli utenti con autorizzazioni amministrative locali non possano disabilitare il servizio Umbrella Roaming.

Processo

Completare la procedura seguente in un controller di dominio di Windows 2003/2008:

Nota: Se il servizio che si desidera configurare non è presente nell'elenco, è necessario installare Console Gestione Criteri di gruppo in un computer in cui il servizio è in esecuzione.

1. Creare un nuovo gruppo di sicurezza in Active Directory denominato Umbrella_Roaming.

• Questa operazione è necessaria in quanto è già possibile disporre di un gruppo di protezione che contiene membri diversi di Domain Admins.
  

2. Aprire Editor Criteri di gruppo (Start > Esegui > Tipo: gpmc.msc >) e creare un nuovo oggetto Criteri di gruppo denominato Umbrella.

3. Modificare il nuovo criterio di gruppo e passare a Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni protezione > Servizi di sistema.

• Il servizio Umbrella Roaming Client deve essere importato prima di poter essere visualizzato in Servizi di sistema. Ulteriori informazioni su come completare questo processo sono disponibili in questo articolo di Microsoft.
  

4. Scorrere i servizi elencati fino a raggiungere il servizio Umbrella Roaming Client.

• Una volta completata la configurazione dei criteri, verificare che il client sia aggiornato con il comando gpupdate prima di eseguire il test.

5. Configurare il servizio facendo doppio clic sul nome del servizio, selezionare Definisci questo criterio > Automatico, quindi modificare i gruppi di sicurezza.

6. Aggiungere l'account Servizio di rete e concedere le autorizzazioni di lettura. Rimuovere il gruppo Administrators e/o Domain Administrators in base alle esigenze.

Avviso: NON rimuovere gli account SYSTEM o INTERACTIVE dall'elenco.

È ora possibile applicare i Criteri di gruppo ai contenitori necessari nel modo normale e consentire l'applicazione dei criteri ai computer client.

È possibile testare la funzionalità abilitando l'oggetto Criteri di gruppo e accedendo a un computer client come amministratore o come account con autorizzazioni di gruppo limitate. Se si tenta di arrestare il servizio, è possibile che venga visualizzato il seguente messaggio:

Could not stop the service on Local Computer. Error 5: Access is denied.

In alternativa, l'opzione per arrestare il servizio è disattivata e non disponibile. In entrambi i casi viene indicato che l'oggetto Criteri di gruppo è stato configurato e applicato correttamente al client.

Se il messaggio di errore non viene visualizzato e si è ancora in grado di arrestare un servizio con restrizioni, verificare che l'oggetto Criteri di gruppo sia stato configurato correttamente e che non siano presenti oggetti Criteri di gruppo in conflitto. Per ulteriori informazioni, consultare la documentazione di Microsoft.

Verificare che gli amministratori rilevanti vengano aggiunti al gruppo Umbrella_Roaming e che l'oggetto Criteri di gruppo del servizio consenta l'accesso al gruppo Umbrella_Roaming.