Как сделать резервную копию и скопировать настройки локальной групповой политики на другой компьютер

Групповые политики используются для централизованной настройки параметров компьютеров и пользователей в Windows. Если ваши компьютеры присоединены к домену Windows, вы можете использовать объекты групповой политики домена, чтобы объединить все компьютеры в домене Active Directory в единую конфигурацию. Если у вас нет домена, вы можете использовать локальную групповую политику для настройки параметров для одного компьютера (редактор локальной групповой политики запускается с

gpedit.msc

команда). В этой статье мы покажем вам, как создать резервную копию локального объекта групповой политики и скопировать параметры локальной политики на другие компьютеры.

Если ваша сеть основана на рабочей группе Windows, вы можете использовать локальную групповую политику, чтобы все ваши компьютеры имели одинаковую конфигурацию. Для этого вам необходимо настроить параметры локального объекта групповой политики на эталонном компьютере, а затем скопировать и применить эти параметры к другим компьютерам.

Как вручную скопировать настройки локального объекта групповой политики на другой компьютер

В Windows нет встроенных инструментов для резервного копирования, импорта, экспорта или переноса настроек локальных объектов групповой политики. Windows хранит параметры административного шаблона локальной групповой политики в файлах Registry.pol по следующим путям:

• %SystemRoot%\System32\GroupPolicy\Machine\

• %SystemRoot%\System32\GroupPolicy\User\

Поэтому самый простой способ перенести параметры локальной групповой политики между компьютерами — вручную скопировать и заменить содержимое локальной групповой политики.

%systemroot%\System32\GroupPolicy

папку с одного компьютера на другой. Вам необходимо вручную обновить параметры групповой политики с помощью

gpupdate /force

команду или перезагрузите Windows после замены файлов GPO.

Основные недостатки этого метода миграции GPO:

1. Настройки из локальных шаблонов безопасности не копируются;

2. При применении объекта групповой политики могут возникнуть ошибки, если версия Windows на целевом компьютере отличается;

3. Вы не можете импортировать настройки локального объекта групповой политики в консоль управления групповой политикой домена (

   gpmc.msc

   );

4. Существуют некоторые проблемы с переносом настроек из пользовательских шаблонов ADMX.

Как сделать резервную копию (экспортировать) локальной групповой политики с помощью LGPO.exe

Microsoft рекомендует использовать консольный инструмент LGPO.exe для резервного копирования, импорта, экспорта и переноса параметров локальной групповой политики. LGPO (текущая версия 3.0) включена в набор инструментов Microsoft Security Compliance Toolkit и доступна для загрузки здесь https://www.microsoft.com/en-us/download/details.aspx?id=55319.

Этот

LGPO.exe

утилита позволяет:

• Экспортировать настройки локальной групповой политики в файлы;

• Импортируйте настройки объекта групповой политики из резервной копии. Позволяет импортировать файлы реестра.pol, шаблоны безопасности и файлы CSV;

• Преобразуйте файлы реестра.pol в читаемый формат LGPO и наоборот.

Для резервного копирования (экспорта) текущих настроек локального объекта групповой политики в указанный каталог используйте команду:

LGPO.exe /b c:\tools\GPO

Инструмент сохраняет параметры локальной политики в папке со случайным именем GUID. Этот каталог содержит все необходимые файлы, необходимые для восстановления настроек локального объекта групповой политики или их применения на другом компьютере.

Restore-GPO -Name Win10Settings -Path C:\Backup\GPO_W10\

Чтобы удобно просмотреть текущие настройки объекта групповой политики в файле реестра.pol, выполните следующую команду:

lgpo.exe /parse /m "C:\Tools\GPO\{985966AD-21BE-4A9C-BF7D-26C879982067}\DomainSysvol\GPO\Machine\registry.pol" >>c:\tools\gpo\lgpo.txt

Целевой текстовый файл lgpo.txt содержит параметры реестра, применяемые этой политикой.

Вы можете вручную отредактировать файл lgpo.txt и преобразовать его в формат реестра.pol:

LGPO.exe /r "C:\tools\GPO\lgpo.txt" /w "C:\tools\GPO\registry_new.pol"

Чтобы применить новые настройки из файла реестра_new.pol к текущей локальной политике компьютера:

LGPO.exe /m "C:\tools\GPO\registry_new.pol"

Импорт (восстановление) параметров локальной групповой политики в Windows

Чтобы импортировать (восстановить) настройки локального объекта групповой политики из резервной копии на другом компьютере, необходимо скопировать каталог Policy GUID на целевой компьютер и выполнить команду:

LGPO.exe /g C:\tools\GPO\

Некоторые администраторы используют несколько локальных групповых политик (MLGPO) для применения отдельных параметров локального объекта групповой политики только к определенным группам (не администраторам или администраторам) или пользователям. По умолчанию lgpo.exe не экспортирует настройки MLGPO.

Следующее, что мы рассмотрим, — это как скопировать настройки MLGPO для определенных пользователей или групп на другие компьютеры.

Когда администратор создает новую локальную политику для определенного локального пользователя или группы (MLGPO), для этого объекта групповой политики создается отдельная папка в

C:\Windows\System32\GroupPolicyUsers

каталог. SID пользователя или группы используется в качестве имени каталога. Например:

• S-1-5-32-545

  - не администраторы (ВСТРОЕННЫЕ\ПОЛЬЗОВАТЕЛИ)

• S-1-5-32-544

  -администраторы (ВСТРОЕННЫЕ\АДМИНИСТРАТОРЫ)

Например, вы можете скопировать настройки локального объекта групповой политики для пользователей, не являющихся администраторами, на другой компьютер.

• С эталонного компьютера скопируйте файл параметров локальной политики из каталога с необходимым SID (

  C:\Windows\System32\GroupPolicyUsers\S-1-5-32-545\User\Registry.pol

  );

• Чтобы применить файл Registry.pol для пользователей, не являющихся администраторами, на целевом компьютере, выполните следующую команду:

  lgpo /un "C:\tmp\Registry.pol"

Import MLGPO settings for Non-Administrators from registry.pol

lgpo /ua "C:\tmp\Registry.pol"

lgpo /u:username "C:\tmp\Registry.pol"

Экспорт и импорт настроек групповой политики с помощью LocalGPO

Ранее сценарий LocalGPO (часть Microsoft Security Compliance Manager 3.0) использовался для импорта и экспорта конфигурации локальной групповой политики. Инструмент LocalGPO позволяет быстро создать резервную копию локального объекта групповой политики и восстановить из него настройки локальной политики. Он также имеет интересную опцию для создания исполняемого файла GPOPack, который позволяет вам переносить (импортировать) настройки локального объекта групповой политики на другой компьютер одним щелчком мыши.

Чтобы экспортировать параметры локальной групповой политики в каталог C:\GPObackup (целевую папку необходимо создать заранее):

cscript LocalGPO.wsf /Path:C:\GPObackup /Export

Утилита LocalGPO позволяет экспортировать настройки MLGPO для определенной группы или пользователя в отдельный каталог. Используемый синтаксис:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Administrators

или

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:LocalUserName

Чтобы восстановить параметры локальной групповой политики из предыдущей резервной копии:

cscript LocalGPO.wsf /Path:C:\GPObackup\{B6542366-C0C0-4948-AF39-B17F0B1F0E9A}

LocalGPO позволяет сбросить все текущие настройки локальной групповой политики до значений по умолчанию:

cscript LocalGPO.wsf /Restore