Active Directory GPO Fuld vejledning ⚡ Bruger- og computerpolitik forklaret

Hvad en GPO faktisk er

En GPO er simpelthen en navngivet bundt af indstillinger. Det gør intet af sig selv. Det begynder kun at fungere, når du linker det til en container - et websted, domænet eller en organisationsenhed (OU) - og det gælder derefter for bruger- eller computerkonti inde i denne container.

Heraf følger to fakta. For det første er redigering af en GPO og sammenkædning af en GPO to separate opgaver; en perfekt konfigureret GPO, der ikke er forbundet nogen steder, ændrer intet. For det andet kan en GPO være knyttet til flere OU'er, og en OU kan modtage mange GPO'er.

Alt i denne selvstudie sker i én konsol - Group Policy Management Console. Åbn den på domænecontrolleren eller på en hvilken som helst pc med RSAT-værktøjerne installeret fra boksen Kør:

gpmc.msc

Computerpolitik vs brugerpolitik - de to halvdele

Åbn en hvilken som helst GPO, og du vil se de samme to sektioner: Computerkonfiguration og Brugerkonfiguration. De er ikke to visninger af én liste – de er to forskellige værktøjskasser med forskellige indstillinger, der anvendes på forskellige tidspunkter på forskellige konti.

Computerkonfiguration gælder for computerkontoen. Det behandles, når pc'en starter, før nogen logger på. Softwareinstallation til maskiner, opstartsscripts, USB-blokering, Windows Update-adfærd og sikkerhedsindstillinger live her.

Brugerkonfiguration gælder for brugerkontoen. Det behandles, når en bruger logger på, på en hvilken som helst pc. Baggrunde, drevkortlægninger, mappeomdirigering, logonscripts og kontrolpanelbegrænsninger lever her.

Hvor du linker afgør, hvem der får det

GPO'er linker på tre niveauer: websted (en fysisk kontorplacering), domæne (alle) og OU (én afdeling eller gruppe). På små og mellemstore kontorer sker næsten al sammenkædning på OU-niveau, fordi du først organiserer konti i OU'er - en til kontor-pc'er, en til personalebrugere, en til bærbare computere og så videre.

De to GPO'er, der eksisterer som standard - Standarddomænepolitik (adgangskode- og kontoregler) og Standarddomænecontrollerpolitik - er bedst at lade være. Opret dine egne GPO'er til dine egne indstillinger, så du kan slå dem fra uden at røre ved standardindstillingerne.

Opret, konfigurer og tilknyt din første GPO

I gpmc.msc skal du højreklikke på Gruppepolitikobjekter → Ny → giv den et navn, der siger, hvad den gør, f.eks. Bloker-USB-drev. Navngivning betyder ærligt talt: efter seks måneder har et kontor fyrre GPO'er, og navne som "Ny GPO" eller "test2" fortæller dig intet - navn efter job, ikke efter dato.

Højreklik på den nye GPO → Rediger. Editoren åbner med de to halvdele. Konfigurer dine indstillinger i den rigtige halvdel og luk editoren.

Tilbage i GPMC skal du højreklikke på mål-OU → Link en eksisterende GPO → vælg din GPO. På klient-pc'en skal du genstarte den (for computerindstillinger) eller logge af og igen (for brugerindstillinger) - eller tvinge opdateringen med kommandoerne i næste trin.

Tving det og bevis det - gpupdate og gpresult

Politikker opdateres af sig selv cirka hvert 90. minut (med en tilfældig forskydning), men ingen tester så langsomt. På klient-pc'en skal du åbne kommandoprompt og køre:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force genanvender alle politikker nu. Nogle indstillinger kræver ærligt talt stadig en genstart (computerindstillinger, softwareinstallationer) eller et nyt logon (brugerindstillinger) — /force kan ikke springe fysikken over.

gpresult /r er kvitteringen: den viser præcis, hvilke GPO'er, der blev anvendt på computeren og på brugeren, og hvilke der blev filtreret fra og hvorfor. For at få en læsbar rapport opretter gpresult /h report.html en HTML-side, der viser alle vindende indstillinger, og hvilken GPO den kom fra. Døm aldrig en GPO efter håb – gpresult /r bør være den første kommando, du kører, når en politik "ikke virker".