बिना नीतियों वाला एक नया डोमेन भरोसे और भाग्य पर चलने वाला कार्यालय है। ये दस समूह नीतियां हैं जिन्हें अनुभवी व्यवस्थापक पहले निर्धारित करते हैं - प्रत्येक व्यक्ति क्या करता है, वह कहां रहता है, और कार्यालय की समस्या जिसे वह हर दिन चुपचाप हल करता है।
दस अनुभवी सक्रिय निर्देशिका व्यवस्थापकों से पूछें कि वे नए विंडोज सर्वर डोमेन पर कौन सी नीतियां कॉन्फ़िगर करते हैं और आपको लगभग वही दस नाम सुनाई देंगे। वे विदेशी नहीं हैं. वे मानक कार्यालय सेट हैं: नीतियां जो पासवर्ड साझा करने से रोकती हैं, अप्राप्य स्क्रीन को लॉक करती हैं, पेन ड्राइव को बाहर रखती हैं, प्रत्येक उपयोगकर्ता को उनकी ड्राइव और प्रिंटर स्वचालित रूप से देती हैं, और विंडोज़ अपडेट को बिलिंग के बीच में अकाउंट पीसी को पुनरारंभ करने से रोकती हैं। यह पृष्ठ सभी दसों पर एक-एक करके चलता है - प्रत्येक नीति क्या काम करती है, सटीक कंसोल पथ और उसके साथ आने वाली ईमानदार चेतावनी। शून्य से GPO कैसे बनाएं, लिंक करें और परीक्षण करें, इस चैनल पर संपूर्ण GPO ट्यूटोरियल में कवर किया गया है; यह सूची इस बारे में है कि मूल बातें जानने के बाद कौन से दस बनाएं।
प्रति कार्य एक जीपीओ, प्रत्येक एक सादे नाम के साथ। दिखाए गए उदाहरण नाम - संरचना बिंदु है, लेबल नहीं।
पथ: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - विंडोज़ सेटिंग्स - सुरक्षा सेटिंग्स - खाता नीतियां - पासवर्ड नीति, सामान्यतः डिफ़ॉल्ट डोमेन नीति में संपादित किया जाता है। सूची में यह एकमात्र नीति है जहां डोमेन को सभी डोमेन खातों के लिए बिल्कुल एक संस्करण मिलता है - एकल ओयू से जुड़ी पासवर्ड नीति डोमेन उपयोगकर्ताओं के लिए कुछ नहीं करती है (प्रति-समूह अपवादों के लिए फाइन-ग्रेन्ड पासवर्ड नीतियों की आवश्यकता होती है, एक अलग सुविधा)।
एक न्यूनतम लंबाई सेट करें जिसे लोग वास्तव में याद रख सकें - बीट्स पर जटिलता के साथ 12 अक्षर और हर महीने 8 अक्षर बदले जाते हैं। माइक्रोसॉफ्ट के अपने आधुनिक मार्गदर्शन ने जबरन बार-बार समाप्ति को हटा दिया है, क्योंकि उपयोगकर्ता Office@123, फिर Office@124 के साथ प्रतिक्रिया करते हैं। लंबाई और एक समझदार तालाबंदी नीति ईमानदार संयोजन है।
पथ: उपयोगकर्ता कॉन्फ़िगरेशन - नीतियां - प्रशासनिक टेम्पलेट - नियंत्रण कक्ष - वैयक्तिकरण - स्क्रीन सेवर सक्षम करें, टाइमआउट सेट करें, और पासवर्ड प्रोटेक्ट स्क्रीन सेवर चालू करें। सुरक्षा विकल्पों के अंतर्गत एक कंप्यूटर-साइड ट्विन, इंटरैक्टिव लॉगऑन: मशीन निष्क्रियता सीमा, प्रति मशीन समान कार्य करता है।
दस मिनट कार्यालय का प्रिय स्थान है। कोई व्यक्ति अकाउंट या एचआर के रूप में साइन इन किए गए अनलॉक पीसी से चला जाता है, और पास से गुजरने वाला कोई भी व्यक्ति अचानक वही व्यक्ति बन जाता है। यह नीति इमारत में सबसे सस्ते सुरक्षा छेद को बंद कर देती है - और उपयोगकर्ता इसे एक सप्ताह के भीतर स्वीकार कर लेते हैं, क्योंकि यह वापसी पर पासवर्ड टाइप करने के अलावा कुछ नहीं मांगता है।
पथ: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - प्रशासनिक टेम्पलेट - सिस्टम - हटाने योग्य संग्रहण एक्सेस। आप प्रति डिवाइस वर्ग को पढ़ने, लिखने या निष्पादित करने से इनकार कर सकते हैं, या एक सेटिंग में सभी हटाने योग्य भंडारण से इनकार कर सकते हैं।
कार्यालय का कारण डेटा है: एक पेन ड्राइव पूरे ग्राहक डेटाबेस को इमारत से बाहर ले जा सकता है, या वायरस को अंदर ले जा सकता है। ईमानदार चेतावनी: इसे पहले दिन से एक अपवाद मार्ग के साथ सेट करें - वास्तविक नौकरी की आवश्यकता वाले दो या तीन लोगों के लिए एक सुरक्षा-फ़िल्टर समूह - या पहली बार प्रेजेंटेशन से पहले बॉस को ब्लॉक करने पर पॉलिसी चुपचाप बंद कर दी जाएगी। कीबोर्ड और चूहे एक अलग सेटिंग परिवार हैं (डिवाइस इंस्टॉलेशन प्रतिबंध); यह नीति भंडारण के बारे में है.
पथ: उपयोगकर्ता कॉन्फ़िगरेशन - प्राथमिकताएँ - विंडोज़ सेटिंग्स - ड्राइव मैप्स। यह एक समूह नीति वरीयता है, क्लासिक नीति नहीं: आप एक शेयर पर एक ड्राइव अक्षर इंगित करते हैं, कार्रवाई चुनते हैं (बनाएं या अपडेट करें), और आइटम-स्तरीय लक्ष्यीकरण का उपयोग करें यदि खातों को S: मिलना चाहिए और बिक्री नहीं होनी चाहिए।
यह नीति आईटी की सबसे पुरानी स्क्रिप्ट - लॉगऑन बैच फ़ाइल - और दैनिक सर्वर वाला ड्राइव गायब हो गया कॉल को हटा देती है। सर्वर पर एक बार मैप करें और प्रत्येक उपयोगकर्ता समान शेयरों की ओर इशारा करते हुए समान अक्षरों में साइन इन करता है। रेड क्रॉस दिखाने वाली मैप की गई ड्राइव तुरंत पढ़ने योग्य होती है: एक नेटवर्क या अनुमति समस्या, मैपिंग रहस्य नहीं।
पथ: प्राथमिकताएं - नियंत्रण कक्ष सेटिंग्स - प्रिंटर (या प्रिंट प्रबंधन से तैनात)। उपयोगकर्ता साइन इन करता है और कार्यालय प्रिंटर बस वहां होता है, प्रिंट सर्वर से सही ड्राइवर के साथ।
ईमानदार आधुनिक चेतावनी: चूंकि PrintNightmare ठीक हो गया है, Windows प्रिंटर ड्राइवरों के बारे में सख्त है - मानक उपयोगकर्ता आम तौर पर एक नया ड्राइवर स्थापित नहीं कर सकते हैं, इसलिए ड्राइवर को पहले से ही प्रिंट सर्वर पर रहना चाहिए और एक व्यवस्थापक द्वारा पूर्व-चरणबद्ध होना चाहिए। जीपीओ द्वारा परिनियोजन अभी भी प्रति-पीसी विज़िट को हटा देता है; यह अब एक बार की ड्राइवर योजना को नहीं हटाता है। प्रिंटरों को ओयू या समूह के आधार पर लक्षित करें ताकि तीसरी मंजिल भूतल पर छपाई बंद कर दे।
पथ: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - प्रशासनिक टेम्पलेट - विंडोज़ घटक - विंडोज़ अपडेट। मुख्य सेटिंग्स: स्वचालित अपडेट कॉन्फ़िगर करें, लॉग ऑन उपयोगकर्ताओं के साथ कोई ऑटो-रीस्टार्ट नहीं, समय सीमा स्थापित करें, और - यदि कार्यालय WSUS का उपयोग करता है - इंट्रानेट अपडेट सर्वर स्थान। स्थगन सेटिंग्स एक पायलट समूह को पहले अपडेट लेने देती हैं और बाकी कार्यालय को कुछ दिनों बाद।
कार्य के बारे में स्पष्ट रहें: यह नीति समय को नियंत्रित करती है, न कि अपडेट होने पर। जिन कार्यालयों को नुकसान होता है वे वे कार्यालय होते हैं जो अपडेट को पूरी तरह से अक्षम कर देते हैं और फिर दो साल पुरानी भेद्यता को पूरा करते हैं। एक घंटे के बाद इंस्टॉल विंडो और पुनः आरंभ करने की समय सीमा सेट करें जिसे उपयोगकर्ता आते हुए देख सकते हैं, और अपडेट उबाऊ हो जाते हैं - जो वास्तव में आप चाहते हैं।
पथ: उपयोगकर्ता कॉन्फ़िगरेशन - नीतियां - विंडोज़ सेटिंग्स - फ़ोल्डर पुनर्निर्देशन। दस्तावेज़, डेस्कटॉप और चित्र चुपचाप स्थानीय डिस्क के बजाय फ़ाइल सर्वर पर एक फ़ोल्डर को इंगित करते हैं।
भुगतान सबसे खराब दिन पर दिखाई देता है: एक पीसी बंद हो जाता है, उपयोगकर्ता किसी अन्य पीसी पर साइन इन करता है, और उनकी फ़ाइलें पहले से ही मौजूद हैं - और सर्वर कॉपी आपके सामान्य बैकअप के अंदर बैठती है। दो ईमानदार चेतावनियाँ. पहला साइन-इन मौजूदा फ़ाइलों की प्रतिलिपि बनाता है, इसलिए छोटे बैचों में रोल आउट करें। और कभी भी धीमे या ख़त्म हो रहे सर्वर पर रीडायरेक्ट न करें: तब प्रत्येक सेव टूटा हुआ महसूस होता है, और उपयोगकर्ता इसके बजाय एक पेन ड्राइव में सेव करना शुरू कर देते हैं - नीति संख्या 3 को पराजित करते हुए।
पथ: कंप्यूटर कॉन्फ़िगरेशन - विंडोज़ सेटिंग्स - सुरक्षा सेटिंग्स - एप्लिकेशन नियंत्रण नीतियां - ऐपलॉकर, या उसी क्षेत्र में पुरानी सॉफ़्टवेयर प्रतिबंध नीतियां। विचार एक श्वेतसूची है: विंडोज़, प्रोग्राम फ़ाइलें और व्यवस्थापक-अनुमोदित ऐप्स चल सकते हैं; उपयोगकर्ता अपनी प्रोफ़ाइल में जो कुछ भी डाउनलोड करता है वह नहीं हो सकता है।
यह सूची में सबसे मजबूत वस्तु है और सबसे अधिक सम्मान की मांग करती है। GPO के माध्यम से AppLocker प्रवर्तन एक एंटरप्राइज़ और शिक्षा संस्करण सुविधा है, और प्रत्येक व्यवस्थापक को केवल ऑडिट मोड में शुरू करना चाहिए, लॉग से जो पता चलता है उसे ठीक करना चाहिए और उसके बाद ही लागू करना चाहिए। धैर्यपूर्वक किया गया, यह अधिकांश नकली-चालान मैलवेयर को चुपचाप रोक देता है। शुक्रवार को जल्दबाजी में किया गया, यह बिलिंग सॉफ़्टवेयर को रोक देता है - इस श्रृंखला में उस कहानी का अपना पृष्ठ है।
पथ: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - विंडोज़ सेटिंग्स - सुरक्षा सेटिंग्स - उन्नत ऑडिट नीति कॉन्फ़िगरेशन। कम से कम, डोमेन नियंत्रकों और सदस्य सर्वरों पर ऑडिट लॉगऑन सफलता और विफलता।
ऑडिटिंग उस प्रश्न का उत्तर देता है जो प्रत्येक कार्यालय किसी घटना के बाद पूछता है: किसके खाते का उपयोग किया गया था, किस पीसी से, और कब? लेकिन दूसरी छमाही के बारे में ईमानदार रहें: जो लॉग कोई नहीं पढ़ता है वे सुरक्षा नहीं हैं, वे भंडारण हैं। वास्तव में विफलताओं को पढ़ने की एक छोटी साप्ताहिक आदत के साथ ऑडिटिंग चालू करें - इस श्रृंखला में एक साथी मार्गदर्शिका उस आदत को पूरी तरह से कवर करती है।
पथ: प्राथमिकताएँ - नियंत्रण कक्ष सेटिंग्स - स्थानीय उपयोगकर्ता और समूह प्रत्येक पीसी पर प्रशासक समूह को साफ़ कर सकते हैं - भटके हुए उपयोगकर्ता खातों को हटा सकते हैं, आईटी सहायता समूह को बनाए रख सकते हैं। सहयोगी टुकड़ा विंडोज एलएपीएस है, जो प्रत्येक पीसी को सक्रिय निर्देशिका में सुरक्षित रूप से संग्रहीत एक अद्वितीय, स्वचालित रूप से घूमने वाला स्थानीय व्यवस्थापक पासवर्ड देता है।
दैनिक कार्य के लिए व्यवस्थापक अधिकारों की आवश्यकता नहीं है; मैलवेयर उन्हें विरासत में मिला है. जब प्रत्येक उपयोगकर्ता स्थानीय व्यवस्थापक होता है, तो एक ख़राब डाउनलोड मशीन का स्वामी हो जाता है और अंदर से नेटवर्क का शिकार करना शुरू कर देता है। स्थायी व्यवस्थापक अधिकारों को हटा दें, एलएपीएस को उस दिन के लिए रखें जिस दिन आईटी को स्थानीय पासवर्ड की आवश्यकता होती है, और सामान्य कार्यालय में आधी घटनाएं कभी नहीं होती हैं। रोलआउट से पहले एक परीक्षण किया हुआ ब्रेक-ग्लास रूट रखें - इस श्रृंखला में सावधानी मार्गदर्शिका बताती है कि क्यों।
बनाई और लिंक की गई सभी दस नीतियां वास्तविक विंडोज सर्वर डोमेन पर लाइव हैं - एक बार वीडियो देखें और आपकी अपनी सूची में एक घंटे से भी कम समय लगेगा।
▶️ Watch Full Videoपासवर्ड नीति और स्क्रीन लॉक से शुरुआत करें - इनमें उपयोगकर्ताओं को लगभग कुछ भी खर्च नहीं करना पड़ता है और दो सबसे आम छेद बंद हो जाते हैं। फिर ड्राइव मैपिंग और प्रिंटर परिनियोजन करें, क्योंकि उपयोगकर्ता उन्हें प्रतिबंध के बजाय मदद के रूप में महसूस करते हैं, और सद्भावना बाद में आने वाली सख्त नीतियों (यूएसबी नियंत्रण, सॉफ़्टवेयर नियंत्रण, स्थानीय व्यवस्थापक निष्कासन) को लागू करती है।
डोमेन खातों के लिए, पासवर्ड नीति केवल डोमेन स्तर पर लिंक किए गए GPO से प्रभावी होती है - डिफ़ॉल्ट डोमेन नीति सामान्य घर है। ओयू से जुड़ी पासवर्ड नीति केवल उन कंप्यूटरों पर स्थानीय खातों पर लागू होती है। किसी विशिष्ट समूह के लिए अलग-अलग नियमों के लिए फ़ाइन-ग्रेन्ड पासवर्ड नीतियों की आवश्यकता होती है, जिन्हें सक्रिय निर्देशिका में अलग से कॉन्फ़िगर किया जाता है।
आप कर सकते हैं, और आपको नहीं करना चाहिए। प्रति कार्य एक जीपीओ - ब्लॉक-यूएसबी-स्टोरेज जैसे सादे नाम के साथ - परीक्षण किया जा सकता है, अक्षम किया जा सकता है, वापस लाया जा सकता है और स्वतंत्र रूप से फ़िल्टर किया जा सकता है। एक विशाल GPO एक विशाल GPO के रूप में विफल रहता है: जब कोई चीज़ टूट जाती है तो आप उसका आधा हिस्सा बंद नहीं कर सकते, और किसी को याद नहीं रहता कि अंदर क्या है। इस श्रृंखला में एक-जीपीओ-प्रति-नौकरी मार्गदर्शिका व्यवहार में अनुशासन को दर्शाती है।