Active Directory GPO Fullständig självstudie ⚡ Användar- och datorpolicy förklaras

Vad en GPO faktiskt är

En GPO är helt enkelt en namngiven samling inställningar. Det gör ingenting av sig självt. Den börjar fungera först när du länkar den till en behållare – en webbplats, domänen eller en organisationsenhet (OU) – och den gäller sedan för användar- eller datorkonton i den behållaren.

Två fakta följer av detta. För det första är att redigera en GPO och länka en GPO två separata jobb; ett perfekt konfigurerat GPO som inte är länkat någonstans förändrar ingenting. För det andra kan en GPO länkas till flera OE, och en OU kan ta emot många GPO.

Allt i den här självstudien sker i en konsol – Group Policy Management Console. Öppna den på domänkontrollanten, eller på valfri dator med RSAT-verktygen installerade, från rutan Kör:

gpmc.msc

Datorpolicy vs användarpolicy - de två halvorna

Öppna valfritt GPO och du kommer att se samma två avsnitt: Datorkonfiguration och Användarkonfiguration. De är inte två vyer av en lista – de är två olika verktygslådor med olika inställningar som tillämpas vid olika tidpunkter på olika konton.

Datorkonfiguration gäller för datorkontot. Den bearbetas när datorn startar, innan någon loggar in. Programvaruinstallation för maskiner, startskript, USB-blockering, Windows Update-beteende och säkerhetsinställningar live här.

Användarkonfiguration gäller för användarkontot. Det bearbetas när en användare loggar in, på vilken dator som helst. Bakgrundsbilder, enhetsmappningar, omdirigering av mappar, inloggningsskript och kontrollpanelsbegränsningar finns här.

Var du länkar bestämmer vem som får det

GPO:er länkar på tre nivåer: webbplats (en fysisk kontorsplats), domän (alla) och OU (en avdelning eller grupp). På små och medelstora kontor sker nästan all länkning på organisationsenhetsnivå, eftersom du först organiserar konton i organisationsenheter – ett för kontorsdatorer, ett för personalanvändare, ett för bärbara datorer och så vidare.

De två GPO:er som finns som standard – Standarddomänpolicy (lösenord och kontoregler) och Standarddomänkontrollanter – är bäst att lämna ifred. Skapa dina egna GPO för dina egna inställningar, så att du kan stänga av dem utan att röra standardinställningarna.

Skapa, konfigurera och länka ditt första GPO

I gpmc.msc högerklickar du på Grupppolicyobjekt → Ny → ge den ett namn som säger vad den gör, som Blockera USB-enheter. Namngivning spelar ärligt roll: efter sex månader har ett kontor fyrtio GPO:er, och namn som "New GPO" eller "test2" säger ingenting - namn efter jobb, inte efter datum.

Högerklicka på det nya GPO → Redigera. Redaktören öppnar med de två halvorna. Konfigurera dina inställningar i rätt halva och stäng redigeraren.

Tillbaka i GPMC, högerklicka på målorganisationen → Länka en befintlig GPO → välj din GPO. Starta om den på klientdatorn (för datorinställningar) eller logga av och på igen (för användarinställningar) - eller tvinga fram uppdateringen med kommandona i nästa steg.

Force It and Prove It — gpupdate och gpresult

Policyer uppdateras av sig själva ungefär var 90:e minut (med en slumpmässig förskjutning), men ingen testar så långsamt. Öppna kommandotolken på klientdatorn och kör:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force tillämpar alla policyer igen nu. Vissa inställningar behöver ärligt talat fortfarande omstart (datorinställningar, mjukvaruinstallationer) eller en ny inloggning (användarinställningar) — /force kan inte hoppa över fysik.

gpresult /r är kvittot: det visar exakt vilka GPO:er som tillämpades på datorn och användaren, och vilka som filtrerades bort och varför. För en läsbar rapport skapar gpresult /h report.html en HTML-sida som visar alla vinnande inställningar och vilket GPO den kom ifrån. Bedöm aldrig en GPO efter hopp – gpresult /r bör vara det första kommandot du kör när en policy "inte fungerar".