آشنایی با محیط Group Policy Managemeant

در این مقاله قصد داریم با محیط Group Policy Management و پارامترهای آن آشنا شویم.

همانطور که در مقاله قبلی (معرفی Group Policy) ذکر شد اجزای Group Policy از دو بخش تشکیل شده است:

Computer Configuration: تنظیماتی که بر روی یک سیستم انجام می‌شود و مستقل از کاربرانی است که به این سیستم وارد می‌شوند.

User Configuration: تنظیماتی که در سطح یک حساب کاربری انجام می‌شود و مستقل از سیستم‌هایی است که این کاربر به آن‌ها وارد می‌شود.

همچنین ذکر کردیم که انواع Group Policy شامل دو مورد زیر است:

Local Group Policy: دامنه اثر آن‌ها فقط بر روی همان سیستمی است که Policy بر روی آن اعمال شده است و به صورت محلی در هر سیستم مدیریت می شود.

Domain Group Policy: دامنه اثر آن‌ها می‌تواند بر روی یک یا چند دامین باشد. چنین پالیسی‌هایی در سطح دامین ایجاد و اعمال می‌شوند و می‌تواند بر تمام حساب‌های کاربری و رایانه‌ای در دامین تأثیر بگذارند.

در ادامه قصد داریم مدیریت Group Policy را در سیستم محلی و در شبکه دامین بررسی کنیم.

مدیریت Local Group Policy

تنظیماتی که روی سیستم خود در سطح Computer Configuration انجام می‌دهید بر روی سیستم شما اعمال می‌‎شود و تنظیماتی که در سطح User Configuration انجام می‌دهید بر روی تمام حساب‌های کاربری که به این سیستم وارد می‌شوند، اعمال می‌شود. بنابراین در صورتی که قصد دارید Policy خاصی را تنها برای یک یا چند کاربر خاص اعمال کنید نمی‌توانید از این قسمت استفاده کنید زیرا هر پالیسی در این قسمت روی تمام کاربران موجود در دیتابیس سیستم اثر می‌گذارد.

آموزش پالیسی های رایج قابل استفاده در سازمان ها – دوره mcse

چطور Policy خاصی را برای کاربر خاصی تنظیم کنیم؟

در پنجره Run عبارت mmc را تایپ کنید و سپس گزینه OK را کلیک کنید تا وارد پنجره Console1 شوید.

سپس از سربرگ File گزینه Add/Remove Snap-in را انتخاب کنید تا پنجره مربوطه باز شود.

در پنجره Available snap-ins گزینه Group Policy Object Editor انتخاب و بر روی گزینه Add کلیک کنید.

در صفحه Wizard گزینه Browse را انتخاب کنید. تا صفحه جستجو حساب‌های رایانه ای یا کاربری باز شود.

در سربرگ Computers می‌توانید رایانه مورد نظر را انتخاب کنید. در صورتی که بخواهید روی همین سیستم که به آن  وارد شده اید تنظیمات را اعمال کنید گزینه Computer This  را انتخاب کنید.

در سربرگ Users می‌توانید حساب‌های کاربری که می‌خواهید روی این سیستم بر روی آن‌ها Policy اعمال کنید را انتخاب کنید. و گزینه Finish را کلیک کنید.

حال در صفحه Console1 یک User Configuration مخصوص کاربری که انتخاب کرده‌اید ایجاد شده است و از این طریق هر Policy  مورد نیاز را به کاربر اعمال می‌کنید.

مدیریت Domain Group Policy

مدیریت و ساخت Domain Group Policy Object ها (GPO) در سرور کنترلر دامین و در محیط Group Policy Management ، بر روی سیستم ها و حساب های کاربری عضو دامین انجام می‌شود.

آشنایی با محیط Group Policy Management :

وارد Administrative Tools  شوید و گزینه Group Policy Management را انتخاب کنید.

 در این صفحه می‌توانید تمام Policy های مربوط به ساختار جنگل خود را مدیریت کنید. در قسمت چپ صفحه، در خط اول Forest شما قابل مشاهده است (در این مثال cafeamuzesh.local). با گشودن کشو Forest می‌توانید 2 بخش Domains و Sites را مشاهده کنید و بر روی هر یک از آن‌ها Policy  اعمال کنید. در این مقاله ما بخش Domains را توضیح خواهیم داد.

با گشودن کشو Domains میتوانید پالیسی هایی را بر روی دامین های خود اعمال کنید. در این بخش گزینه‌های مختلفی را مشاهده می‌کنید.

• پوشه Group Policy Objects: که محل ذخیره‌ی GPO هایی است که بر روی دامین خود در آینده خواهید ساخت. به طور پیش فرض دوGPO در این پوشه با نصب اکتیودایرکتوری ایجاد می‌شود. که در ادامه کاربرد هریک را توضیح خواهیم داد.

1)  Default Domain Controllers Policy      2) Default Domain Policy

• پوشه Domain Controllers :این پوشه یک گروه سازمانی (OU) است که به صورت پیش فرض با نصب سرویس اکتیودایرکتوری در محل Active Directory Users And Computers ایجاد شده است و اعضای آن کنترلرهای دامین شما است. مثلا شامل کنترلر اصلی (PDC) و کنترلر اضافی (ADC) . شما می‌توانید به این پوشه پالیسی خاصی را با ساخت یک GPO و لینک کردن آن به پوشه، اعمال کنید. هر GPO که به این پوشه لینک کنید در کشو زیرمجوعه آن قابل مشاهده است.

 هر OU جدیدی که در محل Active Directory Users And Computers ایجاد کنید در قسمت GP Management ظاهر می‌شود. به طور مثال ما در کنسول Active Directory Users And Computers   یک گروه سازمانی به نام User Accounts ایجاد کرده‌ایم، همینطور که در شکل مشخص است این گروه در پنجره Group Policy Management نیز ظاهر شده است و در این محل می‌توانید بر روی این گروه سازمانی، GPOهای دلخواهی را تنظیم کنید. هر Policy  که بر روی این گروه‌های سازمانی تنظیم شود به اعضای آن (که شامل حساب‌های کاربری، رایانه‌ای و گروه‌ها هستند) به ارث می‌رسد.

• پوشه WMI Filters: عمل فیلتر نویسی با هدف اعمال هدفمند GPO. به طور مثال با اعمال فیلتر می‌توانید Policy را فقط بر روی سیستم‌هایی با ویندوز سرور 2022 اعمال کنید.

Default Domain Controllers Policy چیست؟

GPO های پیش فرضی است که فقط به کنترلرهای دامین اعمال شده است. بنابراین این GPO به طور پیش فرض به گروه سازمانی Domain Controllers اعمال شده و (کادر1 در شکل زیر) در کشو گشوده شده آن قابل مشاهده است. پالیسی‌های زیادی در این GPO بر روی کنترلرها اعمال شده است. به طور مثال، اعضای گروه Domain Users نمی‌توانند به سرورهای کنترلر وارد شوند.

Default Domain Policy چیست؟

GPO های پیش فرضی است که فقط به کنترلرهای دامین اعمال شده است و (کادر 2 در شکل زیر) در کشو دامین Cafeamuzesh.local قابل مشاهده است. در این GPO پالیسی‌های پیش فرض زیادی برای کاربرانی که عضو دامین می‌شوند اعمال شده است تا یک سطح حداقلی از امنیت در شبکه دامین رعایت شود. به طور مثال رمز حساب کاربری باید حداقل 7 کاراکتر و پیچیده، ترکیبی از اعداد و حروف و نشانه‌ها باشد، رمز عبور هر 42 روز باید توسط کاربر تغییر کند و …

چگونه پالیسی‌های GPO را تغییر دهیم؟

برای ایجاد تغییر در پالیسی‌های پیش فرض موجود در GPO مورد نظر بر روی آن کلیک راست کنید و گزینه Edit را انتخاب کنید و پالیسی‌های مورد نظر را تغییر دهید. که در مقالات آینده به توضیح مفصل آن می‌پردازیم.

چگونه پالیسی‌های GPO را غیرفعال کنیم؟

همانطور که در قسمت GPO Status نشان داده شده (قسمت 1 در شکل بالا) وضعیت GPOها به طور پیش‌فرض فعال (Enable) است. با انتخاب گزینه GPO Status و انتخاب گزینه 2، میتوانید تمام پالیسی‌های تنظیم شده در این GPO  را غیرفعال کنید، با انتخاب شماره 3، فقط پالیسیهای اعمال شده به User ها را غیرفعال و با انتخاب گزینه 4 فقط پالیسی‌های اعمال شده به Computers ها را غیرفعال کنید.

چگونه متوجه شویم که یک GPO خاص به چه آبجکت هایی لینک شده است؟

با کلیک بر روی GPO مورد نظر و در صفحه سمت راست، سربرگ scope در بخش Location می‌توانید آبجکت‌هایی که این GPO به آنها لینک شده است را مشاهده کنید. این GPO تنها به Domain Controllers  لینک شده است.

در مقالات آینده نحوه ساخت و اعمال GPO به آبجکت‌های مختلف را بررسی خواهیم کرد.