Technical Anshu Главная › Уроки › 10 лучших объектов групповой политики
🖥️ Групповая политика/Active Directory

10 лучших объектов групповой политики в Windows Server

10 лучших групповых политик для офиса с Windows Server — политика паролей, блокировка экрана, блокировка USB, сопоставление дисков, принтеры, обновления, перенаправление папок, AppLocker, аудит и контроль локального администратора — каждая из которых объяснена простыми словами.

✍️ Technical Anshu🖥️ Windows Server / Active Directory🎧 Multi-Language Audio
10 лучших объектов групповой политики в Windows Server
🎧 Многоязычное аудио: В видеоплеере нажмите [Настройки] (⚙️) ➔ [Аудиодорожка], чтобы выбрать язык.

📑Главы

  1. Почему новому домену в первую очередь нужны эти десять политик
  2. Политика паролей — одно правило для всего домена
  3. Блокировка экрана: компьютер, оставленный без присмотра, блокируется автоматически.
  4. USB-блокировка — флэш-накопители перестают быть дверью.
  5. Сопоставление дисков — общие ресурсы сервера отображаются сами по себе.
  6. Принтеры — офисный принтер без прикосновения к ПК
  7. Обновления — обновления Windows выходят по вашему расписанию.
  8. Перенаправление папок — документы хранятся на сервере, а не на ПК.
  9. AppLocker — запускаются только одобренные программы.
  10. Аудит – фиксируйте, кто вошел в систему, а кто не выполнил ее.
  11. Контроль локального администратора — почти никто не является администратором на своем компьютере.
  12. Протестируйте пилотное подразделение, прежде чем распространять его среди всех.

📋 Обзор и пошаговое руководство

1

Сначала откройте управление групповой политикой

Все десять политик встроены в одну консоль: консоль управления групповыми политиками. Откройте окно «Выполнить», введите команду ниже и нажмите Enter. Рабочее правило для всего списка — один объект групповой политики на задание, каждый из которых имеет простое имя, например Block-USB-Storage или Screen-Lock-10-Min. Отдельную политику можно тестировать, отключать, откатывать и фильтровать самостоятельно, в то время как один гигантский объект групповой политики не работает как гигантский.

Run
gpmc.msc
⚠️ Сначала создайте и свяжите каждую новую политику с тестовым подразделением. Каждая политика в этом списке соответствует офису, в котором непроверенное развертывание вызвало сбой. Докажите это на нескольких машинах, а затем свяжите это более широко.
2

Политика паролей — одно правило для всего домена

Путь: Конфигурация компьютера → Политики → Настройки Windows → Настройки безопасности → Политики учетных записей → Политика паролей, обычно редактируется в Политике домена по умолчанию. Установите минимальную длину, которую люди действительно смогут запомнить — 12 символов со сложностью в тактах, 8 символов меняются каждый месяц. Собственные современные рекомендации Microsoft отказались от частого принудительного истечения срока действия, поскольку пользователи отвечают на него предсказуемыми шаблонами. Длина плюс разумная политика блокировки учетной записи — это честная комбинация.

📌 Это единственная политика, при которой домен получает ровно одну версию для всех учетных записей домена. Политика паролей, связанная с одним подразделением, ничего не дает пользователям домена — разные правила для одной группы требуют детальной политики паролей — отдельной функции, настроенной в Active Directory.
3

Блокировка экрана: компьютер, оставленный без присмотра, блокируется сам

Путь: Конфигурация пользователя → Политики → Административные шаблоны → Панель управления → Персонализация — включите заставку, установите время ожидания и включите защиту заставки паролем. Двойник на стороне компьютера, Интерактивный вход: ограничение бездействия компьютера в разделе «Параметры безопасности», выполняет ту же работу для каждого компьютера. Десять минут — это самое приятное время в офисе: кто-то уходит от разблокированного компьютера, вошедшего в систему как учетная запись или отдел кадров, и любой, кто проходит мимо, внезапно оказывается этим человеком. Эта политика закрывает самую дешевую дыру в безопасности в здании.

4

Управление USB-накопителями: флэш-накопители перестают быть дверью

Путь: Конфигурация компьютера → Политики → Административные шаблоны → Система → Доступ к съемному носителю. Вы можете запретить чтение, запись или выполнение для каждого класса устройства или запретить все съемные носители в одной настройке. Причина в офисе — данные: один флэш-накопитель может перенести всю базу данных клиентов за пределы здания или занести туда вирус.

⚠️ Настройте маршрут исключений с первого дня – группу с фильтрами безопасности для двух или трех человек, действительно нуждающихся в работе. В противном случае политика будет незаметно отключена при первом блокировании начальника перед презентацией. Клавиатуры и мыши относятся к другому семейству настроек (ограничения на установку устройства); эта политика касается хранения.
5

Сопоставление дисков — общие ресурсы сервера появляются сами по себе

Путь: Конфигурация пользователя → Настройки → Настройки Windows → Карты дисков. Это Предпочтение групповой политики, а не классическая политика: вы указываете букву диска на общий ресурс, выбираете действие (Создать или Обновить) и используете таргетинг на уровне элемента, если учетные записи должны получить диск, а продажи не должны. Эта политика удаляет самый старый сценарий в ИТ — пакетный файл входа в систему — и ежедневный вызов «пропал серверный диск». Подключенный диск с красным крестом сразу становится читаемым: проблема с сетью или разрешениями, а не загадка сопоставления.

6

Развертывание принтера — офисный принтер, не прикасаясь к ПК

Путь: Настройки → Настройки панели управления → Принтеры (или разверните из управления печатью). Пользователь входит в систему, и офисный принтер просто присутствует с нужным драйвером от сервера печати. Настройте принтеры по подразделениям или группам, чтобы третий этаж прекратил печать на первом этаже.

📌 Честное современное предостережение: поскольку исправления PrintNightmare, Windows строга в отношении драйверов принтеров — обычные пользователи обычно не могут установить совершенно новый драйвер, поэтому драйвер должен уже находиться на сервере печати и быть предварительно настроен администратором. Развертывание с помощью объекта групповой политики по-прежнему удаляет посещение каждого компьютера; он просто больше не удаляет однократное планирование драйвера.
7

Контроль обновлений Windows — обновления происходят по вашему расписанию

Путь: Конфигурация компьютера → Политики → Административные шаблоны → Компоненты Windows → Центр обновления Windows. Основные настройки: Настройка автоматического обновления, Без автоматического перезапуска при входе в систему пользователей, сроки установки и — если в офисе используется WSUS — расположение сервера обновлений в интрасети. Настройки отсрочки позволяют пилотной группе сначала получать обновления, а остальным сотрудникам офиса — через несколько дней. Четко сформулируйте задание: эта политика контролирует время, а не то, происходят ли обновления. Установите окно установки в нерабочее время, и пользователи увидят крайний срок перезапуска, и обновления станут скучными — а это именно то, что вам нужно.

8

Перенаправление папок — документы живут на сервере, а не на ПК

Путь: Конфигурация пользователя → Политики → Настройки Windows → Перенаправление папок. «Документы», «Рабочий стол» и «Изображения» спокойно указывают на папку на файловом сервере, а не на локальном диске. Расплата проявляется в самый худший день: компьютер умирает, пользователь входит в систему на любом другом компьютере, и его файлы уже там, а копия сервера находится внутри вашей обычной резервной копии.

⚠️Два честных предупреждения. При первом входе существующие файлы копируются на сервер, поэтому развертывание выполняется небольшими партиями. И никогда не перенаправляйте на медленный или умирающий сервер: тогда каждое сохранение кажется сломанным, и вместо этого пользователи начинают сохранять на флэш-накопитель, что противоречит приведенной выше политике USB.
9

AppLocker — запускаются только одобренные программы

Пути: Конфигурация компьютера → Настройки Windows → Настройки безопасности → Политики управления приложениями → AppLocker или более старые политики ограничения программного обеспечения в той же области. Идея заключается в белом списке: Windows, Program Files и приложения, одобренные администратором, могут работать; все, что пользователь загружает в свой профиль, может и не быть. Это самый сильный пункт в списке, требующий наибольшего уважения.

⚠️ Применение AppLocker через объект групповой политики — это функция версии Enterprise and Education, и каждый администратор должен запустить режим Только аудит, исправить данные журнала и только затем применить его. Если действовать терпеливо, он незаметно останавливает большинство вредоносных программ, выставляющих фальшивые счета. Сделано в спешке в пятницу, это останавливает программное обеспечение для выставления счетов.
10

Журнал аудита — записывайте, кто вошел в систему, а кто не прошел

Путь: Конфигурация компьютера → Политики → Настройки Windows → Настройки безопасности → Конфигурация расширенной политики аудита. Как минимум, проверяйте успешные и неудачные входы в систему на контроллерах домена и рядовых серверах. Аудит отвечает на вопрос, который задает каждый офис после инцидента: чья учетная запись использовалась, с какого компьютера и когда?

📌 Будьте честны насчет второй половины: логи, которые никто не читает, — это не безопасность, а хранилище. Включите одитинг и выработайте небольшую еженедельную привычку действительно считывать неудачи.
11

Локальный административный контроль — почти никто не является администратором на своем компьютере

Путь: Настройки → Настройки панели управления → Локальные пользователи и группы можно очистить группу «Администраторы» на каждом компьютере — удалить случайные учетные записи пользователей, сохранить группу ИТ-поддержки. Дополнительным компонентом является Windows LAPS, который дает каждому компьютеру уникальный, автоматически меняющийся пароль локального администратора, который надежно хранится в Active Directory. Ежедневная работа не требует прав администратора; вредоносное ПО наследует их. Удалите постоянные права администратора, сохраните LAPS на тот день, когда ИТ-специалистам понадобится локальный пароль, и половина инцидентов в обычном офисе никогда не произойдет, но перед развертыванием сохраните один проверенный маршрут взлома.

12

Примените, обновите и проверьте на тестовом ПК

Свяжите новый объект групповой политики с тестовым подразделением, затем принудительно обновите политику на тестовом клиенте и подтвердите результат до того, как его получит кто-либо еще. Первая команда применяет политики сейчас, а не ждет следующего цикла обновления; второй пишет отчет, в котором точно перечислены, какие объекты групповой политики были применены, а какие были отклонены и почему.

Command Prompt
gpupdate /force
Command Prompt
gpresult /h report.html
✅ Сначала установите эти десять в тестовом OU и только потом связывайте их шире. Список топ-10 — это отправная точка, а не замена размышлений: посмотрите видео один раз, и создание собственного списка займет меньше часа.

🏷️Переменные и ключевые слова поиска по теме

🔍 Group Policy 🔍 GPO 🔍 Windows Server 🔍 Active Directory 🔍 Password Policy 🔍 Screen Lock 🔍 USB Block 🔍 Drive Mapping 🔍 Printer Deployment 🔍 Folder Redirection 🔍 AppLocker 🔍 Audit Policy 🔍 Local Admin 🔍 TechnicalAnshu
🎙️ Полная расшифровка — нажмите, чтобы развернуть.

__TOK_35__

__TOK_36__

__TOK_37__

❓ Часто задаваемые вопросы

Это руководство на 100 % бесплатно?

__TOK_38__

Могут ли новички следовать этому руководству?

__TOK_39__

Где я могу задать вопросы, если застрял?

__TOK_40__

🚀 Посмотрите полное руководство на YouTube

__TOK_41__

__TOK_42__

▶️ Посмотреть полное видео
Это руководство основано на видео Technical Anshu «10 лучших объектов групповой политики в Windows Server». • Застряли на каком-либо этапе? Спрашивайте в комментариях к видео — там вам помогут 🙏