Giải thích về vòng lặp và lọc bảo mật GPO

Bắt đầu từ mặc định - Người dùng được xác thực

Ngay từ đầu, mọi GPO mới đều mang theo một bộ lọc bảo mật: Người dùng được xác thực, giữ cả hai quyền Đọc và Áp dụng chính sách nhóm. Nhóm đó rộng hơn ta tưởng — nó bao gồm mọi người dùng đã đăng nhập và mọi tài khoản máy tính trong miền — và đó là lý do tại sao một GPO mới "chỉ hoạt động" đối với mọi người trong OU mà nó được liên kết tới. Bạn có thể thấy bộ lọc trong Bảng điều khiển quản lý chính sách nhóm: chọn GPO và xem hộp Lọc bảo mật trên tab Phạm vi. Mọi thứ trong video này đều là sự thay đổi có chủ ý đối với mặc định đó — và mọi điều bất ngờ đều bắt đầu từ đó.

Bật xử lý vòng lặp

Xử lý vòng lặp là cài đặt trên máy tính. Chỉnh sửa GPO được liên kết với OU chứa các máy tính và đi tới Cấu hình máy tính → Chính sách → Mẫu quản trị → Hệ thống → Chính sách nhóm. Mở Định cấu hình chế độ xử lý vòng lặp Chính sách nhóm của người dùng và đặt thành Đã bật. Kể từ thời điểm đó, cài đặt người dùng cho bất kỳ ai đăng nhập vào các PC đó sẽ được lấy từ các GPO được liên kết với OU của máy tính thay vì chỉ OU của chính người dùng. Loopback không bao giờ thay đổi một nửa chính sách của máy tính - cài đặt máy tính luôn xử lý bình thường.

Chọn Chế độ Hợp nhất hoặc Thay thế

Cài đặt tương tự yêu cầu một chế độ và lựa chọn sẽ thay đổi mọi thứ. Thay thế bỏ qua hoàn toàn GPO phía người dùng của chính người dùng — chỉ áp dụng cài đặt người dùng từ GPO của máy tính. Đó là chế độ dành cho các ki-ốt, lớp học và máy chủ RDS, nơi máy phải cung cấp một môi trường giống hệt nhau, được kiểm soát cho tất cả mọi người. Hợp nhất trước tiên áp dụng GPO của riêng người dùng, sau đó áp dụng cài đặt người dùng của máy tính lên trên — và cài đặt của máy tính sẽ giải quyết mọi xung đột. Hợp nhất phù hợp với các PC bình thường nơi người dùng giữ hầu hết các chính sách thông thường của họ nhưng các quy tắc của máy phải có lời cuối cùng.

Nhắm mục tiêu GPO với tính năng Lọc bảo mật

Lọc bảo mật là cách bạn ngăn chặn GPO truy cập tới mọi người trong OU. Chọn GPO trong bảng điều khiển, mở tab Phạm vi và trong phần Lọc bảo mật, hãy xóa Người dùng được xác thực và chỉ thêm nhóm sẽ nhận chính sách. Để nhận được GPO, một tài khoản cần cả Đọc và Áp dụng Chính sách nhóm — chỉ với một trong hai, GPO sẽ không bao giờ được tải xuống hoặc được liệt kê mà bị bỏ qua. Lọc là cách tiêu chuẩn để thử nghiệm chính sách mới trước tiên cho một nhóm nhỏ hoặc nhắm mục tiêu vào một bộ phận duy nhất mà không cần di chuyển một tài khoản giữa các OU.

Giữ quyền đọc của máy tính (MS16-072)

Đây là cái bẫy đã cắn các quản trị viên kể từ tháng 6 năm 2016. Bản cập nhật bảo mật MS16-072 đã thay đổi cách truy xuất Chính sách nhóm: tài khoản máy tính hiện tìm nạp GPO của người dùng từ bộ điều khiển miền trong bối cảnh bảo mật của chính máy tính. Vì vậy, máy tính phải có quyền Đọc trên mọi GPO mà nó tìm nạp — bao gồm cả các GPO của người dùng được lọc vào một nhóm mà máy tính không phải là thành viên. Nếu bạn đã loại bỏ Người dùng được xác thực ở bước trước, hãy mở tab Ủy quyền của GPO, nhấp vào Thêm và cấp cho Người dùng được xác thực (hoặc Máy tính miền) chỉ Đọc — đọc là tất cả những gì máy cần; Áp dụng thời gian lưu trú với nhóm mục tiêu của bạn.

Khi vòng lặp và lọc gặp nhau

Hai điều khiển tương tác và tương tác thu hút ngay cả những quản trị viên có kinh nghiệm. Cài đặt người dùng mà loopback cung cấp vẫn tồn tại trong GPO được liên kết với OU của máy tính — nhưng chúng vẫn là cài đặt người dùng, do đó người ngồi trên bàn phím vẫn cần Áp dụng Chính sách nhóm trên GPO đó và máy tính vẫn cần Đọc nó. Siết chặt bộ lọc trên GPO loopback chỉ với một nhóm máy tính và máy sẽ tìm nạp một GPO có cài đặt người dùng mà không ai ngồi ở đó được phép áp dụng: một GPO kiosk được cấu hình hoàn hảo mà âm thầm không cung cấp gì cả. Trước khi đổ lỗi cho chính sách đó, hãy kiểm tra cả hai nửa của cặp quyền.

Chứng minh điều đó với gpresult

Đừng đoán - hãy xác minh. Trên PC bị ảnh hưởng, trong phiên của người dùng bị ảnh hưởng, hãy mở Dấu nhắc Lệnh và chạy lệnh chứng minh của video:

gpresult /h report.html

Mở report.html đã tạo và đọc kết quả. GPO ứng dụng được liệt kê ở trên cùng và mọi GPO bị từ chối đều có lý do riêng: Bị từ chối (Bảo mật) nghĩa là quyết định lọc, Bị từ chối (Không thể truy cập) nghĩa là lỗi tìm nạp hoặc cấp quyền và Bị từ chối (Trống) nghĩa là một nửa GPO đơn giản là không có cài đặt nào. Với chức năng loopback, dấu vân tay không thể nhầm lẫn — các GPO cung cấp cài đặt người dùng là các cài đặt từ OU của máy tính. Xử lý bằng chứng theo thứ tự này - phạm vi, bộ lọc, vòng lặp - và hầu hết các trường hợp "không áp dụng GPO" đều tự giải thích.