Объяснение обратной связи GPO и фильтрации безопасности

Начните с настроек по умолчанию — аутентифицированные пользователи

По умолчанию каждый новый объект групповой политики имеет один фильтр безопасности: Прошедшие проверку, имеющий разрешения Чтение и Применение групповой политики. Эта группа шире, чем кажется — она включает каждого вошедшего в систему пользователя и каждую учетную запись компьютера домена — и именно поэтому новый объект групповой политики «просто работает» для всех в подразделении, с которым он связан. Вы можете увидеть фильтр в консоли управления групповыми политиками: выберите объект групповой политики и посмотрите на поле Фильтрация безопасности на вкладке Область действия. Все в этом видео является намеренным изменением настроек по умолчанию — и все сюрпризы начинаются именно с этого.

Включить петлевую обработку

Обработка шлейфа — это настройка компьютера. Отредактируйте объект групповой политики, связанный с подразделением, в котором расположены компьютеры, и перейдите в раздел Конфигурация компьютера → Политики → Административные шаблоны → Система → Групповая политика. Откройте Настроить режим обратной обработки групповой политики пользователя и установите для него значение Включено. С этого момента пользовательские настройки для всех, кто входит в систему на этих компьютерах, берутся из объектов групповой политики, связанных с подразделением компьютера, а не только из собственного подразделения пользователя. Loopback никогда не меняет компьютерную половину политики — настройки компьютера всегда обрабатываются нормально.

Выберите режим объединения или замены.

Эта же настройка просит режим, и выбор меняет всё. Заменить полностью пропускает собственные объекты групповой политики пользователя — применяются только пользовательские настройки из объектов групповой политики компьютера. Это режим для киосков, учебных аудиторий и серверов RDS, где машина должна предоставлять абсолютно всем одну идентичную контролируемую среду. Объединение сначала применяет собственные объекты групповой политики пользователя, затем применяет пользовательские настройки компьютера сверху — и настройки компьютера побеждают любой конфликт. Слияние подходит для обычных ПК, где пользователь сохраняет большую часть своей обычной политики, но последнее слово должно оставаться за правилами машины.

Нацельте объект групповой политики с помощью фильтрации безопасности

Фильтрация безопасности — это способ запретить доступ GPO ко всем в подразделении. Выберите объект групповой политики в консоли, откройте вкладку Область и в разделе Фильтрация безопасности удалите Прошедшие проверку пользователи и добавьте только ту группу, которая должна получить политику. Чтобы получить объект групповой политики, учетной записи необходимо оба прочитать и применить групповую политику — при использовании только одного из двух объект групповой политики либо никогда не загружается, либо отображается в списке, но пропускается. Фильтрация — это стандартный способ опробовать новую политику сначала на одной небольшой группе или нацелить ее на один отдел без перемещения ни одной учетной записи между подразделениями.

Сохраните разрешение на чтение компьютеров (MS16-072)

Это ловушка, в которую попадают администраторы с июня 2016 года. Обновление безопасности MS16-072 изменило способ получения групповой политики: учетная запись компьютера теперь извлекает пользовательские объекты групповой политики с контроллера домена в собственном контексте безопасности компьютера. Таким образом, компьютер должен иметь разрешение Чтение для каждого объекта групповой политики, который он извлекает, включая пользовательские объекты групповой политики, отфильтрованные по группе, членом которой компьютер не является. Если вы удалили Прошедших проверку пользователей на предыдущем шаге, откройте вкладку Делегирование объекта групповой политики, нажмите Добавить и дайте Прошедшим проверку пользователям (или компьютерам домена) только разрешение Чтение — чтение — это все, что нужно машине; Подайте заявку на пребывание в вашей целевой группе.

Когда встречаются петлевая проверка и фильтрация

Два элемента управления взаимодействуют, и взаимодействие цепляет даже опытных админов. Пользовательские настройки, которые обеспечивает петлевая проверка, по-прежнему находятся в объектах групповой политики, связанных с подразделением компьютера, но они по-прежнему являются пользовательскими настройками, поэтому человеку, сидящему за клавиатурой, по-прежнему необходимо Применить групповую политику к этому объекту групповой политики, а компьютеру по-прежнему необходимо Прочитать его. Настройте фильтр на объекте групповой политики обратной связи только для группы компьютеров, и машина послушно извлекает объект групповой политики, пользовательские настройки которого никому, сидящему за ней, не разрешено применять: идеально настроенный объект групповой политики киоска, который молча ничего не доставляет. Прежде чем обвинять саму политику, проверьте обе половины пары разрешений.

Докажите это с помощью gpresult

Не гадайте — проверьте. На зараженном компьютере в сеансе затронутого пользователя откройте командную строку и запустите команду проверки видео:

gpresult /h report.html

Откройте сгенерированный report.html и прочитайте вердикты. Примененные объекты групповой политики перечислены вверху, и у каждого отклоненного объекта групповой политики указана причина: Отказано (Безопасность) означает решение о фильтрации, Отказано (Недоступно) означает сбой выборки или разрешений, а Отказано (пусто) означает, что половина объекта групповой политики просто не имеет настроек. При работе с обратной связью отпечаток становится безошибочным — объекты групповой политики, передающие пользовательские настройки, принадлежат подразделению компьютера. Обработайте доказательства в следующем порядке — область, фильтр, петля — и большинство случаев «неприменения объекта групповой политики» объяснятся сами собой.