Technical Anshu Strona główna › Poradniki › 10 najlepszych obiektów GPO
🖥️ Zasady grupy / Active Directory

10 najlepszych obiektów GPO w systemie Windows Server

10 najważniejszych zasad grup dla biura z systemem Windows Server — zasady haseł, blokada ekranu, blokada USB, mapowanie dysków, drukarki, aktualizacje, przekierowywanie folderów, funkcja AppLocker, inspekcja i kontrola przez administratora lokalnego — każde wyjaśnione w prostych słowach.

✍️ Technical Anshu🖥️ Windows Server / Active Directory🎧 Multi-Language Audio
10 najlepszych obiektów GPO w systemie Windows Server
🎧 Wielojęzyczny dźwięk: W odtwarzaczu wideo kliknij [Ustawienia] (⚙️) ➔ [Ścieżka dźwiękowa], aby wybrać język.

📑Rozdziały

  1. Dlaczego nowa domena potrzebuje najpierw tych dziesięciu zasad
  2. Polityka haseł — jedna reguła dla całej domeny
  3. Blokada ekranu — nienadzorowany komputer PC blokuje się sam
  4. Blokada USB — pendrive'y przestają być drzwiami
  5. Mapowanie dysku — udziały serwera pojawiają się same
  6. Drukarki — drukarka biurowa bez dotykania komputera
  7. Aktualizacje — aktualizacje systemu Windows odbywają się zgodnie z Twoim harmonogramem
  8. Przekierowanie folderu — dokumenty znajdują się na serwerze, a nie na komputerze
  9. AppLocker — działają tylko zatwierdzone programy
  10. Audyt — rejestruj, kto się zalogował, a kto nie.
  11. Lokalna kontrola administratora — prawie nikt nie jest administratorem na swoim komputerze
  12. Przetestuj na pilotażowej jednostce organizacyjnej, zanim udostępnisz ją wszystkim

📋Omówienie i przewodnik krok po kroku

1

Najpierw otwórz Zarządzanie zasadami grupy

Wszystkie dziesięć zasad jest wbudowanych w jedną konsolę: konsolę zarządzania zasadami grupy. Otwórz pole Uruchom, wpisz poniższe polecenie i naciśnij Enter. Działającą regułą dla całej listy jest jeden obiekt GPO na zadanie, każdy o zwykłej nazwie, np. Blokuj-USB-Storage lub Screen-Lock-10-Min — osobną politykę można testować, wyłączać, wycofywać i filtrować samodzielnie, podczas gdy jeden gigantyczny obiekt GPO zawodzi jako gigant.

Run
gpmc.msc
⚠️ Najpierw utwórz i połącz każdą nową politykę w testowej jednostce organizacyjnej. Każda zasada na tej liście trafiła do biura, w którym nieprzetestowane wdrożenie spowodowało awarię. Udowodnij to na kilku komputerach, a następnie połącz to szerzej.
2

Polityka haseł — jedna reguła dla całej domeny

Ścieżka: Konfiguracja komputera → Zasady → Ustawienia systemu Windows → Ustawienia zabezpieczeń → Zasady konta → Zasady dotyczące haseł, zwykle edytowane w domyślnych zasadach domeny. Ustaw minimalną długość, którą ludzie faktycznie zapamiętają — 12 znaków o złożoności w rytmach, 8 znaków zmienianych co miesiąc. Nowoczesne wytyczne firmy Microsoft porzuciły wymuszone częste wygaśnięcie, ponieważ użytkownicy odpowiadają na nie za pomocą przewidywalnych wzorców. Długość plus rozsądna polityka blokowania konta to uczciwa kombinacja.

📌 To jedyna zasada, w ramach której domena otrzymuje dokładnie jedną wersję dla wszystkich kont domeny. Polityka haseł połączona z pojedynczą jednostką organizacyjną nie ma żadnego znaczenia dla użytkowników domeny — różne reguły dla jednej grupy wymagają szczegółowych zasad haseł, osobnej funkcji skonfigurowanej w usłudze Active Directory.
3

Blokada ekranu — komputer nienadzorowany sam się blokuje

Ścieżka: Konfiguracja użytkownika → Zasady → Szablony administracyjne → Panel sterowania → Personalizacja — włącz wygaszacz ekranu, ustaw limit czasu i włącz chroń wygaszacz ekranu hasłem. Bliźniak po stronie komputera, Logowanie interaktywne: limit bezczynności komputera w Opcjach zabezpieczeń, wykonuje to samo zadanie na każdym komputerze. Dziesięć minut to najlepszy moment w biurze: ktoś odchodzi od odblokowanego komputera zalogowanego jako konto lub HR, a każdy przechodzący obok staje się nagle tą osobą. Polityka ta zamyka najtańszą lukę w zabezpieczeniach budynku.

4

Kontrola pamięci USB — pendrive'y przestają być drzwiami

Ścieżka: Konfiguracja komputera → Zasady → Szablony administracyjne → System → Dostęp do pamięci wymiennej. Możesz odmówić odczytu, zapisu lub wykonania dla każdej klasy urządzenia lub odmówić całej pamięci wymiennej w jednym ustawieniu. Powodem biurowym są dane: jeden pendrive może wynieść całą bazę danych klientów na zewnątrz budynku lub przenieść wirusa.

⚠️ Skonfiguruj tę opcję z wyjątkową trasą od pierwszego dnia — grupą z filtrem bezpieczeństwa dla dwóch lub trzech osób rzeczywiście potrzebujących pracy — w przeciwnym razie zasada zostanie po cichu wyłączona, gdy pierwszy raz zablokuje szefa przed prezentacją. Klawiatury i myszy należą do innej rodziny ustawień (ograniczenia dotyczące instalacji urządzenia); ta polityka dotyczy przechowywania.
5

Mapowanie dysków — udziały serwera pojawiają się same

Ścieżka: Konfiguracja użytkownika → Preferencje → Ustawienia systemu Windows → Mapy dysków. To jest Preferencja zasad grupy, a nie klasyczna zasada: wskazujesz literę dysku na udział, wybierasz akcję (Utwórz lub Aktualizuj) i używasz kierowania na poziomie elementu, jeśli konta powinny uzyskać wzrost, którego sprzedaż nie powinna. Ta zasada wycofuje najstarszy skrypt w IT — plik wsadowy logowania — i codzienne wywołanie „zniknięcie dysku serwera”. Zmapowany dysk oznaczony czerwonym krzyżykiem jest wtedy natychmiast czytelny: oznacza to problem z siecią lub uprawnieniami, a nie tajemnicę mapowania.

6

Instalacja drukarki — drukarka biurowa bez dotykania komputera

Ścieżka: Preferencje → Ustawienia Panelu sterowania → Drukarki (lub zainstaluj z poziomu Zarządzania drukowaniem). Użytkownik loguje się i drukarka biurowa jest już dostępna z odpowiednim sterownikiem z serwera druku. Kieruj drukarki według jednostki organizacyjnej lub grupy, aby trzecie piętro przestało drukować na parterze.

📌 Prawdziwe współczesne zastrzeżenie: od czasu wprowadzenia poprawek PrintNightmare system Windows rygorystycznie podchodzi do sterowników drukarek — zwykli użytkownicy zazwyczaj nie mogą zainstalować zupełnie nowego sterownika, więc sterownik powinien już znajdować się na serwerze wydruku i zostać wstępnie przygotowany przez administratora. Wdrożenie przez obiekt GPO nadal powoduje usunięcie wizyty na komputerze; po prostu nie eliminuje już jednorazowego planowania kierowcy.
7

Kontrola Windows Update — aktualizacje odbywają się zgodnie z Twoim harmonogramem

Ścieżka: Konfiguracja komputera → Zasady → Szablony administracyjne → Składniki systemu Windows → Windows Update. Najważniejsze ustawienia: Skonfiguruj aktualizacje automatyczne, Brak automatycznego ponownego uruchamiania przy zalogowanych użytkownikach, terminy instalacji i — jeśli biuro korzysta z programu WSUS — lokalizacja intranetowego serwera aktualizacji. Ustawienia odroczenia pozwalają grupie pilotażowej najpierw pobrać aktualizacje, a reszcie biura kilka dni później. Jasno określ zadanie: ta zasada kontroluje termin, a nie to, czy aktualizacje mają miejsce. Ustaw okno instalacji po godzinach pracy i ostateczny termin ponownego uruchomienia, który użytkownicy będą widzieć, a aktualizacje staną się nudne — a właśnie tego chcesz.

8

Przekierowanie folderu — dokumenty znajdują się na serwerze, a nie na komputerze

Ścieżka: Konfiguracja użytkownika → Zasady → Ustawienia systemu Windows → Przekierowanie folderu. Dokumenty, Pulpit i Obrazy cicho wskazują folder na serwerze plików, a nie na dysku lokalnym. Zapłata pojawia się w najgorszym dniu: komputer umiera, użytkownik loguje się na dowolnym innym komputerze, a jego pliki już tam są, a kopia serwerowa znajduje się w zwykłej kopii zapasowej.

⚠️ Dwa szczere ostrzeżenia. Podczas pierwszego logowania kopiowane są istniejące pliki na serwer, dlatego wdrażaj je w małych partiach. I nigdy nie przekierowuj na powolny lub umierający serwer: każdy zapis wydaje się wtedy uszkodzony i użytkownicy zamiast tego zaczynają zapisywać na pendrive'ie – łamiąc powyższą politykę USB.
9

AppLocker — uruchamiane są tylko zatwierdzone programy

Ścieżki: Konfiguracja komputera → Ustawienia systemu Windows → Ustawienia zabezpieczeń → Zasady kontroli aplikacji → Blokada aplikacji lub starsze Zasady ograniczeń oprogramowania w tym samym obszarze. Pomysł polega na białej liście: mogą działać systemy Windows, pliki programów i aplikacje zatwierdzone przez administratora; cokolwiek użytkownik pobierze do swojego profilu, może nie. To najmocniejsza pozycja na liście i wymagająca największego szacunku.

⚠️ Wymuszanie funkcji AppLocker za pośrednictwem obiektu GPO to funkcja w wersji Enterprise i Education i każdy administrator powinien zacząć od trybu Tylko inspekcja, poprawić to, co wykryje dziennik, a dopiero potem egzekwować. Wykonany cierpliwie, cicho zatrzymuje większość złośliwego oprogramowania służącego do fałszowania faktur. Wykonane w piątkowym pośpiechu, zatrzymuje oprogramowanie rozliczeniowe.
10

Rejestrowanie audytu — rejestruj, kto się zalogował, a kto nie

Ścieżka: Konfiguracja komputera → Zasady → Ustawienia systemu Windows → Ustawienia zabezpieczeń → Zaawansowana konfiguracja zasad inspekcji. Kontroluj co najmniej powodzenie i niepowodzenie logowania na kontrolerach domeny i serwerach członkowskich. Audyt odpowiada na pytanie, które zadaje sobie każde biuro po incydencie: czyje konto było używane, z jakiego komputera i kiedy?

📌 Bądź szczery co do drugiej połowy: logi, których nikt nie czyta, nie są bezpieczeństwem, tylko miejscem przechowywania. Włącz audyt i wyrób mały cotygodniowy nawyk faktycznego odczytywania błędów.
11

Kontrola lokalnego administratora — prawie nikt nie jest administratorem na własnym komputerze

Ścieżka: Preferencje → Ustawienia Panelu sterowania → Użytkownicy i grupy lokalne mogą wyczyścić grupę Administratorzy na każdym komputerze — usunąć niepotrzebne konta użytkowników, zachować grupę wsparcia IT. Elementem towarzyszącym jest Windows LAPS, który zapewnia każdemu komputerowi unikalne, automatycznie zmieniane hasło administratora lokalnego, bezpiecznie przechowywane w Active Directory. Codzienna praca nie wymaga uprawnień administratora; złośliwe oprogramowanie dziedziczy je. Usuń uprawnienia stałego administratora, zachowaj LAPS na dzień, w którym dział IT będzie potrzebował lokalnego hasła, a połowa incydentów w normalnym biurze nigdy się nie wydarzy — ale przed wdrożeniem zachowaj jedną przetestowaną trasę, w której możliwe jest zbicie szyby.

12

Zastosuj, zaktualizuj i weryfikuj na komputerze testowym

Połącz nowy obiekt zasad grupy z testową jednostką organizacyjną, a następnie na kliencie testowym wymuś odświeżenie zasad i udowodnij wynik, zanim ktokolwiek inny go otrzyma. Pierwsze polecenie stosuje zasady teraz, zamiast czekać na następny cykl odświeżania; drugi pisze raport, w którym dokładnie wyszczególnia, które obiekty zasad grupy zostały zastosowane, a które odrzucono i dlaczego.

Command Prompt
gpupdate /force
Command Prompt
gpresult /h report.html
✅ Najpierw ustaw te dziesięć w testowej jednostce organizacyjnej, a dopiero potem połącz je szerzej. Lista 10 najlepszych to punkt wyjścia, a nie substytut myślenia — obejrzyj film raz, a utworzenie własnej listy zajmie niecałą godzinę.

🏷️Zmienne wyszukiwania tematów i słowa kluczowe

🔍 Group Policy 🔍 GPO 🔍 Windows Server 🔍 Active Directory 🔍 Password Policy 🔍 Screen Lock 🔍 USB Block 🔍 Drive Mapping 🔍 Printer Deployment 🔍 Folder Redirection 🔍 AppLocker 🔍 Audit Policy 🔍 Local Admin 🔍 TechnicalAnshu
🎙️ Pełna transkrypcja — kliknij, aby rozwinąć

__TOK_35__

__TOK_36__

__TOK_37__

❓ Najczęściej zadawane pytania

Czy korzystanie z tego samouczka jest w 100% bezpłatne?

__TOK_38__

Czy początkujący mogą postępować zgodnie z tym przewodnikiem?

__TOK_39__

Gdzie mogę zadawać pytania, jeśli utknę?

__TOK_40__

🚀 Obejrzyj cały samouczek na YouTube

__TOK_41__

__TOK_42__

▶️ Obejrzyj cały film
Ten samouczek oparty jest na materiale wideo firmy Technical Anshu przedstawiającym 10 najlepszych obiektów GPO w systemie Windows Server. • Utknąłeś na którymkolwiek kroku? Zapytaj w komentarzach do filmu – tam uzyskasz pomoc 🙏