GPO Loopback & Security Filtering توضیح داده شد

از حالت پیش فرض شروع کنید - کاربران تأیید شده

خارج از جعبه، هر GPO جدید دارای یک فیلتر امنیتی است: کاربران تأیید شده، که هر دو مجوز خواندن و اعمال خط مشی گروه را نگه می دارد. این گروه گسترده تر از آن چیزی است که به نظر می رسد - شامل هر کاربر وارد شده به سیستم و هر حساب رایانه دامنه ای می شود - و به همین دلیل است که یک GPO جدید "فقط" برای همه افراد در OU که به آن مرتبط است کار می کند. می‌توانید فیلتر را در کنسول مدیریت خط‌مشی گروه ببینید: GPO را انتخاب کنید و به کادر Security Filtering در برگه Scope نگاه کنید. همه چیز در این ویدیو یک تغییر عمدی به آن پیش‌فرض است - و هر شگفتی از آنجا شروع می‌شود.

پردازش Loopback را روشن کنید

پردازش Loopback یک تنظیم رایانه است. GPO را که به OU که رایانه‌ها را نگه می‌دارد مرتبط است ویرایش کنید و به پیکربندی رایانه → سیاست‌ها → قالب‌های اداری → سیستم → خط‌مشی گروه بروید. پیکربندی حالت پردازش حلقه‌ای خط مشی گروه کاربر را باز کرده و آن را روی فعال تنظیم کنید. از آن لحظه، تنظیمات کاربر برای هر کسی که به آن رایانه‌های شخصی وارد می‌شود، از GPOهای مرتبط با رایانه OU به جای OU خود کاربر گرفته می‌شود. Loopback هرگز نیمی از خط مشی رایانه را تغییر نمی دهد - تنظیمات رایانه همیشه به طور عادی پردازش می شوند.

ادغام یا جایگزینی حالت را انتخاب کنید

همان تنظیمات حالت را می‌خواهد و انتخاب همه چیز را تغییر می‌دهد. Replace به طور کامل از GPOهای سمت کاربر خود کاربر صرفنظر می کند — فقط تنظیمات کاربر از GPOهای رایانه اعمال می شود. این حالت برای کیوسک ها، کلاس های درس و سرورهای RDS است، که در آن دستگاه باید یک محیط کنترل شده و یکسان را برای همه افراد ارائه دهد. ادغام ابتدا GPOهای خود کاربر را اعمال می‌کند، سپس تنظیمات کاربر رایانه را در بالا اعمال می‌کند — و تنظیمات رایانه بر هر تضادی پیروز می‌شوند. ادغام برای رایانه‌های شخصی معمولی مناسب است که در آن فرد بیشتر سیاست‌های معمول خود را حفظ می‌کند، اما قوانین دستگاه باید حرف آخر را بزنند.

GPO را با فیلتر امنیتی هدف قرار دهید

فیلترینگ امنیتی روشی است که از رفتن یک GPO به همه افراد در OU جلوگیری می کنید. GPO را در کنسول انتخاب کنید، برگه Scope را باز کنید و در بخش Security Filtering کاربران تایید شده را حذف کنید و فقط گروهی را اضافه کنید که باید این خط مشی را دریافت کند. برای دریافت یک GPO، یک حساب به هر دو نیاز به خواندن و اعمال خط مشی گروه دارد — تنها با یکی از این دو، GPO یا هرگز دانلود نمی شود یا فهرست می شود اما از آن صرفنظر می شود. فیلتر کردن روشی استاندارد برای اجرای یک خط مشی جدید در ابتدا در یک گروه کوچک، یا هدف قرار دادن یک بخش واحد، بدون جابجایی یک حساب واحد بین OU است.

حفظ مجوز خواندن رایانه ها (MS16-072)

این تله ای است که از ژوئن 2016 ادمین ها را گاز گرفته است. به روز رسانی امنیتی MS16-072 نحوه بازیابی Group Policy را تغییر داد: حساب رایانه اکنون GPO های کاربر را از کنترل کننده دامنه در زمینه امنیتی خود رایانه واکشی می کند. بنابراین رایانه باید مجوز خواندن را در هر GPOی که واکشی می‌کند - از جمله GPOهای کاربر فیلتر شده برای گروهی که رایانه عضو آن نیست، داشته باشد. اگر کاربران احراز هویت شده را در مرحله قبل حذف کردید، برگه Delegation GPO را باز کنید، روی افزودن کلیک کنید، و کاربران تایید شده (یا رایانه های دامنه) را فقط خواندن دهید — خواندن تنها چیزی است که دستگاه نیاز دارد. درخواست اقامت با گروه هدف خود را.

وقتی Loopback و Filtering با هم ملاقات می کنند

این دو کنترل با هم تعامل دارند و این تعامل حتی ادمین های با تجربه را نیز جلب می کند. تنظیمات کاربر که loopback ارائه می‌کند هنوز در GPO‌های مرتبط با OU رایانه فعال هستند — اما هنوز تنظیمات کاربر هستند، بنابراین شخصی که در صفحه‌کلید قرار دارد همچنان به Apply Group Policy در آن GPO نیاز دارد، و رایانه همچنان باید آن را بخواند. فیلتر یک GPO حلقه بک را فقط به یک گروه کامپیوتری سفت کنید، و دستگاه با وظیفه‌شناسی یک GPO را واکشی می‌کند که هیچکس اجازه ندارد تنظیمات کاربر آن را اعمال کند: یک کیوسک GPO کاملاً پیکربندی شده که بی‌صدا چیزی ارائه نمی‌دهد. قبل از سرزنش خود سیاست، هر دو نیمه جفت مجوز را بررسی کنید.

با gpresult ثابت کن

حدس نزنید - تأیید کنید. در رایانه شخصی آسیب دیده، در جلسه کاربر آسیب دیده، Command Prompt را باز کنید و دستور اثبات ویدیو را اجرا کنید:

gpresult /h report.html

report.html ایجاد شده را باز کنید و احکام را بخوانید. GPOهای اعمال شده در بالا فهرست شده اند و هر GPO رد شده دلیل خود را دارد: رد شده (امنیت) به معنای تصمیم فیلتر کردن است، رد شده (غیرقابل دسترسی) به معنای واکشی یا شکست مجوزها، و رد شده (خالی) به این معنی است که نیمی از GPO به سادگی تنظیماتی ندارد. با کارکرد حلقه بک، اثر انگشت غیرقابل انکار است - GPOهایی که تنظیمات کاربر را ارائه می دهند، همان هایی هستند که از OU کامپیوتر استفاده می کنند. شواهد را به این ترتیب کار کنید - محدوده، فیلتر، حلقه بک - و بیشتر موارد "GPO اعمال نمی شود" خودشان را توضیح می دهند.