Примените локальную групповую политику к пользователям, не являющимся администраторами, или к одному пользователю с помощью MLGPO.

Вы можете использовать локальную групповую политику для настройки параметров Windows или пользователей на компьютерах в небольших сетях рабочих групп (без домена AD). Ранее основным недостатком локального объекта групповой политики была невозможность применить параметры политики к конкретному локальному пользователю или группе. Например, если вы отключили USB-устройства в локальном объекте групповой политики, эта политика применяется как к учетным записям пользователей, так и к учетным записям локального администратора.

Несколько объектов локальной групповой политики (MLGPO) позволяют применять настройки локального объекта групповой политики к разным локальным пользователям или группам. В этой статье мы покажем, как применить локальный объект групповой политики к одному локальному пользователю или пользователям, которые не являются членами локальных администраторов, использующих MLGPO.

Вы можете назначить MLGPO:

• Любой локальный пользователь (по имени);

• Члены локальной группы администраторов;

• Все пользователи, которые не являются членами локальной группы администраторов.

gpedit.msc

Чтобы создать новую локальную групповую политику для пользователя или группы:

1. Нажмите Win + R ->

   mmc

   ;

2. Нажмите «Файл» -> «Добавить/удалить оснастку»
   .

   

3. Выберите Редактор объектов групповой политики в списке доступных оснасток и нажмите Добавить;
   

   

4. Нажмите Обзор и перейдите на вкладку Пользователи. Вы можете выбрать локальную группу или пользователя, к которому будет применена политика. Если локальный объект групповой политики уже назначен пользователю или группе, вы увидите Да в столбце Объект групповой политики существует. Чтобы применить политику ко всем локальным пользователям, кроме администраторов, выберите Не администраторы;
   

   

5. Убедитесь, что выбран параметр «Локальный компьютер\Неадминистраторы», и нажмите Готово;
   

   

6. Появится консоль редактора GPO с пользовательскими настройками. Здесь вы можете настроить параметры локальной политики, которые будут применяться к пользователям, не являющимся администраторами;
   

   

7. Настройте нужные параметры групповой политики для локальных пользователей.

Если вы хотите удалить локальную политику для группы, выберите группу на вкладке Пользователи и нажмите Удалить объект групповой политики.

Основным недостатком локальных объектов групповой политики является то, что их трудно переместить на другие компьютеры (в отличие от доменных объектов групповой политики, которые хранятся на контроллерах домена AD и редактируются централизованно). Для переноса настроек MLGPO вы можете использовать официальный инструмент Microsoft — lgpo.exe (он является частью Security Compliance Manager и Microsoft Security Baseline).

Чтобы экспортировать все настроенные локальные политики в файлы, используется эта команда:

lgpo /b c:\GPObackup\

Чтобы импортировать настройки локальной групповой политики на другой компьютер, укажите его GUID (папку политики вы можете найти в полученных файлах по известному SID группы «Неадминистраторы» —

S-1-5-32-545

). Чтобы применить настройки на целевом компьютере, используется следующая команда:

lgpo /parse /u C:\GPObackup\{GUID}\DomainSysvol\GPO\User\registry.pol

Затем просто обновите настройки GPO:

gpupdate /force

Также вы можете использовать

LocalGPO.wsf

скрипт для экспорта/импорта MLGPO.

Чтобы экспортировать:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Non-Administrators

Чтобы импортировать:

cscript LocalGPO.wsf /Path:C:\GPObackup\{GUID}