A versão inicial do GPMC usava um mecanismo de retorno de chamada ao aguardar os resultados de uma solicitação de Modelagem ou Resultados da Diretiva de Grupo. O computador administrativo deveria estar “escutando” e aguardando essa resposta. Se o Firewall do Windows estiver habilitado, o Windows bloqueará esse tipo de resposta. Embora a abertura das portas adequadas possa resolver esse problema, o uso do GPMC (Console de Gerenciamento de Diretiva de Grupo) atualizado com Service Pack 1 removerá completamente o uso do mecanismo de retorno de chamada. Recomendamos que você instale o GPMC com o Windows Server 2003 Service Pack 1 uma vez que ele permite que a Modelagem e os Resultados da Diretiva de Grupo continuem funcionando sem a abertura das portas no computador administrativo. Para instalar o GPMC com o Windows Server 2003 Service Pack 1, consulte o artigo sobre o Console de Gerenciamento de Diretiva de Grupo com Service Pack 1 na Central de Download da Microsoft em http://go.microsoft.com/fwlink/?LinkId=23529.

Para administrar o RSoP remotamente, você deverá habilitar a configuração de Diretiva de Grupo Firewall do Windows: Autorizar exceção de administração remota nos computadores de destino.

Para administrar o RSoP remotamente usando o snap-in do MMC para RSoP, o computador de destino deverá escutar nas portas de rede adequadas para garantir que as solicitações RSoP recebidas sejam atendidas. Isso pode ser gerenciado pela Diretiva de Grupo por meio das seguintes configurações de diretiva:

• Habilite a configuração de Diretiva de Grupo Firewall do Windows: Definir exceções de programa para permitir o uso do Unsecapp.exe. Verifique se você inseriu o caminho completo do Unsecapp.exe.
  
• Habilite a configuração de Diretiva de Grupo Firewall do Windows: Definir exceções de porta e abra a Porta 135. Clique em Mostrar e digite 135:TCP:*:Enabled:135.
  

Cuidado

A habilitação da configuração de Diretiva de Grupo Firewall do Windows: Definir exceções de porta também pode permitir que dados indesejados sejam aceitos nesta porta. Certifique-se de examinar a fundo essa configuração de Diretiva de Grupo antes de habilitá-la em seu ambiente. A habilitação dessa configuração de diretiva não será necessária se a opção Firewall do Windows: Autorizar exceção de administração remota estiver habilitada no computador administrativo.

Por padrão, os Resultados da Diretiva de Grupo e o snap-in RSoP podem ser usados remotamente apenas quando o usuário que origina a solicitação é um administrador local no computador de destino. Desde o lançamento do Windows Server 2003, existe um modelo de delegação que permite que esse direito seja delegado a usuários que não sejam Administradores no computador de destino. Esse é um cenário comum quando a equipe de suporte técnico precisa acessar certos computadores sem ter privilégios de Administradores naqueles computadores.

No Windows XP Service Pack 2 e Windows Server 2003 Service Pack 1, o modelo de segurança relacionado à autenticação DCOM (da qual o RSoP depende) foi reforçado. Mesmo que a delegação do RSoP tenha sido configurada corretamente, esse reforço impede que usuários que não sejam administradores locais recuperem as informações do RSoP de um computador de destino. Observe que esse problema não afeta a Modelagem da Diretiva de Grupo, uma vez que a solicitação de dados RSoP simulados é feita em um controlador de domínio que executa o Windows Server 2003, o qual, por definição, não executa o Windows XP.

Você poderá gerenciar a lista de usuários e grupos associados à autenticação DCOM por meio da Diretiva de Grupo. Para permitir o uso contínuo do RSoP delegado, os usuários aos quais você deseja conceder esse direito também devem ter acesso ao modelo de autenticação DCOM. Para obter mais informações sobre as alterações de segurança do DCOM no Windows Server 2003 Service Pack 1, consulte “Aprimoramentos de Segurança de DCOM” anteriormente neste documento.

Use o seguinte procedimento para delegar acesso aos Resultados da Diretiva de Grupo:

1. Habilite a configuração de Diretiva de Grupo Firewall do Windows: Autorizar exceção de administração remota nos computadores de destino.

2. Defina as seguintes configurações da diretiva de segurança do DCOM nos computadores de destino (Elas estão localizadas em Configuração do Computador\Configurações do Windows\Configurações de Segurança\Diretivas Locais\Opções de Segurança).

   DCOM: Restrições de Acesso de Computador em sintaxe SDDL (Security Descriptor Definition Language)

   DCOM: Restrições de Inicialização de Computador em sintaxe SDDL (Security Descriptor Definition Language)

3. Clique com o botão direito do mouse no objeto de Diretiva de Grupo e clique em Propriedades.

4. Clique em Editar Segurança. As Permissões de Acesso são abertas.

5. Clique em Adicionar e a caixa de diálogo Selecionar Usuários, Computadores ou Grupos será aberta.

6. Insira os destinos de delegação desejados.

Para editar remotamente um objeto de Diretiva de Grupo local em um computador de destino que tenha o Firewall do Windows habilitado, você precisa habilitar a seguinte configuração de diretiva: Firewall do Windows: Autorizar compartilhamento de arquivos e impressoras.

A configuração de diretiva está localizada em Configuração do Computador\Modelos Administrativos\Rede\Conexões de Rede\Firewall do Windows\[Domínio|Padrão] Perfil\.