Active Directory GPO Tam Eğitimi ⚡ Kullanıcı ve Bilgisayar Politikası Açıklaması

GPO Aslında Nedir?

GPO, yalnızca adlandırılmış bir ayarlar paketidir. Tek başına hiçbir şey yapmaz. Yalnızca onu bir kapsayıcıya (bir site, etki alanı veya Kuruluş Birimi (OU)) bağladığınızda çalışmaya başlar ve daha sonra bu kapsayıcının içindeki kullanıcı veya bilgisayar hesaplarına uygulanır.

Bundan iki gerçek çıkıyor. İlk olarak, bir GPO'yu düzenlemek ve bir GPO'yu bağlamak iki ayrı iştir; Hiçbir yere bağlı olmayan mükemmel yapılandırılmış bir GPO hiçbir şeyi değiştirmez. İkincisi, bir GPO birkaç OU'ya bağlanabilir ve bir OU birçok GPO alabilir.

Bu eğitimdeki her şey tek bir konsolda, Grup İlkesi Yönetim Konsolu'nda gerçekleşir. Etki alanı denetleyicisinde veya RSAT araçlarının yüklü olduğu herhangi bir bilgisayarda Çalıştır kutusundan açın:

gpmc.msc

Bilgisayar Politikası ve Kullanıcı Politikası - İki Yarı

Herhangi bir GPO'yu açtığınızda aynı iki bölümü göreceksiniz: Bilgisayar Yapılandırması ve Kullanıcı Yapılandırması. Bunlar bir listenin iki görünümü değil; farklı zamanlarda farklı hesaplara uygulanan, farklı ayarlara sahip iki farklı araç kutusudur.

Bilgisayar Yapılandırması, bilgisayar hesabı için geçerlidir. Bilgisayar başlatıldığında, herhangi biri oturum açmadan önce işlenir. Makineler için yazılım kurulumu, başlangıç ​​komut dosyaları, USB engelleme, Windows Güncelleme davranışı ve güvenlik ayarları burada bulunur.

Kullanıcı Yapılandırması, kullanıcı hesabı için geçerlidir. Kullanıcı herhangi bir bilgisayarda oturum açtığında işlenir. Duvar kağıtları, sürücü eşlemeleri, klasör yeniden yönlendirme, oturum açma komut dosyaları ve Denetim Masası kısıtlamaları burada mevcuttur.

Bağlantıyı Nerede Vereceğiniz Kimin Alacağına Karar Verir

GPO'lar üç düzeyde bağlantı kurar: site (fiziksel bir ofis konumu), etki alanı (herkes) ve OU (bir departman veya grup). Küçük ve orta ölçekli ofislerde neredeyse tüm bağlantılar kuruluş birimi düzeyinde gerçekleşir, çünkü ilk önce hesapları kuruluş birimleri halinde düzenlersiniz; biri ofis bilgisayarları için, biri personel kullanıcıları için, biri dizüstü bilgisayarlar için vb.

Varsayılan olarak mevcut olan iki GPO'nun (Varsayılan Etki Alanı Politikası (şifre ve hesap kuralları) ve Varsayılan Etki Alanı Denetleyicileri Politikası) çoğunlukla tek başına bırakılması en iyisidir. Kendi ayarlarınız için kendi GPO'larınızı oluşturun, böylece varsayılanlara dokunmadan bunları kapatabilirsiniz.

İlk GPO'nuzu Oluşturun, Yapılandırın ve Bağlayın

gpmc.msc'de, Grup İlkesi Nesneleri → Yeni'yi sağ tıklayın → ona, ne yaptığını belirten bir ad verin, örneğin USB Sürücülerini Engelle. Dürüstçe adlandırmak önemlidir: altı ay sonra bir ofiste kırk GPO bulunur ve "Yeni GPO" veya "test2" gibi adlar size hiçbir şey söylemez; tarihe göre değil, işe göre ad.

Yeni GPO'yu sağ tıklayın → Düzenle. Editör iki yarımla açılır. Ayarlarınızı doğru yarıda yapılandırın ve düzenleyiciyi kapatın.

GPMC'ye geri döndüğünüzde, hedef kuruluş birimini sağ tıklayın → Mevcut bir GPO'yu Bağlayın → GPO'nuzu seçin. İstemci bilgisayarda bilgisayarı yeniden başlatın (bilgisayar ayarları için) veya oturumu kapatıp tekrar açın (kullanıcı ayarları için) veya bir sonraki adımdaki komutlarla yenilemeyi zorlayın.

Zorla ve Kanıtla — gpupdate ve gpresult

Politikalar yaklaşık olarak her 90 dakikada (rastgele bir dengelemeyle) kendi kendine yenilenir, ancak hiç kimse bu kadar yavaş test etmez. İstemci bilgisayarda Komut İstemi'ni açın ve şunu çalıştırın:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force artık tüm politikaları yeniden uyguluyor. Bazı ayarların hala yeniden başlatılması (bilgisayar ayarları, yazılım yüklemeleri) veya yeni bir oturum açma (kullanıcı ayarları) gerekiyor; /force fiziği atlayamaz.

gpresult /r makbuzdur: bilgisayara ve kullanıcıya tam olarak hangi GPO'ların uygulandığını, hangilerinin filtrelendiğini ve nedenini listeler. Okunabilir bir rapor için gpresult /h report.html, kazanan her ayarı ve bunların hangi GPO'dan geldiğini gösteren bir HTML sayfası oluşturur. Bir GPO'yu hiçbir zaman umuda göre yargılamayın; bir politika "çalışmadığında" çalıştıracağınız ilk komut gpresult /r olmalıdır.