Επεξήγηση GPO Loopback & Security Filtering

Ξεκινήστε από την προεπιλογή — Επαληθευμένοι χρήστες

Εκτός από το κουτί, κάθε νέο GPO φέρει ένα φίλτρο ασφαλείας: Επαληθευμένοι χρήστες, με δικαιώματα Ανάγνωσης και Εφαρμογή πολιτικής ομάδας. Αυτή η ομάδα είναι ευρύτερη από ό,τι ακούγεται - περιλαμβάνει κάθε συνδεδεμένο χρήστη και κάθε λογαριασμό υπολογιστή τομέα - και γι' αυτό ένα νέο GPO "απλώς λειτουργεί" για όλους στο OU με το οποίο είναι συνδεδεμένος. Μπορείτε να δείτε το φίλτρο στην Κονσόλα διαχείρισης πολιτικής ομάδας: επιλέξτε το GPO και δείτε το πλαίσιο Φιλτράρισμα ασφαλείας στην καρτέλα Πεδίο εφαρμογής. Όλα σε αυτό το βίντεο είναι μια σκόπιμη αλλαγή σε αυτήν την προεπιλογή — και κάθε έκπληξη ξεκινά από εκεί.

Ενεργοποιήστε την Επεξεργασία Loopback

Η επεξεργασία Loopback είναι μια ρύθμιση υπολογιστή. Επεξεργαστείτε το GPO που είναι συνδεδεμένο με το OU που συγκρατεί τους υπολογιστές και μεταβείτε στο Διαμόρφωση υπολογιστή → Πολιτικές → Πρότυπα διαχείρισης → Σύστημα → Πολιτική ομάδας. Ανοίξτε τη Διαμόρφωση λειτουργίας επεξεργασίας επαναληπτικής λειτουργίας πολιτικής ομάδας χρηστών και ορίστε την σε Ενεργοποιημένη. Από εκείνη τη στιγμή, οι ρυθμίσεις χρήστη για οποιονδήποτε συνδέεται σε αυτούς τους υπολογιστές λαμβάνονται από τα GPO που είναι συνδεδεμένα με το OU του υπολογιστή αντί μόνο από το OU του ίδιου του χρήστη. Το Loopback δεν αλλάζει ποτέ το ήμισυ της πολιτικής του υπολογιστή — οι ρυθμίσεις του υπολογιστή επεξεργάζονται πάντα κανονικά.

Επιλέξτε Λειτουργία συγχώνευσης ή αντικατάστασης

Η ίδια ρύθμιση ζητά μια λειτουργία και η επιλογή αλλάζει τα πάντα. Το Replace παρακάμπτει εντελώς τα GPO του χρήστη — ισχύουν μόνο οι ρυθμίσεις χρήστη από τα GPO του υπολογιστή. Αυτή είναι η λειτουργία για περίπτερα, αίθουσες διδασκαλίας και διακομιστές RDS, όπου το μηχάνημα πρέπει να παρουσιάζει ένα πανομοιότυπο, ελεγχόμενο περιβάλλον σε όλους απολύτως. Η Συγχώνευση εφαρμόζει πρώτα τα GPO του ίδιου του χρήστη και, στη συνέχεια, εφαρμόζει τις ρυθμίσεις χρήστη του υπολογιστή από πάνω — και οι ρυθμίσεις του υπολογιστή κερδίζουν οποιαδήποτε σύγκρουση. Το Merge ταιριάζει σε κανονικούς υπολογιστές όπου το άτομο τηρεί το μεγαλύτερο μέρος της συνήθους πολιτικής του, αλλά οι κανόνες του μηχανήματος πρέπει να έχουν τον τελευταίο λόγο.

Στοχεύστε το GPO με το φιλτράρισμα ασφαλείας

Το φιλτράρισμα ασφαλείας είναι ο τρόπος με τον οποίο εμποδίζετε ένα GPO να πηγαίνει σε όλους στο OU. Επιλέξτε το GPO στην κονσόλα, ανοίξτε την καρτέλα Πεδίο εφαρμογής και στην ενότητα Φίλτρο ασφαλείας καταργήστε τους Επαληθευμένους χρήστες και προσθέστε μόνο την ομάδα που θα λάβει την πολιτική. Για να λάβει ένα GPO, ένας λογαριασμός χρειάζεται και τα δύο Διαβάστε και Εφαρμόστε την Πολιτική Ομάδας — μόνο με ένα από τα δύο, το GPO είτε δεν γίνεται ποτέ λήψη είτε καταχωρείται αλλά παραλείπεται. Το φιλτράρισμα είναι ο τυπικός τρόπος για να πιλοτάρετε μια νέα πολιτική σε μια μικρή ομάδα πρώτα ή να στοχεύσετε ένα μεμονωμένο τμήμα, χωρίς να μετακινήσετε ούτε έναν λογαριασμό μεταξύ OU.

Διατήρηση της άδειας ανάγνωσης των υπολογιστών (MS16-072)

Αυτή είναι η παγίδα που έχει δαγκώσει τους διαχειριστές από τον Ιούνιο του 2016. Η ενημερωμένη έκδοση ασφαλείας MS16-072 άλλαξε τον τρόπο ανάκτησης της Πολιτικής ομάδας: ο λογαριασμός υπολογιστή ανακτά πλέον GPO χρηστών από τον ελεγκτή τομέα στο πλαίσιο ασφαλείας του ίδιου του υπολογιστή. Επομένως, ο υπολογιστής πρέπει να διαθέτει άδεια Ανάγνωσης σε κάθε GPO που ανακτά — συμπεριλαμβανομένων των GPO χρηστών που φιλτράρονται σε μια ομάδα στην οποία ο υπολογιστής δεν είναι μέλος. Εάν καταργήσατε τους Επαληθευμένους χρήστες στο προηγούμενο βήμα, ανοίξτε την καρτέλα Ανάθεση του GPO, κάντε κλικ στην Προσθήκη και δώστε στους Επαληθευμένους χρήστες (ή Υπολογιστές τομέα) Ανάγνωση μόνο — η ανάγνωση είναι το μόνο που χρειάζεται το μηχάνημα. Εφαρμόστε διαμονές με την ομάδα-στόχο σας.

Όταν το Loopback και το φιλτράρισμα συναντώνται

Τα δύο στοιχεία ελέγχου αλληλεπιδρούν και η αλληλεπίδραση πιάνει ακόμη και έμπειρους διαχειριστές. Οι ρυθμίσεις χρήστη που παρέχει το loopback εξακολουθούν να ισχύουν σε GPO που συνδέονται με το OU του υπολογιστή — αλλά εξακολουθούν να είναι ρυθμίσεις χρήστη, επομένως το άτομο στο πληκτρολόγιο εξακολουθεί να χρειάζεται Εφαρμογή πολιτικής ομάδας σε αυτό το GPO και ο υπολογιστής πρέπει ακόμα να το Διαβάσει. Σφίξτε το φίλτρο σε ένα GPO loopback μόνο σε μια ομάδα υπολογιστών και το μηχάνημα ανακτά ευσυνείδητα ένα GPO του οποίου οι ρυθμίσεις χρήστη δεν επιτρέπεται να εφαρμόζονται σε κανέναν που κάθεται σε αυτό: ένα τέλεια διαμορφωμένο GPO kiosk που δεν παρέχει τίποτα αθόρυβα. Πριν κατηγορήσετε την ίδια την πολιτική, ελέγξτε και τα δύο μισά του ζεύγους αδειών.

Αποδείξτε το με gpresult

Μην μαντέψετε — επαληθεύστε. Στον υπολογιστή που επηρεάζεται, στην περίοδο λειτουργίας του επηρεαζόμενου χρήστη, ανοίξτε τη Γραμμή εντολών και εκτελέστε την εντολή απόδειξης του βίντεο:

gpresult /h report.html

Ανοίξτε το report.html που δημιουργήθηκε και διαβάστε τις ετυμηγορίες. Τα εφαρμοσμένα GPO παρατίθενται στην κορυφή και κάθε GPO που απορρίφθηκε έχει τον λόγο του: Απορρίφθηκε (Ασφάλεια) σημαίνει μια απόφαση φιλτραρίσματος, Απορρίφθηκε (Μη προσβάσιμο) σημαίνει αποτυχία ανάκτησης ή δικαιωμάτων και Απορρίφθηκε (Κενό) σημαίνει ότι το ήμισυ του GPO δεν έχει απλώς ρυθμίσεις. Με το loopback να λειτουργεί, το δακτυλικό αποτύπωμα είναι αναμφισβήτητο — τα GPO που παρέχουν τις ρυθμίσεις χρήστη είναι αυτά από το OU του υπολογιστή. Δουλέψτε τα αποδεικτικά στοιχεία με αυτή τη σειρά — εύρος, φίλτρο, επαναφορά — και οι περισσότερες περιπτώσεις "μη εφαρμογή GPO" εξηγούνται από μόνες τους.