Centralizacja konfiguracji i oprogramowania przeglądarki W środowisku korporacyjnym to już nie luksus, a konieczność. Jeśli Twoja organizacja korzysta z Firefoksa i chcesz mieć nad nim kontrolę, z poprawnie skonfigurowanymi rozszerzeniami i ustawieniami, najlepszym rozwiązaniem jest wykorzystanie Active Directory, obiektów zasad grupy (GPO) oraz oficjalnych szablonów administracyjnych Mozilli. Pozwoli to uniknąć polegania na odizolowanych skryptach, ręcznych instalacjach lub podejściu „każdy konfiguruje jak chce”.
Utwórz pakiety wdrożeniowe przeglądarki Firefox za pomocą obiektu zasad grupy Umożliwia instalację samej przeglądarki, stosowanie zasad bezpieczeństwa, wymuszanie rozszerzeń (tak jak w przeglądarkach Edge i Chrome) oraz automatyczną dystrybucję dodatkowego oprogramowania na komputerach w domenie. Zobaczmy krok po kroku, jak skonfigurować tę infrastrukturę, jak pracować z plikami ADMX Firefoksa, jak wymuszać rozszerzenia i jak używać obiektów zasad grupy (GPO) do wdrażania innych programów .MSI na komputerach.
Wymagania wstępne i przegląd wdrażania z obiektem GPO
Zanim zaczniesz tworzyć obiekty zasad grupy i modyfikować szablony, musisz mieć jasność co do minimalnych wymagań dotyczących poważnej pracy z zasadami grupy i Firefox w sieci korporacyjnej. Są to:
- Środowisko Active DirectoryWszystko, co tu zobaczysz, opiera się na domenie Windows Server z usługami domenowymi Active Directory (AD DS). Będziesz potrzebować co najmniej jednego kontrolera domeny, chociaż w rzeczywistych środowiskach zazwyczaj występuje wiele kontrolerów domeny dla zapewnienia redundancji.
- Zezwolenie administratoraAby tworzyć i edytować obiekty zasad grupy, łączyć je z jednostkami organizacyjnymi (OU) oraz kopiować szablony ADMX do centralnego magazynu, musisz użyć konta z uprawnieniami administracyjnymi w domenie lub co najmniej określonymi delegacjami w jednostkach organizacyjnych, którymi będziesz zarządzać.
- Zespoły zjednoczone w domenieKlienci (Windows 10/11, serwery itp.), na których chcesz wdrożyć przeglądarkę Firefox, jej zasady lub inne oprogramowanie, muszą być przyłączeni do domeny AD DS. W przeciwnym razie obiekty zasad grupy (GPO) nie będą miały zastosowania.
- Oprogramowanie w formacie korporacyjnymW przypadku ogólnego wdrażania aplikacji za pomocą Zasad grupy zaleca się korzystanie z pakietów instalatora Windows (.msi) lub instalacji administracyjnych z użyciem polecenia setup.exe /a. W przypadku przeglądarki Firefox i jej rozszerzeń połączymy ADMX i określone parametry.
Oficjalne szablony administracyjne przeglądarki Firefox (ADMX)
Przez lata zarządzanie przeglądarką Firefox w firmach było koszmarem. Ponieważ nie było oficjalnych szablonów administracyjnych. Użytkownicy musieli polegać na skryptach, ręcznie kopiować pliki konfiguracyjne lub korzystać z rozwiązań firm trzecich. Sytuacja zmieniła się w maju 2018 roku, kiedy Mozilla opublikowała własne szablony zasad w formacie ADMX.
Zgodność z politykąZasady Firefoksa działają dopiero od wersji 60. W starszych wersjach szablony nie będą miały zastosowania, dlatego przed rozpoczęciem upewnij się, że Firefox jest aktualny na wszystkich komputerach.
Pobierz szablony MozilliPliki ADMX i odpowiadające im pliki językowe (ADML) można pobrać z oficjalnego repozytorium Mozilli na GitHubie, w sekcji „Wydania” projektu policy-templates. Znajdziesz tam skompresowany plik ze wszystkimi niezbędnymi szablonami do konfiguracji Firefoksa za pomocą obiektów zasad grupy (GPO).
Dekompresja i przygotowaniePo pobraniu pakietu rozpakuj go do tymczasowej lokalizacji na stacji roboczej administratora lub serwerze plików. Zobaczysz foldery dla różnych języków oraz pliki .admx, które definiują kategorie i ustawienia zasad.
Skopiuj ADMX i ADML do magazynu dyrektywAby Edytor zarządzania zasadami grupy mógł rozpoznać nowe szablony, należy skopiować pliki ADMX i ADML do odpowiedniej ścieżki, która może być lokalna lub scentralizowana:
- Lokalny sklep: C:\Windows\PolicyDefinitions na samym kontrolerze domeny.
- Główny sklep: \\dc-server\SYSVOL\domain-name\Policies\PolicyDefinitions na głównym kontrolerze domeny lub na serwerze, którego Twoja organizacja używa jako centralnego magazynu.
Po skopiowaniu szablonów, po otwarciu konsoli GPO (gpmc.msc) W szablonach administracyjnych, zarówno w Konfiguracji komputera, jak i Konfiguracji użytkownika, pojawią się nowe sekcje dotyczące przeglądarki Mozilla Firefox, zależnie od tego, co oferuje dana wersja policy-templates.
Tworzenie i podstawowe zarządzanie obiektami zasad grupy w usłudze Active Directory
Całkowite wdrożenie przeglądarki Firefox i innych programów Jest on organizowany za pośrednictwem obiektów zasad grupy (GPO). Ogólna mechanika tworzenia, edytowania i łączenia obiektów zasad grupy jest taka sama, niezależnie od tego, czy wdrażasz przeglądarki, rozszerzenia, czy oprogramowanie innych firm.
Dostęp do Menedżera zasad grupyZ kontrolera domeny lub serwera administracyjnego:
- Otwórz administrator serweraPrzejdź do Narzędzi i wybierz „Menedżer zasad grupy”.
- Jeśli chcesz od razu przejść do konkretów, możesz od razu zacząć GPMC.MSC z Run lub z konsoli.
Tworzenie nowego obiektu zasad grupyAby scentralizować konfigurację przeglądarki Firefox lub wdrożyć oprogramowanie:
- Kliknij prawym przyciskiem myszy nazwę swojej domeny lub jednostkę organizacyjną, do której chcesz zastosować zasady.
- Wybierz „Utwórz obiekt GPO w tej domenie i połącz go tutaj…”.
- Wprowadź opisową nazwę, na przykład „Firefox – Zasady korporacyjne” lub „Wdrażanie oprogramowania PuTTY”.
Edycja GPOPo utworzeniu kliknij go prawym przyciskiem myszy i wybierz „Edytuj”. Otworzy się Edytor zarządzania zasadami grupy, w którym znajdziesz dwie główne gałęzie: Konfiguracja komputera i Konfiguracja użytkownika, z których każda ma własne zasady, szablony administracyjne i opcje konfiguracji oprogramowania.
Kontrola bezpieczeństwa i zakresuWe właściwościach obiektu zasad grupy (karta „Zabezpieczenia” w konsoli Użytkownicy i komputery usługi Active Directory lub w samej konsoli zarządzania zasadami grupy) można określić, kto ma mieć uprawnienie „Stosowanie zasad grupy”. W tym miejscu decydujesz, które grupy zabezpieczeń będą lub nie będą widzieć tych zasad. Odznacz opcję dla grup, które chcesz wykluczyć, i zaznacz ją dla grup docelowych.
Pamiętaj, że zakres zależy również od jednostki organizacyjnej z którym powiązany jest obiekt GPO. Możesz mieć określone zasady dla konkretnego oddziału, lokalizacji, grupy serwerów lub tylko dla określonych typów sprzętu, w zależności od sposobu zaprojektowania struktury jednostki organizacyjnej.
Konfigurowanie przeglądarki Firefox za pomocą obiektu zasad grupy z szablonami ADMX
Po skopiowaniu szablonów Mozilli i utworzeniu obiektu zasad grupy możesz rozpocząć zdefiniować zasady regulujące zachowanie przeglądarki Firefox w firmie. Zasady te obejmują m.in. konfigurację strony głównej, blokowanie niektórych opcji użytkownika lub kontrolowanie rozszerzeń.
Nawigacja po szablonach Firefoksa
W edytorze obiektów zasad grupy, w sekcji Szablony administracyjne, zobaczysz sekcję poświęconą przeglądarce Mozilla Firefox (dokładna lokalizacja może się nieznacznie różnić w zależności od wersji). Tam możesz zdefiniować ustawienia na poziomie użytkownika lub komputera.
Typowe zasady, które są interesujące w środowiskach korporacyjnych może zawierać:
- Blokowanie krytycznych zmian konfiguracji (serwer proxy, certyfikaty, automatyczne aktualizacje itp.).
- Ustawienia strony głównej z intranetem korporacyjnym lub portalem usługowym.
- Definicja serwerów proxy i wykluczeń aby kontrolować ruch sieciowy.
- Wyłączanie funkcji niezgodnych z polityką bezpieczeństwa, takich jak niektóre funkcje synchronizacji lub uprawnienia witryny.
- Zarządzanie rozszerzeniami, wskazując, które dodatki są zainstalowane, które są zablokowane, a które są dozwolone.
Stosowanie polityki do użytkowników lub sprzętu
W zależności od tego, w jaki sposób chcesz kontrolować przeglądarkę Firefox, możesz wybrać jedną z następujących opcji:
- Konfigurowanie zasad w Ustawieniach sprzętutak aby miały wpływ na każdego użytkownika logującego się do tych maszyn.
- Konfiguruj zasady w Ustawieniach użytkownikadzięki czemu ustawienia będą obowiązywać wraz z kontem, niezależnie od urządzenia, z którego się łączysz.
Zawsze zaleca się przetestowanie zasad na podgrupie użytkowników lub w laboratoryjnej jednostce organizacyjnej przed ich wdrożeniem w całej organizacji. Pozwoli to uniknąć niespodzianek w środowisku produkcyjnym.
Automatyczne wdrażanie rozszerzeń w przeglądarkach (Firefox, Chrome i Edge)
Oprócz samej przeglądarki w wielu firmach Kluczowe jest upewnienie się, że dane rozszerzenie jest zainstalowane i aktywne na wszystkich komputerach (na przykład wtyczka zabezpieczająca, agent monitorujący lub rozszerzenie zwiększające produktywność). Procedura różni się nieznacznie w zależności od przeglądarki Edge, Chrome i Firefox, ale logika jest podobna.
Typowy scenariusz: rozszerzenie Kabeen
Wyobraź sobie, że chcesz wdrożyć rozszerzenie Kabeen dla przeglądarek Microsoft Edge, Google Chrome i Mozilla Firefox. Rozszerzenie działa w połączeniu z natywnym agentem, który również musi być zainstalowany na komputerze, aby rejestrować użycie aplikacji internetowych, więc musisz zarządzać obydwoma komponentami: agentem i rozszerzeniem.
- Krok 1: Utwórz obiekt zasad grupy dla wdrożenia rozszerzeniaPodobnie jak poprzednio, zaloguj się do stacji roboczej administratora lub kontrolera domeny, otwórz Konsolę zarządzania zasadami grupy, kliknij prawym przyciskiem myszy domenę lub odpowiednią jednostkę organizacyjną i utwórz nowy obiekt zasad grupy z opisową nazwą, na przykład „Rozszerzenie przeglądarki Kabeen”.
- Krok 2: Zainstaluj szablony administracyjne przeglądarkiNa niektórych kontrolerach domeny konieczne będzie również zaimplementowanie konkretnych szablonów ADMX dla przeglądarek Microsoft Edge, Google Chrome i Mozilla Firefox, aby włączyć opcje kontroli rozszerzeń. Szablony te są również kopiowane do lokalnego lub centralnego magazynu definicji zasad.
- Krok 3: Skonfiguruj cichą instalację rozszerzenia dla każdej obsługiwanej przeglądarki, korzystając z sekcji Rozszerzenia w szablonach administracyjnych.
Rozszerzenie Microsoft Edge
Aby wymusić instalację rozszerzenia w przeglądarce EdgeEdytuj obiekt GPO i przejdź przez drzewo, aby:
Konfiguracja użytkownika > Zasady > Szablony administracyjne > Microsoft > Microsoft Edge > Rozszerzenia
W tej sekcji znajdź politykę „Kontroluj, które rozszerzenia są instalowane w trybie cichym” (lub podobna nazwa w zależności od języka/wersji). Wykonaj następujące kroki:
- Edytuj tę politykę i wybierz opcję Włączone.
- Naciśnij przycisk pokaz aby otworzyć listę rozszerzeń, które zostaną zainstalowane w trybie cichym.
- Dodaj identyfikator rozszerzenia Kabeen, na przykład: jgdflahjneomipldehpneckiplknghbc (Dokładna wartość zależeć będzie od aktualnej dokumentacji dostawcy.)
Dzięki temu, gdy użytkownicy logują się do Edge Na komputerach objętych GPO rozszerzenie zostanie zainstalowane automatycznie, bez pytania o potwierdzenie.
Rozszerzenie w Google Chrome
W Chrome mechanizm jest podobnyAle interesująca nas polityka dotyczy listy wymuszonej instalacji aplikacji i rozszerzeń. W edytorze obiektów zasad grupy (GPO) przejdź do:
Ustawienia użytkownika > Zasady > Szablony administracyjne > Google > Google Chrome > Rozszerzenia
Następnie edytuje politykę. „Skonfiguruj listę aplikacji i rozszerzeń, aby wymusić instalację” i:
- Oznacz politykę jako Włączone.
- Kliknij na pokaz aby dodać elementy do listy.
- Na przykład uwzględnij identyfikator przypisany do Kabeen w Chrome: hkmgmmaopoofgchofbngplopnhajbojc (zawsze sprawdź to w oficjalnej dokumentacji).
W ten sposób Chrome wdroży rozszerzenie w tle. dla użytkowników objętych zakresem danego obiektu zasad grupy, bez konieczności przechodzenia do sklepu Chrome Web Store.
Rozszerzenie dla przeglądarki Mozilla Firefox
W przeglądarce Firefox wymuszono zarządzanie rozszerzeniami Można to również zrobić za pomocą szablonów administracyjnych po ich zainstalowaniu. W obiekcie zasad grupy (GPO) przejdź do:
Konfiguracja użytkownika > Zasady > Szablony administracyjne > Mozilla > Firefox > Rozszerzenia
W tej gałęzi znajdziesz politykę „Rozszerzenia do zainstalowania” (lub podobne). Aby wymusić rozszerzenie Kabeen:
- Edytuj politykę i oznacz ją jako Włączone.
- Na liście rozszerzeń do zainstalowania dodaj adres URL instalacji z portalu dodatków Mozilla, na przykład: https://addons.mozilla.org/firefox/downloads/latest/kabeen/latest.xpi.
Następnie Firefox automatycznie pobierze i zainstaluje rozszerzenie przy uruchomieniu, bez ingerencji użytkownika, pod warunkiem, że zasady są prawidłowo stosowane, a wersja przeglądarki obsługuje te dyrektywy.
Wdrażanie oprogramowania na komputerach domenowych przy użyciu GPO
Poza zarządzaniem przeglądarkami i rozszerzeniamiObiekty zasad grupy (GPO) umożliwiają wdrażanie kompletnego oprogramowania na komputerach obsługujących domeny. Ta funkcjonalność jest dostępna we wszystkich obsługiwanych wersjach systemu Windows Server i jest szczególnie przydatna do instalowania popularnych narzędzi (klientów VPN, programów narzędziowych takich jak PuTTY, agentów itp.) bez konieczności oddzielnego dostępu do każdej stacji roboczej.
Dyrektywa grupowa oferuje dwa główne tryby dystrybucji:
- Przydział oprogramowania (dla użytkowników lub sprzętu) do automatycznej instalacji.
- Publikowanie oprogramowania (dla użytkowników) do zainstalowania na żądanie z poziomu Dodaj lub usuń programy.
Przypisz program użytkownikowi Oznacza to, że oprogramowanie przygotowuje się po zalogowaniu i kończy instalację, gdy użytkownik uruchamia je po raz pierwszy. Przypisanie go do komputera oznacza, że instalacja następuje przy uruchomieniu systemu i staje się dostępna dla wszystkich użytkowników tego komputera.
Opublikuj program Sprawia, że pakiet pojawia się w opcji „Dodaj nowe programy” w Dodaj lub usuń programy / Panelu sterowania, a użytkownik decyduje, czy chce go zainstalować, czy nie.
Utwórz punkt dystrybucji oprogramowania
Dystrybucja GPO opiera się na współdzielonym zasobie sieciowym To repozytorium, z którego komputery uzyskują dostęp do pakietów .msi lub plików instalacyjnych. Zazwyczaj znajduje się ono na serwerze plików, do którego dostęp mają wszystkie komputery w domenie.
Podstawowe kroki konfiguracji repozytorium:
- Zaloguj się do serwera plików lub do kontrolera domeny z uprawnieniami administratora.
- Utwórz folder, który będzie pełnił funkcję repozytorium oprogramowania, na przykład „SoftRepo”.
- Kliknij prawym przyciskiem myszy na folderze, wprowadź właściwości i przejdź do zakładki udział.
- Kliknij na Udostępnianie zaawansowane, zaznacz pole „Udostępnij ten folder”, a następnie kliknij Uprawnienia.
Konfigurowanie uprawnień udostępniania usuwając ogólny dostęp do „Wszystkich” i dodając odpowiednie grupy lub użytkowników (na przykład Wszystkie komputery w domenie i Wszyscy użytkownicy w domenie, zgodnie z polityką bezpieczeństwa).
Na karcie Zabezpieczenia folderuPrzejdź do Opcji zaawansowanych, dodaj niezbędne grupy i nadaj im uprawnienia do odczytu (lub odpowiednie uprawnienia). Dzięki temu komputery będą mogły pobrać instalator bez problemów z uprawnieniami NTFS.
Sprawdź czy dostęp działa Wprowadź pełną ścieżkę UNC w eksploratorze plików, np. \\SRV-OLIN02-001\SoftRepo. Jeśli otworzy się poprawnie, punkt dystrybucji jest gotowy.
Publikuj lub przypisuj pakiet MSI za pomocą zasad grupy
Następnym krokiem jest utworzenie obiektu zasad grupy instalacji oprogramowania i podłącz go gdziekolwiek chcesz. Możesz to zrobić z poziomu Active Directory Users and Computers lub GPMC, ale proces jest taki sam.
Tworzenie obiektu zasad grupy z poziomu usługi Active Directory Użytkownicy i komputery:
- Otwórz „Użytkownicy i komputery usługi Active Directory” w Narzędziach administracyjnych.
- W drzewie kliknij prawym przyciskiem myszy domenę i wybierz właściwości.
- W zakładce Zasady grupy, Kliknij Nowy aby utworzyć obiekt zasad grupy i nadać mu opisową nazwę.
- Na karcie Bezpieczeństwo skonfiguruj, które grupy będą miały uprawnienie „Stosowanie zasad grupy”, zaznaczając lub odznaczając je zależnie od potrzeb.
Przypisz pakiet oprogramowania Można to zrobić dla zespołów lub użytkowników z poziomu edytora obiektów zasad grupy:
- Zmodyfikuj obiekt GPO, klikając zmiana z zakładki Zasady grupy lub z konsoli GPMC.
- Niski Konfiguracja sprzętu, zwiększać konfiguracja oprogramowania i wchodzi Instalacja oprogramowania jeśli chcesz, aby program instalował się podczas uruchamiania komputera.
- Kliknij prawym przyciskiem myszy opcję Instalacja oprogramowania i wybierz Nowy > Pakiet.
- W oknie dialogowym Otwórz podaj pełną ścieżkę UNC do pliku .msi w udziale, na przykład \\server\SoftRepo\program.msi.
- Wybierz pakiet i po wyświetleniu monitu wybierz metodę Przydzielony.
Pakiet pojawi się w prawym panelu edytora. jako program zarządzany przez GPO. Po zamknięciu edytora i zastosowaniu zasad, komputery, których to dotyczy, zainstalują oprogramowanie przy następnym uruchomieniu.
Jeśli zamiast przypisywać chcesz opublikować pakiet dla użytkownikówPrzejdź do Ustawień użytkownika > Ustawienia oprogramowania > Instalacja oprogramowania, utwórz nowy pakiet z tą samą ścieżką UNC i wybierz metodę publikowaćProgram pojawi się w Panelu sterowania w sekcji „Dodaj nowe programy”, skąd użytkownicy będą mogli zainstalować go ręcznie.
Konserwacja: ponowne wdrażanie i usuwanie pakietów
Życie pakietu oprogramowania w organizacji To nie koniec na początkowej instalacji. Czasami trzeba będzie zaktualizować, ponownie wdrożyć lub całkowicie usunąć oprogramowanie. Zasady grupy oferują opcje kontrolowanego zarządzania tym wszystkim.
Ponowne wdrożenie pakietu Może to być konieczne po wydaniu nowej wersji lub naprawieniu błędu w pliku MSI. Aby to zrobić:
- Otwórz Użytkownicy i komputery usługi Active Directory, przejdź do Właściwości domeny i karty Zasady grupy.
- Wybierz obiekt GPO, którego użyłeś do wdrożenia pakietu i kliknij zmiana.
- W edytorze rozwiń gałąź konfiguracja oprogramowania który zawiera wpis dotyczący instalacji oprogramowania.
- Kliknij na kontener Instalacja oprogramowania, znajdź program w prawym panelu, kliknij go prawym przyciskiem myszy i wybierz Wszystkie zadania a następnie Ponowne wdrożenie aplikacji.
- Potwierdź komunikat informujący, że aplikacja zostanie ponownie zainstalowana we wszystkich lokalizacjach, w których została wcześniej zainstalowana.
Od tego momentu przy kolejnych restartach lub logowaniachZespoły otrzymają ponownie pakiet, który zostanie zaktualizowany zgodnie z definicją w MSI.
Usuń pakiet Jest to równie ważne, gdy oprogramowanie staje się przestarzałe lub zostaje zastąpione innym:
- W tym samym kontenerze instalacji oprogramowania kliknij prawym przyciskiem myszy program i wybierz Wszystkie zadania > Usuń.
- System zaoferuje Ci dwie opcje: Natychmiast odinstaluj oprogramowanie z komputerów użytkowników. o Zezwól użytkownikom na dalsze korzystanie z oprogramowania, ale zablokuj nowe instalacje.
- Wybierz tę, która najlepiej pasuje do Twojej strategii przejścia i potwierdź.
Należy pamiętać, że czasami opublikowane pakiety Programy te mogą nadal pojawiać się na stacjach roboczych klientów, nawet po ich usunięciu za pomocą Zasad Grupy, zwłaszcza jeśli użytkownik je zainstalował, ale nigdy nie uruchomił. Instalacja zostanie ukończona po pierwszym uruchomieniu programu, a Zasady Grupy usuną je zgodnie z nową konfiguracją.
Poznaj te opcje konserwacji Umożliwia utrzymanie o wiele czystszej i bardziej jednorodnej floty oprogramowania, zapobiegając zapominaniu o starych wersjach na niektórych maszynach.
Łącząc oficjalne szablony administracyjne przeglądarki Firefox, obiekty zasad grupy dla rozszerzeń przeglądarki i instalację oprogramowania za pośrednictwem pakietów MSIZyskujesz precyzyjną kontrolę nad tym, która przeglądarka jest używana, jakie zasady nią rządzą i jakie dodatkowe narzędzia są dostępne na stacjach roboczych. Dzięki minimalnemu planowaniu (repozytorium oprogramowania, przemyślana struktura jednostek organizacyjnych i wcześniejsze testy laboratoryjne), wdrażanie Firefoksa i jego polityk korporacyjnych za pomocą obiektów zasad grupy (GPO) zmienia się z żmudnego zadania w przewidywalny, powtarzalny i znacznie wygodniejszy proces dla administratorów systemów.