البرنامج التعليمي الكامل لـ Active Directory GPO ⚡ شرح سياسة المستخدم والكمبيوتر

ما هو GPO في الواقع

كائن نهج المجموعة (GPO) هو ببساطة مجموعة محددة من الإعدادات. لا يفعل شيئًا من تلقاء نفسه. يبدأ العمل فقط عندما تربطه بحاوية - موقع، أو مجال، أو وحدة تنظيمية (OU) - ثم ينطبق بعد ذلك على حسابات المستخدم أو الكمبيوتر داخل تلك الحاوية.

حقيقتان تتبعان هذا. أولاً، يعد تحرير كائن نهج المجموعة (GPO) وربط كائن نهج المجموعة (GPO) وظيفتين منفصلتين؛ كائن نهج المجموعة (GPO) الذي تم تكوينه بشكل مثالي وغير مرتبط في أي مكان لا يغير شيئًا. ثانيًا، يمكن ربط كائن نهج المجموعة (GPO) واحد بعدة وحدات تنظيمية، ويمكن لوحدة تنظيمية واحدة تلقي العديد من كائنات سياسة المجموعة (GPO).

كل شيء في هذا البرنامج التعليمي يحدث في وحدة تحكم واحدة - وحدة التحكم في إدارة سياسة المجموعة. افتحه على وحدة تحكم المجال، أو على أي جهاز كمبيوتر مثبت عليه أدوات RSAT، من مربع التشغيل:

gpmc.msc

سياسة الكمبيوتر مقابل سياسة المستخدم - النصفان

افتح أي GPO وسترى نفس القسمين: تكوين الكمبيوتر وتكوين المستخدم. إنهما ليسا طريقتي عرض لقائمة واحدة، بل هما صندوقي أدوات مختلفين بإعدادات مختلفة، ويتم تطبيقهما في أوقات مختلفة على حسابات مختلفة.

ينطبق تكوين الكمبيوتر على حساب الكمبيوتر. تتم معالجته عند بدء تشغيل جهاز الكمبيوتر، قبل أن يقوم أي شخص بتسجيل الدخول. يتم هنا تثبيت البرامج للأجهزة والبرامج النصية لبدء التشغيل وحظر USB وسلوك Windows Update وإعدادات الأمان.

ينطبق تكوين المستخدم على حساب المستخدم. تتم معالجتها عندما يقوم المستخدم بتسجيل الدخول على أي جهاز كمبيوتر. توجد هنا الخلفيات وتعيينات محركات الأقراص وإعادة توجيه المجلدات والبرامج النصية لتسجيل الدخول وقيود لوحة التحكم.

المكان الذي تقوم فيه بالارتباط هو الذي يقرر من يحصل عليه

ترتبط كائنات نهج المجموعة (GPOs) على ثلاثة مستويات: الموقع (موقع مكتب فعلي)، والمجال (الجميع)، وOU (قسم أو مجموعة واحدة). في المكاتب الصغيرة والمتوسطة، تتم جميع عمليات الربط تقريبًا على مستوى الوحدة التنظيمية، لأنك تقوم أولاً بتنظيم الحسابات في وحدات تنظيمية - واحدة لأجهزة الكمبيوتر المكتبية، وواحدة لمستخدمي الموظفين، وواحدة لأجهزة الكمبيوتر المحمولة، وما إلى ذلك.

كائنا سياسة المجموعة (GPO) الموجودان افتراضيًا — سياسة المجال الافتراضية (قواعد كلمة المرور والحساب) وسياسة وحدات تحكم المجال الافتراضية — من الأفضل تركهما بمفردهما في الغالب. قم بإنشاء كائنات نهج المجموعة الخاصة بك لإعداداتك الخاصة، بحيث يمكنك إيقاف تشغيلها دون لمس الإعدادات الافتراضية.

إنشاء وتكوين وربط GPO الأول الخاص بك

في gpmc.msc، انقر بزر الماوس الأيمن على Group Policy Objects → جديد → أعطه اسمًا يوضح وظيفته، مثل Block-USB-Drives. التسمية مهمة بصراحة: بعد ستة أشهر، يصبح لدى المكتب أربعون كائن نهج مجموعة (GPO)، ولا تخبرك أسماء مثل "New GPO" أو "test2" بأي شيء - الاسم حسب الوظيفة، وليس حسب التاريخ.

انقر بزر الماوس الأيمن على كائن نهج المجموعة (GPO) الجديد → تحرير. يبدأ المحرر بالنصفين. قم بتكوين إعداداتك في النصف الصحيح وأغلق المحرر.

بالعودة إلى GPMC، انقر بزر الماوس الأيمن على الوحدة التنظيمية المستهدفة → ربط كائن نهج المجموعة (GPO) الموجود → حدد كائن نهج المجموعة (GPO) الخاص بك. على جهاز الكمبيوتر العميل، أعد تشغيله (لإعدادات الكمبيوتر) أو قم بتسجيل الخروج ثم أعد الدخول (لإعدادات المستخدم) - أو فرض التحديث باستخدام الأوامر في الخطوة التالية.

فرضها وإثباتها — gpupdate وgpresult

يتم تحديث السياسات من تلقاء نفسها تقريبًا كل 90 دقيقة (مع إزاحة عشوائية)، لكن لا أحد يختبر ذلك ببطء. على جهاز الكمبيوتر العميل، افتح موجه الأوامر وقم بتشغيل:

gpupdate /force
gpresult /r
gpresult /h report.html

يقوم gpupdate /force بإعادة تطبيق جميع السياسات الآن. لا تزال بعض الإعدادات بحاجة إلى إعادة التشغيل (إعدادات الكمبيوتر، تثبيتات البرامج) أو تسجيل دخول جديد (إعدادات المستخدم) - لا يمكن /force تخطي الفيزياء.

gpresult /r هو الإيصال: فهو يسرد بالضبط كائنات نهج المجموعة (GPO) المطبقة على الكمبيوتر وعلى المستخدم، وتلك التي تم تصفيتها ولماذا. للحصول على تقرير قابل للقراءة، يقوم gpresult /h report.html بإنشاء صفحة HTML توضح كل إعداد فائز وكائن نهج المجموعة (GPO) الذي جاء منه. لا تحكم أبدًا على كائن نهج المجموعة (GPO) بالأمل - يجب أن يكون gpresult /r هو الأمر الأول الذي تقوم بتشغيله عندما "لا تعمل" السياسة.