GPO Geri Döngüsü ve Güvenlik Filtreleme Açıklaması

Varsayılandan Başlayın — Kimliği Doğrulanmış Kullanıcılar

Kutunun dışında, her yeni GPO bir güvenlik filtresi taşır: Kimliği Doğrulanmış Kullanıcılar; hem Okuma hem de Grup İlkesini Uygula izinlerine sahiptir. Bu grup göründüğünden daha geniştir (oturum açmış her kullanıcıyı ve etki alanı bilgisayar hesabını içerir) ve yeni bir GPO'nun bağlı olduğu kuruluş birimindeki herkes için "çalışmasının" nedeni budur. Filtreyi Grup İlkesi Yönetim Konsolu'nda görebilirsiniz: GPO'yu seçin ve Kapsam sekmesindeki Güvenlik Filtreleme kutusuna bakın. Bu videodaki her şey bu varsayılan değere yapılan kasıtlı bir değişikliktir ve her sürpriz burada başlar.

Geri Döngü İşlemeyi Aç

Geri döngü işleme bir bilgisayar ayarıdır. Bilgisayarları tutan kuruluş birimine bağlı GPO'yu düzenleyin ve Bilgisayar Yapılandırması → İlkeler → Yönetim Şablonları → Sistem → Grup İlkesi'ne gidin. Kullanıcı Grup İlkesi geri döngü işleme modunu yapılandır'ı açın ve Etkin olarak ayarlayın. O andan itibaren, bu bilgisayarlarda oturum açan herkesin kullanıcı ayarları, yalnızca kullanıcının kendi kuruluş birimi yerine bilgisayarın kuruluş birimine bağlı GPO'lardan alınır. Geridöngü hiçbir zaman bilgisayar ilkesinin yarısını değiştirmez; bilgisayar ayarları her zaman normal şekilde işlenir.

Birleştir veya Değiştir Modunu Seçin

Aynı ayar bir mod ister ve seçim her şeyi değiştirir. Değiştir, kullanıcının kendi kullanıcı tarafı GPO'larını tamamen atlar; yalnızca bilgisayarın GPO'larındaki kullanıcı ayarları uygulanır. Bu, makinenin kesinlikle herkese aynı, kontrollü bir ortam sunması gereken kiosklar, sınıflar ve RDS sunucuları için olan moddur. Birleştirme önce kullanıcının kendi GPO'larını uygular, ardından en üstte bilgisayarın kullanıcı ayarlarını uygular; bilgisayarın ayarları herhangi bir çakışmayı ortadan kaldırır. Birleştirme, kişinin olağan politikalarının çoğunu sürdürdüğü ancak makinenin kurallarının son sözü söylemesi gereken normal bilgisayarlara uyar.

Güvenlik Filtreleme ile GPO'yu hedefleyin

Güvenlik filtrelemesi, bir GPO'nun kuruluş birimindeki herkese gitmesini nasıl engelleyeceğinizdir. Konsolda GPO'yu seçin, Kapsam sekmesini açın ve Güvenlik Filtreleme bölümünde Kimliği Doğrulanmış Kullanıcıları kaldırın ve yalnızca politikayı alması gereken grubu ekleyin. Bir GPO almak için, bir hesabın hem Grup İlkesini Okuması ve Uygulaması gerekir; ikisinden yalnızca biri ile GPO ya hiçbir zaman indirilmez ya da listelenir ancak atlanır. Filtreleme, yeni bir politikayı önce küçük bir grup üzerinde pilot olarak uygulamanın veya kuruluş birimleri arasında tek bir hesabı taşımadan tek bir departmanı hedeflemenin standart yoludur.

Bilgisayarların Okuma İznini Koruyun (MS16-072)

Bu, Haziran 2016'dan bu yana yöneticileri ısıran tuzaktır. MS16-072 güvenlik güncellemesi, Grup İlkesi'nin alınma şeklini değiştirdi: bilgisayar hesabı artık kullanıcı GPO'larını bilgisayarın kendi güvenlik bağlamında etki alanı denetleyicisinden alıyor. Bu nedenle, bilgisayarın, üyesi olmadığı bir gruba filtrelenen kullanıcı GPO'ları da dahil olmak üzere, getirdiği her GPO için Okuma iznine sahip olması gerekir. Önceki adımda Kimliği Doğrulanmış Kullanıcıları kaldırdıysanız, GPO'nun Yetki sekmesini açın, Ekle'yi tıklayın ve Kimliği Doğrulanmış Kullanıcılara (veya Etki Alanı Bilgisayarlarına) yalnızca Okuma izni verin; makinenin tüm ihtiyacı olan şey okumaktır; Hedef grubunuzla konaklama uygulayın.

Geri Döngü ve Filtreleme Buluştuğunda

İki kontrol etkileşim halindedir ve etkileşim deneyimli yöneticileri bile yakalar. Geri döngünün sunduğu kullanıcı ayarları, bilgisayarın kuruluş birimine bağlı GPO'larda hâlâ yayındadır; ancak bunlar hâlâ kullanıcı ayarlarıdır, dolayısıyla klavyedeki kişinin yine de bu GPO'da Grup İlkesi Uygula'ya ihtiyacı vardır ve bilgisayarın yine de onu Okuması gerekir. Geri döngü GPO'sundaki filtreyi yalnızca bir bilgisayar grubuna sıkıştırdığınızda makine, üzerinde oturan kimsenin kullanıcı ayarlarını uygulamasına izin verilmeyen bir GPO'yu görev bilinciyle getirir: sessizce hiçbir şey sunmayan mükemmel yapılandırılmış bir kiosk GPO'su. Politikanın kendisini suçlamadan önce izin çiftinin her iki yarısını da kontrol edin.

Bunu gpresult ile kanıtlayın

Tahmin etmeyin – doğrulayın. Etkilenen bilgisayarda, etkilenen kullanıcının oturumunda Komut İstemi'ni açın ve videonun prova komutunu çalıştırın:

gpresult /h report.html

Oluşturulan report.html dosyasını açın ve kararları okuyun. Uygulanan GPO'lar en üstte listelenir ve reddedilen her GPO kendi nedenini taşır: Reddedildi (Güvenlik) bir filtreleme kararı anlamına gelir, Reddedildi (Erişilemez) bir getirme veya izin hatası anlamına gelir ve Reddedildi (Boş) GPO'nun yarısının hiçbir ayarı olmadığı anlamına gelir. Geridöngü çalışmasıyla parmak izi açıktır; kullanıcı ayarlarını sağlayan GPO'lar bilgisayarın OU'sundan gelenlerdir. Kanıtları bu sırayla inceleyin (kapsam, filtre, geridöngü) ve çoğu "GPO uygulanmıyor" durumu kendi kendini açıklar.