Повний підручник Active Directory GPO ⚡ Пояснення політики щодо користувачів і комп’ютерів

Що таке GPO насправді

Об’єкт групової політики — це просто іменований пакет налаштувань. Він нічого не робить сам по собі. Він починає працювати лише тоді, коли ви пов’язуєте його з контейнером — сайтом, доменом або організаційним підрозділом (OU) — і тоді він застосовується до облікових записів користувачів або комп’ютерів у цьому контейнері.

З цього випливають два факти. По-перше, редагування GPO та зв’язування GPO — це дві окремі роботи; ідеально налаштований GPO, який ніде не пов’язаний, нічого не змінює. По-друге, один GPO може бути пов’язаний з кількома OU, а один OU може отримувати багато GPO.

Усе в цьому посібнику відбувається в одній консолі — консолі керування груповою політикою. Відкрийте його на контролері домену або на будь-якому комп’ютері з інстальованими інструментами RSAT у вікні «Виконати»:

gpmc.msc

Комп’ютерна політика проти політики користувача — дві половини

Відкрийте будь-який GPO, і ви побачите ті самі два розділи: Конфігурація комп’ютера та Конфігурація користувача. Це не два перегляди одного списку — це два різні набори інструментів із різними налаштуваннями, застосованими в різний час до різних облікових записів.

Конфігурація комп’ютера застосовується до облікового запису комп’ютера. Він обробляється під час запуску ПК, перш ніж будь-хто ввійде в систему. Інсталяція програмного забезпечення для машин, сценарії запуску, блокування USB, поведінка Windows Update і налаштування безпеки доступні тут.

Конфігурація користувача застосовується до облікового запису користувача. Він обробляється, коли користувач входить до системи на будь-якому ПК. Шпалери, зіставлення дисків, переспрямування папок, сценарії входу та обмеження панелі керування знаходяться тут.

Місце, де ви посилаєтеся, вирішує, хто його отримає

Об’єкти групової політики зв’язуються на трьох рівнях: сайт (фізичний офіс), домен (усі) та OU (один відділ або група). У малих і середніх офісах майже все зв’язування відбувається на рівні OU, оскільки спочатку ви організовуєте облікові записи в OU — один для офісних комп’ютерів, один для персоналу, один для ноутбуків і так далі.

Дві GPO, які існують за замовчуванням — Політика домену за замовчуванням (правила пароля та облікового запису) і Політика контролерів домену за замовчуванням — краще залишити окремо. Створіть власні об’єкти групової політики для власних налаштувань, щоб їх можна було вимкнути, не торкаючись стандартних параметрів.

Створіть, налаштуйте та підключіть свій перший GPO

У gpmc.msc клацніть правою кнопкою миші Об’єкти групової політики → Новий → дайте йому ім’я, яке вказує на те, що він робить, наприклад Block-USB-Drives. Чесно кажучи, імена мають значення: через шість місяців офіс має сорок GPO, і назви на кшталт «Новий GPO» або «test2» нічого вам не говорять — ім’я за посадою, а не за датою.

Клацніть правою кнопкою миші новий GPO → Редагувати. Редактор відкривається двома половинками. Налаштуйте свої параметри в правильній половині та закрийте редактор.

Повернувшись до GPMC, клацніть правою кнопкою миші цільовий OU → Підключити існуючий GPO → виберіть свій GPO. На клієнтському ПК перезапустіть його (для налаштувань комп’ютера) або вийдіть із системи та знову ввімкніть (для налаштувань користувача) — або примусово оновіть команди на наступному кроці.

Примусити і довести — gpupdate і gpresult

Політики оновлюються самостійно приблизно кожні 90 хвилин (із випадковим зміщенням), але ніхто не перевіряє це повільно. На клієнтському ПК відкрийте командний рядок і виконайте:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force зараз повторно застосовує всі політики. Деякі параметри справді потребують перезапуску (параметри комп’ютера, встановлення програмного забезпечення) або нового входу (параметри користувача) — /force не може пропустити фізику.

gpresult /r — це квитанція: у ній точно вказано, які об’єкти групової політики застосовано до комп’ютера та користувача, а також які були відфільтровані та чому. Для читабельного звіту gpresult /h report.html створює HTML-сторінку, на якій відображається кожне виграшне налаштування та те, з якого GPO воно походить. Ніколи не оцінюйте GPO за надією — gpresult /r має бути першою командою, яку ви запускаєте щоразу, коли політика «не працює».