المجال الجديد بدون سياسات هو مكتب يعمل على الثقة والحظ. هذه هي سياسات المجموعة العشرة التي يضعها المسؤولون ذوو الخبرة أولاً - ما يفعله كل منهم، ومكان إقامته، ومشكلة المكتب التي يحلها بهدوء كل يوم.
اسأل عشرة من مسؤولي Active Directory ذوي الخبرة عن السياسات التي قاموا بتكوينها على مجال Windows Server جديد، وسوف تسمع نفس الأسماء العشرة تقريبًا. فهي ليست غريبة. إنها مجموعة المكتب القياسية: السياسات التي توقف مشاركة كلمة المرور، وتغلق الشاشات غير المراقبة، وتمنع محركات الأقراص القلمية، وتمنح كل مستخدم محركات الأقراص والطابعات الخاصة به تلقائيًا، وتمنع تحديثات Windows من إعادة تشغيل أجهزة الكمبيوتر الخاصة بالحسابات في منتصف عملية إعداد الفواتير. تستعرض هذه الصفحة جميع السياسات العشرة واحدًا تلو الآخر - الوظيفة التي تؤديها كل سياسة، ومسار وحدة التحكم الدقيق، والتحذير الصادق الذي يأتي معها. يتم تناول كيفية إنشاء كائن نهج المجموعة (GPO) وربطه واختباره من الصفر في البرنامج التعليمي الكامل لكائن نهج المجموعة (GPO) على هذه القناة؛ تدور هذه القائمة حول العشرة التي يجب إنشاءها بمجرد معرفة الأساسيات.
GPO واحد لكل مهمة، ولكل منها اسم عادي. أمثلة على الأسماء المعروضة - البنية هي النقطة، وليس التسميات.
المسار: تكوين الكمبيوتر - السياسات - إعدادات Windows - إعدادات الأمان - سياسات الحساب - سياسة كلمة المرور، ويتم تحريرها عادةً في سياسة المجال الافتراضية. هذه هي السياسة الوحيدة في القائمة التي يحصل فيها النطاق على إصدار واحد بالضبط لجميع حسابات المجال - سياسة كلمة المرور المرتبطة بوحدة تنظيمية واحدة لا تفعل شيئًا لمستخدمي المجال (تحتاج الاستثناءات لكل مجموعة إلى سياسات كلمة المرور الدقيقة، وهي ميزة منفصلة).
قم بتعيين أدنى طول يمكن للأشخاص تذكره فعليًا - 12 حرفًا مع التعقيد على 8 أحرف يتم تغييرها كل شهر. لقد أسقطت الإرشادات الحديثة الخاصة بشركة Microsoft انتهاء الصلاحية المتكرر القسري، لأن المستخدمين يستجيبون بـ Office@123، ثم Office@124. الطول بالإضافة إلى سياسة الإغلاق المعقولة هي التركيبة الصادقة.
المسار: تكوين المستخدم - السياسات - القوالب الإدارية - لوحة التحكم - التخصيص - تمكين شاشة التوقف، وتعيين المهلة، وتشغيل حماية شاشة التوقف بكلمة مرور. يقوم التوأم من جانب الكمبيوتر، تسجيل الدخول التفاعلي: حد عدم نشاط الجهاز ضمن خيارات الأمان، بنفس المهمة لكل جهاز.
عشر دقائق هي المكان المثالي للمكتب. يبتعد شخص ما عن جهاز كمبيوتر غير مقفل تم تسجيل الدخول إليه كحسابات أو موارد بشرية، ويصبح أي شخص يمر بجواره فجأة هو ذلك الشخص. تغلق هذه السياسة أرخص ثغرة أمنية في المبنى - ويقبلها المستخدمون في غضون أسبوع، لأنها لا تطلب شيئًا سوى كتابة كلمة المرور عند العودة.
المسار: تكوين الكمبيوتر - السياسات - القوالب الإدارية - النظام - الوصول إلى التخزين القابل للإزالة. يمكنك رفض القراءة أو الكتابة أو التنفيذ لكل فئة جهاز، أو رفض كافة وحدات التخزين القابلة للإزالة في إعداد واحد.
السبب المكتبي هو البيانات: يمكن لمحرك أقراص واحد أن يحمل قاعدة بيانات العملاء بالكامل خارج المبنى، أو يحمل فيروسًا بداخله. التحذير الصادق: قم بإعداد هذا باستخدام مسار استثناء من اليوم الأول - مجموعة تمت تصفيتها أمنيًا لشخصين أو ثلاثة أشخاص لديهم حاجة حقيقية إلى وظيفة - وإلا سيتم إيقاف تشغيل السياسة بهدوء في المرة الأولى التي تمنع فيها الرئيس قبل العرض التقديمي. تعتبر لوحات المفاتيح وأجهزة الماوس عائلة إعدادات مختلفة (قيود تثبيت الجهاز)؛ هذه السياسة تتعلق بالتخزين.
المسار: تكوين المستخدم - التفضيلات - إعدادات Windows - خرائط Drive. هذه تفضيلات سياسة المجموعة، وليست سياسة كلاسيكية: حيث تقوم بتوجيه حرف محرك أقراص إلى المشاركة، واختيار الإجراء (إنشاء أو تحديث)، واستخدام الاستهداف على مستوى العنصر إذا كان من المفترض أن تحصل الحسابات على S: ولا يجب أن تحصل المبيعات على ذلك.
تعمل هذه السياسة على إيقاف أقدم برنامج نصي في مجال تكنولوجيا المعلومات - الملف الدفعي لتسجيل الدخول - ومكالمة الخادم wala Drive gayab ho gaya اليومية. قم بالتخطيط مرة واحدة على الخادم ويقوم كل مستخدم بتسجيل الدخول بنفس الحروف التي تشير إلى نفس المشاركات. يصبح محرك الأقراص المعين الذي يُظهر صليبًا أحمر قابلاً للقراءة على الفور: مشكلة في الشبكة أو الأذونات، وليس لغزًا في رسم الخرائط.
المسار: التفضيلات - إعدادات لوحة التحكم - الطابعات (أو النشر من إدارة الطباعة). يقوم المستخدم بتسجيل الدخول وتكون الطابعة المكتبية هناك ببساطة، مع برنامج التشغيل الصحيح من خادم الطباعة.
التحذير الحديث الصادق: منذ إصلاحات PrintNightmare، أصبح Windows صارمًا بشأن برامج تشغيل الطابعة - لا يستطيع المستخدمون القياسيون عمومًا تثبيت برنامج تشغيل جديد تمامًا، لذلك يجب أن يكون برنامج التشغيل موجودًا بالفعل على خادم الطباعة ويتم تنظيمه مسبقًا بواسطة المسؤول. لا يزال النشر بواسطة GPO يؤدي إلى إزالة الزيارة لكل جهاز كمبيوتر؛ لم يعد يزيل تخطيط السائق لمرة واحدة. استهدف الطابعات بواسطة الوحدة التنظيمية أو المجموعة حتى يتوقف الطابق الثالث عن الطباعة إلى الطابق الأرضي.
المسار: تكوين الكمبيوتر - السياسات - القوالب الإدارية - مكونات Windows - Windows Update. الإعدادات الرئيسية: تكوين التحديثات التلقائية، عدم إعادة التشغيل التلقائي مع المستخدمين الذين قاموا بتسجيل الدخول، وتثبيت المواعيد النهائية، و- إذا كان المكتب يستخدم WSUS - موقع خادم تحديث الإنترانت. تسمح إعدادات التأجيل للمجموعة التجريبية بالحصول على التحديثات أولاً ولبقية المكتب بعد بضعة أيام.
كن واضحًا بشأن الوظيفة: تتحكم هذه السياسة في التوقيت، وليس في إمكانية حدوث التحديثات. المكاتب التي تتأذى هي تلك التي تعطل التحديثات بالكامل ثم تواجه ثغرة أمنية عمرها عامين. قم بتعيين نافذة تثبيت بعد ساعات العمل وموعد نهائي لإعادة التشغيل يمكن للمستخدمين رؤيته، وتصبح التحديثات مملة - وهذا بالضبط ما تريده.
المسار: تكوين المستخدم - السياسات - إعدادات Windows - إعادة توجيه المجلد. تشير المستندات وسطح المكتب والصور بهدوء إلى مجلد موجود على خادم الملفات بدلاً من القرص المحلي.
تظهر المكافأة في أسوأ يوم: يموت جهاز الكمبيوتر، ويقوم المستخدم بتسجيل الدخول على أي جهاز كمبيوتر آخر، وتكون ملفاته موجودة بالفعل - وتوجد نسخة الخادم داخل النسخة الاحتياطية العادية. تحذيرين صادقين. تقوم عملية تسجيل الدخول الأولى بنسخ الملفات الموجودة، لذا يتم نشرها على دفعات صغيرة. ولا تقم أبدًا بإعادة التوجيه إلى خادم بطيء أو ميت: فكل عملية حفظ تبدو معطلة، ويبدأ المستخدمون في الحفظ على محرك أقراص بدلاً من ذلك - مما يؤدي إلى هزيمة السياسة رقم 3.
المسارات: تكوين الكمبيوتر - إعدادات Windows - إعدادات الأمان - سياسات التحكم في التطبيقات - AppLocker، أو سياسات تقييد البرامج الأقدم في نفس المنطقة. الفكرة هي القائمة البيضاء: قد يتم تشغيل Windows وملفات البرامج والتطبيقات المعتمدة من قبل المسؤول؛ مهما كان ما يقوم المستخدم بتنزيله في ملفه الشخصي، فلا يجوز ذلك.
هذا هو العنصر الأقوى في القائمة والذي يتطلب أكبر قدر من الاحترام. يعد تطبيق AppLocker من خلال GPO أحد ميزات إصدار Enterprise وEducation، ويجب أن يبدأ كل مسؤول في وضع التدقيق فقط، ويصلح ما يكشفه السجل، وبعد ذلك فقط يتم فرضه. إذا تم تنفيذه بصبر، فإنه يوقف بهدوء معظم البرامج الضارة الخاصة بالفواتير المزيفة. يتم ذلك في يوم الجمعة على عجل، ويوقف برنامج الفوترة - وهذه القصة لها صفحتها الخاصة في هذه السلسلة.
المسار: تكوين الكمبيوتر - السياسات - إعدادات Windows - إعدادات الأمان - تكوين سياسة التدقيق المتقدمة. على الأقل، تدقيق نجاح تسجيل الدخول والفشل على وحدات تحكم المجال والخوادم الأعضاء.
تجيب عملية التدقيق على السؤال الذي يطرحه كل مكتب بعد وقوع حادث: حساب من تم استخدامه، ومن أي جهاز كمبيوتر، ومتى؟ ولكن لنكن صادقين بشأن النصف الثاني: السجلات التي لا يقرأها أحد ليست أمانًا، بل هي مخزن. قم بتشغيل التدقيق مع عادة أسبوعية صغيرة تتمثل في فشل القراءة فعليًا - يغطي الدليل المصاحب في هذه السلسلة هذه العادة بالكامل.
المسار: التفضيلات - إعدادات لوحة التحكم - المستخدمون المحليون والمجموعات يمكنهم تنظيف مجموعة المسؤولين على كل جهاز كمبيوتر - إزالة حسابات المستخدمين الضالة، والاحتفاظ بمجموعة دعم تكنولوجيا المعلومات. القطعة المصاحبة هي Windows LAPS، والتي تمنح كل جهاز كمبيوتر كلمة مرور مسؤول محلي فريدة يتم تدويرها تلقائيًا ويتم تخزينها بأمان في Active Directory.
العمل اليومي لا يحتاج إلى حقوق المسؤول؛ ترثها البرامج الضارة. عندما يكون كل مستخدم مسؤولاً محليًا، يمتلك أحد التنزيلات السيئة الجهاز ويبدأ في مطاردة الشبكة من الداخل. قم بإزالة حقوق المسؤول الدائمة، واحتفظ بـ LAPS لليوم الذي يحتاج فيه قسم تكنولوجيا المعلومات إلى كلمة المرور المحلية، ولن تحدث نصف الحوادث في المكتب العادي أبدًا. احتفظ بمسار زجاجي تم اختباره قبل بدء التشغيل - يوضح الدليل التحذيري في هذه السلسلة السبب.
تم إنشاء جميع السياسات العشر وربطها مباشرة على مجال Windows Server حقيقي - شاهد الفيديو مرة واحدة وستستغرق القائمة الخاصة بك أقل من ساعة.
▶️ Watch Full Videoابدأ بسياسة كلمة المرور وقفل الشاشة - فهي لا تكلف المستخدمين شيئًا تقريبًا وتغلق الثغرات الأكثر شيوعًا. ثم قم بتخطيط محرك الأقراص ونشر الطابعة، لأن المستخدمين يشعرون بذلك على أنه مساعدة وليس تقييدًا، وتحمل حسن النية السياسات الأكثر صرامة (التحكم في USB، والتحكم في البرامج، وإزالة المسؤول المحلي) التي تأتي لاحقًا.
بالنسبة لحسابات المجال، لا تسري سياسة كلمة المرور إلا من كائن نهج المجموعة (GPO) المرتبط على مستوى المجال - سياسة المجال الافتراضية هي الصفحة الرئيسية المعتادة. تنطبق سياسة كلمة المرور المرتبطة بالوحدة التنظيمية فقط على الحسابات المحلية الموجودة على أجهزة الكمبيوتر هذه. تحتاج القواعد المختلفة لمجموعة معينة إلى سياسات كلمة مرور دقيقة، والتي يتم تكوينها بشكل منفصل في Active Directory.
يمكنك، ولا ينبغي لك. يمكن اختبار GPO واحد لكل مهمة - باسم عادي مثل Block-USB-Storage - وتعطيله وإعادته وتصفيته بشكل مستقل. يفشل أحد GPO العملاق كعملاق: عندما ينكسر شيء ما، لا يمكنك إيقاف تشغيل نصفه، ولا يتذكر أحد ما بداخله. يُظهر دليل GPO واحد لكل وظيفة في هذه السلسلة الانضباط في الممارسة العملية.