GPO Loopback og sikkerhetsfiltrering forklart

Start fra standard - Autentiserte brukere

Ut av esken har hver nye GPO ett sikkerhetsfilter: Autentiserte brukere, som har tillatelsene både Les og Bruk gruppepolicy. Denne gruppen er bredere enn den høres ut – den inkluderer alle påloggede brukere og alle domenedatakontoer – og det er grunnen til at en fersk GPO "bare fungerer" for alle i OU den er knyttet til. Du kan se filteret i Group Policy Management Console: velg GPO og se på Sikkerhetsfiltrering-boksen på Omfang-fanen. Alt i denne videoen er en bevisst endring av den standarden - og hver overraskelse starter der.

Slå på sløyfebehandling

Loopback-behandling er en datamaskin-innstilling. Rediger GPO som er koblet til OU som holder datamaskinene, og gå til Datamaskinkonfigurasjon → Retningslinjer → Administrative maler → System → Gruppepolicy. Åpne Konfigurer tilbakekoblingsmodus for brukergruppepolicy og sett den til Aktivert. Fra det øyeblikket tas brukerinnstillingene for alle som logger på disse PC-ene fra GPO-ene som er koblet til datamaskinens OU i stedet for bare brukerens egen OU. Loopback endrer aldri datamaskinens halvdel av policyen - datamaskininnstillinger behandles alltid normalt.

Velg Slå sammen eller Erstatt modus

Den samme innstillingen ber om en modus, og valget endrer alt. Erstatt hopper helt over brukerens egne GPO-er på brukersiden – bare brukerinnstillingene fra datamaskinens GPOer gjelder. Det er modusen for kiosker, klasserom og RDS-servere, hvor maskinen må presentere ett identisk, kontrollert miljø for absolutt alle. Slå sammen bruker først brukerens egne GPOer, og bruker deretter datamaskinens brukerinnstillinger øverst – og datamaskinens innstillinger vinner enhver konflikt. Merge passer til vanlige PC-er hvor personen beholder det meste av sin vanlige policy, men maskinens regler må ha siste ord.

Sikt mot GPO med sikkerhetsfiltrering

Sikkerhetsfiltrering er hvordan du stopper en GPO fra å gå til alle i OU. Velg GPO i konsollen, åpne kategorien Omfang, og fjern autentiserte brukere i delen Sikkerhetsfiltrering og legg bare til gruppen som skal motta policyen. For å motta en GPO, trenger en konto både Les og bruk gruppepolicy – ​​med bare én av de to blir GPOen enten aldri lastet ned eller oppført, men hoppet over. Filtrering er standardmåten for å pilotere en ny policy på en liten gruppe først, eller å målrette mot en enkelt avdeling, uten å flytte en enkelt konto mellom OUer.

Behold datamaskinenes lesetillatelse (MS16-072)

Dette er fellen som har bitt administratorer siden juni 2016. Sikkerhetsoppdateringen MS16-072 endret hvordan gruppepolicyen hentes: datamaskinkontoen henter nå brukerens GPOer fra domenekontrolleren i datamaskinens egen sikkerhetskontekst. Så datamaskinen må ha Lese-tillatelse på hver GPO den henter - inkludert bruker GPOer filtrert til en gruppe datamaskinen ikke er medlem av. Hvis du fjernet Autentiserte brukere i forrige trinn, åpne GPOs Delegering-fane, klikk Legg til og gi Autentiserte brukere (eller Domenedatamaskiner) Kun lese tillatelse – lesing er alt maskinen trenger; Søk opphold hos din målgruppe.

Når loopback og filtrering møtes

De to kontrollene samhandler, og interaksjonen fanger til og med erfarne administratorer. Brukerinnstillingene som loopback leverer, lever fortsatt i GPOer knyttet til datamaskinens OU - men de er fortsatt bruker-innstillinger, så personen ved tastaturet trenger fortsatt Bruk gruppepolicy på den GPO, og datamaskinen må fortsatt Lese den. Stram filteret på en loopback GPO kun til en datamaskingruppe, og maskinen henter pliktoppfyllende en GPO hvis brukerinnstillinger ingen som sitter ved den har lov til å bruke: en perfekt konfigurert kiosk GPO som i stillhet ikke leverer noe. Før du legger skylden på selve policyen, sjekk begge halvdelene av tillatelsesparet.

Bevis det med gpresult

Ikke gjett - verifiser. På den berørte PC-en, i den berørte brukerens økt, åpne kommandoprompt og kjør videoens beviskommando:

gpresult /h report.html

Åpne den genererte report.html og les dommene. Brukte GPOer er oppført øverst, og hver avvist GPO har sin årsak: Avvist (Sikkerhet) betyr en filtreringsbeslutning, Avvist (Utilgjengelig) betyr en henting eller tillatelsesfeil, og Nekt (Tom) betyr at halvparten av GPOen rett og slett ikke har noen innstillinger. Med loopback-arbeid er fingeravtrykket umiskjennelig - GPOene som leverer brukerinnstillingene er de fra datamaskinens OU. Arbeid bevisene i denne rekkefølgen - omfang, filter, tilbakekobling - og de fleste "GPO gjelder ikke"-saker forklarer seg selv.