Введение в GPO - совершение настроек через групповую политику
gpedit.msc открывает редактор локальной политики, запускать его нужно от имени администратора.gpupdate применяет только изменения. gpupdate /force применяет все настройки заново.gpupdate /boot перезагружает компьютер, если настройка этого требует, а /logoff выполняет выход из сессии.gpupdate /target:user проверяет только пользовательскую часть, поэтому работает быстрее.Содержание лекции: Введение в GPO - совершение настроек через групповую политику
Расшифровка лекции: Введение в GPO - совершение настроек через групповую политику
Полный текст первых минут лекции «Введение в GPO - совершение настроек через групповую политику» из видеокурса PracticU – субтитры с временной меткой для каждого абзаца. Так можно прочитать и найти нужные темы ещё до начала обучения.
Здравствуйте! Этот фильм посвящён GPO Group Policy. И обсуждать мы это будем на примере рабочей станции с установленным на ней Windows 7.
GPO позволяет нам совершать настройки на компьютере в любом аспекте. Практически в любом возможном аспекте мы можем что-то настроить с помощью GPO. И тот пользователь, который будет работать на компьютере, не сможет изменить эти настройки, сделанные с помощью GPO.
И так мы сможем позаботиться о единых настройках в нашей компании. например, о едином фоне для рабочего стола и о единых закономерностях безопасности информации.
А также мы можем задать, чтобы автоматически устанавливались программы или чтобы блокировался запуск нежелательных программ.
Давайте возьмём пример. Допустим, наш босс работает с очень секретными документами, которые очень важно сохранить в тайне.
Разумеется, когда он выходит из своего офиса и на его компьютере ничего не делают, то там включается экранная заставка — screen saver.
И злоумышленник может проникнуть в его офис, подвинуть мышку и прочитать на его компьютере все секретные документы.
И поэтому на компьютере нужно произвести определённую настройку, указать, чтобы по выходу из скринсейвера требовался пароль. И если наш босс осторожный, то он произведёт эту настройку, зайдёт в характеристики скринсейвера и выберет тут саму анимацию скринсейвера.
Допустим, Bubbles выберет, чтобы при двух минутах, когда он не трогает компьютер, чтобы включился скринсейвер. И главное, чтобы для выхода из скринсейвера требовалось ввести пароль.
Уже после того, как скринсейвер запустится, если я подвину мышку, то мне нужно будет вводить свой пароль. И босс жмёт apply и думает, что он осторожен, и он защитил навсегда свой компьютер.
Он думает, что то, что он сейчас делал, это отныне защитит его компьютер навсегда. Но он выскакивает на минуту из своего офиса, и злоумышленник именно в эту минуту заходит в его офис и сбрасывает эту настройку, чтобы потом, когда наш босс выйдет из офиса
на более длительный период, воспользоваться тем, что настройка сброшена, и прочитать все документы. Ну а сейчас, когда наш босс вышел на минуту, злоумышленник подбежал к компьютеру ещё до того, как скринсейвер включился, и зашёл в характеристики скринсейвера и убрал требование «Вводить пароль».
И теперь просто будет включаться скринсейвер, не требующий пароль. Суть в том, что злоумышленник не смог бы отменить настройку, если бы она была сделана с помощью GPO.
Давайте рассмотрим ещё один пример. Допустим, я осторожный sysadmin, и я захожу в компьютеры работников моей компании, и я настроил на всех компьютерах работников строгую защиту в Firewall.
Но какой-то пользователь захотел вдруг отключить Firewall. Он хотел запустить какую-то программу, и Firewall ему не даёт запустить эту программу.
И этот работник просто выключает Firewall. Чего бы он сделать не смог, если бы Firewall была бы включена с помощью GPO, а сейчас, видите, он выключил Firewall, чем вызвал ужасную брешь в безопасности информации.
Разумеется, мы, как сисадмины, не можем такого допустить. То есть недостаточно того, что мы на самом компьютере что-то настроим. Если пользователь этого компьютера может это изменить, то все наши старания бестолку.
И ещё один пример. Допустим, пользователь захотел поставить на свой рабочий стол неприличную картинку, неприличный фон, И пришли наши деловые партнёры, которые хотят получить благоприятное впечатление о нашей компании.
И, допустим, у этих деловых партнёров, ну, совершенно нет чувства юмора. И они заглядывают в офис, где у какого-то важного работника на рабочем столе вовсе неприличная картинка.
А вдруг они сразу развернутся и уйдут, и не захотят иметь дело с нашей компанией. Несмотря на то, что вы, как сисадмин, были верны своему делу до последней капли крови и установили на рабочий стол самую приличную картинку.
Вот практикер — самый приличный фон из всех, которые у вас были. Но вдруг кто-то изменит эту настройку. Тогда спрашивается, что за толк в нашей преданности до последней капли крови, как сисадмина.
Пользователь взял, вот так вот зашёл и установил свой фон на рабочем столе. Давайте напряжём воображение и представим, что это какая-нибудь неприличная картинка. То есть нам нужен GPO, чтобы пользователь не мог сам менять настройки, чтобы вы, как сисадмин, могли выбирать настройки за работников вашей компании.
Если мы настроили что-то с помощью GPO, то пользователь не может это изменить. У него в интерфейсе соответствующие опции будут закрашены серым. А также мы отдельно поговорим о том, как GPO работает на серверах.
Хотя механизм совершенно тот же самый. Давайте же зайдём в тот интерфейс, где мы производим настройки GPO. В поиске мы пишем gpedit.msc. И если вы верно написали, то у вас это здесь появится.
Разумеется, нужно запустить эту штуковину от лица пользователя-администратора. Вот, смотрите, Local Computer Policy. Настройки, произведённые здесь, действуют на всех пользователей.
Не важно, кто вы, администратор, определённая группа пользователей, бабушка, дедушка, то, что настроено здесь, будет распространяться на вас в любом случае.
А теперь взгляните на ещё один способ зайти в интерфейс настроек Group Policy. Мы пишем MMC, Microsoft Management Console.
Пишем это в поиске, разрешим тут. И пусть вас не смущает, что мы тут получаем пустое окно. Мы сами выбираем, какой инструмент нам показать в этом окне, и мы можем выбрать Group Policy, как вот в этом окне.
А MMC — это как пояс, куда мы втыкаем разные инструменты по нашему выбору. Это как рабочий пояс строителя.
Мы сюда сами выбираем инструменты из всех, которые есть в Windows 7. Давайте же добавим инструмент редактирования GPO.
Нажмём File, Add Remove Snapping. Вот все инструменты, которые у меня есть. Где тут наш редактор Group Policy? Group Policy Object Editor — это тот же инструмент, что и там.
Но в MMC есть больше возможностей. Я могу добавить редактор Group Policy для Local Computer, то есть как там. Все выполненные настройки будут распространяться на всех пользователей, кто работает за этим компьютером.
Жмём Finish, и это будет работать ровно как тот интерфейс, как в том окне, которое осталось позади. Но смотрите, какие есть дополнительные возможности в MMC.
Мы жмём ещё раз Add, но уже не для Local Computer. Мы жмём Browse и сами выбираем Users. И мы можем произвести настройки, которые будут касаться определённой группы пользователей.
Допустим, для администраторов будут определённые настройки. Допустим, будет запускаться защищённый паролем Screensaver. А для других пользователей, которые не администраторы, можно не ставить пароль на Screensaver, потому что с их полномочиями нельзя нанести вред нашей компании.
И ещё, допустим, у меня есть конкретный пользователь IDO, которому обязательно нужно настроить защищённый скринсейвер.
И я, собственно, произвожу три отдельных множества настроек. Отдельные настройки для разных пользователей. Кстати, до Windows 7 это было невозможно.
Это называется Multipile GPO. Множество политик GPO. Разные политики для разных пользователей. Не волнуйтесь, мы во всё это углубимся. Сейчас мы просто хотим почувствовать.
Итак, но если мы хотим произвести самые банальные настройки GPO, то мы просто набираем gpedit.msc и получаем этот интерфейс.
Внимание, тут есть настройки на уровне компьютера и на уровне пользователя. Эти настройки применяются к самому компьютеру. Это происходит ещё до того, как пользователь логинится в систему, ещё во время надписи, что Windows загружается.
А вот здесь всё, что мы настроим, применяется только тогда, когда пользователь введёт имя и пароль. Далее я повторяю: из-за того, что эти политики, они главные, на уровне Local Computer Policy, на уровне всего компьютера, поэтому и эти, и эти настройки, и те, и другие будут относиться
ко всем пользователям, неважно, администраторы ли они или нет, бабушка ли мама, дядя, папа. На всех пользователей это распространяется.
И тем не менее настройки разделены на уровень компьютера и на уровень пользователя, потому что есть настройки, которые относятся к пользователю.
Например, всё связанное с рабочим столом. А есть настройки, которые относятся чисто к компьютеру. И тут всё разделено на два сектора, чтобы нам было удобно искать.
И не всегда категории настроек, которые есть здесь, есть также и здесь. Иногда, да, взгляните, тут есть схожесть между категориями. Но есть и уникальные.
Например, Desktop, рабочий стол. В пользовательском есть Desktop, а в компьютере нету. Итак, я подчёркиваю, то, что мы настраиваем с помощью GPO, Нельзя изменить просто в обычных настройках компьютера.
То есть последнее слово всегда за настройками GPO. И в интерфейсе настроек GPO может вносить изменения только администратор.
Итак, изменить настройки, произведённые в GPO, можно тоже только в GPO. Далее, всего настроек в GPO очень много. Едва ли интуиция поможет вам найти нужную настройку.
Вы не сможете догадаться, где находится нужная вам настройка. для того чтобы найти что-то конкретное, существуют два пути. Во-первых, Microsoft заготовили нам определённый фильтр в интерфейсе GPO.
Для того чтобы воспользоваться этим фильтром, или назовём его даже поиском, сначала мы переходим в Administrative Templates, а там мы заходим в All Settings.
Я тут всё сверну, как бы мы начинаем сначала, и я иду в Administrative Templates, и тут тоже есть Administrative Templates. Захожу в «All Settings» и тут я жму правую кнопку мыши «Filter Options».
И тут появляется нечто вроде строчки поиска внутри GPO. Сейчас я здесь всё закрою и открою здесь, чтобы показать вам, что здесь тоже есть.
«User Administrative Templates All Settings» и правый клик «Filter Options». И вот он, интерфейс «Filter Options». Далее мы зажимаем галочку «Enable Keyword Filters».
Если я убираю эту галочку, то строчка поиска, строчка ключевых слов блокируется. Что ж, допустим, я хочу найти какую-то настройку, связанную со скринсейвером, как в нашем примере в начале фильма: запаролить возвраты скринсейвера.
И я пишу «скринсейвер», а тут я выбираю, какие именно слова искать. Я выбираю «exect», когда то, что я написал, это точные имя настройки.
Но, если я из этого точного имени знаю только одно слово или несколько, то я могу выбрать Any или All. И тогда мне будут показаны те настройки, которые включают эти слова.
Смотрите, я нажал ОК, и смотрите, что он теперь покажет. Во-первых, в окне осталось очень мало настроек. Остальные отфильтровались.
И вот, смотрите, в данном случае мне повезло, и я нашёл то, что я искал. А теперь давайте попробуем что-нибудь настроим через GPO.
Допустим, мы хотим для всех пользователей установить время, после которого включается скринсейвер. Допустим, через минуту безделья компьютера.
Для этого двойной клик на имя настройки, или же второй способ, правый клик по настройке, и жмём «Edit», «Редактируй». И я указываю, чтобы настройка задействовалась.
Мы вот-вот обсудим, что значит все эти три варианта. Поговорим об этом описании. Я жму «Enable». И теперь я могу указать количество секунд, После скольких секунд безделья экран окрашивается в скринсейвер.
60 секунд, то есть 1 минута, и я жму Apply — примени. Кстати, разница между Apply и OK только в том, что OK ещё и закрывает окно. Вот, я жму OK, и окно закрылось.
А также я хочу защитить паролем выход из скринсейвера. То есть если работник отошёл от компьютера и скринсейвер после этого включился, то затем, когда мышка компьютера будет подвинута, Нельзя будет ничего увидеть, нужно будет ввести пароль того пользователя.
Так что никто левый не сможет воспользоваться отсутствием. И вот настройка в GPO, которая это делает. Password protect the screensaver.
И тут я просто устанавливаю в положение Enable. Тут нет дополнительных аргументов, которые нужно указывать. Я жму ОК.
И, кстати, в этом окне мы видим. У настроек тут написано Enabled. Кстати, если я отсортирую согласно этой колонке, то я смогу увидеть все настройки, у которых сделан Enabled.
Сверху будет вставить всё то, что Enabled. А теперь закроем интерфейс Group Policy и увидим, насколько эта настройка сильнее, чем та, которая не в Group Policy. Зайдём туда, где то же самое настраивается в обычном интерфейсе.
Screensaver. Возможно, это окно вам знакомо. И смотрите, я не могу менять время и убрать галочку запароленности скринсейвера.
Зато тип скринсейвера я изменить могу, потому что я это не трогал в GPO. Если же в GPO я бы выбрал какой-нибудь скринсейвер, то и этот выбор был бы тут заблокирован.
Видите, GPO сильнее обычных интерфейсов. А теперь второй путь — найти нужную настройку. В интерфейсе GPO мы её ищем с помощью интернет-поисковика.
Находим статью, которую кто-то написал про нашу нужную нам настройку. Допустим, я не хочу, чтобы кто-то мог всунуть в мой компьютер флешку и украсть информацию.
Я хочу найти про это статью. Я пишу GPO, я хорошенечко думаю и сочиняю нужные мне слова. И мне приходит, допустим, в голову слова Disable USB.
Мне нужна настройка, которая заблокирует USB-входы против мобильных дисков. Сочинив слова, которые кажутся мне похожими на то, что я хочу найти, я жму Enter.
И выскакивают всяческие статьи. Почему бы не послушать об этом мнение самого Microsoft? Посмотрим, что об этом написано на сайте Microsoft.
И тут нам подскажут, где в GPO лежит нужная нам настройка. Вот он путь в Computer, Policy, Administrative Templates, System Removal Storage Access.
Тут мы найдём не всегда точный путь, как в данном случае, но это не значит, что этот путь нам не поможет. Хоть он и не точен, но он нам может помочь.
Найдём указанную настройку. Без всякой изобретательности, просто попробуем пойти так, как у них тут написано. Computer Configuration сперва.
Заходим туда, куда там написано. Слова Policies у нас нету, ну потому что там написано про Windows Server, а у нас просто Windows 7.
Ничего, пропустим слово Policies. Зайдём в Administrative Templates, как там дальше написано. А там дальше в System. Ничего страшного, если есть какая-то неточность.
Главное, чтобы подсказка нам помогла найти. И посмотрим, есть ли там Removable Storage Access. Да, я здесь вижу, мы нашли то, что искали.
Во вспомогательной статье нам не стопроцентно всё это соответствовало. Но это как всегда, ничего страшного. И мы поищем настройки Removable Discs.
Давайте посмотрим, есть ли у нас на компьютере такие. Да, вот они, те настройки, которые я искал. Я жму Edit, произвожу настройку.
И, конечно же, я не забываю прочесть описание. Учтите, это очень рационально. Настроек тысячи, и нужно точно знать, что делает настройка, которую вы выбрали.
Ведь вы, sysadmin, можете что-нибудь испортить на очень важном компьютере в каком-нибудь офисе, и лишь прочтя применим настройку.
И следующую настройку блокировки флешки я тоже произвожу. Тоже жму Apply. А ещё я могу воспользоваться кнопкой Next Setting.
Сразу прямо в этом окне перескочить на следующую настройку. Обратите внимание на эффект этой кнопки Next Setting. Обратите внимание на полосочку, которая выделяет.
Я жму Next, и она прыгает на строчку ниже. Заметили? То есть окно, которое передо мной, начинает относиться уже к следующей настройке.
И не нужно его каждый раз закрывать и открывать заново. И вот с помощью статьи в интернете мы нашли информацию о том, как произвести нужные настройки, и сделали это.
Естественно, заранее откуда бы я знал, что это называется, именно removable disks deny write access. Разумеется, я этого не мог знать, и в гугле я написал совершенно другие слова, а статья уже подсказала мне эти.
Далее, ещё кое-что о поиске, на этот раз опять с помощью фильтра. Не знаю, заметили ли вы, но в окне совершения настройки можно писать комментарий.
Возьмём просто любую какую-нибудь настройку, и в окне её изменения можно написать также комментарий. Тут можно поделиться с другими людьми своими наблюдениями, что именно делает эта настройка, или поделиться с самим собой, который из будущего.
И это полезно не только тем, что тот «Вы» из будущего будет быстро и точно знать, что эта настройка делает, но теперь также можно и фильтровать настройки по факту наличия комментария.
Вот тут в интерфейсе фильтрования можно указать: «Дай мне только те, где прокомментировано». Мы тут указываем «Да», и мы увидим только те настройки, настройки, куда люди написали примечания.
Очень удобно. А также мы можем поглазеть только на те настройки, у которых было установлено в положении Enabled или Disabled.
Any — это все, а Not Configured — это которые не были установлены в положении Enabled или Disabled. А что у нас тут? Managed. Об этом мы сейчас говорить не будем,