Windows Server'daki en iyi 10 GPO
Bir Windows Server ofisi için en iyi 10 Grup İlkesi - parola ilkesi, ekran kilidi, USB bloğu, sürücü eşleme, yazıcılar, güncellemeler, klasör yeniden yönlendirme, AppLocker, denetim ve yerel yönetici kontrolü - her biri basit kelimelerle açıklanmıştır.
📑Bölümler
- Yeni bir alan adının öncelikle bu on politikaya neden ihtiyacı var?
- Şifre politikası — tüm alan adı için tek bir kural
- Ekran kilidi — gözetimsiz bilgisayar kendini kilitler
- USB bloğu — kalem sürücüleri kapı olmaktan çıkıyor
- Sürücü eşlemesi — sunucu paylaşımları kendiliğinden görünür
- Yazıcılar — PC'ye dokunmadan ofis yazıcısı
- Güncellemeler — Windows güncellemeleri sizin programınıza göre gerçekleşir
- Klasör yeniden yönlendirme — belgeler bilgisayarda değil sunucuda yayınlanır
- AppLocker — yalnızca onaylanmış programlar çalıştırılır
- Denetim — Kimin oturum açtığını ve kimin başarısız olduğunu kaydedin
- Yerel yönetici kontrolü — neredeyse hiç kimse kendi bilgisayarında yönetici olamaz
- Herkesin kullanımına sunmadan önce pilot kuruluş birimi üzerinde test yapın
📋 Genel Bakış ve Adım Adım Kılavuz
Önce Grup İlkesi Yönetimini Açın
On ilkenin tamamı tek bir konsolda oluşturulmuştur: Grup İlkesi Yönetim Konsolu. Çalıştır kutusunu açın, aşağıdaki komutu yazın ve Enter tuşuna basın. Listenin tamamı için çalışma kuralı iş başına bir GPO'dur ve her biri USB-Depolamayı Engelle veya Ekran Kilidi-10-Dakika gibi düz bir ada sahiptir; ayrı bir politika kendi başına test edilebilir, devre dışı bırakılabilir, geri alınabilir ve filtrelenebilir; dev bir GPO ise dev gibi başarısız olur.
gpmc.mscŞifre Politikası — Tüm Alan Adı İçin Tek Kural
Yol: Bilgisayar Yapılandırması → Politikalar → Windows Ayarları → Güvenlik Ayarları → Hesap Politikaları → Şifre Politikası, normalde Varsayılan Etki Alanı Politikası'nda düzenlenir. İnsanların gerçekten hatırlayabileceği minimum uzunluğu belirleyin: Karmaşık 12 karakter, her ay değişen 8 karakter. Microsoft'un kendi modern kılavuzu, kullanıcılar buna öngörülebilir kalıplarla yanıt verdiği için sık sık geçerlilik süresinin zorunlu kılınmasını azalttı. Uzunluk artı makul bir hesap kilitleme politikası dürüst bir kombinasyondur.
Ekran Kilidi — Gözetimsiz Bilgisayar Kendini Kilitliyor
Yol: Kullanıcı Yapılandırması → İlkeler → Yönetim Şablonları → Denetim Masası → Kişiselleştirme — ekran koruyucuyu etkinleştirin, zaman aşımını ayarlayın ve ekran koruyucuyu parolayla koruma'yı açın. Bilgisayar tarafındaki ikizi, Güvenlik Seçenekleri altındaki Etkileşimli oturum açma: Makine hareketsizlik sınırı, makine başına aynı işi yapar. On dakika ofisin en keyifli noktasıdır: Birisi, hesap veya İK olarak oturum açmış, kilidi açılmış bir bilgisayardan uzaklaşır ve yanından geçen herhangi biri aniden o kişi olur. Bu politika binadaki en ucuz güvenlik açığını kapatır.
USB Depolama Kontrolü — Kalem Sürücüleri Kapı Olmayı Durduruyor
Yol: Bilgisayar Yapılandırması → İlkeler → Yönetim Şablonları → Sistem → Çıkarılabilir Depolama Erişimi. Tek bir ayarda aygıt sınıfına göre okuma, yazma veya yürütmeyi reddedebilir veya tüm çıkarılabilir depolamayı reddedebilirsiniz. Ofisin nedeni verilerdir: bir kalem sürücü tüm müşteri veri tabanını binanın dışına taşıyabilir veya içeriye bir virüs taşıyabilir.
Sürücü Eşlemesi — Sunucu Paylaşımları Kendiliğinden Görünür
Yol: Kullanıcı Yapılandırması → Tercihler → Windows Ayarları → Sürücü Haritaları. Bu, klasik bir politika değil, bir Grup Politikası Tercihi'dir: Bir paylaşıma sürücü harfini işaret edersiniz, eylemi seçersiniz (Oluştur veya Güncelle) ve hesapların, satışların almaması gereken bir artış elde etmesi gerekiyorsa öğe düzeyinde hedeflemeyi kullanırsınız. Bu politika, BT'deki en eski komut dosyasını (oturum açma toplu dosyası) ve günlük "sunucu sürücüsü kayboldu" çağrısını kullanımdan kaldırır. Kırmızı çarpı işareti gösteren eşlenmiş bir sürücü daha sonra anında okunabilir: bir haritalama gizemi değil, bir ağ veya izin sorunu.
Yazıcı Dağıtımı - PC'ye Dokunmadan Ofis Yazıcısı
Yol: Tercihler → Denetim Masası Ayarları → Yazıcılar (veya Yazdırma Yönetimi'nden dağıtın). Kullanıcı oturum açar ve ofis yazıcısı, yazdırma sunucusundan gelen doğru sürücüyle birlikte hazır olur. Üçüncü katın zemin kata kadar yazdırmayı durdurması için yazıcıları kuruluş birimine veya gruba göre hedefleyin.
Windows Güncelleme Kontrolü — Güncellemeler Programınıza Göre Gerçekleşir
Yol: Bilgisayar Yapılandırması → İlkeler → Yönetim Şablonları → Windows Bileşenleri → Windows Güncelleme. Temel ayarlar: Otomatik Güncelleştirmeleri Yapılandırma, Oturum açmış kullanıcılarla otomatik yeniden başlatma yok, yükleme son tarihleri ve - ofis WSUS kullanıyorsa - intranet güncelleme sunucusu konumu. Erteleme ayarları, güncellemeleri önce pilot grubun, birkaç gün sonra da ofisin geri kalanının almasına olanak tanır. İş konusunda net olun: Bu politika, güncellemelerin gerçekleşip gerçekleşmeyeceğini değil, zamanlamayı kontrol eder. Mesai saatleri dışında bir yükleme penceresi ve kullanıcıların görebileceği bir yeniden başlatma son tarihi ayarlayın ve güncellemeler sıkıcı hale gelir; tam olarak istediğiniz şey budur.
Klasör Yeniden Yönlendirme - Belgeler PC'de Değil Sunucuda Yayınlanır
Yol: Kullanıcı Yapılandırması → İlkeler → Windows Ayarları → Klasör Yeniden Yönlendirme. Belgeler, Masaüstü ve Resimler sessizce yerel disk yerine dosya sunucusundaki bir klasörü işaret eder. Bunun getirisi en kötü günde ortaya çıkar: Bir bilgisayar ölür, kullanıcı başka bir bilgisayarda oturum açar ve dosyaları zaten oradadır ve sunucu kopyası normal yedeklemenizin içinde bulunur.
AppLocker — Yalnızca Onaylanan Programları Çalıştırır
Yollar: Bilgisayar Yapılandırması → Windows Ayarları → Güvenlik Ayarları → Uygulama Kontrol Politikaları → AppLocker veya aynı bölgedeki daha eski Yazılım Kısıtlama Politikaları. Fikir bir beyaz listedir: Windows, Program Dosyaları ve yönetici onaylı uygulamalar çalışabilir; Bir kullanıcının kendi profiline indirdiği her şey bunu yapmayabilir. Bu, listedeki en güçlü ve en çok saygı gerektiren öğedir.
Denetim Günlüğü - Kimin Oturum Açtığını ve Kimin Başarısız Olduğunu Kaydedin
Yol: Bilgisayar Yapılandırması → İlkeler → Windows Ayarları → Güvenlik Ayarları → Gelişmiş Denetim İlkesi Yapılandırması. En azından etki alanı denetleyicilerinde ve üye sunucularda oturum açma başarısını ve başarısızlığını denetleyin. Denetim, bir olaydan sonra her ofisin sorduğu soruyu yanıtlar: Kimin hesabı, hangi bilgisayardan ve ne zaman kullanıldı?
Yerel Yönetici Kontrolü — Neredeyse Hiç Kimse Kendi Bilgisayarının Yöneticisi Değildir
Yol: Tercihler → Denetim Masası Ayarları → Yerel Kullanıcılar ve Gruplar her bilgisayardaki Yöneticiler grubunu temizleyebilir; başıboş kullanıcı hesaplarını kaldırın, BT destek grubunu koruyun. Tamamlayıcı parça, her bilgisayara Active Directory'de güvenli bir şekilde saklanan benzersiz, otomatik olarak döndürülen bir yerel yönetici şifresi veren Windows LAPS'tir. Günlük işler yönetici haklarına ihtiyaç duymaz; kötü amaçlı yazılım bunları devralır. Daimi yönetici haklarını kaldırın, LAPS'i BT'nin yerel parolaya ihtiyaç duyduğu gün boyunca saklayın ve normal bir ofiste olayların yarısı asla gerçekleşmez; ancak kullanıma sunmadan önce test edilmiş bir kırılma rotasını koruyun.
Test Bilgisayarında Uygula, Güncelle ve Doğrula
Yeni GPO'yu test kuruluş birimine bağlayın, ardından bir test istemcisinde politikanın yenilenmesini zorlayın ve sonucu başkası almadan önce kanıtlayın. İlk komut, bir sonraki yenileme döngüsünü beklemek yerine ilkeleri şimdi uygular; ikincisi tam olarak hangi GPO'ların uygulandığını, hangilerinin reddedildiğini ve nedenini listeleyen bir rapor yazar.
gpupdate /forcegpresult /h report.html🏷️Konu Arama Değişkenleri ve Anahtar Kelimeler
🎙️ Tam Konuşma Metni — genişletmek için dokunun
__TOK_35__
__TOK_36__
__TOK_37__
❓ Sıkça Sorulan Sorular
Bu eğitimi takip etmek %100 ücretsiz mi?
__TOK_38__
Yeni başlayanlar bu kılavuzu takip edebilir mi?
__TOK_39__
Sıkışırsam nereye soru sorabilirim?
__TOK_40__