Perfiles de directivas
En muchas circunstancias, puede ser inconveniente aplicar directivas a dispositivos solo mediante la jerarquía de grupos de administración. Puede ser necesario crear varias instancias de una sola directiva que se diferencien en una o dos configuraciones para grupos de administración diferentes, y sincronizar los contenidos de esas directivas en el futuro.
Para ayudarle a evitar tales problemas, Kaspersky Security Center admite perfiles de directivas. Un perfil de directiva es un subconjunto nominado de los valores de configuración definidos en una directiva. Este subconjunto se distribuye en dispositivos de destino junto con la directiva, y se complementa bajo una condición específica denominada Condición de activación del perfil. Los perfiles solo contienen configuraciones que se diferencian de la directiva "básica" que está activa en el dispositivo cliente (equipo o dispositivo móvil). Al activarse un perfil se modifica la configuración de directiva que se encontraba activa en el dispositivo antes de que se activara el perfil. Dicha configuración tomará los valores que se habían especificado en el perfil.
Las restricciones siguientes se imponen actualmente en los perfiles de directivas:
- Una directiva puede incluir un máximo de 100 perfiles.
- Un perfil de directivas no puede contener otros perfiles.
- Un perfil de directivas no puede contener una configuración de notificaciones.
Contenido de un perfil
Un perfil de directivas contiene las siguientes partes:
- Perfiles de nombre con nombres idénticos que se afectan mutuamente a través de la jerarquía de grupos de administración con reglas comunes.
- Subconjunto de configuración de la directiva. A diferencia de la directiva, que contiene todas las configuraciones, un perfil solo contiene configuraciones que realmente se requieren (configuraciones bloqueadas).
- La condición de activación es una expresión lógica con propiedades del dispositivo. Un perfil está activo (complementa a la directiva) solo cuando la condiciones de activación del perfil se hace verdadera. En todos los otros casos, el perfil está inactivo y es ignorado. Las propiedades del dispositivo siguientes se pueden incluir en esa expresión lógica:
- Estado de modo fuera de la oficina.
- Propiedades del entorno de la red; nombre de la regla activa para conexión con el Agente de red.
- Presencia o ausencia de etiquetas específicas en el dispositivo.
- El hecho de que el dispositivo pertenezca a una unidad de Active Directory, sea esta relación de pertenencia explícita (el dispositivo se encuentra en la unidad organizativa especificada) o implícita (el dispositivo está en una unidad organizativa que se encuentra dentro de la unidad especificada, sin importar el nivel de anidamiento).
- Membrecía del dispositivo en un grupo de seguridad de Active Directory (explícita o implícita).
- Membrecía del propietario del dispositivo en un grupo de seguridad de Active Directory (explícita o implícita).
- Casilla de deshabilitación del Perfil. Los perfiles deshabilitados siempre se ignoran y sus condiciones de activación respectivas no se verifican.
- Prioridad del Perfil. Las condiciones de activación de perfiles diferentes son independientes, por lo tanto varios perfiles se pueden activar simultáneamente. Si los perfiles activos contienen recolecciones no superpuestas de configuraciones, no se producirá ningún problema. Sin embargo, si dos perfiles activos contienen valores diferentes de la misma configuración, una ambigüedad ocurrirá. Esta ambigüedad se debe evitar a través de prioridades del perfil: El valor de la variable ambigua se tomará desde el perfil que tiene la prioridad más alta (el que se califica más alto en la lista de perfiles).
Comportamiento de los perfiles cuando las directivas se afectan mutuamente a través de la jerarquía
Los perfiles con el mismo nombre se fusionan según las reglas de fusión de directivas. Los perfiles de una directiva ascendente tienen una prioridad más alta que los perfiles de una directiva descendente. Si la edición de la configuración se prohíbe en la directiva ascendente (está bloqueada), la directiva descendente usa las condiciones de activación del perfil de la ascendente. Si la edición de la configuración está permitida en la directiva ascendente, las condiciones de activación del perfil desde la directiva descendente se utilizan.
Como un perfil de directivas puede contener la propiedad El dispositivo no tiene conexión en su condición de activación, los perfiles reemplazan completamente la función de las directivas para los usuarios fuera de la oficina, que ya no se admitirán.
Una directiva para usuarios fuera de la oficina puede contener perfiles, pero sus perfiles solo se pueden activar después de que el dispositivo cambie al modo fuera de la oficina.