הסבר ל-GPO Loopback וסינון אבטחה

התחל מברירת המחדל - משתמשים מאומתים

מחוץ לקופסה, כל GPO חדש נושא מסנן אבטחה אחד: משתמשים מאומתים, בעל הרשאות קריאה והחל מדיניות קבוצתית. הקבוצה הזו רחבה יותר ממה שהיא נשמעת - היא כוללת כל משתמש מחובר וכל חשבון מחשב בדומיין - וזו הסיבה ש-GPO חדש "פשוט עובד" עבור כל אחד ב-OU שאליו הוא מקושר. אתה יכול לראות את המסנן במסוף ניהול המדיניות הקבוצתית: בחר ב-GPO והסתכל בתיבה סינון אבטחה בכרטיסייה היקף. כל מה בסרטון הזה הוא שינוי מכוון לברירת המחדל הזו - וכל הפתעה מתחילה שם.

הפעל את Loopback Processing

עיבוד Loopback הוא הגדרה של מחשב. ערוך את ה-GPO המקושר ל-OU שמחזיק את המחשבים, ועבור אל תצורת מחשב ← מדיניות ← תבניות ניהול ← מערכת ← מדיניות קבוצתית. פתח את הגדר את מצב עיבוד חוזר של מדיניות קבוצתית של משתמש והגדר אותו למופעל. מאותו רגע, הגדרות המשתמש עבור כל מי שנכנס למחשבים אלה נלקחות מ-GPOs המקושרים ל-OU של מחשב במקום רק ל-OU של המשתמש עצמו. Loopback לעולם לא משנה את חצי המדיניות של המחשב - הגדרות המחשב תמיד מעובדות כרגיל.

בחר מצב מיזוג או החלפה

אותה הגדרה מבקשת מצב, והבחירה משנה הכל. החלף מדלג לחלוטין על ארגוני ה-GPO בצד המשתמש של המשתמש - רק הגדרות המשתמש מ-GPOs של המחשב חלות. זה המצב לקיוסקים, כיתות ושרתי RDS, שבו המכונה חייבת להציג סביבה אחת זהה ומבוקרת לכולם. מיזוג מחיל תחילה את GPOs של המשתמש עצמו, ולאחר מכן מחיל את הגדרות המשתמש של המחשב למעלה - והגדרות המחשב מנצחות כל התנגשות. מיזוג מתאים למחשבים רגילים שבהם האדם שומר על רוב המדיניות הרגילה שלו, אבל חוקי המכונה חייבים לכלול את המילה האחרונה.

כוון את ה-GPO עם סינון אבטחה

סינון אבטחה הוא הדרך שבה אתה מונע מ-GPO ללכת לכל אחד ב-OU. בחר את GPO במסוף, פתח את הכרטיסייה היקף ובקטע סינון אבטחה הסר את משתמשים מאומתים והוסף רק את הקבוצה שאמורה לקבל את המדיניות. כדי לקבל GPO, חשבון צריך הן לקריאה והחלה של מדיניות קבוצתית - רק עם אחד מהשניים, ה-GPO אף פעם לא יורדת או רשומה אלא דילג עליה. סינון הוא הדרך הסטנדרטית לפיילוט מדיניות חדשה על קבוצה קטנה אחת תחילה, או למקד למחלקה בודדת, מבלי להעביר חשבון אחד בין ארגונים ארגוניים.

שמור על הרשאת הקריאה של המחשבים (MS16-072)

זוהי המלכודת שנשכה מנהלי מערכת מאז יוני 2016. עדכון האבטחה MS16-072 שינה את האופן שבו מדיניות קבוצתית מאוחזרת: חשבון המחשב מאחזר כעת GPOs של משתמשים מבקר התחום בהקשר האבטחה של המחשב עצמו. לכן המחשב חייב להחזיק בהרשאת קריאה בכל GPO שהוא מביא - כולל GPO של משתמשים שסוננו לקבוצה שהמחשב אינו חבר בה. אם הסרת משתמשים מאומתים בשלב הקודם, פתח את הכרטיסייה האצלה של ה-GPO, לחץ על הוסף ותן למשתמשים מאומתים (או למחשבי תחום) הרשאת קריאה בלבד - קריאה היא כל מה שדרוש למכשיר; החל להישאר עם קבוצת היעד שלך.

כאשר לולאה וסינון נפגשים

שני הפקדים מקיימים אינטראקציה, והאינטראקציה תופסת אפילו מנהלים מנוסים. הגדרות המשתמש ש-loopback מספקת עדיין פועלות ב-GPOs המקושרות ל-OU של המחשב - אבל הן עדיין הגדרות משתמש, כך שהאדם ליד המקלדת עדיין צריך החל מדיניות קבוצתית על אותו GPO, והמחשב עדיין צריך לקרוא אותה. הדקו את המסנן ב-GPO עם loopback לקבוצת מחשבים בלבד, והמכונה מביאה בצייתנות ל-GPO שאף אחד שיושב בה אינו רשאי להחיל את הגדרות המשתמש שלו: GPO קיוסק מוגדר בצורה מושלמת שלא מספק כלום בשקט. לפני האשמת הפוליסה עצמה, בדוק את שני החצאים של צמד ההרשאות.

הוכח את זה עם gpresult

אל תנחש - אמת. במחשב המושפע, בהפעלה של המשתמש המושפע, פתח את שורת הפקודה והפעל את פקודת ההוכחה של הסרטון:

gpresult /h report.html

פתח את report.html שנוצר וקרא את פסקי הדין. ארגוני GPO מיושמים מופיעים בחלק העליון, וכל GPO שנדחה נושא את הסיבה שלו: נדחה (אבטחה) פירושו החלטת סינון, נדחה (לא נגיש) פירושו כשל באחזור או בהרשאות, ונדחה (ריק) פירושו שלחצי מה-GPO פשוט אין הגדרות. עם פעולת loopback, טביעת האצבע אינה ניתנת לטעות - ה-GPOs המספקים את הגדרות המשתמש הם אלה מה-OU של המחשב. עבדו את הראיות בסדר הזה - היקף, סינון, לולאה חוזרת - ורוב המקרים של "GPO לא חל" מסבירים את עצמם.