Eine neue Domäne ohne Richtlinien ist ein Büro, das auf Vertrauen und Glück basiert. Dies sind die zehn Gruppenrichtlinien, die erfahrene Administratoren an erster Stelle setzen – was jeder einzelne tut, wo er lebt und welches Büroproblem er jeden Tag stillschweigend löst.
Fragen Sie zehn erfahrene Active Directory-Administratoren, welche Richtlinien sie auf einer neuen Windows Server-Domäne konfigurieren, und Sie werden fast dieselben zehn Namen hören. Sie sind nicht exotisch. Es handelt sich dabei um den Standard-Bürosatz: die Richtlinien, die die Passwortfreigabe stoppen, unbeaufsichtigte Bildschirme sperren, USB-Sticks fernhalten, jedem Benutzer automatisch seine Laufwerke und Drucker zuweisen und verhindern, dass Windows-Updates den Konto-PC während der Abrechnung neu starten. Auf dieser Seite werden alle zehn Richtlinien einzeln durchgegangen – die Aufgabe, die jede Richtlinie erfüllt, der genaue Konsolenpfad und die ehrliche Warnung, die damit einhergeht. Wie Sie ein GPO von Grund auf erstellen, verknüpfen und testen, erfahren Sie im vollständigen GPO-Tutorial auf diesem Kanal. In dieser Liste geht es darum, welche zehn Sie erstellen sollten, sobald Sie die Grundlagen kennen.
Ein Gruppenrichtlinienobjekt pro Auftrag, jedes mit einem einfachen Namen. Angezeigte Beispielnamen – die Struktur ist der Punkt, nicht die Beschriftungen.
Pfad: Computerkonfiguration – Richtlinien – Windows-Einstellungen – Sicherheitseinstellungen – Kontorichtlinien – Passwortrichtlinie, normalerweise in der Standarddomänenrichtlinie bearbeitet. Dies ist die einzige Richtlinie in der Liste, bei der die Domäne genau eine Version für alle Domänenkonten erhält. Eine mit einer einzelnen Organisationseinheit verknüpfte Kennwortrichtlinie hat keine Auswirkungen auf Domänenbenutzer (Ausnahmen pro Gruppe erfordern fein abgestimmte Kennwortrichtlinien, eine separate Funktion).
Legen Sie eine Mindestlänge fest, an die sich die Leute tatsächlich erinnern können – 12 Zeichen mit einer Komplexität von 8 Zeichen, die jeden Monat geändert werden. Microsofts eigene moderne Anleitung hat den erzwungenen häufigen Ablauf aufgegeben, da Benutzer mit Office@123 und dann Office@124 antworten. Länge und eine vernünftige Sperrpolitik sind die ehrliche Kombination.
Pfad: Benutzerkonfiguration – Richtlinien – Administrative Vorlagen – Systemsteuerung – Personalisierung – aktivieren Sie den Bildschirmschoner, legen Sie das Zeitlimit fest und aktivieren Sie den Bildschirmschoner mit einem Passwort schützen. Ein computerseitiger Zwilling, Interaktive Anmeldung: Maschineninaktivitätslimit unter Sicherheitsoptionen, erledigt die gleiche Aufgabe pro Maschine.
Zehn Minuten sind der ideale Zeitpunkt fürs Büro. Jemand geht von einem entsperrten PC weg und ist als Buchhaltung oder Personalabteilung angemeldet, und jeder, der vorbeikommt, ist plötzlich diese Person. Diese Richtlinie schließt die günstigste Sicherheitslücke im Gebäude – und die Nutzer akzeptieren sie innerhalb einer Woche, da bei der Rückkehr nichts außer der Eingabe eines Passworts verlangt wird.
Pfad: Computerkonfiguration – Richtlinien – Administrative Vorlagen – System – Wechselspeicherzugriff. Sie können das Lesen, Schreiben oder Ausführen pro Geräteklasse verweigern oder den gesamten Wechselspeicher in einer Einstellung verweigern.
Der Bürogrund sind Daten: Ein USB-Stick kann die gesamte Kundendatenbank aus dem Gebäude transportieren oder einen Virus hineintragen. Die ehrliche Warnung: Richten Sie dies vom ersten Tag an mit einer Ausnahmeroute ein – einer sicherheitsgefilterten Gruppe für zwei oder drei Personen mit echtem Arbeitsbedarf – sonst wird die Richtlinie stillschweigend ausgeschaltet, wenn sie den Chef zum ersten Mal vor einer Präsentation blockiert. Tastaturen und Mäuse sind eine andere Einstellungsfamilie (Einschränkungen bei der Geräteinstallation); In dieser Richtlinie geht es um die Speicherung.
Pfad: Benutzerkonfiguration – Einstellungen – Windows-Einstellungen – Laufwerkskarten. Dies ist eine Gruppenrichtlinien-Präferenz, keine klassische Richtlinie: Sie zeigen mit einem Laufwerksbuchstaben auf eine Freigabe, wählen die Aktion (Erstellen oder Aktualisieren) und verwenden das Targeting auf Elementebene, wenn Konten S: erhalten sollen und Verkäufe nicht.
Diese Richtlinie entfernt das älteste Skript in der IT – die Anmelde-Batchdatei – und den täglichen Aufruf server wala drive gayab ho gaya. Einmal auf dem Server zuordnen und jeder Benutzer meldet sich mit denselben Buchstaben an, die auf dieselben Freigaben verweisen. Ein zugeordnetes Laufwerk mit einem roten Kreuz ist dann sofort lesbar: ein Netzwerk- oder Berechtigungsproblem, kein Zuordnungsrätsel.
Pfad: Einstellungen – Systemsteuerungseinstellungen – Drucker (oder über die Druckverwaltung bereitstellen). Der Benutzer meldet sich an und der Bürodrucker ist einfach da, mit dem richtigen Treiber vom Druckserver.
Der ehrliche moderne Vorbehalt: Seit den PrintNightmare-Korrekturen ist Windows bei Druckertreibern streng – Standardbenutzer können im Allgemeinen keinen brandneuen Treiber installieren, daher sollte der Treiber bereits auf dem Druckserver vorhanden sein und von einem Administrator vorab bereitgestellt werden. Bei der Bereitstellung durch GPO entfällt weiterhin der Besuch pro PC. Es entfällt einfach nicht mehr die einmalige Fahrerplanung. Zielen Sie auf Drucker nach Organisationseinheit oder Gruppe, damit die dritte Etage nicht mehr ins Erdgeschoss druckt.
Pfad: Computerkonfiguration – Richtlinien – Administrative Vorlagen – Windows-Komponenten – Windows Update. Wichtige Einstellungen: Automatische Updates konfigurieren, Kein automatischer Neustart bei angemeldeten Benutzern, Installationsfristen und – wenn das Büro WSUS verwendet – der Standort des Intranet-Update-Servers. Mit den Verzögerungseinstellungen kann eine Pilotgruppe zuerst Aktualisierungen vornehmen und der Rest des Büros einige Tage später.
Machen Sie sich die Aufgabe klar: Diese Richtlinie steuert den Zeitpunkt und nicht, ob Aktualisierungen stattfinden. Geschädigt werden diejenigen Büros, die Updates komplett deaktivieren und dann auf eine zwei Jahre alte Schwachstelle stoßen. Legen Sie ein Installationsfenster außerhalb der Geschäftszeiten und eine Frist für den Neustart fest, von der die Benutzer absehen können, dass Updates langweilig werden – und das ist genau das, was Sie wollen.
Pfad: Benutzerkonfiguration – Richtlinien – Windows-Einstellungen – Ordnerumleitung. Dokumente, Desktop und Bilder verweisen stillschweigend auf einen Ordner auf dem Dateiserver statt auf die lokale Festplatte.
Die Auszahlung erfolgt am schlimmsten Tag: Ein PC fällt aus, der Benutzer meldet sich auf einem anderen PC an und seine Dateien sind bereits dort – und die Serverkopie befindet sich in Ihrem normalen Backup. Zwei ehrliche Warnungen. Bei der ersten Anmeldung werden vorhandene Dateien kopiert. Führen Sie die Einführung daher in kleinen Mengen durch. Und leiten Sie niemals auf einen langsamen oder aussterbenden Server weiter: Dann fühlt sich jeder Speichervorgang kaputt an und Benutzer beginnen stattdessen mit dem Speichern auf einem USB-Stick – ein Misserfolg von Richtlinie Nummer 3.
Pfade: Computerkonfiguration – Windows-Einstellungen – Sicherheitseinstellungen – Anwendungskontrollrichtlinien – AppLocker oder die älteren Softwareeinschränkungsrichtlinien im gleichen Bereich. Die Idee ist eine Whitelist: Windows, Programmdateien und vom Administrator genehmigte Apps dürfen ausgeführt werden; Was auch immer ein Benutzer in sein eigenes Profil herunterlädt, möglicherweise nicht.
Dies ist der stärkste Punkt auf der Liste und derjenige, der den meisten Respekt erfordert. Die Durchsetzung von AppLocker über GPO ist eine Funktion der Enterprise and Education Edition, und jeder Administrator sollte im Nur-Überwachungsmodus beginnen, die im Protokoll angezeigten Daten korrigieren und erst dann die Durchsetzung durchführen. Wenn es geduldig durchgeführt wird, werden die meisten Schadprogramme für gefälschte Rechnungen stillschweigend gestoppt. Freitags in Eile erledigt, stoppt es die Abrechnungssoftware – diese Geschichte hat eine eigene Seite in dieser Serie.
Pfad: Computerkonfiguration – Richtlinien – Windows-Einstellungen – Sicherheitseinstellungen – Erweiterte Überwachungsrichtlinienkonfiguration. Überwachen Sie mindestens den Anmeldeerfolg und -fehler auf Domänencontrollern und Mitgliedsservern.
Auditing beantwortet die Frage, die sich jedes Büro nach einem Vorfall stellt: Wessen Konto wurde verwendet, von welchem PC und wann? Aber seien Sie ehrlich zur zweiten Hälfte: Protokolle, die niemand liest, sind keine Sicherheit, sie dienen der Speicherung. Schalten Sie das Auditing zusammen mit einer kleinen wöchentlichen Gewohnheit ein, Misserfolge tatsächlich zu lesen – ein Begleitleitfaden in dieser Serie deckt diese Gewohnheit vollständig ab.
Pfad: Einstellungen – Systemsteuerungseinstellungen – Lokale Benutzer und Gruppen kann die Administratorengruppe auf jedem PC bereinigen – verirrte Benutzerkonten entfernen, die IT-Supportgruppe behalten. Das Begleitstück ist Windows LAPS, das jedem PC ein eindeutiges, automatisch rotierendes lokales Administratorkennwort gibt, das sicher im Active Directory gespeichert wird.
Für die tägliche Arbeit sind keine Administratorrechte erforderlich. Malware erbt sie. Wenn jeder Benutzer ein lokaler Administrator ist, übernimmt ein fehlerhafter Download die Maschine und beginnt, das Netzwerk von innen heraus zu durchsuchen. Entfernen Sie ständige Administratorrechte, behalten Sie LAPS für den Tag, an dem die IT das lokale Passwort benötigt, und die Hälfte aller Vorfälle in einem normalen Büro passieren nie. Behalten Sie vor der Einführung eine getestete Break-Glass-Route bei – der Warnleitfaden in dieser Serie erklärt, warum.
Alle zehn Richtlinien werden live auf einer echten Windows Server-Domäne erstellt und verknüpft. Sehen Sie sich das Video einmal an, und die Erstellung Ihrer eigenen Liste dauert weniger als eine Stunde.
▶️ Watch Full VideoBeginnen Sie mit der Passwortrichtlinie und der Bildschirmsperre – sie kosten Benutzer fast nichts und schließen die beiden häufigsten Lücken. Führen Sie dann die Laufwerkszuordnung und die Druckerbereitstellung durch, da die Benutzer diese eher als Hilfe denn als Einschränkung empfinden und der Goodwill die strengeren Richtlinien (USB-Kontrolle, Software-Kontrolle, Entfernung lokaler Administratoren) mit sich bringt, die später folgen.
Für Domänenkonten wird eine Kennwortrichtlinie nur von einem auf Domänenebene verknüpften Gruppenrichtlinienobjekt wirksam – die Standarddomänenrichtlinie ist die übliche Startseite. Eine mit einer Organisationseinheit verknüpfte Kennwortrichtlinie gilt nur für lokale Konten auf diesen Computern. Unterschiedliche Regeln für eine bestimmte Gruppe erfordern differenzierte Passwortrichtlinien, die separat in Active Directory konfiguriert werden.
Sie können, und Sie sollten nicht. Ein GPO pro Job – mit einem einfachen Namen wie „Block-USB-Storage“ – kann unabhängig getestet, deaktiviert, zurückgesetzt und gefiltert werden. Ein riesiges GPO versagt als Gigant: Wenn etwas kaputt geht, kann man die Hälfte davon nicht ausschalten, und niemand erinnert sich daran, was drin ist. Der Leitfaden zu einem GPO pro Job in dieser Reihe zeigt die Disziplin in der Praxis.