← Back to branch summary

~zulcss/samba/server-dailies-3.4

« back to all changes in this revision

Viewing changes to docs-xml/Samba3-HOWTO/TOSHARG-PolicyMgmt.xml

  • Committer: Chuck Short
  • Date: 2010-09-28 20:38:39 UTC
  • Revision ID: zulcss@ubuntu.com-20100928203839-pgjulytsi9ue63x1
Initial version

Show diffs side-by-side

added added

removed removed

Lines of Context:
docs-xml/Samba3-HOWTO/TOSHARG-PolicyMgmt.xml
 
1
<?xml version="1.0" encoding="iso-8859-1"?>
 
2
<!DOCTYPE chapter PUBLIC "-//Samba-Team//DTD DocBook V4.2-Based Variant V1.0//EN" "http://www.samba.org/samba/DTD/samba-doc">
 
3
<chapter id="PolicyMgmt">
 
4
<chapterinfo>
 
5
        &author.jht;
 
6
    <pubdate>April 3 2003</pubdate>
 
7
</chapterinfo>
 
8
 
 
9
<title>System and Account Policies</title>
 
10
 
 
11
<para>
 
12
<indexterm><primary>validation</primary></indexterm>
 
13
This chapter summarizes the current state of knowledge derived from personal
 
14
practice and knowledge from Samba mailing list subscribers. Before reproduction
 
15
of posted information, every effort has been made to validate the information given.
 
16
Where additional information was uncovered through this validation, it is provided
 
17
also.
 
18
</para>
 
19
 
 
20
<sect1>
 
21
<title>Features and Benefits</title>
 
22
 
 
23
<para>
 
24
<indexterm><primary>Group Policies</primary></indexterm>
 
25
<indexterm><primary>users</primary></indexterm>
 
26
<indexterm><primary>groups</primary></indexterm>
 
27
When MS Windows NT 3.5 was introduced, the hot new topic was the ability to implement
 
28
Group Policies for users and groups. Then along came MS Windows NT4 and a few sites
 
29
started to adopt this capability. How do we know that? By the number of <quote>boo-boos</quote>
 
30
(or mistakes) administrators made and then requested help to resolve.
 
31
</para>
 
32
 
 
33
<para>
 
34
<indexterm><primary>group policies</primary></indexterm>
 
35
<indexterm><primary>Group Policy Objects</primary><see>GPO</see></indexterm>
 
36
<indexterm><primary>GPOs</primary></indexterm>
 
37
<indexterm><primary>ADS</primary></indexterm>
 
38
<indexterm><primary>group policy objects</primary><see>GPOs</see></indexterm>
 
39
By the time that MS Windows 2000 and Active Directory was released, administrators
 
40
got the message: Group Policies are a good thing! They can help reduce administrative
 
41
costs and actually make happier users. But adoption of the true
 
42
potential of MS Windows 200x Active Directory and Group Policy Objects (GPOs) for users
 
43
and machines were picked up on rather slowly. This was obvious from the Samba
 
44
mailing list back in 2000 and 2001 when there were few postings regarding GPOs and
 
45
how to replicate them in a Samba environment.
 
46
</para>
 
47
 
 
48
<para>
 
49
<indexterm><primary>exploit opportunities</primary></indexterm>
 
50
Judging by the traffic volume since mid 2002, GPOs have become a standard part of
 
51
the deployment in many sites. This chapter reviews techniques and methods that can
 
52
be used to exploit opportunities for automation of control over user desktops and
 
53
network client workstations.
 
54
</para>
 
55
 
 
56
</sect1>
 
57
 
 
58
<sect1>
 
59
<title>Creating and Managing System Policies</title>
 
60
 
 
61
<para>
 
62
<indexterm><primary>NETLOGON</primary></indexterm>
 
63
<indexterm><primary>domain controller</primary></indexterm>
 
64
<indexterm><primary>registry</primary></indexterm>
 
65
<indexterm><primary>affect users</primary></indexterm>
 
66
Under MS Windows platforms, particularly those following the release of MS Windows
 
67
NT4 and MS Windows 95, it is possible to create a type of file that would be placed
 
68
in the NETLOGON share of a domain controller. As the client logs onto the network,
 
69
this file is read and the contents initiate changes to the registry of the client
 
70
machine. This file allows changes to be made to those parts of the registry that
 
71
affect users, groups of users, or machines.
 
72
</para>
 
73
 
 
74
<para>
 
75
<indexterm><primary>Config.POL</primary></indexterm>
 
76
<indexterm><primary>poledit.exe</primary></indexterm>
 
77
<indexterm><primary>policy editor</primary></indexterm>
 
78
For MS Windows 9x/Me, this file must be called <filename>Config.POL</filename> and may
 
79
be generated using a tool called <filename>poledit.exe</filename>, better known as the
 
80
Policy Editor. The policy editor was provided on the Windows 98 installation CD-ROM, but
 
81
disappeared again with the introduction of MS Windows Me. From
 
82
comments of MS Windows network administrators, it would appear that this tool became
 
83
a part of the MS Windows Me Resource Kit.
 
84
</para>
 
85
 
 
86
<para>
 
87
<indexterm><primary>System Policy Editor</primary></indexterm>
 
88
MS Windows NT4 server products include the <emphasis>System Policy Editor</emphasis>
 
89
under <guimenu>Start -> Programs -> Administrative Tools</guimenu>.
 
90
For MS Windows NT4 and later clients, this file must be called <filename>NTConfig.POL</filename>.
 
91
</para>
 
92
 
 
93
<para>
 
94
<indexterm><primary>MMC</primary></indexterm>
 
95
New with the introduction of MS Windows 2000 was the Microsoft Management Console
 
96
or MMC. This tool is the new wave in the ever-changing landscape of Microsoft
 
97
methods for management of network access and security. Every new Microsoft product
 
98
or technology seems to make the old rules obsolete and introduces newer and more
 
99
complex tools and methods. To Microsoft's credit, the MMC does appear to
 
100
be a step forward, but improved functionality comes at a great price.
 
101
</para>
 
102
 
 
103
<para>
 
104
<indexterm><primary>network policies</primary></indexterm>
 
105
<indexterm><primary>system policies</primary></indexterm>
 
106
<indexterm><primary>Profiles</primary></indexterm>
 
107
<indexterm><primary>Policies</primary></indexterm>
 
108
Before embarking on the configuration of network and system policies, it is highly
 
109
advisable to read the documentation available from Microsoft's Web site regarding
 
110
<ulink url="http://www.microsoft.com/ntserver/techresources/management/prof_policies.asp">
 
111
Implementing Profiles and Policies in Windows NT 4.0</ulink>.
 
112
There are a large number of documents in addition to this old one that should also
 
113
be read and understood. Try searching on the Microsoft Web site for <quote>Group Policies</quote>.
 
114
</para>
 
115
 
 
116
<para>
 
117
What follows is a brief discussion with some helpful notes. The information provided
 
118
here is incomplete &smbmdash; you are warned.
 
119
</para>
 
120
 
 
121
        <sect2>
 
122
        <title>Windows 9x/ME Policies</title>
 
123
 
 
124
        <para>
 
125
<indexterm><primary>Group Policy Editor</primary></indexterm>
 
126
<indexterm><primary>tools\reskit\netadmin\poledit</primary></indexterm>
 
127
        You need the Windows 98 Group Policy Editor to set up Group Profiles under Windows 9x/Me.
 
128
        It can be found on the original full-product Windows 98 installation CD-ROM under
 
129
        <filename>tools\reskit\netadmin\poledit</filename>. Install this using the
 
130
        Add/Remove Programs facility, and then click on <guiicon>Have Disk</guiicon>.
 
131
        </para>
 
132
 
 
133
 
 
134
        <para>
 
135
<indexterm><primary>NTConfig.POL</primary></indexterm>
 
136
<indexterm><primary>Config.POL</primary></indexterm>
 
137
        Use the Group Policy Editor to create a policy file that specifies the location of
 
138
        user profiles and/or <filename>My Documents</filename>, and so on. Then save these
 
139
        settings in a file called <filename>Config.POL</filename> that needs to be placed in the
 
140
        root of the <smbconfsection name="[NETLOGON]"/> share. If Windows 98 is configured to log onto
 
141
        the Samba domain, it will automatically read this file and update the Windows 9x/Me registry
 
142
        of the machine as it logs on.
 
143
        </para>
 
144
 
 
145
        <para>
 
146
        Further details are covered in the Windows 98 Resource Kit documentation.
 
147
        </para>
 
148
 
 
149
        <para>
 
150
<indexterm><primary>registry</primary></indexterm>
 
151
        If you do not take the correct steps, then every so often Windows 9x/Me will check the
 
152
        integrity of the registry and restore its settings from the backup
 
153
        copy of the registry it stores on each Windows 9x/Me machine. So, you will
 
154
        occasionally notice things changing back to the original settings.
 
155
        </para>
 
156
 
 
157
        <para>
 
158
<indexterm><primary>grouppol.inf</primary></indexterm>
 
159
<indexterm><primary>Group Policy</primary></indexterm>
 
160
        Install the Group Policy handler for Windows 9x/Me to pick up Group Policies. Look on the
 
161
        Windows 98 CD-ROM in <filename>\tools\reskit\netadmin\poledit</filename>.
 
162
        Install Group Policies on a Windows 9x/Me client by double-clicking on
 
163
        <filename>grouppol.inf</filename>. Log off and on again a couple of times and see
 
164
        if Windows 98 picks up Group Policies. Unfortunately, this needs to be done on every
 
165
        Windows 9x/Me machine that uses Group Policies.
 
166
        </para>
 
167
 
 
168
        </sect2>
 
169
        <sect2>
 
170
        <title>Windows NT4-Style Policy Files</title>
 
171
 
 
172
        <para>
 
173
<indexterm><primary>ntconfig.pol</primary></indexterm>
 
174
<indexterm><primary>poledit.exe</primary></indexterm>
 
175
<indexterm><primary>Policy Editor</primary></indexterm>
 
176
<indexterm><primary>domain policies</primary></indexterm>
 
177
        To create or edit <filename>ntconfig.pol</filename>, you must use the NT Server
 
178
        Policy Editor, <command>poledit.exe</command>, which is included with NT4 Server
 
179
        but not with NT workstation. There is a Policy Editor on an NT4
 
180
        Workstation but it is not suitable for creating domain policies.
 
181
        Furthermore, although the Windows 95 Policy Editor can be installed on an NT4
 
182
        workstation/server, it will not work with NT clients. However, the files from
 
183
        the NT Server will run happily enough on an NT4 workstation.
 
184
        </para>
 
185
 
 
186
        <para>
 
187
<indexterm><primary>poledit.exe</primary></indexterm>
 
188
<indexterm><primary>common.adm</primary></indexterm>
 
189
<indexterm><primary>winnt.adm</primary></indexterm>
 
190
<indexterm><primary>c:\winnt\inf</primary></indexterm>
 
191
        You need <filename>poledit.exe</filename>, <filename>common.adm</filename>, and <filename>winnt.adm</filename>.
 
192
        It is convenient to put the two <filename>*.adm</filename> files in  the <filename>c:\winnt\inf</filename> 
 
193
        directory, which is where the binary will look for them unless told otherwise. This
 
194
        directory is normally <quote>hidden.</quote>
 
195
        </para>
 
196
 
 
197
        <para>
 
198
<indexterm><primary>Policy Editor</primary></indexterm>
 
199
<indexterm><primary>Nt4sp6ai.exe</primary></indexterm>
 
200
<indexterm><primary>poledit.exe</primary></indexterm>
 
201
<indexterm><primary>Zero Administration Kit</primary></indexterm>
 
202
        The Windows NT Policy Editor is also included with the Service Pack 3 (and
 
203
        later) for Windows NT 4.0. Extract the files using <command>servicepackname /x</command>
 
204
        &smbmdash; that's <command>Nt4sp6ai.exe /x</command> for Service Pack 6a. The Policy Editor,
 
205
        <command>poledit.exe</command>, and the associated template files (*.adm) should
 
206
        be extracted as well. It is also possible to download the policy template
 
207
        files for Office97 and get a copy of the Policy Editor. Another possible
 
208
        location is with the Zero Administration Kit available for download from Microsoft.
 
209
        </para>
 
210
 
 
211
                <sect3>
 
212
                <title>Registry Spoiling</title>
 
213
 
 
214
                        <para>
 
215
<indexterm><primary>NTConfig.POL</primary></indexterm>
 
216
<indexterm><primary>HKEY_LOCAL_MACHINE</primary></indexterm>
 
217
                        With NT4-style registry-based policy changes, a large number of settings are not
 
218
                        automatically reversed as the user logs off. The settings that were in the
 
219
                        <filename>NTConfig.POL</filename> file were applied to the client machine registry and apply to the
 
220
                        hive key HKEY_LOCAL_MACHINE are permanent until explicitly reversed. This is known
 
221
                        as tattooing. It can have serious consequences downstream, and the administrator must
 
222
                        be extremely careful not to lock out the ability to manage the machine at a later date.
 
223
                        </para>
 
224
 
 
225
                </sect3>
 
226
        </sect2>
 
227
        <sect2>
 
228
        <title>MS Windows 200x/XP Professional Policies</title>
 
229
 
 
230
        <para>
 
231
<indexterm><primary>registry</primary></indexterm>
 
232
        Windows NT4 system policies allow the setting of registry parameters specific to
 
233
        users, groups, and computers (client workstations) that are members of the NT4-style
 
234
        domain. Such policy files will work with MS Windows 200x/XP clients also.
 
235
        </para>
 
236
 
 
237
        <para>
 
238
        New to MS Windows 2000, Microsoft recently introduced a style of Group Policy that confers
 
239
        a superset of capabilities compared with NT4-style policies. Obviously, the tool used
 
240
        to create them is different, and the mechanism for implementing them is much improved.
 
241
        </para>
 
242
 
 
243
        <para>
 
244
        <indexterm><primary>GPOs</primary></indexterm>
 
245
<indexterm><primary>Administrative Templates</primary></indexterm>
 
246
        The older NT4-style registry-based policies are known as <emphasis>Administrative Templates</emphasis>
 
247
        in MS Windows 2000/XP GPOs. The latter includes the ability to set various security
 
248
        configurations, enforce Internet Explorer browser settings, change and redirect aspects of the
 
249
        users desktop (including the location of <filename>My Documents</filename> files, as
 
250
        well as intrinsics of where menu items will appear in the Start menu). An additional new
 
251
        feature is the ability to make available particular software Windows applications to particular
 
252
        users and/or groups.
 
253
        </para>
 
254
 
 
255
        <para>
 
256
<indexterm><primary>NTConfig.POL</primary></indexterm>
 
257
<indexterm><primary>NETLOGON</primary></indexterm>
 
258
<indexterm><primary>local registry values</primary></indexterm>
 
259
        Remember, NT4 policy files are named <filename>NTConfig.POL</filename> and are stored in the root
 
260
        of the NETLOGON share on the domain controllers. A Windows NT4 user enters a username and password
 
261
        and selects the domain name to which the logon will attempt to take place. During the logon process,
 
262
        the client machine reads the <filename>NTConfig.POL</filename> file from the NETLOGON share on
 
263
        the authenticating server and modifies the local registry values according to the settings in this file.
 
264
        </para>
 
265
 
 
266
        <para>
 
267
<indexterm><primary>SYSVOL</primary></indexterm>
 
268
<indexterm><primary>NETLOGON</primary></indexterm>
 
269
<indexterm><primary>replicated</primary></indexterm>
 
270
<indexterm><primary>ADS</primary></indexterm>
 
271
<indexterm><primary>domain controllers</primary></indexterm>
 
272
<indexterm><primary>Group Policy Container</primary><see>GPC</see></indexterm>
 
273
<indexterm><primary>Group Policy Template</primary><see>GPT</see></indexterm>
 
274
<indexterm><primary>replicated SYSVOL</primary></indexterm>
 
275
        Windows 200x GPOs are feature-rich. They are not stored in the NETLOGON share, but rather part of
 
276
        a Windows 200x policy file is stored in the Active Directory itself and the other part is stored
 
277
        in a shared (and replicated) volume called the SYSVOL folder. This folder is present on all Active
 
278
        Directory domain controllers. The part that is stored in the Active Directory itself is called the
 
279
        Group Policy Container (GPC), and the part that is stored in the replicated share called SYSVOL is
 
280
        known as the Group Policy Template (GPT).
 
281
        </para>
 
282
 
 
283
        <para>
 
284
<indexterm><primary>GPOs</primary></indexterm>
 
285
        With NT4 clients, the policy file is read and executed only as each user logs onto the network.
 
286
        MS Windows 200x policies are much more complex &smbmdash; GPOs are processed and applied at client machine
 
287
        startup (machine specific part), and when the user logs onto the network, the user-specific part
 
288
        is applied. In MS Windows 200x-style policy management, each machine and/or user may be subject
 
289
        to any number of concurrently applicable (and applied) policy sets (GPOs). Active Directory allows
 
290
        the administrator to also set filters over the policy settings. No such equivalent capability
 
291
        exists with NT4-style policy files.
 
292
        </para>
 
293
 
 
294
                <sect3>
 
295
                <title>Administration of Windows 200x/XP Policies</title>
 
296
 
 
297
                <para>
 
298
                <indexterm><primary>GPOs</primary></indexterm>
 
299
                <indexterm><primary>System Policy Editor</primary></indexterm>
 
300
<indexterm><primary>poledit.exe</primary></indexterm>
 
301
<indexterm><primary>MMC snap-in</primary></indexterm>
 
302
<indexterm><primary>Poledit</primary></indexterm>
 
303
                Instead of using the tool called <application>the System Policy Editor</application>, commonly called Poledit (from the
 
304
                executable name <command>poledit.exe</command>), <acronym>GPOs</acronym> are created and managed using a 
 
305
                <application>Microsoft Management Console</application> <acronym>(MMC)</acronym> snap-in as follows:</para>
 
306
                <procedure>
 
307
                        <step><para>
 
308
                        Go to the Windows 200x/XP menu <guimenu>Start->Programs->Administrative Tools</guimenu>
 
309
                        and select the MMC snap-in called <guimenuitem>Active Directory Users and Computers</guimenuitem>
 
310
                        </para></step>
 
311
 
 
312
                        <step><para>
 
313
<indexterm><primary>organizational unit</primary><see>OU</see></indexterm>
 
314
                        Select the domain or organizational unit (OU) that you wish to manage, then right-click
 
315
                        to open the context menu for that object, and select the <guibutton>Properties</guibutton>.
 
316
                        </para></step>
 
317
 
 
318
                        <step><para>
 
319
                        Left-click on the <guilabel>Group Policy</guilabel> tab, then
 
320
                        left-click on the New tab. Type a name
 
321
                        for the new policy you will create.
 
322
                        </para></step>
 
323
 
 
324
                        <step><para>
 
325
                         Left-click on the <guilabel>Edit</guilabel> tab to commence the steps needed to create the GPO.
 
326
                        </para></step>
 
327
                </procedure>
 
328
 
 
329
                <para>
 
330
                All policy configuration options are controlled through the use of policy administrative
 
331
                templates. These files have an .adm extension, both in NT4 as well as in Windows 200x/XP.
 
332
                Beware, however, the .adm files are not interchangeable across NT4 and Windows 200x.
 
333
                The latter introduces many new features as well as extended definition capabilities. It is
 
334
                well beyond the scope of this documentation to explain how to program .adm files; for that,
 
335
                refer to the Microsoft Windows Resource Kit for your particular
 
336
                version of MS Windows.
 
337
                </para>
 
338
 
 
339
                <note>
 
340
                <para>
 
341
<indexterm><primary>gpolmig.exe</primary></indexterm>
 
342
<indexterm><primary>NTConfig.POL</primary></indexterm>
 
343
<indexterm><primary>resource kit</primary></indexterm>
 
344
                The MS Windows 2000 Resource Kit contains a tool called <command>gpolmig.exe</command>. This tool can be used
 
345
                to migrate an NT4 <filename>NTConfig.POL</filename> file into a Windows 200x style GPO. Be VERY careful how you
 
346
                use this powerful tool. Please refer to the resource kit manuals for specific usage information.
 
347
                </para>
 
348
                </note>
 
349
 
 
350
                </sect3>
 
351
 
 
352
                <sect3>
 
353
                <title>Custom System Policy Templates</title>
 
354
 
 
355
                <para>
 
356
                Over the past year, there has been a bit of talk regarding the creation of customized
 
357
                templates for the Windows Sytem Policy Editor. A recent announcement on the Samba mailing
 
358
                list is worthy of mention.
 
359
                </para>
 
360
 
 
361
                <para>
 
362
                Mike Petersen has announced the availability of a template file he has created. This custom System Policy
 
363
                Editor Template will allow you to successfully control Microsoft Windows workstations from an SMB server, such
 
364
                as Samba. This template has been tested on a few networks, although if you find any problems with any of these
 
365
                policies, or have any ideas for additional policies, let me know at mailto:mgpeter@pcc-services.com.  This
 
366
                Template includes many policies for Windows XP to allow it to behave better in a professional environment.
 
367
                </para>
 
368
 
 
369
                <para>
 
370
                For further information please see the <ulink
 
371
                url="http://www.pcc-services.com/custom_poledit.html">Petersen</ulink> Computer Consulting web site. There is
 
372
                a download link for the template file.
 
373
                </para>
 
374
 
 
375
                </sect3>
 
376
        </sect2>
 
377
</sect1>
 
378
 
 
379
<sect1>
 
380
<title>Managing Account/User Policies</title>
 
381
 
 
382
<para>
 
383
<indexterm><primary>Policies</primary></indexterm>
 
384
<indexterm><primary>policy file </primary></indexterm>
 
385
<indexterm><primary>registry settings</primary></indexterm>
 
386
Policies can define a specific user's settings or the settings for a group of users. The resulting
 
387
policy file contains the registry settings for all users, groups, and computers that will be using
 
388
the policy file. Separate policy files for each user, group, or computer are not necessary.
 
389
</para>
 
390
 
 
391
<para>
 
392
<indexterm><primary>NTConfig.POL</primary></indexterm>
 
393
If you create a policy that will be automatically downloaded from validating domain controllers,
 
394
you should name the file <filename>NTConfig.POL</filename>. As system administrator, you have the option of renaming the
 
395
policy file and, by modifying the Windows NT-based workstation, directing the computer to update
 
396
the policy from a manual path. You can do this by either manually changing the registry or by using
 
397
the System Policy Editor. This can even be a local path such that each machine has its own policy file,
 
398
but if a change is necessary to all machines, it must be made individually to each workstation.
 
399
</para>
 
400
 
 
401
<para>
 
402
<indexterm><primary>NTConfig.POL</primary></indexterm>
 
403
<indexterm><primary>NETLOGON</primary></indexterm>
 
404
When a Windows NT4/200x/XP machine logs onto the network, the client looks in the NETLOGON share on
 
405
the authenticating domain controller for the presence of the <filename>NTConfig.POL</filename> file. If one exists, it is 
 
406
downloaded, parsed, and then applied to the user's part of the registry.
 
407
</para>
 
408
 
 
409
<para>
 
410
<indexterm><primary>GPOs</primary></indexterm>
 
411
<indexterm><primary>ADS</primary></indexterm>
 
412
<indexterm><primary>NTConfig.POL</primary></indexterm>
 
413
<indexterm><primary>NT4 style policy updates</primary></indexterm>
 
414
MS Windows 200x/XP clients that log onto an MS Windows Active Directory security domain may additionally
 
415
acquire policy settings through GPOs that are defined and stored in Active Directory
 
416
itself. The key benefit of using AD GPOs is that they impose no registry <emphasis>spoiling</emphasis> effect.
 
417
This has considerable advantage compared with the use of <filename>NTConfig.POL</filename> (NT4) style policy updates.
 
418
</para>
 
419
 
 
420
<para>
 
421
<indexterm><primary>account restrictions</primary></indexterm>
 
422
<indexterm><primary>Common restrictions</primary></indexterm>
 
423
In addition to user access controls that may be imposed or applied via system and/or group policies
 
424
in a manner that works in conjunction with user profiles, the user management environment under
 
425
MS Windows NT4/200x/XP allows per-domain as well as per-user account restrictions to be applied.
 
426
Common restrictions that are frequently used include:
 
427
</para>
 
428
 
 
429
<para>
 
430
<indexterm><primary>Account Controls</primary></indexterm>
 
431
<itemizedlist>
 
432
        <listitem><para>Logon hours</para></listitem>
 
433
        <listitem><para>Password aging</para></listitem>
 
434
        <listitem><para>Permitted logon from certain machines only</para></listitem>
 
435
        <listitem><para>Account type (local or global)</para></listitem>
 
436
        <listitem><para>User rights</para></listitem>
 
437
</itemizedlist>
 
438
</para>
 
439
 
 
440
<para>
 
441
<indexterm><primary>Domain User Manager</primary></indexterm>
 
442
<indexterm><primary>NTConfig.POL</primary></indexterm>
 
443
Samba-3.0.20 does not yet implement all account controls that are common to MS Windows NT4/200x/XP.
 
444
While it is possible to set many controls using the Domain User Manager for MS Windows NT4, only password
 
445
expiry is functional today. Most of the remaining controls at this time have only stub routines
 
446
that may eventually be completed to provide actual control. Do not be misled by the fact that a
 
447
parameter can be set using the NT4 Domain User Manager or in the <filename>NTConfig.POL</filename>.
 
448
</para>
 
449
 
 
450
</sect1>
 
451
<sect1>
 
452
<title>Management Tools</title>
 
453
 
 
454
<para>
 
455
Anyone who wishes to create or manage Group Policies will need to be familiar with a number of tools.
 
456
The following sections describe a few key tools that will help you to create a low-maintenance user
 
457
environment.
 
458
</para>
 
459
 
 
460
        <sect2>
 
461
        <title>Samba Editreg Toolset</title>
 
462
 
 
463
        <para>
 
464
        <indexterm><primary>editreg</primary></indexterm>
 
465
        <indexterm><primary>NTUser.DAT</primary></indexterm>
 
466
        <indexterm><primary>NTConfig.POL</primary></indexterm>
 
467
        A new tool called <command>editreg</command> is under development. This tool can be used
 
468
        to edit registry files (called <filename>NTUser.DAT</filename>) that are stored in user
 
469
        and group profiles. <filename>NTConfig.POL</filename> files have the same structure as the
 
470
        <filename>NTUser.DAT</filename> file and can be edited using this tool. <command>editreg</command>
 
471
        is being built with the intent to enable <filename>NTConfig.POL</filename> files to be saved in text format and to
 
472
        permit the building of new <filename>NTConfig.POL</filename> files with extended capabilities. It is proving difficult
 
473
        to realize this capability, so do not be surprised if this feature does not materialize. Formal
 
474
        capabilities will be announced at the time that this tool is released for production use.
 
475
        </para>
 
476
 
 
477
        </sect2>
 
478
 
 
479
        <sect2>
 
480
        <title>Windows NT4/200x</title>
 
481
 
 
482
        <para>
 
483
<indexterm><primary>regedt32.exe</primary></indexterm>
 
484
<indexterm><primary>Group Policy Editor</primary></indexterm>
 
485
<indexterm><primary>MMC</primary></indexterm>
 
486
        The tools that may be used to configure these types of controls from the MS Windows environment are
 
487
        the NT4 User Manager for Domains, the NT4 System and Group Policy Editor, and the Registry Editor (regedt32.exe).
 
488
        Under MS Windows 200x/XP, this is done using the MMC with appropriate
 
489
        <quote>snap-ins,</quote> the registry editor, and potentially also the NT4 System and Group Policy Editor.
 
490
        </para>
 
491
        </sect2>
 
492
 
 
493
        <sect2>
 
494
        <title>Samba PDC</title>
 
495
 
 
496
        <para>
 
497
<indexterm><primary>smbpasswd</primary></indexterm>
 
498
<indexterm><primary>pdbedit</primary></indexterm>
 
499
<indexterm><primary>NET</primary></indexterm>
 
500
<indexterm><primary>rpcclient</primary></indexterm>
 
501
        With a Samba domain controller, the new tools for managing user account and policy information include:
 
502
        <command>smbpasswd</command>, <command>pdbedit</command>, <command>net</command>, and <command>rpcclient</command>. 
 
503
        The administrator should read the man pages for these tools and become familiar with their use.
 
504
        </para>
 
505
 
 
506
        </sect2>
 
507
</sect1>
 
508
 
 
509
<sect1>
 
510
<title>System Startup and Logon Processing Overview</title>
 
511
 
 
512
<para>
 
513
The following attempts to document the order of processing the system and user policies following a system
 
514
reboot and as part of the user logon:
 
515
</para>
 
516
 
 
517
<orderedlist>
 
518
        <listitem><para>
 
519
<indexterm><primary>Remote Procedure Call System Service</primary><see>RPCSS</see></indexterm>
 
520
<indexterm><primary>multiple universal naming convention provider</primary><see>MUP</see></indexterm>
 
521
        Network starts, then Remote Procedure Call System Service (RPCSS) and multiple universal naming
 
522
        convention provider (MUP) start.
 
523
        </para></listitem>
 
524
 
 
525
        <listitem><para>
 
526
<indexterm><primary>ADS</primary></indexterm>
 
527
<indexterm><primary>GPOs</primary></indexterm>
 
528
        Where Active Directory is involved, an ordered list of GPOs is downloaded
 
529
        and applied. The list may include GPOs that:
 
530
<itemizedlist>
 
531
        <listitem><para>Apply to the location of machines in a directory.</para></listitem>
 
532
        <listitem><para>Apply only when settings have changed.</para></listitem>
 
533
        <listitem><para>Depend on configuration of the scope of applicability: local,
 
534
        site, domain, organizational unit, and so on.</para></listitem>
 
535
</itemizedlist>
 
536
        No desktop user interface is presented until the above have been processed.
 
537
        </para></listitem>
 
538
 
 
539
        <listitem><para>
 
540
        Execution of startup scripts (hidden and synchronous by default).
 
541
        </para></listitem>
 
542
 
 
543
        <listitem><para>
 
544
        A keyboard action to effect start of logon (Ctrl-Alt-Del).
 
545
        </para></listitem>
 
546
 
 
547
        <listitem><para>
 
548
        User credentials are validated, user profile is loaded (depends on policy settings).
 
549
        </para></listitem>
 
550
 
 
551
        <listitem><para>
 
552
        An ordered list of user GPOs is obtained. The list contents depends on what is configured in respect of:
 
553
 
 
554
<itemizedlist>
 
555
        <listitem><para>Is the user a domain member, thus subject to particular policies?</para></listitem>
 
556
        <listitem><para>Loopback enablement, and the state of the loopback policy (merge or replace).</para></listitem>
 
557
        <listitem><para>Location of the Active Directory itself.</para></listitem>
 
558
        <listitem><para>Has the list of GPOs changed? No processing is needed if not changed.</para></listitem>
 
559
</itemizedlist>
 
560
        </para></listitem>
 
561
 
 
562
        <listitem><para>
 
563
        User policies are applied from Active Directory. Note: There are several types.
 
564
        </para></listitem>
 
565
 
 
566
        <listitem><para>
 
567
        Logon scripts are run. New to Windows 200x and Active Directory, logon scripts may be obtained based on GPOs
 
568
        (hidden and executed synchronously). NT4-style logon scripts are then run in a normal
 
569
        window.
 
570
        </para></listitem>
 
571
 
 
572
        <listitem><para>
 
573
        The user interface as determined from the GPOs is presented. Note: In a Samba domain (like an NT4
 
574
        domain), machine (system) policies are applied at startup; user policies are applied at logon.
 
575
        </para></listitem>
 
576
</orderedlist>
 
577
 
 
578
</sect1>
 
579
 
 
580
<sect1>
 
581
<title>Common Errors</title>
 
582
 
 
583
<para>
 
584
Policy-related problems can be quite difficult to diagnose and even more difficult to rectify. The following
 
585
collection demonstrates only basic issues.
 
586
</para>
 
587
 
 
588
<sect2>
 
589
<title>Policy Does Not Work</title>
 
590
 
 
591
<para>
 
592
<quote>We have created the <filename>Config.POL</filename> file and put it in the <emphasis>NETLOGON</emphasis> share.
 
593
It has made no difference to our Win XP Pro machines, they just do not see it. It worked fine with Win 98 but does not
 
594
work any longer since we upgraded to Win XP Pro. Any hints?</quote>
 
595
</para>
 
596
 
 
597
<para>
 
598
Policy files are not portable between Windows 9x/Me and MS Windows NT4/200x/XP-based platforms. You need to
 
599
use the NT4 Group Policy Editor to create a file called <filename>NTConfig.POL</filename> so it is in the
 
600
correct format for your MS Windows XP Pro clients.
 
601
</para>
 
602
 
 
603
</sect2>
 
604
 
 
605
</sect1>
 
606
 
 
607
</chapter>