Technical Anshu صفحه اصلی › آموزش › 10 GPO برتر
🖥️ Group Policy / Active Directory

10 GPO برتر در ویندوز سرور

10 خط مشی گروه برتر برای یک دفتر ویندوز سرور - خط مشی رمز عبور، قفل صفحه، بلوک USB، نقشه درایو، چاپگرها، به روز رسانی ها، تغییر مسیر پوشه، AppLocker، ممیزی و کنترل مدیریت محلی - هر کدام به کلمات ساده توضیح داده شده است.

✍️ Technical Anshu🖥️ Windows Server / Active Directory🎧 Multi-Language Audio
10 GPO برتر در ویندوز سرور
🎧 صدای چند زبانه: در پخش کننده ویدیو، روی [تنظیمات] (⚙️) ➔ [قطعه صوتی] کلیک کنید و زبان را انتخاب کنید.

📑فصل‌ها

  1. چرا یک دامنه جدید ابتدا به این ده خط مشی نیاز دارد
  2. خط مشی رمز عبور — یک قانون برای کل دامنه
  3. قفل صفحه — کامپیوتر بدون مراقبت خودش را قفل می کند
  4. بلوک USB — درایوهای قلم دیگر یک در نیستند
  5. نقشه درایو — اشتراک‌گذاری‌های سرور به خودی خود ظاهر می‌شوند
  6. چاپگرها — چاپگر اداری بدون دست زدن به رایانه
  7. به‌روزرسانی‌ها — به‌روزرسانی‌های ویندوز طبق برنامه شما انجام می‌شوند
  8. تغییر مسیر پوشه — اسناد روی سرور و نه رایانه شخصی فعال هستند
  9. AppLocker — فقط برنامه های تایید شده اجرا می شوند
  10. حسابرسی - ثبت کنید چه کسانی وارد سیستم شده اند و چه کسانی ناموفق هستند
  11. کنترل مدیر محلی — تقریباً هیچ کس روی رایانه شخصی خود سرپرست نیست
  12. قبل از ارائه به همه، روی یک OU آزمایشی آزمایش کنید

📋 بررسی اجمالی و راهنمای گام به گام

1

ابتدا مدیریت خط مشی گروه را باز کنید

هر ده خط مشی در یک کنسول ساخته شده اند: کنسول مدیریت خط مشی گروه. کادر Run را باز کرده و دستور زیر را تایپ کرده و Enter را فشار دهید. قانون کار برای کل فهرست یک GPO در هر شغل است، هر کدام با نامی ساده مانند Block-USB-Storage یا Screen-Lock-10-Min — یک خط مشی جداگانه را می توان آزمایش کرد، غیرفعال کرد، برگشت داده و فیلتر کرد، در حالی که یک GPO غول پیکر به عنوان یک غول شکست خورده است.

Run
gpmc.msc
⚠️ ابتدا هر خط‌مشی جدید را روی یک OU آزمایشی بسازید و پیوند دهید. هر خط‌مشی در این فهرست به دفتری برخورد کرده است که عرضه آزمایش‌نشده باعث قطع شدن آن شده است. آن را در چند دستگاه ثابت کنید، سپس آن را گسترده تر پیوند دهید.
2

خط مشی رمز عبور - یک قانون برای کل دامنه

مسیر: پیکربندی کامپیوتر ← خط‌مشی‌ها ← تنظیمات ویندوز ← تنظیمات امنیتی ← خط‌مشی‌های حساب ← خط‌مشی رمز عبور که معمولاً در خط‌مشی پیش‌فرض دامنه ویرایش می‌شود. حداقل طولی را تنظیم کنید که مردم واقعاً آن را به خاطر بسپارند - 12 کاراکتر با پیچیدگی در ضربات 8 کاراکتر هر ماه تغییر می کند. راهنمای مدرن خود مایکروسافت انقضای مکرر اجباری را کاهش داده است، زیرا کاربران با الگوهای قابل پیش بینی به آن پاسخ می دهند. طول به علاوه سیاست قفل حساب معقول ترکیب صادقانه ای است.

📌 این تنها خط مشی است که دامنه دقیقاً یک نسخه برای همه حساب‌های دامنه دریافت می‌کند. یک خط مشی رمز عبور که به یک OU منفرد پیوند داده شده است هیچ کاری برای کاربران دامنه انجام نمی دهد - قوانین مختلف برای یک گروه به سیاست های رمز عبور دقیق نیاز دارند، یک ویژگی جداگانه که در Active Directory پیکربندی شده است.
3

قفل صفحه - کامپیوتر بدون مراقبت خودش قفل می شود

مسیر: پیکربندی کاربر ← خط‌مشی‌ها ← الگوهای اداری ← پنل کنترل ← شخصی‌سازی — محافظ صفحه را فعال کنید، مهلت زمانی را تنظیم کنید و محافظت با رمز عبور محافظ صفحه نمایش را روشن کنید. یک دوقلو در سمت رایانه، ورود تعاملی: محدودیت عدم فعالیت دستگاه در زیر گزینه‌های امنیتی، کار یکسانی را در هر دستگاه انجام می‌دهد. ده دقیقه نقطه شیرین دفتر است: شخصی از یک رایانه بدون قفل که به عنوان حساب یا منابع انسانی وارد شده است دور می شود و هرکسی که از آنجا عبور می کند ناگهان آن شخص است. این سیاست ارزان ترین حفره امنیتی ساختمان را می بندد.

4

کنترل فضای ذخیره سازی USB - درایوهای قلم دیگر یک در نیستند

مسیر: پیکربندی کامپیوتر ← سیاست‌ها ← الگوهای اداری ← سیستم ← دسترسی ذخیره‌سازی قابل جابجایی. می‌توانید خواندن، نوشتن یا اجرای هر کلاس دستگاه را رد کنید، یا تمام فضای ذخیره‌سازی قابل جابجایی را در یک تنظیم رد کنید. دلیل دفتر داده ها است: یک قلم درایو می تواند کل پایگاه داده مشتری را از ساختمان خارج کند یا یک ویروس را به داخل منتقل کند.

⚠️ این را با مسیر استثنایی از روز اول تنظیم کنید - یک گروه با فیلتر امنیتی برای دو یا سه نفری که نیاز واقعی به شغل دارند - در غیر این صورت این خط‌مشی در اولین باری که رئیس را قبل از ارائه مسدود می‌کند، بی‌صدا خاموش می‌شود. صفحه‌کلیدها و ماوس‌ها به خانواده تنظیمات متفاوتی تعلق دارند (محدودیت‌های نصب دستگاه). این سیاست در مورد ذخیره سازی است.
5

نقشه کشی درایو - سهم سرور به تنهایی ظاهر می شود

مسیر: پیکربندی کاربر → تنظیمات برگزیده → تنظیمات ویندوز → نقشه های درایو. این یک خط‌مشی گروهی برگزیده است، نه یک خط‌مشی کلاسیک: شما یک حرف درایو را به سمت یک اشتراک نشان می‌دهید، اقدام را انتخاب می‌کنید (ایجاد یا به‌روزرسانی)، و اگر حساب‌ها باید درایوی دریافت کنند که فروش آن را ندارد، از هدف‌یابی در سطح مورد استفاده می‌کند. این خط‌مشی قدیمی‌ترین اسکریپت در IT - فایل دسته‌ای ورود به سیستم - و تماس روزانه "درایو سرور ناپدید شد" را بازنشسته می‌کند. یک درایو نقشه‌برداری شده که یک صلیب قرمز را نشان می‌دهد، فوراً قابل خواندن است: یک مشکل شبکه یا مجوزها، نه یک رمز و راز نقشه‌برداری.

6

استقرار چاپگر - چاپگر آفیس بدون دست زدن به رایانه

مسیر: تنظیمات → تنظیمات پنل کنترل → چاپگرها (یا از مدیریت چاپ مستقر شود). کاربر وارد سیستم می‌شود و چاپگر آفیس به سادگی با درایور مناسب از سرور چاپ وجود دارد. چاپگرها را بر اساس OU یا گروه هدف قرار دهید تا طبقه سوم چاپ را به طبقه همکف متوقف کند.

📌 اخطار صادقانه مدرن: از آنجایی که PrintNightmare رفع شده است، ویندوز در مورد درایورهای چاپگر سختگیر است - کاربران استاندارد معمولاً نمی‌توانند یک درایور کاملاً جدید نصب کنند، بنابراین درایور باید از قبل روی سرور چاپ زندگی کند و توسط یک سرپرست از قبل آماده شود. استقرار توسط GPO همچنان بازدید از هر رایانه شخصی را حذف می کند. دیگر برنامه ریزی یک بار راننده را حذف نمی کند.
7

کنترل به روز رسانی ویندوز - به روز رسانی ها در برنامه شما اتفاق می افتد

مسیر: پیکربندی کامپیوتر ← سیاست‌ها ← الگوهای اداری ← اجزای ویندوز ← به‌روزرسانی ویندوز. تنظیمات کلیدی: پیکربندی به‌روزرسانی‌های خودکار، بدون راه‌اندازی خودکار با کاربران وارد شده، مهلت‌های زمانی نصب، و - اگر دفتر از WSUS استفاده می‌کند - مکان سرور به‌روزرسانی اینترانت. تنظیمات به تعویق انداختن به یک گروه آزمایشی اجازه می‌دهد ابتدا به‌روزرسانی‌ها را دریافت کند و بقیه دفتر را چند روز بعد. در مورد کار واضح باشید: این خط‌مشی زمان‌بندی را کنترل می‌کند، نه اینکه آیا به‌روزرسانی‌ها انجام می‌شوند یا خیر. یک پنجره نصب بعد از ساعت کاری تنظیم کنید و یک مهلت راه اندازی مجدد که کاربران می توانند ببینند که در حال آمدن هستند، و به روز رسانی ها خسته کننده می شوند - این دقیقا همان چیزی است که شما می خواهید.

8

تغییر مسیر پوشه - اسناد روی سرور زنده هستند، نه رایانه شخصی

مسیر: پیکربندی کاربر ← سیاست ها ← تنظیمات ویندوز ← تغییر مسیر پوشه. اسناد، دسکتاپ و تصاویر بی سر و صدا به جای دیسک محلی به پوشه ای در سرور فایل اشاره می کنند. نتیجه در بدترین روز ظاهر می شود: یک رایانه شخصی می میرد، کاربر با هر رایانه شخصی دیگری وارد سیستم می شود و فایل های آنها از قبل وجود دارد - و نسخه سرور در پشتیبان گیری معمولی شما قرار می گیرد.

⚠️ دو هشدار صادقانه اولین ورود به سیستم فایل‌های موجود را تا سرور کپی می‌کند، بنابراین در دسته‌های کوچکی منتشر کنید. و هرگز به یک سرور آهسته یا رو به پایان هدایت نکنید: هر ذخیره پس از آن احساس شکستگی می‌کند، و کاربران در عوض شروع به ذخیره‌سازی در یک درایو قلم می‌کنند - با شکست خط‌مشی USB بالا.
9

AppLocker - فقط برنامه های تایید شده اجرا می شوند

مسیرها: پیکربندی کامپیوتر ← تنظیمات ویندوز ← تنظیمات امنیتی ← خط مشی‌های کنترل برنامه ← AppLocker یا سیاست‌های محدودیت نرم‌افزار قدیمی‌تر در همان منطقه. این ایده یک لیست سفید است: ویندوز، فایل‌های برنامه و برنامه‌های تأیید شده توسط سرپرست ممکن است اجرا شوند. هر چیزی که کاربر در نمایه خود دانلود می کند ممکن است انجام ندهد. این قوی ترین مورد در لیست است و بیشترین احترام را می طلبد.

⚠️ اجرای AppLocker از طریق GPO یک ویژگی Enterprise and Education است، و هر سرپرست باید در حالت فقط حسابرسی کار کند، آنچه را که گزارش نشان می‌دهد تصحیح کند، و تنها پس از آن اجرا شود. این کار با حوصله انجام می شود، بیشتر بدافزارهای فاکتورهای جعلی را به آرامی متوقف می کند. در جمعه عجله انجام شد، نرم افزار صورتحساب را متوقف می کند.
10

ورود حسابرسی - ثبت نام چه کسانی وارد شده و چه کسانی ناموفق هستند

مسیر: پیکربندی کامپیوتر ← سیاست‌ها ← تنظیمات ویندوز ← تنظیمات امنیتی ← پیکربندی خط مشی حسابرسی پیشرفته. حداقل، موفقیت و شکست ورود به سیستم حسابرسی در کنترل کننده های دامنه و سرورهای عضو. حسابرسی به سؤالی که هر اداره بعد از یک حادثه می پرسد پاسخ می دهد: حساب چه کسی، از کدام رایانه شخصی و چه زمانی استفاده شده است؟

📌 در مورد نیمه دوم صادق باشید: گزارش هایی که هیچ کس نمی خواند امنیت نیستند، ذخیره سازی هستند. حسابرسی را همراه با یک عادت کوچک هفتگی در خواندن واقعی شکست ها روشن کنید.
11

کنترل محلی مدیریت - تقریباً هیچ کس روی رایانه شخصی خود مدیر نیست

مسیر: تنظیمات برگزیده ← تنظیمات پنل کنترل ← کاربران و گروه‌های محلی می‌تواند گروه Administrators را در هر رایانه شخصی پاک کند — حساب‌های کاربری سرگردان را حذف کنید، گروه پشتیبانی فناوری اطلاعات را حفظ کنید. قطعه همراه Windows LAPS است که به هر رایانه شخصی یک رمز عبور سرپرست محلی منحصربفرد و خودکار می دهد که به طور ایمن در Active Directory ذخیره شده است. کار روزانه نیازی به حقوق مدیر ندارد. بدافزار آنها را به ارث می برد. حقوق مدیریت ثابت را حذف کنید، LAPS را برای روزی که IT به رمز عبور محلی نیاز دارد نگه دارید، و نیمی از حوادث در یک دفتر معمولی هرگز اتفاق نمی‌افتند - اما قبل از عرضه، یک مسیر شکستن شیشه‌ای تست شده را حفظ کنید.

12

در رایانه آزمایشی اعمال، به روز رسانی و تأیید کنید

GPO جدید را به OU آزمایشی پیوند دهید، سپس در یک کلاینت آزمایشی مجبور به تجدید خط‌مشی شوید و نتیجه را قبل از دریافت آن توسط دیگران ثابت کنید. اولین فرمان به جای اینکه منتظر چرخه تازه سازی بعدی باشد، اکنون سیاست ها را اعمال می کند. دوم گزارشی می نویسد که دقیقاً کدام GPO ها اعمال شده اند - و کدام ها رد شده اند و چرا.

Command Prompt
gpupdate /force
Command Prompt
gpresult /h report.html
✅ ابتدا این ده را در یک OU آزمایشی تنظیم کنید و سپس آنها را گسترده تر پیوند دهید. لیست 10 برتر نقطه شروع است، نه جایگزینی برای فکر کردن - یک بار ویدیو را تماشا کنید تا لیست خودتان کمتر از یک ساعت طول بکشد.

🏷️متغیرها و کلمات کلیدی جستجوی موضوع

🔍 Group Policy 🔍 GPO 🔍 Windows Server 🔍 Active Directory 🔍 Password Policy 🔍 Screen Lock 🔍 USB Block 🔍 Drive Mapping 🔍 Printer Deployment 🔍 Folder Redirection 🔍 AppLocker 🔍 Audit Policy 🔍 Local Admin 🔍 TechnicalAnshu
🎙️ رونوشت کامل — برای بزرگ کردن ضربه بزنید

__TOK_35__

__TOK_36__

__TOK_37__

❓ سوالات متداول

آیا این آموزش 100% رایگان است؟

__TOK_38__

آیا مبتدیان می توانند از این راهنما پیروی کنند؟

__TOK_39__

اگر گیر کردم کجا می توانم سوال بپرسم؟

__TOK_40__

🚀 آموزش کامل را در YouTube تماشا کنید

__TOK_41__

__TOK_42__

▶️ تماشای ویدیوی کامل
این آموزش بر اساس 10 GPO برتر Technical Anshu در ویدیوی سرور ویندوز است • آیا در هر مرحله ای گیر کرده اید؟ در نظرات ویدیو بپرسید - در آنجا کمک خواهید گرفت 🙏