Top 10 GPO în Windows Server
Cele mai bune 10 politici de grup pentru un birou Windows Server - politică de parole, blocare ecran, blocare USB, mapare unități, imprimante, actualizări, redirecționare folder, AppLocker, audit și control administrativ local - fiecare explicat în cuvinte simple.
📑Capitole
- De ce un domeniu nou are nevoie mai întâi de aceste zece politici
- Politica privind parolele — o regulă pentru întregul domeniu
- Blocarea ecranului — PC-ul nesupravegheat se blochează singur
- Bloc USB — pen drive-urile nu mai sunt o ușă
- Mapping drive — partajările serverului apar singure
- Imprimante — imprimanta de birou fără a atinge computerul
- Actualizări — Actualizările Windows au loc în programul dvs.
- Redirecționare folder — documentele se află pe server, nu pe computer
- AppLocker — rulează numai programele aprobate
- Audit — înregistrați cine s-a conectat și cine a eșuat
- Control administrativ local — aproape nimeni nu este administrator pe propriul computer
- Testați pe o unitate de operare pilot înainte de a fi lansat pentru toată lumea
📋 Prezentare generală și Ghid pas cu pas
Deschideți mai întâi Managementul politicii de grup
Toate cele zece politici sunt construite într-o singură consolă: Consola de gestionare a politicilor de grup. Deschideți caseta Run, introduceți comanda de mai jos și apăsați Enter. Regula de lucru pentru întreaga listă este un GPO per job, fiecare cu un nume simplu, cum ar fi Block-USB-Storage sau Screen-Lock-10-Min — o politică separată poate fi testată, dezactivată, anulată și filtrată singură, în timp ce un GPO gigant eșuează ca gigant.
gpmc.mscPolitica parolelor — O singură regulă pentru întregul domeniu
Cale: Configurație computer → Politici → Setări Windows → Setări de securitate → Politici de cont → Politică de parolă, editată în mod normal în Politica de domeniu implicită. Setați o lungime minimă pe care oamenii o pot aminti efectiv — 12 caractere cu complexitate pe ritmuri 8 caractere schimbate în fiecare lună. Îndrumările moderne ale Microsoft au renunțat la expirarea frecventă forțată, deoarece utilizatorii îi răspund cu modele previzibile. Lungimea plus o politică sensibilă de blocare a contului este combinația cinstită.
Blocarea ecranului — PC-ul nesupravegheat se blochează singur
Cale: Configurare utilizator → Politici → Șabloane administrative → Panou de control → Personalizare — activați economizorul de ecran, setați timpul de expirare și activați protecția cu parolă a economizorului de ecran. Un geamăn de pe partea de computer, Autentificare interactivă: limită de inactivitate a mașinii în Opțiuni de securitate, face aceeași sarcină pe mașină. Zece minute este locul ideal al biroului: cineva se îndepărtează de un computer deblocat conectat ca conturi sau HR, iar oricine trece pe lângă ea este brusc acea persoană. Această politică închide cea mai ieftină gaură de securitate din clădire.
Controlul stocării USB — Pen Drive-urile nu mai sunt o ușă
Cale: Configurație computer → Politici → Șabloane administrative → Sistem → Acces stocare amovibil. Puteți să interziceți citirea, scrierea sau executarea pentru fiecare clasă de dispozitiv sau să respingeți toată spațiul de stocare amovibil într-o singură setare. Motivul biroului sunt datele: un pen drive poate transporta întreaga bază de date a clienților din clădire sau poate transporta un virus înăuntru.
Maparea unităților — Partajările serverului apar de la sine
Cale: Configurație utilizator → Preferințe → Setări Windows → Hărți drive. Aceasta este o politică de grup Preferință, nu o politică clasică: indicați o literă de impuls către o distribuire, alegeți acțiunea (Creați sau Actualizați) și utilizați direcționarea la nivel de articol dacă conturile ar trebui să obțină un impuls pe care vânzările nu ar trebui. Această politică retrage cel mai vechi script din IT — fișierul batch de conectare — și apelul zilnic „unitatea serverului a dispărut”. O unitate mapată care arată o cruce roșie este apoi citită instantaneu: o problemă de rețea sau de permisiuni, nu un mister de cartografiere.
Implementarea imprimantei — imprimanta de birou fără a atinge computerul
Cale: Preferințe → Setări panou de control → Imprimante (sau implementați din Print Management). Utilizatorul se conectează și imprimanta de birou este pur și simplu acolo, cu driverul potrivit de la serverul de imprimare. Vizați imprimantele în funcție de OU sau de grup, astfel încât etajul al treilea să nu mai imprime la parter.
Windows Update Control — Actualizările au loc în programul dvs
Cale: Configurație computer → Politici → Șabloane administrative → Componente Windows → Actualizare Windows. Setări cheie: Configurați actualizări automate, Fără repornire automată cu utilizatorii conectați, termene limită de instalare și — dacă biroul folosește WSUS — locația serverului de actualizare intranet. Setările de amânare permit unui grup pilot să primească mai întâi actualizările, iar restul biroului câteva zile mai târziu. Fiți clar cu privire la job: această politică controlează timpul, nu dacă au loc actualizări. Setați o fereastră de instalare după program și un termen limită de repornire pe care utilizatorii îl pot vedea că vine, iar actualizările devin plictisitoare - ceea ce este exact ceea ce doriți.
Redirecționare folder — Documentele trăiesc pe server, nu pe computer
Cale: Configurare utilizator → Politici → Setări Windows → Redirecționare folder. Documentele, Desktopul și Imaginile indică în liniște un folder de pe serverul de fișiere în loc de discul local. Recompensa apare în cea mai proastă zi: un computer moare, utilizatorul se conectează pe orice alt computer și fișierele lor sunt deja acolo - iar copia serverului se află în backup-ul tău normal.
AppLocker — Rulați numai programele aprobate
Căi: Configurație computer → Setări Windows → Setări de securitate → Politici de control al aplicațiilor → AppLocker sau politicile de restricție software mai vechi din aceeași zonă. Ideea este o listă albă: Windows, fișierele de program și aplicațiile aprobate de administrator pot rula; orice descarcă un utilizator în propriul profil nu poate. Acesta este cel mai puternic element de pe listă și cel care cere cel mai mult respect.
Înregistrare de audit — Înregistrați cine s-a conectat și cine a eșuat
Cale: Configurație computer → Politici → Setări Windows → Setări de securitate → Configurare avansată a politicii de audit. Cel puțin, auditați succesul și eșecul de conectare pe controlerele de domeniu și serverele membre. Auditul răspunde la întrebarea pe care și-o pune fiecare birou după un incident: al cui cont a fost folosit, de pe ce computer și când?
Control administrativ local - Aproape nimeni nu este un administrator pe propriul computer
Calea: Preferințe → Setări panou de control → Utilizatori și grupuri locale pot curăța grupul de administratori de pe fiecare PC — eliminați conturile de utilizatori rătăcite, păstrați grupul de asistență IT. Piesa însoțitoare este Windows LAPS, care oferă fiecărui computer o parolă de administrator local unică, rotită automat, stocată în siguranță în Active Directory. Munca zilnică nu necesită drepturi de administrator; malware le moștenește. Eliminați drepturile de administrator permanent, păstrați LAPS pentru ziua în care IT-ul are nevoie de parola locală și jumătate din incidentele dintr-un birou normal nu se întâmplă niciodată - dar păstrați o rută testată de spargere de sticlă înainte de lansare.
Aplicați, actualizați și verificați pe un computer de testare
Conectați noul GPO la OU de testare, apoi pe un client de testare forțați o reîmprospătare a politicii și dovediți rezultatul înainte ca oricine altcineva să-l primească. Prima comandă aplică politicile acum, în loc să aștepte următorul ciclu de reîmprospătare; al doilea scrie un raport care enumeră exact care GPO au fost aplicate - și care au fost refuzate și de ce.
gpupdate /forcegpresult /h report.html🏷️Variabile și cuvinte cheie pentru căutarea subiectelor
🎙️ Transcriere completă — atingeți pentru a extinde
__TOK_35__
__TOK_36__
__TOK_37__
❓ Întrebări frecvente
Este acest tutorial 100% gratuit de urmat?
__TOK_38__
Pot începătorii să urmeze acest ghid?
__TOK_39__
Unde pot pune întrebări dacă rămân blocat?
__TOK_40__