GPO Loopback og sikkerhedsfiltrering forklaret

Start fra standarden — Godkendte brugere

Out of the box, every new GPO carries one security filter: Authenticated Users, holding both Read and Apply Group Policy permissions. Denne gruppe er bredere, end den lyder - den omfatter alle loggede brugere og hver domænecomputerkonto - og det er grunden til, at en ny GPO "bare virker" for alle i den OU, den er knyttet til. Du kan se filteret i Group Policy Management Console: Vælg GPO'en, og se på boksen Sikkerhedsfiltrering på fanen Omfang. Alt i denne video er en bevidst ændring af denne standard - og enhver overraskelse starter der.

Slå Loopback-behandling til

Loopback-behandling er en computer-indstilling. Rediger den GPO, der er knyttet til den enhed, der holder computerne, og gå til Computerkonfiguration → Politikker → Administrative skabeloner → System → Gruppepolitik. Åbn Konfigurer brugergruppepolitik loopback-behandlingstilstand, og indstil den til Aktiveret. Fra det øjeblik tages brugerindstillingerne for alle, der logger på disse pc'er, fra de GPO'er, der er knyttet til computerens OU i stedet for kun brugerens egen OU. Loopback ændrer aldrig computerens halvdel af politik - computerindstillinger behandles altid normalt.

Vælg Flet eller Erstat tilstand

Den samme indstilling beder om en tilstand, og valget ændrer alt. Erstat springer helt over brugerens egne GPO'er på brugersiden - kun brugerindstillingerne fra computerens GPO'er gælder. Det er tilstanden for kiosker, klasseværelser og RDS-servere, hvor maskinen skal præsentere ét identisk, kontrolleret miljø for absolut alle. Flet anvender først brugerens egne GPO'er, og anvender derefter computerens brugerindstillinger øverst - og computerens indstillinger vinder enhver konflikt. Merge passer til normale pc'er, hvor personen beholder det meste af deres sædvanlige politik, men maskinens regler skal have det sidste ord.

Sigt mod GPO'en med sikkerhedsfiltrering

Sikkerhedsfiltrering er, hvordan du forhindrer en GPO i at gå til alle i organisationen. Vælg GPO'en i konsollen, åbn fanen Omfang, og fjern Godkendte brugere i afsnittet Sikkerhedsfiltrering og tilføj kun den gruppe, der skal modtage politikken. For at modtage en GPO skal en konto både læse og anvende gruppepolitik - med kun én af de to bliver GPO'en enten aldrig downloadet eller listet, men sprunget over. Filtering is the standard way to pilot a new policy on one small group first, or to target a single department, without moving a single account between OUs.

Behold computernes læsetilladelse (MS16-072)

This is the trap that has bitten admins since June 2016. The MS16-072 security update changed how Group Policy is retrieved: the computer account now fetches user GPOs from the domain controller in the computer's own security context. Så computeren skal have tilladelsen Læse på hver GPO, den henter - inklusive bruger GPO'er, der er filtreret til en gruppe, som computeren ikke er medlem af. Hvis du fjernede godkendte brugere i det foregående trin, skal du åbne GPO'ens Delegation fane, klikke på Tilføj og give Godkendte brugere (eller domænecomputere) Kun læse tilladelse - læsning er alt, hvad maskinen behøver; Ansøg ophold hos din målgruppe.

Når loopback og filtrering mødes

De to kontroller interagerer, og interaktionen fanger selv erfarne administratorer. De brugerindstillinger, som loopback leverer, lever stadig i GPO'er, der er knyttet til computerens OU - men de er stadig bruger-indstillinger, så personen ved tastaturet har stadig brug for Anvend gruppepolitik på den GPO, og computeren skal stadig læse den. Spænd filteret på en loopback GPO kun til en computergruppe, og maskinen henter pligtopfyldende en GPO, hvis brugerindstillinger ingen, der sidder ved den, må anvende: en perfekt konfigureret kiosk GPO, der lydløst ikke leverer noget. Før du skyder skylden på selve politikken, skal du kontrollere begge halvdele af tilladelsesparret.

Bevis det med gpresult

Gæt ikke - bekræft. På den berørte pc skal du i den berørte brugers session åbne kommandoprompt og køre videoens beviskommando:

gpresult /h report.html

Åbn den genererede report.html og læs dommene. Anvendte GPO'er er angivet øverst, og hver afvist GPO har sin årsag: Afvist (Sikkerhed) betyder en filtreringsbeslutning, Nægtet (Utilgængelig) betyder en hentning eller tilladelsesfejl, og Afvist (Tom) betyder, at halvdelen af ​​GPO'en simpelthen ikke har nogen indstillinger. Når loopback fungerer, er fingeraftrykket umiskendeligt - de GPO'er, der leverer brugerindstillingerne, er dem fra computerens OU. Arbejd beviserne i denne rækkefølge - omfang, filter, loopback - og de fleste "GPO-anvender ikke"-sager forklarer sig selv.