Buong Tutorial ng Active Directory GPO ⚡ Ipinaliwanag ang Patakaran ng User at Computer

Ano ba talaga ang GPO

Ang GPO ay isang pinangalanang bundle ng mga setting. Wala itong ginagawa sa sarili. Magsisimula lang itong gumana kapag na-link mo ito sa isang container — isang site, domain, o isang Organizational Unit (OU) — at pagkatapos ay nalalapat ito sa user o mga computer account sa loob ng container na iyon.

Dalawang katotohanan ang sumusunod mula rito. Una, ang pag-edit ng GPO at pag-link ng GPO ay dalawang magkahiwalay na trabaho; isang perpektong naka-configure na GPO na hindi naka-link kahit saan ay walang pagbabago. Pangalawa, ang isang GPO ay maaaring maiugnay sa ilang OU, at ang isang OU ay maaaring makatanggap ng maraming GPO.

Lahat ng nasa tutorial na ito ay nangyayari sa isang console — ang Group Policy Management Console. Buksan ito sa controller ng domain, o sa anumang PC na may naka-install na RSAT tool, mula sa Run box:

gpmc.msc

Patakaran sa Computer kumpara sa Patakaran ng Gumagamit — ang Dalawang Halves

Buksan ang anumang GPO at makikita mo ang parehong dalawang seksyon: Computer Configuration at User Configuration. Ang mga ito ay hindi dalawang view ng isang listahan — ang mga ito ay dalawang magkaibang toolbox na may magkaibang mga setting, na inilapat sa magkaibang oras sa magkaibang mga account.

Nalalapat ang Computer Configuration sa computer account. Pinoproseso ito kapag nagsimula ang PC, bago mag-log on ang sinuman. Ang pag-install ng software para sa mga makina, startup script, USB blocking, pag-uugali ng Windows Update at mga setting ng seguridad ay nakatira dito.

Nalalapat ang Configuration ng User sa account ng user. Pinoproseso ito kapag nag-log on ang isang user, sa anumang PC. Ang mga wallpaper, pagmamapa ng drive, pag-redirect ng folder, mga script ng logon at mga paghihigpit sa Control Panel ay nakatira dito.

Kung Saan Mo Magpa-link Kung Sino ang Makakakuha Nito

Ang mga GPO ay nagli-link sa tatlong antas: site (isang pisikal na lokasyon ng opisina), domain (lahat), at OU (isang departamento o grupo). Sa maliit at katamtamang mga opisina, halos lahat ng pagli-link ay nangyayari sa antas ng OU, dahil una mong inaayos ang mga account sa mga OU — isa para sa mga office PC, isa para sa mga user ng staff, isa para sa mga laptop, at iba pa.

Ang dalawang GPO na umiiral bilang default — Default na Patakaran sa Domain (password at mga panuntunan ng account) at Default na Patakaran sa Mga Controller ng Domain — ay pinakamainam na iwanang nag-iisa. Lumikha ng sarili mong mga GPO para sa sarili mong mga setting, para maisara mo ang mga ito nang hindi hinahawakan ang mga default.

Gumawa, I-configure at I-link ang Iyong Unang GPO

Sa gpmc.msc, i-right-click ang Group Policy Objects → Bago → bigyan ito ng pangalan na nagsasabi kung ano ang ginagawa nito, tulad ng Block-USB-Drives. Matapat na mahalaga ang pagbibigay ng pangalan: pagkatapos ng anim na buwan ang isang opisina ay may apatnapung GPO, at ang mga pangalan tulad ng "Bagong GPO" o "test2" ay walang sinasabi sa iyo — pangalan ayon sa trabaho, hindi ayon sa petsa.

I-right-click ang bagong GPO → I-edit. Binuksan ng editor ang dalawang halves. I-configure ang iyong mga setting sa tamang kalahati at isara ang editor.

Bumalik sa GPMC, i-right-click ang target na OU → Mag-link ng Kasalukuyang GPO → piliin ang iyong GPO. Sa client PC, i-restart ito (para sa mga setting ng computer) o mag-log off at bumalik (para sa mga setting ng user) — o pilitin ang pag-refresh gamit ang mga command sa susunod na hakbang.

Pilitin Ito at Patunayan Ito — gpupdate at gpresult

Ang mga patakaran ay nagre-refresh sa kanilang sarili halos bawat 90 minuto (na may random na offset), ngunit walang sinuman ang sumusubok na mabagal. Sa client PC, buksan ang Command Prompt at patakbuhin ang:

gpupdate /force
gpresult /r
gpresult /h report.html

Muling inilalapat ng gpupdate /force ang lahat ng patakaran ngayon. Ang ilang mga setting ay talagang nangangailangan pa rin ng pag-restart (mga setting ng computer, pag-install ng software) o isang bagong logon (mga setting ng user) — hindi maaaring laktawan ng /force ang pisika.

Ang gpresult /r ay ang resibo: eksaktong nakalista ito kung aling mga GPO ang inilapat sa computer at sa user, at kung alin ang na-filter at bakit. Para sa isang nababasang ulat, ang gpresult /h report.html ay lumilikha ng isang HTML na pahina na nagpapakita ng bawat panalong setting at kung saang GPO ito nanggaling. Huwag husgahan ang isang GPO sa pamamagitan ng pag-asa — gpresult /r dapat ang unang command na pinapatakbo mo tuwing "hindi gumagana" ang isang patakaran.