Profils de stratégie

Dans de nombreux cas, l'application de stratégies à des appareils sur la seule base de la hiérarchie des groupes d'administration n'est pas pratique. La nécessité de créer plusieurs copies de stratégies, qui se distinguent par un ou deux paramètres, dans différents groupes d'administration peut se présenter, avec la synchronisation manuelle ultérieure du contenu de ces stratégies.

Pour éviter ce type de problèmes, Kaspersky Security Center prend en charge les profils de stratégie. Un profil de stratégie est un sous-ensemble nommé de paramètres de stratégie. Ce sous-ensemble est diffusé sur les appareils avec la stratégie et vient compléter la stratégie quand une condition définie, la condition d'activation du profil, est remplie. Les profils contiennent uniquement les paramètres qui se distinguent de la stratégie « de base » en vigueur sur l'appareil client (ordinateur, appareil mobile). Quand le profil est activé, les paramètres de la stratégie en vigueur sur l'appareil avant l'activation du profil sont modifiés. Ces paramètres prennent alors les valeurs reprises dans le profil.

Les profils de stratégie possèdent maintenant les restrictions suivantes :

• Une stratégie ne peut pas compter plus de 100 profils.
• Un profil de stratégie ne peut pas contenir d'autres profils.
• Un profil de stratégie ne peut pas contenir des paramètres de notification.

Composition d'un profil

Un profil de stratégie contient les parties suivantes :

• Les profils qui portent le même nom agissent les uns sur les autres selon la hiérarchie des groupes d'administration avec des règles générales.
• Sous-ensemble de paramètres d'une stratégie. À la différence d'une stratégie qui contient tous les paramètres, un profil reprend uniquement les paramètres qui sont vraiment nécessaires (le cadenas est activé).
• La condition d'activation est une expression logique avec les propriétés de l'appareil. Le profil est actif (complète la stratégie) uniquement quand la condition d'activation du profil se vérifie. Dans les autres cas, le profil est inactif et est ignoré. Les propriétés suivantes de l'appareil peuvent intervenir dans l'expression logique :
  • état du mode de l'utilisateur autonome ;
  • propriétés de l'environnement réseau : nom de la règle active de connexion de l'Agent d'administration ;
  • présence ou absence sur l'appareil des tags indiqués ;
  • emplacement de l'appareil dans les sous-divisions Active Directory : explicite (l'appareil se trouve directement dans la sous-division indiquée) ou implicite (l'appareil se trouve dans la sous-division qui se trouve à l'intérieur de la sous-division indiquée à n'importe quel niveau d'imbrication) ;
  • appartenance de l'appareil au groupe de sécurité Active Directory (explicite ou implicite) ;
  • appartenance du propriétaire de l'appareil au groupe de sécurité Active Directory (explicite ou implicite).
• Case de désactivation du profil. Les profils désactivés sont toujours ignorés, les conditions d'activation ne sont pas vérifiées.
• Priorité du profil. Les conditions d'activation des profils sont indépendantes, c'est pourquoi plusieurs profils peuvent s'activer simultanément. Si les profils actifs contiennent les ensembles de paramètres qui ne se recoupent pas, aucun problème ne se présente. Mais si deux profils actifs contiennent des valeurs différentes pour un même paramètre, il y a une ambiguïté. L'ambiguïté se résout à l'aide des priorités des profils : la valeur adoptée dans ce cas est celle du profil qui affiche la priorité supérieure (le profil qui se trouve plus haut dans la liste des profils).

Comportement des profils dans le cadre de l'action des stratégies les unes sur les autres selon la hiérarchie

Les profils homonymes sont rassemblés selon les règles du groupement de stratégies. Les profils de stratégie supérieure ont une priorité supérieure à celle des profils de la stratégie inférieure. Si la modification des paramètres est interdite (cadenas activé) dans la stratégie supérieure, la stratégie inférieure utilise les conditions d'activation de la stratégie supérieure. Si la modification des paramètres est autorisée dans la stratégie supérieure, ce sont les conditions d'activation du profil de stratégie inférieure qui sont utilisées.

Puisque le profil de stratégie peut contenir la propriété Appareil en mode déconnecté dans la condition de l'activation, les profils remplacent complètement la fonction des stratégies pour les utilisateurs itinérants qui ne va plus être prise en charge à l'avenir.

La stratégie pour les utilisateurs itinérants peut contenir des profils, mais l'activation de ses profils ne peut pas se produire avant que l'appareil ne passe au mode de l'utilisateur autonome.