GPO Loopback en beveiligingsfiltering uitgelegd

Begin vanaf de standaard: Geverifieerde gebruikers

Standaard heeft elk nieuw groepsbeleidsobject één beveiligingsfilter: Geauthenticeerde gebruikers, met de machtigingen Lezen en Groepsbeleid toepassen. Die groep is breder dan het klinkt (het omvat elke ingelogde gebruiker en elk domeincomputeraccount) en daarom werkt een nieuw GPO "gewoon" voor iedereen in de OU waaraan het is gekoppeld. U kunt het filter zien in de Groepsbeleidsbeheerconsole: selecteer het groepsbeleidsobject en kijk naar het vak Beveiligingsfiltering op het tabblad Bereik. Alles in deze video is een bewuste verandering van die standaard – en elke verrassing begint daar.

Schakel Loopback-verwerking in

Loopback-verwerking is een computer-instelling. Bewerk het groepsbeleidsobject dat is gekoppeld aan de organisatie-eenheid waarin de computers zich bevinden, en ga naar Computerconfiguratie → Beleid → Beheersjablonen → Systeem → Groepsbeleid. Open Configureer gebruikersgroepsbeleid loopback-verwerkingsmodus en stel deze in op Ingeschakeld. Vanaf dat moment worden de gebruikersinstellingen voor iedereen die zich aanmeldt op die pc's overgenomen van de GPO's die zijn gekoppeld aan de OE van de computer in plaats van alleen de eigen OE van de gebruiker. Loopback verandert nooit de computerhelft van het beleid; computerinstellingen worden altijd normaal verwerkt.

Kies de modus Samenvoegen of Vervangen

Dezelfde instelling vraagt om een modus, en de keuze verandert alles. Vervangen slaat de eigen GPO's aan de gebruikerszijde volledig over; alleen de gebruikersinstellingen van de GPO's van de computer zijn van toepassing. Dat is de modus voor kiosken, klaslokalen en RDS-servers, waarbij de machine voor absoluut iedereen één identieke, gecontroleerde omgeving moet bieden. Samenvoegen past eerst de eigen GPO's van de gebruiker toe en past vervolgens de gebruikersinstellingen van de computer bovenaan toe - en de instellingen van de computer winnen elk conflict. Samenvoegen past op normale pc's waarbij de persoon het grootste deel van zijn gebruikelijke beleid handhaaft, maar de regels van de machine het laatste woord moeten hebben.

Richt het groepsbeleidsobject met beveiligingsfiltering

Met beveiligingsfilters voorkomt u dat een groepsbeleidsobject naar iedereen in de organisatie-eenheid gaat. Selecteer het GPO in de console, open het tabblad Bereik en verwijder in de sectie Beveiligingsfiltering de Geauthenticeerde gebruikers en voeg alleen de groep toe die het beleid zou moeten ontvangen. Om een ​​GPO te ontvangen heeft een account zowel Groepsbeleid lezen als toepassen nodig. Bij slechts één van de twee wordt het GPO nooit gedownload of vermeld, maar overgeslagen. Filteren is de standaardmanier om een ​​nieuw beleid eerst op een kleine groep uit te proberen, of om een ​​enkele afdeling te targeten, zonder een enkel account tussen organisatie-eenheden te verplaatsen.

Behoud de leesrechten van de computers (MS16-072)

Dit is de valstrik waar beheerders sinds juni 2016 in gebeten zijn. De beveiligingsupdate MS16-072 heeft de manier veranderd waarop groepsbeleid wordt opgehaald: het computeraccount haalt nu GPO's van gebruikers op van de domeincontroller in de eigen beveiligingscontext van de computer. De computer moet dus de machtiging Lezen hebben voor elk GPO dat wordt opgehaald, inclusief GPO's van gebruikers die zijn gefilterd op een groep waarvan de computer geen lid is. Als u in de vorige stap de geverifieerde gebruikers heeft verwijderd, opent u het tabblad Delegatie van het groepsbeleidsobject, klikt u op Toevoegen en geeft u Geauthenticeerde gebruikers (of domeincomputers) alleen de toestemming Lezen. Lezen is alles wat de machine nodig heeft; Pas verblijven toe bij jouw doelgroep.

Wanneer loopback en filtering elkaar ontmoeten

De twee bedieningselementen werken op elkaar in, en de interactie betrapt zelfs ervaren beheerders. De gebruikersinstellingen die loopback levert, zijn nog steeds aanwezig in GPO's die zijn gekoppeld aan de OE van de computer, maar het zijn nog steeds gebruikers-instellingen, dus de persoon aan het toetsenbord heeft nog steeds Groepsbeleid toepassen nodig op dat GPO, en de computer moet het nog steeds Lezen. Draai het filter op een loopback GPO alleen op een computergroep, en de machine haalt plichtsgetrouw een GPO op waarvan de gebruikersinstellingen die niemand die eraan zit, mogen toepassen: een perfect geconfigureerd kiosk-GPO dat stilletjes niets oplevert. Voordat u het beleid zelf de schuld geeft, controleert u beide helften van het machtigingspaar.

Bewijs het met gpresult

Raad niet – verifieer. Open op de getroffen pc, in de sessie van de getroffen gebruiker, de opdrachtprompt en voer de proefopdracht van de video uit:

gpresult /h report.html

Open het gegenereerde report.html en lees de uitspraken. Toegepaste groepsbeleidsobjecten worden bovenaan vermeld en voor elk afgewezen groepsbeleidsobject is de reden vermeld: Geweigerd (beveiliging) betekent een filterbeslissing, Geweigerd (ontoegankelijk) betekent een ophaal- of toestemmingsfout, en Geweigerd (leeg) betekent dat de helft van het groepsbeleidsobject eenvoudigweg geen instellingen heeft. Omdat loopback werkt, is de vingerafdruk onmiskenbaar: de GPO's die de gebruikersinstellingen leveren, zijn die van de OU van de computer. Bewerk het bewijsmateriaal in deze volgorde – reikwijdte, filter, loopback – en de meeste gevallen van ‘GPO zijn niet van toepassing’ leggen zichzelf uit.