Top 10 GPO στον Windows Server
Οι 10 κορυφαίες πολιτικές ομάδας για ένα γραφείο Windows Server — πολιτική κωδικού πρόσβασης, κλείδωμα οθόνης, μπλοκ USB, αντιστοίχιση μονάδας δίσκου, εκτυπωτές, ενημερώσεις, ανακατεύθυνση φακέλων, AppLocker, έλεγχος και τοπικός έλεγχος διαχειριστή — εξηγούνται με απλά λόγια.
📑Κεφάλαια
- Γιατί ένας νέος τομέας χρειάζεται πρώτα αυτές τις δέκα πολιτικές
- Πολιτική κωδικού πρόσβασης — ένας κανόνας για ολόκληρο τον τομέα
- Κλείδωμα οθόνης — ο υπολογιστής χωρίς επίβλεψη κλειδώνει μόνος του
- Μπλοκ USB — οι μονάδες στυλό παύουν να είναι πόρτα
- Χαρτογράφηση μονάδας δίσκου — τα κοινόχρηστα στοιχεία διακομιστή εμφανίζονται από μόνα τους
- Εκτυπωτές — ο εκτυπωτής γραφείου χωρίς να αγγίζετε τον υπολογιστή
- Ενημερώσεις — Οι ενημερώσεις των Windows πραγματοποιούνται σύμφωνα με το πρόγραμμά σας
- Ανακατεύθυνση φακέλου — έγγραφα ζωντανά στον διακομιστή και όχι στον υπολογιστή
- AppLocker — εκτελούνται μόνο εγκεκριμένα προγράμματα
- Έλεγχος — καταγράψτε ποιος συνδέθηκε και ποιος απέτυχε
- Τοπικός έλεγχος διαχειριστή — σχεδόν κανείς δεν είναι διαχειριστής στον δικό του υπολογιστή
- Δοκιμάστε σε ένα πιλοτικό OU προτού το διαθέσετε σε όλους
📋 Επισκόπηση και οδηγός βήμα προς βήμα
Ανοίξτε πρώτα τη Διαχείριση πολιτικής ομάδας
Και οι δέκα πολιτικές είναι ενσωματωμένες σε μία κονσόλα: την Κονσόλα διαχείρισης πολιτικής ομάδας. Ανοίξτε το πλαίσιο Εκτέλεση, πληκτρολογήστε την παρακάτω εντολή και πατήστε Enter. Ο κανόνας λειτουργίας για ολόκληρη τη λίστα είναι ένα GPO ανά εργασία, το καθένα με ένα απλό όνομα όπως Block-USB-Storage ή Screen-Lock-10-Min — μια ξεχωριστή πολιτική μπορεί να δοκιμαστεί, να απενεργοποιηθεί, να επαναφερθεί και να φιλτραριστεί από μόνη της, ενώ ένα γιγάντιο GPO αποτυγχάνει ως γίγαντας.
gpmc.mscΠολιτική κωδικού πρόσβασης — Ένας κανόνας για ολόκληρο τον τομέα
Διαδρομή: Διαμόρφωση υπολογιστή → Πολιτικές → Ρυθμίσεις Windows → Ρυθμίσεις ασφαλείας → Πολιτικές λογαριασμού → Πολιτική κωδικού πρόσβασης, που συνήθως επεξεργάζεται στην Προεπιλεγμένη πολιτική τομέα. Ορίστε ένα ελάχιστο μήκος που μπορούν πραγματικά να θυμούνται οι άνθρωποι — 12 χαρακτήρες με πολυπλοκότητα στα beats 8 χαρακτήρες αλλάζουν κάθε μήνα. Η σύγχρονη καθοδήγηση της Microsoft έχει πέσει στην αναγκαστική συχνή λήξη, επειδή οι χρήστες απαντούν με προβλέψιμα μοτίβα. Το μήκος συν μια λογική πολιτική κλειδώματος λογαριασμού είναι ο ειλικρινής συνδυασμός.
Κλείδωμα οθόνης — ο υπολογιστής χωρίς επίβλεψη κλειδώνει από μόνος του
Διαδρομή: Διαμόρφωση χρήστη → Πολιτικές → Πρότυπα διαχείρισης → Πίνακας ελέγχου → Εξατομίκευση — ενεργοποιήστε την προφύλαξη οθόνης, ορίστε το χρονικό όριο λήξης και ενεργοποιήστε την προστασία με κωδικό πρόσβασης της προφύλαξης οθόνης. Ένα δίδυμο στην πλευρά του υπολογιστή, Διαδραστική σύνδεση: Όριο αδράνειας μηχανής στις Επιλογές ασφαλείας, κάνει την ίδια δουλειά ανά μηχάνημα. Δέκα λεπτά είναι το γλυκό σημείο του γραφείου: κάποιος απομακρύνεται από έναν ξεκλείδωτο υπολογιστή που έχει συνδεθεί ως λογαριασμοί ή HR, και όποιος περνάει ξαφνικά είναι αυτό το άτομο. Αυτή η πολιτική κλείνει τη φθηνότερη τρύπα ασφαλείας στο κτίριο.
Έλεγχος αποθήκευσης USB — Οι μονάδες στυλό σταματούν να είναι πόρτα
Διαδρομή: Διαμόρφωση υπολογιστή → Πολιτικές → Πρότυπα διαχείρισης → Σύστημα → Πρόσβαση με δυνατότητα αφαιρούμενης αποθήκευσης. Μπορείτε να αρνηθείτε την ανάγνωση, την εγγραφή ή την εκτέλεση ανά κατηγορία συσκευής ή να αρνηθείτε όλο τον αφαιρούμενο χώρο αποθήκευσης σε μία ρύθμιση. Ο λόγος του γραφείου είναι τα δεδομένα: μια μονάδα στυλό μπορεί να μεταφέρει ολόκληρη τη βάση δεδομένων πελατών έξω από το κτίριο ή να μεταφέρει έναν ιό.
Χαρτογράφηση μονάδας δίσκου — τα Μερίδια Διακομιστή Εμφανίζονται μόνα τους
Διαδρομή: Διαμόρφωση χρήστη → Προτιμήσεις → Ρυθμίσεις Windows → Χάρτες μονάδας. Αυτή είναι μια πολιτική ομάδας Προτίμηση, όχι μια κλασική πολιτική: δείχνετε ένα γράμμα μονάδας δίσκου σε ένα κοινόχρηστο στοιχείο, επιλέγετε την ενέργεια (Δημιουργία ή Ενημέρωση) και χρησιμοποιείτε στόχευση σε επίπεδο στοιχείου, εάν οι λογαριασμοί πρέπει να λάβουν μονάδα δίσκου που δεν θα έπρεπε οι πωλήσεις. Αυτή η πολιτική αποσύρει το παλαιότερο σενάριο στο IT — το αρχείο δέσμης σύνδεσης — και την καθημερινή κλήση "η μονάδα διακομιστή εξαφανίστηκε". Μια αντιστοιχισμένη μονάδα δίσκου που δείχνει έναν κόκκινο σταυρό είναι στη συνέχεια ευανάγνωστη: πρόβλημα δικτύου ή αδειών, όχι μυστήριο χαρτογράφησης.
Ανάπτυξη εκτυπωτή — ο εκτυπωτής του Office χωρίς να αγγίζετε τον υπολογιστή
Διαδρομή: Προτιμήσεις → Ρυθμίσεις πίνακα ελέγχου → Εκτυπωτές (ή ανάπτυξη από τη Διαχείριση εκτυπώσεων). Ο χρήστης συνδέεται και ο εκτυπωτής γραφείου είναι απλά εκεί, με το σωστό πρόγραμμα οδήγησης από τον διακομιστή εκτύπωσης. Στοχεύστε εκτυπωτές ανά OU ή ομάδα, ώστε ο τρίτος όροφος να σταματήσει να εκτυπώνει στο ισόγειο.
Έλεγχος Windows Update — Οι ενημερώσεις συμβαίνουν στο πρόγραμμά σας
Διαδρομή: Διαμόρφωση υπολογιστή → Πολιτικές → Πρότυπα διαχείρισης → Στοιχεία Windows → Windows Update. Βασικές ρυθμίσεις: Διαμόρφωση αυτόματων ενημερώσεων, Χωρίς αυτόματη επανεκκίνηση με συνδεδεμένους χρήστες, προθεσμίες εγκατάστασης και — εάν το γραφείο χρησιμοποιεί WSUS — τη θέση του διακομιστή ενημέρωσης intranet. Οι ρυθμίσεις αναβολής επιτρέπουν σε μια πιλοτική ομάδα να λαμβάνει ενημερώσεις πρώτα και στο υπόλοιπο γραφείο λίγες μέρες αργότερα. Να είστε ξεκάθαροι σχετικά με την εργασία: αυτή η πολιτική ελέγχει τον χρονοδιάγραμμα και όχι εάν πραγματοποιούνται ενημερώσεις. Ορίστε ένα παράθυρο εγκατάστασης μετά το ωράριο λειτουργίας και μια προθεσμία επανεκκίνησης που οι χρήστες μπορούν να δουν ότι έρχεται και οι ενημερώσεις γίνονται βαρετές — αυτό ακριβώς που θέλετε.
Ανακατεύθυνση φακέλου — Έγγραφα ζωντανά στον διακομιστή, όχι στον υπολογιστή
Διαδρομή: Διαμόρφωση χρήστη → Πολιτικές → Ρυθμίσεις Windows → Ανακατεύθυνση φακέλου. Τα έγγραφα, η επιφάνεια εργασίας και οι εικόνες δείχνουν αθόρυβα σε έναν φάκελο στον διακομιστή αρχείων αντί στον τοπικό δίσκο. Η πληρωμή εμφανίζεται τη χειρότερη ημέρα: ένας υπολογιστής πεθαίνει, ο χρήστης συνδέεται σε οποιονδήποτε άλλο υπολογιστή και τα αρχεία του είναι ήδη εκεί — και το αντίγραφο διακομιστή βρίσκεται μέσα στο κανονικό αντίγραφο ασφαλείας σας.
AppLocker — Εκτελούνται μόνο εγκεκριμένα προγράμματα
Διαδρομές: Διαμόρφωση υπολογιστή → Ρυθμίσεις Windows → Ρυθμίσεις ασφαλείας → Πολιτικές ελέγχου εφαρμογής → AppLocker ή οι παλαιότερες Πολιτικές περιορισμού λογισμικού στην ίδια περιοχή. Η ιδέα είναι μια λίστα επιτρεπόμενων: Windows, Αρχεία προγραμμάτων και εφαρμογές που έχουν εγκριθεί από τον διαχειριστή ενδέχεται να εκτελούνται. Ό,τι κατεβάζει ένας χρήστης στο δικό του προφίλ μπορεί να μην. Αυτό είναι το πιο δυνατό στοιχείο στη λίστα και αυτό που απαιτεί περισσότερο σεβασμό.
Καταγραφή ελέγχου — Καταγράψτε ποιος συνδέθηκε και ποιος απέτυχε
Διαδρομή: Διαμόρφωση υπολογιστή → Πολιτικές → Ρυθμίσεις Windows → Ρυθμίσεις ασφαλείας → Προηγμένη ρύθμιση παραμέτρων πολιτικής ελέγχου. Τουλάχιστον, έλεγχος επιτυχίας και αποτυχίας σύνδεσης σε ελεγκτές τομέα και διακομιστές μελών. Ο έλεγχος απαντά στην ερώτηση που κάνει κάθε γραφείο μετά από ένα περιστατικό: ποιος λογαριασμός χρησιμοποιήθηκε, από ποιον υπολογιστή και πότε;
Έλεγχος τοπικού διαχειριστή — Σχεδόν κανείς δεν είναι διαχειριστής στον δικό του υπολογιστή
Διαδρομή: Οι Προτιμήσεις → Ρυθμίσεις Πίνακα Ελέγχου → Τοπικοί χρήστες και ομάδες μπορούν να καθαρίσουν την ομάδα διαχειριστών σε κάθε υπολογιστή — αφαιρέστε αδέσποτους λογαριασμούς χρηστών, διατηρήστε την ομάδα υποστήριξης IT. Το συνοδευτικό κομμάτι είναι το Windows LAPS, το οποίο δίνει σε κάθε υπολογιστή έναν μοναδικό κωδικό πρόσβασης τοπικού διαχειριστή που περιστρέφεται αυτόματα και αποθηκεύεται με ασφάλεια στην υπηρεσία καταλόγου Active Directory. Η καθημερινή εργασία δεν χρειάζεται δικαιώματα διαχειριστή. το κακόβουλο λογισμικό τα κληρονομεί. Καταργήστε τα μόνιμα δικαιώματα διαχειριστή, διατηρήστε το LAPS για την ημέρα που το IT χρειάζεται τον τοπικό κωδικό πρόσβασης και τα μισά περιστατικά σε ένα κανονικό γραφείο δεν συμβαίνουν ποτέ — αλλά διατηρήστε μια δοκιμασμένη διαδρομή με σπασίματα πριν από την κυκλοφορία.
Εφαρμογή, ενημέρωση και επαλήθευση σε δοκιμαστικό υπολογιστή
Συνδέστε το νέο GPO με το δοκιμαστικό OU και, στη συνέχεια, σε έναν δοκιμαστικό πελάτη αναγκάστε μια ανανέωση πολιτικής και αποδείξτε το αποτέλεσμα προτού το λάβει κάποιος άλλος. Η πρώτη εντολή εφαρμόζει τις πολιτικές τώρα αντί να περιμένει τον επόμενο κύκλο ανανέωσης. το δεύτερο γράφει μια αναφορά που παραθέτει ακριβώς ποιοι GPO εφαρμόστηκαν — και ποιοι απορρίφθηκαν, και γιατί.
gpupdate /forcegpresult /h report.html🏷️Μεταβλητές και λέξεις-κλειδιά αναζήτησης θεμάτων
🎙️ Πλήρης μεταγραφή — πατήστε για ανάπτυξη
__TOK_35__
__TOK_36__
__TOK_37__
❓ Συχνές Ερωτήσεις
Είναι αυτό το σεμινάριο 100% δωρεάν για παρακολούθηση;
__TOK_38__
Μπορούν οι αρχάριοι να ακολουθήσουν αυτόν τον οδηγό;
__TOK_39__
Πού μπορώ να κάνω ερωτήσεις αν κολλήσω;
__TOK_40__