Top 10 GPO Windows Serverissä
10 parasta Windows Server -toimiston ryhmäkäytäntöä – salasanakäytäntö, näytön lukitus, USB-esto, asemakartoitus, tulostimet, päivitykset, kansioiden uudelleenohjaus, AppLocker, tarkastus ja paikallisen järjestelmänvalvojan hallinta – jokainen selitetty yksinkertaisin sanoin.
📑Lukuja
- Miksi uusi verkkotunnus tarvitsee ensin nämä kymmenen käytäntöä
- Salasanakäytäntö – yksi sääntö koko verkkotunnukselle
- Näytön lukitus – valvomaton tietokone lukitsee itsensä
- USB-lohko – kynäasemat lakkaavat olemasta ovi
- Aseman kartoitus – palvelinosuudet näkyvät itsestään
- Tulostimet – toimistotulostin koskematta tietokoneeseen
- Päivitykset – Windows-päivitykset tapahtuvat aikataulusi mukaan
- Kansion uudelleenohjaus – asiakirjat ovat palvelimella, ei tietokoneella
- AppLocker – vain hyväksytyt ohjelmat ovat käynnissä
- Tarkastus – kirjaa sisään, kuka kirjautui sisään ja kuka epäonnistui
- Paikallisen järjestelmänvalvojan hallinta – melkein kukaan ei ole järjestelmänvalvoja omassa tietokoneessaan
- Testaa pilottiyksikköä ennen kuin se julkaistaan kaikille
📋 Yleiskatsaus ja vaiheittaiset ohjeet
Avaa ensin ryhmäkäytäntöjen hallinta
Kaikki kymmenen käytäntöä on rakennettu yhteen konsoliin: ryhmäkäytäntöjen hallintakonsoliin. Avaa Suorita-ruutu, kirjoita alla oleva komento ja paina Enter. Koko luettelon toimintasääntö on yksi GPO per työ, joilla kullakin on yksinkertainen nimi, kuten Block-USB-Storage tai Screen-Lock-10-Min – erillinen käytäntö voidaan testata, poistaa käytöstä, peruuttaa ja suodattaa yksinään, kun taas yksi jättiläinen GPO epäonnistuu jättiläisenä.
gpmc.mscSalasanakäytäntö – yksi sääntö koko verkkotunnukselle
Polku: Tietokoneen asetukset → Käytännöt → Windows-asetukset → Suojausasetukset → Tilikäytännöt → Salasanakäytäntö, jota yleensä muokataan oletustoimialuekäytännössä. Aseta vähimmäispituus, jonka ihmiset voivat muistaa – 12 merkkiä monimutkaisesti lyönnillä 8 merkkiä vaihdetaan joka kuukausi. Microsoftin oma moderni opastus on pudonnut pakotetun toistuvan vanhenemisen, koska käyttäjät vastaavat siihen ennakoitavissa olevin kaavoin. Pituus ja järkevä tilin sulkemiskäytäntö on rehellinen yhdistelmä.
Näytön lukitus — Valvomaton PC lukitsee itsensä
Polku: Käyttäjän määritykset → Käytännöt → Hallintamallit → Ohjauspaneeli → Mukauttaminen — ota näytönsäästäjä käyttöön, aseta aikakatkaisu ja ota käyttöön näytönsäästäjän salasanasuojaus. Tietokonepuolen kaksoisverkko, Interaktiivinen sisäänkirjautuminen: Koneen passiivisuusraja Suojausasetukset-kohdassa, tekee saman työn konetta kohti. Kymmenen minuuttia on toimiston suloinen paikka: joku kävelee pois lukitsemattomalta PC:ltä, joka on kirjautunut tilille tai HR:lle, ja ohikulkija on yhtäkkiä kyseinen henkilö. Tämä käytäntö sulkee rakennuksen halvimman turva-aukon.
USB-tallennustilan ohjaus — kynäasemat lakkaavat olemasta ovi
Polku: Tietokoneen asetukset → Käytännöt → Hallintamallit → Järjestelmä → Siirrettävän tallennustilan käyttöoikeus. Voit estää lukemisen, kirjoittamisen tai suorittamisen laiteluokkakohtaisesti tai kaiken irrotettavan tallennustilan yhdessä asetuksessa. Toimiston syy on data: yhdellä kynäasemalla voi viedä koko asiakastietokannan ulos rakennuksesta tai viruksen sisään.
Drive Mapping — palvelinosuudet näkyvät itsestään
Polku: Käyttäjän määritykset → Asetukset → Windows-asetukset → Asemakartat. Tämä on ryhmäkäytännön asetus, ei perinteinen käytäntö: osoitat asemakirjaimella osuutta, valitset toiminnon (Luo tai Päivitä) ja käytät nimiketason kohdistusta, jos tilien pitäisi saada vetoa, jota myynnin ei pitäisi. Tämä käytäntö poistaa IT:n vanhimman komentosarjan – sisäänkirjautumisen erätiedoston – ja päivittäisen "palvelinasema katosi" -kutsun. Kartoitettu asema, jossa näkyy punainen risti, on sitten heti luettavissa: verkko- tai käyttöoikeusongelma, ei kartoitusmysteeri.
Tulostimen käyttöönotto — Office-tulostin koskematta tietokoneeseen
Polku: Asetukset → Ohjauspaneelin asetukset → Tulostimet (tai ota käyttöön Tulostuksenhallinnasta). Käyttäjä kirjautuu sisään ja toimistotulostin on yksinkertaisesti perillä oikean ohjaimen kanssa tulostuspalvelimelta. Kohdista tulostimiin organisaatioyksikön tai ryhmän mukaan, jotta kolmas kerros lopettaa tulostamisen pohjakerroksessa.
Windows Update Control – Päivityksiä tapahtuu aikataulusi mukaan
Polku: Tietokoneen asetukset → Käytännöt → Hallintamallit → Windows-komponentit → Windows Update. Tärkeimmät asetukset: Määritä automaattiset päivitykset, Ei automaattista uudelleenkäynnistystä kirjautuneiden käyttäjien kanssa, asennuksen määräajat ja – jos toimisto käyttää WSUS:a – intranet-päivityspalvelimen sijainti. Lykkäysasetusten avulla pilottiryhmä saa päivitykset ensin ja muu toimisto muutaman päivän kuluttua. Ole selkeä työssä: tämä käytäntö hallitsee ajoitusta, ei sitä, tapahtuuko päivityksiä. Aseta työajan jälkeinen asennusikkuna ja uudelleenkäynnistyksen määräaika, jonka käyttäjät näkevät tulevan, ja päivitykset muuttuvat tylsiksi – juuri sitä haluat.
Kansion uudelleenohjaus — Asiakirjat elävät palvelimella, eivät tietokoneella
Polku: Käyttäjän määritykset → Käytännöt → Windows-asetukset → Kansion uudelleenohjaus. Asiakirjat, työpöytä ja kuvat osoittavat hiljaa tiedostopalvelimella olevaan kansioon paikallisen levyn sijaan. Voitto näkyy pahimpana päivänä: tietokone kuolee, käyttäjä kirjautuu sisään millä tahansa muulla tietokoneella ja hänen tiedostonsa ovat jo siellä - ja palvelimen kopio on tavallisessa varmuuskopiossasi.
AppLocker — Vain hyväksytyt ohjelmat suoritetaan
Polut: Tietokoneen asetukset → Windows-asetukset → Suojausasetukset → Sovellusten ohjauskäytännöt → AppLocker tai saman alueen vanhemmat ohjelmistorajoituskäytännöt. Ideana on sallittujen luettelo: Windows, Program Files ja järjestelmänvalvojan hyväksymät sovellukset voivat toimia; mitä tahansa käyttäjä lataa omaan profiiliinsa, ei saa. Tämä on listan vahvin ja eniten kunnioitusta vaativa kohta.
Tarkastuksen kirjaaminen — Kirjaa sisään, kuka kirjautui sisään ja kuka epäonnistui
Polku: Tietokoneen asetukset → Käytännöt → Windows-asetukset → Suojausasetukset → Tarkastuskäytännön lisäasetukset. Tarkista vähintään kirjautumisen onnistuminen ja epäonnistuminen toimialueen ohjauskoneissa ja jäsenpalvelimissa. Auditointi vastaa kysymykseen, jonka jokainen toimisto kysyy tapauksen jälkeen: kenen tiliä käytettiin, miltä tietokoneelta ja milloin?
Paikallinen järjestelmänvalvojan hallinta – Lähes kukaan ei ole järjestelmänvalvoja omassa tietokoneessaan
Polku: Asetukset → Ohjauspaneelin asetukset → Paikalliset käyttäjät ja ryhmät voivat puhdistaa Järjestelmänvalvojat-ryhmän jokaisessa tietokoneessa — poistaa hajakäyttäjätilit, säilyttää IT-tukiryhmän. Täydentävä osa on Windows LAPS, joka antaa jokaiselle tietokoneelle ainutlaatuisen, automaattisesti käännetyn paikallisen järjestelmänvalvojan salasanan, joka on tallennettu turvallisesti Active Directoryyn. Päivittäinen työ ei vaadi järjestelmänvalvojan oikeuksia; haittaohjelmat perivät ne. Poista pysyvät järjestelmänvalvojan oikeudet, säilytä LAPS sen päivän ajan, jolloin IT tarvitsee paikallisen salasanan, ja puolet tapauksista normaalissa toimistossa ei koskaan tapahdu – mutta säilytä yksi testattu lasinmurtumisreitti ennen käyttöönottoa.
Käytä, päivitä ja vahvista testitietokoneella
Linkitä uusi GPO testiyksikköön ja pakota testiasiakkaassa käytäntö päivittämään ja todista tulos ennen kuin kukaan muu saa sen. Ensimmäinen komento käyttää käytäntöjä nyt sen sijaan, että odotat seuraavaa päivitysjaksoa; toinen kirjoittaa raportin, jossa luetellaan tarkalleen, mitä GPO:ita sovellettiin - ja mitkä hylättiin ja miksi.
gpupdate /forcegpresult /h report.html🏷️Aihehaun muuttujat ja avainsanat
🎙️ Täysi transkriptio – laajenna napauttamalla
__TOK_35__
__TOK_36__
__TOK_37__
❓ Usein kysytyt kysymykset
Onko tämä opetusohjelma 100% ilmainen seurata?
__TOK_38__
Voivatko aloittelijat seurata tätä ohjetta?
__TOK_39__
Mistä voin esittää kysymyksiä, jos jään jumiin?
__TOK_40__