Group Policy
Aleksei Kromski
Что такое групповая политика?
Групповая политика (GP) - это функция управления Windows, которая позволяет контролировать конфигурации нескольких пользователей и компьютеров в среде Active Directory. С помощью GP все организационные единицы, сайты или домены могут быть настроены из одного центрального места. Эта функция помогает сетевым администраторам в больших средах Windows экономить время, поскольку им не нужно проходить через каждый компьютер, чтобы задать новую конфигурацию.
Что такое консоль управления групповой политикой?
Это коллекция параметров групповой политики, определяет поведение группы пользователей или компьютеров. Объекты GPO связаны с контейнерами AD, включая локальный компьютер, сайт, домен и организационную единицу. Групповыми политиками во всех возможностях Active Directory можно управлять с помощью консоли управления групповыми политиками (GPMC) - встроенного инструмента администратора Windows Server.
Интерфейс программы очень просто и понятный для пользователя, чем может очень быстро завоевать доверие у пользователя. В данной утилите вы можете легко и быстро настроить все политики для выше указанных областей. Кроме того, вы можете создавать резервные копии, восстанавливать и импортировать GPO.
Чтобы открыть GPMC, перейдите в диспетчер Windows Server Manager > откройте "Меню инструментов" > "Управление групповой политикой".
Как установить консоль управления групповой политикой?
Как уже упоминалось, GMPC встроена в Windows Server, поэтому ее установка - очень простой процесс
- Откройте диспетчер сервера. По умолчанию приложение Server Manager закреплено на панели задач. Но если вы не можете найти его там, вы можете удерживать комбинацию клавиш Win + R, чтобы открыть окно "Run". Затем введите "Server manager" и нажмите "Ok". - На панели диспетчера сервера нажмите "Add roles and features".
- Откроется мастер добавления функций и ролей. Оставьте для параметра "Installation type" значения по умолчанию: "Role-based or Feature-based installation."
- Выберите сервер из пула серверов. Найдите сервер под управлением Windows, на котором вы хотите установить GPMC. Нажмите "Next".
- Пропустите "server roles" и перейдите к "features". В разделе "Features" вы должны найти инструмент "Group Policy Managment ". Перейдите, поставьте галочку, нажмите "Next" и нажмите "Install".
- Процесс установки должен занять несколько минут.
Как использовать консоль управления групповой политикой?
Чтобы открыть GPMC, снова зайдите в Инструменты администратора (Win + R и введите "Adminstration tools"), найдите и дважды щелкните на Консоль управления групповой политикой.
Чтобы просмотреть список всех GPO, настроенных в домене: Перейдите на левую панель GPMC. В разделе выберите "Domain" > и перейдите к "Group policy objects". Здесь вы заметите два типа GPO по умолчанию: Политика домена по умолчанию и Политика контроллеров домена по умолчанию. Первая связана с доменом, а вторая - с контроллером домена.
В этой структуре, включая политики контроллеров домена и доменов, можно увидеть состояние их GPO, связанных GPO, наследование GPO и делегирование.
Как создать новый объект групповой политики (GPO)?
В качестве лучшей практики избегайте изменения политики домена по умолчанию и политики контроллеров домена по умолчанию, поскольку вы всегда можете вернуть GPO к их первоначальной конфигурации.
При создании нового GPO нужно учитывать несколько моментов.
- Дайте новому GPO имя (вы можете использовать имя другого GPO в качестве источника). - Определите, куда привязать новый GPO, будь то OU, домен или сайт.
Для создания:
- Щелкните правой кнопкой мыши на OU и выберите опцию "Create a GPO in this domain, and Link it here...". - Дайте новому GPO имя и нажмите "Ок". - После сохранения ваш новый GPO будет мгновенно включен и связан с указанным OU.
Как редактировать объект групповой политики?
Чтобы отредактировать GPO, перейдите в инвентарь GPO и найдите GPO, который вы хотите отредактировать, нажмите на нем правой кнопкой мыши и выберите "Edit".
Управление групповой политикой автоматически откроется в редакторе в новом окне.
Редактор управления групповой политикой также является важным инструментом администратора Windows, который позволяет пользователям изменять политики конфигурации компьютеров и пользователей.
Структура редактора разделена на два типа конфигурации GPO: "Пользователь" и "Компьютер".
Конфигурация пользователя устанавливается при входе пользователя в систему, в то время как конфигурация компьютера применяется к ОС Windows при ее запуске.
Конфигурация GPO: Политики и предпочтения
Конфигурация GPO: Политики и предпочтения
структура редактора GPM Editor далее делится на Policies и Preferences, независимо от того, находитесь ли вы в конфигурации User или Computer.
В чем их различия?
Policies: Политики были первоначальным методом глобальной настройки параметров. Когда политика применяется к компьютеру или пользователю, конфигурации могут быть изменены или удалены, но они вернутся к своему значению, определенному в групповой политике. Эти параметры имеют больший приоритет, чем параметры конфигурации приложения, а иногда они даже "выделены серым цветом". Внутри политик вы найдете Настройки ПО (применение конфигурации ПО к компьютерам/пользователям), Настройки Windows (для параметров безопасности или учета Windows) и Административные шаблоны (управление ОС и пользователем). Политики проверяются и применяются каждые 90 минут с помощью процесса под названием "Фоновое обновление".
Preferences: Этот параметр был включен с Windows 2008 с идеей заменить пользовательские сценарии входа в систему, которые использовались для добавления функциональности. Эти параметры могут применяться только по желанию и не "привязываются" к политике с помощью фонового обновления (как это делают политики). Предпочтения устанавливаются только при запуске компьютера или при первом входе пользователя в систему, но позволяют пользователю более гибко изменять и удалять их.
В Preferences можно настроить параметры Windows и параметры панели управления. Предпочтения могут быть настроены только в GPO домена, в то время как политики могут быть установлены как для GPO домена, так и для локальных GPO.
Приоритет и наследование GPO
Как уже упоминалось ранее, при создании нового GPO вам также необходимо связать его с каким-либо местом, например, с доменом, сайтом или OU. Но вы также можете иметь несколько GPO, связанных с разными доменами, сайтами или OU. Но чтобы разрешить это, вам нужно установить приоритеты. Приоритет GPO позволяет настраивать GPO с различными уровнями приоритетов. По умолчанию, GPO с наибольшим приоритетом имеют те, которые связаны с OU. Меньший приоритет имеют те, которые связаны с доменом, а затем с сайтом. Наименьший приоритет отдается локальным групповым политикам. Это означает, что GPO, связанные с OU на самом высоком уровне AD, будут обработаны первыми. Чтобы увидеть объекты GPO, связанные с определенным доменом, сайтом или OU, перейдите на вкладку Связанные объекты групповой политики
Если связан один GPO, вы должны увидеть его на этой вкладке. Если их несколько, вы увидите все GPO с соответствующим порядковым номером ссылки. Чем выше номер связи GPO, тем меньше у него приоритет. Например, GPO с порядковым номером ссылки 1 всегда будет иметь приоритет перед GPO с порядковым номером ссылки 2. Чтобы изменить приоритет GPO, можно изменить номер Link Order, переместив GPO вверх или вниз. По умолчанию все параметры групповой политики, связанные с родительским объектом (например, сайт, домен или OU), наследуются дочерними объектами (домен, OUs или дочерние OU) в иерархии AD. Вы можете просмотреть все наследуемые GPO на вкладке Наследование групповой политики.