Technical Anshu الصفحة الرئيسية › البرامج التعليمية › أفضل 10 كائنات نهج المجموعة (GPO).
🖥️ سياسة المجموعة / الدليل النشط

أفضل 10 GPO في Windows Server

أهم 10 سياسات جماعية لمكتب Windows Server - سياسة كلمة المرور، وقفل الشاشة، وحظر USB، وتعيين محرك الأقراص، والطابعات، والتحديثات، وإعادة توجيه المجلدات، وAppLocker، والتدقيق، والتحكم في المسؤول المحلي - تم شرح كل منها بكلمات بسيطة.

✍️ Technical Anshu🖥️ Windows Server / Active Directory🎧 Multi-Language Audio
أفضل 10 GPO في Windows Server
🎧 صوت متعدد اللغات: في مشغل الفيديو، انقر فوق [الإعدادات] (⚙️) ➔ [المسار الصوتي] لاختيار لغتك.

📑الفصول

  1. لماذا يحتاج النطاق الجديد إلى هذه السياسات العشر أولاً
  2. سياسة كلمة المرور — قاعدة واحدة للنطاق بأكمله
  3. قفل الشاشة - يقوم جهاز الكمبيوتر غير المراقب بقفل نفسه
  4. وحدة USB - تتوقف محركات القلم عن كونها بابًا
  5. تعيين محرك الأقراص - تظهر مشاركات الخادم بنفسها
  6. الطابعات — الطابعة المكتبية دون لمس جهاز الكمبيوتر
  7. التحديثات — يتم إجراء تحديثات Windows وفقًا لجدولك الزمني
  8. إعادة توجيه المجلد — يتم حفظ المستندات على الخادم، وليس على جهاز الكمبيوتر
  9. AppLocker — يتم تشغيل البرامج المعتمدة فقط
  10. التدقيق — سجل من قام بتسجيل الدخول ومن فشل
  11. تحكم المسؤول المحلي — لا يوجد تقريبًا أحد مسؤول على أجهزة الكمبيوتر الخاصة به
  12. اختبر الوحدة التنظيمية التجريبية قبل طرحها للجميع

📋 نظرة عامة ودليل خطوة بخطوة

1

افتح إدارة نهج المجموعة أولاً

تم إنشاء جميع السياسات العشر في وحدة تحكم واحدة: وحدة التحكم في إدارة نهج المجموعة. افتح مربع التشغيل، واكتب الأمر أدناه، ثم اضغط على Enter. قاعدة العمل للقائمة بأكملها هي GPO واحد لكل مهمة، كل منها باسم عادي مثل Block-USB-Storage أو Screen-Lock-10-Min — يمكن اختبار سياسة منفصلة وتعطيلها وإعادتها وتصفيتها من تلقاء نفسها، بينما يفشل أحد GPO العملاق باعتباره عملاقًا.

Run
gpmc.msc
⚠️ قم ببناء كل سياسة جديدة وربطها في وحدة تنظيمية اختبارية أولاً. لقد التقت كل سياسة في هذه القائمة بمكتب تسبب فيه الطرح غير المختبر في انقطاع الخدمة. قم بإثباته على عدد قليل من الأجهزة، ثم قم بربطه على نطاق أوسع.
2

سياسة كلمة المرور - قاعدة واحدة للمجال بأكمله

المسار: تكوين الكمبيوتر ← السياسات ← إعدادات Windows ← إعدادات الأمان ← سياسات الحساب ← سياسة كلمة المرور ، ويتم تحريرها عادةً في سياسة المجال الافتراضية. قم بتعيين الحد الأدنى للطول الذي يمكن للأشخاص تذكره فعليًا - 12 حرفًا مع التعقيد على 8 أحرف يتم تغييرها كل شهر. لقد أسقطت التوجيهات الحديثة الخاصة بشركة Microsoft انتهاء الصلاحية المتكرر القسري، لأن المستخدمين يجيبون عليها بأنماط يمكن التنبؤ بها. الطول بالإضافة إلى سياسة تأمين الحساب المعقولة هي التركيبة الصادقة.

📌 هذه هي السياسة الوحيدة التي يحصل فيها النطاق على إصدار واحد بالضبط لجميع حسابات النطاق. سياسة كلمة المرور المرتبطة بوحدة تنظيمية واحدة لا تفعل شيئًا لمستخدمي المجال — تحتاج القواعد المختلفة لمجموعة واحدة إلى سياسات كلمة مرور دقيقة، وهي ميزة منفصلة تم تكوينها في Active Directory.
3

قفل الشاشة - يقوم جهاز الكمبيوتر غير المراقب بقفل نفسه

المسار: تكوين المستخدم ← السياسات ← قوالب الإدارة ← لوحة التحكم ← التخصيص — تمكين شاشة التوقف، وتعيين المهلة، وتشغيل حماية شاشة التوقف بكلمة مرور. يقوم التوأم من جانب الكمبيوتر، تسجيل الدخول التفاعلي: حد عدم نشاط الجهاز ضمن خيارات الأمان، بنفس المهمة لكل جهاز. عشر دقائق هي النقطة المثالية في المكتب: يبتعد شخص ما عن جهاز كمبيوتر غير مقفل تم تسجيل الدخول إليه كحسابات أو قسم موارد بشرية، ويصبح أي شخص يمر بجواره فجأة هو ذلك الشخص. تعمل هذه السياسة على إغلاق أرخص ثغرة أمنية في المبنى.

4

التحكم في تخزين USB - لم تعد محركات القلم بمثابة باب

المسار: تكوين الكمبيوتر ← السياسات ← قوالب الإدارة ← النظام ← الوصول إلى التخزين القابل للإزالة. يمكنك رفض القراءة أو الكتابة أو التنفيذ لكل فئة جهاز، أو رفض كافة وحدات التخزين القابلة للإزالة في إعداد واحد. السبب المكتبي هو البيانات: يمكن لمحرك أقراص واحد أن يحمل قاعدة بيانات العملاء بأكملها خارج المبنى، أو يحمل فيروسًا بداخله.

⚠️ قم بإعداد هذا باستخدام مسار استثناء من اليوم الأول — مجموعة تمت تصفيتها أمنيًا لشخصين أو ثلاثة أشخاص لديهم حاجة حقيقية لوظيفة — وإلا سيتم إيقاف تشغيل السياسة بهدوء في المرة الأولى التي تمنع فيها الرئيس قبل العرض التقديمي. تنتمي لوحات المفاتيح وأجهزة الماوس إلى عائلة إعدادات مختلفة (قيود تثبيت الجهاز)؛ هذه السياسة تتعلق بالتخزين.
5

تعيين محرك الأقراص - تظهر مشاركات الخادم بنفسها

المسار: تكوين المستخدم ← التفضيلات ← إعدادات Windows ← خرائط Drive. هذه تفضيلات سياسة المجموعة، وليست سياسة كلاسيكية: حيث تقوم بتوجيه حرف محرك أقراص إلى المشاركة، واختيار الإجراء (إنشاء أو تحديث)، واستخدام الاستهداف على مستوى العنصر إذا كان من المفترض أن تحصل الحسابات على محرك أقراص لا ينبغي للمبيعات أن تحصل عليه. تعمل هذه السياسة على إيقاف أقدم برنامج نصي في مجال تكنولوجيا المعلومات - الملف الدفعي لتسجيل الدخول - والمكالمة اليومية "اختفى محرك أقراص الخادم". يصبح محرك الأقراص المعين الذي يُظهر صليبًا أحمر قابلاً للقراءة على الفور: مشكلة في الشبكة أو الأذونات، وليس لغزًا في رسم الخرائط.

6

نشر الطابعة - طابعة المكتب دون لمس جهاز الكمبيوتر

المسار: التفضيلات → إعدادات لوحة التحكم → الطابعات (أو النشر من إدارة الطباعة). يقوم المستخدم بتسجيل الدخول وتكون الطابعة المكتبية هناك ببساطة، مع برنامج التشغيل الصحيح من خادم الطباعة. استهدف الطابعات بواسطة الوحدة التنظيمية أو المجموعة حتى يتوقف الطابق الثالث عن الطباعة إلى الطابق الأرضي.

📌 التحذير الحديث الصادق: منذ إصلاح PrintNightmare، أصبح Windows صارمًا بشأن برامج تشغيل الطابعة - لا يستطيع المستخدمون القياسيون عمومًا تثبيت برنامج تشغيل جديد تمامًا، لذلك يجب أن يكون برنامج التشغيل موجودًا بالفعل على خادم الطباعة ويتم تنظيمه مسبقًا بواسطة المسؤول. لا يزال النشر بواسطة GPO يؤدي إلى إزالة الزيارة لكل جهاز كمبيوتر؛ لم يعد يزيل تخطيط السائق لمرة واحدة.
7

التحكم في Windows Update - تحدث التحديثات وفقًا لجدولك الزمني

المسار: تكوين الكمبيوتر ← السياسات ← قوالب الإدارة ← مكونات Windows ← Windows Update. الإعدادات الرئيسية: تكوين التحديثات التلقائية، عدم إعادة التشغيل التلقائي مع المستخدمين الذين قاموا بتسجيل الدخول، وتثبيت المواعيد النهائية، و- إذا كان المكتب يستخدم WSUS - موقع خادم تحديث الإنترانت. تسمح إعدادات التأجيل للمجموعة التجريبية بالحصول على التحديثات أولاً ولبقية المكتب بعد بضعة أيام. كن واضحًا بشأن الوظيفة: تتحكم هذه السياسة في التوقيت، وليس في إمكانية حدوث التحديثات. قم بتعيين نافذة تثبيت بعد ساعات العمل وموعد نهائي لإعادة التشغيل يمكن للمستخدمين رؤيته، وتصبح التحديثات مملة - وهذا بالضبط ما تريده.

8

إعادة توجيه المجلد — المستندات موجودة على الخادم، وليس الكمبيوتر

المسار: تكوين المستخدم ← السياسات ← إعدادات Windows ← إعادة توجيه المجلد . تشير المستندات وسطح المكتب والصور بهدوء إلى مجلد موجود على خادم الملفات بدلاً من القرص المحلي. تظهر المكافأة في أسوأ يوم: يموت جهاز الكمبيوتر، ويقوم المستخدم بتسجيل الدخول على أي جهاز كمبيوتر آخر، وتكون ملفاته موجودة بالفعل - وتوجد نسخة الخادم داخل النسخة الاحتياطية العادية.

⚠️ تحذيران صريحان. تقوم عملية تسجيل الدخول الأولى بنسخ الملفات الموجودة إلى الخادم، لذا يتم نشرها على دفعات صغيرة. ولا تقم أبدًا بإعادة التوجيه إلى خادم بطيء أو ميت: فكل عملية حفظ تبدو معطلة، ويبدأ المستخدمون في الحفظ على محرك أقراص بدلاً من ذلك - وهو ما يخالف سياسة USB المذكورة أعلاه.
9

AppLocker - يتم تشغيل البرامج المعتمدة فقط

المسارات: تكوين الكمبيوتر → إعدادات Windows → إعدادات الأمان → سياسات التحكم في التطبيق → AppLocker، أو سياسات تقييد البرامج الأقدم في نفس المنطقة. الفكرة هي القائمة البيضاء: قد يتم تشغيل Windows وملفات البرامج والتطبيقات المعتمدة من قبل المسؤول؛ مهما كان ما يقوم المستخدم بتنزيله في ملفه الشخصي، فلا يجوز ذلك. هذا هو العنصر الأقوى في القائمة والذي يتطلب أكبر قدر من الاحترام.

⚠️ يعد تطبيق AppLocker من خلال GPO إحدى ميزات إصدار Enterprise وEducation، ويجب أن يبدأ كل مسؤول في وضع التدقيق فقط، ويصلح ما يكشفه السجل، وبعد ذلك فقط يتم فرضه. إذا تم تنفيذه بصبر، فإنه يوقف بهدوء معظم البرامج الضارة الخاصة بالفواتير المزيفة. إذا تم ذلك على عجل يوم الجمعة، فإنه يوقف برنامج الفوترة.
10

تسجيل التدقيق - سجل من قام بتسجيل الدخول ومن فشل

المسار: تكوين الكمبيوتر ← السياسات ← إعدادات Windows ← إعدادات الأمان ← تكوين سياسة التدقيق المتقدم . على الأقل، تدقيق نجاح تسجيل الدخول والفشل على وحدات تحكم المجال والخوادم الأعضاء. التدقيق يجيب على السؤال الذي يطرحه كل مكتب بعد وقوع حادث: حساب من تم استخدامه، ومن أي جهاز كمبيوتر، ومتى؟

📌 كن صادقًا بشأن النصف الثاني: السجلات التي لا يقرأها أحد ليست أمانًا، بل هي مخزن. قم بتشغيل التدقيق مع عادة أسبوعية صغيرة تتمثل في قراءة الإخفاقات فعليًا.
11

تحكم المسؤول المحلي - لا أحد تقريبًا هو المسؤول عن أجهزة الكمبيوتر الخاصة به

المسار: التفضيلات → إعدادات لوحة التحكم → المستخدمون والمجموعات المحلية يمكنهم تنظيف مجموعة المسؤولين على كل جهاز كمبيوتر - إزالة حسابات المستخدمين الضالة، والحفاظ على مجموعة دعم تكنولوجيا المعلومات. القطعة المصاحبة هي Windows LAPS، والتي تمنح كل جهاز كمبيوتر كلمة مرور مسؤول محلي فريدة يتم تدويرها تلقائيًا ويتم تخزينها بأمان في Active Directory. العمل اليومي لا يحتاج إلى حقوق المسؤول؛ ترثها البرامج الضارة. قم بإزالة حقوق المسؤول الدائمة، واحتفظ بـ LAPS لليوم الذي يحتاج فيه قسم تكنولوجيا المعلومات إلى كلمة المرور المحلية، ولن تحدث نصف الحوادث في المكتب العادي أبدًا - ولكن احتفظ بمسار زجاجي تم اختباره قبل بدء التشغيل.

12

قم بالتطبيق والتحديث والتحقق على جهاز كمبيوتر اختباري

قم بربط كائن نهج المجموعة (GPO) الجديد بالوحدة التنظيمية للاختبار، ثم على عميل اختبار فرض تحديث السياسة وإثبات النتيجة قبل أن يحصل عليها أي شخص آخر. يطبق الأمر الأول السياسات الآن بدلاً من انتظار دورة التحديث التالية؛ أما الثاني فيكتب تقريرًا يسرد بالضبط كائنات نهج المجموعة (GPO) التي تم تطبيقها، وتلك التي تم رفضها، ولماذا.

Command Prompt
gpupdate /force
Command Prompt
gpresult /h report.html
✅ قم بتعيين هذه العشرة في اختبار OU أولاً وبعد ذلك فقط قم بربطها على نطاق أوسع. تعد قائمة العشرة الأوائل نقطة انطلاق، وليست بديلاً عن التفكير - شاهد الفيديو مرة واحدة وستستغرق قائمتك الخاصة أقل من ساعة.

🏷️متغيرات البحث والكلمات الرئيسية للموضوع

🔍 Group Policy 🔍 GPO 🔍 Windows Server 🔍 Active Directory 🔍 Password Policy 🔍 Screen Lock 🔍 USB Block 🔍 Drive Mapping 🔍 Printer Deployment 🔍 Folder Redirection 🔍 AppLocker 🔍 Audit Policy 🔍 Local Admin 🔍 TechnicalAnshu
🎙️ نص كامل - انقر للتوسيع

__TOK_35__

__TOK_36__

__TOK_37__

❓ الأسئلة المتداولة

هل هذا البرنامج التعليمي مجاني للمتابعة بنسبة 100%؟

__TOK_38__

هل يمكن للمبتدئين اتباع هذا الدليل؟

__TOK_39__

أين يمكنني طرح الأسئلة إذا واجهت مشكلة؟

__TOK_40__

🚀 شاهد البرنامج التعليمي الكامل على اليوتيوب

__TOK_41__

__TOK_42__

▶️ شاهد الفيديو كاملاً
يعتمد هذا البرنامج التعليمي على فيديو GPO الخاص بـ Technical Anshu في Windows Server • هل أنت عالق في أي خطوة؟ اسأل في تعليقات الفيديو – سوف تحصل على المساعدة هناك 🙏