Tutorial Penuh GPO Direktori Aktif ⚡ Polisi Pengguna & Komputer Diterangkan

Apakah GPO Sebenarnya

GPO hanyalah himpunan tetapan bernama. Ia tidak melakukan apa-apa dengan sendirinya. Ia mula berfungsi hanya apabila anda memautnya ke bekas — tapak, domain atau Unit Organisasi (OU) — dan kemudiannya digunakan pada akaun pengguna atau komputer di dalam bekas itu.

Dua fakta berikut dari ini. Pertama, mengedit GPO dan memautkan GPO ialah dua kerja yang berasingan; GPO yang dikonfigurasikan sempurna yang tidak dipautkan ke mana-mana tidak mengubah apa-apa. Kedua, satu GPO boleh dipautkan kepada beberapa OU, dan satu OU boleh menerima banyak GPO.

Segala-galanya dalam tutorial ini berlaku dalam satu konsol — Konsol Pengurusan Dasar Kumpulan. Bukanya pada pengawal domain, atau pada mana-mana PC dengan alat RSAT dipasang, dari kotak Run:

gpmc.msc

Dasar Komputer vs Dasar Pengguna — Dua Bahagian

Buka mana-mana GPO dan anda akan melihat dua bahagian yang sama: Konfigurasi Komputer dan Konfigurasi Pengguna. Ia bukan dua paparan satu senarai — ia adalah dua kotak alat berbeza dengan tetapan berbeza, digunakan pada masa berbeza pada akaun berbeza.

Konfigurasi Komputer digunakan pada akaun komputer. Ia diproses apabila PC dimulakan, sebelum sesiapa pun log masuk. Pemasangan perisian untuk mesin, skrip permulaan, penyekatan USB, tingkah laku Kemas Kini Windows dan tetapan keselamatan secara langsung di sini.

Konfigurasi Pengguna digunakan pada akaun pengguna. Ia diproses apabila pengguna log masuk, pada mana-mana PC. Kertas dinding, pemetaan pemacu, ubah hala folder, skrip log masuk dan sekatan Panel Kawalan secara langsung di sini.

Tempat Anda Pautan Menentukan Siapa Yang Mendapatnya

Pautan GPO pada tiga peringkat: tapak (lokasi pejabat fizikal), domain (semua orang) dan OU (satu jabatan atau kumpulan). Di pejabat kecil dan sederhana hampir semua pemautan berlaku di peringkat OU, kerana anda mula-mula menyusun akaun ke dalam OU — satu untuk PC pejabat, satu untuk pengguna kakitangan, satu untuk komputer riba dan seterusnya.

Kedua-dua GPO yang wujud secara lalai — Dasar Domain Lalai (kata laluan dan peraturan akaun) dan Dasar Pengawal Domain Lalai — sebaiknya dibiarkan sahaja. Cipta GPO anda sendiri untuk tetapan anda sendiri, supaya anda boleh mematikannya tanpa menyentuh tetapan lalai.

Buat, Konfigurasikan dan Pautkan GPO Pertama Anda

Dalam gpmc.msc, klik kanan Objek Dasar Kumpulan → Baharu → beri nama yang menyatakan perkara yang dilakukannya, seperti Block-USB-Drives. Menamakan secara jujur ​​adalah penting: selepas enam bulan pejabat mempunyai empat puluh GPO dan nama seperti "GPO Baharu" atau "test2" tidak memberitahu anda apa-apa — nama mengikut pekerjaan, bukan mengikut tarikh.

Klik kanan GPO baharu → Edit. Editor dibuka dengan dua bahagian. Konfigurasikan tetapan anda pada separuh yang betul dan tutup editor.

Kembali ke GPMC, klik kanan OU sasaran → Pautkan GPO Sedia Ada → pilih GPO anda. Pada PC klien, mulakan semula (untuk tetapan komputer) atau log keluar dan hidupkan semula (untuk tetapan pengguna) — atau paksa muat semula dengan arahan dalam langkah seterusnya.

Paksa dan Buktikan — gpupdate dan gpresult

Dasar dimuat semula sendiri kira-kira setiap 90 minit (dengan offset rawak), tetapi tiada siapa yang mengujinya dengan perlahan. Pada PC pelanggan, buka Prompt Perintah dan jalankan:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force menggunakan semula semua dasar sekarang. Sesetengah tetapan masih memerlukan mulakan semula (tetapan komputer, pemasangan perisian) atau log masuk baharu (tetapan pengguna) — /force tidak boleh melangkau fizik.

gpresult /r ialah resit: ia menyenaraikan dengan tepat GPO yang digunakan pada komputer dan pengguna, dan yang telah ditapis dan sebabnya. Untuk laporan yang boleh dibaca, gpresult /h report.html mencipta halaman HTML yang menunjukkan setiap tetapan yang menang dan GPO mana asalnya. Jangan sekali-kali menilai GPO berdasarkan harapan — gpresult /r hendaklah menjadi arahan pertama yang anda jalankan apabila dasar "tidak berfungsi".