Korzystanie z obiektów zasad grupy (Grupa Policy Objects) w systemie Windows Server

Zamierzamy zająć się bardzo ważnym tematem dla administratorów domen, a są to zasady grupowe lub obiekty GPO, ale:

Co to jest obiekt zasad grupy (GPO)? Do czego służą?GPO, jak sama nazwa wskazuje, są dyrektywy, które możemy zastosować do komputera lub użytkownika aby wykonać określone zadania lub zastosować zmiany, które chcemy odzwierciedlić, na przykład możemy zastosować GPO, aby tapeta korporacyjna była odzwierciedlona na komputerach wszystkich użytkowników lub możemy zastosować GPO, aby na niektórych komputerach uruchomić określone program, dlatego GPO pozwala nam jako administratorom ustawiać parametry w naszej sieci domenowej.

W tym samouczku wyjaśnimy, w jaki sposób tworzyć, edytować lub usuwać obiekty zasad grupy zasad.

1. Jak stworzyć GPO

Poznamy procedurę dla utwórz podstawowy GPO na Windows Server 2008 R2 (ten sam schemat jest używany w systemie Windows Server 2012). Musimy wejść do panelu Zarządzanie polityką grupy, do tego mamy dwie opcje, pierwsza to wejście przez:

• Początek
• Narzędzia do zarządzania
• Administracja zasadami grupy:

Inną opcją do wprowadzenia jest polecenie Uruchom:

Okna + R

Piszemy co następuje:

 gpmc.msc

Wprowadź klucz i uzyskujemy dostęp do panelu GPO:

W oknie Administracja zasadami grupy wyświetlamy domenę, w której pracujemy, kliknij prawym przyciskiem myszy i wybierz Utwórz obiekt zasad grupy i połącz go tutaj:

Możemy również wykonać tę akcję, wybierając domenę, wybierz z menu akcji Utwórz GPO i połącz to tutaj

Następnym krokiem jest nadanie naszemu GPO nazwy, aby zidentyfikować akcję, którą ten GPO ma podjąć:

Klikamy Akceptować.

2. Skonfiguruj sprzęt i ustawienia użytkownika

Jak widać, wyświetlane jest okno z dwoma parametrami, aby określić ograniczenia lub modyfikacje.

Konfiguracja sprzętuPozwala nam to ograniczyć dostęp lub uniemożliwić modyfikacje sprzętu, niezależnie od tego, który użytkownik zalogował się do tego urządzenia.

Ustawienia użytkownikaUmożliwia wprowadzanie modyfikacji lub ograniczanie uprawnień do określonego użytkownika, niezależnie od urządzenia, na którym się zalogował.

3. Edytuj dowolny parametr do obiektu GPO urządzenia lub użytkownika

Najpierw musimy jasno określić, jakie ograniczenia lub zasady zamierzamy zastosować (zespół lub użytkownik). Zobaczmy kilka praktycznych przykładów:

Proszą nas jako administratorów o wyłączenie automatycznego odtwarzania na komputerze, dla nich musimy podążać następującą ścieżką.

Po kliknięciu prawym przyciskiem myszy na nasz GPO i kliknięciu Edytuj, zaczynamy szukać opcji Konfiguracja sprzętu, do tego mamy 2 opcje:

Załóżmy, że wybieramy opcję 1 znajdującą się w prawym panelu, musimy dwukrotnie kliknąć Konfiguracja sprzętu, Następnie w Dyrektywy, Póżniej w Szablony administracyjne i tam poszukaj żądanej opcji, jak widzimy, mamy kilka opcji:

• Składniki systemu:

Konfiguracja składników systemu operacyjnego (Eksplorator Windows, Kalendarz itp.).

• Drukarki:

Zarządza konfiguracją drukarek w domenie.

• Panel sterowania:

Zarządza Panelem sterowania, umożliwiając pokazywanie lub nie elementów.

• Internet:

Skonfiguruj parametry sieciowe, w tym DNS.

• System:

Zarządzaj różnymi opcjami w komponentach systemu.

• Wszystkie wartości:

Pokazuje wszystkie nieskategoryzowane opcje.

W naszym przykładzie musimy wejść w składniki Windows, a następnie wybrać opcję Zasady autoodtwarzania:

Dwukrotnie klikamy na nią i wybieramy wymaganą opcję, w tym przypadku Wyłącz autoodtwarzanie:

Klikamy dwukrotnie, wybieramy opcję Włączyći możemy wybrać, w których jednostkach dezaktywować wspomnianą reprodukcję:

Aby zakończyć klikamy Zastosować a potem w Akceptować.

Musimy wziąć pod uwagę coś bardzo ważnego, Obiekty GPO można zastosować do całej domeny lub do określonej jednostki organizacyjnej (OU).

W naszym przykładzie zastosujemy testowy obiekt GPO do jednostki organizacyjnej sprzętu testowego (ta jednostka organizacyjna została utworzona w domenie), w tym celu w Zarządzanie polityką grupy, lokalizujemy jednostkę organizacyjną, na której chcemy zastosować nasz obiekt GPO (w tym przypadku Sprzęt testowy).

Klikamy prawym przyciskiem myszy na jednostkę organizacyjną i wybieramy Połącz istniejący obiekt zasad grupy.

Wybieramy utworzony przez nas obiekt GPO i klikamy Akceptować.

Z tym do sprzętu lub przedmiotów znajdujących się w jednostce organizacyjnej „Sprzęt testowy” Obowiązuje ich ograniczenie autoodtwarzania.

Jeśli wręcz przeciwnie, proszą nas jako administratorów o zarządzanie parametrem dotyczącym użytkownika, proces jest identyczny z opisanym powyżej, z tą różnicą, że opcje na poziomie użytkownika są znacznie szersze.

Załóżmy, że musimy ukryć wszystkie elementy na pulpicie. Aby to zrobić, musimy edytować nasz GPO (kliknij prawym przyciskiem myszy, edytuj) i wybierz Ustawienia użytkownika:

Klikamy dwukrotnie i wybieramy, Dyrektywy a następnie Szablony administracyjne. Wyświetlane są różne opcje, które mamy na poziomie użytkownika.

• Udostępnione foldery:

Zarządzaj parametrami współdzielonych folderów.

• Składniki systemu Windows:

Zarządzaj komponentami w konfiguracji systemu operacyjnego.

• Biurko:

Zarządzaj zarówno pulpitem systemu Windows, jak i znajdującymi się na nim ikonami.

• Menu Start i pasek zadań:

Umożliwia zarządzanie wszystkimi opcjami w menu Start i na pasku zadań.

• Panel sterowania:

Pozwala zarządzać tym, co jest wyświetlane, a tym, co nie jest wyświetlane w Panelu sterowania.

• Internet:

Zarządzaj parametrami sieci.

• System:

Ustawia opcje w ustawieniach systemu.

W naszym przypadku musimy wpisać opcję Biurko i tam wybierz opcję "Ukryj i wyłącz wszystkie elementy na pulpicie".

Klikamy dwukrotnie i wybieramy opcję Włączyć, następnie klikamy Zastosować a potem w Akceptować.

Wreszcie, aby GPO spełniał swoją funkcję w profilu użytkownika, musimy wiedzieć, w jakiej OU (Jednostce Organizacyjnej) jest użytkownik, gdy już mamy jasność co do tych informacji, umieszczamy OU w oknie Zarządzanie polityką grupy, klikamy prawym przyciskiem myszy, wybieramy opcję Połącz istniejący obiekt zasad grupy.

Wybieramy GPO i klikamy Akceptować.

Jest to procedura tworzenia i łączenia obiektów zasad grupy na komputerze lub użytkowniku w systemie Windows Server

4. Jak edytować obiekty zasad grupy

Proces edycji obiektu zasad grupy jest bardzo prosty, musimy otworzyć okno „Administracja zasadami grupy” za pomocą opcji:

• Początek
• Narzędzia do zarządzania
• Zarządzanie polityką grupy

Lub możemy również otworzyć go szybciej za pomocą polecenia Uruchom, które pojawia się, naciskając:

Okna + R

I napisz gpmc.msc i naciśnij Enter lub Akceptuj:

Gdy już znajdujemy się w oknie Zarządzanie polityką grupy Zobaczymy, że w lewym panelu utworzone są obiekty GPO:

Możemy po prostu kliknąć prawym przyciskiem myszy Edytować:

Lub wybierając GPO i z menu Akcja, wybierać Edytować:

Tam dostosowujemy żądane zmiany zgodnie z wymaganiami i akceptujemy.

KlasZwróć uwagę na te wskazówki dotyczące GPO:

• Bardzo ważne jest, aby nie modyfikować domyślnego obiektu zasad grupy kontrolera domeny ”Domyślna polityka domeny ” ponieważ jeśli dokonamy zmian w tym GPO, możemy mieć niestabilne wyniki w całej naszej Domenie, co przyniesie nam problemy i złe czasy.

• Aby GPO odniósł pożądany efekt, musimy połączyć go z domeną lub OU (Jednostką Organizacyjną).

• Musimy mieć uprawnienia administratora, aby tworzyć, modyfikować lub usuwać obiekty zasad grupy w naszej domenie.

Istnieje kilka klas obiektów zasad grupy, które musimy wziąć pod uwagę w naszych rolach jako administratorów lub asystentów:

• GPO na poziomie zespołu lokalnego:

Dotyczą one tylko urządzenia, do którego zostały przypisane, niezależnie od domeny, z którą są połączone.

• GPO na poziomie witryny:

Ten obiekt zasad grupy dotyczy użytkowników i/lub urządzeń witryny niezależnie od domeny, do której należysz.

• GPO na poziomie domeny:

Ten GPO dotyczy wszystkich (bez wyjątku) urządzeń i użytkowników domeny, na której pracujemy.

• GPO na poziomie OU (jednostki organizacyjnej):

Ten obiekt zasad grupy dotyczy użytkowników i urządzeń w danej jednostce organizacyjnej.

Wszystkie te typy GPO są oparte, jak wspomnieliśmy wcześniej, na wymaganiach i potrzebach organizacji. Obecnie Microsoft udostępnia ponad 3668 zasad zarówno na poziomie użytkowników, jak i zespołów, musimy być bardzo ostrożni w sposobie edycji i stosowania tych zasad grupy w naszej domenie.

5. Jak znaleźć GPO w mojej domenie

Oprócz tego, co widzieliśmy, możemy wyszukać GPO, w przypadku posiadania wielu obiektów GPO utworzonych w naszej Domenie, w tym celu postępujemy zgodnie z następującym procesem:

Krok 1
Otwieramy Menedżer ds. zasad grupy, szukamy domeny i klikamy prawym przyciskiem myszy na Szukaj:

W wyświetlonym oknie musimy wprowadzić następujące wartości:

• Domena do przeszukania
• Przedmiot do przeszukania (Nazwa GPO, łącze itp.)
• Stan (jeśli chcemy)
• Wartość (Konkretna nazwa, której szukamy)

Klikamy na Dodać a później w Szukać:

Tam możemy kliknąć Edytować dzięki czemu system zabierze nas bezpośrednio do edycji wspomnianego obiektu GPO lub możemy zapisać wyniki do przyszłego wyszukiwania. Oprócz tego, o czym wspomnieliśmy, mamy następujące opcje edycji obiektu zasad grupy za pomocą opcji menu lub kliknięcia prawym przyciskiem myszy obiektu zasad grupy:

• Edytować:

Jak widzieliśmy wcześniej, ta opcja prowadzi nas do edycji parametrów naszego obiektu GPO (ograniczeń lub ustawień).

• Stan GPO:

Po połączeniu go z witryną, domeną lub jednostką organizacyjną domyślnym stanem jest Włączone, istnieją również opcje Wyłącz wspomniany obiekt GPO, jeśli zaznaczymy Wyłącz, pozostawimy ten obiekt GPO bez działania.

• Zrobić kopię zapasową:

Pozwala nam na wykonanie kopii zapasowej wybranego obiektu GPO.

• Przywróć z kopii zapasowej:

Pozwala nam przywrócić obiekt GPO z kopii zapisanej wcześniej.

• Importuj konfigurację:

Umożliwia zaimportowanie konfiguracji GPO do określonego folderu bezpieczeństwa (w tym celu należy wcześniej utworzyć kopię zapasową).

• Zapisz raport:

Zapisuje raport GPO w formacie HTML.

• Nowe okno stąd:

Otwórz nową wyprzedaż.

• Kopiuj:

Skopiuj wybrany obiekt zasad grupy.

• Usunąć:

Usuń wybrany obiekt zasad grupy.

• Przemianować:

Zmień nazwę wybranego obiektu zasad grupy.

• Aktualizacja:

Aktualizuje zmiany wprowadzone w obiekcie zasad grupy.

• Pomoc:

Wyświetla pomoc systemu Windows.

Również jeśli chcemy dodać komentarz do GPO jest to możliwe, w tym celu musimy udać się na następującą trasę:

Wybieramy obiekt GPO, do którego chcemy dodać komentarz, klikamy prawym przyciskiem Edytować, lub przez menu Akcja, opcja Edytować:

Po wyświetleniu okna wybieramy opcję Właściwości (edytuj) z menu Akcja.

Tam rozwijamy się do zakładki Uwagi, wpisujemy nasz komentarz i klikamy Zastosować a potem w Akceptować.

6. Jak usunąć obiekt zasad grupy

Czasami konieczne jest dezaktywowanie i usunięcie niektórych obiektów zasad grupy. Aby usunąć istniejący obiekt GPO, możemy to zrobić na dwa sposoby.

Sposób 1Najpierw można to podać kliknij prawym przyciskiem myszy na GPO i wybierz opcję Usunąć:

Następnie kliknij Akceptować.

Sposób 2Drugą alternatywą jest menu Akcja, opcja Usunąć.

Na koniec kliknij Akceptować.