Centraliser browserkonfiguration og software I et virksomhedsmiljø er det ikke længere en luksus, det er en nødvendighed. Hvis din organisation bruger Firefox, og du ønsker at holde det under kontrol med dets udvidelser og indstillinger korrekt konfigureret, er den bedste fremgangsmåde at udnytte Active Directory, Group Policy Objects (GPO'er) og Mozillas officielle administrative skabeloner. Dette vil forhindre dig i at være afhængig af isolerede scripts, manuelle installationer eller en "alle konfigurerer det, som de kan"-tilgang.
Opret Firefox-installationspakker med GPO Det giver dig mulighed for at installere selve browseren, anvende sikkerhedspolitikker, gennemtvinge udvidelser (ligesom du ville gøre i Edge eller Chrome) og automatisk distribuere yderligere software til domænecomputere. Lad os trin for trin se, hvordan du konfigurerer denne infrastruktur, hvordan du arbejder med Firefox' ADMX-filer, hvordan du gennemtvinger udvidelser, og hvordan du bruger Group Policy Objects (GPO'er) til at implementere andre .MSI-programmer på dine computere.
Forudsætninger og oversigt over implementering med GPO
Før du begynder at oprette GPO'er og ændre skabeloner, skal du være klar over minimumskravene for at arbejde seriøst med gruppepolitikker og Firefox i et virksomhedsnetværk. Disse er:
- Active Directory-miljøAlt, hvad du ser her, er baseret på et Windows Server-domæne med Active Directory Domain Services (AD DS). Du skal bruge mindst én domænecontroller, selvom der i virkelige miljøer normalt er flere domænecontrollere af redundanshensyn.
- Administrator tilladelseFor at oprette og redigere GPO'er, linke dem til organisationsenheder (OU'er) og kopiere ADMX-skabeloner til det centrale lager, skal du bruge en konto med administratorrettigheder i domænet eller som minimum specifikke delegationer på de OU'er, du skal administrere.
- Hold forenet til domænetKlienter (Windows 10/11, servere osv.), hvor du vil installere Firefox, dets politikker eller anden software, skal være tilknyttet AD DS-domænet. Ellers gælder GPO'erne ikke.
- Software i virksomhedsformatTil generel programinstallation ved hjælp af Gruppepolitik anbefales det at arbejde med Windows Installer-pakker (.msi) eller med administrative installationer ved hjælp af setup.exe /a. I tilfælde af Firefox og dens udvidelser kombinerer vi ADMX og specifikke parametre.
Officielle Firefox-administratorskabeloner (ADMX)
I årevis var det et mindre mareridt at administrere Firefox i virksomheder. Fordi der ikke var nogen officielle administrative skabeloner, måtte brugerne benytte scripts, manuelt kopiere konfigurationsfiler eller bruge tredjepartsløsninger. Det ændrede sig i maj 2018, da Mozilla udgav sine egne politikskabeloner i ADMX-format.
PolitikkompatibilitetFirefox-politikker fungerer kun fra version 60 og fremefter. I tidligere versioner har skabelonerne ingen effekt, så sørg for, at Firefox er opdateret på alle dine computere, før du begynder.
Download Mozilla-skabelonerDu kan hente ADMX-filerne og deres sprogfiler (ADML) fra det officielle Mozilla-arkiv på GitHub, i afsnittet "Udgivelser" i policy-templates-projektet. Der finder du en komprimeret fil med alle de nødvendige skabeloner til at konfigurere Firefox ved hjælp af Group Policy Objects (GPO'er).
Dekompression og forberedelseNår du har downloadet pakken, skal du pakke den ud til en midlertidig placering på din administrationsarbejdsstation eller en filserver. Du vil se mapper til forskellige sprog og .admx-filerne, der definerer politikkategorierne og indstillingerne.
Kopier ADMX og ADML til direktivlageretFor at Gruppepolitikredigeringseditoren kan genkende de nye skabeloner, skal du kopiere ADMX- og ADML-filerne til den relevante sti, som kan være lokal eller centraliseret:
- Lokal butikC:\Windows\PolicyDefinitions på selve domænecontrolleren.
- Hovedbutik: \\dc-server\SYSVOL\domænenavn\Policies\PolicyDefinitions på din primære domænecontroller eller på den server, din organisation bruger til det centrale lager.
Efter kopiering af skabelonerne, når du åbner GPO-konsollen (gpmc.msc) Du vil se nye sektioner til Mozilla Firefox i de administrative skabeloner, både i Computerkonfiguration og Brugerkonfiguration, afhængigt af hvad hver version af policy-templates tilbyder.
Oprettelse og grundlæggende administration af GPO'er i Active Directory
Hele implementeringen af Firefox og andre programmer Det orkestreres via gruppepolitikobjekter (GPO'er). De generelle mekanismer til oprettelse, redigering og linkning af et GPO er de samme, uanset om du implementerer browsere, udvidelser eller tredjepartssoftware.
Adgang til GruppepolitikadministratorenFra en domænecontroller eller fra en administrationsserver:
- Åbn server administratorGå til Værktøjer og vælg "Gruppepolitikhåndtering".
- Hvis du vil gå direkte til sagen, kan du gå i gang med det samme GPMC.MSC fra Kør eller fra en konsol.
Oprettelse af et nyt GPOSådan centraliserer du Firefox-konfigurationen eller implementerer software:
- Højreklik på dit domænenavn eller på den OU, hvor du vil anvende politikken.
- Vælg "Opret et GPO i dette domæne, og link det her...".
- Indtast et beskrivende navn, for eksempel “Firefox – Virksomhedspolitikker” eller “PuTTY Software Deployment”.
GPO-udgaveNår den er oprettet, skal du højreklikke på den og vælge "Rediger". Gruppepolitikredigeringsprogrammet åbnes, hvor du finder to hovedgrene: Computerkonfiguration og Brugerkonfiguration, hver med sine egne politikker, administrative skabeloner og softwarekonfigurationsmuligheder.
Sikkerheds- og omfangskontrolFra GPO-egenskaberne (fanen Sikkerhed i Active Directory-brugere og -computere eller i selve GPMC) kan du justere, hvem der har tilladelse til at "Anvende gruppepolitik". Det er her, du bestemmer, hvilke sikkerhedsgrupper der skal eller ikke skal se den pågældende politik. Fjern markeringen i indstillingen for de grupper, du vil ekskludere, og marker den for målgrupperne.
Husk at omfanget også afhænger af OU'en som GPO'en er knyttet til. Du kan have specifikke politikker for en bestemt filial, en placering, en gruppe servere eller kun for bestemte typer udstyr, afhængigt af hvordan du har designet din OU-struktur.
Konfigurer Firefox via GPO med ADMX-skabeloner
Når Mozilla-skabelonerne er kopieret, og GPO'en er oprettet, kan du begynde at definere de politikker, der styrer Firefox' opførsel i virksomheden. Disse politikker spænder fra konfiguration af startsiden til blokering af bestemte brugerindstillinger eller kontrol af udvidelser.
Navigering i Firefox-skabeloner
I GPO-editoren, under Administrative skabeloner, finder du et afsnit for Mozilla Firefox (den nøjagtige placering kan variere en smule afhængigt af versionen). Derfra kan du definere indstillinger på bruger- eller computerniveau.
Typiske politikker, der er af interesse i virksomhedsmiljøer kan omfatte:
- Blokering af kritiske konfigurationsændringer (proxy, certifikater, automatiske opdateringer osv.).
- Startsideindstillinger med virksomhedens intranet eller serviceportal.
- Definition af proxyservere og undtagelser at kontrollere webtrafik.
- Deaktivering af funktioner, der ikke overholder sikkerhedspolitikken, såsom visse synkroniseringsfunktioner eller webstedstilladelser.
- Udvidelsesadministration, der angiver hvilke tilføjelser der er installeret, hvilke der er blokeret, og hvilke der er tilladt.
Anvendelse af politikken på brugere eller udstyr
Afhængigt af hvordan du vil styre Firefox, kan du vælge mellem:
- Konfigurer politikker i udstyrsindstillingerså de påvirker enhver bruger, der logger ind på disse maskiner.
- Konfigurer politikker i brugerindstillingerså indstillingerne overføres med kontoen, uanset hvilken enhed du opretter forbindelse fra.
Det er altid tilrådeligt at teste politikker på en delmængde af brugere eller i en laboratorie-OU, før de rulles ud til hele organisationen, for at undgå overraskelser i produktionen.
Automatisk implementering af udvidelser i browsere (Firefox, Chrome og Edge)
Ud over selve browseren, i mange virksomheder Det er afgørende at sikre, at en given udvidelse er installeret og aktiv på alle computere (f.eks. et sikkerhedsplugin, en overvågningsagent eller en produktivitetsudvidelse). Proceduren varierer en smule mellem Edge, Chrome og Firefox, men logikken er den samme.
Typisk scenarie: Kabeen-udvidelse
Forestil dig, at du vil implementere Kabeen-udvidelsen til Microsoft Edge, Google Chrome og Mozilla Firefox. Udvidelsen fungerer sammen med en native agent, der også skal installeres på computeren for at logge brugen af webapplikationer, så du skal administrere begge komponenter: agenten og udvidelsen.
- Trin 1: Opret GPO'en til udvidelsesimplementeringenSom før skal du logge på den administrative arbejdsstation eller domænecontroller, åbne Group Policy Management Console, højreklikke på domænet eller den relevante OU, og oprette et nyt GPO med et beskrivende navn, for eksempel "Kabeen Browsers Extension".
- Trin 2: Installer skabelonerne til browseradministrationPå nogle domænecontrollere skal du også implementere de specifikke ADMX-skabeloner til Microsoft Edge, Google Chrome og Mozilla Firefox for at aktivere udvidelseskontrolmuligheder. Disse skabeloner kopieres også til det lokale eller centrale PolicyDefinitions-lager.
- Trin 3: Konfigurer den lydløse installation af udvidelsen for hver understøttet browser ved hjælp af afsnittene om udvidelser i de administrative skabeloner.
Microsoft Edge-udvidelsen
Sådan tvinger du installationen af udvidelsen i EdgeRediger GPO'en og naviger gennem træet til:
Brugerkonfiguration > Politikker > Administrative skabeloner > Microsoft > Microsoft Edge > Udvidelser
Find politikken i den sektion "Kontrollér hvilke udvidelser der installeres i baggrunden" (eller tilsvarende navn afhængigt af sprog/version). Fortsæt som følger:
- Rediger den pågældende politik, og vælg indstillingen Aktiveret.
- Klik på knappen show for at åbne listen over udvidelser, der skal installeres lydløst.
- Tilføj Kabeen-udvidelsesidentifikatoren, for eksempel: jgdflahjneomipldehpneckiplknghbc (Den nøjagtige værdi afhænger af leverandørens aktuelle dokumentation.)
Med dette, når brugere logger ind på Edge På computere, der er berørt af GPO'en, installeres udvidelsen automatisk uden at der bedes om bekræftelse.
Udvidelse i Google Chrome
I Chrome er mekanismen den sammeMen den politik, vi er interesserede i, er den for listen over tvungen installation af apps og udvidelser. I GPO-editoren skal du gå til:
Brugerindstillinger > Politikker > Administrative skabeloner > Google > Google Chrome > Udvidelser
Derfra redigerer han politikken. "Konfigurer listen over apps og udvidelser for at tvinge installation" og:
- Markér politik som Aktiveret.
- Klik på show for at tilføje elementerne til listen.
- Medtag den identifikator, der er tildelt Kabeen i Chrome, for eksempel: hkmgmmaopoofgchofbngplopnhajbojc (bekræft altid dette i den officielle dokumentation).
På denne måde vil Chrome installere udvidelsen i baggrunden. for brugere inden for det pågældende GPO's omfang, uden at de behøver at gå til Chrome Webshop.
Udvidelse til Mozilla Firefox
I Firefox, tvungen udvidelsesadministration Dette gøres også via de administrative skabeloner, når de er installeret. I GPO'en skal du navigere til:
Brugerkonfiguration > Politikker > Administrative skabeloner > Mozilla > Firefox > Udvidelser
I den gren finder du politik "Udvidelser, der skal installeres" (eller lignende). Sådan gennemtvinger du Kabeen-udvidelsen:
- Rediger politikken og marker den som Aktiveret.
- På listen over udvidelser, der skal installeres, skal du tilføje installations-URL'en fra Mozilla-tilføjelsesportalen, for eksempel: https://addons.mozilla.org/firefox/downloads/latest/kabeen/latest.xpi.
Firefox vil derefter automatisk downloade og installere udvidelsen ved opstart, uden brugerindgriben, forudsat at politikken anvendes korrekt, og browserversionen understøtter disse direktiver.
Softwareinstallation på domænecomputere ved hjælp af GPO
Ud over administration af browsere og udvidelserGruppepolitikobjekter (GPO'er) giver dig mulighed for at installere komplet software på domænebevidste computere. Denne funktionalitet er tilgængelig i alle understøttede versioner af Windows Server og er især nyttig til installation af almindelige værktøjer (VPN-klienter, værktøjer som PuTTY, agenter osv.) uden at skulle besøge hver arbejdsstation individuelt.
Koncerndirektivet tilbyder to primære distributionsmetoder:
- Softwareallokering (til brugere eller udstyr) for at installere automatisk.
- Softwareudgivelse (til brugere) skal installeres efter behov fra Tilføj eller fjern programmer.
Tildel et program til en bruger Det betyder, at softwaren forberedes ved login og afslutter installationen, når brugeren kører den for første gang. Når den tildeles en computer, sker installationen ved systemstart, og den bliver tilgængelig for alle brugere af den pågældende maskine.
Udgiv et program Det får pakken til at vises i "Tilføj nye programmer" i Tilføj eller fjern programmer / Kontrolpanel, og brugeren bestemmer, om den skal installeres eller ej.
Opret softwaredistributionspunktet
GPO-distribution er baseret på en delt netværksressource Dette arkiv er der, hvor computere tilgår .msi-pakken eller installationsfilerne. Det findes typisk på en filserver, der er tilgængelig for alle computere i domænet.
Grundlæggende trin til opsætning af arkivet:
- Log ind på filserveren eller selve domænecontrolleren med administratorrettigheder.
- Opret en mappe, der skal fungere som et softwarelager, for eksempel "SoftRepo".
- Højreklik på mappen, indtast Egenskaber og gå til fanen andel.
- Klik på Brug sammenlignende avanzado, marker feltet "Del denne mappe" og klik derefter på tilladelser.
Konfigurer delingstilladelser ved at fjerne generisk adgang til "Alle" og tilføje de relevante grupper eller brugere (f.eks. Alle computere i domænet og Alle brugere i domænet i henhold til din sikkerhedspolitik).
I fanen Sikkerhed i mappenGå til Avancerede indstillinger, tilføj de nødvendige grupper, og giv dem læsetilladelser (eller de relevante tilladelser). Dette sikrer, at computerne kan downloade installationsprogrammet uden problemer med NTFS-tilladelser.
Tjek at adgangen fungerer Indtast den fulde UNC-sti i din stifinder, f.eks. \\SRV-OLIN02-001\SoftRepo. Hvis den åbner korrekt, er dit distributionspunkt klar.
Udgiv eller tildel en MSI-pakke ved hjælp af gruppepolitik
Det næste trin er at oprette GPO'en for softwareinstallationen og link den, hvor du vil. Du kan gøre dette fra enten Active Directory-brugere og -computere eller GPMC, men processen er den samme.
Oprettelse af GPO'en fra Active Directory-brugere og computere:
- Åbn "Active Directory-brugere og -computere" fra Administration.
- I træet skal du højreklikke på domænet og vælge Egenskaber.
- Tab Gruppepolitik, Klik på Nyt at oprette et GPO og give det et beskrivende navn.
- På fanen Sikkerhed skal du konfigurere, hvilke grupper der har tilladelse til at "Anvende gruppepolitik", ved at markere eller fjerne markeringen efter behov.
Tildel softwarepakken Dette gøres for teams eller brugere fra GPO-editoren:
- Rediger GPO'en ved at klikke på Skift fra fanen Gruppepolitik eller fra GPMC.
- Bajo Opsætning af udstyr, udvide software konfiguration og kommer ind Software installation hvis du ønsker, at programmet skal installeres ved opstart af computeren.
- Højreklik på Softwareinstallation, vælg Ny > Pakke.
- I dialogboksen Åbn skal du angive den fulde UNC-sti til .msi-filen på delingen: for eksempel \\server\SoftRepo\program.msi.
- Vælg pakken, og vælg metoden, når du bliver bedt om det Tildelt.
Pakken vises i højre panel i editoren. som et program, der administreres af GPO. Efter lukning af editoren og anvendelse af politikken, vil de berørte maskiner installere softwaren ved næste genstart.
Hvis du i stedet for at tildele ønsker at udgive en pakke til brugereGå til Brugerindstillinger > Softwareindstillinger > Softwareinstallation, opret en ny pakke med den samme UNC-sti, og vælg metoden UdgivProgrammet vises i "Tilføj nye programmer" i Kontrolpanel, hvorfra brugerne kan installere det manuelt.
Vedligeholdelse: genimplementering og fjernelse af pakker
En softwarepakkes levetid i en organisation Det slutter ikke med den første installation. Nogle gange skal du opdatere, ominstallere eller fjerne det helt. Gruppepolitik tilbyder muligheder for at administrere alt dette på en kontrolleret måde.
Genimplementer en pakke Dette kan være nødvendigt, når du udgiver en ny version eller har rettet en fejl i MSI'en. Sådan gør du:
- Åbn Active Directory-brugere og computere, gå til Domæneegenskaber og fanen Gruppepolitik.
- Vælg det GPO, du brugte til at installere pakken, og klik på Skift.
- I editoren skal du udvide grenen af software konfiguration som indeholder posten Softwareinstallation.
- Klik på beholderen Softwareinstallation, find programmet i højre panel, højreklik på det, og vælg Alle opgaver og derefter Genimplementer applikationen.
- Bekræft meddelelsen, der angiver, at applikationen vil blive geninstalleret på alle de steder, hvor den tidligere blev installeret.
Fra da af, ved efterfølgende genstarter eller loginsHoldene vil modtage pakken igen, og den vil blive opdateret som defineret i MSI'en.
Fjern en pakke Dette er lige så vigtigt, når softwaren bliver forældet eller erstattes af en anden:
- Fra den samme softwareinstallationsbeholder skal du højreklikke på programmet og vælge Alle opgaver > Fjern.
- Systemet vil tilbyde dig to muligheder: Afinstaller softwaren med det samme fra brugere og computere. o Tillad brugerne at fortsætte med at bruge softwaren, men forhindre nye installationer.
- Vælg den, der passer bedst til din overgangsstrategi, og bekræft.
Bemærk venligst, at de offentliggjorte pakker nogle gange Disse programmer kan fortsat vises på klientarbejdsstationer, selv efter at de er blevet fjernet via Gruppepolitik, især hvis brugeren har installeret dem, men aldrig har kørt dem. Installationen fuldføres, når programmet køres for første gang, og Gruppepolitik fjerner dem derefter i henhold til den nye konfiguration.
Mestre disse vedligeholdelsesmuligheder Det giver dig mulighed for at opretholde en meget renere og mere homogen softwareflåde og undgå, at gamle versioner glemmes på nogle maskiner.
Ved at kombinere officielle Firefox-administratorskabeloner, GPO'er til browserudvidelser og softwareinstallation via MSI-pakkerDu får finjusteret kontrol over, hvilken browser der bruges, hvilke politikker der styrer den, og hvilke yderligere værktøjer der er til stede på arbejdsstationer. Med minimal planlægning (softwarelager, velgennemtænkt OU-struktur og forudgående laboratorietest) går implementering af Firefox og dens virksomhedspolitikker med GPO'er fra en kedelig opgave til en forudsigelig, gentagelig og langt mere bekvem proces for systemadministratorer.