Skupinová politika (GPO) Centrum pro virtuální a moderní metody a formy vzdělávání na Obchodní akademii T.G. Masaryka, Kostelec nad Orlicí Autor: horak@oakostelec.cz 20.9.2018

Skupinová politika – základní pojmy

Možnosti řízení domény Standarně: Správa účtů Další konzoly pro práci Prostřednictvím GPO Šablony, které se aplikují na všechny počítače v doméně

Princip Konkrétní vlastnost se uloží do registrů každého počítače v doméně Vlastnost definovaná prostřednictvím GPO PC DC PC PC PC PC PC

Odkud se aplikuje skupinová politika? Site 1 Domain 2 OU 3 4 OU Konfigurace počítače i uživatele jsou ovlivňovány (v tomto pořadí) Místní zásady Zásady pro sítě Doménové zásady Zásady pro organizační jednotky Načítání se provádí v tomto pořadí, priority nastavení jsou tedy opačné. Nejvyšší přednost mají tedy Zásady pro organizační jednotky (Místní zásady se přepíší Zásadami pro sítě, ty se přepíší Doménovými zásadami…). Segue: Group Policy Objects are applied to users based on their membership in the Active Directory. Key Talking Points: A user or computer object in Active Directory can have more than one policy apply to it. Group Policy Objects can be created at the site, domain, and OU level, and all of these settings are applied together to the user or computer. Policy settings are inherited from higher level containers to lower level ones. The settings are cumulative, except when two policy settings contradict each other. When settings from two policy objects contradict each other, then the settings from the most specific policy “wins”. For instance, if a domain-level policy says to hide the “Run” command from the start menu, but a policy object created for marketing users says specifically to show it, then the run menu will be shown.

Skupinová politika Objekty skupinové politiky jsou objekty Active Directory Objekty skupinové politiky se aplikují na kontejnery Active Directory Dědění na sub-kontejnery (OU) Filtrování v rámci OU přístupovými právy Segue: <Show of Hands> So, how many people here have worked with NT 4.0 Policies? (Most should have.) Well, Windows 2000 uses an entirely different model for how policies are created, applied, and managed. In Windows 2000, group policy objects are “Objects”, much as a user is an AD “Object”. Each policy object exists in an AD container, and applies to all of the users in that container, and the containers below it.

Aplikace skupinové politiky Windows 2000 a vyšší: Aplikuje se část Computer Settings Spustí se startovací skripty Start počítače Windows 2000: a vyšší Aplikuje se část User Settings Spustí se logovací skripty Logování uživatele Pravidelná aplikace na klientech Desktopové počítače každých 90 minut a Domain Controllery každých 5 minut

Group Policy Management Console (GPMC)

Systémové požadavky GPMC GPMC vyžaduje Windows Server 2008 Windows Server 2003 Windows XP SP 3 Windows Vista Windows 7 Pomocí GPMC lze spravovat domény, Windows Server

Potřebná oprávnění Členové skupiny Enterprise Admins mohou měnit nastavení zásad pro doménovou strukturu, jejíž jsou součástí a pro jakoukoli doménu, jež je potomkem této struktury Členové skupiny Domain Admins mohou dělat správu zásad skupiny pro doménu, v níž se nacházejí. (ale ne pro její poddomény)

Práce s GPO je integrována do Windows Serveru 2008 Správce serveru / Funkce / Správa zásad skupiny ... Kontejnerové objekty v doméně – na ně budete GPO aplikovat Objekty GPO – šablony vlastností, které chcete rozšířit do domény Default Domain Policy má nejvyšší přednost mezi všemi objekty GPO v doméně GPO Starter „šablona“ nový objekt GPO bude zahrnovat všechna nastavení definovaná v GPO Starter.

Postup Vytvořit objekt GPO Objektu GPO přidělíte vlastnosti Objekt GPO musíte propojit s kontejnerem, jehož objektům budete politiky vnucovat Objekt GPO je jakousi šablonou, která může být spojena s více kontejnery Nezapomeňte zadat zda objekt GPO bude pracovat na „uživatele“ nebo na „počítač“

Vytvoření objektu GPO Pravá klávesa myši na Objekty zásad skupiny Volba Nový Pojmenovat

Platnost GPO Nastavení GPO lze rozdělit na: Konfiguraci uživatele, nastavení se aktivuje v okamžiku přihlášení uživatele Konfiguraci počítače, nastavení se aktivuje v okamžiku startu počítače Volba Stav objektu GPO, přes pravou klávesu na objektu GPO Povoleno: objekt je na „počítač“ i na „uživatele“ Ostatní patrné z místní nabídky

Editace objektu GPO Editací přiřadíme objektu vlastnost(i), které se pak budou šířit v doméně Pravá klávesa myši na objektu / Upravit

Editor zásad Konfigurační volby zásad skupiny mají dvě kategorie: Konfigurace počítače, která obsahuje sady nastavení pro počítače, Konfigurace uživatele obsahující nastavení pro uživatele. V každé z obou kategorií se rozlišují nastavení zásad předvolby zásad V případě nastavení zásad rozeznáváme tři hlavní třídy: Nastavení softwaru – automatická instalace nového softwaru a softwarových upgradů, i pro odinstalování softwaru. Nastavení systému Windows – ovládání klíčových nastavení systému Windows pro počítače i uživatele, včetně skriptování a zabezpečení. Pro uživatele jsou k dispozici také služby vzdálené instalace, přesměrování složky a údržby aplikace Internet Explorer. Šablony pro správu – správa nastavení registru, slouží ke změnám konfigurace operačního systému, komponent Windows a aplikací. Šablony pro správu jsou určeny pro specifickou verzi operačního systému. Předvolby zásad mají dvě hlavní třídy voleb: Nastavení systému Windows –klíčová nastavení Windows pro počítače i uživatele, proměnné prostředí, soubory, složky, hodnoty v registru. Pro počítače k dispozici sdílené síťové složky, pro uživatele aplikace a mapování jednotek. Nastavení ovládacích panelů – konfigurace voleb a utilit v ovládacích panelech, zdrojů dat, zařízení, možností složky, možností sítě, napájení, tiskáren.

Editace objektu GPO K dispozici je obrazovka s připravenými šablonami Ty si vyberete a buď povolíte nebo ne Další šablony je možné stáhnout z www Microsoftu, Jednotlivé verze OS mají jiné množství šablon

Úprava prostřednictvím šablon pro správu Není nakonfigurováno: Registr není modifikován. Povoleno: Registr odráží skutečnost, že bylo vybráno nastavení zásad. Zakázáno: Registr odráží skutečnost, že nebylo vybráno nastavení zásad.

Kontrola nastavených vlastností Vybereme objekt Záložka Nastavení Zde vidíme konfiguraci, kterou jsme prostřednictvím šablon vytvořili

Spojení GPO s kontejnerem Nakonec je nutné přiřadit nakonfigurovaný GPO ke kontejneru Pravá klávesa myši na kontejneru (kterému chci přiřadit vlastnosti) Volba Připojit existující objekt zásad skupiny…

Po kopírování: Zkontrolovat IP adresy Odebrat XP z původní domény Přidat do nové domény Cvičení 1 Uživatelům Oldřich a Olga (jsou v kontejneru Opakování), přiřaďte prostřednictvím systémových politik tyto vlastnosti: Zakázat Ovládací panely Odeberte jim koš z plochy GPO vztáhněte na přihlášení uživatele

Cvičení 2 Máte dvě skupiny uživatelů: Jan, Jiří, Jaroslav; uloženo v kontejneru J Aleš, Adam, Anna, uloženo v kontejneru A Pokud se kdokoliv z kontejneru J přihlásí na kterýkoliv počítač tak: Budou mít zakázány všechny ikony na ploše Nebudou moci spustit Správce úloh Pokud se kdokoliv z kontejneru A přihlásí na kterýkoliv počítač tak: Nebude moci změnit tapetu plochy V nabídce Start nebudou mít příkaz Hledat

Cvičení 3 - mapování http://technet.microsoft.com/cs-cz/library/cc770902(WS.10).aspx Prostřednictvím GPO zajistěte, aby každý uživatel počítače (z předešlého cvičení) mohl číst a zapisovat ve složce C:\vsichni Tu na disku vytvořte Přidělte k ní práva Namapujte objekt prostřednictvím GPO (stručný postup: konfigurace uživatele / předvolby / nastavení systému Windows / mapování jednotek) 20.9.2018

Nápověda k Windows Server 2008 Články Microsoft Technet Centrum pro virtuální a moderní metody a formy vzdělávání na Obchodní akademii T.G. Masaryka, Kostelec nad Orlicí Použité materiály: Nápověda k Windows Server 2008 Články Microsoft Technet 20.9.2018