Пояснення щодо петлі GPO та фільтрації безпеки

Почніть зі стандартного — Автентифіковані користувачі

Кожен новий GPO містить один фільтр безпеки: автентифіковані користувачі, які мають дозволи на читання та застосування групової політики. Ця група ширша, ніж здається, — до неї входять усі користувачі, які ввійшли в систему, і кожен обліковий запис комп’ютера в домені — і саме тому новий GPO «просто працює» для всіх в організаційному підрозділі, з яким він пов’язаний. Ви можете побачити фільтр у консолі керування груповою політикою: виберіть GPO та подивіться на поле Фільтрування безпеки на вкладці Область. Усе в цьому відео є навмисною зміною цього замовчування — і кожен сюрприз починається з цього.

Увімкніть петлеву обробку

Петлева обробка є налаштуванням комп’ютера. Відредагуйте GPO, який пов’язано з OU, що містить комп’ютери, і перейдіть до Конфігурація комп’ютера → Політики → Адміністративні шаблони → Система → Групова політика. Відкрийте Налаштувати режим петлевої обробки групової політики користувача та встановіть для нього значення Увімкнено. З цього моменту налаштування користувача для будь-кого, хто входить до цих комп’ютерів, беруться з GPO, пов’язаного з OU комп’ютера, а не лише з OU користувача. Loopback ніколи не змінює комп’ютерну половину політики — налаштування комп’ютера завжди обробляються нормально.

Виберіть режим об’єднання або заміни

Те саме налаштування запитує режим, і вибір змінює все. Замінити повністю пропускає власні об’єкти групової політики користувача — застосовуються лише налаштування користувача з об’єктів групової політики комп’ютера. Це режим для кіосків, аудиторій і RDS-серверів, де машина повинна надавати одне ідентичне контрольоване середовище абсолютно всім. Об’єднання спочатку застосовує власні GPO користувача, а потім застосовує налаштування користувача комп’ютера зверху — і налаштування комп’ютера перемагають будь-який конфлікт. Об’єднання підходить для звичайних комп’ютерів, де користувач зберігає більшість своєї звичайної політики, але останнє слово має бути за правилами машини.

Налаштуйте групову політику за допомогою фільтрації безпеки

Фільтрування безпеки — це те, як ви забороняєте груповій політиці передаватись усім у підрозділі. Виберіть GPO на консолі, відкрийте вкладку Область і в розділі Фільтрування безпеки видаліть Автентифіковані користувачі та додайте лише групу, яка має отримати політику. Щоб отримати групову політику, обліковий запис має читати і застосовувати групову політику — лише з однією з двох групова політика ніколи не завантажується або відображається в списку, але пропускається. Фільтрування — це стандартний спосіб пілотувати нову політику спочатку для однієї невеликої групи або націлюватися на один відділ, не переміщуючи жодного облікового запису між OU.

Зберігайте дозвіл на читання комп’ютерів (MS16-072)

Це пастка, яка вразила адміністраторів з червня 2016 року. Оновлення безпеки MS16-072 змінило спосіб отримання групової політики: обліковий запис комп’ютера тепер отримує GPO користувача з контролера домену у власному контексті безпеки комп’ютера. Отже, комп’ютер повинен мати дозвіл на читання для кожного GPO, який він отримує, включно з GPO користувача, відфільтрованим до групи, до якої комп’ютер не входить. Якщо ви видалили автентифікованих користувачів на попередньому кроці, відкрийте вкладку Делегування об’єкта групової політики, натисніть Додати та надайте автентифікованим користувачам (або комп’ютерам домену) дозвіл лише на читання — машині потрібно лише читання; Подайте заявку на перебування з вашою цільовою групою.

Коли Loopback і Filtering зустрічаються

Два елементи керування взаємодіють, і взаємодія вловлює навіть досвідчених адміністраторів. Налаштування користувача, які доставляє loopback, все ще живуть у GPO, пов’язаному з OU комп’ютера, але вони все ще є користувацькими налаштуваннями, тож людині за клавіатурою все одно потрібно застосувати групову політику до цього GPO, а комп’ютер усе ще має прочитати її. Застосуйте фільтр петльового об’єкта групової політики лише до групи комп’ютерів, і машина сумлінно вибере об’єкт об’єкта об’єкта групової політики, налаштування користувача якого не має права застосувати ніхто з присутніх: ідеально налаштований GPO-кіоск, який мовчки нічого не доставляє. Перш ніж звинувачувати саму політику, перевірте обидві половини пари дозволів.

Доведіть це за допомогою gpresult

Не вгадайте — перевірте. На ураженому ПК під час сеансу ураженого користувача відкрийте командний рядок і запустіть команду перевірки відео:

gpresult /h report.html

Відкрийте згенерований report.html і прочитайте вироки. Застосовані об’єкти групової політики перераховані вгорі, і кожен відхилений об’єкт групової політики містить свою причину: Відмовлено (безпека) означає рішення щодо фільтрації, Відмовлено (недоступно) означає помилку отримання чи дозволів, а Відмовлено (порожній) означає, що половина об’єкта групової політики просто не має налаштувань. З функцією зворотного зв’язку відбиток пальця безпомилковий — об’єкти групової політики, які передають налаштування користувача, належать OU комп’ютера. Опрацюйте докази в такому порядку — область дії, фільтр, петля — і більшість випадків «групової політики не застосовуються» пояснюються самі собою.