در شرکتی که دامین دارد ولی از Group Policy درست استفاده نمی‌کند، هر رایانه داستان خودش را دارد: یکی قفل صفحه ندارد و روی دیگری کاربر هر نرم‌افزاری را نصب کرده است. Group Policy این بی‌نظمی را به مجموعه‌ای از سیاست‌های مرکزی، یکسان و قابل‌کنترل تبدیل می‌کند.
Group Policy چطور کار می‌کند؟
هر مجموعه تنظیمات در قالب یک GPO (Group Policy Object) ساخته می‌شود و به سایت، دامین یا یک OU پیوند (Link) داده می‌شود. هر GPO دو بخش دارد: Computer Configuration که هنگام روشن شدن رایانه اعمال می‌شود و User Configuration که هنگام ورود کاربر. ترتیب اعمال سیاست‌ها به‌اختصار LSDOU است: سیاست محلی، سایت، دامین و در آخر OU. اگر تنظیمی در چند سطح تکرار شده باشد، معمولاً سطح نزدیک‌تر به کاربر یا رایانه، یعنی OU، برنده است.
- Enforced: سیاستی که Enforced شده، توسط سطح‌های پایین‌تر بازنویسی نمی‌شود.
- Block Inheritance: جلوی ارث‌بری سیاست‌های سطح بالاتر را در یک OU می‌گیرد؛ با احتیاط از آن استفاده کنید.
- Security Filtering: محدود کردن یک GPO به گروه‌های مشخص.
اصول یک ساختار مرتب
- ابزار اصلی کار کنسول Group Policy Management (
gpmc.msc) است؛ GPOها را از همین‌جا بسازید و پیوند دهید. - برای هر هدف یک GPO با نام گویا بسازید، مثل
WS-Security-BaselineیاUSR-Drive-Mapping، نه یک GPO بزرگ برای همه‌چیز. - کانتینرهای پیش‌فرض
UsersوComputersدر واقع OU نیستند و نمی‌شود به آن‌ها GPO پیوند داد؛ کاربران و رایانه‌ها را به OUهای خودتان منتقل کنید. - در Default Domain Policy فقط سیاست رمز، قفل حساب و Kerberos را نگه دارید و بقیه تنظیمات را در GPOهای جداگانه بگذارید.
- یک Central Store بسازید تا فایل‌های الگوی ADMX برای همه مدیران یکسان باشد؛ مسیر آن
\domainSYSVOLdomainPoliciesPolicyDefinitionsاست.
سیاست‌های کاربردی برای شروع
- قفل خودکار صفحه: پس از چند دقیقه بی‌کاری، صفحه با رمز قفل شود.
- محدودیت حافظه‌های جانبی: در صورت نیاز، با تنظیمات Removable Storage Access دسترسی به فلش‌مموری را مسدود یا فقط‌خواندنی کنید.
- اتصال درایوهای شبکه: با Group Policy Preferences درایوها را بر اساس گروه کاربر وصل کنید؛ دیگر نیازی به اسکریپت‌های قدیمی ورود نیست.
- فایروال ویندوز: فایروال روی همه رایانه‌ها روشن بماند و کاربر نتواند آن را خاموش کند.
- سیاست Audit: ثبت رویدادهایی مثل ورود ناموفق و تغییر حساب‌ها، تا در زمان حادثه ردپایی وجود داشته باشد.
- محدودیت اجرای نرم‌افزار: با AppLocker یا ابزارهای مشابه می‌توانید اجرای برنامه از پوشه‌هایی مثل Downloads را محدود کنید؛ امکانات این بخش به نسخه ویندوز بستگی دارد.
هر GPO جدید را اول روی یک OU آزمایشی با چند رایانه و کاربر امتحان کنید. یک تنظیم اشتباه در سطح دامین می‌تواند در چند دقیقه کل شرکت را درگیر کند.
عیب‌یابی: چرا سیاست اعمال نشد؟
- با
gpupdate /forceاعمال سیاست‌ها را روی رایانه تازه کنید. - دستور
gpresult /rنشان می‌دهد کدام GPOها اعمال شده‌اند و کدام فیلتر شده‌اند؛ برای گزارش کامل ازgpresult /h report.htmlاستفاده کنید. - بررسی کنید کاربر یا رایانه واقعاً در OU درست است و GPO به همان OU پیوند دارد.
- اگر Security Filtering را تغییر داده‌اید، دقت کنید گروه Authenticated Users یا Domain Computers همچنان اجازه Read روی GPO را داشته باشد؛ در غیر این صورت سیاست اعمال نمی‌شود.
- مشکلات DNS و همگام‌سازی SYSVOL بین کنترلرهای دامین هم از دلایل رایج اعمال نشدن سیاست‌ها هستند.
اشتباه‌های رایج
- اضافه کردن همه تنظیمات به Default Domain Policy
- GPOهای بی‌توضیح و بلااستفاده‌ای که سال‌ها باقی مانده‌اند
- استفاده بی‌حساب از Enforced و Block Inheritance که رفتار سیاست‌ها را غیرقابل‌پیش‌بینی می‌کند
- نداشتن بکاپ از GPOها؛ با دستور
Backup-GPO -All -Path D:GPOBackupمی‌توانید از همه آن‌ها نسخه بگیرید
چک‌لیست
- کاربران و رایانه‌ها در OUهای مشخص قرار دارند.
- هر GPO نام گویا و توضیح دارد.
- Default Domain Policy فقط شامل سیاست‌های حساب است.
- Central Store برای فایل‌های ADMX ساخته شده است.
- سیاست‌های جدید ابتدا روی OU آزمایشی تست می‌شوند.
- از GPOها به‌صورت منظم بکاپ گرفته می‌شود.
اگر GPOهای دامین شما به‌هم‌ریخته‌اند یا می‌خواهید سیاست‌های امنیتی استاندارد را پیاده کنید، کارشناسان ITPlus724 می‌توانند ساختار Group Policy شرکتتان را بازبینی و بازطراحی کنند.