Настройка mozilla через групповые политики
Прежде чем приступить к распространению настроек прокси для Firefox, загрузите и распакуйте пакет FirefoxADM на сервер с Active Directory.
1.8. Для сохранения настроек дважды нажмите ОК.
На этом этапе вы получите настроенный GPO, который при следущем старте клиентской машины будет запускать скрипт, блокирующий настройку прокси для Mozilla Firefox. Теперь вам необходимо создать шаблоны администратора (Administrative Templates), которые будут задавать необходимые настройки прокси.
1.9. В левой части окна раскройте пункт User Configuration;
1.10. Щёлкните правой кнопкой на Administrative Templates и выберите Add/Remove Templates;
1.12. В Computer Configuration раскройте подпункт Administrative Templates;
1.13. Из списка выберите Mozilla Firefox Default Settings;
1.14. В правой части окна щёлкните два раза на Proxy-settings;
1.15. Установите параметр в значение Enabled;
1.16. В этом окне укажите настройки прокси, которые будут распространены для пользователей. Информацию об адресе прокси-сервера вы можете уточнить у нашего торгового представителя или технической поддержки;
2.8. Для сохранения настроек дважды нажмите ОК.
На этом этапе вы получите настроенный GPO, который при следущем старте клиентской машины будет запускать скрипт, блокирующий настройку прокси для Mozilla Firefox. Теперь вам необходимо создать шаблоны администратора (Administrative Templates), которые будут задавать необходимые настройки прокси.
2.9. В левой части окна раскройте пункт Computer Configuration;
2.10. Щёлкните правой кнопкой на Administrative Templates и выберите Add/Remove Templates;
2.12. В Computer Configuration раскройте подпункт Administrative Templates;
2.13. Из списка выберите Mozilla Firefox Locked Settings;
2.14. В правой части окна щёлкните два раза на Proxy-settings;
2.15. Установите параметр в значение Enabled;
2.16. В этом окне укажите настройки прокси, которые будут распространены для пользователей. Информацию об адресе прокси-сервера вы можете уточнить у нашего торгового представителя или технической поддержки;
2.17. Нажмите OK.
Настройки будут применены при следующем входе пользователей в домен.
Два способа массового развертывания Mozilla Firefox
Возможности и ограничения 64-разрядного Mozilla Firefox
Развертывание Mozilla Firefox из MSI-пакетов от FrontMotion
После выбора или создания GPO для установки и обновление браузера, необходимо загрузить последний из доступных русскоязычных MSI-пакетов обычного или ESR-релиза Mozilla Firefox и сохранить его в общей папке, доступной для чтения Всем как на уровне файловой системы NTFS, так и на уровне общей папки.
После выполнения всех перечисленных действий остается добавить подготовленный MSI-пакет в список Конфигурация компьютера\ Политики\ Конфигурация Windows\ Конфигурация программ выбранного или созданного ранее GPO с помощью Редактора управления групповыми политиками.
После завершения распространения групповой политики и перезагрузки соответствующих рабочих станций на них будет установлен или обновлен 32-разрядный браузер Mozilla Firefox. Следует отметить, что, согласно официальной инструкции Frontotion, для изменения стандартных параметров развертывания браузера можно выполнить предварительную административную установку MSI-пакета и/или воспользоваться модификаторами. В связи с тем, что мы никогда не делали ни того, ни другого, мне нечего добавить по этому поводу.
Официальные инсталляторы Mozilla Firefox
Как и прежде, значение переменной окружения VERSION , заданное в первой строке сценария, должно быть равно версии инсталлятора, который используется в настоящий момент. Например, для установки Mozilla Firefox версии 45.1.1 ESR или обновления устаревших браузеров до этой версии требуется инсталлятор Firefox Setup 45.1.1esr-AMD64.exe и переменная окружения VERSION со значением 45.1.1 . Как только Вы узнаете о появлении браузера версии 46.0 ESR и решите перейти на него, придется всего лишь загрузить инсталлятор Firefox Setup 46.0esr-AMD64.exe , изменить значение переменной окружения VERSION на 46.0 и удалить инсталлятор устаревшей версии. Как видите, все делается не сложнее, чем при использовании MSI-пакетов.
После подготовки и тестирования сценария InstallMozillaFirefox64.cmd следует выбрать GPO для его запуска. Выше мы договорились, что все рабочие станции находятся в OU Workstations , с которым связан GPO Workstations Policy . В связи с тем, что действие данного GPO распространяется не только на компьютеры с 64-разрядными операционными системами, он не подойдет для решения рассматриваемой задачи. Придется вновь воспользоваться GPMC для создания дополнительного GPO Worstations x64 Policy , связанного с OU Workstations , и одноименного WMI-фильтра, ограничивающего область действия этого GPO. WMI-запрос такого фильтра, выбирающего все рабочие станции с 64-разрядными операционными системами Microsoft Windows 7, 8, 8.1 и 10 должен иметь следующий вид (как и в прошлый раз, проверка того, что компьютер является рабочей станцией, не обязательна и добавлена для порядка):
Единственной особенностью сценария InstallMozillaFirefox.cmd является необходимость использования двух инсталляторов браузера, все остальное делается также, как в случае описанного выше сценария InstallMozillaFirefox64.cmd .
После проверки работоспособности сценария InstallMozillaFirefox.cmd на компьютерах с 32- и 64-разрядными операционными системами остается переместить его в список Конфигурация компьютера\ Политики\ Конфигурация Windows\ Сценарии\ Автозагрузка GPO Workstations Policy с помощью Редактора управления групповыми политиками, дождаться завершения распространения групповой политики, а затем перезагрузить соответствующие рабочие станции и убедиться, что на них установлен или обновлен браузер Mozilla Firefox, при этом его разрядность соответствует разрядности операционной системы каждого из обслуживаемых Вами компьютеров.
Как быть с 64-разрядными Microsoft Windows XP и Vista?
Обязательно учтите , что если у Вас уже есть или могут появиться рабочие станции с 64-разрядными операционными системами Microsoft Windows XP или Vista, придется доработать сценарий InstallMozillaFirefox.cmd , чтобы он выполнял установку 32-разрядного браузера на такие компьютеры, при этом следует помнить, что 32-разрядный Mozilla Firefox, установленный на компьютер с 64-разрядной операционной системой, хранит параметр CurrentVersion в разделе реестра HKLM\SOFTWARE\Wow6432Node\Mozilla\Mozilla Firefox ESR . Сценарий InstallMozillaFirefox.cmd , учитывающий перечисленные особенности 64-разрядных операционных систем Microsoft Windows XP и Vista, может иметь примерно такой вид (добавленные строки выделены):
Заключение
Этой статьей я постараюсь описать процесс управления конфигурацией современных версий Mozilla Firefox в среде предприятия (доменной среде на базе Microsoft Active Directory).
Проблемы централизованного управления параметрами браузера Firefox
Ранее, управление настройками Firefox, в среде предприятия не представляло особой сложности, так как, как и любое правильное Windows приложение, Firefox хранил все свои настройки в реестре. Можно было найти или написать самому, необходимые административные шаблоны групповых политик, чтобы упростить администраторам весь процесс (к примеру, для того же Chrome, Google разработала и поддерживает набор adm/admx шаблонов). Однако, компания Mozilla решила этому правилу изменить и теперь Firefox хранит свои настройки в файлах, находящиеся в профиле пользователя.
Покопавшись довольно длительное время в Интернете, я нашел некоторое количество «решений» данной проблемы. Но … все они не работоспособны по разным причинам. Общая идея этих решений – создать GPO, заполнить ветку реестра, а затем, с помощью скрипта на Visual Basic, прописать необходимые параметры в файлы конфигурации Firefox. На первый взгляд, все удобно и логично, но … всегда есть это «но». Разработчики Mozilla меняют как места расположения файлов конфигурации, так и название файлов и т.д.
Метод описанный в данной статье был протестирован на современных версиях Firefox (Firefox 45.0.1).
Особенности управления Firefox на предприятии
Есть целый ряд настроек, которые могут быть рассмотрены как для предварительной настройки, так и для отключения или блокировки в корпоративной среде, где пользователи, как правило, не будут иметь прав администратора и ИТ специалистам необходимо самим определять, какие параметры разрешить менять, а какие оставить предопределенными и неизменяемыми в среде предприятия.
Это может, например, включать:
- Import Wizard (Мастер импорта) – Firefox запускает этот Мастер при первом запуске для импорта настроек из других установленных браузеров. Вам может понадобиться отключить запуск данного Мастера настройки.
- Automatic updates for Firefox (Автоматические обновления) – Options / Advanced / Update / Firefox updates. Обновления Firefox лучше делать централизованно, а не отдельно, на каждом пользовательском компьютере. Авто обновление для расширений, можно оставить, так как они хранятся на компьютере пользователя.
- Mozilla Maintenance Service –(Сервис обслуживания)Firefox устанавливает службу обновления, которая позволяет обновлять Firefox автоматически, не запрашивая разрешений UAC. Эта возможность должна быть отключена или выключена в корпоративной среде.
- Default browser check (Проверка браузера по умолчанию) – Options / Advanced / General – Always check to see if Firefox is the default browser on startup. Если в корпоративной среде установлено, например, что браузером по умолчанию является Microsoft Internet Explorer, то такую проверку необходимо выключить, а возможность, для пользователя, установить Firefox в качестве браузера по умолчанию, заблокировать.
- Отключить загрузку, при первом запуске, вкладки ‘Welcome to Firefox’, и оповещений ‘Know your rights’ и ‘Improve Firefox’.
Управление и блокировка настроек Firefox
Firefox может быть настроен со значениями по умолчанию и с заблокированными настройками для каждого нового профиля пользователя. Таким образом, настройки будут содержать все необходимые вам параметры. Mozilla упростили (да, ладно! щазз!) процедуру развертывания с предустановленными настройками путем добавления некоторых специальных файлов во время инсталляции (или, например, в момент подключения компьютера в сеть домена)/ Предполагается, что Firefox установлен в папку по умолчанию:
- %ProgramFiles%\Mozilla Firefox\defaults\pref\all-settings.js
- %ProgramFiles%\Mozilla Firefox\Mozilla.cfg
Сам Firefox, будет сконфигурирован с настройками по умолчанию и с блокировкой изменения необходимых параметров.
Для назначения пользовательских установок надо использовать возможность блокировки пользовательских предпочтений.
Файл all-settings.js
Файл all-settings.js нужен для того, чтобы «сказать» Firefox, что необходимо считать из файла Mozilla.cfg ряд настроек конфигурации. Просто добавьте в файл all-settings.js две строки:
pref("general.config.obscure_value", 0);
pref("general.config.filename", "mozilla.cfg");
Файл Mozilla.cfg
ВАЖНО:
- Все параметры, в файле Mozillacfg, следует начинать писать со второй строки. Не спрашивайте меня почему. Например, вставьте комментарий // в первую строку.
- Параметры и все настройки учитывают регистр написания букв (case-sensitive). При ошибке написания, Firefox попросту не запустится.
lockPref("app.update.auto", false);
lockPref("app.update.enabled", false);
lockPref("app.update.service.enabled", false);
lockPref("toolkit.telemetry.prompted", true);
lockPref("browser.rights.override", true);
lockPref("browser.startup.homepage_override.mstone", "ignore");
lockPref("browser.shell.checkDefaultBrowser", false);
Ниже приведен пример файла Mozilla.cfg, который используется в реальной корпоративной среде.
Примечание: Обратите внимание, что все параметры определены с использованием ключевого слова pref. То есть, такой параметр будет установлен, но пользователь сможет его поменять. Для того, чтобы сделать параметр неизменяемым необходимо указать lockPref.Комментарии на английском, надеюсь не сложно, для понимания.
// Parameters keywords.
// pref
// sets the preference as if a user had set it, every time you start the browser.
// So users can make changes, but they will be erased on restart. If you set a
// particular preference this way, it shows up in about:config as "user set".
// defaultPref
// is used to alter the default value, though users can set it normally and their
// changes will be saved between sessions. If preferences are reset to default
// through the GUI or some other method, this is what they will go back to.
// Appears in about:config as "default".
// lockPref
// is used to lock preferences so they cannot be changed through the GUI or about:config.
// In many cases the GUI will change to reflect this, graying out or removing options.
// Appears in about:config as "locked". Some config items require lockPref to be set,
// such as app.update.enabled. It will not work if it set with just pref.
// clearPref
// can be used to "blank" certain preferences. This can be useful e.g. to disable functions
// that rely on comparing version numbers.
// Set browser custom home-page
pref("browser.startup.homepage","http://www.yourdomain.ru");
pref("browser.startup.page",1);
// Proxy settings
pref("network.proxy.ftp", "xxx.xxx.xxx.xxx"); // можно написать доменное имя
pref("network.proxy.ftp_port", 3128); // номер порта proxy-сервера
pref("network.proxy.http", "xxx.xxx.xxx.xxx"); // можно написать доменное имя
pref("network.proxy.http_port", 3128); // номер порта proxy-сервера
pref("network.proxy.share_proxy_settings", true);
pref("network.proxy.socks", "xxx.xxx.xxx.xxx"); // можно написать доменное имя
pref("network.proxy.socks_port", 3128); // номер порта proxy-сервера
pref("network.proxy.ssl", "xxx.xxx.xxx.xxx"); // можно написать доменное имя
pref("network.proxy.ssl_port", 3128); // номер порта proxy-сервера
pref("network.proxy.type", 1);
// Check default browser
pref("browser.shell.checkDefaultBrowser", false);
// Disable updater
pref("app.update.enabled", false);
// Make absolutely sure it is really off
pref("app.update.auto", false);
pref("app.update.mode", 0);
pref("app.update.service.enabled", false);
// Disable Add-ons compatibility checking
clearPref("extensions.lastAppVersion");
// Don't show 'know your rights' on first run
pref("browser.rights.3.shown", true);
// Don't show WhatsNew on first run after every update
pref("browser.startup.homepage_override.mstone","ignore");
// Disable the internal PDF viewer
pref("pdfjs.disabled", true);
// Disable the flash to javascript converter
pref("shumway.disabled", true);
// Don't ask to install the Flash plugin
pref("plugins.notifyMissingFlash", false);
//Disable plugin checking
pref("plugins.hide_infobar_for_outdated_plugin", true);
clearPref("plugins.update.url");
// Disable health reporter
pref("datareporting.healthreport.service.enabled", false);
// Disable all data upload (Telemetry and FHR)
pref("datareporting.policy.dataSubmissionEnabled", false);
// Disable telemetry
pref("toolkit.telemetry.enabled",false);
pref("toolkit.telemetry.rejected",true);
pref("toolkit.telemetry.prompted",2);
// Disable Health report
pref("datareporting.healthreport.uploadEnabled", false);
// Disable warning OnClose multiple tabs
pref("browser.tabs.warnOnClose", false);
Другие параметры, на свой вкус, можно выбрать на странице about:config Firefox 🙂
Копирование файлов с настройками Firefox на компьютеры пользователей с помощью GPP
А дальше, необходимо скопировать эти файл на компьютеры пользователей. Для этого средствами GPP надо создать правила удаления/копирования файлов.
ВАЖНО: Не забыть, что файлы с конфигурациями надо разместить там, где Domain Computers смогут их прочитать. Возможны, как минимум, два варианта:
- Разместить файлы в папке NETLOGON – но это моветон 🙂
- Разместить файлы на общем сетевом ресурсе и дать право чтения файлов для Domain Computers. Напоминаю: все происходит во время запуска компьютера и входа в домен, то есть во время StartUp, когда пользователя еще нет, запускаемся с правами SYSTEM)
У меня эти файлы хранятся в папке Firefox на общем сетевом ресурсе.
- Используется “Enforced” политика, которая применяется каждый раз при подключении компьютера к сети.
- Каждый раз файлы удаляются и копируются заново. Зачем? Мне, пока, так удобнее. Не более того.
Копирование/удаления файлов делаем через GPP: Computer Configuration –> Preferences –> Windows Settings -> Files
Установка Firefox в домене Windows
Считается, что пользователи в сети должны иметь ограниченные права и привилегии. В том числе на установку программ. Это правильно. А в вашей сети используется Firefox как основной браузер и вы уже задолбались бегать от компа к компу, вводить админские кредиты и устанавливать новые версии Firefox, выходящие с завидной регулярностью. Значительно упростить этот процесс можно с помощью домена Windows 2003, оснастки "Active Directory - Пользователи и компьютеры" и редактора групповой политики gpmc.msc.
Итак, задача: максимально упростить обновления браузера Firefox, установленного на подавляющем количестве компьютеров в сети. Исходные данные: домен Windows 2003.
Подготавливаем MSI-файл для Firefox
Думаю, что добавлю потом отдельную статью о том, откуда можно брать файлы Windows Installer вида "firefox.msi". Скажу лишь, что в нашем случае сам msi-файл и шаблон firefox.adm можно скачать отсюда.
Расшариваем какую-либо папку на сервере и даем к ней доступ юзерам на чтение, админу - полный:
В данном примере административный шаблон firefox.adm лежит в расшаренной папке, думаю, что это не совсем правильно, но зато легче не растерять связанные друг с другом файлы шаблона и инсталляшки.
Если у вас пользователи домена уже находятся в Users или где-то еще и вы не намерены их оттуда перемещать, пропускайте следующий параграф.
Подготовка организационного подразделения (OU)
Вообще-то держать пользователей домена в Users (по-умолчанию) не рекомедуется, в т.ч. на курсах Microsoft. Поэтому мы создадим новое рганизационное подразделение (OU), к которому будем в последствии применять политику распространения Firefox.
Шаг 1: сделаем OU "OurUsers" и поместим в него пользователя "user1"
Шаг 2: Создадим отдельную политику для созданного подразделения "OurUsers"
Запускаем редактор групповой политики GPMC.MSC:
. и создаем связанную только с нашим OU "OurUsers" групповую политику под названием "Install Custom Software":
. редактируем нашу политику "Install Custom Software":
Шаг 3: Готовим дистрибутив Firefox для развертывания в сети
В разделе "User Configuration" -> "Software settings" -> "Software Installation" щелкаем правой мышкой и создаем новый объект для установки - наш будущий инсталлятор Firefox:
Выбираем файл MSI, заботливо положенного чьими-то руками в расшаренную папку. Важно : выбирать надо сетевой путь до файла, а не локальный, ведь юзера будут получать доступ к вашей инсталляшке не локально на сервере, а по сети:
Выбираем "Assigned" (Назначенный):
На этом работа с веткой "Software Installation" закончена. переходим к ветке "User Configuration" -> "Administrative Templates" и создаем новый шаблон на основе файлика firefox.adm, так же кем-то предусмотрительно скачанного ранее:
Ок, мы сделали новый шаблон "Firefox". Теперь отредактируем его, как нам того требуется. Настроек не так много, но минимум все-таки настроить можно - стартовая страница, адрес прокси и пр.
Все. С шаблонами и прочими зверями покончено. Закрываем все открытые окна на сервере (если не помешает другим задачам, естественно), Пуск -> Выполнить -> gpupdate /force
Шаг 4: Устанавливаем на клиенте свежий Firefox
Созерцаем пару секунд окно командного интерпритатора и пробуем залогиниться под учетной записью "user1" на рабочую станцию. Выполняем команду "gpupdate /force", выходим и снова залогиниваемся на рабочей станции. Запускаем на рабочей станции "Установка и удаление программ", и в окне "Установка программ" созерцаем:
Вот! Теперь даже пользователь с ограниченными правами сможет установить уже настроенный броузер Firefox, а если Firefox уже был установлен, то он быдет обновлен до новой версии, в которой исправлены всякие недочеты и уязвимости.
Отмечу, что установить программу, подготовленную таким способом, сможет пользователь даже с минимальными юзерскими правами. Достаточно сделать пару кликов мышкой, без всяких админских учетных записей.
Минусы
Нельзя не сказать о существенных минусах этого способа. Первый, и, наверное, самый существенный - описанный способ это НЕ АВТОМАТИЧЕСКАЯ УСТАНОВКА ПРОГРАММ НА ВСЕ КОМПЬЮТЕРЫ В ДОМЕНЕ. Для автоматической установки используется другой метод, думаю, позже я опишу его, а пока сам до конца не понял, как просто и четко работать с MST-файлами настроек в случае подготовки дистрибутива для автоматического развертывания в сети. Отмечу, что статей про автоматическое развертывание пакета Microsoft Office в сети домена довольно много, но попробуйте найдите хоть что-то вразумительное о том, как сделать шаблон настроек firefox.mst - и вы меня поймете.
Кстати, если вы знаете ПРОСТЫЕ И ПОНЯТНЫЕ объяснения, как подготавливать MST-файлы, ОБЯЗАТЕЛЬНО ПИШИТЕ ОБ ЭТОМ в комментариях к этой статье.
Читайте также: