Поиск по сайту:

Очистка GPO: Окончательное руководство

Это пошаговое руководство по очистке групповой политики. В этом руководстве я покажу вам, как просмотреть ваши GPO, чтобы определить, можно ли их удалить или нет.

Шаги по очистке GPO:

  • Шаг 1. Создайте электронную таблицу
  • Шаг 2. Резервное копирование объектов групповой политики (GPO)
  • Шаг 3. Как найти отключенные GPO (все настройки отключены)
  • Шаг 4. Как найти не связанные GPO
  • Шаг 5. Как найти пустые GPO (не настроенные параметры политики)
  • Шаг 6. Просмотр фильтров WMI GPO
  • Шаг 7. Проверьте фильтрацию безопасности GPO
  • Шаг 8. Просмотр и очистка объектов групповой политики (GPO)

Примечание: В этом руководстве я буду использовать отчеты групповых политик из инструмента AD Pro Toolkit. Этот инструмент позволяет очень легко сгенерировать отчет о всех GPO и настройках. Вы также можете использовать PowerShell и консоль управления групповыми политиками для создания отчета, но это потребует дополнительных шагов.

Шаг 1. Создайте таблицу

Фу, только не еще одна таблица. Я знаю, но это простая таблица, чтобы помочь вам легко определить GPO, которые могут быть удалены.

Если вы не используете AD Pro Toolkit, вы можете вручную создать электронную таблицу с этими заголовками:

  • Название GPO
  • Местоположение
  • Статус
  • UserVersion
  • компьютерная версия
  • Фильтр WMI
  • Фильтрация безопасности

Используя инструменты, выберите Отчеты > Отчеты о групповой политике > Все GPO и нажмите 'Запустить'.

Нажмите Экспортировать в CSV.

Это создаст таблицу всех ваших GPO и нескольких настроек, которые мы будем использовать для процесса очистки.

Шаг 2. Резервное копирование объектов групповой политики (GPO)

Перед тем как вносить изменения в ваши GPO, вы должны их сделать резервную копию.

Вам необходимо иметь возможность восстановить GPO как можно быстрее в случае, если что-то пойдет не так после процесса очистки. Обратитесь к руководству по резервному копированию GPO для получения шагов.

Шаг 3. Как найти отключенные GPO (все настройки отключены)

Отключенные GPO — это те, у которых статус установлен на "Все настройки отключены". Это означает, что GPO ничего не делает. Даже если GPO связаны с сайтом или ОУ, GPO не применяет никаких настроек.

В таблице я собираюсь выделить оранжевым цветом все ГПО, статус которых установлен на "ВсеНастройкиОтключены". Я выделю настройки желтым цветом, чтобы легко видеть, почему ГПО отмечено.

Вы можете увидеть выше, что у меня есть два GPO - "PSRemoting" и "FIPS", которые отключены.

В качестве альтернативы вы можете перечислить все отключенные объекты групповой политики, запустив отчет «Все настройки отключенных GPO».

В консоли управления групповыми политиками (GPMC) вам необходимо открыть каждую GPO, нажать на "Сведения" и посмотреть статус GPO.

Шаг 4. Как найти не связанные GPO

Несвязанные GPO не связаны с сайтом, доменом или подразделением (OU). Это GPO, который в данный момент не используется. Возможно, администратор создал GPO, но никогда не связал его или не использовал, а затем удалил связь. В любом случае, несвязанные GPO в настоящее время не используются.

В электронной таблице для не связанные GPO поле местоположения пустое.

Вы можете увидеть выше, что у меня несколько незавязанных GPO.

Чтобы найти не связанные GPO в консоли GPMC, вам нужно щелкнуть на каждом GPO и посмотреть в поле расположения.

В качестве альтернативы используйте набор инструментов -> ВСЕ GPO отчет и просмотрите те, которые ничего не содержат в колонке Местоположение. С помощью AD Pro Toolkit я также могу просто отфильтровать колонку местоположения, чтобы отобразить только GPO, у которых это поле пусто.

Шаг 5. Как найти пустые GPO

Пустые GPO — это объекты групповой политики, которые не имеют настроек политики. Каждый раз, когда GPO изменяется, увеличивается userVersion или ComputerVersion. Если вы создаете новый GPO и не изменяете никаких настроек, версия будет 0. Вы хотите найти все GPO, у которых и userVersion, и ComputerVersion равны 0.

В таблице я нашел три пустых GPO.

В консоли GPMC вам нужно открыть каждую GPO и нажать на вкладку 'Подробности', чтобы увидеть версию пользователя и компьютера.

Шаг 6. Проверьте фильтр WMI GPO

Затем проверьте любые GPO, которые используют WMI-фильтр. WMI-фильтр GPO используется для нацеливания на конкретные устройства, например, вы хотите применить GPO только к компьютерам с Windows 10.

У вас могут быть некоторые групповые политики, которые используют фильтр WMI, который больше не нужен. Например, этот фильтр нацелен только на компьютеры с Windows 10, которые работают на 32-битной версии.

У меня нет 32-битных систем в моей сети, поэтому эта групповая политика не используется. Я выделю это в таблице. Для любой групповой политики, у которой есть фильтр WMI, вам нужно будет проверить запрос WMI, чтобы определить, действителен ли он все еще.

В GPMC вы можете увидеть, какие GPO имеют установленный фильтр WMI, нажав на "Объекты групповая политика".

Шаг 7. Проверьте фильтрацию безопасности GPO

Последние настройки GPO для рассмотрения — это GPO, для которых настроена фильтрация безопасности. По умолчанию GPO могут обрабатывать группа аутентифицированных пользователей. Если кто-то добавил группу или пользователя в фильтрацию безопасности, это ограничит область применения GPO.

Например, у меня есть два GPO, у которых что-то другое, кроме "Аутентифицированных пользователей". Я отмечу их в таблице и рассмотрю.

В приведенном выше примере группа «gpo_apply_block_control_panel» настроена, но когда я просматриваю группу, в ней нет членов. Рассматривая разрешения делегирования GPO, можно увидеть, что у аутентифицированных пользователей не отмечено «Применить групповую политику». Это означает, что только члены группы «gpo_apply_block_control_panel» могут обрабатывать GPO. Но поскольку в группе нет членов, GPO не используется.

Шаг 8. Просмотр и очистка GPO

Важно: Не забудьте сделать резервную копию ваших GPO перед их удалением.

Если вы выполнили все вышеперечисленные шаги, у вас должна быть таблица, подобная приведённой ниже, с перечнем GPO, которые потенциально могут быть удалены. Следующий шаг - обсудить таблицу с вашей командой и получить одобрение на их удаление.

Для резюме, вот что вам следует проверить для каждого GPO:

  • Местоположение=пусто – Это GPO, которые не используются, потому что они не связаны с какими-либо объектами домена.
  • Статус=ВсеНастройкиОтключены – Это GPO, у которых отключены настройки конфигурации пользователя и компьютера, поэтому никакие параметры политики не будут применены.
  • userVersion и computerVersion=0 – Это пустые GPO. Кто-то создал GPO, но не настроил никаких параметров.
  • Просмотр WMI-фильтра – Проверьте GPO, у которых настроен WMI-фильтр. WMI-фильтр ограничивает, какие устройства могут применять GPO.
  • Фильтрация безопасности – Фильтрация безопасности может ограничить, какие пользователи или компьютеры могут обрабатывать GPO. Очень легко изменить это и предотвратить работу GPO.

Резюме

Очистка групповой политики - это не простой процесс. Требуется несколько шагов, чтобы просмотреть каждую GPO и определить, действительны ли они. Набор инструментов AD Pro помогает в процессе очистки, создавая простой отчет о всех ваших GPO и их настройках состояния. Если вы не используете набор инструментов, вы все равно можете использовать PowerShell или GPMC для ручного обзора каждой GPO. Это займет больше шагов, но все равно работает.