Group Policy – kolejność przetwarzania, dziedziczenie i rozwiązywanie konfliktów w Active Directory

Group Policy (GPO) jest jednym z najważniejszych mechanizmów zarządzania środowiskiem Windows. Dzięki niemu administrator może centralnie kontrolować tysiące komputerów i użytkowników bez konieczności ręcznej konfiguracji każdego urządzenia.

Za pomocą zasad grupowych można między innymi:

• wymuszać ustawienia zabezpieczeń,
• konfigurować zaporę Windows,
• instalować oprogramowanie,
• ograniczać funkcje systemu,
• zarządzać rejestrem,
• konfigurować środowisko użytkownika,
• wdrażać skrypty startowe.

Samo utworzenie GPO jest jednak tylko początkiem.

W dużych środowiskach często istnieją dziesiątki, a nawet setki zasad przypisanych do różnych poziomów Active Directory. Wtedy pojawia się najważniejsze pytanie:

Która polityka ma pierwszeństwo, jeżeli kilka GPO zmienia tę samą opcję?

Odpowiedzią jest dokładnie określona kolejność przetwarzania Group Policy.

Czym jest Group Policy?

Group Policy to mechanizm oparty na Active Directory, który pozwala administratorom definiować konfigurację komputerów i użytkowników.

GPO (Group Policy Object) składa się z dwóch głównych części:

Group Policy Container (GPC)

Przechowywany w Active Directory.

Zawiera informacje takie jak:

• identyfikator GPO,
• lokalizacja,
• uprawnienia,
• powiązania.

Group Policy Template (GPT)

Znajduje się w SYSVOL na kontrolerze domeny.

Przechowuje:

• pliki konfiguracyjne,
• szablony administracyjne,
• skrypty,
• ustawienia zabezpieczeń.

Przykładowa lokalizacja:

\\domain.local\SYSVOL

Obie części muszą być zsynchronizowane, aby GPO działało poprawnie.

Gdzie można przypisać GPO?

Zasady grupowe mogą być przypięte do kilku poziomów Active Directory.

Hierarchia wygląda tak:

Forest
 |
Domain
 |
OU
 |
Child OU

Nie każde środowisko wykorzystuje poziom lasu, ale kolejność działania pozostaje taka sama.

Administrator może przypisać GPO do:

• lokalnego komputera,
• domeny,
• jednostki organizacyjnej (OU).

Kolejność przetwarzania GPO – model LSDOU

Najważniejsza zasada w Group Policy nazywa się:

LSDOU

Jest to skrót od:

• L – Local
• S – Site
• D – Domain
• OU – Organizational Unit

Kolejność wygląda następująco:

1. Local Group Policy
        ↓
2. Site GPO
        ↓
3. Domain GPO
        ↓
4. OU GPO
        ↓
5. Child OU GPO

Czyli:

im niżej w strukturze Active Directory znajduje się GPO, tym później jest przetwarzane i tym większy ma priorytet.

Przykład działania LSDOU

Załóżmy, że administrator tworzy kilka zasad.

Local Policy

Na komputerze:

Firewall = Enabled

Domain GPO

Dla całej domeny:

Firewall = Disabled

OU GPO

Dla działu IT:

Firewall = Enabled

Komputer znajduje się tutaj:

Firma.local
 |
 OU=IT
 |
 Komputer01

Proces:

1. Windows ładuje Local Policy.
2. Następnie Domain GPO zmienia ustawienie.
3. Na końcu OU GPO nadpisuje poprzednią wartość.

Efekt:

Firewall = Enabled

Ponieważ OU zostało zastosowane jako ostatnie.

Dlaczego późniejsze GPO wygrywa?

Group Policy działa według zasady:

ostatni zapis wygrywa.

Jeżeli kilka GPO modyfikuje tę samą wartość:

• wcześniejsze ustawienie zostaje zastąpione,
• późniejsze ustawienie ma pierwszeństwo.

Nie oznacza to jednak, że całe GPO jest ważniejsze.

Konflikt dotyczy tylko konkretnych ustawień.

Kolejność wielu GPO na jednym poziomie

Często administrator przypisuje wiele GPO do jednej OU.

Przykład:

OU:

Komputery

ma:

GPO-01
GPO-02
GPO-03

Które działa pierwsze?

Decyduje:

Link Order

czyli kolejność dowiązań.

Przykład:

GPO z numerem 1 jest przetwarzane jako ostatnie.

Czyli:

GPO-03
 ↓
GPO-02
 ↓
GPO-01

GPO-01 ma najwyższy priorytet.

Enforced – wymuszenie GPO

Jedną z najczęściej źle rozumianych funkcji jest:

Enforced (dawniej No Override).

Pozwala ona wymusić działanie GPO nawet wtedy, gdy niższy poziom próbuje je zmienić.

Przykład:

Administrator domeny tworzy:

Domain Password Policy

ustawiając:

Minimum password length = 14

Następnie administrator OU tworzy:

Password Policy Test

z wartością:

Minimum password length = 8

Jeżeli Domain GPO ma ustawione:

Enforced

wartość 14 pozostanie obowiązująca.

Block Inheritance – blokowanie dziedziczenia

Domyślnie GPO przypisane wyżej jest dziedziczone przez niższe OU.

Przykład:

Domain
 |
 └── OU=Pracownicy

GPO domenowe działa również w OU.

Administrator może jednak użyć:

Block Inheritance

aby zatrzymać dziedziczenie.

Przykład:

Domena:

GPO-Security

OU:

OU=Laboratorium

ma blokadę.

Efekt:

OU Laboratorium nie otrzymuje standardowych zasad domenowych.

Enforced kontra Block Inheritance

Te dwie funkcje często powodują zamieszanie.

Zasada:

Enforced wygrywa z Block Inheritance.

Czyli:

Domain GPO
     |
 Enforced
     |
 OU
     |
 Block Inheritance

GPO nadal zostanie zastosowane.

User Configuration i Computer Configuration

Każde GPO posiada dwie główne sekcje:

Computer Configuration

Dotyczy komputera.

Przykłady:

• polityki zabezpieczeń,
• usługi Windows,
• firewall,
• sterowniki,
• konfiguracja systemu.

Przetwarzane podczas:

• startu systemu.

User Configuration

Dotyczy użytkownika.

Przykłady:

• pulpit,
• menu Start,
• mapowanie dysków,
• ograniczenia aplikacji.

Przetwarzane podczas:

• logowania użytkownika.

Co dzieje się podczas startu komputera?

Proces wygląda mniej więcej tak:

1. komputer uruchamia system,
2. odnajduje kontroler domeny,
3. pobiera listę GPO,
4. analizuje kolejność LSDOU,
5. stosuje ustawienia Computer Configuration.

Następnie użytkownik loguje się.

Windows:

1. uwierzytelnia użytkownika,
2. pobiera GPO użytkownika,
3. stosuje User Configuration.

Loopback Processing – wyjątek od standardowej logiki

Normalnie:

• ustawienia komputera dotyczą komputera,
• ustawienia użytkownika dotyczą użytkownika.

Ale istnieje wyjątek:

Group Policy Loopback Processing.

Stosuje się go np. na:

• serwerach terminalowych,
• komputerach szkoleniowych,
• kioskach.

Przykład:

Administrator chce, aby każdy użytkownik logujący się na serwer RDS otrzymał określone ustawienia.

Nieważne, gdzie znajduje się konto użytkownika.

Liczy się komputer.

Loopback pozwala zastosować politykę użytkownika według lokalizacji komputera.

Tryby Loopback

Dostępne są dwa tryby:

Merge

Łączy:

• standardowe GPO użytkownika,
• GPO komputera.

Replace

Ignoruje normalne User Configuration.

Stosuje tylko ustawienia wynikające z komputera.

Jak sprawdzić, jakie GPO zostały zastosowane?

Administrator nie musi zgadywać.

Podstawowe narzędzie:

gpresult

Przykład:

gpresult /r

Pokazuje:

• zastosowane GPO,
• pominięte zasady,
• użytkownika,
• komputer.

Bardziej szczegółowy raport:

gpresult /h raport.html

Resultant Set of Policy (RSOP)

Windows posiada również narzędzie:

rsop.msc

Pokazuje ono wynikową konfigurację polityk.

Czyli:

nie tylko jakie GPO istnieją,

ale jakie ustawienia faktycznie zostały zastosowane.

Najczęstsze problemy z Group Policy

„GPO nie działa”

Przyczyny:

• komputer nie widzi kontrolera domeny,
• problem z DNS,
• brak uprawnień,
• filtr bezpieczeństwa,
• blokada dziedziczenia.

„Jedna polityka nadpisuje drugą”

Najczęściej:

• zła kolejność linków,
• Enforced,
• inna OU,
• lokalna polityka.

„Użytkownik ma inne ustawienia niż powinien”

Sprawdzenie:

gpresult /h wynik.html

zwykle szybko pokazuje przyczynę.

Group Policy a bezpieczeństwo Active Directory

GPO jest jednym z najpotężniejszych narzędzi administracyjnych.

Źle skonfigurowana polityka może:

• osłabić zabezpieczenia,
• wyłączyć ochronę,
• nadać zbyt szerokie prawa.

Najbardziej krytyczne obszary:

• Account Policies,
• Security Settings,
• User Rights Assignment,
• Windows Defender,
• Firewall,
• ograniczenia logowania.

Podsumowanie

Kolejność przetwarzania Group Policy jest fundamentem poprawnej administracji Active Directory.

Najważniejszy schemat do zapamiętania:

Local
 ↓
Site
 ↓
Domain
 ↓
OU
 ↓
Child OU

czyli:

LSDOU – ostatnia zastosowana polityka ma największy wpływ.

Dodatkowo należy pamiętać o wyjątkach:

• Link Order,
• Enforced,
• Block Inheritance,
• Loopback Processing.

Dobre zrozumienie działania GPO pozwala nie tylko poprawnie zarządzać tysiącami komputerów, ale również projektować bezpieczne środowiska Windows Server, gdzie każda konfiguracja jest przewidywalna i możliwa do audytu.

Polecane wpisy

Porady dotyczące optymalizacji wydajności serwera IIS i zabezpieczania aplikacji internetowych w Windows Server

Porady dotyczące optymalizacji wydajności serwera IIS i zabezpieczania aplikacji internetowych w Windows Server Windows Server z rolą Internet Information Services Czytaj dalej

Używanie IPsec do zabezpieczania komunikacji między serwerami w Windows Server

Używanie IPsec do zabezpieczania komunikacji między serwerami w Windows Server W dzisiejszych czasach bezpieczeństwo komunikacji między serwerami w sieci jest Czytaj dalej