A helyi csoportházirend-beállítások biztonsági mentése és másolása egy másik számítógépre

A csoportházirendek a számítógépek és felhasználók beállításainak központi konfigurálására szolgálnak a Windows rendszerben. Ha számítógépei egy Windows-tartományhoz csatlakoznak, a tartományi csoportházirend-objektumok segítségével egyetlen konfigurációba hozhatja az Active Directory-tartományon belüli összes számítógépet. Ha nincs tartománya, a helyi csoportházirend segítségével konfigurálhatja egyetlen számítógép beállításait (a helyi csoportházirend-szerkesztő a

gpedit.msc

parancs). Ebben a cikkben bemutatjuk, hogyan készíthet biztonsági másolatot egy helyi csoportházirend-objektumról, és hogyan másolhatja át a helyi házirend-beállításokat más számítógépekre.

Ha a hálózat egy Windows-munkacsoporton alapul, a helyi csoportházirend segítségével minden számítógépen ugyanazt a konfigurációt állíthatja be. Ehhez konfigurálnia kell a helyi csoportházirend-objektum beállításait a referenciaszámítógépen, majd át kell másolnia és alkalmaznia kell ezeket a beállításokat más számítógépeken.

A helyi csoportházirend-objektumok beállításainak manuális másolása egy másik számítógépre

A Windowsban nincsenek beépített eszközök a helyi csoportházirend-objektum-beállítások biztonsági mentésére, importálására, exportálására vagy áttelepítésére. A Windows a helyi csoportházirend-adminisztrációs sablon beállításait Registry.pol fájlokban tárolja a következő elérési utak alatt:

• %SystemRoot%\System32\GroupPolicy\Machine\

• %SystemRoot%\System32\GroupPolicy\User\

Ezért a helyi csoportházirend-beállítások számítógépek közötti átvitelének legegyszerűbb módja, ha manuálisan másolja és cserélje ki a

%systemroot%\System32\GroupPolicy

mappát az egyik számítógépről a másikra. Manuálisan kell frissítenie a csoportházirend-beállításokat a

gpupdate /force

parancsot, vagy indítsa újra a Windowst a csoportházirend-fájlok cseréje után.

Ennek a csoportházirend-objektum-áttelepítési módszernek a fő hátrányai:

1. A helyi biztonsági sablonok beállításai nem kerülnek másolásra;

2. Hibák léphetnek fel a csoportházirend-objektum alkalmazásakor, ha a Windows verziója a célszámítógépen eltérő;

3. Nem importálhatja a helyi csoportházirend-objektum beállításait a tartományi csoportházirend-kezelő konzolba (

   gpmc.msc

   );

4. Van néhány probléma a beállítások egyéni ADMX-sablonokból történő áttelepítésével kapcsolatban.

Hogyan készítsünk biztonsági másolatot (exportáljunk) helyi csoportházirendet az LGPO.exe segítségével

A Microsoft az LGPO.exe konzoleszköz használatát javasolja a helyi csoportházirend-beállítások biztonsági mentéséhez/importálásához/exportálásához és átviteléhez. Az LGPO (jelenlegi 3.0 verzió) a Microsoft Security Compliance Toolkit része, és letölthető innen: https://www.microsoft.com/en-us/download/details.aspx?id=55319.

Ez

LGPO.exe

segédprogram lehetővé teszi, hogy:

• A helyi csoportházirend-beállítások exportálása fájlokba;

• Importálja a GPO-beállításokat a biztonsági másolatból. Lehetővé teszi registry.pol fájlok, biztonsági sablonok és CSV fájlok importálását;

• Konvertálja a registry.pol fájlokat olvasható LGPO formátumba és fordítva.

Az aktuális helyi csoportházirend-objektum-beállítások biztonsági mentéséhez (exportálásához) a megadott könyvtárba használja a következő parancsot:

LGPO.exe /b c:\tools\GPO

Az eszköz a helyi házirend-beállításokat egy véletlenszerű GUID-névvel rendelkező mappába menti. Ez a könyvtár tartalmazza az összes szükséges fájlt, amely a helyi csoportházirend-objektum-beállítások visszaállításához vagy egy másik számítógépre történő alkalmazásához szükséges.

Restore-GPO -Name Win10Settings -Path C:\Backup\GPO_W10\

Az aktuális csoportházirend-objektum-beállítások kényelmes megtekintéséhez a registry.pol fájlban futtassa a következő parancsot:

lgpo.exe /parse /m "C:\Tools\GPO\{985966AD-21BE-4A9C-BF7D-26C879982067}\DomainSysvol\GPO\Machine\registry.pol" >>c:\tools\gpo\lgpo.txt

A cél lgpo.txt szövegfájl tartalmazza a házirend által alkalmazott beállításjegyzék-beállításokat.

Manuálisan szerkesztheti az lgpo.txt fájlt, és átalakíthatja registry.pol formátumba:

LGPO.exe /r "C:\tools\GPO\lgpo.txt" /w "C:\tools\GPO\registry_new.pol"

A registry_new.pol fájl új beállításainak alkalmazása a számítógép jelenlegi helyi házirendjére:

LGPO.exe /m "C:\tools\GPO\registry_new.pol"

Helyi csoportházirend-beállítások importálása (visszaállítása) a Windows rendszeren

A helyi csoportházirend-objektum-beállítások importálásához (visszaállításához) egy másik számítógépen lévő biztonsági másolatból, át kell másolnia a házirend GUID-könyvtárát a célszámítógépre, és futtassa a parancsot:

LGPO.exe /g C:\tools\GPO\

Egyes rendszergazdák több helyi csoportházirendet (MLGPO) használnak, hogy az egyedi helyi csoportházirend-beállításokat csak meghatározott csoportokra (nem rendszergazdákra vagy rendszergazdákra) vagy felhasználókra alkalmazzák. Alapértelmezés szerint az lgpo.exe nem exportálja az MLGPO-beállításokat.

A következő dolog, amit megvizsgálunk, az, hogy hogyan másoljuk át az MLGPO-beállításokat adott felhasználókhoz vagy csoportokhoz más számítógépekre.

Amikor egy rendszergazda új helyi házirendet hoz létre egy adott helyi felhasználóhoz vagy csoporthoz (MLGPO), külön mappa jön létre az adott csoportházirend-objektum számára a

C:\Windows\System32\GroupPolicyUsers

Könyvtár. A felhasználó vagy csoport SID-je a címtárnév. Például:

• S-1-5-32-545

  - nem rendszergazdák (BUILTIN\USERS)

• S-1-5-32-544

  - rendszergazdák (BUILTIN\ADMINISTRATORS)

Előfordulhat például, hogy át szeretné másolni a nem rendszergazdák helyi csoportházirend-objektumának beállításait egy másik számítógépre.

• A referenciaszámítógépről másolja ki a helyi házirend-beállítások fájlt a szükséges SID-vel (

  C:\Windows\System32\GroupPolicyUsers\S-1-5-32-545\User\Registry.pol

  );

• A Registry.pol fájl nem rendszergazdák számára történő alkalmazásához a célszámítógépen futtassa a következő parancsot:

  lgpo /un "C:\tmp\Registry.pol"

Import MLGPO settings for Non-Administrators from registry.pol

lgpo /ua "C:\tmp\Registry.pol"

lgpo /u:username "C:\tmp\Registry.pol"

Csoportházirend-beállítások exportálása és importálása a LocalGPO segítségével

Korábban a LocalGPO szkriptet (a Microsoft Security Compliance Manager 3.0 része) használták a helyi csoportházirend-konfiguráció importálására és exportálására. A LocalGPO eszköz segítségével gyorsan készíthet biztonsági másolatot a helyi csoportházirend-objektumról, és visszaállíthatja a helyi házirend-beállításokat. Érdekes lehetőség is van egy GPOPack futtatható fájl létrehozására, amely lehetővé teszi a helyi GPO-beállítások migrálását (importálását) egy másik gépre egyetlen kattintással.

A helyi csoportházirend-beállítások exportálásához a C:\GPObackup könyvtárba (a célmappát előre létre kell hozni):

cscript LocalGPO.wsf /Path:C:\GPObackup /Export

A LocalGPO segédprogram lehetővé teszi egy adott csoport vagy felhasználó MLGPO-beállításainak exportálását egy külön könyvtárba. Használt szintaxis:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Administrators

vagy

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:LocalUserName

A helyi csoportházirend-beállítások visszaállítása egy korábbi biztonsági másolatból:

cscript LocalGPO.wsf /Path:C:\GPObackup\{B6542366-C0C0-4948-AF39-B17F0B1F0E9A}

A LocalGPO lehetővé teszi az összes jelenlegi helyi csoportházirend-beállítás visszaállítását az alapértelmezettre:

cscript LocalGPO.wsf /Restore