bobby iskandar zulkarnain : GPO, Windows Server 2008 R2

The "Desktop Wallpaper" Group Policy setting is not applied in Windows 7 or in Windows Server 2008 R2

bobby iskandar zulkarnain — Fri, 12 Nov 2010 03:53:11 GMT

Judul artikel ini sesuai dengan judul yang ada pada KB977944 di http://support.microsoft.com/kb/977944

Seting Wallpaper secara roaming mandatory melalui GPO yang secara umum kita ketahui melalui User Configuration>Administrative Templates>Desktop/Desktop>Desktop Wallpaper seperti pada gambar berikut:

Namun terdapat keharusan untuk menjalankan Knowledge Base 977944 khusus bagi Windows Server 2008 R2 dan Windows 7 agar desktop wallpaper yang diinginkan benar-benar tampil dilayar monitor.

Kita cukup memilih berdasarkan platform yang kita gunakan, dengan disertai isian email yang nantinya berisi link untuk mengunduh serta password untuk melakukan ekstrak kompresi file-nya.

Setelah selesai diupdate dengan KB tersebut diatas, maka wallpaper yang diinginkan akan muncul setelah direstart.

Batasi Right dari Domain Users di Active Directory Domain Services Anda

bobby iskandar zulkarnain — Tue, 12 Oct 2010 05:05:12 GMT

Kasus dimana ordinary user dapat melakukan joining ke domain dengan menggunakan privilege mereka, masih dapat dilakukan di domain Windows Server 2008 R2.

Misalkan kita memiliki sebuah user account, dan kita tempatkan di suatu OU (pada dasarnya tidak masalah berada di kontainer atau OU manapun).

Kemudian lakukan login ke sebuah komputer desktop sebagai local administrator. Jika kita tes untuk menjoinkan komputer desktop tersebut ke domain dengan menggunakan privilege user Andi, pasti dapat dilakukan dengan sukses, karena secara default, ordinary user dapat menjoinkan workstation maksimal 10 cukup dengan menggunakan privilege yang mereka miliki.

Bagaimana dengan disjoin domain? Apakah reguler user ini masih dapat melakukannya? Mari kita lihat. Kembali lakukan login sebagai user reguler ke domain.

Kembali buka Properti dari Computer.

Kemudian klik Change settings.

Kegagalan yang akan kita temui. Jadi reguler user hanya dapat menjoinkan workstation mereka tetapi tidak dapat mendisjoinkannya.

Mengapa hal ini dapat terjadi? Kita dapat menceknya dengan membuka Default Domain Controller Policy, melalui Group Policy Management, sebagai berikut. Yang kita perlu lihat adalah right untuk Add workstation to domain, seperti berikut ini.

Pada gambar di atas, terlihat bahwa Autenticated Users memiliki right untuk men-joinkan workstation ke domain. Dengan melakukan perubahan pada Group Policy ini, Anda dapat meningkatkan keamanan dari Active Directory Domain Services (ADDS) Anda. Semoga dapat bermanfaat….

Global Policy Object Untuk Menghapus User Profile

bobby iskandar zulkarnain — Fri, 13 Aug 2010 16:44:07 GMT

Rekan-rekan, dalam melakukan logon baik ke komputer lokal ataupun melalui remote desktop, pada komputer atau server akan terdapat sejumlah user profile dari user-user yang pernah melakukannya. Profile dari user ini dapat terlihat seperti pada gambar berikut (maaf sejumlah user profile terpaksa saya hilangkan).

User profile ini akan terus berada di komputer/server tersebut, dan kita tidak disarankan untuk menghapusnya secara langsung, karena jika menghapusnya, jejaknya masih terdapat dalam registry.

Cara yang paling aman tentu saja dengan menggunakan Global Policy Object (GPO). Buatlah sebuah GPO dengan setting konfigurasi seperti tampak pada gambar berikut:

Pilihan “Delete user profile older than a specified number of days” ini yang harus di aktifkan.

GPO ini akan secara otomatis menghapus user profile pada saat system dilakukan restart, pada Option (pilihan) system akan menghapus user profile yang berumur lebih dari 30 hari. Buatlah seting option sesuai dengan kebutuhan dan jadwal restart dari komputer/server.

Semoga bermanfaat.

Windows Server 2008 R2/Windows 7: "An error has occurred while collecting data for Software Restriction Policies"

bobby iskandar zulkarnain — Mon, 26 Jul 2010 14:42:49 GMT

Pesan kesalahan yang salah satunya dapat berpeluang terjadi di saat kita melakukan migrasi dari Windows Server 2008 ke Windows Server 2008 R2 adalah di sisi Group Policy Object-nya.

An error has occurred while collecting data for Software Restriction Policies.
This error impacts the following settings:
Software Restriction Policies
Software Restriction Policies/Security Levels
Software Restriction Policies/Additional Rules
The following errors apply to all of the above settings:
An unknown error occurred while data was gathered for this extension. Details: Unable to cast object of type 'System.String[]' to type 'Microsoft.GroupPolicy.Reporting.Extensions.Registry.UnknownType'.

Solusinya kita dapatkan di http://support.microsoft.com/kb/981750 segera unduh hotfix yang sesuai dengan operating system yang digunakan, dan GPO tersebut kembali berjalan normal.

Semoga bermanfaat.

Penggunaan Option Replace dalam GPO Preferences Dalam Penerapan GPO Untuk Konfigurasi File Server di Branch Offices

bobby iskandar zulkarnain — Thu, 10 Jun 2010 16:45:24 GMT

Rekan-rekan, dalam menyediakan resources bagi satu atau lebih group user yang terletak di kantor-kantor cabang yang tersebar secara geografis cukup jauh, kita tetap dapat menyediakan resource tersebut asalkan koneksi WAN yang menghubungkan lokasi kantor pusat dengan cabang memenuhi persyaratan handal/reliable.

Salah satu contoh dalam bahasan penyediaan resource yang dimaksud adalah menyediakan mapping drive untuk tiap-tiap user yang menjadi member dari suatu group untuk tiap lokasi mereka berada dimana pada lokasi tersebut terdapat file server.

Contoh desain sederhana dalam menggambarkan kasus ini adalah sbb:

Ok, langkah awal kita membuat dulu folder di masing-masing server cabang, kemudian di share dan diberikan permission yang tepat, demikian juga pada NTFS Shared folder permissionnya diberikan permission yang tepat bagi group yang akan memperoleh drive letter Z di masing-masing komputer mereka saat mereka melakukan logon ke domain.

Tips:

- selalu gunakan hidden shared folder dengan membubuhkan tanda dollar($) pada nama shared foldernya.

- Buang Group Everyone dari NTFS Permissions, dan kemudian tambahkan hanya pada group security yang memerlukan akses ke folder ini saja.

Langkah selanjutnya, membuat Group Policy Object (GPO) untuk menerapkan mapping drive yang diterapkan ke semua server yang telah memiliki shared folder tadi.

Kita buat GPO baru, klik-kanan New…

Kemudian beri nama misalkan Regional Head Drive Mapping seperti pada gambar berikut:

Kemudian lakukan editing GPO ini untuk melakukan beberapa setting yang diperlukan

Pada bagian User Configuration, pada bagian Preferences, Windows Settings, lakukan klik-kanan pada Drive Maps, pilih New> Mapped Drive.

Kemudian pada tab General di kotak dialog New Drive Properties, pada bagian Action: pilih Replace. Mengapa kita pilih Replace? karena tiap mapped drive pada server yang berbeda-beda di akses oleh user yang berbeda *** tapi dengan semua user yang memperoleh mapped drive ini membershipnya dari Group yang sama.

Pada Location: isikan path dari lokasi shared folder pada tiap server yang telah kita buat di awal, lalu pilih Reconnect dan berikan nama labelnya agar shared folder yang di-share dengan menggunakan tanda ($) atau di hidden ini tetap muncul dengan nama labelnya di sisi user. Untuk Drive Letter: pilih drive letter yang ditetapkan misalkan Z.

Lalu pada New Drive Properties, klik tab Common, dan pilih Item-level targetting dan klik tombol Targetting…

Kemudian pilih Security Group

Dan kemudian pada bagian Targetting Editor, pada bagian Group, isikan group security yang ditetapkan dalam policy ini. Prosesnya dalam contoh berikut adalah security group Regional Manager, secara berturut-turut dalam gambar sebagai berikut:

Dan selanjutnya adalah memperbanyak pendefinisian mapping drive untuk semua server yang diperlukan di kantor-kantor cabang, cukup dengan mengcopy yang ada dan mengubah nama servernya saja.

Dan hasilnya sebagai berikut:

Detail setting GPO ini sebagai berikut:

Dan langkah terakhir adalah me-link-an GPO ini ke OU yang tepat.

Jangan lupa menjalankan perintah gpupdate /force di domain controller agar policy ini dapat segera berlaku di domain.

Setelah itu pastikan bahwa tiap user yang merupakan member dari group Regional Managers memiliki drive letter Z:\ Data Users secara otomatis tersedia saat mereka melakukan login ke domain dari laptop atau komputer dekstop mereka.

Sekian dulu, semoga bermanfaat.

File Services Hardening - SMB Packet Digital Signing

bobby iskandar zulkarnain — Mon, 19 Apr 2010 16:47:52 GMT

Di antara langkah-langkah dalam melakukan hardening untuk File Services, di antaranya menggunakan Server Core Installation dari windows Server 2008, melakukan Digitally sign communications, mempertimbangkan untuk menghapus berbagai administrative shares dan juga mempertimbangkan penggunaan enkripsi untuk drive dan file.

Lalu untuk Digitally sign communication, seperti apa langkah-langkah yang harus dilakukan?

Protokol SMB menyediakan basis untuk Microsoft File and Print Sharing, dan juga pada banyak operasi jaringan lainnya, seperti Remote Windows Administration. Untuk menghindari terdapatnya kemungkinan serangan (man-in-the-middle attack) yang memodifikasi paket-paket SMB disaat dalam perjalanan, protocol SMB mendukung SMB packet digital signing. Kita dapat mengkonfigurasi setting dari Group Policy untuk Microsoft network server: Digitally sin communication (always) pada lokasi berikut di dalam Group Policy Editor:

Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options

Seting policy ini menentukan apakah SMB packet signing harus dinegosiasikan terlebih dahulu sebelum komunikasi dengan SMB Client lebih jauh diizinkan. Seting untuk Microsoft network server: Digitally sign communication (always) di set Disabled secara default di Windows Server 2008.

Ok, semoga dapat bermanfaat.