Skip to content

GPO замыкания пользовательской политики

Информация ниже является цитатой

Видно, что вы сами не до конца понимаете, как работает Loopback processing mode и Security Filtering.

Когда GPO линкуется к какому-то OU, то по умолчанию политики из раздела Computer Configuration данной GPO применяются ко всем компьютерным объектам внутри этого OU (и его подконтейнеров), а политики из раздела User Configuration применяются ко всем пользовательским объектам внутри этого OU (и его подконтейнеров).

Если вы прилинкуете GPO к OU, в котором лежат только компьютерные объекты, и в этом GPO укажете какие-то настройки в разделе User Configuration, то по умолчанию эти пользовательские настройки будут проигнорированы и никем не будут использоваться (т.к. я уже указал выше, что по умолчанию к компьютерным объектам применяются только настройки из Computer Configuration).

Так вот, чтобы к пользователям, которые логинятся на какие-то машины, применялись пользовательские настройки (раздел User Configuration) из GPO, которая прилинкована к компьютерному объекту, и включается «User Group Policy Loopback processing mode».

При этом в режиме Replace пользовательские настройки (User Configuration) из других GPO, назначенных на пользовательский объект, будут отменены и будут действовать только пользовательские настройки (User Configuration) из GPO, назначенного на компьютерный объект, куда логинится пользователь. А в режиме Merge эти настройки совместятся (ранее назначенные сохранятся, новые добавятся, конфликтующие перезапишутся). Т.е. частично у пользователя останутся настройки, назначенные на самого пользователя через другие GPO, плюс добавятся пользовательские настройки (User Configuration) из GPO, назначенного на компьютер.

Но нужно понимать, что хоть в этом случае меняются пользовательские настройки, но сам GPO назначается всё же на компьютерный объект. И при настройке линковки Security Filtering про это не нужно забывать.

Если вы для GPO, прилинкованному к OU, настраиваете Security Filtering, тогда политики из этого GPO применяются не ко всем объектам внутри данного OU, а только к тем, которые указаны в фильтре безопасности прямо или косвенно (через группы). Чтобы данный GPO применился к какому-то объекту, этот объект: а) должен быть внутри OU, к которому прилинкован GPO; б) должен подпадать под указанный фильтр безопасности (с правами: read group policy + apply group policy). В Security Filter нет смысла включать объекты, которые не содержатся внутри OU, к которому вы линкуете GPO, — политики к таким объектам всё равно не применятся.

Итого, как было правильно реализовать замыкание групповой политики:

Вариант 1 (с созданием отдельного OU для терминальных серверов)

  1. Создаёте отдельный подконтейнер для ТС: ou=terminal servers,ou=servers,dc=example,dc=org
  2. В этот контейнер перемещаете компьютерные объекты всех терминальных серверов
  3. Создаёте GPO, например, TermSrv\Minimal\UserConf
  4. В настройках GPO TermSrv\Minimal\UserConf: — в разделе User Configuration: задаёте нужные вам разрешения для пользователя — в разделе Computer Configuration включаете User Group Policy Loopback processing mode в режим Merge (или Replace)
  5. Линкуете GPO TermSrv\Minimal\UserConf к OU, в котором находятся терм.серверы, т.е. к ou=terminal servers,ou=servers,dc=example,dc=org
  6. Настройки безопасности GPO оставляете по умолчанию, т.е. Authenticated Users: Read+apply group policy

Вариант 2 (без создания отдельного OU для терминальных серверов)

  1. Терминальные серверы лежат в одном OU с прочими компьюьерными объектами (например, в ou=servers,dc=example,dc=org)
  2. Создаёте доменную группу, например, TermServers (domain local, security), включаете в неё все терминальные серверы (комп. объекты)
  3. Создаёте GPO, например, TermSrv\Minimal\UserConf
  4. В настройках GPO TermSrv\Minimal\UserConf: — в разделе User Configuration: задаёте нужные вам разрешения для пользователя — в разделе Computer Configuration включаете User Group Policy Loopback processing mode в режим Merge (или Replace)
  5. Линкуете GPO TermSrv\Minimal\UserConf к OU, в котором находятся терм.серверы (и не только), т.е. к ou=servers,dc=example,dc=org
  6. Настраиваете для этого GPO Security Filtering: удаляете Authenticated User, добавляете созданную вами ранее группу TermServers (с правами по умолчанию: Read+apply group policy).

Вот и всё. При этом:

  • Если юзеры будут логиниться на свою рабочую станцию и на какие-то прочие нетерминальные серверы (куда им разрешено), то к ним будут применяться пользовательские настройки из GPO, назначенных на их пользовательскую учётку (в частности из Default Domain Policy И прочих, созданных вами)
  • Если юзеры будут логиниться на терминальные серверы, то к ним сначала, как обычно, будут применяться пользовательские настройки из GPO, назначенных на их пользовательскую учётку, а потом сразу же поверх них будут накатываться пользовательские настройки из GPO TermSrv\Minimal\UserConf, прилинкованного к контейнеру с терминальными серверами, путём полной замены (Replace) или дополнения с перезаписью конфликтных значений (Merge).

Источник