Топ-10 GPO у Windows Server
10 найкращих групових політик для офісу Windows Server — політика паролів, блокування екрана, блокування USB, відображення дисків, принтери, оновлення, переспрямування папок, AppLocker, аудит і контроль локального адміністратора — кожна з них пояснюється простими словами.
📑Розділи
- Чому новому домену спочатку потрібні ці десять політик
- Політика паролів — одне правило для всього домену
- Блокування екрана — комп’ютер без нагляду блокується сам
- USB-блок — накопичувачі перестають бути дверима
- Зіставлення диска — спільні ресурси сервера відображаються самі
- Принтери — офісний принтер без дотику до ПК
- Оновлення — оновлення Windows відбуваються за вашим розкладом
- Переадресація папок — документи знаходяться на сервері, а не на ПК
- AppLocker — запускаються лише затверджені програми
- Аудит — записуйте, хто ввійшов, а хто не ввійшов
- Контроль локального адміністратора — майже ніхто не є адміністратором на власному ПК
- Протестуйте на пілотному підрозділі перед розгортанням для всіх
📋 Огляд і покроковий посібник
Спочатку відкрийте керування груповою політикою
Усі десять політик створено в одній консолі: Консолі керування груповою політикою. Відкрийте поле «Виконати», введіть наведену нижче команду та натисніть Enter. Робочим правилом для всього списку є один GPO на завдання, кожне з яких має зрозумілу назву, як-от Block-USB-Storage або Screen-Lock-10-Min — окрему політику можна перевірити, вимкнути, відкотити та відфільтрувати самостійно, тоді як один гігантський GPO не працює як гігант.
gpmc.mscПолітика паролів — одне правило для всього домену
Шлях: Конфігурація комп’ютера → Політики → Параметри Windows → Параметри безпеки → Політика облікового запису → Політика паролів, зазвичай редагується в політиці домену за замовчуванням. Встановіть мінімальну довжину, яку люди можуть запам’ятати — 12 символів зі складністю, що перевищує 8 символів, що змінюються щомісяця. Власне сучасне керівництво Microsoft відмовилося від примусового частого закінчення, оскільки користувачі відповідають на це передбачуваними шаблонами. Довжина плюс розумна політика блокування облікового запису є чесним поєднанням.
Блокування екрана — автономний ПК блокується сам
Шлях: Конфігурація користувача → Правила → Адміністративні шаблони → Панель керування → Персоналізація — увімкніть заставку, установіть час очікування та ввімкніть захист паролем. Двійник на стороні комп’ютера, Інтерактивний вхід: обмеження бездіяльності комп’ютера в розділі «Параметри безпеки», виконує однакову роботу для кожного комп’ютера. Десять хвилин — це приємне місце в офісі: хтось відходить від розблокованого комп’ютера, увійшовши в обліковий запис або відділ кадрів, і кожен, хто проходить повз, раптом стає цією людиною. Ця політика закриває найдешевшу дірку в безпеці в будівлі.
Контроль USB-накопичувачів — флешки перестають бути дверима
Шлях: Конфігурація комп’ютера → Політики → Адміністративні шаблони → Система → Доступ до знімного сховища. Ви можете заборонити читання, запис або виконання для кожного класу пристроїв або заборонити всі знімні носії в одному налаштуванні. Причиною офісу є дані: один флеш-накопичувач може винести з будівлі всю базу даних клієнтів або занести вірус.
Відображення дисків — спільні ресурси сервера з’являються самі
Шлях: Конфігурація користувача → Параметри → Параметри Windows → Карти диска. Це налаштування групової політики, а не класична політика: ви вказуєте букву диска на спільний ресурс, вибираєте дію (Створити або Оновити) і використовуєте націлювання на рівні елемента, якщо облікові записи мають отримати привід, якого не мають продажі. Ця політика скасовує найстаріший сценарій в ІТ — пакетний файл входу — і щоденний виклик «диск сервера зник». Зіставлений диск, на якому зображено червоний хрест, можна миттєво прочитати: проблема з мережею чи дозволами, а не таємниця відображення.
Розгортання принтера — офісний принтер без дотику до ПК
Шлях: Параметри → Параметри панелі керування → Принтери (або розгорнути з керування друком). Користувач увійшов у систему, і офісний принтер просто там із потрібним драйвером із сервера друку. Націлюйте принтери за організаційними підрозділами або групами, щоб третій поверх перестав друкувати на першому поверсі.
Контроль Windows Update — оновлення відбуваються за вашим розкладом
Шлях: Конфігурація комп’ютера → Політики → Адміністративні шаблони → Компоненти Windows → Windows Update. Основні параметри: Налаштування автоматичних оновлень, Без автоматичного перезапуску для користувачів, які ввійшли в систему, кінцеві терміни встановлення та — якщо офіс використовує WSUS — розташування сервера оновлення в інтрамережі. Параметри відкладення дозволяють пілотній групі спочатку отримувати оновлення, а решті офісу – через кілька днів. Будьте чіткі щодо роботи: ця політика контролює час, а не те, чи відбуваються оновлення. Встановіть вікно встановлення в неробочий час і крайній термін перезапуску, який користувачі побачать, і оновлення стануть нудними — це саме те, чого ви хочете.
Переспрямування папок — документи знаходяться на сервері, а не на ПК
Шлях: Конфігурація користувача → Правила → Параметри Windows → Переспрямування папок. Документи, робочий стіл і зображення тихо вказують на папку на файловому сервері, а не на локальному диску. Виплата з’являється в найгірший день: комп’ютер вимикається, користувач виконує вхід на будь-якому іншому комп’ютері, а його файли вже там — і копія сервера знаходиться у вашій звичайній резервній копії.
AppLocker — запускаються лише затверджені програми
Шляхи: Конфігурація комп’ютера → Параметри Windows → Параметри безпеки → Політики керування програмами → AppLocker або старіші політики обмеження програмного забезпечення в тій же області. Ідея полягає в білому списку: Windows, програмні файли та схвалені адміністраторами програми можуть працювати; те, що користувач завантажує у свій власний профіль, не може. Це найсильніший пункт у списку та той, який вимагає найбільшої поваги.
Журнал аудиту — записуйте, хто ввійшов і хто не ввійшов
Шлях: Конфігурація комп’ютера → Політики → Параметри Windows → Параметри безпеки → Розширена конфігурація політики аудиту. Щонайменше, аудит успішного та невдалого входу на контролерах домену та рядових серверах. Аудит відповідає на питання, яке задає кожна офіс після інциденту: чий обліковий запис використовувався, з якого ПК і коли?
Контроль локального адміністратора — майже ніхто не є адміністратором на власному ПК
Шлях: Параметри → Параметри панелі керування → Локальні користувачі та групи можуть очистити групу адміністраторів на кожному комп’ютері — видалити випадкові облікові записи користувачів, зберегти групу підтримки ІТ. Додатковою частиною є Windows LAPS, яка надає кожному ПК унікальний пароль локального адміністратора, який автоматично змінюється, і безпечно зберігається в Active Directory. Для щоденної роботи не потрібні права адміністратора; шкідливі програми успадковують їх. Видаліть постійні права адміністратора, збережіть LAPS протягом дня. ІТ-спеціалістам потрібен локальний пароль, і половина інцидентів у звичайному офісі ніколи не станеться — але збережіть один перевірений маршрут розбиття скла перед розгортанням.
Застосуйте, оновіть і перевірте на тестовому ПК
Зв’яжіть новий GPO з тестовою OU, а потім на тестовому клієнті примусово оновіть політику та перевірте результат, перш ніж хтось інший отримає його. Перша команда застосовує політики зараз замість очікування наступного циклу оновлення; другий пише звіт, у якому точно перелічується, які об’єкти групової політики було застосовано — а які було відхилено та чому.
gpupdate /forcegpresult /h report.html🏷️Змінні та ключові слова пошуку тем
🎙️ Повна транскрипція — торкніться, щоб розгорнути
__TOK_35__
__TOK_36__
__TOK_37__
❓ Часті запитання
Чи на 100% безкоштовний цей посібник?
__TOK_38__
Чи можуть новачки дотримуватися цього посібника?
__TOK_39__
Де я можу поставити запитання, якщо я застряг?
__TOK_40__