ساخت و اعمال Group Policy Object (GPO) به دامین در اکتیودایرکتوری

به دو روش می‌توانید GPO ها را ایجاد کنید و آن‌ها به آبجکت‎‌های مورد نیاز اعمال(لینک) کنید.

روش 1: ابتدا GPO مد نظر را ایجاد کنید و سپس آن را به هر آبجکت مورد نظر لینک کنید.

وارد Administrative Tools شوید و گزینه Group Policy Management را انتخاب کنید.

با گشودن کشو Domains بر روی پوشه Group Policy Objects کلیک کنید. برای ساخت یک GPO جدید برای کاربران و سیستم‌های عضو دامین در پنجره سمت راست، کلیک راست کنید و گزینه New را انتخاب کنید.

در صفحه باز شده در کادر Name یک نام مطابق با پالیسی خود ایجاد کنید. مثلا اگر پالیسی شما برای اعمال امنیت است نام آن را security بگذارید.

دوره آموزشی مایکروسافت و ویندوز سرور

با انجام مراحل بالا یک GPO خام (پیکربندی نشده) جدید در پوشه Group Policy Objects ایجاد می‌شود.

هر GPO ایجاد شده شامل پالیسی‌های بسیاری در سطح User Configuration و Computer Configuration است که همگی در حالت تنظیم نشده (not Configure) هستند و شما مطابق با هدف خود می‌توانید هر پالیسی را در لیستی که در اختیار شما است،فعال (Enable) کنید و جزییات آن را تنظیم کنید. برای این کار بر روی GPO کلیک راست کنید و گزینه‌ی Edit را انتخاب کنید تا صفحه Group Policy Management Editor باز شود. در مقالات آینده چندین مثال از تنظیم پالیسی‌ها در این بخش را توضیح خواهیم داد.

اکنون که ساخت GPO تمام شد باید آن را به آبجکت مورد نظر لینک کنیم تا پالیسی‌های این GPO به آن آبجکت اعمال شود.

فرض کنید می‌خواهیم GPO به کل دامین ما اعمال شود. بنابراین بر روی نام دامین (در این مثال cafeamuzesh.local) کلیک راست کنید و گزینه Link an Existing GPO را انتخاب کنید تا لیست GPO‌های پیش فرض یا ساخته شده توسط شما، نمایش داده شود.

در صفحه Select GPO می‌توانید GPO مورد نظر را که می‌خواهید به کل دامین شما لینک شود را انتخاب کنید که ما Security را انتخاب کرده‌ایم.

به همین ترتیب ما GPO Security را به گروه سازمانی User Accounts که قبلا در کنسول Active Directory Users And Computers ایجاد کرده بودیم نیز، لینک کردیم. طبق شکل مشاهده می‌کنید که shortcut GPO Security در زیرمجوعه هر دو وجود دارد.

روش 2: ابتدا آبجکت مورد نظر را انتخاب کنید و سپس یک GPO برای آن ایجاد کنید.

بر روی آبجکت مورد نظر مثلا گروه سازمانی User Accounts کلیک راست کنید و گزینه Create a GPO in This Domain, And Link it here را انتخاب کنید. تا عمل ایجاد و لینک GPO به این گروه به طور همزمان انجام شود.

سپس در صفحه باز شده در کادر Name یک نام انتخاب کنید.

چه زمانی GPO جدید ایجاد کنیم؟

در صورتی که نیاز دارید یک پالیسی بر روی تمام اعضای دامین شما اعمال شود می‌توانید بدون ساخت GPO از GPO پیش فرض Default Domain Policy یا Default Domain Controllers Policy (برای اعمال به تمام کنترلرهای دامین) استفاده کنید و با استفاده از گزینه Edit این تنظیمات را اعمال کنید. ولی در صورتی که بخواهید به گروه خاصی از اعضای دامین GPO را اعمال کنید بهتر است برای آن هدف یک GPO مجزا بسازید و GPO پیش فرض را بدون تغییر بگذارید.

بهتر است برای هر هدف کلی یک GPO مجزا ایجاد کنید. مثلا GPO جداگانه ای را برای تنظیمات مربوط به firewall، بکاپ، نصب نرم افزار و … ایجاد کنید تا در صورتی که قصد دارید تغییری در هر GPO ایجاد کنید یا آن پالیسی را حذف کنید، به راحتی GPO مد نظر را به طور جداگانه تغییر دهید یا حذف کنید.

اما در نظر داشته باشید تعداد GPO بیش از حد نشود و برای هر هدف کوچک یک GPO ایجااد نکنید. پیشنهاد می‌شود تعداد کل GPO حداکثر 10 عدد باشد. علت این امر این است که زمانی که سیستم‌های دامین روشن می‌شوند در ابتدای فرایند بالاآمدن آن، سیستم عامل به سرور کنترلر دامین متصل شده و تنظیمات GPO ها را چک کرده و تنظیمات که مربوط به آن سیستم است را بر روی خود اعمال کند. وقتی تعداد این GPO بیش از اندازه زیاد باشد زمان گرفتن این تنظیمات و در نتیجه زمان بالا آمدن سیستم طولانی خواهد شد و حتی بعد از دریافت چند GPO اول دیگر به سراغ سایر GPO ها نمی‌رود زیرا زمان بالاآمدن سیستم عامل بسیار طولانی شده و در نتیجه برخی تنظیمات بر روی سیستم ممکن است اعمال نشود.

حذف یک GPO:

در صورتی که قصد دارید GPO خاصی را که قبلا به یک آبجکت (مثلا گروه سازمانی User Accounts) لینک شده است را از آن جدا کنید کافی است بر روی آن GPO در کشو باز شده راست کلیک کنید و گزینه Delete را انتخاب کنید. در این حالت اصل GPO به طور کامل حذف نمی‌شود بلکه تنها از گروه سازمانی User Accounts جدا (unlink) شده است.

در صورتی که قصد دارید GPO را به طور کامل از لیست GPO ها حذف کنید و به هیچ آبجکتی لینک نباشد، وارد پوشه Group Policy Objects شوید و بر روی GPO مورد نظر راست کلیک کنید و گزینه Delete را انتخاب کنید.