Topp 10 GPO i Windows Server
De 10 bästa grupppolicyerna för ett Windows Server-kontor — lösenordspolicy, skärmlås, USB-block, enhetsmappning, skrivare, uppdateringar, mappomdirigering, AppLocker, granskning och lokal administratörskontroll — var och en förklarad i enkla ord.
📑Kapitel
- Varför en ny domän behöver dessa tio policyer först
- Lösenordspolicy – en regel för hela domänen
- Skärmlås – den obevakade datorn låser sig själv
- USB-block – pennenheter slutar vara en dörr
- Drive-mappning – serverresurserna visas av sig själva
- Skrivare — kontorsskrivaren utan att röra datorn
- Uppdateringar – Windows-uppdateringar sker enligt ditt schema
- Mappomdirigering — dokument finns på servern, inte på datorn
- AppLocker – endast godkända program körs
- Revision – registrera vem som loggat in och vem som misslyckades
- Lokal administratörskontroll — nästan ingen är administratör på sin egen dator
- Testa på en pilotorganisation innan du rullar ut till alla
📋 Översikt och steg-för-steg-guide
Öppna Group Policy Management först
All ten policies are built in one console: the Group Policy Management Console. Öppna rutan Kör, skriv kommandot nedan och tryck på Retur. Arbetsregeln för hela listan är ett GPO per jobb, var och en med ett vanligt namn som Block-USB-Storage eller Screen-Lock-10-Min – en separat policy kan testas, inaktiveras, rullas tillbaka och filtreras på egen hand, medan en gigantisk GPO misslyckas som en jätte.
gpmc.mscPassword Policy — One Rule for the Whole Domain
Sökväg: Datorkonfiguration → Policyer → Windows-inställningar → Säkerhetsinställningar → Kontopolicyer → Lösenordspolicy, redigeras normalt i standarddomänpolicyn. Ställ in en minsta längd som folk faktiskt kan komma ihåg — 12 tecken med komplexitet på beats 8 tecken ändras varje månad. Microsofts egen moderna vägledning har släppt framtvingat frekvent utgång, eftersom användarna svarar på det med förutsägbara mönster. Length plus a sensible account lockout policy is the honest combination.
Skärmlås — den obevakade datorn låser sig själv
Sökväg: Användarkonfiguration → Policyer → Administrativa mallar → Kontrollpanelen → Anpassning — aktivera skärmsläckaren, ställ in timeout och aktivera lösenordsskydda skärmsläckaren. En tvilling på datorsidan, Interaktiv inloggning: Maskininaktivitetsgräns under Säkerhetsalternativ, gör samma jobb per dator. Tio minuter är kontorets sweet spot: någon går bort från en olåst dator inloggad som konton eller HR, och den som går förbi är plötsligt den personen. Denna policy täpper till det billigaste säkerhetshålet i byggnaden.
USB Storage Control — Pen Drives Stop Being a Door
Sökväg: Datorkonfiguration → Policyer → Administrativa mallar → System → Åtkomst till flyttbar lagring. Du kan neka läsning, skrivning eller exekvering per enhetsklass, eller neka all flyttbar lagring i en inställning. Orsaken till kontoret är data: en penna kan bära hela kunddatabasen ut ur byggnaden eller bära in ett virus.
Drive Mapping — the Server Shares Appear by Themselves
Sökväg: Användarkonfiguration → Inställningar → Windows-inställningar → Drive Maps. Det här är en Inställning för gruppolicy, inte en klassisk policy: du pekar en enhetsbeteckning på en aktie, väljer åtgärden (Skapa eller Uppdatera) och använder inriktning på objektnivå om konton ska få en enhet som försäljningen inte borde. Denna policy tar bort det äldsta skriptet inom IT – inloggningsbatchfilen – och det dagliga anropet "serverenheten försvann". En mappad enhet som visar ett rött kors är då omedelbart läsbar: ett nätverks- eller behörighetsproblem, inte ett kartmysterium.
Printer Deployment — the Office Printer Without Touching the PC
Sökväg: Inställningar → Kontrollpanelinställningar → Skrivare (eller distribuera från Print Management). Användaren loggar in och kontorsskrivaren är helt enkelt där, med rätt drivrutin från skrivarservern. Rikta in skrivare efter OU eller grupp så att tredje våningen slutar skriva ut till bottenvåningen.
Windows Update Control — Updates Happen on Your Schedule
Sökväg: Datorkonfiguration → Policyer → Administrativa mallar → Windows-komponenter → Windows Update. Nyckelinställningar: Konfigurera automatiska uppdateringar, Ingen automatisk omstart med inloggade användare, installationsdeadlines och – om kontoret använder WSUS – intranätets uppdateringsserverplats. Uppskjutningsinställningar låter en pilotgrupp ta uppdateringar först och resten av kontoret några dagar senare. Var tydlig med jobbet: den här policyn styr timing, inte om uppdateringar sker. Ställ in ett installationsfönster efter timmar och en deadline för omstart som användare kan se komma, och uppdateringar blir tråkiga - vilket är precis vad du vill ha.
Folder Redirection — Documents Live on the Server, Not the PC
Sökväg: Användarkonfiguration → Policyer → Windows-inställningar → Mappomdirigering. Dokument, skrivbord och bilder pekar tyst på en mapp på filservern istället för den lokala disken. Utdelningen visas på den värsta dagen: en dator dör, användaren loggar in på vilken annan dator som helst och deras filer finns redan där - och serverkopian finns i din vanliga säkerhetskopia.
AppLocker — Endast godkända program körs
Sökvägar: Datorkonfiguration → Windows-inställningar → Säkerhetsinställningar → Programkontrollpolicyer → AppLocker, eller de äldre programbegränsningspolicyerna i samma område. Tanken är en vitlista: Windows, programfiler och admin-godkända appar kan köras; vad en användare än laddar ner till sin egen profil kanske inte. Detta är den starkaste punkten på listan och den som kräver mest respekt.
Audit Logging — Record Who Signed In, and Who Failed
Sökväg: Datorkonfiguration → Policyer → Windows-inställningar → Säkerhetsinställningar → Avancerad konfiguration av granskningspolicy. Åtminstone, granska inloggning framgång och misslyckande på domänkontrollanter och medlemsservrar. Revision svarar på frågan varje kontor ställer efter en incident: vems konto användes, från vilken dator och när?
Local Admin Control — Almost Nobody Is an Admin on Their Own PC
Sökväg: Inställningar → Kontrollpanelens inställningar → Lokala användare och grupper kan rensa administratörsgruppen på varje dator — ta bort herrelösa användarkonton, behåll IT-supportgruppen. Den kompletterande delen är Windows LAPS, vilket ger varje dator ett unikt, automatiskt roterat lokalt administratörslösenord som lagras säkert i Active Directory. Dagligt arbete behöver inte administratörsrättigheter; skadlig programvara ärver dem. Ta bort stående administratörsrättigheter, behåll LAPS den dagen IT behöver det lokala lösenordet, och hälften av incidenterna på ett normalt kontor inträffar aldrig – men behåll en testad glasruta innan lanseringen.
Applicera, uppdatera och verifiera på en testdator
Länka den nya GPO till test-OU, sedan på en testklient tvinga en policyuppdatering och bevisa resultatet innan någon annan tar emot det. Det första kommandot tillämpar principerna nu istället för att vänta på nästa uppdateringscykel; den andra skriver en rapport som listar exakt vilka GPO:er som tillämpades – och vilka som nekades, och varför.
gpupdate /forcegpresult /h report.html🏷️Ämnessökvariabler och nyckelord
🎙️ Fullständig transkription – tryck för att expandera
__TOK_35__
__TOK_36__
__TOK_37__
❓ Vanliga frågor
Är denna handledning 100 % gratis att följa?
__TOK_38__
Kan nybörjare följa den här guiden?
__TOK_39__
Var kan jag ställa frågor om jag fastnar?
__TOK_40__