آشنایی با Group Policy Filtering and WMI filtering

در مقالات قبلی مربوط به موضوع Group Policy  بررسی کردیم که با اعمال یک Group Policy Objects (GPO) به یک گروه سازمانی(OU)، این GPO بر روی تمام گروه‌ها، حساب‌های کاربری، و حساب‌های رایانه ای موجود در این OU اثر می‌گذارد. در صورتی که قصد دارید محدوده اثرگذاری این GPO را کوچک تر کنید و فقط به اعضای خاصی از این OU پالیسی‌ها اعمال شود می‌توانید از فیلترینگ‌هایی که در کنسول مدیریتی Group Policy Management در اختیار شما قرار گرفته است استفاده کنید.

در مقالات قبلی بررسی کردیم که چگونه متوجه شویم، یک GPO، به چه آبجکت هایی لینک شده است. با ورود به کنسول Group Policy Management و کلیک بر روی GPO مورد نظر، در صفحه سمت راست، سربرگ scope، در بخش Location می‌توانید آبجکت‌هایی که این GPO به آنها لینک شده است را مشاهده کنید. در این سربرگ دو بخش دیگر به نام Security filtering  و WMI filtering برای عمل فیلترینگ وجود دارد.

Security filtering

به طور مثال در شکل زیر پالیسی Default Domain Policy  به دامین  cafeamuzesh.local  و گروه سازمانی User Accounts لینک شده است. GPOهایی که به یک OU لینک می‌شود، تنها می‌تواند به حساب‌های رایانه ای، کاربری و گروه‌هایی اعمال شود که در بخش Security filtering وجود داشته باشد، یعنی اگر در OU شما اعضایی وجود داشته باشد که در بخش Security filtering اضافه نشده باشد این GPO بر روی آن‌ها اثر نمی‌گذارد.

 بنابراین از این بخش برای محدود شدن (فیلتر کردن) اثرگذاری GPO بر روی اعضای یک OU  استفاده می‌شود و GPO تنها بر روی اعضای خاصی از OU اثر می‌گذارد . به طور پیش فرض در این بخش گروه Authenticated users که یک گروه سیستمی است و توسط ادمین قابل مدیریت نیست، قرار دارد که شامل تمام کاربرانی است که توسط کنترلر اکتیودایرکتوری احرازهویت شده‌اند. بنابراین به طور پیش فرض هیچ فیلتری بر روی GPOهای لینک شده، اعمال نشده است.

آموزش کامل Group Policy در دوره mcse

اگر این گروه را از بخش Security filtering حذف کنید GPO به هیچ حساب کاربری یا رایانه‌ای اعمال نخواهد شد.

اکنون می‌توانید هر گروه، کاربر یا سیستم که می‌خواهید GPO (فیلتر) بر روی آن اعمال شود را به زدن گزینه Add به این بخش اضافه کنید.در پنجره ظاهر شده بر روی Advanced کلیک کنید و در پنجره جستجو بر روی Find now کلیک کنید تا  لیست تمامی آبجکت‌های موجود در اکتیودایرکتوری شما نمایش داده شود و می‌توانید از لیست موجود آبجکت‌های مورد نظر را به این بخش اضافه کنید.

دقت کنید در صورتی که تنظیمات GPO در سطح Computer Configuration باشد یعنی این GPO بر روی حساب‌های رایانه اعمال خواهد شد، بنابراین در بخش Security filtering نیز باید حساب‌های رایانه ای یا گروه‌هایی با اعضای حساب رایانه‌ای اضافه کنید تا GPO بر روی آن اثر بگذارد. و برعکس اگر تنظیمات شما در سطح User Configuration باشد یعنی این GPO بر روی حساب‌های کاربری اعمال خواهد شد، بنابراین در بخش Security filtering نیز باید حساب‌های کاربری  یا گروه‌هایی با اعضای حساب کاربری  اضافه کنید تا GPO بر روی آن اثر بگذارد.

WMI filtering

یکی دیگر از بخش‌هایی است که می‌تواند عمل فیلترینگ را انجام دهد. فرض کنید می‌خواهید GPO شما تنها بر روی گروه خاصی از سیستم‌ها یا کاربران اعمال شود که همگی ویژگی مشترکی دارند به طور مثال قصد دارید نرم‌افزار خاصی را بر روی سیستم‌هایی فقط با ویندوز 10 نصب کنید. اگر بخواهید از Security filteringاستفاده کنید باید تک تک سیستم‌های شبکه را بررسی کنید و نوع ویندوز آن‌ها را بررسی کنید و سیستم‌های مورد نظر را در این بخش اضافه کنید، که اینکار برای شبکه‌هایی با سیستم‌های زیاد بسیار وقت گیر خواهد بود. برای این کار می‌توانید از WMI filtering استفاده کنید و با نوشتن Queryهای دلخواه، سیستم‌های مد نظر را از سایر سیستم‌ها فیلتر کنید.

برای ایجاد filtering WMI جدید در کنسول Group Policy Management بر روی WMI filter کلیک راست کنید و گزینه New را انتخاب کنید.

در پنجره باز شده یک نام در قسمت name وارد کنید. و در قسمت Queries بر روی Add کلیک کنید تا پنجره نوشتن Query باز شود:

 برای نوشتن Query هایی با هدف فیلتر کردن سیستم هایی با انواع ویندوز می‌توانید از دستور زیر استفاده کنید.

select *from win32_OperatingSystem where Version like “6.%” and ProductType=”1“

عدد قرمز رنگ برای انواع ویندوز شماره مختلفی دارد مثلا عدد 6 برای ویندوز ویستا است. برای یافتن این عدد کافی است در سیستم ویندوز کلاینت در پنجره cmd  دستور ” ver” را تایپ کنید.

به طور مثال در شکل زیر در یک سیستم ویندوز 10 دستور زیر را تایپ کرده ایم و برای فیلتر کردن سیستم‌هایی با ویندوز 10 باید به جای عدد قرمز رنگ، عدد زیر را تایپ کنید.

در شکل زیر در یک سیستم ویندوز 11 دستور ” ver”را تایپ کرده ایم.

عدد بنفش رنگ شامل 3عدد زیر است:

عدد “1”:  تنها سیستم‌های ویندوزی کلاینتی فیلتر می‌شود.

عدد “2”:  تنها سیستم‌های ویندوزی سروری که نقش کنترلر دامین را دارند، فیلتر می‌شود.

عدد “3”:  تنها سیستم‌های ویندوزی سروری که نقش کنترلر دامین را ندارند، فیلتر می‌شود.

علاوه بر دستور بالا می‌توانید از دستورات زیر نیز استفاده کنید

select Version from win32_OperatingSystem where Version >  “6“

دستور بالا ویندوزهایی با ورژن پایین تر از ویستا (یعنی ویندوز XP و ویندوز سرور 2003 را شامل می‌شود).

select Version from win32_OperatingSystem where Version like”   “%6.0

دستور بالا ویندوز ویستا و ویندوز سرور 2008 را شامل می‌شود.

select Version from win32_OperatingSystem where Version =”   5.1.2600″

دستور بالا فقط ویندوز XP، سرویس پک 2 را شامل می‌شود.