Group Policy

Aleksei Kromski

Что такое групповая политика?

Групповая политика (GP в сокращении) – это приложение, которое позволяет создать, удалить и отредактировать конфигурации множество пользователей и машин в средне Active Directory (AD). В том числе, GP позволяет настроить все сайты или домены. Функционал данного приложения подходит и нужен системным администраторам, которые работают в экосистеме Microsoft, так как GP очень сильно экономит время.

Что такое консоль управления групповой политикой?

Более подробнее программу по настройке групповых политик можно описать так: это коллекция параметров, которая определяет поведение группы пользователей или компьютеров. GPO очень крепко связаны с контейнерами Active Directory, включая локальный компьютер, сайт, домен и организационную среду. Групповыми политиками во всех возможностях Active Directory можно управлять с помощью (GPMC) - встроенного инструмента администратора Windows Server.

Интерфейс программы был создан и спроектирован очень просто и понятно для пользователя (системного администратора), чем может очень быстро завоевать доверие у пользователя, так как интерфейс не требует дополнительных вложений по поиску информации, как сделать какую-либо настройку. В данной утилите вы можете легко и быстро настроить все политики для выше указанных областей. Кроме того, вы можете создавать резервные копии, восстанавливать и импортировать GPO настройки.

Как установить консоль управления групповой политикой?

Для большинства пользователей, которые уже работали с windows server будет интуитивно понятно, как установить GMPC.

Установка является очень простой, так как она уже встроена в Windows Server, поэтому ее установка - очень простой процесс.

- Откройте диспетчер сервера. По умолчанию приложение Server Manager закреплено на панели задач. Но если вы не можете найти его там, вы можете удерживать комбинацию клавиш Win + R, чтобы открыть окно "Run". Затем введите "Server manager" и нажмите "Ok". – После чего вы увидите рабочее окно с Server Manager. На панели диспетчера сервера нажмите "Add roles and features".

- Откроется мастер добавления функций и ролей. Оставьте для параметра "Installation type" значения по умолчанию: "Role-based or Feature-based installation."

- Выберите сервер из пула серверов. Найдите сервер под управлением Windows, на котором вы хотите установить GPMC. Нажмите "Next".

- Пропустите "server roles" и перейдите к "features". В разделе "Features" вы должны найти инструмент "Group Policy Managment ". Перейдите, поставьте галочку, нажмите "Next" и нажмите "Install".

- Процесс установки должен занять несколько минут.

Как использовать консоль управления групповой политикой?

Чтобы открыть GPMC, зайдите в Инструменты администратора (Win + R и введите "Adminstration tools"), найдите и дважды щелкните на Консоль управления групповой политикой (Group Policy manager)

Чтобы просмотреть список всех GPO, настроенных в домене: Перейдите на левую панель GPMC. В разделе выберите "Domain" > и перейдите к "Group policy objects". Здесь вы заметите два типа GPO по умолчанию: Политика домена по умолчанию и Политика контроллеров домена по умолчанию. Первая связана с доменом, а вторая - с контроллером домена.

В этой структуре, включая политики контроллеров домена и доменов, можно увидеть состояние их GPO, связанных GPO, наследование GPO и делегирование.

Как создать новый объект групповой политики (GPO)?

В качестве лучшей практики избегайте изменения политики домена по умолчанию и политики контроллеров домена по умолчанию, поскольку вы всегда можете вернуть GPO к их первоначальной конфигурации.

При создании нового GPO нужно учитывать несколько моментов.

- Дайте новому GPO имя (вы можете использовать имя другого GPO в качестве источника). - Определите, куда привязать новый GPO, будь то OU, домен или сайт.

Для создания:

- Щелкните правой кнопкой мыши на OU и выберите опцию "Create a GPO in this domain, and Link it here...". - Дайте новому GPO имя и нажмите "Ок". - После сохранения ваш новый GPO будет мгновенно включен и связан с указанным OU.

Как редактировать объект групповой политики?

Чтобы отредактировать GPO, перейдите в инвентарь GPO и найдите GPO, который вы хотите отредактировать, нажмите на нем правой кнопкой мыши и выберите "Edit".

Управление групповой политикой автоматически откроется в редакторе в новом окне.

Редактор управления групповой политикой также является важным инструментом администратора Windows, который позволяет пользователям изменять политики конфигурации компьютеров и пользователей.

Структура редактора разделена на два типа конфигурации GPO: "Пользователь" и "Компьютер". Конфигурация пользователя устанавливается при входе пользователя в систему, в то время как конфигурация компьютера применяется к ОС Windows при ее запуске.

В настройках данной панели вы можете: включить, выключить и оставить настройка, как "не настроено". При желании, вы можете оставить комментарий на данной политике. Также в разделе опций могут быть дополнительный настройки, которые расширяют функционал

Конфигурация GPO: Policies и Preferences

структура редактора GPM Editor далее делится на Policies и Preferences, независимо от того, находитесь ли вы в конфигурации User или Computer.

В чем их различия?

Policies: Политики были первоначальным методом глобальной настройки параметров. Когда политика применяется к компьютеру или пользователю, конфигурации могут быть изменены или удалены, но они вернутся к своему значению, определенному в групповой политике. Эти параметры имеют больший приоритет, чем параметры конфигурации приложения, а иногда они даже "выделены серым цветом". Внутри политик вы найдете Настройки ПО (применение конфигурации ПО к компьютерам/пользователям), Настройки Windows (для параметров безопасности или учета Windows) и Административные шаблоны (управление ОС и пользователем). Политики проверяются и применяются каждые 90 минут с помощью процесса под названием "Фоновое обновление".

Preferences: Этот параметр был включен с Windows 2008 с идеей заменить пользовательские сценарии входа в систему, которые использовались для добавления функциональности. Эти параметры могут применяться только по желанию и не "привязываются" к политике с помощью фонового обновления (как это делают политики). Предпочтения устанавливаются только при запуске компьютера или при первом входе пользователя в систему, но позволяют пользователю более гибко изменять и удалять их.

В Preferences можно настроить параметры Windows и параметры панели управления. Предпочтения могут быть настроены только в GPO домена, в то время как политики могут быть установлены как для GPO домена, так и для локальных GPO.

Приоритет и наследование GPO

Как уже упоминалось ранее, при создании нового GPO вам также необходимо связать его с каким-либо местом, например, с доменом, сайтом или OU. Но вы также можете иметь несколько GPO, связанных с разными доменами, сайтами или OU. Но чтобы разрешить это, вам нужно установить приоритеты. Приоритет GPO позволяет настраивать GPO с различными уровнями приоритетов. По умолчанию, GPO с наибольшим приоритетом имеют те, которые связаны с OU. Меньший приоритет имеют те, которые связаны с доменом, а затем с сайтом. Наименьший приоритет отдается локальным групповым политикам. Это означает, что GPO, связанные с OU на самом высоком уровне AD, будут обработаны первыми. Чтобы увидеть объекты GPO, связанные с определенным доменом, сайтом или OU, перейдите на вкладку Связанные объекты групповой политики

Если связан один GPO, вы должны увидеть его на этой вкладке. Если их несколько, вы увидите все GPO с соответствующим порядковым номером ссылки. Чем выше номер связи GPO, тем меньше у него приоритет. Например, GPO с порядковым номером ссылки 1 всегда будет иметь приоритет перед GPO с порядковым номером ссылки 2. Чтобы изменить приоритет GPO, можно изменить номер Link Order, переместив GPO вверх или вниз. По умолчанию все параметры групповой политики, связанные с родительским объектом (например, сайт, домен или OU), наследуются дочерними объектами (домен, OUs или дочерние OU) в иерархии AD. Вы можете просмотреть все наследуемые GPO на вкладке Наследование групповой политики.