Hướng dẫn đầy đủ về Active Directory GPO ⚡ Giải thích chính sách người dùng và máy tính

GPO thực sự là gì

GPO chỉ đơn giản là một gói cài đặt được đặt tên. Nó không tự làm gì cả. Nó chỉ bắt đầu hoạt động khi bạn liên kết nó với một vùng chứa — trang web, miền hoặc Đơn vị tổ chức (OU) — và sau đó áp dụng cho tài khoản người dùng hoặc máy tính bên trong vùng chứa đó.

Hai sự thật theo sau từ điều này. Đầu tiên, chỉnh sửa GPO và liên kết GPO là hai công việc riêng biệt; một GPO được cấu hình hoàn hảo không được liên kết ở bất kỳ đâu sẽ không thay đổi gì cả. Thứ hai, một GPO có thể được liên kết với nhiều OU và một OU có thể nhận được nhiều GPO.

Mọi thứ trong hướng dẫn này diễn ra trong một bảng điều khiển - Bảng điều khiển quản lý chính sách nhóm. Mở nó trên bộ điều khiển miền hoặc trên bất kỳ PC nào có cài đặt công cụ RSAT, từ hộp Chạy:

gpmc.msc

Chính sách máy tính và chính sách người dùng - Hai nửa

Mở bất kỳ GPO nào và bạn sẽ thấy hai phần giống nhau: Cấu hình máy tính và Cấu hình người dùng. Chúng không phải là hai chế độ xem của một danh sách — chúng là hai hộp công cụ khác nhau với các cài đặt khác nhau, được áp dụng vào các thời điểm khác nhau cho các tài khoản khác nhau.

Cấu hình máy tính áp dụng cho tài khoản máy tính. Nó được xử lý khi PC khởi động, trước khi bất kỳ ai đăng nhập. Cài đặt phần mềm cho máy, tập lệnh khởi động, chặn USB, hành vi Windows Update và cài đặt bảo mật đều có tại đây.

Cấu hình người dùng áp dụng cho tài khoản người dùng. Nó được xử lý khi người dùng đăng nhập trên bất kỳ PC nào. Hình nền, ánh xạ ổ đĩa, chuyển hướng thư mục, tập lệnh đăng nhập và các hạn chế của Bảng điều khiển đều có tại đây.

Nơi bạn liên kết quyết định ai sẽ nhận được nó

GPO liên kết ở ba cấp độ: trang web (địa điểm văn phòng thực tế), miền (mọi người) và OU (một bộ phận hoặc nhóm). Trong các văn phòng vừa và nhỏ, hầu hết tất cả các liên kết đều diễn ra ở cấp OU, bởi vì trước tiên bạn tổ chức các tài khoản thành OU - một cho PC văn phòng, một cho người dùng nhân viên, một cho máy tính xách tay, v.v.

Hai GPO tồn tại theo mặc định — Chính sách miền mặc định (quy tắc tài khoản và mật khẩu) và Chính sách bộ kiểm soát miền mặc định — tốt nhất hầu như nên để nguyên. Tạo GPO của riêng bạn cho các cài đặt của riêng bạn để bạn có thể tắt chúng mà không cần chạm vào các giá trị mặc định.

Tạo, cấu hình và liên kết GPO đầu tiên của bạn

Trong gpmc.msc, nhấp chuột phải vào Đối tượng chính sách nhóm → Mới → đặt tên cho biết chức năng của nó, chẳng hạn như Chặn-USB-Drives. Việc đặt tên một cách trung thực là vấn đề quan trọng: sau sáu tháng, một văn phòng có 40 GPO và những cái tên như "New GPO" hoặc "test2" chẳng cho bạn biết điều gì cả - tên theo công việc, không phải theo ngày tháng.

Nhấp chuột phải vào GPO mới → Chỉnh sửa. Trình soạn thảo mở ra với hai nửa. Định cấu hình cài đặt của bạn ở nửa bên phải và đóng trình chỉnh sửa.

Quay lại GPMC, nhấp chuột phải vào OU mục tiêu → Liên kết GPO hiện có → chọn GPO của bạn. Trên PC khách, khởi động lại nó (đối với cài đặt máy tính) hoặc đăng xuất và bật lại (đối với cài đặt người dùng) — hoặc buộc làm mới bằng các lệnh trong bước tiếp theo.

Buộc nó và chứng minh nó - gpupdate và gpresult

Các chính sách tự làm mới khoảng 90 phút một lần (với mức chênh lệch ngẫu nhiên), nhưng không ai kiểm tra điều đó một cách chậm rãi. Trên PC khách, mở Dấu nhắc Lệnh và chạy:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force hiện áp dụng lại tất cả các chính sách. Một số cài đặt thực sự vẫn cần khởi động lại (cài đặt máy tính, cài đặt phần mềm) hoặc đăng nhập mới (cài đặt người dùng) — /force không thể bỏ qua vật lý.

gpresult /r là biên nhận: nó liệt kê chính xác GPO nào được áp dụng cho máy tính và người dùng, GPO nào đã được lọc ra và lý do. Để có báo cáo có thể đọc được, gpresult /h report.html tạo một trang HTML hiển thị mọi cài đặt chiến thắng và GPO đến từ đâu. Đừng bao giờ đánh giá GPO bằng hy vọng — gpresult /r phải là lệnh đầu tiên bạn chạy bất cứ khi nào một chính sách "không hoạt động".