شرح استرجاع GPO وتصفية الأمان

ابدأ من الافتراضي - المستخدمون المصادق عليهم

بشكل خارج الصندوق، يحمل كل كائن نهج مجموعة (GPO) جديد عامل تصفية أمان واحد: المستخدمون المعتمدون، الذين يحملون أذونات القراءة وتطبيق سياسة المجموعة. هذه المجموعة أوسع مما تبدو - فهي تشمل كل مستخدم مسجل الدخول وكل حساب كمبيوتر في المجال - ولهذا السبب "يعمل كائن سياسة المجموعة" الجديد لكل شخص في الوحدة التنظيمية المرتبطة به. يمكنك رؤية عامل التصفية في وحدة التحكم في إدارة نهج المجموعة: حدد كائن نهج المجموعة (GPO) وانظر إلى مربع تصفية الأمان في علامة التبويب "النطاق". كل شيء في هذا الفيديو هو تغيير متعمد لهذا الوضع الافتراضي، وكل مفاجأة تبدأ من هناك.

قم بتشغيل معالجة الاسترجاع

معالجة الاسترجاع هي إعداد كمبيوتر. قم بتحرير كائن نهج المجموعة (GPO) المرتبط بالوحدة التنظيمية التي تحتوي على أجهزة الكمبيوتر، وانتقل إلى تكوين الكمبيوتر ← السياسات ← القوالب الإدارية ← النظام ← سياسة المجموعة . افتح تكوين وضع معالجة الاسترجاع لنهج المجموعة للمستخدم واضبطه على ممكّن. منذ تلك اللحظة، يتم أخذ إعدادات المستخدم لأي شخص يقوم بتسجيل الدخول إلى أجهزة الكمبيوتر هذه من كائنات نهج المجموعة (GPO) المرتبطة بالوحدة التنظيمية للكمبيوتر بدلاً من الوحدة التنظيمية الخاصة بالمستخدم فقط. لا يغير الاسترجاع أبدًا نصف سياسة الكمبيوتر — تتم معالجة إعدادات الكمبيوتر دائمًا بشكل طبيعي.

اختر وضع الدمج أو الاستبدال

يطلب نفس الإعداد وضعًا ما، ويغير الاختيار كل شيء. يقوم Replace بتخطي كائنات سياسة المجموعة (GPO) من جانب المستخدم بالكامل - ويتم تطبيق إعدادات المستخدم فقط من كائنات سياسة المجموعة (GPO) للكمبيوتر. هذا هو الوضع بالنسبة للأكشاك والفصول الدراسية وخوادم RDS، حيث يجب أن يقدم الجهاز بيئة واحدة متطابقة وخاضعة للتحكم للجميع. يقوم الدمج بتطبيق كائنات نهج المجموعة (GPO) الخاصة بالمستخدم أولاً، ثم يطبق إعدادات مستخدم الكمبيوتر في الأعلى - وتتغلب إعدادات الكمبيوتر على أي تعارض. يناسب الدمج أجهزة الكمبيوتر العادية حيث يحتفظ الشخص بمعظم سياسته المعتادة ولكن يجب أن تكون لقواعد الجهاز الكلمة الأخيرة.

قم بتوجيه GPO باستخدام تصفية الأمان

تصفية الأمان هي الطريقة التي تمنع كائن نهج المجموعة (GPO) من الانتقال إلى الجميع في الوحدة التنظيمية. حدد كائن نهج المجموعة (GPO) في وحدة التحكم، وافتح علامة التبويب النطاق، وفي قسم تصفية الأمان، قم بإزالة المستخدمين المعتمدين وأضف المجموعة التي يجب أن تتلقى السياسة فقط. لتلقي كائن نهج المجموعة (GPO)، يحتاج الحساب إلى كلاهما قراءة سياسة المجموعة وتطبيقها - مع واحد فقط من الاثنين، إما ألا يتم تنزيل كائن نهج المجموعة (GPO) مطلقًا أو إدراجه ولكن يتم تخطيه. تعتبر التصفية هي الطريقة القياسية لتجربة سياسة جديدة على مجموعة صغيرة واحدة أولاً، أو لاستهداف قسم واحد، دون نقل حساب واحد بين الوحدات التنظيمية.

الاحتفاظ بإذن القراءة لأجهزة الكمبيوتر (MS16-072)

هذا هو الفخ الذي وقع فيه المسؤولون منذ يونيو 2016. غيّر التحديث الأمني MS16-072 كيفية استرداد "نهج المجموعة": يقوم حساب الكمبيوتر الآن بجلب كائنات نهج المجموعة (GPO) للمستخدم من وحدة تحكم المجال في سياق الأمان الخاص بالكمبيوتر. لذا، يجب أن يحمل الكمبيوتر إذن القراءة في كل كائن نهج مجموعة (GPO) يجلبه - بما في ذلك كائنات نهج المجموعة (GPO) للمستخدم التي تمت تصفيتها إلى مجموعة ليس الكمبيوتر عضوًا فيها. إذا قمت بإزالة المستخدمين المصادقين في الخطوة السابقة، فافتح علامة التبويب التفويض الخاصة بـ GPO، وانقر فوق إضافة، وامنح المستخدمين المصادقين (أو أجهزة كمبيوتر المجال) إذن القراءة فقط - القراءة هي كل ما يحتاجه الجهاز؛ قم بتطبيق الإقامات مع مجموعتك المستهدفة.

عندما يجتمع الاسترجاع والتصفية

يتفاعل عنصرا التحكم، ويجذب التفاعل حتى المسؤولين ذوي الخبرة. لا تزال إعدادات المستخدم التي يقدمها الاسترجاع موجودة في كائنات نهج المجموعة (GPO) المرتبطة بالوحدة التنظيمية للكمبيوتر - ولكنها لا تزال إعدادات مستخدم، لذلك لا يزال الشخص الموجود على لوحة المفاتيح بحاجة إلى تطبيق سياسة المجموعة على كائن نهج المجموعة (GPO) هذا، ولا يزال الكمبيوتر بحاجة إلى قراءته. قم بتشديد عامل التصفية على استرجاع GPO لمجموعة كمبيوتر فقط، وسيقوم الجهاز بإحضار كائن نهج المجموعة (GPO) الذي لا يُسمح لأي شخص يجلس عليه بتطبيق إعدادات المستخدم الخاصة به: كشك GPO تم تكوينه بشكل مثالي ولا يقدم أي شيء بصمت. قبل إلقاء اللوم على السياسة نفسها، تحقق من نصفي زوج الأذونات.

اثبات ذلك مع gpresult

لا تخمن – تحقق. على جهاز الكمبيوتر المتأثر، في جلسة المستخدم المتأثر، افتح موجه الأوامر وقم بتشغيل أمر إثبات الفيديو:

gpresult /h report.html

افتح الملف report.html الذي تم إنشاؤه واقرأ الأحكام. يتم إدراج كائنات نهج المجموعة (GPO) المطبقة في الأعلى، وكل كائن نهج مجموعة مرفوض يحمل سببه: مرفوض (الأمان) يعني قرار تصفية، ومرفوض (غير قابل للوصول) يعني فشل في الجلب أو الأذونات، ومرفوض (فارغ) يعني أن نصف كائن نهج المجموعة (GPO) ببساطة لا يحتوي على أي إعدادات. مع عمل الاسترجاع، تكون بصمة الإصبع واضحة - فكائنات نهج المجموعة (GPO) التي توفر إعدادات المستخدم هي تلك الموجودة في الوحدة التنظيمية للكمبيوتر. استخدم الأدلة بهذا الترتيب - النطاق، والتصفية، والاسترجاع - ومعظم حالات "عدم تطبيق كائن نهج المجموعة" تشرح نفسها.