a Microsoft Csoportházirend-objektuma (csoportházirend-objektum) a csoportházirend-beállítások gyűjteménye, amely meghatározza, hogy a rendszer hogyan fog kinézni és hogyan fog viselkedni egy meghatározott felhasználói csoport számára.
a Microsoft olyan program beépülő modult biztosít, amely lehetővé teszi a Csoportházirend-kezelő konzol (GPMC) használatát. A kijelölések egy csoportházirend-objektumot eredményeznek. A csoportházirend-objektum a kiválasztott Active Directory-tárolókhoz, például webhelyekhez, tartományokhoz vagy szervezeti egységekhez (ou) van társítva. A GPMC lehetővé teszi egy olyan GPO létrehozását, amely meghatározza a beállításjegyzék-alapú politikákat, a biztonsági beállításokat, a szoftver telepítési és karbantartási opcióit, a szkriptek beállításait és a mappaátirányítási lehetőségeket.
a GPO-k típusai
a GPO-knak három típusa van: Helyi, nem helyi és starter.
- Helyi Csoportházirend-Objektumok. A helyi csoportházirend-objektum azokra a csoportházirend-beállításokra vonatkozik, amelyek csak a helyi számítógépre és a számítógépre bejelentkező felhasználókra vonatkoznak. A helyi csoportházirend-objektumokat akkor használják, ha a házirend-beállításokat egyetlen Windows-számítógépre vagy-felhasználóra kell alkalmazni. A helyi GPO-k alapértelmezés szerint minden Windows számítógépen léteznek.
- nem Helyi csoportházirend-objektumok. Nem Helyi csoportházirend-objektum akkor használható, ha a házirend-beállításoknak egy vagy több Windows-számítógépre vagy-felhasználóra kell vonatkozniuk. A nem Helyi csoportházirend-objektumok Windows rendszerű számítógépekre vagy felhasználókra vonatkoznak, ha az Active Directory-objektumokhoz, például webhelyekhez, tartományokhoz vagy szervezeti egységekhez kapcsolódnak.
- Kezdő Csoportházirend-Objektumok. A Windows Server 2008 rendszerben bevezetett kezdő Csoportházirend-csoportházirend-beállítások sablonjai. Ezek az objektumok lehetővé teszik a rendszergazda számára, hogy olyan előre konfigurált beállításcsoportot hozzon létre, amely minden jövőbeli létrehozandó házirend alapvonalát képviseli.
adatbiztonság és csoportházirend-objektum
vannak olyan csoportházirend-beállítások, amelyek segíthetnek a vállalat hálózatának biztonságában. A Csoportházirend segítségével például egy szervezet parancsfájlokat futtathat, megakadályozhatja, hogy a felhasználók hozzáférjenek bizonyos erőforrásokhoz, és egyszerű feladatokat hajthat végre, például egy adott Kezdőlap megnyitását kényszerítheti minden hálózati felhasználó számára.
néhány ilyen biztonsági intézkedés a következőket tartalmazza:
- a Vezérlőpulthoz való hozzáférés korlátozása-a Vezérlőpulton keresztül a vállalat a számítógép minden aspektusát vezérelheti. A számítógéphez való hozzáférés korlátozása lehetővé teszi a szervezetek számára, hogy biztonságban tartsák az adatokat és egyéb erőforrásokat.
- Parancssor letiltása-a vállalat parancssorokat használhat olyan parancsok futtatására, amelyek magas szintű hozzáférést biztosítanak a felhasználóknak, és megkerülik az egyéb rendszerkorlátozásokat. Ezért célszerű letiltani a parancssort a rendszer erőforrásainak biztonsága érdekében. Ha egy felhasználó megpróbál megnyitni egy parancsablakot a Parancssor letiltása után, a rendszer egy üzenetet jelenít meg, amely jelzi, hogy egyes beállítások ezt megakadályozzák.
- Szoftvertelepítés megakadályozása — ha a felhasználók telepíthetnek szoftvert, telepíthetnek kéretlen alkalmazásokat vagy rosszindulatú programokat, amelyek veszélyeztethetik a vállalat rendszerét. Mint ilyen, jobb, ha a csoportházirenden keresztül megakadályozza a szoftver telepítését.
csoportházirend-objektumok előnyei
a Csoportházirend-objektumok megvalósításának számos előnye van a biztonság mellett, többek között:
- hatékonyabb kezelés – a már meglévő GPO-K szabványosított környezetet alkalmaznak minden új felhasználóra és számítógépre, amelyek csatlakoznak a szervezet tartományához, időt takarítva meg a beállítás során.
- egyszerű adminisztráció-a rendszergazdák GPO-n keresztül telepíthetnek szoftvereket, javításokat és egyéb frissítéseket.
- jobb jelszóházirend-érvényesítés-a Csoportházirend-Tárolók meghatározzák a jelszó hosszát, újrafelhasználási szabályokat és egyéb követelményeket állapítanak meg a jelszavakra vonatkozóan a vállalat hálózatának biztonsága érdekében.
- mappaátirányítás konfigurálása — a GPO-k lehetővé teszik a vállalatok számára, hogy a felhasználók fontos vállalati fájlokat tároljanak egy központosított és felügyelt tárolórendszeren. Például egy szervezet átirányíthatja a felhasználó Dokumentumok mappáját, amelyet általában egy helyi meghajtón tárolnak, egy hálózati helyre.
a Csoportházirend-objektumok korlátai
a csoportházirend-objektumok korlátai a következők:
- egymás után futnak — a GPO-k egymás után dolgozzák fel a műveleteket. Következésképpen, ha sok GPO-t kell konfigurálni, a felhasználók bejelentkezése hosszú időt vehet igénybe.
- a rugalmasság korlátozott-a GPO-k csak felhasználókra vagy számítógépekre alkalmazhatók. Tehát korlátozottak, amikor a beállításokat a kontextus alapján alkalmazzák.
- Korlátozott triggerek — a GPO-k csak a számítógép indításakor alkalmazhatók, amikor a felhasználó bejelentkezik, vagy meghatározott időközönként. A csoportházirend-objektumok nem tudnak reagálni a környezet változásaira, például a hálózat leválasztására vagy újracsatlakoztatására.
- nehéz karbantartani-nincs beépített keresési vagy szűrési lehetőség egy adott beállítás megkeresésére a csoportházirend-objektumon belül, ami megnehezíti a meglévő beállításokkal kapcsolatos problémák megtalálását vagy javítását.
- nincs Verzióvezérlés-a csoportházirend-objektumok beállításainak módosításait a rendszer nem ellenőrzi. Tehát, ha helytelen változtatás történik, lehetetlen megmondani, hogy mi volt a változás, vagy ki tette.
GPO-K feldolgozási sorrendje
a csoportházirendek feldolgozási sorrendje befolyásolja a számítógépre vagy a végfelhasználóra alkalmazott beállításokat. Ez a feldolgozási sorrend LSDOU néven ismert: helyi, webhely, domain, szervezeti egység. Először a helyi számítógépes házirendet dolgozzák fel, majd az Active Directory házirendeket a webhely szintjétől a tartományig, majd az OU-ba (a beágyazott szervezeti egységekben lévő csoportházirend-objektumok először a gyökérhez legközelebb eső OU-ból kerülnek alkalmazásra, és onnan folytatódnak). Ha vannak konfliktusok, az utoljára alkalmazott politika lép hatályba.
példák Csoportházirend-objektumokra
az alábbiakban példák Csoportházirend-objektumokra:
- a csoportházirend-objektum meghatározhatja azt a kezdőlapot, amely először jelenik meg, amikor a felhasználó elindítja az Internet Explorert. Amikor a felhasználó bejelentkezik a tartományba, a rendszer lekéri a csoportházirend-objektumot, és alkalmazza a felhasználó Internet Explorer konfigurációjára.
- egy szervezet csoportházirend használatával telepíthet megosztott hálózati nyomtatókapcsolatokat az Active Directory egy adott szervezeti egységéből származó felhasználókhoz. Tehát amikor egy felhasználó bejelentkezik a Windows rendszerbe, egy hozzárendelt hálózati nyomtató automatikusan megjelenik az elérhető nyomtatók listájában.
- a rendszergazdák csoportházirend segítségével módosíthatják a beállításokat, például kikapcsolhatják a számítógép kijelzőit egy bizonyos ideig, kiválaszthatják az alapértelmezett programokat, és megakadályozhatják, hogy a felhasználók megváltoztassák az internetkapcsolat beállításait.
legjobb gyakorlatok
néhány legjobb gyakorlat a GPO-k számára:
- hozzon létre egy jól megtervezett szervezeti egységstruktúrát az Active Directoryban a Csoportházirend alkalmazásának és hibaelhárításának egyszerűsítése érdekében.
- adjon leíró neveket a Csoportházirend-objektumoknak, hogy a rendszergazdák gyorsan azonosíthassák az egyes csoportházirend-objektumok működését.
- minden csoportházirend-objektumhoz adjon megjegyzéseket, amelyek elmagyarázzák, hogy miért hozták létre, mi a célja és milyen beállítások vannak.
- ne állítson GPO-kat tartományszinten, mert azok minden számítógépre és felhasználói objektumra alkalmazandók lesznek. Ez azt eredményezheti, hogy egyes beállításokat szükségtelenül alkalmaznak egyes objektumokra.
- ne használja az Active Directory gyökérszámítógépeit vagy felhasználói mappáit, mert azok nem szervezeti egységek, és nem kapcsolhatók hozzájuk csoportházirend-objektumok. Amikor új felhasználó vagy számítógépes objektum jelenik meg ezekben a mappákban, azonnal a megfelelő OU-nak kell lennie.
- ne tiltsa le a csoportházirend-objektumot. Inkább törölje a linket egy OU-ból a csoportházirend-objektum letiltása helyett, ha nem akarja alkalmazni. A csoportházirend-objektum letiltása megakadályozza annak teljes körű alkalmazását a tartományban. Ez problémát jelenthet, mert ha az adott csoportházirendet egy másik szervezeti egységben használják, akkor az ott már nem fog működni.