Vysvětlení GPO Loopback & Security Filtering

Začněte od výchozího — Authenticated Users

Každý nový objekt GPO obsahuje jeden bezpečnostní filtr: Authenticated Users, který má oprávnění Číst a Použít zásady skupiny. Tato skupina je širší, než se zdá – zahrnuje každého přihlášeného uživatele a každý počítačový účet domény – a proto nový GPO „prostě funguje“ pro každého v organizační jednotce, se kterou je propojen. Filtr můžete vidět v Konzole pro správu zásad skupiny: vyberte GPO a podívejte se na pole Filtrování zabezpečení na kartě Rozsah. Všechno v tomto videu je záměrná změna výchozího nastavení – a každé překvapení začíná tam.

Zapněte zpracování zpětné smyčky

Zpracování zpětné smyčky je nastavení počítače. Upravte GPO, který je propojen s organizační jednotkou, která drží počítače, a přejděte na Konfigurace počítače → Zásady → Šablony pro správu → Systém → Zásady skupiny. Otevřete Konfigurovat režim zpracování zpětné smyčky zásad skupiny uživatele a nastavte jej na Povoleno. Od tohoto okamžiku jsou uživatelská nastavení pro každého, kdo se přihlásí k těmto počítačům, přebírána z GPO propojených s počítačovým OU namísto pouze z vlastní OU uživatele. Loopback nikdy nemění počítačovou polovinu zásad — nastavení počítače vždy probíhá normálně.

Vyberte režim sloučení nebo nahrazení

Stejné nastavení vyžaduje režim a volba vše změní. Nahradit zcela přeskakuje vlastní uživatelské objekty GPO – platí pouze uživatelská nastavení z objektů GPO počítače. To je režim pro kiosky, učebny a RDS servery, kde stroj musí představovat jedno identické, řízené prostředí naprosto každému. Sloučit nejprve použije vlastní GPO uživatele, poté použije uživatelská nastavení počítače nahoře – a nastavení počítače vyhraje jakýkoli konflikt. Sloučení se hodí na normální PC, kde člověk dodržuje většinu svých obvyklých zásad, ale poslední slovo musí mít pravidla stroje.

Zaměřte GPO pomocí bezpečnostního filtrování

Bezpečnostní filtrování je způsob, jak zabráníte tomu, aby GPO šel ke všem v organizační jednotce. Vyberte GPO v konzole, otevřete kartu Rozsah a v části Filtrování zabezpečení odeberte Authenticated Users a přidejte pouze skupinu, která by měla obdržet zásady. Chcete-li získat objekt GPO, účet potřebuje obě Přečíst a použít zásady skupiny – pouze s jedním z těchto dvou se objekt GPO buď nikdy nestáhne ani neuvede, ale bude přeskočen. Filtrování je standardní způsob, jak otestovat novou politiku nejprve na jedné malé skupině nebo zacílit na jedno oddělení, aniž by bylo nutné přesouvat jediný účet mezi organizačními jednotkami.

Zachovat oprávnění počítačů ke čtení (MS16-072)

Toto je past, která napadá administrátory od června 2016. Aktualizace zabezpečení MS16-072 změnila způsob načítání zásad skupiny: účet počítače nyní načítá objekty GPO uživatele z řadiče domény ve vlastním kontextu zabezpečení počítače. Počítač tedy musí mít oprávnění Číst pro každý objekt GPO, který načte – včetně uživatelských objektů GPO filtrovaných do skupiny, které počítač není členem. Pokud jste v předchozím kroku odebrali ověřené uživatele, otevřete kartu Delegování objektu GPO, klikněte na Přidat a udělte Authenticated Users (nebo Domain Computers) oprávnění pouze ke čtení – vše, co počítač potřebuje, je čtení; Aplikujte pobyty se svou cílovou skupinou.

Když se sejde zpětná smyčka a filtrování

Oba ovládací prvky se vzájemně ovlivňují a interakce chytne i zkušené administrátory. Uživatelská nastavení, která poskytuje zpětná smyčka, jsou stále aktivní v objektech GPO propojených s organizační jednotkou počítače – ale stále jde o uživatelská nastavení, takže osoba u klávesnice stále potřebuje Použít zásady skupiny na tento objekt GPO a počítač je stále musí číst. Utáhněte filtr na GPO se zpětnou vazbou pouze na počítačovou skupinu a stroj poslušně načte GPO, jehož uživatelská nastavení nikdo, kdo u něj sedí, nesmí použít: dokonale nakonfigurovaný GPO kiosku, který tiše nic neposkytuje. Před obviňováním samotné zásady zkontrolujte obě poloviny dvojice oprávnění.

Dokažte to pomocí gpresult

Nehádejte – ověřte. Na postiženém PC otevřete v relaci postiženého uživatele příkazový řádek a spusťte příkaz pro ověření videa:

gpresult /h report.html

Otevřete vygenerovaný soubor report.html a přečtěte si verdikty. Použité GPO jsou uvedeny nahoře a každý odmítnutý GPO nese svůj důvod: Odmítnuto (Zabezpečení) znamená rozhodnutí o filtrování, Odmítnuto (Nepřístupné) znamená selhání načtení nebo oprávnění a Odmítnuto (prázdné) znamená, že polovina GPO prostě nemá žádná nastavení. Při fungování zpětné smyčky je otisk prstu nezaměnitelný — GPO poskytující uživatelská nastavení jsou ty z organizační jednotky počítače. Zpracujte důkazy v tomto pořadí – rozsah, filtr, zpětná smyčka – a většina případů „nepoužití GPO“ se vysvětluje sama.