Úplný výukový program Active Directory GPO ⚡ Vysvětlení zásad pro uživatele a počítače

Co vlastně GPO je

GPO je jednoduše pojmenovaný balíček nastavení. To samo o sobě nic nedělá. Začne fungovat pouze tehdy, když jej propojíte s kontejnerem – webem, doménou nebo organizační jednotkou (OU) – a poté se použije na účty uživatelů nebo počítačů v tomto kontejneru.

Z toho plynou dvě skutečnosti. Za prvé, úprava objektu GPO a propojení objektu GPO jsou dvě samostatné úlohy; perfektně nakonfigurovaný GPO, který není nikde propojený, nic nemění. Za druhé, jeden GPO může být propojen s několika organizačními jednotkami a jeden OU může přijímat mnoho GPO.

Vše v tomto kurzu se děje v jedné konzole — Konzole pro správu zásad skupiny. Otevřete jej na řadiči domény nebo na libovolném počítači s nainstalovanými nástroji RSAT z pole Spustit:

gpmc.msc

Zásady počítače vs zásady uživatelů — dvě poloviny

Otevřete libovolný objekt GPO a uvidíte dvě stejné části: Konfigurace počítače a Konfigurace uživatele. Nejsou to dva pohledy na jeden seznam – jsou to dvě různé sady nástrojů s různým nastavením, které se používají v různých časech na různé účty.

Konfigurace počítače se vztahuje na účet počítače. Zpracovává se při spuštění počítače, než se kdokoli přihlásí. Instalace softwaru pro stroje, spouštěcí skripty, blokování USB, chování Windows Update a nastavení zabezpečení jsou k dispozici zde.

Konfigurace uživatele platí pro uživatelský účet. Zpracovává se, když se uživatel přihlásí na libovolném počítači. Zde najdete tapety, mapování jednotek, přesměrování složek, přihlašovací skripty a omezení ovládacího panelu.

O tom, kdo jej získá, rozhoduje to, kde odkaz

GPO se propojují na třech úrovních: místo (fyzické umístění kanceláře), doména (všichni) a OU (jedno oddělení nebo skupina). V malých a středních kancelářích se téměř všechna propojení odehrávají na úrovni organizační jednotky, protože nejprve uspořádáte účty do organizačních jednotek – jednu pro kancelářské počítače, jednu pro uživatele zaměstnanců, jednu pro notebooky a tak dále.

Dva GPO, které existují ve výchozím nastavení – Výchozí zásady domény (pravidla pro hesla a účty) a Výchozí zásady řadičů domény – je nejlepší nechat většinou samotné. Vytvořte si vlastní GPO pro svá vlastní nastavení, takže je můžete vypnout, aniž byste se dotkli výchozích hodnot.

Vytvořte, nakonfigurujte a propojte svůj první GPO

V gpmc.msc klikněte pravým tlačítkem na Objekty zásad skupiny → Nové → zadejte název, který říká, co dělá, například Blokovat-USB-jednotky. Na pojmenování upřímně záleží: po šesti měsících má kancelář čtyřicet GPO a názvy jako „New GPO“ nebo „test2“ vám nic neřeknou – jméno podle práce, ne podle data.

Klikněte pravým tlačítkem na nový objekt GPO → Upravit. Editor se otevře se dvěma polovinami. Nakonfigurujte svá nastavení ve správné polovině a zavřete editor.

Zpět v GPMC klikněte pravým tlačítkem na cílovou organizační jednotku → Propojit existující GPO → vyberte svůj GPO. Na klientském PC jej restartujte (pro nastavení počítače) nebo se odhlaste a znovu přihlaste (pro uživatelská nastavení) — nebo vynucte obnovení pomocí příkazů v dalším kroku.

Force It and Prove It — gpupdate a gpresult

Zásady se obnovují samy o sobě zhruba každých 90 minut (s náhodným posunem), ale nikdo to netestuje pomalu. Na klientském počítači otevřete příkazový řádek a spusťte:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force nyní znovu použije všechny zásady. Některá nastavení stále upřímně potřebují restart (nastavení počítače, instalace softwaru) nebo nové přihlášení (uživatelské nastavení) — /force nemůže přeskočit fyziku.

gpresult /r je účtenka: přesně uvádí, které GPO byly použity na počítač a na uživatele a které byly odfiltrovány a proč. Aby byl přehled čitelný, gpresult /h report.html vytvoří stránku HTML, která zobrazuje každé vítězné nastavení a ze kterého GPO pochází. Nikdy neposuzujte GPO podle naděje — gpresult /r by měl být prvním příkazem, který spustíte, kdykoli nějaká politika "nefunguje".