Поиск по сайту:

Руководство по управлению групповыми политиками

Обзор

Для управления групповой политикой в Active Directory вы будете использовать консоль управления групповой политикой (GPMC). Прежде чем вносить изменения в объекты групповой политики (GPO), крайне важно понять основы их правильного управления. Один неверно настроенный GPO может нарушить работу всей вашей сети и повлиять на бизнес-процессы. В этом уроке я расскажу вам основы групповой политики и как правильно применять GPO.

Урок 1
Основы групповой политики

Что такое групповая политика?

Групповая политика — это функция Microsoft Windows, которая позволяет ИТ-администраторам централизованно управлять и настраивать параметры на компьютерах с Windows. Групповая политика может управлять настройками операционной системы, приложениями, браузерами и настройками пользователей.

Групповая политика используется в средах Active Directory с компьютерами, присоединенными к домену. Она также работает с устройствами, присоединенными к гибридному Azure, но не будет работать с устройствами только для Azure.

Преимущества групповой политики

Основное преимущество использования групповой политики заключается в том, что организации могут применять набор стандартных политик ко всем компьютерам и пользователям. Это помогает обеспечить безопасность и соответствие требованиям. Это также приносит пользу ИТ-отделу, предоставляя инструмент для легкой настройки параметров компьютеров и пользователей.

Примеры политик:

  • Политика паролей
  • Блокировка экрана
  • Настройки электропитания
  • Картографировать сетевые диски
  • Установите принтеры, программное обеспечение, ярлыки на рабочем столе и т.д.
  • Ограничения программного обеспечения (блокировка доступа к программам)

Определения групповой политики

Вот некоторые общие термины групповой политики, с которыми вам нужно ознакомиться.

Объекты групповой политики (GPO)=Объект групповой политики - это коллекция настроек политики. GPO применяется к домену или организационному единству (OU), чтобы нацелиться на пользователей, компьютеры или весь домен. Большую часть времени вы будете работать с групповыми политиками.

Консоль управления групповыми политиками (GPMC)=Это консоль управления, используемая для управления групповыми политиками и GPO. Она установлена на сервере Active Directory, но также может быть добавлена на другие компьютеры путем установки инструментов RSAT.

Локальная групповая политика= Локальная групповая политика — это политика, которая применяется к одному компьютеру и управляется локально на этом компьютере. Вы можете получить доступ к локальной GPO с помощью консоли gpedit.msc. Эти политики применяются только к компьютеру, на котором вы их редактируете. Политики домена имеют приоритет над локальными политиками.

Групповая политика домена (ГПД)=Групповые политики домена управляются централизованно и могут применяться к нескольким компьютерам и пользователям. ГПД будут основной темой данного руководства.

Политики конфигурации пользователей=Каждая GPO имеет раздел конфигурации пользователей и конфигурации компьютеров. Политики конфигурации пользователей применяются только к пользователям.

Политики конфигурации компьютера=Политики конфигурации компьютера GPO применяются к компьютеру, а не к пользователю.

Как работает групповая политика?

Групповая политика работает следующим образом: администратор создает политику, которая применяется к пользователям или компьютерам. Компьютер или пользователь загружает политику и применяет её настройки к компьютеру.

Ниже приведен типичный сценарий использования групповой политики и принцип ее работы. Вы являетесь администратором и вам нужно убедиться, что все экраны компьютеров блокируются через 15 минут неактивности.

  1. Администратор использует консоль управления групповыми политиками для создания новой групповой политики. Групповая политика содержит настройки для блокировки экрана компьютера через 15 минут использования.
  2. Администратор применяет новую групповую политику ко всему домену. Это означает, что все компьютеры в домене получат эту политику.
  3. Компьютер проверяет и применяет новые GPO при запуске и когда пользователи входят в систему. Компьютеры также проверяют наличие новых GPO каждые 90 минут.
  4. Политика GPO загружается и применяется к компьютеру или пользователю.

Если вы хотите следовать этому руководству, вам, возможно, стоит создать тестовую среду. Это позволит вам создавать, модифицировать и удалять GPO без ущерба для вашей рабочей среды. Смотрите мою статью о создании тестовой среды Active Directory для получения пошаговых инструкций.

Урок 2
Порядок обработки групповых политик

Очень важно понять порядок, в котором применяются групповые политики. Еще более важно понимать порядок приоритета. Это будет критически важно при проектировании и устранении неполадок в групповых политиках.

Заказ обработки GPO

GPO обрабатываются в следующем порядке:

  1. Локальный объект групповой политики
  2. GPO связано с сайтом
  3. GPO связано с доменом
  4. GPO, связанный с организационной единицей

Порядок применения групповых политик

Последняя применяемая групповая политика (GPO) имеет наибольшее преимущество. Это означает, что если две политики имеют одинаковые настройки, будет применена GPO с наибольшим преимуществом. Это происходит потому, что она применяется последней и перезаписывает настройки другой политики.

Позвольте мне пройти через пример, чтобы лучше иллюстрировать, что это значит.

У меня есть два GPO, имя и параметры политики указаны ниже.

  1. Пользователь – Настройки Chrome = Эта GPO устанавливает домашнюю страницу на google.com. Эта GPO применяется к домену.
  2. Пользователь – Настройки Chrome 2=Этот GPO устанавливает домашнюю страницу на bing.com. Этот GPO применяется к OU.

Пример скриншота ниже.

Можешь угадать, какая домашняя страница будет применена?

Это будет bing.com.

Группа политик "Пользователь - Настройки Chrome 2" имеет наибольший приоритет, поскольку была применена последней.

Итак, помните, что для любых GPO с конфликтующими настройками политики GPO с наибольшим приоритетом будет иметь преимущество.

Объекты групповой политики домена всегда будут перекрывать любые локальные политики, потому что они имеют больший приоритет.

Урок 3
Управление групповыми политиками

На этом уроке вы узнаете, как создавать групповые политики. Я продемонстрирую, как создать GPO, которая применяется к пользователям, и отдельную GPO, которая применяется к компьютерам.

Обзор консоли управления групповыми политиками

При управлении групповыми политиками вы будете использовать встроенную консоль управления групповыми политиками (GPMC). Консоль GPMC находится в меню Пуск -> Административные инструменты Windows.

Я расскажу о основах GPMC. (Смотрите изображение ниже).

  1. Домены=Здесь будет указан ваш домен и структура OU. Обратите внимание, что здесь не указаны никакие контейнеры Active Directory, это связано с тем, что GPO могут быть связаны только с доменом и OUs.
  2. Ссылочные GPO=Если у любого OU есть связанный GPO, он будет указан под этим OU. Например, вы можете увидеть, что мой OU «ADPRO Computers» имеет связанную политику разрешения PsExec.
  3. Объекты групповой политики=Этот раздел перечислит все объекты групповой политики, связанные и не связанные.

Не беспокойтесь о «WMI фильтрах» или «Стартовых GPO».

Когда вы выберете GPO, вы увидите детали GPO с правой стороны экрана.

  • Область применения=Область применения показывает вам все места, где расположена GPO. Ниже находится фильтрация безопасности (освещенная в разделе 5)
  • Подробности=Показывает основные сведения о GPO, такие как дата создания и последнего изменения.
  • Настройки=Отображает, какие политики настроены для GPO
  • Делегирование=Перечисляет права групповой политики. Обычно нет необходимости изменять эти настройки.

Это действительно охватывает самые распространенные параметры, которые вам нужно управлять групповой политикой. Далее я пройдусь по созданию новой GPO.

Новый пример GPO 1: Заблокировать доступ к Панели управления для всех пользователей

В этом первом примере вы создадите новую групповую политику, чтобы заблокировать доступ к панели управления для всех пользователей.

Сначала откройте консоль управления групповыми политиками.

Найдите организационное подразделение, которое содержит ваши учетные записи пользователей, для меня это мое OU «ADPRO Users».

Щелкните правой кнопкой мыши по OU и выберите «Создать GPO в этом домене и связать его здесь»

Дайте новому GPO имя. Например, Пользователь - Блокировка панели управления.

На данный момент есть новая GPO, связанная со всеми пользователями, но в GPO не установлены никакие политики. Щелкните правой кнопкой мыши на GPO и выберите 'Изменить'.

Перейдите к Конфигурации пользователя -> Политики -> Административные шаблоны -> Панель управления

Щелкните правой кнопкой мыши на политике и выберите «Редактировать».

Измените настройку политики на «Включено» и нажмите «ОК».

Чтобы проверить, работает ли GPO, перезагрузите компьютер и войдите в систему с учетной записью доменного пользователя.

Когда вы пытаетесь открыть панель управления, должно появиться всплывающее сообщение, подобное приведенному ниже.

Помните, что это была конфигурация пользователя и она применяется только когда пользователь входит в систему. В следующем примере я расскажу о групповой политике компьютера.

Новый пример GPO 2: Создание баннера входа (Юридическое уведомление)

В этом примере вы создадите новую групповую политику (GPO), которая показывает пользователям сообщение баннера перед входом в компьютер. Многие организации требуют этого для юридических целей. Это будет групповая политика конфигурации компьютера.

Сначала определите организационную единицу (OU), которая содержит компьютеры, к которым вы хотите применить политику. В моем домене все компьютеры расположены в организационной единице "ADPRO Computers", все под-OU унаследуют эту политику.

Щелкните правой кнопкой мыши на OU и выберите Создать GPO в этом домене и связать его здесь.

Дайте новой GPO имя, например, Компьютер - Баннер входа.

Перейдите к Конфигурации компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Локальные политики -> Параметры безопасности.

Справа откройте политику «Интерактивный вход: Заголовок сообщения для пользователей, пытающихся войти в систему».

Теперь выберите «Определить эту настройку политики» и введите ваше сообщение. Это сообщение часто предоставляется службой человеческих ресурсов или вашим юридическим отделом.

Затем откройте политику «Интерактивный вход: Заголовок сообщения для пользователей, пытающихся войти в систему» и введите заголовок для баннера.

Затем перезагрузите компьютер, и когда вы войдете в систему, вам должно быть предложено сообщение баннера GPO.

Хорошая работа!

Если вы следовали этому уроку, то вы только что создали две группы политик управления (GPO) — одну для пользователей и одну для компьютеров.

Довольно легко, не так ли?

Как узнать, где привязан GPO?

Откройте GPMC, перейдите к объектам группов policies, выберите GPO и посмотрите настройки области. Это скажет вам, где в домене связана GPO (к каким объектам она применяется).

На скриншоте ниже вы можете увидеть, что Политика Баннера Входа в Систему (Logon Banner GPO) привязана к моему OU Компьютеры ADPRO. Таким образом, эта политика будет применяться ко всем устройствам в этом OU и любому под-OU.

Для получения дополнительных примеров групповой политики обратитесь к статье "Самые полезные примеры GPO для безопасности". В этой статье перечислены 23 примера GPO, которые помогают улучшить безопасность в любой сети.

Урок 4
Предпочтения групповой политики

Предпочтения групповой политики используются для установки начальной конфигурации, но позволяют пользователям изменять их. Например, предпочтение GPO может создать ярлык на рабочем столе пользователя, но позволять пользователю удалять его.

Предпочтения GPO отличаются от настроек политики, потому что пользователи не могут изменять настройки политики. Например, в уроке 4 мы создали баннер входа в систему, это была настройка политики, и пользователи не могут ее изменить.

Предпочтения GPO в основном используются для:

  • Картирование сетевых дисков
  • Установка принтеров
  • Установка программного обеспечения
  • Добавить ярлыки на рабочий стол
  • Изменить параметры реестра

Целевое таргетирование на уровне предметов

Настройки GPO включают опцию фильтрации, называемую «Целеполагание на уровне объектов». Целеполагание на уровне объектов предоставляет вам детальный контроль над тем, к каким объектам (каким пользователям или компьютерам) применяется GPO.

Некоторые примеры таргетирования на уровне товара:

  • Целевые компьютеры с конкретной операционной системой
  • Нацелиться на группу безопасности
  • Целевые компьютеры по IP-адресу
  • Оперативная память, скорость процессора.

Вот скриншот всех предметов.

Создать GPO с использованием настроек и целевого уровня элементов

В этом примере мы создадим новую групповую политику (GPO), используя настройки, которые добавят ярлык на рабочий стол. Мы также воспользуемся целевым назначением на уровне элементов, чтобы применить GPO только к группе безопасности.

Сначала создайте новый GPO и свяжите его с OU вашего пользователя.

Отредактируйте GPO и перейдите к Конфигурация пользователя -> Настройки -> Параметры Windows

Щелкните правой кнопкой мыши на «Ярлыках», выберите «Новый», а затем «ярлык».

Смотрите скриншот ниже для настроек ярлыков.

Я связал этот GPO со всеми пользователями, если пользователь вошел в систему, он увидит значок на рабочем столе.

Но что, если вы не хотите, чтобы ярлык был на всех рабочих столах пользователей?

С помощью настроек GPO вы можете использовать нацеливание на уровне объектов, чтобы ограничить, к каким пользователям применяется GPO.

В этом примере я собираюсь ограничить ярлык рабочего стола для группы безопасности.

Я создал группу под названием «gpo_desktop_shortcut» и добавил несколько пользователей из различных отделов.

Вернитесь к настройкам GPO и нажмите на «Общее».

Затем выберите «Целевое нацеливание на уровень предмета» и нажмите кнопку «Нацеливание».

Нажмите на «Новый элемент» в выпадающем меню и выберите «группу безопасности».

Выберите группу, которую вы хотите нацелиться, и нажмите ОК.

Вот и всё!

Теперь GPO будет применяться только к пользователям в группе безопасности.

Помните, что нацеливание на уровень элементов работает только с предпочтениями GPO. Чтобы отфильтровать другие GPO, вы можете использовать фильтрацию безопасности, которую я рассмотрю в следующем уроке.

Урок 5
Фильтрация групповой политики

Фильтрация безопасности групповой политики — это то, что не получает достаточного внимания.

Фильтрация безопасности групповой политики позволяет контролировать, к каким пользователям и компьютерам применяется GPO. Например, если вы не хотите, чтобы определенные компьютеры имели политику блокировки экрана, вы можете использовать фильтрацию безопасности.

Каждый GPO имеет раздел фильтрации безопасности, и по умолчанию все аутентифицированные пользователи имеют право применять GPO.

Как исключить пользователей из GPO, используя фильтрацию безопасности

В этом примере я собираюсь использовать фильтрацию безопасности, чтобы исключить пользователей из GPO. Я использую политику панели управления, которую создал на предыдущем уроке.

У меня есть политика «Панель управления блокировкой пользователя», которая применяется ко всем пользователям домена.

Некоторые пользователи позвонили в службу поддержки и очень расстроены тем, что не могут получить доступ к параметрам электропитания из панели управления.

Начальник одобрил доступ, поэтому мне нужен способ исключить этих пользователей из политики.

Нет проблем.

Я создам группу безопасности, добавлю одобренных пользователей и использую фильтрацию безопасности, чтобы запретить группе доступ к GPO.

В GPO нажмите на вкладку Делегирование.

Нажмите кнопку «Дополнительно» в нижнем правом углу.

Нажмите на "Добавить" и добавьте группу безопасности.

Для разрешений выберите «Запретить» для «применения групповой политики».

Все готово.

Теперь любому члену этой группы будет отказано в доступе к GPO. В этом примере пользователю будет отказано в доступе к групповой политике, которая блокирует доступ к панели управления, что позволяет пользователю получить к ней доступ.

Как применить GPO к конкретным пользователям или компьютерам с помощью фильтрации безопасности

В этом примере я использую фильтрацию безопасности для применения GPO к конкретной группе пользователей.

Сначала создайте группу безопасности для пользователей или компьютеров, к которым вы хотите применить GPO.

Перейдите в GPO, а затем в фильтрацию безопасности.

Нажмите кнопку «Добавить» и выберите вашу группу.

Затем нажмите на вкладку делегирования в верхней части GPO.

Нажмите кнопку «Дополнительно» в правом нижнем углу.

Для "Аутентифицированных пользователей" снимите отметку с "Применить групповую политику". Но убедитесь, что "Чтение" все еще отмечено.

Готово.

Теперь GPO будет применяться только к добавленной группе безопасности.

Это завершает урок 5. В последнем уроке я покажу вам, как устранять неполадки с групповой политикой.

Урок 6
Устранение неисправностей групповой политики

В этом уроке вы научитесь устранять неполадки с групповыми политиками.

Во-первых, вот несколько быстрых советов, которые часто приводят к проблемам с групповой политикой.

  • Заполнение слишком большого количества настроек в одном большом GPO
  • Использование блочной унаследования
  • Использование обработки по обратной связи
  • Изменение разрешений делегации
  • Плохой дизайн OU.

Не усложняйте групповую политику, делайте ее простой, и вы сможете избежать большинства проблем с GPO. Для получения дополнительных советов обратитесь к моему руководству по лучшим практикам GPO.

Шаги по устранению неполадок групповой политики

1. Выполните команду gpupdate

На компьютере с проблемами GPO войдите в систему и выполните команду gpupdate /force. Команда /force повторно применяет все настройки политики.

Команда должна выполниться без ошибок. Иногда выполнение этой команды может решить проблему или заставить групповую политику примениться. В зависимости от политики может возникнуть предложение перезагрузить систему до того, как политика вступит в силу.

2. Проверьте доступ к sysvol

С клиентского компьютера протестируйте доступ к директории sysvol.

Нажмите на "Пуск", затем введите UNC путь к вашему контроллеру домена. Имя хоста моего контроллера домена - DC1, поэтому UNC путь - \DC1. Нажмите на SYSVOL, ваш домен, а затем на политики. Вы должны увидеть список папок с случайными числами и буквами, это и есть GPO.

Если вы не видите или не можете получить доступ к этой папке, это помешает работе GPO.

Убедитесь, что вы тестируете доступ к sysvol по имени хоста, а не по IP-адресу.

3: Проверьте журналы событий

На клиентском компьютере проверьте системные журналы событий. Журналы событий могут предоставить детали о том, почему GPO не сработал. Приведенный ниже пример является ошибкой из GPO, который пытался установить браузер Chrome.

4. Команда GPResult

Команда gpresult покажет вам, какие групповые политики применяются к пользователю и компьютеру. Эта команда отлично подходит для устранения неполадок с GPO, это лучший способ определить, какие GPO применяются. Вам нужно знать, какие GPO вы ожидаете увидеть, что можно определить из GPMC.

Чтобы увидеть компьютерные политики GPO, вы должны запустить командную строку с правами администратора.

В командной строке выполните gpresult /r.

Команда должна вернуть настройки компьютера и примененные объекты групповой политики.

На скриншоте выше вы можете увидеть, что к компьютеру применено 4 GPO.

Теперь закройте командную строку и запустите её как обычный пользователь. Например, я вошел как пользователь "Adam.Reed".

На скриншоте выше вы можете увидеть, что к пользователю Адаму Риду применены 3 групповые политики, но одна не была применена из-за фильтрации безопасности.

5. Использование RSOP (Результирующий Набор Политики).

Используйте эту команду только если вы проверили, что GPO применены с помощью команды gpresult.

Эта команда покажет вам, какие изменения в политике вносятся из примененных GPO. Так что, опять же, это не поможет, если GPO даже не применяются. Существует несколько шагов для использования этой команды, вы можете обратиться к моему руководству RSoP для получения полных инструкций.

6. Порядок очередности GPO

Возможно, у вас нет ошибок, все GPO применяются как ожидалось, но политика по-прежнему неправильная.

Вы проверяли порядок очередности GPO в консоли управления?

Помните, что последнее применённое GPO имеет приоритет. Другими словами, GPO, который находится ближе всего к объекту (пользователю или компьютеру), выигрывает.

Надеюсь, вам понравилось это руководство по групповым политикам. Если у вас есть комментарии или вопросы, напишите их ниже в разделе комментариев.

Рекомендуемое чтение:

  • Настройка центрального хранилища групповой политики
  • Удалить пользователей из группы локальных администраторов в GPO