อธิบายการกรอง GPO Loopback และการกรองความปลอดภัย

เริ่มต้นจากค่าเริ่มต้น — ผู้ใช้ที่ได้รับการรับรองความถูกต้อง

เมื่อแกะกล่อง GPO ใหม่ทุกตัวจะมีตัวกรองความปลอดภัยตัวเดียว: ผู้ใช้ที่ได้รับการรับรองความถูกต้อง ซึ่งถือสิทธิ์ทั้ง อ่าน และ ใช้นโยบายกลุ่ม กลุ่มนั้นกว้างกว่าที่คิด — รวมผู้ใช้ที่ลงชื่อเข้าใช้ทุกคนและทุกบัญชีคอมพิวเตอร์ในโดเมน — และนี่คือสาเหตุที่ GPO ใหม่ "ใช้งานได้" สำหรับทุกคนใน OU ที่เชื่อมโยงด้วย คุณสามารถดูตัวกรองได้ในคอนโซลการจัดการนโยบายกลุ่ม โดยเลือก GPO และดูที่ช่อง การกรองความปลอดภัย บนแท็บขอบเขต ทุกสิ่งในวิดีโอนี้เป็นการเปลี่ยนแปลงค่าเริ่มต้นโดยเจตนา และทุกความประหลาดใจก็เริ่มต้นที่นั่น

เปิดการประมวลผลแบบวนกลับ

การประมวลผลแบบวนกลับเป็นการตั้งค่าของคอมพิวเตอร์ แก้ไข GPO ที่เชื่อมโยงกับ OU ที่เก็บคอมพิวเตอร์ไว้ และไปที่ การกำหนดค่าคอมพิวเตอร์ → นโยบาย → เทมเพลตการดูแลระบบ → ระบบ → นโยบายกลุ่ม เปิด กำหนดค่าโหมดการประมวลผลย้อนกลับนโยบายกลุ่มของผู้ใช้ และตั้งค่าเป็น เปิดใช้งาน ตั้งแต่นั้นเป็นต้นมา การตั้งค่าผู้ใช้สำหรับใครก็ตามที่เข้าสู่ระบบพีซีเหล่านั้นจะถูกดึงมาจาก GPO ที่เชื่อมโยงกับ คอมพิวเตอร์ OU แทนที่จะเป็นเฉพาะ OU ของผู้ใช้เอง Loopback ไม่เคยเปลี่ยนคอมพิวเตอร์ครึ่งหนึ่งของนโยบาย — การตั้งค่าคอมพิวเตอร์จะประมวลผลตามปกติเสมอ

เลือกโหมดผสานหรือแทนที่

การตั้งค่าเดียวกันนี้จะขอโหมด และตัวเลือกจะเปลี่ยนทุกอย่าง แทนที่ ข้าม GPO ฝั่งผู้ใช้ของผู้ใช้เองทั้งหมด — เฉพาะการตั้งค่าผู้ใช้จาก GPO ของคอมพิวเตอร์เท่านั้นที่จะมีผล นั่นคือโหมดสำหรับคีออสก์ ห้องเรียน และเซิร์ฟเวอร์ RDS ซึ่งเครื่องจะต้องนำเสนอสภาพแวดล้อมที่มีการควบคุมที่เหมือนกันสำหรับทุกคน ผสานจะใช้ GPO ของผู้ใช้เองก่อน จากนั้นจึงใช้การตั้งค่าผู้ใช้ของคอมพิวเตอร์ที่อยู่ด้านบน — และการตั้งค่าของคอมพิวเตอร์จะชนะความขัดแย้งใดๆ การผสานเหมาะกับพีซีทั่วไปที่ผู้ใช้จะรักษานโยบายตามปกติเป็นส่วนใหญ่ แต่กฎของเครื่องจะต้องมีคำสุดท้าย

เล็ง GPO ด้วยการกรองความปลอดภัย

การกรองความปลอดภัยคือวิธีที่คุณหยุด GPO ไม่ให้เข้าถึงทุกคนใน OU เลือก GPO ในคอนโซล เปิดแท็บ ขอบเขต และในส่วน การกรองความปลอดภัย ให้ลบ ผู้ใช้ที่ได้รับการรับรองความถูกต้อง และเพิ่มเฉพาะกลุ่มที่ควรได้รับนโยบาย หากต้องการรับ GPO บัญชีต้องมีทั้งอ่านและใช้นโยบายกลุ่ม — มีเพียงหนึ่งในสองเท่านั้น GPO จะไม่ถูกดาวน์โหลดหรือแสดงรายการ แต่จะข้ามไป การกรองเป็นวิธีมาตรฐานในการนำนโยบายใหม่ไปใช้ในกลุ่มเล็กๆ กลุ่มหนึ่งก่อน หรือกำหนดเป้าหมายไปที่แผนกเดียว โดยไม่ต้องย้ายบัญชีเดียวระหว่าง OU

รักษาสิทธิ์การอ่านของคอมพิวเตอร์ (MS16-072)

นี่คือกับดักที่กัดผู้ดูแลระบบตั้งแต่เดือนมิถุนายน 2559 การอัปเดตความปลอดภัย MS16-072 เปลี่ยนวิธีการดึงข้อมูลนโยบายกลุ่ม: ขณะนี้บัญชีคอมพิวเตอร์ดึงข้อมูล GPO ของผู้ใช้จากตัวควบคุมโดเมนในบริบทความปลอดภัยของคอมพิวเตอร์เอง ดังนั้นคอมพิวเตอร์จะต้องมีสิทธิ์อ่านใน GPO ทุกตัวที่ดึงมา รวมถึง GPO ของผู้ใช้ที่ถูกกรองไปยังกลุ่มที่คอมพิวเตอร์ไม่ได้เป็นสมาชิกด้วย หากคุณลบผู้ใช้ที่ได้รับการรับรองความถูกต้องออกในขั้นตอนที่แล้ว ให้เปิดแท็บ การมอบหมาย ของ GPO คลิก เพิ่ม และให้สิทธิ์ ผู้ใช้ที่ได้รับการรับรองความถูกต้อง (หรือคอมพิวเตอร์โดเมน) อ่าน เท่านั้น — การอ่านเป็นเพียงสิ่งที่เครื่องต้องการ สมัครเข้าพักกับกลุ่มเป้าหมายของคุณ

เมื่อ Loopback และ Filtering Meet

การควบคุมทั้งสองโต้ตอบและการโต้ตอบจะดึงดูดผู้ดูแลระบบที่มีประสบการณ์ การตั้งค่าผู้ใช้ที่ส่งแบบย้อนกลับยังคงอยู่ใน GPO ที่เชื่อมโยงกับ OU ของคอมพิวเตอร์ แต่ยังคงเป็นการตั้งค่า ผู้ใช้ ดังนั้นบุคคลที่ใช้แป้นพิมพ์ยังคงต้องการ ใช้นโยบายกลุ่ม กับ GPO นั้น และคอมพิวเตอร์ยังจำเป็นต้องอ่าน ขันตัวกรองบน ​​GPO แบบวนกลับให้แน่นกับกลุ่มคอมพิวเตอร์เท่านั้น และเครื่องจะดึง GPO ตามหน้าที่ซึ่งการตั้งค่าผู้ใช้ที่ไม่มีใครนั่งอยู่ที่ได้รับอนุญาตให้นำไปใช้ นั่นคือ GPO คีออสก์ที่กำหนดค่าไว้อย่างสมบูรณ์แบบซึ่งไม่ได้ส่งอะไรเลย ก่อนที่จะตำหนินโยบาย ให้ตรวจสอบคู่สิทธิ์ทั้งสองครึ่ง

พิสูจน์ด้วย gpresult

อย่าเดา — ตรวจสอบ บนพีซีที่ได้รับผลกระทบ ในเซสชันของผู้ใช้ที่ได้รับผลกระทบ ให้เปิด Command Prompt แล้วเรียกใช้คำสั่งพิสูจน์ของวิดีโอ:

gpresult /h report.html

เปิด report.html ที่สร้างขึ้นและอ่านคำตัดสิน GPO ที่นำไปใช้จะแสดงอยู่ที่ด้านบน และ GPO ที่ถูกปฏิเสธทุกรายการมีเหตุผล: ถูกปฏิเสธ (ความปลอดภัย) หมายถึงการตัดสินใจในการกรอง ถูกปฏิเสธ (ไม่สามารถเข้าถึงได้) หมายถึงการดึงข้อมูลหรือการอนุญาตล้มเหลว และ ถูกปฏิเสธ (ว่างเปล่า) หมายความว่าครึ่งหนึ่งของ GPO ไม่มีการตั้งค่า ด้วยการทำงานของลูปแบ็ค ลายนิ้วมือจึงไม่ผิดเพี้ยน — GPO ที่ให้การตั้งค่าผู้ใช้นั้นเป็นลายนิ้วมือจาก OU ของคอมพิวเตอร์ ทำงานตามหลักฐานตามลำดับนี้ — ขอบเขต, ตัวกรอง, ย้อนกลับ — และกรณี "GPO ไม่ใช้" ส่วนใหญ่อธิบายตัวเอง