Tutorial Lengkap GPO Direktori Aktif ⚡ Penjelasan Kebijakan Pengguna & Komputer

Apa Sebenarnya GPO Itu

GPO hanyalah kumpulan pengaturan yang diberi nama. Ia tidak melakukan apa pun dengan sendirinya. Ini mulai berfungsi hanya ketika Anda menautkan ke sebuah wadah — situs, domain, atau Unit Organisasi (OU) — dan kemudian diterapkan ke akun pengguna atau komputer di dalam wadah itu.

Dua fakta mengikuti dari ini. Pertama, mengedit GPO dan menghubungkan GPO adalah dua pekerjaan terpisah; GPO yang dikonfigurasi dengan sempurna dan tidak ditautkan ke mana pun tidak mengubah apa pun. Kedua, satu GPO bisa dihubungkan ke beberapa OU, dan satu OU bisa menerima banyak GPO.

Segala sesuatu dalam tutorial ini terjadi dalam satu konsol — Konsol Manajemen Kebijakan Grup. Buka di pengontrol domain, atau di PC mana pun dengan alat RSAT terinstal, dari kotak Jalankan:

gpmc.msc

Kebijakan Komputer vs Kebijakan Pengguna — Dua Bagian

Buka GPO mana pun dan Anda akan melihat dua bagian yang sama: Konfigurasi Komputer dan Konfigurasi Pengguna. Ini bukan dua tampilan dari satu daftar — ini adalah dua kotak peralatan berbeda dengan pengaturan berbeda, diterapkan pada waktu berbeda ke akun berbeda.

Konfigurasi Komputer berlaku untuk akun komputer. Ini diproses ketika PC dinyalakan, sebelum ada orang yang log on. Instalasi perangkat lunak untuk mesin, skrip startup, pemblokiran USB, perilaku Pembaruan Windows, dan pengaturan keamanan ada di sini.

Konfigurasi Pengguna berlaku untuk akun pengguna. Ini diproses ketika pengguna log on, di PC mana pun. Wallpaper, pemetaan drive, pengalihan folder, skrip masuk, dan batasan Panel Kontrol ada di sini.

Di mana Anda menautkan, putuskan siapa yang mendapatkannya

Tautan GPO ada pada tiga tingkat: situs (lokasi kantor fisik), domain (semua orang), dan OU (satu departemen atau grup). Di kantor kecil dan menengah hampir semua penautan terjadi di tingkat OU, karena Anda terlebih dahulu mengatur akun ke dalam OU — satu untuk PC kantor, satu untuk pengguna staf, satu untuk laptop, dan seterusnya.

Dua GPO yang ada secara default — Kebijakan Domain Default (aturan kata sandi dan akun) dan Kebijakan Pengontrol Domain Default — sebaiknya dibiarkan begitu saja. Buat GPO Anda sendiri untuk pengaturan Anda sendiri, sehingga Anda dapat menonaktifkannya tanpa menyentuh default.

Buat, Konfigurasikan, dan Tautkan GPO Pertama Anda

Di gpmc.msc, klik kanan Group Policy Objects → New → beri nama yang menjelaskan fungsinya, seperti Block-USB-Drives. Pemberian nama sejujurnya penting: setelah enam bulan sebuah kantor memiliki empat puluh GPO, dan nama seperti "GPO Baru" atau "test2" tidak memberi tahu Anda apa pun — nama berdasarkan pekerjaan, bukan berdasarkan tanggal.

Klik kanan GPO baru → Edit. Editor membuka dengan dua bagian. Konfigurasikan pengaturan Anda di bagian yang benar dan tutup editor.

Kembali ke GPMC, klik kanan OU target → Tautkan GPO yang Ada → pilih GPO Anda. Pada PC klien, mulai ulang (untuk pengaturan komputer) atau logout dan aktifkan kembali (untuk pengaturan pengguna) — atau paksa penyegaran dengan perintah di langkah berikutnya.

Paksa dan Buktikan — gpupdate dan gpresult

Kebijakan diperbarui dengan sendirinya kira-kira setiap 90 menit (dengan offset acak), namun tidak ada yang mengujinya secara lambat. Di PC klien, buka Command Prompt dan jalankan:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force menerapkan kembali semua kebijakan sekarang. Beberapa pengaturan sejujurnya masih memerlukan restart (pengaturan komputer, instalasi perangkat lunak) atau logon baru (pengaturan pengguna) — /force tidak dapat melewati fisika.

gpresult /r adalah tanda terimanya: ia mencantumkan dengan tepat GPO mana yang diterapkan pada komputer dan pengguna, dan mana yang disaring dan alasannya. Agar laporan dapat dibaca, gpresult /h report.html membuat halaman HTML yang menampilkan setiap setelan pemenang dan dari GPO mana asalnya. Jangan pernah menilai GPO dengan harapan — gpresult /r harus menjadi perintah pertama yang Anda jalankan setiap kali kebijakan "tidak berfungsi".