Top 10 GPO i Windows Server
De 10 bedste gruppepolitikker for et Windows Server-kontor – adgangskodepolitik, skærmlås, USB-blokering, drevkortlægning, printere, opdateringer, mappeomdirigering, AppLocker, revision og lokal administratorkontrol – hver forklaret med enkle ord.
📑Kapitler
- Hvorfor skal et nyt domæne først have disse ti politikker
- Adgangskodepolitik – én regel for hele domænet
- Skærmlås – den uovervågede pc låser sig selv
- USB-blok — pen-drev holder op med at være en dør
- Drevkortlægning – serverdelingerne vises af sig selv
- Printere — kontorprinteren uden at røre pc'en
- Opdateringer – Windows-opdateringer sker efter din tidsplan
- Mappeomdirigering — dokumenter live på serveren, ikke pc'en
- AppLocker – kun godkendte programmer kører
- Revision — registrer, hvem der loggede ind, og hvem der mislykkedes
- Lokal administratorkontrol - næsten ingen er administratorer på deres egen pc
- Test på en pilot-OU, før den udrulles til alle
📋 Oversigt og trin-for-trin guide
Åbn Group Policy Management først
Alle ti politikker er bygget i én konsol: Group Policy Management Console. Åbn feltet Kør, skriv kommandoen nedenfor, og tryk på Enter. Arbejdsreglen for hele listen er én GPO pr. job, hver med et almindeligt navn som Block-USB-Storage eller Screen-Lock-10-Min - en separat politik kan testes, deaktiveres, rulles tilbage og filtreres på egen hånd, mens en kæmpe GPO fejler som en kæmpe.
gpmc.mscAdgangskodepolitik – én regel for hele domænet
Sti: Computerkonfiguration → Politikker → Windows-indstillinger → Sikkerhedsindstillinger → Kontopolitikker → Adgangskodepolitik, som normalt redigeres i standarddomænepolitikken. Indstil en minimumslængde, folk faktisk kan huske - 12 tegn med kompleksitet på beats, 8 tegn ændres hver måned. Microsofts egen moderne vejledning har droppet tvungen hyppig udløb, fordi brugerne besvarer den med forudsigelige mønstre. Længde plus en fornuftig konto lockout politik er den ærlige kombination.
Skærmlås — den uovervågede pc låser sig selv
Sti: Brugerkonfiguration → Politikker → Administrative skabeloner → Kontrolpanel → Personalisering — aktiver pauseskærmen, indstil timeout, og aktiver beskytter pauseskærmen med adgangskode. En tvilling på computeren, Interaktivt logon: Maskininaktivitetsgrænse under Sikkerhedsindstillinger, udfører det samme job pr. maskine. Ti minutter er kontorets søde sted: nogen går væk fra en ulåst pc, der er logget ind som konti eller HR, og enhver, der går forbi, er pludselig denne person. Denne politik lukker det billigste sikkerhedshul i bygningen.
USB-lagerkontrol — Pen-drev holder op med at være en dør
Sti: Computerkonfiguration → Politikker → Administrative skabeloner → System → Flytbar lageradgang. Du kan nægte at læse, skrive eller udføre pr. enhedsklasse eller nægte alt flytbart lager i én indstilling. Kontorets årsag er data: ét pendrev kan bære hele kundedatabasen ud af bygningen eller bære en virus ind.
Drevkortlægning — serverdelingerne vises af sig selv
Sti: Brugerkonfiguration → Indstillinger → Windows-indstillinger → Drevkort. Dette er en gruppepolitik præference, ikke en klassisk politik: du peger et drevbogstav på en aktie, vælger handlingen (Opret eller opdater), og bruger målretning på vareniveau, hvis konti skal få et drev, som salget ikke skal. Denne politik trækker det ældste script i IT tilbage - logon-batchfilen - og det daglige "serverdrevet forsvandt"-kald. Et kortlagt drev, der viser et rødt kryds, kan derefter læses med det samme: et netværks- eller tilladelsesproblem, ikke et kortlægningsmysterium.
Printerimplementering — Office-printeren uden at røre pc'en
Sti: Indstillinger → Kontrolpanelindstillinger → Printere (eller implementer fra Print Management). Brugeren logger ind, og kontorprinteren er der simpelthen med den rigtige driver fra printerserveren. Målret printere efter enhed eller gruppe, så tredje sal stopper med at udskrive til stueetagen.
Windows Update Control - Opdateringer sker på din tidsplan
Sti: Computerkonfiguration → Politikker → Administrative skabeloner → Windows-komponenter → Windows Update. Nøgleindstillinger: Konfigurer automatiske opdateringer, Ingen automatisk genstart med loggede brugere, installeringsfrister og - hvis kontoret bruger WSUS - intranetopdateringsserverens placering. Udskydelsesindstillinger lader en pilotgruppe tage opdateringer først og resten af kontoret et par dage senere. Vær klar over jobbet: Denne politik styrer timing, ikke om der sker opdateringer. Indstil et installationsvindue efter arbejdstid og en genstartsfrist, som brugere kan se komme, og opdateringer bliver kedelige - hvilket er præcis, hvad du ønsker.
Mappeomdirigering — Dokumenter live på serveren, ikke pc'en
Sti: Brugerkonfiguration → Politikker → Windows-indstillinger → Mappeomdirigering. Dokumenter, skrivebord og billeder peger stille og roligt på en mappe på filserveren i stedet for den lokale disk. Udbetalingen vises på den værste dag: en pc dør, brugeren logger ind på en hvilken som helst anden pc, og deres filer er der allerede - og serverkopien sidder i din normale backup.
AppLocker — Kun godkendte programmer kører
Stier: Computerkonfiguration → Windows-indstillinger → Sikkerhedsindstillinger → Programkontrolpolitikker → AppLocker eller de ældre softwarebegrænsningspolitikker i samme område. Ideen er en hvidliste: Windows, Program Files og admin-godkendte apps kan køre; hvad end en bruger downloader til deres egen profil, må ikke. Dette er det stærkeste punkt på listen og det, der kræver mest respekt.
Revisionslogning — Registrer, hvem der loggede på, og hvem der fejlede
Sti: Computerkonfiguration → Politikker → Windows-indstillinger → Sikkerhedsindstillinger → Avanceret revisionspolitikkonfiguration. Som minimum skal du kontrollere logon succes og fejl på domænecontrollere og medlemsservere. Revision besvarer spørgsmålet, som hvert kontor stiller efter en hændelse: hvis konto blev brugt, fra hvilken pc, og hvornår?
Lokal administratorkontrol - Næsten ingen er administrator på deres egen pc
Sti: Præferencer → Kontrolpanelindstillinger → Lokale brugere og grupper kan rense administratorgruppen på alle pc'er - fjern omstrejfende brugerkonti, behold IT-supportgruppen. Den ledsagende del er Windows LAPS, som giver hver pc en unik, automatisk roteret lokal administratoradgangskode gemt sikkert i Active Directory. Dagligt arbejde kræver ikke administratorrettigheder; malware arver dem. Fjern stående administratorrettigheder, behold LAPS den dag, IT har brug for den lokale adgangskode, og halvdelen af hændelserne på et normalt kontor sker aldrig - men behold en testet rute, før udrulning.
Anvend, opdater og bekræft på en test-pc
Knyt den nye GPO til test-OU, og fremtving derefter en politikopdatering på en testklient og bevis resultatet, før andre modtager det. Den første kommando anvender politikkerne nu i stedet for at vente på den næste opdateringscyklus; den anden skriver en rapport, der viser præcis, hvilke GPO'er der blev anvendt - og hvilke der blev afvist, og hvorfor.
gpupdate /forcegpresult /h report.html🏷️Emnesøgevariabler og søgeord
🎙️ Fuld transskription — tryk for at udvide
__TOK_35__
__TOK_36__
__TOK_37__
❓ Ofte stillede spørgsmål
Er denne tutorial 100 % gratis at følge?
__TOK_38__
Kan begyndere følge denne guide?
__TOK_39__
Hvor kan jeg stille spørgsmål, hvis jeg går i stå?
__TOK_40__