Что такое групповая политика?
Групповая политика - это инструмент, который доступен администраторам под управлением Windows 2000 или более поздней версии домена Active Directory . Это позволяет централизованно управлять настройками на клиентских компьютерах и серверах, подключенных к домену, а также обеспечивает элементарный способ распространения программного обеспечения.
Параметры сгруппированы в объекты, называемые объектами групповой политики (GPO). Объекты групповой политики связаны с подразделением Active Directory и могут применяться к пользователям и компьютерам. Объекты групповой политики нельзя применять непосредственно к группам, хотя вы можете использовать фильтрацию безопасности или таргетинг на уровне элементов для фильтрации приложений политики на основе членства в группах.
Это круто, что это может сделать?
Что-нибудь.
Серьезно, вы можете делать все что угодно пользователям или компьютерам в вашем домене. Существуют сотни предустановленных настроек для таких вещей, как перенаправление папок, сложность пароля, настройки электропитания, сопоставления дисков, шифрование дисков, Центр обновления Windows и так далее. Все, что вы не можете настроить с помощью предварительно определенных настроек, вы можете контролировать с помощью сценариев. Пакетные сценарии и сценарии VBScript поддерживаются на всех поддерживаемых клиентах, а сценарии PowerShell можно запускать на хостах Windows 7.
Профессиональный совет: на самом деле вы можете запускать сценарии запуска PowerShell на хостах Windows XP и Windows Vista, если на них установлен PowerShell 2.0. Вы можете создать командный файл, который вызывает скрипт с этим синтаксисом:
powershell Set-ExecutionPolicy RemoteSigned
powershell \\\\server\share\script.ps1
powershell Set-ExecutionPolicy Restricted
Первая строка позволяет запускать неподписанные сценарии с удаленных общих ресурсов на этом хосте, а вторая строка вызывает сценарий из командного файла. Третья строка устанавливает политику обратно на ограниченную (по умолчанию) для максимальной безопасности.
Как применяются объекты групповой политики?
Объекты групповой политики применяются в предсказуемом порядке. Локальные политики применяются в первую очередь. Существуют политики, установленные на локальной машине через gpedit.msc. Правила сайта применяются вторыми. Политики домена применяются третьим, а политики OU - четвертым. Если объект вложен в несколько OU, то объекты GPO применяются в первую очередь к OU, ближайшим к корню.
Имейте в виду, что в случае конфликта последний примененный объект групповой политики «выигрывает». Это означает, например, что политика, связанная с подразделением, в котором находится компьютер, выиграет, если возникнет конфликт между настройкой в этом объекте групповой политики и настройкой, связанной с родительским подразделением.
Скрипты входа и запуска кажутся классными, как они работают?
Входа в систему или запуска сценария может жить в любой сетевой ресурс до тех пор , как Domain Usersи Domain Computersгруппы имеют доступ на чтение к общему ресурсу , что они находятся на. Традиционно они проживают \\domain.tld\sysvol, но это не является обязательным требованием.
Сценарии запуска запускаются при запуске компьютера. Они запускаются как системная учетная запись на локальном компьютере. Это означает, что они получают доступ к сетевым ресурсам как учетная запись компьютера. Например, если вы хотите сценарий запуска , чтобы иметь доступ к сетевому ресурсу , на долю которого есть UNC из \\server01\share1и имя компьютера было WORKSTATION01бы вы должны убедиться , что WORKSTATION01$имел доступ к этой акции. Поскольку этот скрипт запускается как системный, он может выполнять такие вещи, как установка программного обеспечения, изменение привилегированных разделов реестра и изменение большинства файлов на локальном компьютере.
Сценарии входа в систему выполняются в контексте безопасности локально вошедшего в систему пользователя. Надеемся, что ваши пользователи не являются администраторами, так что это означает, что вы не сможете использовать их для установки программного обеспечения или изменения параметров защищенного реестра.
Сценарии входа и запуска были краеугольным камнем Windows 2003 и более ранних доменов, но их полезность снизилась в более поздних выпусках Windows Server. Предпочтения групповой политики дают администраторам гораздо лучший способ обрабатывать сопоставления дисков и принтеров, ярлыки, файлы, записи реестра, членство в локальной группе и многое другое, что можно сделать только в сценарии запуска или входа в систему. Если вы думаете, что вам может понадобиться использовать сценарий для простой задачи, возможно, вместо него есть групповая политика или предпочтение. В настоящее время в доменах с клиентами Windows 7 (или более поздними версиями) только сложные задачи требуют сценариев запуска или входа.
Я нашел классный объект групповой политики, но он относится к пользователям, я хочу, чтобы он применялся к компьютерам!
Да, знаю. Я был там. Это особенно распространено в академической лаборатории или других сценариях общего компьютера, где вы хотите, чтобы некоторые пользовательские политики для принтеров или аналогичных ресурсов основывались на компьютере, а не на пользователе. Угадай что, тебе повезло! Вы хотите включить параметр объекта групповой политики для режима обратной связи групповой политики .
Пожалуйста.
Вы сказали, что я могу использовать это для установки программного обеспечения, верно?
Да, вы можете. Однако есть некоторые предостережения. Программное обеспечение должно быть в формате MSI , а любые изменения в нем должны быть в файле MST . Вы можете создать MST с помощью программного обеспечения, такого как ORCA или любого другого редактора MSI. Если вы не сделаете преобразование, ваш конечный результат будет таким же, как запускmsiexec /i <path to software> /q
Программное обеспечение также устанавливается только при запуске, поэтому это не очень быстрый способ распространения программного обеспечения, но это бесплатно. В малобюджетной лабораторной среде я выполнил запланированное задание (через GPO), которое перезагрузит каждый лабораторный компьютер в полночь со случайным смещением в 30 минут. Это гарантирует, что программное обеспечение, как минимум, устареет в этих лабораториях на один день. Тем не менее, программное обеспечение, такое как SCCM , LANDesk , Altaris или что-либо еще, что может «подталкивать» программное обеспечение по требованию, является предпочтительным.
Как часто это применяется?
Клиенты обновляют свои объекты групповой политики каждые 90 минут с 30-минутным рандомизацией. Это означает, что по умолчанию время ожидания может составлять до 120 минут. Кроме того, некоторые параметры, такие как сопоставление дисков, перенаправление папок и параметры файлов, применяются только при запуске или входе в систему. Групповая политика предназначена для долгосрочного планового управления, а не для мгновенных быстрых решений.
Контроллеры домена обновляют свою политику каждые пять минут.