Top 10 GPO ve Windows Server
10 hlavních zásad skupiny pro kancelář se systémem Windows Server – zásady hesel, zámek obrazovky, blokování USB, mapování jednotek, tiskárny, aktualizace, přesměrování složek, AppLocker, auditování a ovládání místního správce – vše vysvětleno jednoduchými slovy.
📑Kapitoly
- Proč nová doména potřebuje nejprve těchto deset zásad
- Zásady hesel – jedno pravidlo pro celou doménu
- Zámek obrazovky – bezobslužný počítač se sám uzamkne
- Blok USB – jednotky pera přestávají být dveřmi
- Mapování disku – sdílené položky serveru se zobrazují samy o sobě
- Tiskárny – kancelářská tiskárna bez dotyku počítače
- Aktualizace – aktualizace systému Windows probíhají podle vašeho plánu
- Přesměrování složky – dokumenty jsou uloženy na serveru, nikoli v počítači
- AppLocker – spouštějí se pouze schválené programy
- Audit – zaznamenejte, kdo se přihlásil a kdo selhal
- Ovládání místním správcem – téměř nikdo není správcem na svém vlastním počítači
- Před zavedením pro všechny otestujte na pilotní organizační jednotce
📋 Přehled a průvodce krok za krokem
Nejprve otevřete Správa zásad skupiny
Všech deset zásad je zabudováno v jedné konzole: Konzole pro správu zásad skupiny. Otevřete pole Spustit, zadejte příkaz níže a stiskněte klávesu Enter. Pracovním pravidlem pro celý seznam je jeden GPO na úlohu, každý s prostým názvem jako Block-USB-Storage nebo Screen-Lock-10-Min – samostatnou zásadu lze testovat, deaktivovat, vrátit zpět a filtrovat sama o sobě, zatímco jeden obří GPO selže jako gigant.
gpmc.mscZásady hesel — Jedno pravidlo pro celou doménu
Cesta: Konfigurace počítače → Zásady → Nastavení systému Windows → Nastavení zabezpečení → Zásady účtu → Zásady hesel, normálně upravená ve výchozích zásadách domény. Nastavte minimální délku, kterou si lidé skutečně zapamatují – 12 znaků se složitostí v rytmech 8 znaků se mění každý měsíc. Vlastní moderní pokyny společnosti Microsoft upustily od nuceného častého vypršení platnosti, protože uživatelé na ně odpovídají předvídatelnými vzory. Délka plus rozumné zásady uzamčení účtu je čestná kombinace.
Zámek obrazovky — Bezobslužný počítač se uzamkne sám
Cesta: Konfigurace uživatele → Zásady → Šablony pro správu → Ovládací panely → Přizpůsobení – povolte spořič obrazovky, nastavte časový limit a zapněte chránění spořiče heslem. Dvojče na straně počítače, Interaktivní přihlášení: Limit nečinnosti počítače v části Možnosti zabezpečení, provádí stejnou práci pro každý počítač. Deset minut je příjemné místo v kanceláři: někdo odejde od odemčeného počítače přihlášeného jako účty nebo HR a každý, kdo projde kolem, je najednou tou osobou. Tato politika uzavírá nejlevnější bezpečnostní díru v budově.
Ovládání USB úložiště — Pen Drives přestávají být dveřmi
Cesta: Konfigurace počítače → Zásady → Šablony pro správu → Systém → Přístup k vyměnitelnému úložišti. Můžete zakázat čtení, zápis nebo spouštění pro každou třídu zařízení nebo zakázat všechna vyměnitelná úložiště v jednom nastavení. Kancelářským důvodem jsou data: jeden pero může přenést celou zákaznickou databázi z budovy nebo přenést virus.
Mapování disku – sdílené složky serveru se zobrazují samy o sobě
Cesta: Konfigurace uživatele → Předvolby → Nastavení systému Windows → Mapy disků. Toto je Preference zásad skupiny, nikoli klasická zásada: nasměrujete písmeno jednotky na sdílenou položku, vyberete akci (Vytvořit nebo Aktualizovat) a použijete cílení na úrovni položek, pokud by účty měly získat jednotku, kterou by prodej neměl. Tato zásada zruší nejstarší skript v IT – přihlašovací dávkový soubor – a každodenní volání „zmizel disk serveru“. Namapovaný disk s červeným křížkem je pak okamžitě čitelný: problém se sítí nebo oprávněními, nikoli záhada mapování.
Nasazení tiskárny — kancelářská tiskárna bez dotyku počítače
Cesta: Předvolby → Nastavení ovládacího panelu → Tiskárny (nebo nasazení ze Správy tisku). Uživatel se přihlásí a kancelářská tiskárna je jednoduše tam, se správným ovladačem z tiskového serveru. Zacilte tiskárny podle organizační jednotky nebo skupiny tak, aby třetí patro přestalo tisknout do přízemí.
Windows Update Control – aktualizace probíhají podle vašeho plánu
Cesta: Konfigurace počítače → Zásady → Šablony pro správu → Součásti systému Windows → Windows Update. Klíčová nastavení: Konfigurace automatických aktualizací, Žádné automatické restartování u přihlášených uživatelů, termíny instalace a – pokud kancelář používá službu WSUS – umístění intranetového aktualizačního serveru. Nastavení odložení umožňuje nejprve provést aktualizace pilotní skupině a o několik dní později zbytek kanceláře. Ujasněte si úlohu: tato zásada řídí časování, nikoli to, zda probíhají aktualizace. Nastavte okno instalace po pracovní době a termín restartu, který uživatelé uvidí přicházející a aktualizace se stanou nudnými – což je přesně to, co chcete.
Přesměrování složky — Dokumenty žijí na serveru, nikoli v počítači
Cesta: Konfigurace uživatele → Zásady → Nastavení systému Windows → Přesměrování složky. Dokumenty, plocha a obrázky tiše ukazují na složku na souborovém serveru místo na místní disk. Výplata se objeví v nejhorší den: počítač zemře, uživatel se přihlásí na jakémkoli jiném počítači a jeho soubory už tam jsou – a kopie serveru je uložena ve vaší normální záloze.
AppLocker — Spouštějí se pouze schválené programy
Cesty: Konfigurace počítače → Nastavení systému Windows → Nastavení zabezpečení → Zásady kontroly aplikací → AppLocker nebo starší zásady omezení softwaru ve stejné oblasti. Myšlenka je whitelist: Windows, Program Files a aplikace schválené správcem mohou běžet; cokoli si uživatel stáhne do svého vlastního profilu, nesmí. Toto je nejsilnější položka na seznamu a vyžaduje největší respekt.
Protokolování auditu — Zaznamenejte, kdo se přihlásil a kdo selhal
Cesta: Konfigurace počítače → Zásady → Nastavení Windows → Nastavení zabezpečení → Rozšířená konfigurace zásad auditu. Minimálně auditujte úspěšné a neúspěšné přihlášení na řadičích domény a členských serverech. Auditování odpovídá na otázku, kterou si po incidentu klade každá kancelář: čí účet byl použit, z kterého počítače a kdy?
Řízení místního správce — Téměř nikdo není správcem na svém vlastním počítači
Cesta: Předvolby → Nastavení ovládacího panelu → Místní uživatelé a skupiny mohou vyčistit skupinu Administrators na každém počítači – odstranit ztracené uživatelské účty, ponechat skupinu podpory IT. Doplňkovým prvkem je Windows LAPS, který dává každému počítači jedinečné, automaticky rotované heslo místního správce uložené bezpečně v Active Directory. Každodenní práce nevyžaduje administrátorská práva; malware je zdědí. Odeberte práva stálého správce, ponechte LAPS na den, kdy bude IT potřebovat místní heslo, a polovina incidentů v normální kanceláři se nikdy nestane – ale před zavedením si ponechte jednu otestovanou cestu pro rozbití.
Použít, aktualizovat a ověřit na testovacím počítači
Propojte nový objekt GPO s testovací organizační jednotkou a poté na testovacím klientovi vynutte obnovení zásad a prokažte výsledek dříve, než jej obdrží kdokoli jiný. První příkaz aplikuje zásady nyní místo čekání na další obnovovací cyklus; druhý píše zprávu, která přesně uvádí, které GPO byly použity – a které byly zamítnuty a proč.
gpupdate /forcegpresult /h report.html🏷️Proměnné a klíčová slova vyhledávání tématu
🎙️ Úplný přepis – klepnutím rozbalíte
__TOK_35__
__TOK_36__
__TOK_37__
❓ Často kladené otázky
Je tento tutoriál 100% bezplatný?
__TOK_38__
Mohou začátečníci postupovat podle tohoto návodu?
__TOK_39__
Kde mohu klást otázky, když uvíznu?
__TOK_40__