Занятие 16 .Групповые политики

Так как пользователи постоянно экспериментируют со своими настройками, то это усложняет работу администратора. Для управления настройками рабочего стола, профилями пользователей, автономными папками, политикой паролей , аудита и домена, настройками стандартных программ ... создана утилита gpedit.msc , позволяющая выполнять эти настройки для локальных компьютеров . Эта утилита управляет локальной групповой политикой. Эту политику можно также вызвать из Administrative Tools – Local Security Polisy.

Для управления этими настройками в пределах домена, можно создавать групповые политики для : всего домена, сайтов и организационных единиц.

Действие групповых политик.

Как же действуют все эти политики, когда они есть все вместе?

Во-первых. В каждой политике можно либо задать параметр настройки с конкретным значением, либо вообще его не задавать. При этом :

1) если параметр задан для политики, то он действует в таком порядке: политики WIN NT4 - Локальная политика - Сайт - Домен -> Организационная единица

При этом действовать в результате будет последний (т.е.организационной единицы)

2) если параметр не задан, то действует параметр, заданный для более верхнего уровня политики (самый верхний – локальный, самый нижний - для OU).

Следует отметить, что после настройки групповая политика действует не сразу, а после перезахода пользователя или спустя определенный интервал ( заданный в настройках самой политики). Для того, чтобы политика начала действовать сразу, необходимо в командной строке задать одну из команд:

Secedit /refreshpolicy machine_policy для применения политики компьютера

Secedit /refreshpolicy user _policy для применения политики пользователя

Применение групповых политик явно задается для пользователей, групп, компьютеров … в свойствах каждой политики в закладке security. При этом можно задать :

Установленное значение для группы	Результат применения политиики
Apply Group Policy: Allow Read: Allow	Применяется ко всем членам группы, кроме тех, для кого в другой группе задано dany (в Apply или Read)
Apply Group Policy: Dany Read: Dany	Не будет применяться, независимо от применения в других группах, в которые входят эти пользователи
Apply Group Policy: не установлено Read: не установлено	Применение зависит от установки в других группах

14. Применение групповой политики

• Открыть свойства групповой политики домена – закладку Group Policy

• Создать политику My_domain ( кнопка add)

• Открыть свойства политики My_domain – закладка security

• Включить для всех авторизованных пользователей применение этой политики

• Отключить действие политики для группы администраторов и разрешить полный доступ к настройкам политики.

• Просмотреть первичные разрешения доступа к политике для администраторов. ( кнопка Advanced).

• Разрешить группе Server Operators изменение политики

Блокировка: каждая политика может заблокировать действие параметров верхнего уровня для не заданных параметров текущей политики. Т.е. если параметр не задан в текущей политике, то аналогичные параметры верхних политик тоже не будут действовать. Для такого блокирования нужно в закладке групповой политики ( в свойствах домена, сайта или OU) включить флаг «Block Policy inheritance»