Active Directory GPO:n täydellinen opetusohjelma ⚡ Selitetty käyttäjä- ja tietokonekäytäntö

Mikä GPO oikeastaan on

GPO on yksinkertaisesti nimetty asetuspaketti. Se ei tee mitään itsestään. Se alkaa toimia vasta, kun linkität sen säilöön – sivustoon, verkkotunnukseen tai organisaatioyksikköön (OU) – ja sitten sitä sovelletaan säilön sisällä oleviin käyttäjä- tai tietokonetileihin.

Tästä seuraa kaksi tosiasiaa. Ensinnäkin GPO:n muokkaaminen ja ryhmäryhmän linkittäminen ovat kaksi erillistä työtä. täydellisesti määritetty GPO, jota ei ole linkitetty mihinkään, ei muuta mitään. Toiseksi yksi GPO voidaan linkittää useisiin organisaatioyksiköihin ja yksi organisaatioyksikkö voi vastaanottaa useita ryhmäkäytäntöobjekteja.

Kaikki tässä opetusohjelmassa tapahtuu yhdessä konsolissa – ryhmäkäytännön hallintakonsolissa. Avaa se Suorita-ruudusta toimialueen ohjaimessa tai missä tahansa tietokoneessa, johon on asennettu RSAT-työkalut:

gpmc.msc

Tietokonekäytäntö vs. käyttäjäkäytäntö – kaksi puoliskoa

Avaa mikä tahansa GPO, niin näet samat kaksi osiota: Tietokoneen asetukset ja Käyttäjän määritykset. Ne eivät ole yhden luettelon kaksi näkymää – ne ovat kaksi eri työkalulaatikkoa eri asetuksilla, joita sovelletaan eri aikoina eri tileihin.

Tietokoneen asetukset koskee tietokonetiliä. Se käsitellään, kun tietokone käynnistyy, ennen kuin kukaan kirjautuu sisään. Ohjelmiston asennus koneille, käynnistysskriptit, USB-estot, Windows Update -käyttäytyminen ja suojausasetukset ovat täällä.

Käyttäjän määritykset koskee käyttäjätiliä. Se käsitellään, kun käyttäjä kirjautuu sisään millä tahansa tietokoneella. Taustakuvat, asemakartoitukset, kansioiden uudelleenohjaus, kirjautumisskriptit ja ohjauspaneelin rajoitukset ovat täällä.

Linkkipaikka päättää, kuka sen saa

GPO:t linkittyvät kolmella tasolla: site (fyysinen toimistosijainti), verkkotunnus (kaikki) ja OU (yksi osasto tai ryhmä). Pienissä ja keskisuurissa toimistoissa lähes kaikki linkittäminen tapahtuu organisaatioyksiköiden tasolla, koska ensin organisoit tilit organisaatioyksiköiksi – yksi toimistotietokoneille, toinen henkilöstön käyttäjille, toinen kannettaville tietokoneille ja niin edelleen.

Kaksi oletusarvoisesti olemassa olevaa GPO:ta – Oletusverkkotunnuskäytäntö (salasana- ja tilisäännöt) ja Oletusverkkotunnuksen ohjainkäytäntö – on parasta jättää enimmäkseen yksin. Luo omia ryhmäkäytäntöobjekteja omille asetuksillesi, jotta voit sammuttaa ne koskematta oletusasetuksiin.

Luo, määritä ja linkitä ensimmäinen GPO

Napsauta tiedostossa gpmc.msc hiiren kakkospainikkeella Ryhmäkäytäntöobjektit → Uusi → anna sille nimi, joka kertoo, mitä se tekee, kuten Block-USB-Drives. Nimeämisellä rehellisesti on väliä: kuuden kuukauden kuluttua toimistolla on neljäkymmentä GPO:ta, ja nimet, kuten "New GPO" tai "test2", ei kerro mitään – nimi työn, ei päivämäärän mukaan.

Napsauta hiiren kakkospainikkeella uutta ryhmäkäytäntöobjektia → Muokkaa. Editori avautuu kahdella puoliskolla. Määritä asetukset oikeaan puoliskoon ja sulje editori.

Napsauta takaisin GPMC:ssä hiiren kakkospainikkeella kohdeyksikköä → Linkitä olemassa oleva GPO → valitse GPO. Käynnistä asiakastietokoneessa se uudelleen (tietokoneasetuksia varten) tai kirjaudu ulos ja takaisin sisään (käyttäjäasetuksia varten) tai pakota päivitys seuraavan vaiheen komennoilla.

Pakota se ja todista se — gpupdate ja gpresult

Käytännöt päivittyvät itsestään suunnilleen 90 minuutin välein (satunnaisella siirtymällä), mutta kukaan ei testaa sitä hitaasti. Avaa asiakastietokoneessa komentokehote ja suorita:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force ottaa uudelleen käyttöön kaikki käytännöt nyt. Jotkut asetukset vaativat silti uudelleenkäynnistyksen (tietokoneasetukset, ohjelmistoasennukset) tai uuden kirjautumisen (käyttäjäasetukset) – /force ei voi ohittaa fysiikkaa.

gpresult /r on kuitti: siinä luetellaan tarkalleen, mitkä GPO:t sovellettiin tietokoneeseen ja käyttäjään ja mitkä suodatettiin pois ja miksi. Luettavaa raporttia varten gpresult /h report.html luo HTML-sivun, joka näyttää kaikki voittaneet asetukset ja mistä GPO:sta ne tulivat. Älä koskaan arvioi GPO:ta toivon perusteella – gpresult /r on ensimmäinen komento, jonka suoritat aina, kun käytäntö "ei toimi".