Penjelasan Loopback & Keamanan GPO

Mulai dari Default — Pengguna yang Diautentikasi

Setiap GPO baru memiliki satu filter keamanan: Pengguna yang Diautentikasi, yang memiliki izin Baca dan Terapkan Kebijakan Grup. Grup tersebut lebih luas daripada yang terlihat — mencakup setiap pengguna yang masuk dan setiap akun komputer domain — dan itulah sebabnya GPO baru "berfungsi" untuk semua orang di OU yang terhubung dengannya. Anda dapat melihat filter di Konsol Manajemen Kebijakan Grup: pilih GPO dan lihat kotak Pemfilteran Keamanan pada tab Cakupan. Segala sesuatu dalam video ini merupakan perubahan yang disengaja terhadap default tersebut — dan setiap kejutan dimulai dari sana.

Aktifkan Pemrosesan Loopback

Pemrosesan loopback adalah setelan komputer. Edit GPO yang tertaut ke OU yang menampung komputer, dan buka Konfigurasi Komputer → Kebijakan → Templat Administratif → Sistem → Kebijakan Grup. Buka Konfigurasi mode pemrosesan loopback Kebijakan Grup pengguna dan setel ke Diaktifkan. Sejak saat itu, pengaturan pengguna untuk siapa pun yang masuk ke PC tersebut diambil dari GPO yang terhubung ke OU komputer dan bukan hanya OU milik pengguna itu sendiri. Loopback tidak pernah mengubah separuh kebijakan komputer — pengaturan komputer selalu diproses secara normal.

Pilih Mode Gabung atau Ganti

Pengaturan yang sama meminta mode, dan pilihan mengubah segalanya. Ganti melewatkan seluruh GPO sisi pengguna milik pengguna — hanya pengaturan pengguna dari GPO komputer yang berlaku. Ini adalah mode untuk kios, ruang kelas, dan server RDS, di mana mesin harus menghadirkan satu lingkungan yang identik dan terkendali kepada semua orang. Penggabungan menerapkan GPO milik pengguna terlebih dahulu, kemudian menerapkan setelan pengguna komputer di atas — dan setelan komputer memenangkan konflik apa pun. Penggabungan cocok untuk PC biasa di mana orang tersebut menjalankan sebagian besar kebijakannya yang biasa, tetapi aturan mesinlah yang menentukan.

Arahkan GPO dengan Pemfilteran Keamanan

Pemfilteran keamanan adalah cara Anda menghentikan GPO agar tidak menjangkau semua orang di OU. Pilih GPO di konsol, buka tab Cakupan, dan di bagian Pemfilteran Keamanan hapus Pengguna yang Diautentikasi dan tambahkan hanya grup yang seharusnya menerima kebijakan tersebut. Untuk menerima GPO, akun perlu keduanya Membaca dan Menerapkan Kebijakan Grup — dengan hanya satu dari keduanya, GPO tidak pernah diunduh atau dicantumkan tetapi dilewati. Pemfilteran adalah cara standar untuk memulai kebijakan baru pada satu kelompok kecil terlebih dahulu, atau menargetkan satu departemen, tanpa memindahkan satu akun pun antar OU.

Jaga Izin Baca Komputer (MS16-072)

Ini adalah jebakan yang telah menggigit admin sejak Juni 2016. Pembaruan keamanan MS16-072 mengubah cara Kebijakan Grup diambil: akun komputer sekarang mengambil GPO pengguna dari pengontrol domain dalam konteks keamanan komputer itu sendiri. Jadi komputer harus memiliki izin Baca pada setiap GPO yang diambilnya — termasuk GPO pengguna yang difilter ke grup di mana komputer tersebut bukan anggotanya. Jika Anda menghapus Pengguna yang Diautentikasi pada langkah sebelumnya, buka tab Delegasi GPO, klik Tambahkan, dan berikan izin Baca kepada Pengguna yang Diautentikasi (atau Komputer Domain) saja — hanya membaca yang dibutuhkan mesin; Terapkan masa tinggal dengan kelompok sasaran Anda.

Saat Loopback dan Filtering Bertemu

Kedua kontrol berinteraksi, dan interaksi tersebut bahkan melibatkan admin berpengalaman. Setelan pengguna yang diberikan loopback masih ada di GPO yang ditautkan ke OU komputer — namun setelan tersebut masih merupakan setelan pengguna, jadi orang yang memegang keyboard masih perlu Terapkan Kebijakan Grup pada GPO tersebut, dan komputer masih perlu Membaca itu. Kencangkan filter pada GPO loopback ke grup komputer saja, dan mesin dengan patuh mengambil GPO yang pengaturan penggunanya tidak boleh diterapkan oleh siapa pun: GPO kios yang dikonfigurasi dengan sempurna dan diam-diam tidak memberikan apa pun. Sebelum menyalahkan kebijakan itu sendiri, periksa kedua bagian pasangan izin.

Buktikan dengan gpresult

Jangan menebak — verifikasi. Pada PC yang terpengaruh, di sesi pengguna yang terpengaruh, buka Command Prompt dan jalankan perintah bukti video:

gpresult /h report.html

Buka report.html yang dihasilkan dan baca putusannya. GPO yang diterapkan tercantum di bagian atas, dan setiap GPO yang ditolak memiliki alasannya: Ditolak (Keamanan) berarti keputusan pemfilteran, Ditolak (Tidak Dapat Diakses) berarti pengambilan atau kegagalan izin, dan Ditolak (Kosong) berarti setengah dari GPO tidak memiliki setelan. Dengan loopback yang berfungsi, sidik jarinya tidak salah lagi - GPO yang mengirimkan pengaturan pengguna adalah yang berasal dari OU komputer. Kerjakan bukti dalam urutan ini - cakupan, filter, loopback - dan sebagian besar kasus "GPO tidak berlaku" akan menjelaskannya sendiri.