Πλήρης οδηγός Active Directory GPO ⚡ Επεξήγηση της πολιτικής χρήστη και υπολογιστή

Τι είναι στην πραγματικότητα ένα GPO

Ένα GPO είναι απλώς μια ονομασμένη δέσμη ρυθμίσεων. Δεν κάνει τίποτα από μόνο του. Αρχίζει να λειτουργεί μόνο όταν το συνδέσετε σε ένα κοντέινερ — έναν ιστότοπο, τον τομέα ή μια οργανωτική μονάδα (OU) — και, στη συνέχεια, εφαρμόζεται στους λογαριασμούς χρήστη ή υπολογιστή μέσα σε αυτό το κοντέινερ.

Από αυτό προκύπτουν δύο γεγονότα. Πρώτον, η επεξεργασία ενός GPO και η σύνδεση ενός GPO είναι δύο ξεχωριστές εργασίες. ένα τέλεια διαμορφωμένο GPO που δεν είναι συνδεδεμένο πουθενά δεν αλλάζει τίποτα. Δεύτερον, ένα GPO μπορεί να συνδεθεί με πολλά OU και ένα OU μπορεί να λάβει πολλά GPO.

Όλα σε αυτό το σεμινάριο συμβαίνουν σε μία κονσόλα — την Κονσόλα διαχείρισης πολιτικής ομάδας. Ανοίξτε το στον ελεγκτή τομέα ή σε οποιονδήποτε υπολογιστή με εγκατεστημένα τα εργαλεία RSAT, από το πλαίσιο Εκτέλεση:

gpmc.msc

Πολιτική υπολογιστή έναντι πολιτικής χρήστη — τα δύο μισά

Ανοίξτε οποιοδήποτε GPO και θα δείτε τις ίδιες δύο ενότητες: Διαμόρφωση υπολογιστή και Διαμόρφωση χρήστη. Δεν είναι δύο προβολές μιας λίστας — είναι δύο διαφορετικές εργαλειοθήκες με διαφορετικές ρυθμίσεις, που εφαρμόζονται σε διαφορετικούς χρόνους σε διαφορετικούς λογαριασμούς.

Η Διαμόρφωση υπολογιστή ισχύει για τον λογαριασμό υπολογιστή. Υποβάλλεται σε επεξεργασία κατά την εκκίνηση του υπολογιστή, πριν συνδεθεί κάποιος. Εγκατάσταση λογισμικού για μηχανήματα, σενάρια εκκίνησης, αποκλεισμός USB, συμπεριφορά του Windows Update και ρυθμίσεις ασφαλείας ζωντανά εδώ.

Η Διαμόρφωση χρήστη ισχύει για τον λογαριασμό χρήστη. Υποβάλλεται σε επεξεργασία όταν ένας χρήστης συνδέεται, σε οποιονδήποτε υπολογιστή. Οι ταπετσαρίες, οι αντιστοιχίσεις μονάδων δίσκου, η ανακατεύθυνση φακέλων, τα σενάρια σύνδεσης και οι περιορισμοί του Πίνακα Ελέγχου βρίσκονται εδώ.

Το πού συνδέεστε αποφασίζει ποιος το παίρνει

Οι GPO συνδέονται σε τρία επίπεδα: ιστότοπος (μια φυσική τοποθεσία γραφείου), τομέας (όλοι) και OU (ένα τμήμα ή ομάδα). Στα μικρά και μεσαία γραφεία σχεδόν όλες οι συνδέσεις γίνονται σε επίπεδο OU, επειδή πρώτα οργανώνετε τους λογαριασμούς σε OU — έναν για υπολογιστές γραφείου, έναν για χρήστες προσωπικού, έναν για φορητούς υπολογιστές κ.λπ.

Οι δύο GPO που υπάρχουν από προεπιλογή — Προεπιλεγμένη πολιτική τομέα (κανόνες κωδικού πρόσβασης και λογαριασμού) και Προεπιλεγμένη πολιτική ελεγκτών τομέα — είναι καλύτερα να μείνουν μόνοι τους. Δημιουργήστε τα δικά σας GPO για τις δικές σας ρυθμίσεις, ώστε να μπορείτε να τα απενεργοποιήσετε χωρίς να αγγίξετε τις προεπιλογές.

Δημιουργήστε, διαμορφώστε και συνδέστε το πρώτο σας GPO

Στο gpmc.msc, κάντε δεξί κλικ Αντικείμενα πολιτικής ομάδας → Νέο → δώστε του ένα όνομα που λέει τι κάνει, όπως Αποκλεισμός-USB-Drives. Η ειλικρινής ονομασία έχει σημασία: μετά από έξι μήνες ένα γραφείο έχει σαράντα GPO και ονόματα όπως "New GPO" ή "test2" δεν σας λένε τίποτα — όνομα με δουλειά, όχι κατά ημερομηνία.

Κάντε δεξί κλικ στο νέο GPO → Επεξεργασία. Το πρόγραμμα επεξεργασίας ανοίγει με τα δύο μισά. Διαμορφώστε τις ρυθμίσεις σας στο σωστό μισό και κλείστε το πρόγραμμα επεξεργασίας.

Επιστρέψτε στο GPMC, κάντε δεξί κλικ στο OU-στόχο → Σύνδεση ενός υπάρχοντος GPO → επιλέξτε το GPO σας. Στον υπολογιστή-πελάτη, επανεκκινήστε τον (για ρυθμίσεις υπολογιστή) ή αποσυνδεθείτε και ενεργοποιήστε ξανά (για ρυθμίσεις χρήστη) — ή αναγκάστε την ανανέωση με τις εντολές στο επόμενο βήμα.

Αναγκάστε το και αποδείξτε το — gpupdate και gpresult

Οι πολιτικές ανανεώνονται από μόνες τους περίπου κάθε 90 λεπτά (με τυχαία μετατόπιση), αλλά κανείς δεν το δοκιμάζει αργά. Στον υπολογιστή-πελάτη, ανοίξτε τη γραμμή εντολών και εκτελέστε:

gpupdate /force
gpresult /r
gpresult /h report.html

Το gpupdate /force εφαρμόζει ξανά όλες τις πολιτικές τώρα. Ορισμένες ρυθμίσεις εξακολουθούν να χρειάζονται ειλικρινά επανεκκίνηση (ρυθμίσεις υπολογιστή, εγκαταστάσεις λογισμικού) ή νέα σύνδεση (ρυθμίσεις χρήστη) — Το /force δεν μπορεί να παραλείψει τη φυσική.

Το gpresult /r είναι η απόδειξη: παραθέτει ακριβώς ποια GPO εφαρμόστηκαν στον υπολογιστή και στο χρήστη, και ποια φιλτράρθηκαν και γιατί. Για μια αναγνώσιμη αναφορά, το gpresult /h report.html δημιουργεί μια σελίδα HTML που δείχνει κάθε ρύθμιση που κερδίζει και από ποιο GPO προήλθε. Μην κρίνετε ποτέ ένα GPO με την ελπίδα — gpresult /r θα πρέπει να είναι η πρώτη εντολή που εκτελείτε κάθε φορά που μια πολιτική "δεν λειτουργεί".