Active Directory GPO Full veiledning ⚡ Bruker- og datamaskinpolicy forklart

Hva en GPO egentlig er

En GPO er ganske enkelt en navngitt pakke med innstillinger. Det gjør ingenting av seg selv. Den begynner å fungere bare når du kobler den til en beholder – et nettsted, domenet eller en organisasjonsenhet (OU) – og den gjelder deretter for bruker- eller datamaskinkontoene inne i beholderen.

To fakta følger av dette. For det første er redigering av en GPO og kobling av en GPO to separate jobber; en perfekt konfigurert GPO som ikke er koblet noe sted, endrer ingenting. For det andre kan en GPO knyttes til flere OUer, og en OU kan motta mange GPOer.

Alt i denne opplæringen skjer i én konsoll - Group Policy Management Console. Åpne den på domenekontrolleren, eller på en hvilken som helst PC med RSAT-verktøyene installert, fra Kjør-boksen:

gpmc.msc

Datapolitikk vs brukerpolitikk - de to halvdelene

Åpne en GPO og du vil se de samme to delene: Datamaskinkonfigurasjon og Brukerkonfigurasjon. De er ikke to visninger av én liste – de er to forskjellige verktøykasser med forskjellige innstillinger, brukt til forskjellige tider på forskjellige kontoer.

Datamaskinkonfigurasjon gjelder for datamaskinkontoen. Den behandles når PC-en starter, før noen logger på. Programvareinstallasjon for maskiner, oppstartsskript, USB-blokkering, Windows Update-atferd og sikkerhetsinnstillinger live her.

Brukerkonfigurasjon gjelder for brukerkontoen. Den behandles når en bruker logger på, på hvilken som helst PC. Bakgrunnsbilder, stasjonskartlegginger, mappeomdirigering, påloggingsskript og kontrollpanelrestriksjoner lever her.

Hvor du linker bestemmer hvem som får det

GPO-er kobler på tre nivåer: nettsted (et fysisk kontorsted), domene (alle) og OU (én avdeling eller gruppe). På små og mellomstore kontorer skjer nesten all kobling på OU-nivå, fordi du først organiserer kontoer i OU-er - en for kontor-PCer, en for ansatte, en for bærbare datamaskiner, og så videre.

De to GPOene som eksisterer som standard – Standard domenepolicy (passord- og kontoregler) og Standard domenekontrollerpolicy – lar seg best stå alene. Lag dine egne GPOer for dine egne innstillinger, slik at du kan slå dem av uten å berøre standardinnstillingene.

Opprett, konfigurer og koble din første GPO

I gpmc.msc høyreklikker du Gruppepolicyobjekter → Ny → gi den et navn som sier hva den gjør, for eksempel Blokker-USB-stasjoner. Navngivelse betyr ærlig talt: etter seks måneder har et kontor førti GPOer, og navn som "New GPO" eller "test2" forteller deg ingenting - navn etter jobb, ikke etter dato.

Høyreklikk det nye GPO → Rediger. Redaktøren åpner med de to halvdelene. Konfigurer innstillingene i riktig halvdel og lukk redigeringsprogrammet.

Tilbake i GPMC, høyreklikk mål-OU → Koble til en eksisterende GPO → velg din GPO. På klient-PCen, start den på nytt (for datamaskininnstillinger) eller logg av og på igjen (for brukerinnstillinger) - eller tving oppdateringen med kommandoene i neste trinn.

Tving det og bevis det — gpupdate og gpresult

Retningslinjer oppdateres av seg selv omtrent hvert 90. minutt (med en tilfeldig forskyvning), men ingen tester så sakte. Åpne kommandoprompt på klient-PCen og kjør:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force bruker alle retningslinjer på nytt nå. Noen innstillinger trenger fortsatt en omstart (datamaskininnstillinger, programvareinstallasjoner) eller en ny pålogging (brukerinnstillinger) — /force kan ikke hoppe over fysikk.

gpresult /r er kvitteringen: den viser nøyaktig hvilke GPOer som ble brukt på datamaskinen og brukeren, og hvilke som ble filtrert ut og hvorfor. For en lesbar rapport oppretter gpresult /h report.html en HTML-side som viser hver vinnende innstilling og hvilken GPO den kom fra. Døm aldri en GPO etter håp – gpresult /r bør være den første kommandoen du kjører når en policy "ikke fungerer".