Полезные советы администратору сети.

• При создании среды следуйте соглашениям по именованию, с помощью кото­рых по именам политик можно легко понять их функции.
• Как можно реже применяйте опции блокировки наследования политик (Block Policy Inheritance) и запрета переопределения (No Override). Эти возможности являются замечательными инструментами для применения групповых политик, но только в организациях со строгой иерархической структурой и в организа­циях с распределенным администрированием. Кроме того, они могут затруд­нить устранение неполадок в политиках.
• Отключайте неиспользуемые части объектов групповых политик. Если в поли­тике применяется только конфигурация пользователя, то конфигурацию ком­пьютера нужно отключить. И наоборот: если проводятся изменения только в конфигурации компьютера, можно отключить конфигурацию пользователям. Это может ускорить процесс загрузки и входа в систему для сетевых клиентов, к которым относится эта политика.
• Избегайте междоменных назначений политик. Опять-таки, для ускорения про­цесса загрузки и входа в систему пользователи должны получать свои назначе­ния политик из своего собственного домена. Этот совет особенно важен для управления удаленными пользователями.
• Назначайте или публикуйте программное обеспечение в высокоуровневых объ­ектах Active Directory. Поскольку по умолчанию настройки групповой политики применяются и к дочерним контейнерам, то проще назначить или опублико­вать приложения, привязав объект групповой политики к родительской орга­низационной единице или домену.
• Назначайте или публикуйте программное обеспечение лишь один раз для каж­дого объекта групповой политики. Для упрощения управления и устранения не­поладок знание того, что каждый инсталляционный пакет связан с одной груп­повой политикой и, наоборот, каждая политика связана с одним программным пакетом, поможет в дальнейшем избежать путаницы. Также не назначайте и не публикуйте программное обеспечение одновременно и в конфигурации компь­ютера, и в конфигурации пользователя объекта групповой политики.
• Переупаковывайте существующее программное обеспечение. Поскольку про­граммы устанавливаются через групповые политики с помощью пакетов ин­сталлятора Microsoft Windows (MSI), необходимо переупаковать программы, скомпилированные с помощью Setup.exe.
• Возложите создание папок на систему. Если вы создаете папки самостоятельно, им не будут назначены корректные права доступа.
• Не перенаправляйте папку My Documents в домашний каталог. Это возможно, однако эту возможность необходимо применять, только если в организации развернуты домашние каталоги. Перенаправление в домашний каталог доступ­но только для обратной совместимости.
• Включите кэширование на стороне клиента. Это необходимо для пользовате­лей с портативными компьютерами.
• Синхронизируйте автономные файлы перед входом в систему. Эта возмож­ность перенаправления папок должна быть всегда активной, чтобы обеспечить доступность текущих файлов автономно работающим пользователям.
• Используйте полностью определенные (UNC) пути, например, \\сервер\общий_ресурс. Хотя можно использовать и пути наподобие с:\имя папки, этот путь может не существовать на всех целевых сетевых клиен­тах, и перенаправление не сможет быть выполнено.
• Используйте возможность работы с автономными файлами с помощью техно­логии IntelliMirror для упрощения управления мобильными пользователями, позволяя им работать с сетевыми файлами, когда они реально не подключены к сети.
• Настройте автономные файлы на синхронизацию при входе пользователей и периодическую фоновую синхронизацию. Подобным образом можно обеспе­чить постоянную актуальность файлов пользователей.
• Реализуйте сервер виртуальной частной сети (Virtual Private Network — VPN), если для сетевых подключений удаленных пользователей требуется дополни­тельная защита.
• Реализуйте жестко управляемую конфигурацию, не требующую, чтобы жестко управляемые пользователи имели навыки управления данными, установки про­грамм или настройки системы. Если все жестко управляемые пользователи хра­нят данные на одном и том же томе сервера, то для них можно также реализо­вать дисковые квоты на общих сетевых ресурсах.
• Реализуйте политику слабо управляемого рабочего стола для управления сете­выми клиентами разработчиков программного обеспечения. Эти пользователи работают с полномочиями Power Users (Опытные пользователи). Членство в группе Power Users позволяет реализовать эту политику, если не была примене­на групповая политика, ограничивающая доступ к системным каталогам рабо­чей станции.
• Для пользователей, которым нужна повышенная безопасность, реализуйте групповые политики IPSec и используйте файловую систему EFS.
• Администраторы для выполнения своих повседневных задач должны использо­вать стандартные учетные записи и применять учетные записи администрато­ров только тогда, когда это требуется. На их рабочих станциях должны быть ус­тановлены хранители экрана.