آموزش کامل Active Directory GPO ⚡ سیاست کاربر و کامپیوتر توضیح داده شده است

GPO در واقع چیست

یک GPO به سادگی بسته ای از تنظیمات نامگذاری شده است. به خودی خود هیچ کاری نمی کند. فقط زمانی شروع به کار می کند که آن را به یک کانتینر پیوند کنید - یک سایت، دامنه، یا یک واحد سازمانی (OU) - و سپس برای حساب های کاربر یا رایانه در داخل آن ظرف اعمال می شود.

از این موضوع دو واقعیت به دست می آید. اول، ویرایش یک GPO و پیوند دادن یک GPO دو کار جداگانه هستند. یک GPO کاملاً پیکربندی شده که به جایی پیوند داده نشده است، چیزی را تغییر نمی دهد. دوم، یک GPO می تواند به چندین OU متصل شود، و یک OU می تواند تعداد زیادی GPO دریافت کند.

همه چیز در این آموزش در یک کنسول اتفاق می افتد - کنسول مدیریت سیاست گروه. آن را در کنترلر دامنه یا هر رایانه شخصی با ابزارهای RSAT نصب شده از کادر Run باز کنید:

gpmc.msc

سیاست کامپیوتر در مقابل سیاست کاربر - دو نیمه

هر GPO را باز کنید و همان دو بخش را خواهید دید: پیکربندی رایانه و پیکربندی کاربر. آنها دو نما از یک لیست نیستند - آنها دو جعبه ابزار متفاوت با تنظیمات مختلف هستند که در زمان های مختلف برای حساب های مختلف اعمال می شوند.

پیکربندی رایانه برای حساب رایانه اعمال می‌شود. هنگام راه اندازی رایانه شخصی، قبل از اینکه کسی وارد سیستم شود، پردازش می شود. نصب نرم‌افزار برای ماشین‌ها، اسکریپت‌های راه‌اندازی، مسدود کردن USB، رفتار Windows Update و تنظیمات امنیتی در اینجا وجود دارد.

پیکربندی کاربر برای حساب کاربر اعمال می‌شود. هنگامی که کاربر وارد سیستم می شود، در هر رایانه شخصی پردازش می شود. والپیپرها، نقشه‌های درایو، تغییر مسیر پوشه، اسکریپت‌های ورود به سیستم و محدودیت‌های کنترل پنل در اینجا وجود دارند.

جایی که شما پیوند می دهید تعیین می کند که چه کسی آن را دریافت می کند

GPOها در سه سطح پیوند دارند: سایت (یک مکان دفتر فیزیکی)، دامنه (همه) و OU (یک بخش یا گروه). در دفاتر کوچک و متوسط ​​تقریباً همه پیوندها در سطح OU انجام می شود، زیرا ابتدا حساب ها را در OU سازماندهی می کنید - یکی برای رایانه های اداری، یکی برای کاربران کارکنان، یکی برای لپ تاپ ها و غیره.

دو GPO که به طور پیش‌فرض وجود دارند - خط‌مشی پیش‌فرض دامنه (قوانین رمز عبور و حساب) و خط‌مشی پیش‌فرض کنترل‌کننده‌های دامنه - بهتر است بیشتر به حال خود رها شوند. GPO های خود را برای تنظیمات خود ایجاد کنید، بنابراین می توانید بدون دست زدن به تنظیمات پیش فرض، آنها را خاموش کنید.

اولین GPO خود را ایجاد، پیکربندی و پیوند دهید

در gpmc.msc، روی Group Policy Objects → جدید کلیک راست کنید → نامی به آن بدهید که بگوید چه کاری انجام می دهد، مانند Block-USB-Drives. نام‌گذاری صادقانه مهم است: پس از شش ماه، یک اداره دارای چهل GPO است، و نام‌هایی مانند "GPO جدید" یا "test2" چیزی به شما نمی‌گویند - نام به شغل، نه تاریخ.

روی GPO جدید → ویرایش کلیک راست کنید. ویرایشگر با دو نیمه باز می شود. تنظیمات خود را در نیمه درست پیکربندی کنید و ویرایشگر را ببندید.

در GPMC، روی OU هدف کلیک راست کنید → پیوند یک GPO موجود → GPO خود را انتخاب کنید. در رایانه مشتری، آن را مجدداً راه اندازی کنید (برای تنظیمات رایانه) یا از سیستم خارج شوید و مجدداً (برای تنظیمات کاربر) روشن شوید - یا در مرحله بعد با دستورات به روزرسانی را مجبور کنید.

اجبار و اثباتش - gpupdate و gpresult

خط‌مشی‌ها تقریباً هر 90 دقیقه خود به خود تازه‌سازی می‌شوند (با یک افست تصادفی)، اما هیچ‌کس آن را به آرامی آزمایش نمی‌کند. در کامپیوتر مشتری، Command Prompt را باز کرده و اجرا کنید:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force اکنون همه خط مشی ها را دوباره اعمال می کند. برخی از تنظیمات هنوز صادقانه به راه اندازی مجدد (تنظیمات رایانه، نصب نرم افزار) یا ورود به سیستم جدید (تنظیمات کاربر) نیاز دارند — /force نمی تواند فیزیک را نادیده بگیرد.

gpresult /r رسید است: دقیقاً لیست GPOهایی را که روی رایانه و کاربر اعمال شده‌اند، و کدام‌ها و چرا فیلتر شده‌اند، فهرست می‌کند. برای یک گزارش قابل خواندن، gpresult /h report.html یک صفحه HTML ایجاد می کند که هر تنظیمات برنده را نشان می دهد و از کدام GPO آمده است. هرگز یک GPO را با امید قضاوت نکنید — gpresult /r باید اولین دستوری باشد که هر زمان که یک خط مشی "کار نمی کند" اجرا می کنید.