Polityki GPO

Spis treści:
1. GPO - ogólnie
2. Przykład 1 zmiana polityki haseł
3. Przykład 2 brak dostępu do panelu sterowania
4. Synchronizacja katalogów (zamiast profilu mobilnego)
5. Zdalna (wypychana) instalacja paczek msi 
6. Włączanie pingów na wszystkich klientach przez GPO

1. GPO - ogólnie

Zasady grupy GPO jest to zbiór ustawień określających zakres uprawnień dla komputera bądź użytkownika, określające z jakich użytkownik może korzystać aplikacji, z jakich zasobów komputera i sieci, z jakich urządzeń peryferyjnych (czytnik usb, CDROM itp), ustalanie zasad haseł, przekierowanie folderów, 

Wybieramy Group Policy Management. 

Struktura: 

Forest ... - las domen

domena.local - domena:

- jednostki organizacyjne: wydział1, wydział2 itd

- Group Policy Objects - kontener zbiorczy ze wszystkimi zasadami dla dwóch obiektów

Default Domain Controlers Policy (dla kontrolera domeny) i dla

Default Domain Policy (dla obiektów w domenie: np.: polityka haseł), aby zasady zapisane zadziałały muszą być podlinkowane jak np. Default Domain Policy wyżej jest podlinkowany pod domena.local, a Default Domain Controlers Policy jest podlinkowany pod Domain Controlers. W pozostałych jednostkach wydział1, wydział2 itd nie ma jeszcze podlinkowanych zasad.

- WMI Filters - kontener z filtrami WMI np. na jakim systemie uruchamiać zasady Windows 10, czy Windows 7 

- Starter GPOs - kontener zasad startowych (roboczych) do edycji 

Sites - lokacje

Group Policy Modeling - Menadżer modelowania zasad

Group Policy Results - Menadżer wyników zasad

Hierarchia (kolejność) przetwarzania zasad: 

1. zasady dla jednostek organizacyjnych (najważniejsze), jeśli nie ma to:

2. Default Domain Policy (zasady dla domeny), jeśli nie ma to:

3. Sites - zasady lokacji, jeśli nie ma to:

4. Komputer - zasady zdefiniowane na lokalnych komputerach.

Najwyższy priorytet przetwarzania mają zasady zdefiniowane dla jednostek organizacyjnych. Np. jeśli zdefiniujemy dla domeny zakaz dostępu do panelu sterowania a dla jednostki organizacyjnej np. wydział1 dostęp do panelu sterowania to dla użytkowników wydziału1 panel sterowania będzie zawsze dostępny. Dla użytkowników spoza wydział1 panel sterowania będzie niedostępny.

Z menadżera możemy sterować zasadami GPO wieloma domen. 

Przykład 1

zmiana polityki haseł dla całej domeny.

Uruchamiamy menadżera GPO (Windows Administrative Tools->Group Policy Management->Default Domain Policy).

Jeśli nie ma aktywnego przycisku Edit... musimy podnieść uprawnienia użytkownika na którym pracujemy (mario) na serwerze poprzez:

Active Directory Users and Computers->Users->mario->Properties->Member Of->Domain Admins ->Set Primary Group->Reset serwera

.... edytujemy Default Domain Policy->Computer Configuration->Policies->Windows settings->Security settings->Account Policies->Pasword Policy->gpupdate /force (na serwerze)

Zadanie wykonane.

Uwaga !
Generalnie edytując zasady grupy mamy do wyboru ustawienia dla komputera lub dla użytkownika:

Ustawienia (zasady) zdefiniowane dla komputerów będą działały dla wszystkich pracujących w domenie niezależnie od użytkownika dotyczy też serwera, natomiast ustawienia (zasady) zdefiniowane dla użytkownika będą dotyczyć tylko użytkowników niezależnie do jakich komputerów się będą logować. Należy pamiętać że część ustawień jest wspólna dla komputera jak i użytkownika, ale też są ustawienia odrębne.

Zadanie 2

Utwórz GPO dla wydziału1, brak dostępu do panelu sterowania.

GPO->wydział1->prawy klik->Create a GPO...->bez panelu sterowania->prawy klik na "bez panelu..."->edit->User Configuration->Policies->Administrative Templates->Control Panel->Prohibit access to control panel ...->enabled->gpupdate /force (na serwerze i kliencie)

ok.

4. Synchronizacja pulpitów i dokumentów.
Stwórz udział na serwerze do synchronizacji pulpitów i dokumentów użytkowników domeny (zamiast profili mobilnych)

- na dysku C serwera tworzymy katalog profile i ustalamy prawa dostępu:

Uruchom menadżera zasad GPO i na poziomie zasad dla domeny ustaw :

GPO->Domains->domena.local->Default Domain Policy->edit->User Configuration->Policies->Windows settings->Folder Redirection->...

...-> prawy klik->Properties->ustaw właściwości wybranych folderów wg poniższych ilustracji:

Identycznie dla folderu dokumenty.

po zakończeniu ...->gpupdate /force (na serwerze i kliencie, uwaga, może nastąpić restart całego serwera!)

5. Zdalna (wypychana) instalacja paczek msi 

Wykonaj zdalną instalacje na komputerach poprzez GPO przeglądarkę chrome.

Do tego celu musimy posłużyć się plikami z rozszerzeniem .msi. Jeśli takowego nie posiadamy może być .exe ale trzeba skonwertować do msi programami: 

- https://www.advancedinstaller.com/ (płatny)

na dysku serwera tworzymy katalog "instalki", który również udostępniamy w sieci ale bez zmiany uprawnień. 

następnie kopiujemy tam instalatory z rozszerzeniem msi.

Uruchom Active Directory Users and Computers->domena.local->prawy klik->New->Organizational Unit->Instalki

Przenosimy z Computers komputery (na które chcemy instalować aplikacje) do instalki. 

Otwieramy GPO i w jednostce instalki tworzymy nową zasadę GPO np. "instaki"->prawy klik ->edit->Computer Configuration->Policies->Software settings->software installation->New->Package

rys. A

i podajemy ścieżkę sieciową do instalek!!!!

nic nie zmieniamy klikamy OK:

Dodajemy opcję wyświetlenia komunikatów postępu procesu instalacji (patrz rys. A) :

Administrative templates...->system->Display highly...

...->gpupdate /force (serwer)->uruchom ponownie komputer kliencki nastąpi instalacja

6. Włączanie pingów na wszystkich klientach przez GPO
opcja ta przydatna jest gdy chcemy zdalnie skanować sieć dla potrzeb programów antywirusowych albo inwentaryzacyjnych itp

Server Manager->Tools->Group Policy Management->Domains->nazwa.domeny->Prawy klik->Create a GPO in this domain and link...->

w okienku New GPO podajemy nazwę ping

prawy klik na GPO ping->edit->Computer Configuration->Policies->Windows settings->security settings->Windows Firewall with Advanced Security->Inboud Rules->prawy klik->New Rules->Custom->All Programs->Protocol Type ICMPv4->3xNext->Nazwa roli: Ping->Finish->File->Exit

Na kliencie Windows :
cmd->gpupdate /force

Serwer dhcp

Uwaga testując sewer dhcp na V-Hyper ustalamy przełącznik na sieć prywatną.

Polecenia

ipconfig /release #zwolnienie adresu IP do puli serwera
ipconfig /renew  #ponowne pobranie adresu IP

Instalacja serwera:

Serwer Manager -> Add Roles -> Server dhcp

Konfiguracja serwera dhcp
Po zainstalowaniu serwera w windows serwer 2016 należy skonfigurować serwer dhcp dla Active Directory:

Serwer Maanager -> serwer dhcp-> configuration required for dhcp server at AD.

Następnie :

Serwer Manager->Tools->DHCP->New scope

Tworzymy zakres:

W poniższym okienku wykluczamy z puli adresy:

Ustalamy czas dzierżawy domyślnie na 8h

Podajemy adres bramy (czyli naszego sewera)

==================================

Rezerwację adresów IP dokonujemy poprzez Adres leases->add reservation lub ręcznie poprzez reservaions.

Nasz serwer posiada tylko jeden interfejs sieciowy na którym uruchomiliśmy usługę dhcp. Na tym interfejsie nie ma dostępu do internetu (intranet) Sprawdzamy :

dhcp->ad.domena.local->prawy klik->add/remove bindings 

=============================

Dodajemy drugi interfejs w V-Hyper to przełącznik domyślny.

Wyłączamy maszynę wirtualną z Windows serwerem. 

W hyper V dodajemy kartę sieciową jako przełącznik domyślny (wykorzystuje kartę sieciową komputera na ktorym jest V-Hyper)

Wlaczamy ponownie sewer. 

Serwer Manager->Add roles->Remote access->Routing

po zakończonej instalacji kliknij zamykamy poniższe okienko

Wybierz Manager Serwer -> Tools->Routing and remote access->prawy klik->AD (local)->Configure and enable routing ...->Network address NAT

Uwaga! Zaznacz interfejs (kliknij) oznaczony jako dhcp (ethernet3)

Klikamy next i sprawdzamy dostęp do internetu na serwerze i kliencie.