GPO Loopback & Security Filtering selitetty

Aloita kohdasta Oletus – Authenticated Users

Jokaisessa uudessa ryhmäkäytäntöobjektissa on yksi suojaussuodatin: Authenticated Users, joilla on sekä Luku että Käytä ryhmäkäytäntöä. Tämä ryhmä on laajempi kuin miltä se kuulostaa – se sisältää kaikki sisäänkirjautuneet käyttäjät ja kaikki verkkotunnuksen tietokonetilit – ja tästä syystä uusi GPO "vain toimii" kaikille organisaatioyksiköissä, joihin se on linkitetty. Näet suodattimen ryhmäkäytännön hallintakonsolissa: valitse ryhmäkäytäntöobjekti ja katso Suojaussuodatus-ruutua Laajuus-välilehdessä. Kaikki tässä videossa on tarkoituksellista muutosta oletukseen – ja jokainen yllätys alkaa siitä.

Ota silmukkakäsittely käyttöön

Loopback-käsittely on tietokoneen asetus. Muokkaa ryhmäkäytäntöobjektia, joka on linkitetty tietokoneita sisältävään organisaatioyksikköön, ja siirry kohtaan Tietokoneen asetukset → Käytännöt → Hallintamallit → Järjestelmä → Ryhmäkäytäntö. Avaa Määritä käyttäjän ryhmäkäytännön silmukankäsittelytila ja aseta sen arvoksi Käytössä. Siitä hetkestä lähtien kaikkien kyseisiin tietokoneisiin kirjautuvien käyttäjäasetukset otetaan tietokoneen OU:hen linkitetyistä GPO:ista, ei vain käyttäjän omasta OU:sta. Loopback ei koskaan muuta tietokoneen puolta käytännöstä – tietokoneen asetukset käsitellään aina normaalisti.

Valitse Yhdistä tai Korvaa tila

Sama asetus pyytää tilaa, ja valinta muuttaa kaiken. Korvaa ohittaa käyttäjän omat käyttäjäpuolen GPO:t kokonaan – vain tietokoneen ryhmäkäytäntöobjektien käyttäjäasetukset ovat voimassa. Tämä on kioskien, luokkahuoneiden ja RDS-palvelimien tila, jossa koneen on esitettävä yksi identtinen, valvottu ympäristö ehdottomasti kaikille. Yhdistä käyttää ensin käyttäjän omia ryhmäkäytäntöobjekteja ja sitten tietokoneen käyttäjäasetuksia päälle – ja tietokoneen asetukset voittaa kaikki ristiriidat. Merge sopii normaaleihin tietokoneisiin, joissa henkilö pitää suurimman osan tavanomaisesta käytännöstään, mutta koneen säännöillä on oltava viimeinen sana.

Suuntaa GPO suojaussuodatuksella

Suojaussuodatuksella estät GPO:n pääsyn kaikille organisaatioyksikön jäsenille. Valitse konsolissa ryhmäkäytäntöobjekti, avaa Laajuus-välilehti ja poista Suojaussuodatus-osiosta Todennettuja käyttäjiä ja lisää vain ryhmä, jolle käytäntö tulee saada. GPO:n vastaanottaminen edellyttää, että tilillä sekä luetaan ja otetaan käyttöön ryhmäkäytäntö. Vain toisella ryhmäkäytännöstä ryhmäkäytäntöä ei joko ladata tai luetteloida, mutta se ohitetaan. Suodatus on tavallinen tapa pilotoida uutta käytäntöä ensin yhdessä pienessä ryhmässä tai kohdistaa yhteen osastoon siirtämättä yhtä tiliä organisaatioyksiköiden välillä.

Pidä tietokoneiden lukulupa (MS16-072)

Tämä on ansa, joka on purenut järjestelmänvalvojia kesäkuusta 2016 lähtien. Tietoturvapäivitys MS16-072 muutti ryhmäkäytännön hakutapaa: tietokonetili hakee nyt käyttäjien GPO:t toimialueen ohjaimesta tietokoneen omassa suojauskontekstissa. Joten tietokoneella on oltava luku-oikeus jokaisessa noutamassaan GPO:ssa – mukaan lukien käyttäjän GPO:t, jotka on suodatettu ryhmään, jonka jäsen tietokone ei ole. Jos poistit todennettuja käyttäjiä edellisessä vaiheessa, avaa GPO:n Delegation-välilehti, napsauta Lisää ja anna Authenticated Users (tai verkkotunnuksen tietokoneille) vain lukuoikeus – kone tarvitsee vain lukemisen. Hae pysyy kohderyhmässäsi.

Kun takaisinkytkentä ja suodatus kohtaavat

Molemmat ohjaimet toimivat vuorovaikutuksessa, ja vuorovaikutus tarttuu jopa kokeneisiin ylläpitäjiin. Silmukan toimittamat käyttäjäasetukset ovat edelleen tietokoneen organisaatioyksikköön linkitetyissä ryhmäkäytäntöobjekteissa – mutta ne ovat silti käyttäjän asetuksia, joten näppäimistön käyttäjän on edelleen Käytä ryhmäkäytäntöä kyseisessä ryhmäkäytäntöobjektissa, ja tietokoneen on edelleen luettava se. Kiristä silmukan GPO:n suodatin vain tietokoneryhmään, ja kone noutaa velvollisuudentuntoisesti GPO:n, jonka käyttäjäasetuksia kukaan ei saa käyttää: täydellisesti konfiguroitu kioski-GPO, joka ei toimita äänettömästi mitään. Ennen kuin syytät itse käytäntöä, tarkista lupaparin molemmat puolikkaat.

Todista se gpresultilla

Älä arvaa - varmista. Avaa vaikutusalaan kuuluvan tietokoneen komentokehote kyseisen käyttäjän istunnossa ja suorita videon todistekomento:

gpresult /h report.html

Avaa luotu report.html ja lue tuomiot. Käytetyt GPO:t luetellaan yläreunassa, ja jokaisella hylätyllä GPO:lla on syynsä: Edelty (Suojaus) tarkoittaa suodatuspäätöstä, Eitetty (Ei käytettävissä) tarkoittaa haku- tai käyttölupavirhettä ja Edelty (tyhjä) tarkoittaa, että puolella GPO:sta ei yksinkertaisesti ole asetuksia. Kun silmukka toimii, sormenjälki on erehtymätön – käyttäjän asetukset toimittavat GPO:t ovat ne, jotka tulevat tietokoneen organisaatioyksiköstä. Käsittele todisteet tässä järjestyksessä - laajuus, suodatin, silmukka - ja useimmat "GPO ei sovellu" -tapaukset selittävät itsensä.