Spiegazione del loopback dell'oggetto Criteri di gruppo e del filtro di sicurezza

Inizia dall'impostazione predefinita: Utenti autenticati

Per impostazione predefinita, ogni nuovo oggetto Criteri di gruppo è dotato di un filtro di sicurezza: Utenti autenticati, che detiene sia le autorizzazioni di Lettura che di Applica criteri di gruppo. Questo gruppo è più ampio di quanto sembri, poiché include tutti gli utenti che hanno effettuato l'accesso e tutti gli account dei computer del dominio, ed è per questo che un nuovo oggetto Criteri di gruppo "funziona" per tutti gli utenti dell'unità organizzativa a cui è collegato. Puoi visualizzare il filtro nella Console di gestione dei criteri di gruppo: seleziona l'oggetto Criteri di gruppo e osserva la casella Filtro di sicurezza nella scheda Ambito. Tutto in questo video rappresenta una modifica deliberata a tale impostazione predefinita e ogni sorpresa inizia da lì.

Attiva l'elaborazione di loopback

L'elaborazione di loopback è un'impostazione del computer. Modifica l'oggetto Criteri di gruppo collegato all'unità organizzativa che contiene i computer e vai a Configurazione computer → Criteri → Modelli amministrativi → Sistema → Criteri di gruppo. Apri Configura la modalità di elaborazione loopback dei criteri di gruppo dell'utente e impostala su Abilitato. Da quel momento, le impostazioni utente per chiunque acceda a tali PC verranno prese dagli oggetti Criteri di gruppo collegati all'unità organizzativa del computer anziché solo dall'unità organizzativa dell'utente. Il loopback non modifica mai la metà della policy del computer: le impostazioni del computer vengono sempre elaborate normalmente.

Scegli la modalità Unisci o Sostituisci

La stessa impostazione richiede una modalità e la scelta cambia tutto. Sostituisci ignora completamente gli oggetti Criteri di gruppo lato utente dell'utente: vengono applicate solo le impostazioni utente degli oggetti Criteri di gruppo del computer. Questa è la modalità per chioschi, aule e server RDS, dove la macchina deve presentare a tutti un ambiente identico e controllato. Unisci applica prima gli oggetti Criteri di gruppo dell'utente, quindi applica sopra le impostazioni utente del computer e le impostazioni del computer prevalgono su qualsiasi conflitto. Merge si adatta ai normali PC in cui la persona mantiene la maggior parte delle proprie politiche abituali, ma le regole della macchina devono avere l'ultima parola.

Puntare l'oggetto Criteri di gruppo con il filtro di sicurezza

Il filtro di sicurezza consente di impedire a un oggetto Criteri di gruppo di raggiungere tutti gli utenti dell'unità organizzativa. Seleziona l'oggetto Criteri di gruppo nella console, apri la scheda Ambito e nella sezione Filtri di sicurezza rimuovi Utenti autenticati e aggiungi solo il gruppo che dovrebbe ricevere la policy. Per ricevere un oggetto Criteri di gruppo, un account necessita di sia leggere che applicare criteri di gruppo: con solo uno dei due, l'oggetto Criteri di gruppo non viene mai scaricato o elencato ma ignorato. Il filtraggio è il modo standard per sperimentare una nuova policy prima su un piccolo gruppo o per indirizzare un singolo dipartimento, senza spostare un singolo account tra le unità organizzative.

Mantieni l'autorizzazione di lettura dei computer (MS16-072)

Questa è la trappola che ha colpito gli amministratori da giugno 2016. L'aggiornamento della sicurezza MS16-072 ha cambiato il modo in cui vengono recuperati i criteri di gruppo: l'account computer ora recupera gli oggetti Criteri di gruppo dell'utente dal controller di dominio nel contesto di sicurezza del computer. Pertanto, il computer deve disporre dell'autorizzazione di Lettura su ogni oggetto Criteri di gruppo che recupera, inclusi gli oggetti Criteri di gruppo utente filtrati in un gruppo di cui il computer non è membro. Se hai rimosso gli utenti autenticati nel passaggio precedente, apri la scheda Delega dell'oggetto Criteri di gruppo, fai clic su Aggiungi e concedi agli utenti autenticati (o computer del dominio) l'autorizzazione di sola lettura: la lettura è tutto ciò di cui la macchina ha bisogno; Applica soggiorni con il tuo gruppo target.

Quando loopback e filtraggio si incontrano

I due controlli interagiscono e l'interazione cattura anche gli amministratori esperti. Le impostazioni utente fornite da loopback risiedono ancora negli oggetti Criteri di gruppo collegati all'unità organizzativa del computer, ma sono ancora impostazioni utente, quindi la persona alla tastiera deve ancora applicare criteri di gruppo a quell'oggetto Criteri di gruppo e il computer deve ancora leggerlo. Stringere il filtro su un GPO di loopback solo su un gruppo di computer e la macchina recupera diligentemente un GPO le cui impostazioni utente a nessuno è consentito applicare: un GPO chiosco perfettamente configurato che silenziosamente non fornisce nulla. Prima di incolpare la policy stessa, controlla entrambe le metà della coppia di permessi.

Dimostralo con gpresult

Non indovinare: verifica. Sul PC interessato, nella sessione dell'utente interessato, apri il prompt dei comandi ed esegui il comando di prova del video:

gpresult /h report.html

Apri il report.html generato e leggi i verdetti. Gli oggetti Criteri di gruppo applicati sono elencati in alto e ogni oggetto Criteri di gruppo rifiutato riporta il relativo motivo: Negato (Sicurezza) significa una decisione di filtro, Negato (Inaccessibile) significa un recupero o un errore di autorizzazione e Negato (Vuoto) significa che metà dell'oggetto Criteri di gruppo semplicemente non ha impostazioni. Con il funzionamento del loopback, l'impronta digitale è inconfondibile: gli oggetti Criteri di gruppo che forniscono le impostazioni dell'utente sono quelli dell'unità organizzativa del computer. Elabora le prove in questo ordine (ambito, filtro, loopback) e la maggior parte dei casi di "GPO non applicato" si spiegano da soli.