W większości organizacji stacje robocze są zarządzane z dwóch miejsc: przez zasady grupy w Active Directory i przez osobne narzędzie do zarządzania końcówkami, które instaluje aplikacje, wdraża poprawki i prowadzi inwentaryzację. Oba mechanizmy potrafią zmieniać rejestr, uruchamiać skrypty i wymuszać ustawienia. Dopóki nikt nie ustali, które z nich odpowiada za co, prędzej czy później zaczną się kłócić.
Co robi dobrze GPO
Zasady grupy są związane z tożsamością: użytkownikiem i komputerem w katalogu. Stosują się przy uruchamianiu systemu i logowaniu, bez agenta, bez dodatkowej licencji, z możliwością precyzyjnego kierowania przez jednostki organizacyjne i filtry.
Naturalne obszary:
- ustawienia zabezpieczeń systemu: polityki haseł, prawa użytkownika, audyt, konfiguracja firewalla systemowego,
- wszystko, co zależy od tożsamości: mapowania dysków, przekierowanie folderów, ustawienia zależne od grupy użytkownika,
- linia bazowa konfiguracji zgodna ze standardem branżowym,
- ustawienia, które muszą obowiązywać, zanim użytkownik cokolwiek zrobi.
Ograniczenia: zasady stosują się tylko wtedy, gdy komputer widzi kontroler domeny, więc laptop poza biurem bez VPN pozostaje przy ostatnim znanym stanie. Instalacja oprogramowania przez GPO istnieje, ale nie nadaje się do niczego poza najprostszymi przypadkami. Raportowanie zgodności praktycznie nie istnieje.
Co robi dobrze narzędzie do zarządzania końcówkami
Narzędzie z agentem działa niezależnie od położenia komputera, komunikuje się przez internet, raportuje stan każdej maszyny i pozwala działać zdalnie.
Naturalne obszary:
- instalacja, aktualizacja i usuwanie aplikacji,
- poprawki systemu operacyjnego i aplikacji firm trzecich, z harmonogramem i raportem,
- inwentaryzacja sprzętu i oprogramowania,
- zdalne działania: uruchomienie skryptu, restart, wsparcie zdalne,
- maszyny, które rzadko lub nigdy nie są w sieci firmowej.
Ograniczenia: agent to kolejny komponent do utrzymania, licencja to koszt, a zmiany stosują się według harmonogramu agenta, nie w momencie logowania.
Obszar wspólny i konflikt
Oba mechanizmy potrafią ustawić klucz rejestru, wdrożyć skrypt, zmienić ustawienia zasilania czy konfigurację przeglądarki. Jeśli GPO ustawia wartość A, a narzędzie wartość B dla tego samego klucza, komputer będzie przełączał się między nimi przy każdym odświeżeniu. Objawy są losowe, a szukanie przyczyny trwa długo, bo każdy z administratorów widzi w swojej konsoli, że jego ustawienie zostało zastosowane.
Zasada, która rozwiązuje problem: każdy obszar ustawień ma dokładnie jednego właściciela. Nie „oba mogą”, tylko „to zarządza GPO, a tamto narzędzie”.
Podział, który się utrzymuje
| Obszar | Właściciel |
|---|---|
| Zabezpieczenia systemu, prawa użytkownika, audyt | GPO |
| Ustawienia zależne od tożsamości i grupy | GPO |
| Konfiguracja domenowa (DNS, uwierzytelnianie, zaufanie) | GPO |
| Aplikacje: instalacja, aktualizacja, usuwanie | narzędzie |
| Poprawki systemu i aplikacji | narzędzie |
| Inwentaryzacja, zgodność, raportowanie | narzędzie |
| Maszyny poza siecią firmową | narzędzie |
| Ustawienia rejestru i skrypty | jeden właściciel na ustawienie, zapisany w dokumentacji |
Przy zmianie właściciela ustawienia najpierw usuwa się je ze starego mechanizmu, a dopiero potem dodaje do nowego. Odwrotna kolejność gwarantuje konflikt w okresie przejściowym.
Podsumowanie
Zasady grupy i narzędzie do zarządzania końcówkami nie konkurują ze sobą. Jedno zarządza tym, czym komputer jest w organizacji, drugie tym, co na nim działa. Konflikt zaczyna się dopiero wtedy, gdy nikt nie zapisał, gdzie przebiega granica.