Volledige handleiding voor Active Directory GPO ⚡ Gebruikers- en computerbeleid uitgelegd

Wat een GPO eigenlijk is

Een GPO is eenvoudigweg een benoemde bundel instellingen. Het doet niets uit zichzelf. Het werkt pas als u het linkt aan een container (een site, het domein of een organisatie-eenheid (OU)) en is vervolgens van toepassing op de gebruikers- of computeraccounts in die container.

Hieruit volgen twee feiten. Ten eerste zijn het bewerken van een GPO en het koppelen van een GPO twee afzonderlijke taken; een perfect geconfigureerd GPO dat nergens aan gekoppeld is, verandert niets. Ten tweede kan één GPO aan meerdere OU's worden gekoppeld, en kan één OU vele GPO's ontvangen.

Alles in deze tutorial gebeurt in één console: de Group Policy Management Console. Open het op de domeincontroller of op elke pc waarop de RSAT-hulpprogramma's zijn geïnstalleerd, vanuit het vak Uitvoeren:

gpmc.msc

Computerbeleid versus gebruikersbeleid: de twee helften

Open een GPO en u ziet dezelfde twee secties: Computerconfiguratie en Gebruikersconfiguratie. Het zijn niet twee weergaven van één lijst; het zijn twee verschillende toolboxen met verschillende instellingen, die op verschillende tijdstippen op verschillende accounts worden toegepast.

Computerconfiguratie is van toepassing op het computeraccount. Het wordt verwerkt wanneer de pc opstart, voordat iemand zich aanmeldt. Software-installatie voor machines, opstartscripts, USB-blokkering, Windows Update-gedrag en beveiligingsinstellingen vindt u hier.

Gebruikersconfiguratie is van toepassing op het gebruikersaccount. Het wordt verwerkt wanneer een gebruiker zich aanmeldt, op elke pc. Achtergronden, schijftoewijzingen, mapomleiding, aanmeldingsscripts en beperkingen in het Configuratiescherm zijn hier beschikbaar.

Waar u linkt, bepaalt wie het krijgt

GPO's zijn op drie niveaus gekoppeld: site (een fysieke kantoorlocatie), domein (iedereen) en OU (één afdeling of groep). In kleine en middelgrote kantoren gebeurt vrijwel alle koppeling op OE-niveau, omdat u accounts eerst in OE's indeelt: één voor kantoor-pc's, één voor personeelsgebruikers, één voor laptops, enzovoort.

De twee GPO's die standaard bestaan (Standaarddomeinbeleid (wachtwoord- en accountregels) en Standaarddomeincontrollerbeleid) kunnen het beste grotendeels met rust worden gelaten. Maak uw eigen GPO's voor uw eigen instellingen, zodat u ze kunt uitschakelen zonder de standaardinstellingen aan te raken.

Creëer, configureer en koppel uw eerste GPO

Klik in gpmc.msc met de rechtermuisknop op Groepsbeleidsobjecten → Nieuw → geef het een naam die zegt wat het doet, zoals Block-USB-Drives. Eerlijk gezegd doet de naamgeving er toe: na zes maanden heeft een kantoor veertig GPO's, en namen als 'Nieuw GPO' of 'test2' vertellen je niets: naam op functie, niet op datum.

Klik met de rechtermuisknop op het nieuwe groepsbeleidsobject → Bewerken. De editor opent met de twee helften. Configureer uw instellingen in de juiste helft en sluit de editor.

Terug in GPMC klikt u met de rechtermuisknop op de doel-OE → Koppel een bestaand GPO → selecteer uw GPO. Start de client-pc opnieuw op (voor computerinstellingen) of meld u af en weer aan (voor gebruikersinstellingen) - of forceer de vernieuwing met de opdrachten in de volgende stap.

Forceer het en bewijs het — gpupdate en gpresult

Beleid wordt ongeveer elke 90 minuten vanzelf vernieuwd (met een willekeurige verschuiving), maar niemand test dat langzaam. Open op de client-pc de opdrachtprompt en voer het volgende uit:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force past nu al het beleid opnieuw toe. Sommige instellingen hebben eerlijk gezegd nog steeds een herstart nodig (computerinstellingen, software-installaties) of een nieuwe aanmelding (gebruikersinstellingen) — /force kan de natuurkunde niet overslaan.

gpresult /r is het ontvangstbewijs: het vermeldt precies welke GPO's op de computer en op de gebruiker van toepassing waren, en welke eruit werden gefilterd en waarom. Voor een leesbaar rapport maakt gpresult /h report.html een HTML-pagina aan waarop elke winnende instelling wordt weergegeven en uit welk GPO deze afkomstig is. Beoordeel een GPO nooit op basis van hoop: gpresult /r zou de eerste opdracht moeten zijn die u uitvoert wanneer een beleid "niet werkt".