GPO Loopback și filtrarea de securitate explicată

Începeți de la implicit - Utilizatori autentificați

Din cutie, fiecare GPO nou are un filtru de securitate: Utilizatori autentificați, care dețin atât permisiunile de Citire, cât și de Aplicați politica de grup. Acest grup este mai larg decât pare - include fiecare utilizator conectat și fiecare cont de computer de domeniu - și acesta este motivul pentru care un nou GPO „funcționează” pentru toți cei din OU la care este conectat. Puteți vedea filtrul în Consola de gestionare a politicilor de grup: selectați GPO și uitați-vă la caseta Filtrare de securitate din fila Domeniu. Totul din acest videoclip este o schimbare deliberată a acestei implicite - și fiecare surpriză începe acolo.

Activați Procesarea Loopback

Procesarea loopback este o setare de calculator. Editați GPO-ul care este conectat la OU care deține computerele și accesați Configurație computer → Politici → Șabloane administrative → Sistem → Politică de grup. Deschideți Configurați modul de procesare loopback al politicii de grup utilizator și setați-l la Activat. Din acel moment, setările utilizatorului pentru oricine se conectează la acele PC-uri sunt preluate din GPO-urile conectate la OU computerului în loc de numai OU-ul utilizatorului. Loopback nu schimbă niciodată jumătatea politicii computerului - setările computerului se procesează întotdeauna în mod normal.

Alegeți Merge sau Replace Mode

Aceeași setare cere un mod, iar alegerea schimbă totul. Înlocuire omite în întregime propriile GPO-uri ale utilizatorului - se aplică numai setările utilizatorului din GPO-urile computerului. Acesta este modul pentru chioșcuri, săli de clasă și servere RDS, în care mașina trebuie să prezinte un mediu identic, controlat pentru absolut toată lumea. Merge aplică mai întâi propriile GPO-uri ale utilizatorului, apoi aplică setările utilizatorului computerului deasupra — iar setările computerului câștigă orice conflict. Merge se potrivește computerelor normale în care persoana își păstrează cea mai mare parte a politicii obișnuite, dar regulile aparatului trebuie să aibă ultimul cuvânt.

Îndreptați GPO-ul cu filtrarea de securitate

Filtrarea de securitate este modul în care împiedicați un GPO să ajungă la toată lumea din OU. Selectați GPO în consolă, deschideți fila Scope, iar în secțiunea Security Filtering eliminați Utilizatori autentificați și adăugați numai grupul care ar trebui să primească politica. Pentru a primi un GPO, un cont are nevoie de ambele Citiți și Aplicați politica de grup - cu doar unul dintre cele două, GPO-ul nu este niciodată descărcat sau listat, ci omis. Filtrarea este modalitatea standard de a pilota o nouă politică mai întâi pe un grup mic sau de a viza un singur departament, fără a muta un singur cont între OU.

Păstrați permisiunea de citire a computerelor (MS16-072)

Aceasta este capcana care i-a mușcat pe administratori din iunie 2016. Actualizarea de securitate MS16-072 a schimbat modul în care este preluată Politica de grup: contul de computer preia acum GPO-urile utilizatorului de la controlerul de domeniu în contextul de securitate al computerului. Deci, computerul trebuie să dețină permisiunea de Citire pentru fiecare GPO pe care îl preia, inclusiv GPO-urile de utilizator filtrate către un grup din care computerul nu este membru. Dacă ați eliminat utilizatorii autentificați în pasul anterior, deschideți fila Delegare a GPO-ului, faceți clic pe Adăugați și acordați Utilizatori autentificați (sau computere de domeniu) permisiunea Citire numai — citirea este tot ce are nevoie mașina; Aplicați sejururi cu grupul țintă.

Când Loopback și Filtering se întâlnesc

Cele două comenzi interacționează, iar interacțiunea prinde chiar și administratori experimentați. Setările utilizatorului pe care le oferă loopback-ul încă vii în GPO-uri conectate la OU a computerului — dar sunt încă setări de utilizator, astfel încât persoana de la tastatură are nevoie în continuare de Aplică politica de grup pe acel GPO, iar computerul trebuie să-l Citească. Strângeți filtrul unui GPO loopback numai la un grup de computere, iar aparatul preia cu grijă un GPO ale cărui setări de utilizator nu are voie să le aplice nimeni care stă la el: un GPO chioșc perfect configurat care nu oferă nimic în tăcere. Înainte de a da vina pe politica în sine, verificați ambele jumătăți ale perechii de permisiuni.

Demonstrează-o cu gpresult

Nu ghiciți - verificați. Pe computerul afectat, în sesiunea utilizatorului afectat, deschideți Linia de comandă și rulați comanda de probă a videoclipului:

gpresult /h report.html

Deschideți report.html generat și citiți verdictele. GPO-urile aplicate sunt listate în partea de sus, iar fiecare GPO respins are motivul său: Refuzat (Securitate) înseamnă o decizie de filtrare, Refuzat (inaccesibil) înseamnă o eșec de preluare sau permisiuni și Refus (Gol) înseamnă că jumătate din GPO pur și simplu nu are setări. Cu loopback-ul funcționând, amprenta digitală este inconfundabilă - GPO-urile care furnizează setările utilizatorului sunt cele din OU a computerului. Lucrați dovezile în această ordine – domeniul de aplicare, filtru, loopback – și majoritatea cazurilor „GPO nu se aplică” se explică.