GPO Loopback & Penapisan Keselamatan Diterangkan

Mulakan dari Default — Pengguna yang Disahkan

Di luar kotak, setiap GPO baharu membawa satu penapis keselamatan: Pengguna Disahkan, memegang kedua-dua kebenaran Baca dan Gunakan Dasar Kumpulan. Kumpulan itu lebih luas daripada yang didengari — ia termasuk setiap pengguna yang dilog masuk dan setiap akaun komputer domain — dan itulah sebabnya GPO baharu "hanya berfungsi" untuk semua orang dalam OU yang dipautkannya. Anda boleh melihat penapis dalam Konsol Pengurusan Dasar Kumpulan: pilih GPO dan lihat pada kotak Penapisan Keselamatan pada tab Skop. Segala-galanya dalam video ini adalah perubahan yang disengajakan kepada lalai itu — dan setiap kejutan bermula di sana.

Hidupkan Pemprosesan Loopback

Pemprosesan gelung balik ialah tetapan komputer. Edit GPO yang dipautkan kepada OU yang memegang komputer, dan pergi ke Konfigurasi Komputer → Dasar → Templat Pentadbiran → Sistem → Dasar Kumpulan. Buka Konfigurasikan mod pemprosesan gelung balik Dasar Kumpulan pengguna dan tetapkannya kepada Didayakan. Mulai saat itu, tetapan pengguna untuk sesiapa sahaja yang log masuk ke PC tersebut diambil daripada GPO yang dipautkan ke komputer OU dan bukannya OU pengguna sendiri sahaja. Loopback tidak pernah mengubah separuh dasar komputer — tetapan komputer sentiasa diproses secara normal.

Pilih Mod Gabung atau Ganti

Tetapan yang sama meminta mod, dan pilihan mengubah segala-galanya. Ganti melangkau GPO sebelah pengguna pengguna sendiri sepenuhnya — hanya tetapan pengguna daripada GPO komputer digunakan. Itulah mod untuk kiosk, bilik darjah dan pelayan RDS, di mana mesin mesti membentangkan satu persekitaran terkawal yang serupa kepada semua orang. Gabung menggunakan GPO pengguna sendiri dahulu, kemudian menggunakan tetapan pengguna komputer di atas — dan tetapan komputer memenangi sebarang konflik. Gabung sesuai dengan PC biasa di mana orang itu menyimpan kebanyakan polisi biasa mereka tetapi peraturan mesin mesti mempunyai kata terakhir.

Sasarkan GPO dengan Penapisan Keselamatan

Penapisan keselamatan ialah cara anda menghentikan GPO daripada pergi kepada semua orang di OU. Pilih GPO dalam konsol, buka tab Skop dan dalam bahagian Penapisan Keselamatan alih keluar Pengguna Disahkan dan tambahkan kumpulan yang sepatutnya menerima dasar sahaja. Untuk menerima GPO, akaun memerlukan kedua-duanya Baca dan Guna Dasar Kumpulan — dengan hanya satu daripada dua, GPO sama ada tidak pernah dimuat turun atau disenaraikan tetapi dilangkau. Penapisan ialah cara standard untuk merintis dasar baharu pada satu kumpulan kecil dahulu, atau untuk menyasarkan satu jabatan, tanpa mengalihkan satu akaun antara OU.

Simpan Kebenaran Membaca Komputer (MS16-072)

Ini ialah perangkap yang telah menggigit pentadbir sejak Jun 2016. Kemas kini keselamatan MS16-072 telah mengubah cara Dasar Kumpulan diambil: akaun komputer kini mengambil GPO pengguna daripada pengawal domain dalam konteks keselamatan komputer itu sendiri. Jadi komputer mesti memegang kebenaran Baca pada setiap GPO yang diambilnya — termasuk GPO pengguna yang ditapis kepada kumpulan yang bukan ahli komputernya. Jika anda mengalih keluar Pengguna Disahkan dalam langkah sebelumnya, buka tab Delegasi GPO, klik Tambah dan berikan kebenaran Baca kepada Pengguna Disahkan (atau Komputer Domain) — membaca adalah semua yang diperlukan mesin; Mohon penginapan dengan kumpulan sasaran anda.

Apabila Loopback dan Penapisan Bertemu

Kedua-dua kawalan berinteraksi, dan interaksi itu juga menangkap pentadbir berpengalaman. Tetapan pengguna yang dihantar gelung balik masih hidup dalam GPO yang dipautkan ke OU komputer — tetapi tetapan itu tetap pengguna, jadi orang di papan kekunci masih memerlukan Gunakan Dasar Kumpulan pada GPO tersebut dan komputer masih perlu Membacanya. Ketatkan penapis pada GPO gelung balik kepada kumpulan komputer sahaja, dan mesin dengan patuh mengambil GPO yang tetapan penggunanya tidak dibenarkan digunakan oleh sesiapa pun: GPO kiosk yang dikonfigurasikan dengan sempurna yang tidak menghantar apa-apa. Sebelum menyalahkan dasar itu sendiri, semak kedua-dua bahagian pasangan kebenaran.

Buktikan dengan gpresult

Jangan meneka — sahkan. Pada PC yang terjejas, dalam sesi pengguna yang terjejas, buka Prompt Perintah dan jalankan arahan bukti video:

gpresult /h report.html

Buka report.html yang dijana dan baca keputusannya. GPO yang digunakan disenaraikan di bahagian atas dan setiap GPO yang ditolak mempunyai sebabnya: Ditolak (Keselamatan) bermaksud keputusan penapisan, Ditolak (Tidak Boleh Dicapai) bermaksud kegagalan pengambilan atau kebenaran dan Ditolak (Kosong) bermakna separuh daripada GPO tidak mempunyai tetapan. Dengan kerja gelung balik, cap jari tidak dapat disangkal — GPO yang menyampaikan tetapan pengguna adalah daripada OU komputer. Kerjakan bukti dalam susunan ini — skop, penapis, gelung balik — dan kebanyakan kes "GPO tidak terpakai" menjelaskan sendiri.