Active Directory GPO מדריך מלא ⚡ הסבר על מדיניות משתמשים ומחשבים

מה זה בעצם לע"מ

GPO הוא פשוט חבילת הגדרות עם שם. זה לא עושה כלום בפני עצמו. זה מתחיל לעבוד רק כאשר אתה מקשר אותו למכולה - אתר, דומיין או יחידה ארגונית (OU) - ואז הוא חל על חשבונות המשתמש או המחשב בתוך המיכל הזה.

שתי עובדות נובעות מכך. ראשית, עריכת GPO וקישור GPO הן שתי עבודות נפרדות; GPO מוגדר בצורה מושלמת שאינו מקושר לשום מקום לא משנה דבר. שנית, GPO אחד יכול להיות מקושר למספר ארגונים ארגוניים, ו-OU אחד יכול לקבל GPOs רבים.

הכל במדריך הזה מתרחש במסוף אחד - מסוף ניהול המדיניות הקבוצתית. פתח אותו בבקר התחום, או בכל מחשב עם כלי RSAT מותקנים, מתוך תיבת ההפעלה:

gpmc.msc

מדיניות מחשב מול מדיניות משתמש - שני החצאים

פתח כל GPO ותראה את אותם שני סעיפים: תצורת מחשב ותצורת משתמש. הם לא שתי תצוגות של רשימה אחת - הם שני ארגזי כלים שונים עם הגדרות שונות, המוחלים בזמנים שונים על חשבונות שונים.

תצורת מחשב חלה על חשבון המחשב. זה מעובד כשהמחשב מופעל, לפני שמישהו נכנס. התקנת תוכנה למכונות, סקריפטים להפעלה, חסימת USB, התנהגות Windows Update והגדרות אבטחה כאן.

תצורת משתמש חלה על חשבון המשתמש. זה מעובד כאשר משתמש נכנס, בכל מחשב. רקעים, מיפוי כוננים, ניתוב מחדש של תיקיות, סקריפטים לכניסה והגבלות של לוח הבקרה חיים כאן.

איפה אתה מקשר מחליט מי מקבל את זה

GPOs מקשרים בשלוש רמות: אתר (מיקום משרדי פיזי), דומיין (כולם) ו-OU (מחלקה או קבוצה אחת). במשרדים קטנים ובינוניים כמעט כל הקישור מתרחש ברמת ה-OU, מכיוון שאתה מארגן תחילה חשבונות ב-OUs - אחד עבור מחשבים משרדיים, אחד עבור משתמשי צוות, אחד עבור מחשבים ניידים, וכן הלאה.

שני ה-GPOs הקיימים כברירת מחדל - מדיניות תחום ברירת מחדל (כללי סיסמה וחשבון) ומדיניות ברירת המחדל של בקרי תחום - עדיף להשאיר לבד. צור GPO משלך עבור ההגדרות שלך, כך שתוכל לכבות אותם מבלי לגעת בברירות המחדל.

צור, הגדר וקשר את GPO הראשון שלך

ב-gpmc.msc, לחץ באמצעות לחצן העכבר הימני על אובייקטי מדיניות קבוצתית → חדש → תן לו שם שאומר מה הוא עושה, כמו חסום-USB-Drives. שמות חשובים בכנות: לאחר שישה חודשים יש למשרד ארבעים לע"מ, ושמות כמו "GPO חדש" או "מבחן 2" לא אומרים לך כלום - שם לפי תפקיד, לא לפי תאריך.

לחץ לחיצה ימנית על ה-GPO החדש → ערוך. העורך פותח בשני החצאים. הגדר את ההגדרות שלך בחצי הנכון וסגור את העורך.

בחזרה ל-GPMC, לחץ באמצעות לחצן העכבר הימני על יחידת ארגונית היעד ← קשר GPO קיים ← בחר GPO שלך. במחשב הלקוח, הפעל אותו מחדש (עבור הגדרות מחשב) או התנתק והפעל מחדש (עבור הגדרות משתמש) - או כפה את הרענון עם הפקודות בשלב הבא.

תכריח את זה והוכח את זה - gpupdate ו-gpresult

המדיניות מתרעננת מעצמה בערך כל 90 דקות (עם היסט אקראי), אבל אף אחד לא בודק כל כך לאט. במחשב הלקוח, פתח את שורת הפקודה והפעל:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force מחיל מחדש את כל המדיניות כעת. חלק מההגדרות עדיין זקוקות להפעלה מחדש (הגדרות מחשב, התקנות תוכנה) או כניסה חדשה (הגדרות משתמש) - /force לא יכול לדלג על פיזיקה.

gpresult /r היא הקבלה: היא מפרטת בדיוק אילו GPOs הוחלו על המחשב ועל המשתמש, ואילו סוננו ומדוע. לקבלת דוח קריא, gpresult /h report.html יוצר דף HTML המציג כל הגדרה מנצחת ומאיזה GPO היא הגיעה. לעולם אל תשפוט GPO לפי תקווה - gpresult /r צריכה להיות הפקודה הראשונה שאתה מפעיל בכל פעם שמדיניות "לא עובדת".