Pełny samouczek obiektu GPO usługi Active Directory ⚡ Wyjaśnienie zasad dotyczących użytkowników i komputerów

Czym właściwie jest GPO

Obiekt GPO to po prostu nazwany pakiet ustawień. Samo z siebie nic nie robi. Zaczyna działać dopiero po połączeniu go z kontenerem — witryną, domeną lub jednostką organizacyjną (OU) — a następnie ma zastosowanie do kont użytkowników lub komputerów znajdujących się w tym kontenerze.

Wynikają z tego dwa fakty. Po pierwsze, edytowanie obiektu GPO i łączenie obiektu GPO to dwa osobne zadania; doskonale skonfigurowany obiekt GPO, który nie jest nigdzie połączony, niczego nie zmienia. Po drugie, jeden obiekt GPO może być połączony z kilkoma jednostkami organizacyjnymi, a jedna jednostka organizacyjna może odbierać wiele obiektów GPO.

Wszystko opisane w tym samouczku dzieje się w jednej konsoli — konsoli zarządzania zasadami grupy. Otwórz go na kontrolerze domeny lub na dowolnym komputerze z zainstalowanymi narzędziami RSAT, w polu Uruchom:

gpmc.msc

Polityka komputerowa a polityka użytkownika — dwie połowy

Otwórz dowolny obiekt zasad grupy, a zobaczysz te same dwie sekcje: Konfiguracja komputera i Konfiguracja użytkownika. To nie są dwa widoki jednej listy — to dwa różne zestawy narzędzi z różnymi ustawieniami, stosowane w różnym czasie do różnych kont.

Konfiguracja komputera dotyczy konta komputera. Jest przetwarzany podczas uruchamiania komputera, zanim ktokolwiek się zaloguje. Instalacja oprogramowania dla maszyn, skrypty startowe, blokowanie USB, zachowanie Windows Update i ustawienia zabezpieczeń znajdują się tutaj.

Konfiguracja użytkownika dotyczy konta użytkownika. Jest przetwarzany, gdy użytkownik loguje się na dowolnym komputerze. Tapety, mapowania dysków, przekierowania folderów, skrypty logowania i ograniczenia Panelu sterowania znajdują się tutaj.

To, gdzie umieścisz link, decyduje o tym, kto go otrzyma

Obiekty GPO łączą się na trzech poziomach: lokalizacja (lokalizacja fizycznego biura), domena (wszyscy) i OU (jeden dział lub grupa). W małych i średnich biurach prawie całe łączenie odbywa się na poziomie jednostki organizacyjnej, ponieważ najpierw organizujesz konta w jednostki organizacyjne — jedną dla komputerów biurowych, jedną dla pracowników, jedną dla laptopów i tak dalej.

Dwa istniejące obiekty GPO — Domyślne zasady domeny (reguły dotyczące haseł i kont) oraz Domyślne zasady kontrolerów domeny — najlepiej pozostawić w spokoju. Utwórz własne obiekty GPO dla własnych ustawień, aby móc je wyłączać bez zmiany ustawień domyślnych.

Utwórz, skonfiguruj i połącz swój pierwszy obiekt GPO

W gpmc.msc kliknij prawym przyciskiem myszy Obiekty zasad grupy → Nowy → nadaj mu nazwę opisującą jego działanie, np. Blokuj dyski USB. Nazewnictwo ma znaczenie: po sześciu miesiącach biuro ma czterdzieści obiektów GPO, a nazwy takie jak „Nowy GPO” czy „test2” nic nie mówią — nazwa według stanowiska, a nie według daty.

Kliknij prawym przyciskiem myszy nowy obiekt zasad grupy → Edytuj. Edytor otwiera się z dwiema połówkami. Skonfiguruj ustawienia w odpowiedniej połowie i zamknij edytor.

Wróć do konsoli zarządzania zasadami grupy, kliknij prawym przyciskiem myszy docelową jednostkę organizacyjną → Połącz z istniejącym obiektem GPO → wybierz obiekt GPO. Na komputerze klienckim uruchom go ponownie (w celu uzyskania ustawień komputera) lub wyloguj się i zaloguj ponownie (w przypadku ustawień użytkownika) — lub wymuś odświeżenie za pomocą poleceń w następnym kroku.

Wymuś to i udowodnij — gpupdate i gpresult

Zasady odświeżają się same mniej więcej co 90 minut (z losowym przesunięciem), ale nikt nie testuje tego powoli. Na komputerze klienckim otwórz Wiersz Poleceń i uruchom:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force ponownie stosuje teraz wszystkie zasady. Niektóre ustawienia nadal wymagają ponownego uruchomienia (ustawienia komputera, instalacja oprogramowania) lub nowego logowania (ustawienia użytkownika) — /force nie może pominąć fizyki.

gpresult /r to potwierdzenie: zawiera dokładną listę obiektów GPO zastosowanych na komputerze i użytkowniku, a które zostały odfiltrowane i dlaczego. Aby uzyskać czytelny raport, gpresult /h report.html tworzy stronę HTML pokazującą każde zwycięskie ustawienie oraz obiekt GPO, z którego pochodzi. Nigdy nie oceniaj obiektu zasad grupy na podstawie nadziei — gpresult /r powinno być pierwszym poleceniem uruchamianym za każdym razem, gdy polityka „nie działa”.