Perfiles de directiva

Aplicar directivas a dispositivos solo a través de la jerarquía de los grupos de administración puede ser incómodo en muchas circunstancias. Puede que sea necesario crear varias instancias de una sola directiva que se diferencie en uno o dos parámetros para diferentes grupos de administración y sincronizar el contenido de esas directivas en el futuro.

Para ayudarle a evitar tales problemas, Kaspersky Security Center, a partir de la versión 10 Service Pack 1, admite perfiles de directiva. Un perfil de directiva es un subconjunto de parámetros de la directiva denominado. Este subconjunto se distribuye en dispositivos de destino junto con la directiva, y se complementa en una condición específica denominada la Condición de activación de perfil. Los perfiles solo contienen parámetros que se diferencian de la directiva "básica", que está activa en el dispositivo cliente (equipo o dispositivo móvil). Al activarse un perfil se modifica la configuración de directiva que se encontraba activa en el dispositivo antes de que se activara el perfil. Esa configuración toma los valores especificados en el perfil.

Actualmente se imponen las siguientes restricciones en perfiles de directiva:

• Una directiva puede incluir un máximo de 100 perfiles.
• Un perfil de directiva no puede contener otros perfiles.
• Un perfil de directiva no puede contener configuraciones de notificación.

Contenido de un perfil

Un perfil de directiva contiene las siguientes partes constituyentes:

• Los perfiles de nombre con nombres idénticos se afectan mutuamente mediante la jerarquía de los grupos de administración con reglas comunes.
• Subconjunto de configuración de la directiva. A diferencia de la directiva, que contiene todos los parámetros, un perfil solo contiene los parámetros que realmente se requieren (parámetros bloqueados).
• La condición de activación es una expresión lógica con las propiedades del dispositivo. Un perfil está activo (complementa la directiva) solo cuando la condición de activación de perfil es verdadera. En todos los demás casos, el perfil es inactivo y se ignora. Las siguientes propiedades del dispositivo se pueden incluir en esa expresión lógica:
  • Estado de modo fuera de la oficina.
  • Propiedades de entorno de la red — Nombre de la regla activa para la conexión de Agente de red.
  • Presencia o ausencia de etiquetas específicas en el dispositivo.
  • Ubicación del dispositivo en una unidad de Active Directory: explícita (el dispositivo está en la UO especificada) o implícita (el dispositivo está en una UO, que está dentro de la UO especificada en cualquier nivel de anidamiento).
  • Pertenencia del dispositivo al grupo de seguridad de Active Directory (explícita o implícita).
  • Pertenencia del propietario del dispositivo al grupo de seguridad de Active Directory (explícita o implícita).
• Casilla de desactivación del perfil. Los perfiles desactivados siempre se ignoran y sus respectivas condiciones de activación no se verifican.
• Prioridad del perfil. Las condiciones de activación de diferentes perfiles son independientes, por lo tanto, es posible activar varios perfiles simultáneamente. Si los perfiles activos contienen recopilaciones no superpuestas de parámetros, no surgirán problemas. Sin embargo, si dos perfiles activos contienen valores diferentes del mismo parámetro, se producirá una ambigüedad. Esta ambigüedad se debe evitar a través de prioridades del perfil: el valor de la variable ambigua se tomará del perfil que tiene la prioridad más alta (el que tenga el valor más alto en la lista de perfiles).

Comportamiento de los perfiles cuando las directivas se afectan mutuamente mediante la jerarquía

Los perfiles con el mismo nombre se fusionan según las reglas de fusión de directivas. Los perfiles de una directiva hacia arriba tienen una prioridad más alta que los perfiles de una directiva hacia abajo. Si se prohíbe la modificación de parámetros en la directiva hacia arriba (están bloqueados), la directiva hacia abajo usa las condiciones de activación de perfil de la directiva hacia arriba. Si se permite la modificación de parámetros en la directiva hacia arriba, se utilizan las condiciones de activación de perfil de la directiva hacia abajo.

Ya que un perfil de directiva puede contener la propiedad El dispositivo está desconectado en su condición de activación, los perfiles reemplazan completamente la función de directivas para los usuarios fuera de la oficina, que ya no se admitirán.

Una directiva para los usuarios fuera de la oficina puede contener perfiles, pero sus perfiles solo se pueden activar después de que el dispositivo cambia al modo fuera de la oficina.