Ipinaliwanag ang GPO Loopback at Security Filtering

Magsimula sa Default — Mga Na-authenticate na User

Sa labas ng kahon, bawat bagong GPO ay nagdadala ng isang panseguridad na filter: Mga Na-authenticate na User, na may hawak na parehong Basahin at Ilapat ang Patakaran ng Grupo. Ang pangkat na iyon ay mas malawak kaysa sa inaakala — kabilang dito ang bawat naka-sign-in na user at bawat domain computer account — at ito ang dahilan kung bakit "gumagana lang" ang isang bagong GPO para sa lahat sa OU kung saan ito naka-link. Makikita mo ang filter sa Group Policy Management Console: piliin ang GPO at tingnan ang Security Filtering na kahon sa tab na Saklaw. Ang lahat sa video na ito ay sinadyang pagbabago sa default na iyon — at ang bawat sorpresa ay nagsisimula doon.

I-on ang Loopback Processing

Ang pagpoproseso ng loopback ay isang setting ng computer. I-edit ang GPO na naka-link sa OU na may hawak ng mga computer, at pumunta sa Computer Configuration → Mga Patakaran → Administrative Templates → System → Group Policy. Buksan ang I-configure ang user Group Policy loopback processing mode at itakda ito sa Enabled. Mula sa sandaling iyon, ang mga setting ng user para sa sinumang magla-log on sa mga PC na iyon ay kinuha mula sa mga GPO na naka-link sa computer OU sa halip na sa sariling OU lamang ng user. Hindi kailanman binabago ng Loopback ang kalahati ng patakaran ng computer — palaging pinoproseso nang normal ang mga setting ng computer.

Piliin ang Merge o Replace Mode

Ang parehong setting ay humihingi ng mode, at ang pagpipilian ay nagbabago sa lahat. Ang Palitan ay ganap na nilaktawan ang sariling user-side GPO ng user — tanging ang mga setting ng user mula sa mga GPO ng computer ang nalalapat. Iyon ang mode para sa mga kiosk, silid-aralan at RDS server, kung saan ang makina ay dapat magpakita ng isang magkapareho, kontroladong kapaligiran sa ganap na lahat. Inilalapat muna ng Merge ang mga sariling GPO ng user, pagkatapos ay ilalapat ang mga setting ng user ng computer sa itaas — at ang mga setting ng computer ay nanalo sa anumang salungatan. Ang merge ay umaangkop sa mga normal na PC kung saan pinapanatili ng tao ang karamihan sa kanilang karaniwang patakaran ngunit ang mga patakaran ng makina ay dapat na may huling salita.

Layunin ang GPO gamit ang Security Filtering

Ang pag-filter ng seguridad ay kung paano mo pipigilan ang isang GPO sa pagpunta sa lahat sa OU. Piliin ang GPO sa console, buksan ang tab na Scope, at sa seksyong Security Filtering alisin ang Authenticated Users at idagdag lang ang pangkat na dapat tumanggap ng patakaran. Upang makatanggap ng GPO, ang isang account ay nangangailangan ng kapwa Basahin at Ilapat ang Patakaran ng Grupo — sa isa lamang sa dalawa, ang GPO ay maaaring hindi kailanman na-download o nakalista ngunit nilaktawan. Ang pag-filter ay ang karaniwang paraan upang mag-pilot ng bagong patakaran sa isang maliit na grupo muna, o upang i-target ang isang departamento, nang hindi gumagalaw ng isang account sa pagitan ng mga OU.

Panatilihin ang Pahintulot sa Pagbasa ng mga Computer (MS16-072)

Ito ang bitag na nakagat ng mga admin mula noong Hunyo 2016. Binago ng update sa seguridad ng MS16-072 kung paano kinukuha ang Patakaran ng Grupo: kinukuha na ngayon ng computer account ang mga GPO ng user mula sa domain controller sa sariling konteksto ng seguridad ng computer. Kaya't ang computer ay dapat magkaroon ng Read na pahintulot sa bawat GPO na kinukuha nito — kabilang ang mga user GPO na na-filter sa isang pangkat na hindi miyembro ng computer. Kung inalis mo ang Authenticated Users sa nakaraang hakbang, buksan ang tab na Delegation ng GPO, i-click ang Add, at bigyan ang Authenticated Users (o Domain Computers) Read na pahintulot lamang — pagbabasa lang ang kailangan ng machine; Ilapat ang mga pananatili sa iyong target na grupo.

Kapag Nagkita-kita ang Loopback at Pag-filter

Ang dalawang kontrol ay nakikipag-ugnayan, at ang pakikipag-ugnayan ay nakakakuha ng kahit na mga karanasang admin. Ang mga setting ng user na inihahatid ng loopback ay nakatira pa rin sa mga GPO na naka-link sa OU ng computer — ngunit ang mga ito ay mga setting ng user, kaya kailangan pa rin ng taong nasa keyboard ng Ilapat ang Patakaran ng Grupo sa GPO na iyon, at kailangan pa rin ng computer na Basahin ito. Higpitan ang filter sa isang loopback na GPO sa isang pangkat ng computer lamang, at ang makina ay masunuring kumukuha ng isang GPO na ang mga setting ng user ay walang sinumang nakaupo dito ang pinapayagang mag-apply: isang perpektong na-configure na kiosk GPO na tahimik na naghahatid ng wala. Bago sisihin ang mismong patakaran, suriin ang parehong kalahati ng pares ng pahintulot.

Patunayan Ito sa gpresult

Huwag hulaan - i-verify. Sa apektadong PC, sa session ng apektadong user, buksan ang Command Prompt at patakbuhin ang proof command ng video:

gpresult /h report.html

Buksan ang nabuong report.html at basahin ang mga hatol. Ang mga inilapat na GPO ay nakalista sa itaas, at ang bawat tinanggihang GPO ay may dahilan: Ang Tinanggihan (Seguridad) ay nangangahulugang isang desisyon sa pag-filter, ang Tinanggihan (Hindi Maa-access) ay nangangahulugang isang pagkabigo sa pagkuha o mga pahintulot, at ang Tinanggihan (Walang laman) ay nangangahulugang ang kalahati ng GPO ay walang mga setting. Sa paggana ng loopback, hindi mapag-aalinlanganan ang fingerprint — ang mga GPO na naghahatid ng mga setting ng user ay ang mga mula sa OU ng computer. Gawin ang ebidensya sa pagkakasunud-sunod na ito — saklaw, filter, loopback — at karamihan sa mga kaso na "hindi nag-aaplay ang GPO" ay nagpapaliwanag sa kanilang sarili.