GPO Loopback och säkerhetsfiltrering förklaras

Börja från Standard — Autentiserade användare

Varje ny GPO har ett säkerhetsfilter direkt från förpackningen: Autentiserade användare, som har både Läs och Apply Group Policy-behörigheter. Den gruppen är bredare än den låter – den inkluderar alla inloggade användare och alla domändatorkonton – och det är därför en ny GPO "bara fungerar" för alla i den organisationsenhet som den är länkad till. Du kan se filtret i Group Policy Management Console: välj GPO och titta på rutan Säkerhetsfiltrering på fliken Omfattning. Allt i den här videon är en avsiktlig förändring av den standarden - och varje överraskning börjar där.

Aktivera loopback-bearbetning

Loopback-bearbetning är en dator-inställning. Redigera GPO som är länkad till organisationsenheten som håller datorerna och gå till Datorkonfiguration → Politik → Administrativa mallar → System → Grupprincip. Öppna Konfigurera återkopplingsläge för användargrupppolicy och ställ in det på Aktiverat. Från det ögonblicket tas användarinställningarna för alla som loggar in på dessa datorer från de GPO:er som är länkade till datorns organisationsenhet istället för bara användarens egen organisationsenhet. Loopback ändrar aldrig datorhalvan av policyn – datorinställningar bearbetas alltid normalt.

Välj Sammanfoga eller Ersätt läge

Samma inställning frågar efter ett läge, och valet ändrar allt. Ersätt hoppar över användarens egna GPO:er på användarsidan helt – endast användarinställningarna från datorns GPO:er gäller. Det är läget för kiosker, klassrum och RDS-servrar, där maskinen måste presentera en identisk, kontrollerad miljö för absolut alla. Slå samman tillämpar först användarens egna GPO, och tillämpar sedan datorns användarinställningar överst - och datorns inställningar vinner alla konflikter. Merge passar normala datorer där personen har det mesta av sin vanliga policy men maskinens regler måste ha sista ordet.

Rikta GPO med säkerhetsfiltrering

Säkerhetsfiltrering är hur du hindrar en GPO från att gå till alla i organisationsenheten. Välj GPO i konsolen, öppna fliken Omfattning och i avsnittet Säkerhetsfiltrering ta bort Autentiserade användare och lägg bara till gruppen som ska ta emot policyn. För att ta emot en GPO behöver ett konto både läsa och tillämpa gruppolicy – ​​med bara en av de två, antingen laddas GPO aldrig ner eller listas utan hoppas över. Filtrering är standardsättet för att pilotera en ny policy på en liten grupp först, eller att rikta in sig på en enskild avdelning, utan att flytta ett enda konto mellan organisationsenheter.

Behåll datorernas läsbehörighet (MS16-072)

Detta är fällan som har bitit administratörer sedan juni 2016. Säkerhetsuppdateringen MS16-072 ändrade hur grupprincipen hämtas: datorkontot hämtar nu användarens GPO från domänkontrollanten i datorns eget säkerhetssammanhang. Så datorn måste ha Läs-behörighet för varje GPO den hämtar – inklusive användar GPO:er som filtrerats till en grupp som datorn inte är medlem i. Om du tog bort autentiserade användare i föregående steg, öppna GPO:s flik Delegering, klicka på Lägg till och ge Autentiserade användare (eller domändatorer) Endast läs-behörighet – läsning är allt maskinen behöver; Ansök om vistelser hos din målgrupp.

När loopback och filtrering möts

De två kontrollerna interagerar och interaktionen fångar även erfarna administratörer. Användarinställningarna som loopback levererar finns fortfarande kvar i GPO:er kopplade till datorns OU - men de är fortfarande användarinställningar, så personen vid tangentbordet behöver fortfarande Tillämpa gruppolicy på den GPO, och datorn behöver fortfarande läsa den. Dra åt filtret på en loopback GPO endast till en datorgrupp, och maskinen hämtar plikttroget en GPO vars användarinställningar ingen som sitter vid den får tillämpa: en perfekt konfigurerad kiosk GPO som tyst levererar ingenting. Innan du skyller på själva policyn, kontrollera båda halvorna av behörighetsparet.

Bevisa det med gpresult

Gissa inte - verifiera. På den berörda datorn, i den berörda användarens session, öppna kommandotolken och kör videons beviskommando:

gpresult /h report.html

Öppna den genererade report.html och läs domarna. Tillämpade GPO:er listas överst, och varje avvisad GPO har sitt skäl: Nekade (Säkerhet) betyder ett filtreringsbeslut, Nekad (Otillgänglig) betyder ett hämtning eller behörighetsfel och Nekad (Tom) betyder att hälften av GPO helt enkelt inte har några inställningar. Med loopback-arbete är fingeravtrycket omisskännligt – GPO:erna som levererar användarinställningarna är de från datorns OU. Arbeta bevisen i den här ordningen – omfattning, filter, loopback – och de flesta fall där "GPO inte tillämpas" förklarar sig själva.