15 csoportpolitikai bevált gyakorlat

Ez a legátfogóbb útmutató a csoportházirend bevált gyakorlataihoz az interneten.

Ebben az útmutatóban megosztom a javasolt csoportházirend-beállításaimat és a csoportházirend-objektumok kezelésével kapcsolatos tippjeimet. Ezek a bevált módszerek leegyszerűsítik a csoportházirend-objektumok kezelését, javítják a biztonságot és a csoportházirend-objektumok teljesítményét.

Figyelmeztetés: A csoportházirend nem mindenki számára megfelelő. Minden Active Directory-környezet más és más, és a csoportházirendhez nincs cookie-vágó megoldás. A legjobb, ha megtervezi és teszteli a csoportházirend változásait, mielőtt az összes rendszerre kiterjessze. Egy apró változtatás komoly problémákhoz vezethet, és hatással lehet a kritikus üzleti szolgáltatásokra.

A GPO bevált gyakorlatai és javasolt beállítások

Azt javaslom, hogy olvassa el az alábbi teljes listát, mert előfordulhat, hogy néhány bevált gyakorlatnak nincs értelme, hacsak el nem olvassa az összeset.

1. Ne módosítsa az alapértelmezett tartományi szabályzatot

Ez a csoportházirend-objektum csak a fiókházirend-beállításokhoz, a jelszóházirendhez, a fiókzárolási szabályzathoz és a Kerberos-házirendhez használható. Minden más beállítást külön csoportházirend-objektumban kell megadni. Az alapértelmezett tartományi házirend tartományi szinten van beállítva, így minden felhasználó és számítógép megkapja ezt a házirendet. Az alapértelmezett tartományi házirend a tartomány gyökeréhez kapcsolódik.

Ha több csoportházirend-objektum-beállítást ad meg az alapértelmezett tartományházirendben, nagyon nehézkessé válik a GPO-beállítások hibaelhárítása és vezérlése. Az is befolyásolhatja a teljesítményt, ha a csoportházirend-objektum túl sok beállítást tartalmaz, és minden felhasználónak és számítógépnek fel kell dolgoznia azokat. A legjobb kis csoportházirend-objektumok használata (lásd a 12. tippet), mint mindent egyetlen nagy csoportházirend-objektumba gyűjteni.

2. Ne módosítsa az alapértelmezett tartományvezérlő házirendet

Ez a csoportházirend-objektum csak a felhasználói jogok hozzárendelési szabályzatát és az ellenőrzési szabályzatot tartalmazza. A tartományvezérlők minden egyéb beállítását külön csoportházirend-objektumban kell megadni.

Az alapértelmezett tartományvezérlő házirend a Domain Controller szervezeti egységhez kapcsolódik.

3. A jó szervezeti egység (OU) kialakítása tízszeresen megkönnyíti munkáját

A jó szervezeti egység kialakítása megkönnyíti a csoportházirend alkalmazását és hibaelhárítását. A legjobb egy szervezeti egység létrehozása a számítógépek számára és egy külön szervezeti egység a felhasználók számára. Ezután hozzon létre alegységeket az objektumok kezeléséhez. Az objektumokat jellemzően osztályok és funkciók szerint rendezem.

Példa szervezeti egység kialakítására:

Ha a felhasználókat és a számítógépeket külön szervezeti egységbe helyezi, könnyebbé válik a számítógépes házirendek alkalmazása az összes számítógépre, a felhasználói szabályzatok pedig csak a felhasználókra.

Kapcsolódó: 21 hatékony Active Directory-kezelési tipp

4. Ne állítsa be a csoportházirend-objektumokat tartományi szinten

Az egyetlen csoportházirend-objektum, amelyet tartományi szinten kell beállítani, az az alapértelmezett tartományi házirend. Bármi, ami a tartomány szintjén van beállítva, minden felhasználói és számítógépes objektumra érvényes lesz. Ez oda vezethet, hogy mindenféle beállítás alkalmazásra kerül a nem kívánt objektumokra. Jobb, ha az irányelveket részletesebben alkalmazza.

5. Alkalmazza a csoportházirend-objektumokat a The Root OU-ra

A csoportházirend-objektumok alkalmazása egy szervezeti egység gyökerénél lehetővé teszi, hogy az alszervezetek örököljék ezeket a házirendeket. Így nem kell minden egyes szervezeti egységhez kötnie egy szabályzatot.

Ha ki szeretné zárni a szervezeti egységeket vagy a felhasználók egy csoportját, akkor van néhány lehetőség.

1. Használja a GPO biztonsági szűrését - a legjobb megoldás.
2. Tételszintű célzás használata
3. Alkalmazzon csoportházirend-objektumot a házirendet letiltó csoportra.

A felhasználók kizárása a csoportházirend-objektum biztonsági szűrésével.

Nézzünk egy példát. Van olyan csoportházirend-objektum, amely letiltja a jelszavak mentését a Chrome böngészőben, a csoportházirend-objektum minden felhasználóhoz kapcsolódik.

Mi a teendő, ha különböző részlegeken vannak olyan felhasználók, akikre nem szeretném alkalmazni ezt a házirendet? A megoldás a GPO biztonsági szűrése.

Létrehozok egy biztonsági csoportot, hozzáadok felhasználókat a csoporthoz, majd megtiltom a csoporttól a csoportházirend alkalmazását. Most minden felhasználó megkapja a háziorvost, kivéve a biztonsági csoportba tartozó felhasználókat.

6. Kerülje a házirend öröklésének és a szabályzat érvényesítésének blokkolását

Ha jó a szervezeti egység struktúrája, akkor nagy valószínűséggel elkerülheti a házirend öröklésének blokkolását és a szabályzat érvényesítését. Sokkal könnyebbnek találom a csoportházirendek kezelését és hibaelhárítását, ha tudom, hogy ezek egyike sincs beállítva a tartományban.

7. Ne tiltsa le a csoportházirend-objektumokat

Ha egy csoportházirend-objektum egy szervezeti egységhez van kapcsolva, és nem szeretné, hogy az legyen, akkor a letiltása helyett törölje. A hivatkozás törlése egy szervezeti egységből nem törli a csoportházirend-objektumot, csak eltávolítja a hivatkozást a szervezeti egységből. A csoportházirend-objektum letiltása leállítja annak teljes feldolgozását a tartományban, és ez problémákat okozhat.

8. Használjon leíró csoportházirend-neveket

A csoportházirend-adminisztráció sokkal könnyebbé válik, ha a név alapján gyorsan azonosítható, hogy mire való a csoportházirend-objektum. A csoportházirend-objektumok általános elnevezése, például „laptopbeállítások”, túl általános, és összezavarja az embereket. Meghívja a többi adminisztrátort is, hogy az összes beállítást egyetlen csoportházirend-objektumba írják ki. Előtte néhány leíró GPO-név:

• Felhasználó - Böngésző beállításai
• Felhasználó - Office 365 beállítások
• Felhasználó - PowerShell blokkolása
• Számítógép - Képernyőzár bekapcsolva
• Számítógép - telepítse az Adobe-t

Ha a fenti csoportházirend-objektum-neveket nézi, elég jó elképzelése van arról, hogy mire használják őket.

9. Gyorsítsa fel a csoportházirend-objektumok feldolgozását a nem használt számítógép- és felhasználói konfigurációk letiltásával

Például van egy Böngészőbeállítások nevű csoportházirend-objektum, csak a számítógép beállításai vannak konfigurálva, és nincsenek felhasználói beállítások, ezért letiltottam a Felhasználói konfigurációt ennél a csoportházirend-objektumnál. Ez felgyorsítja a csoportházirend feldolgozását.

A csoportházirend-objektum számítógépes vagy felhasználói konfigurációjának letiltása:

1. Böngésszen a Csoportházirend-objektumok között
2. Kattintson a jobb gombbal egy csoportházirend-objektumra, és válassza a GPO állapota lehetőséget
3. Válasszon egyet a lehetőségek közül.

10. Használja a visszahurkolt feldolgozást meghatározott felhasználási esetekben

Dióhéjban a visszahurkolt feldolgozás a felhasználói beállításokat veszi át, és azokat a beállításokat arra a számítógépre korlátozza, amelyre a csoportházirend-objektum vonatkozik. Nagyon hasznos, de helytelen használat esetén problémákat is okozhat. A visszacsatolási feldolgozást gyakran használják a terminálkiszolgálókon és a Citrix szervereken. A felhasználók bejelentkeznek egy kiszolgálóra, és Önnek speciális felhasználói beállításokat kell alkalmaznia, amikor csak ezekre a szerverekre jelentkeznek be. Létre kell hoznia egy csoportházirend-objektumot, engedélyeznie kell a hurokfeldolgozást, és alkalmaznia kell azt a szervezeti egységre, amelyben a szerverek találhatók.

11. Csoportházirend változáskezelés

A csoportházirend kikerülhet az irányítás alól, ha megengedi az összes rendszergazdának, hogy szükség szerint módosítsa.

A változáskezelés szörnyű lehet, és valóban lelassíthatja a projekteket.

Nem azt mondom, hogy minden csoportpolitikai változásnak át kell mennie egy formális változáskezelési folyamaton, de ezeket meg kell vitatni a vezetőséggel és dokumentálni kell.

Egy kis csoportházirend-objektum-módosítás rengeteg hívást küldhet az ügyfélszolgálatnak. Előfordul, ezért a legjobb, ha megvitatja és dokumentálja a csoportházirend-objektumok változásait.

12. Használjon kis csoportházirend-objektumokat az adminisztráció egyszerűsítésére

Könnyen beleeshet abba a csapdába, hogy mindent egyetlen csoportházirend-objektumba kell berakni.

Én is hibás vagyok ebben, és óriási fejfájás lesz a kezelése.

Valójában nincs ok erre, sok kis csoportházirend-objektum nem befolyásolja a teljesítményt. A kis csoportházirend-objektumok tízszer egyszerűbbé teszik a hibaelhárítást, a kezelést, a tervezést és a megvalósítást.

Íme néhány módszer a csoportházirend-objektumok kisebb házirendekre való felosztására:

• Böngésző beállításai
• Biztonsági beállítások
• Energiagazdálkodási beállítások
• Microsoft Office beállítások
• Hálózati beállítások
• Drive Mappings
• Energiagazdálkodási beállítások
• Bitlocker
• Applocker
• Tűzfalszabályok
• stb…..

13. A csoportházirend-teljesítmény legjobb gyakorlatai

Íme néhány beállítás, amelyek lassú indítási és bejelentkezési időt okozhatnak.

• Bejelentkezési szkriptek nagy fájlok letöltéséhez
• Indító szkriptek nagy fájlok letöltéséhez
• Távol lévő otthoni utak feltérképezése
• Hatalmas nyomtató-illesztőprogramok telepítése a csoportházirend-beállításokon felül
• A csoportházirend-szűrés túlzott használata AD-csoporttagság alapján
• Túlzott WMI-szűrők használata
• Sok-sok csoportházirend-objektum, amely lassú linken keresztül kapcsolódik egy felhasználóhoz vagy számítógéphez.

14. Csoportházirend-hibaelhárítási tippek

Ismerje meg az RSop és gpresult parancsok használatát a csoportházirend ellenőrzésére és hibaelhárítására. A hibaelhárítás során ellenőriznie kell, hogy a csoportházirend-objektumok alkalmazásra kerülnek-e, és pontosan ellenőrizni kell, hogy milyen házirendeket alkalmaznak. Ez a két parancs óriási életmentő. Minden parancshoz írtam egy teljes útmutató cikket, ezért feltétlenül nézze meg őket.

15. Csoportházirend-objektumok biztonsági mentése

Ha nem készít biztonsági másolatot az Active Directoryból, vagy nem készít biztonsági mentést a rendszer állapotáról, akkor el kell kezdenie a csoportházirend-objektumok biztonsági mentését. Előfordulhat, hogy vissza kell állítania egy törölt csoportházirend-objektumot, vagy vissza kell állítania a beállításokat a meglévő csoportházirend-objektumokból. Tekintse meg teljes útmutatómat a csoportházirend-objektumok biztonsági mentéséről és visszaállításáról.

Ha többet szeretne megtudni a csoportházirendről, tekintse meg a csoportházirend-kezelés végső útmutatóját.

Remélem, hasznosnak találta ezt a cikket, ha bármilyen kérdése van a csoportos szabályzattal kapcsolatban, írjon alább megjegyzést.

Témák: Csoportszabályzat