Войти
Редактор локальной политики безопасности в Windows 7 Групповая политика является функцией Microsoft Windows NT семейство операционных систем (включая Windows 7, Windows 8.1, Window 10 и Windows Server 2003+), которые контролируют рабочую среду учетных записей пользователей и компьютеров. Групповая политика обеспечивает централизованное управление и настройку операционных систем, приложений и параметров пользователей в среде Active Directory. Набор конфигураций групповой политики называется объектом групповой политики (GPO ). Версия групповой политики под названием Локальная групповая политика (LGPO или LocalGPO) позволяет управлять объектами групповой политики без Active Directory на автономных компьютерах.
Серверы Active Directory распространяют групповые политики, перечисляя их в своих Каталог LDAP в объектах класса groupPolicyContainer. Они относятся к путям файлового сервера (атрибут gPCFileSysPath), в которых хранятся фактические объекты групповой политики, обычно в SMB share \\ domain.com\ SYSVOL совместно используется сервером Active Directory. Если групповая политика имеет параметры реестра, в соответствующем общем файловом ресурсе будет файл registry.polс параметрами реестра, которые необходимо применить клиенту.
Редактор политики (gpedit.msc) не предоставляется в домашних версиях Windows 10.
Групповые политики частично управляют тем, что пользователи могут и не могут делать в компьютерной системе. Например, групповая политика может использоваться для принудительного применения политики сложности пароля, которая не позволяет пользователям выбирать слишком простой пароль. К другим примерам относятся: разрешение или запрет неопознанным пользователям с удаленных компьютеров подключаться к сетевому ресурсу или блокировать / ограничивать доступ к определенным папкам. Набор таких конфигураций называется объектом групповой политики (GPO).
Как часть технологий Microsoft IntelliMirror, групповая политика направлена на снижение затрат на поддержку пользователей. Технологии IntelliMirror относятся к управлению отключенными компьютерами или перемещаемыми пользователями и включают перемещаемые профили пользователей, перенаправление папок и автономные файлы.
К Для достижения цели централизованного управления группой компьютеров машины должны получать и применять объекты групповой политики. Объект групповой политики, расположенный на одном компьютере, применяется только к этому компьютеру. Чтобы применить GPO к группе компьютеров, групповая политика полагается на Active Directory (или на сторонние продукты, такие как ZENworks Desktop Management ) для распространения. Active Directory может распространять объекты групповой политики на компьютеры, принадлежащие к домену Windows.
. По умолчанию Microsoft Windows обновляет свои параметры политики каждые 90 минут со случайным 30-минутным смещением. На контроллерах домена Microsoft Windows делает это каждые пять минут. Во время обновления он обнаруживает, извлекает и применяет все объекты групповой политики, которые применяются к машине и к вошедшим в систему пользователям. Некоторые настройки - например, для автоматической установки программного обеспечения, сопоставления дисков, сценариев запуска или сценариев входа - применяются только во время запуска или входа пользователя в систему. Начиная с Windows XP, пользователи могут вручную инициировать обновление групповой политики с помощью команды gpupdate из командной строки .
Объекты групповой политики обрабатываются в следующем порядке (сверху вниз):
Результирующая групповая политика параметры, применяемые к данному компьютеру или пользователю, известны как Результирующий набор политик (RSoP). Информация RSoP может отображаться как для компьютеров, так и для пользователей с помощью команды gpresult. В сети мы можем запустить с ней команду gpedit.msc
Параметр политики внутри иерархическая структура обычно передается от родителей к детям, от детей к внукам и так далее. Это называется наследованием. Его можно заблокировать или принудительно контролировать, какие политики применяются на каждом уровне. Если администратор более высокого уровня (администратор предприятия) создает политику, наследование которой заблокировано администратором более низкого уровня (администратором домена), эта политика все равно будет обрабатываться.
Если настроены параметры предпочтений групповой политики, а также настроен эквивалентный параметр групповой политики, значение параметра групповой политики будет иметь приоритет.
Фильтрация WMI - это процесс настройки области действия GPO путем выбора фильтра Windows Management Instrumentation (WMI) для применения. Эти фильтры позволяют администраторам применять GPO только, например, к компьютерам определенных моделей, оперативной памяти, установленному программному обеспечению или чему-либо, доступному через запросы WMI.
Локальная групповая политика (LGP или LocalGPO) - это более базовая версия групповой политики для автономных и недоменных компьютеров, которая существует по крайней мере с Windows. XP Home Edition и может применяться к компьютерам домена. До Windows Vista LGP могла принудительно применять объект групповой политики для отдельного локального компьютера, но не могла создавать политики для отдельных пользователей или групп. Начиная с Windows Vista, LGP позволяет управлять локальной групповой политикой для отдельных пользователей и групп, а также позволяет выполнять резервное копирование, импорт и экспорт политик между автономными компьютерами с помощью «пакетов групповой политики» - контейнеров групповой политики, которые включают файлы, необходимые для импорта политики. на конечный компьютер.
Предпочтения групповой политики - это способ для администратора установить политики, которые не являются обязательными, но необязательными для пользователя или компьютера. Существует набор расширений параметров групповой политики, которые ранее были известны как PolicyMaker. Microsoft купила PolicyMaker и затем интегрировала их с Windows Server 2008. С тех пор Microsoft выпустила инструмент миграции, который позволяет пользователям переносить элементы PolicyMaker в настройки групповой политики.
В настройках групповой политики добавлен ряд новых элементов конфигурации. Эти элементы также имеют ряд дополнительных параметров таргетинга, которые можно использовать для детального управления применением этих элементов настройки.
Предпочтения групповой политики совместимы с версиями x86 и x64 Windows XP, Windows Server 2003 и Windows Vista с добавлением (также известного как CSE).
Клиентские расширения теперь доступны включены в Windows Server 2008, Windows 7 и Windows Server 2008 R2.
Первоначально групповые политики были изменены с помощью Инструмент редактирования групповой политики, который был интегрирован с оснасткой Active Directory Users and Computers Microsoft Management Console (MMC), но позже был разделен на отдельную оснастку MMC под названием Консоль управления групповой политикой (GPMC). Консоль управления групповыми политиками теперь является пользовательским компонентом в Windows Server 2008 и Windows Server 2008 R2 и предоставляется как загружаемый компонент для Windows Vista и Windows 7.
Microsoft также выпустила инструмент для внесения изменений в групповую политику под названием Advanced Group Policy Management (также известный как AGPM). Этот инструмент доступен для любой организации, имеющей лицензию на Microsoft Desktop Optimization Pack (он же MDOP). Этот расширенный инструмент позволяет администраторам иметь процесс регистрации и возврата для изменения объектов групповой политики, отслеживать изменения в объектах групповой политики и реализовывать рабочие процессы утверждения для изменений в объектах групповой политики.
AGPM состоит из двух частей - серверной и клиентской. Сервер - это служба Windows, которая хранит свои объекты групповой политики в архиве, расположенном на том же компьютере или в общей сетевой папке. Клиент - это оснастка консоли управления групповой политикой, которая подключается к серверу AGPM. Настройка клиента выполняется через групповую политику.
Параметры групповой политики принудительно применяются целевыми приложениями. Во многих случаях это просто заключается в отключении пользовательского интерфейса для определенных функций доступа к нему.
В качестве альтернативы злонамеренный пользователь может изменить или вмешаться в приложение, чтобы оно не могло успешно прочитать параметры своей групповой политики, таким образом принудительное применение потенциально более низких значений безопасности по умолчанию или даже возврат произвольных значений.
Windows 8 представила новую функцию, называемую обновлением групповой политики. Эта функция позволяет администратору принудительно обновлять групповую политику на всех компьютерах с учетными записями в определенном организационном подразделении. Это создает запланированную задачу на компьютере, которая запускает команду gpupdateв течение 10 минут, скорректированная случайным смещением, чтобы избежать перегрузки контроллера домена.
Было введено состояние инфраструктуры групповой политики, которое может сообщать, когда какие-либо объекты групповой политики не реплицируются правильно между контроллерами домена.
Отчет о результатах групповой политики также имеет новую функцию, которая определяет время выполнения отдельных компоненты при выполнении обновления групповой политики.
 | Викиверситет содержит обучающие ресурсы о групповой политике |
