Wyjaśnienie pętli zwrotnej i filtrowania zabezpieczeń GPO

Zacznij od ustawienia domyślnego — Użytkownicy uwierzytelnieni

Po wyjęciu z pudełka każdy nowy obiekt zasad grupy zawiera jeden filtr bezpieczeństwa: Użytkownicy uwierzytelnieni posiadający uprawnienia Odczyt i Zastosuj zasady grupy. Ta grupa jest szersza, niż się wydaje — obejmuje każdego zalogowanego użytkownika i każde konto komputera w domenie — i dlatego nowy obiekt GPO „po prostu działa” dla wszystkich w jednostce organizacyjnej, z którą jest powiązany. Filtr możesz zobaczyć w konsoli zarządzania zasadami grupy: wybierz obiekt GPO i spójrz na pole Filtrowanie zabezpieczeń na karcie Zakres. Wszystko w tym filmie jest celową zmianą ustawień domyślnych — i od tego zaczyna się każda niespodzianka.

Włącz przetwarzanie zwrotne

Przetwarzanie w pętli zwrotnej to ustawienie komputera. Edytuj obiekt GPO powiązany z jednostką organizacyjną przechowującą komputery i przejdź do opcji Konfiguracja komputera → Zasady → Szablony administracyjne → System → Zasady grupy. Otwórz Konfiguruj tryb przetwarzania pętli zwrotnej zasad grupy użytkownika i ustaw go na Włączone. Od tego momentu ustawienia użytkownika dla każdego, kto loguje się na tych komputerach, są pobierane z obiektów GPO połączonych z jednostką organizacyjną komputera, a nie tylko z własną jednostką organizacyjną użytkownika. Loopback nigdy nie zmienia połowy zasad dotyczących komputera — ustawienia komputera są zawsze przetwarzane normalnie.

Wybierz tryb Scal lub Zamień

To samo ustawienie wymaga trybu, a wybór zmienia wszystko. Opcja Zamień całkowicie pomija własne obiekty GPO po stronie użytkownika — zastosowanie mają tylko ustawienia użytkownika z obiektów GPO komputera. Taki jest tryb dla kiosków, sal lekcyjnych i serwerów RDS, gdzie maszyna musi prezentować absolutnie każdemu jedno, identyczne, kontrolowane środowisko. Opcja Scal powoduje najpierw zastosowanie własnych obiektów zasad grupy użytkownika, a następnie zastosowanie na wierzchu ustawień użytkownika komputera — a ustawienia komputera rozwiązują każdy konflikt. Funkcja scalania pasuje do zwykłych komputerów PC, na których osoba zachowuje większość swoich zwykłych zasad, ale zasady maszyny muszą mieć ostatnie słowo.

Wyceluj obiekt GPO za pomocą filtrowania zabezpieczeń

Filtrowanie zabezpieczeń pozwala uniemożliwić obiektowi GPO dostęp do wszystkich osób w jednostce organizacyjnej. Wybierz obiekt GPO w konsoli, otwórz zakładkę Zakres i w sekcji Filtrowanie zabezpieczeń usuń Użytkowników uwierzytelnionych i dodaj tylko grupę, która powinna otrzymać politykę. Aby otrzymać obiekt GPO, konto wymaga zarówno przeczytania, jak i zastosowania zasad grupy — w przypadku tylko jednego z nich obiekt GPO albo nigdy nie jest pobierany, ani wyświetlany, ale pomijany. Filtrowanie to standardowy sposób pilotażu nowej polityki najpierw na jednej małej grupie lub nakierowania jej na pojedynczy dział, bez przenoszenia pojedynczego konta między jednostkami organizacyjnymi.

Zachowaj uprawnienia do odczytu komputerów (MS16-072)

To jest pułapka, która nęka administratorów od czerwca 2016 r. Aktualizacja zabezpieczeń MS16-072 zmieniła sposób odzyskiwania zasad grupy: konto komputera pobiera teraz obiekty GPO użytkownika z kontrolera domeny we własnym kontekście zabezpieczeń komputera. Dlatego komputer musi posiadać uprawnienia Odczyt do każdego pobieranego obiektu GPO — łącznie z obiektami GPO użytkownika odfiltrowanymi do grupy, do której komputer nie jest członkiem. Jeśli w poprzednim kroku usunąłeś użytkowników uwierzytelnionych, otwórz kartę Delegowanie obiektu zasad grupy, kliknij Dodaj i nadaj Użytkownikom uwierzytelnionym (lub komputerom domeny) tylko uprawnienia Odczyt — jedyne, czego potrzebuje maszyna, to czytanie; Apply pozostaje z Twoją grupą docelową.

Kiedy spotykają się pętla zwrotna i filtrowanie

Obydwa elementy sterujące oddziałują na siebie, a interakcja wciąga nawet doświadczonych administratorów. Ustawienia użytkownika dostarczane przez pętlę zwrotną nadal znajdują się w obiektach GPO połączonych z jednostką organizacyjną komputera — ale nadal są to ustawienia użytkownika, więc osoba przy klawiaturze nadal musi zastosować zasady grupy w tym obiekcie zasad grupy, a komputer nadal musi je przeczytać. Ustaw filtr w obiekcie GPO z pętlą zwrotną tylko dla grupy komputerów, a maszyna sumiennie pobierze obiekt GPO, którego ustawień użytkownika nikt przy nim nie może zastosować: doskonale skonfigurowany obiekt GPO kiosku, który po cichu nic nie dostarcza. Zanim zrzucisz winę na samą politykę, sprawdź obie połowy pary uprawnień.

Udowodnij to za pomocą gpresult

Nie zgaduj – sprawdź. Na komputerze, którego dotyczy problem, w sesji użytkownika, którego dotyczy problem, otwórz Wiersz Poleceń i uruchom polecenie sprawdzające wideo:

gpresult /h report.html

Otwórz wygenerowany plik report.html i przeczytaj werdykty. Zastosowane obiekty GPO są wymienione na górze, a każdy odrzucony obiekt GPO ma swoją przyczynę: Odmowa (bezpieczeństwo) oznacza decyzję dotyczącą filtrowania, Odmowa (niedostępność) oznacza błąd pobierania lub uprawnień, a Odmowa (pusty) oznacza, że ​​połowa obiektu GPO po prostu nie ma żadnych ustawień. Dzięki pętli zwrotnej odcisk palca jest jednoznaczny — obiekty GPO dostarczające ustawienia użytkownika to te z jednostki organizacyjnej komputera. Przeanalizuj dowody w tej kolejności — zakres, filtr, pętla zwrotna — a większość przypadków „niestosowania obiektu GPO” wyjaśnia się sama.