Polityki GPO – kontrola użytkownika i bezpieczeństwo
Scenariusz z życia
Firma chce ograniczyć to, co użytkownik może zmieniać na komputerze: wyłączyć Panel sterowania lub jego fragmenty, ustawić wspólną tapetę, wymusić politykę haseł (długość, złożoność, historia), zablokować porty USB. Zamiast konfigurować to na każdej stacji, administrator ustawia to w GPO – raz w domenie, stosowane do wybranych OU (użytkowników lub komputerów).
Co dzieje się w systemie
W GPO (Edit) masz Computer Configuration i User Configuration. Przykłady: blokada Panelu sterowania – User Configuration → Policies → Administrative Templates → Control Panel. Tapeta, wygaszacz – User Configuration (Desktop). Polityka haseł – Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies → Password Policy (minimalna długość, złożoność, historia). Blokada USB – Computer Configuration → Administrative Templates → System → Removable Storage Access. Po zapisie klient pobiera GPO przy logowaniu (User) lub przy starcie (Computer); kolejność i nadpisywanie zależą od dziedziczenia i Enforced.
Nazwy i definicje
GPO (Group Policy Object) – zbiór ustawień stosowanych do użytkowników i/lub komputerów w domenie lub OU. Computer Configuration – ustawienia dla komputerów (stosowane przy starcie); m.in. Security Settings, instalacja oprogramowania. User Configuration – ustawienia dla użytkowników (stosowane przy logowaniu); m.in. pulpity, mapowanie dysków, ograniczenia interfejsu. Password Policy – w Account Policies: minimalna długość hasła, złożoność, historia, okres ważności. gpresult /r – raport zastosowanych GPO na bieżącym użytkowniku/komputerze. rsop.msc – Resultant Set of Policy; podgląd skutecznych ustawień (co faktycznie zostało zastosowane).
Konsekwencje administracyjne
Polityka haseł w GPO dotyczy kont domenowych (domyślna polityka domeny). Blokada USB i inne ustawienia Computer – po restarcie. User – po wylogowaniu/zalogowaniu lub gpupdate /force. Konflikty: niższa OU może nadpisać wyższą (chyba że Enforced); kolejność linków ma znaczenie.
Myślenie administratora
Kontrola użytkownika = User Configuration (Panel sterowania, tapeta, ograniczenia). Bezpieczeństwo = często Computer (hasła, USB, firewall). Diagnostyka: gpresult /r w CMD lub rsop.msc – czy polityka w ogóle się zastosowała i skąd pochodzi.
Zapamiętaj – 4 fakty egzaminowe
- Kontrola interfejsu (Panel sterowania, tapeta) – zwykle User Configuration; bezpieczeństwo (hasła, USB) – często Computer Configuration (Security Settings, Administrative Templates).
- Password Policy w GPO: Computer Configuration → Windows Settings → Security Settings → Account Policies → Password Policy.
- gpresult /r – raport zastosowanych GPO; rsop.msc – Resultant Set of Policy (skuteczne ustawienia).
- Zmiany GPO: Computer – po restarcie lub gpupdate /force; User – po wylogowaniu/zalogowaniu lub gpupdate /force.