Полное руководство по объекту групповой политики Active Directory ⚡ Объяснение политики пользователя и компьютера

Что такое объект групповой политики на самом деле

Объект групповой политики – это просто именованный набор настроек. Само по себе оно ничего не делает. Он начинает работать только тогда, когда вы связываете его с контейнером — сайтом, доменом или организационным подразделением (OU), — а затем применяется к учетным записям пользователей или компьютеров внутри этого контейнера.

Отсюда следуют два факта. Во-первых, редактирование объекта групповой политики и связывание объекта групповой политики — это две разные задачи; идеально настроенный объект групповой политики, который никуда не привязан, ничего не меняет. Во-вторых, один объект групповой политики может быть связан с несколькими подразделениями, а одно подразделение может получать множество объектов групповой политики.

Все в этом руководстве происходит в одной консоли — консоли управления групповыми политиками. Откройте его на контроллере домена или на любом компьютере с установленными средствами RSAT из окна «Выполнить»:

gpmc.msc

Компьютерная политика против пользовательской политики — две половины

Откройте любой объект групповой политики, и вы увидите одни и те же два раздела: Конфигурация компьютера и Конфигурация пользователя. Это не два представления одного списка — это два разных набора инструментов с разными настройками, применяемыми в разное время к разным учетным записям.

Конфигурация компьютера применяется к учетной записи компьютера. Он обрабатывается при запуске компьютера, прежде чем кто-либо войдет в систему. Здесь находится установка программного обеспечения для компьютеров, сценарии запуска, блокировка USB, поведение Центра обновления Windows и настройки безопасности.

Конфигурация пользователя применяется к учетной записи пользователя. Он обрабатывается при входе пользователя в систему на любом компьютере. Здесь находятся обои, сопоставления дисков, перенаправление папок, сценарии входа в систему и ограничения панели управления.

Место, где вы разместите ссылку, решает, кто ее получит

Объекты групповой политики связаны на трех уровнях: сайт (физическое расположение офиса), домен (все) и подразделение (один отдел или группа). В малых и средних офисах почти все связывания происходят на уровне подразделений, поскольку сначала вы организуете учетные записи в подразделения — один для офисных ПК, один для сотрудников, один для ноутбуков и так далее.

Два объекта групповой политики, существующие по умолчанию — Политика домена по умолчанию (правила паролей и учетных записей) и Политика контроллеров домена по умолчанию — лучше всего оставить в покое. Создайте свои собственные объекты групповой политики для своих настроек, чтобы их можно было отключить, не трогая настройки по умолчанию.

Создайте, настройте и свяжите свой первый объект групповой политики

В gpmc.msc щелкните правой кнопкой мыши Объекты групповой политики → Создать → дайте ему имя, описывающее его назначение, например Block-USB-Drives. Честное присвоение имен имеет значение: через шесть месяцев в офисе появится сорок объектов групповой политики, и такие названия, как «Новый объект групповой политики» или «test2», вам ни о чем не скажут — называйте по должности, а не по дате.

Щелкните правой кнопкой мыши новый объект групповой политики → Изменить. Редактор открывается двумя половинками. Настройте параметры в правильной половине и закройте редактор.

Вернувшись в консоль управления групповыми политиками, щелкните правой кнопкой мыши целевое подразделение → Связать существующий объект групповой политики → выберите объект групповой политики. На клиентском ПК перезагрузите его (для настроек компьютера) или выйдите из системы и снова войдите (для пользовательских настроек) — или принудительно обновите его с помощью команд на следующем шаге.

Принудьте это и докажите это — gpupdate и gpresult

Политики обновляются самостоятельно примерно каждые 90 минут (со случайным смещением), но никто не тестирует так медленно. На клиентском ПК откройте командную строку и выполните:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force теперь повторно применяет все политики. Некоторые настройки по-прежнему требуют перезагрузки (настройки компьютера, установка программного обеспечения) или нового входа в систему (пользовательские настройки) — /force не может пропустить физику.

gpresult /r — это квитанция: в ней точно указано, какие объекты групповой политики были применены к компьютеру и пользователю, а какие были отфильтрованы и почему. Для читаемого отчета gpresult /h report.html создает HTML-страницу, показывающую все выигравшие настройки и из какого объекта групповой политики они взяты. Никогда не судите об объекте групповой политики с надеждой — gpresult /r должна быть первой командой, которую вы запускаете, когда политика «не работает».