Tutorial complet GPO Active Directory ⚡ Politica pentru utilizatori și computere explicată

Ce este de fapt un GPO

Un GPO este pur și simplu un grup de setări numit. Nu face nimic de la sine. Începe să funcționeze numai atunci când îl conectați la un container — un site, un domeniu sau o unitate organizațională (OU) — și apoi se aplică conturilor de utilizator sau computer din acel container.

De aici rezultă două fapte. În primul rând, editarea unui GPO și conectarea unui GPO sunt două sarcini separate; un GPO perfect configurat care nu este legat nicăieri nu schimbă nimic. În al doilea rând, un GPO poate fi conectat la mai multe OU-uri, iar o OU poate primi mai multe GPO.

Totul din acest tutorial se întâmplă într-o singură consolă - Consola de gestionare a politicilor de grup. Deschideți-l pe controlerul de domeniu sau pe orice computer cu instrumentele RSAT instalate, din caseta Run:

gpmc.msc

Politica computerului vs politica utilizatorului - cele două jumătăți

Deschideți orice GPO și veți vedea aceleași două secțiuni: Configurare computer și Configurare utilizator. Nu sunt două vizualizări ale unei singure liste - sunt două cutii de instrumente diferite cu setări diferite, aplicate în momente diferite unor conturi diferite.

Configurația computerului se aplică contului de computer. Este procesat când pornește computerul, înainte ca cineva să se conecteze. Instalare software pentru mașini, scripturi de pornire, blocare USB, comportament Windows Update și setări de securitate live aici.

Configurarea utilizatorului se aplică contului de utilizator. Este procesat atunci când un utilizator se conectează, pe orice PC. Imaginile de fundal, mapările unităților, redirecționarea folderelor, scripturile de conectare și restricțiile din Panoul de control trăiesc aici.

Unde conectați decide cine îl primește

GPO-urile se leagă la trei niveluri: site (o locație fizică a biroului), domeniu (toată lumea) și OU (un departament sau un grup). În birourile mici și mijlocii, aproape toate conexiunile au loc la nivel de OU, deoarece mai întâi organizați conturile în OU-uri – unul pentru PC-uri de birou, unul pentru utilizatorii de personal, unul pentru laptop-uri și așa mai departe.

Cele două GPO care există în mod implicit — Politica de domeniu implicită (reguli de parolă și de cont) și Politica de controlere de domeniu implicită — sunt cel mai bine lăsate în cea mai mare parte singure. Creați-vă propriile GPO pentru propriile setări, astfel încât să le puteți dezactiva fără a atinge setările implicite.

Creați, configurați și conectați primul dvs. GPO

În gpmc.msc, faceți clic dreapta pe Obiecte de politică de grup → Nou → dați-i un nume care spune ce face, cum ar fi Block-USB-Drives. Numirea contează sincer: după șase luni, un birou are patruzeci de GPO, iar nume precum „New GPO” sau „test2” nu vă spun nimic – nume după job, nu după dată.

Faceți clic dreapta pe noul GPO → Editați. Editorul deschide cu cele două jumătăți. Configurați setările în jumătatea corectă și închideți editorul.

Înapoi în GPMC, faceți clic dreapta pe OU țintă → Conectați un GPO existent → selectați GPO-ul dvs. Pe computerul client, reporniți-l (pentru setările computerului) sau deconectați-vă și reporniți-l (pentru setările utilizatorului) - sau forțați reîmprospătarea cu comenzile din pasul următor.

Forțați și dovediți-l — gpupdate și gpresult

Politicile se reîmprospătează singure la fiecare 90 de minute (cu o compensare aleatorie), dar nimeni nu testează acest lucru încet. Pe computerul client, deschideți linia de comandă și rulați:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force reaplică toate politicile acum. Unele setări încă au nevoie de o repornire (setări computer, instalări de software) sau o nouă conectare (setări utilizator) — /force nu poate sări peste fizică.

gpresult /r este chitanța: listează exact ce GPO-uri aplicate computerului și utilizatorului și care au fost filtrate și de ce. Pentru un raport care poate fi citit, gpresult /h report.html creează o pagină HTML care arată fiecare setare câștigătoare și de la care GPO provine. Nu judeca niciodată un GPO după speranță — gpresult /r ar trebui să fie prima comandă pe care o rulezi ori de câte ori o politică „nu funcționează”.