گروپ پالسی چیست و چطور می توان از آن استفاده کرد؟

گروپ پالسی چیست و چطور می توان از آن استفاده کرد؟

گروپ پالسی چیست و چطور می توان از آن استفاده کرد : Group Policy یک ویژگی ویندوز است که شامل تنظیمات متنوع و پیشرفته ، به ویژه برای مدیران شبکه است. Group Policy با استفاده از خدمات Microsoft Active Directory ، مدیریت مبتنی بر سیاست را امکان پذیر می کند!. تنظیمات Policy توسط یک مدیر مشخص می شود. تنظیمات Policy با استفاده از برنامه کنترلی مدیریت کنسول مایکروسافت (MMC)  (Microsoft Management Console (MMC) snap-in) برای Group Policy ایجاد می شود.

اگر از یک رایانه Windows در محیط Active Directory استفاده می کنید ، می توانید تنظیمات Group Policy را در کنترلر دامنه تعریف کنید. سرپرست شبکه یک مکان دارد که می تواند انواع تنظیمات ویندوز را برای هر رایانه ای در شبکه پیکربندی کند. این تنظیمات قابل اجرا هستند و کاربران نمی توانند آنها را تغییر دهند. به عنوان مثال ، با استفاده از Group Policy ، یک مدیر شبکه می تواند دسترسی به بخش های خاصی از کنترل پنل ویندوز را مسدود کند ، یا یک وب سایت خاص را به عنوان صفحه اصلی برای هر رایانه در شبکه تنظیم کند.

به عنوان مثالی دیگر ، شما می توانید به کاربران اجازه دهید فقط برنامه های خاص را اجرا کنند ، دسترسی به درایوهای خاص را محدود کنند یا الزامات رمز عبور حساب کاربری را اعمال کنند ، از جمله تنظیم حداقل طول برای رمزهای عبور در رایانه.

تنظیمات Group Policy

تنظیمات Group Policy به دو بخش تقسیم می شود؛ بخش تنظیمات رایانه تنظیمات خاص رایانه را کنترل می کند ، در حالی که بخش تنظیمات کاربر تنظیمات خاص کاربر را کنترل می کند.
1- user configuration: فقط روی نام کاربری کاربران اعمال می شود. به عنوان مثال فرض کنید کاربر واحد مالی از یک سازمانی به کنترل پنل ویندوز دسترسی نداشته باشد. اگر کاربری از واحد مالی در سیستم واحدی دیگری با کاربری خود لاگین کند باز هم به کنترل پنل دسترسی ندارد چون پالسی روی کاربر تنظیم شده است.

2-computer configuration: فقط روی کامپیوترها اعمال می شود و هر شخصی که با آن سیستم موردنظر لاگین کند، آن پالسی اعمال خواهد شد.

چطور روی اشیا و کانتینرها پالسی ست کنیم؟

اشیاء Group Policy می توانند بصورت محلی از طریق سیستم عامل خود بر روی رایانه ویندوز اعمال شوند ، یا اشیاء Group Policy را می توان از طریق Active Directory اعمال کرد. Group Policy محلی اجازه می دهد تا تنظیمات امنیتی روی رایانه های مستقل اعمال شود! اما این تنظیمات Group Policy را نمی توان به طور مرکزی مدیریت کرد. برعکس ، اشیاء Group Policy بر اساس Active Directory می توانند به صورت مرکزی مدیریت شوند ، اما آنها فقط در صورت اجرای کاربر از رایانه ای که به دامنه وارد شده است ، پیاده سازی می شوند.

بسیاری از سازمانها از ترکیبی از اشیاء گروپ پالسی محلی و اکتیو دایرکتوری استفاده می کنند.! تنظیمات Group Policy محلی هنگام ورود کاربر به یک دامنه ، امنیت را تأمین می کند ، در حالی که اشیاء Group Policy  درActive Directory پس از ورود به سیستم کاربر اعمال می شوند.

یک GPO می تواند به یک یا چند کانتینر Active Directory مانند سایت ، دامنه یا واحد سازمانی مرتبط باشد. کانتینرهای چندگانه می توانند به همان GPO متصل شوند و یک کانتینر واحد تنها می تواند بیش از یک GPO را به آن وصل کند. اگر چندین GPO به یک کانتینر وصل شده باشد ، شما می توانید ترتیب استفاده از GPO ها را اولویت‌بندی کنید.

پیوند GPO ها به کانتینر Active Directory به یک مدیر امکان می دهد تنظیمات Group Policy را برای بخش وسیع یا کوچک یک سازمان ، در صورت لزوم ، انجام دهد.

چند مثال استفاده از گروپ پالسی

• GPO مرتبط با یک سایت برای کلیه کاربران و رایانه های موجود در سایت اعمال می شود.
• GPO اعمال شده در یک دامنه برای کلیه کاربران و رایانه های موجود در دامنه و به طور ارثی برای همه کاربران و رایانه ها در واحدهای سازمانی چایلد اعمال می شود!. آگاه باشید که سیاست در حوزه ها به ارث نمی رسد.
• یک GPO که در یک واحد سازمانی اعمال می شود ، به طور مستقیم برای کلیه کاربران و رایانه ها در واحد سازمانی اعمال می شود و به طور ارثی ، برای همه کاربران و رایانه ها در واحدهای سازمانی چایلد اعمال می شود.

GPO بر اساس هر دامنه ذخیره می شود ، اما می توانید یک سایت ، دامنه یا واحد سازمانی را نیز به یک GPO در یک دامنه مورد اعتماد دیگر پیوند دهید!. البته این توصیه نمی شود زیرا می تواند بر عملکرد تأثیر منفی بگذارد.

تصویر زیر مدل گروپ پالسی رابط سایتها ، دامنه ها و واحدهای سازمانی به چندین GPO نشان می دهد.

چطور یک پالسی ایجاد کنیم؟

از زیر منوی Tools صفحه Group Policy Management را باز می کنیم. روی domain و یا site، کلیک راست کرده و Show Domain را انتخاب میکنیم. در اینجا همه دامنه ها و یا دامنه موردنظر را تیک می زنیم تا نمایش دهد.

گروپ پالسی چیست و چطور می توان از آن استفاده کرد؟

روی اکستنشن نام دامنه کلیک کرده تا لیست زیرین آن باز شود. سپس روی Defulte Domain Policy کلیک کرده، صفحه ای که باز می شود شامل چهار Tab خواهد بود:

1-Scope: محدوده ای می باشد که این پالسی روی آن اعمال میشود. در این Tab گزینه مهمی وجود دارد به نام Security filtering، بدین معناست که این پالسی روی چه افرادی اعمال شود. به طور پیش فرض روی تمام کاربران احراز هویت شده (توسط اکتیو دیرکتوری) قرار دارد.

۲-detailes: جزییات یک پالسی را میتوان مشاهده کرد. در اینجاGpo status  خیلی مهم است که بطور پیش فرضenable  است.

۳-Setting: در این بخش پالسی های پیش فرض اعمال شده بر سیستم را میتوان دید. به عنوان مثال تمامی پسوردها حتما باید ۷ کاراکتری باشند.

۴-Delegation: به معنای واگذاری اختیارات است.

در اینجا قصد داریم روی یک ou که از قبل ایجاد کرده بودیم، یک پالسی ایجاد کنیم که کاربران آن ou به کنترل پنل سیستم دسترسی نداشته باشند.

مراحل:

روی ou  موردنظر کلیک راست کرده و گزینه اول یعنی create a gpo… را انتخاب میکنیم. نام آن را cpanl گذاشته و ok  را می زنیم.

اکستنشن کنارou را کلیک میکنیم سپس روی cpanel کلیک میکنیم و در صفحه ای که باز می شود ok را کلیک میکنیم. فعلا هیچ پالسی وجود ندارد. روی پالسی خود (یعنی همان cpanel که باز کردیم) کلیک راست کرده و edit را میزنیم.

از زیر منوی user configuration  وارد polices  می شویم. سپس اکستنشن administrative template  را باز کرده و روی پوشه control panel  دبل کلیک می کنیم تا باز شود.

از سمت راست روی گزینه prohibit access… دبل کلیک کرده که آن راenable  و سپسapply  وok  میکنیم. با اینکار عمل جلوگیری کردن از دسترسی به کنترل پنل را فعال کرده ایم. کارمان با صفحه Editor تمام شده است. این پنجره را بسته و وارد تب Scope می شویم.

حال از تب Scope، از بخش Security Filtering، گزینه Atenticated user را Removeکرده و کاربر یا گروه موردنظر را (که می خواهیم به کنترل پنل دسترسی نداشته باشد) add می کنیم.

حال روی OU کلیک راست کرده و Group policy update را میزنیم. از آنجایی که بطور پیش فرض اعمال یک پالسی بین 90 تا 120 دقیقه طول می کشد، با انتخاب این گزینه پالسی را در همان لحظه اعمال می کنیم. معادل این دستور در cmd عبارت “gpupdate /force” می باشد.

حال اگر با سیستمی با  کاربری u1 لاگین کنیم می بینیم که این کاربر دسترسی به control panel ندارد.

نکته: تنظیمات computer configuration  با Restart و تنظیمات user configuration با login و logoff تنظیم و ست می شود. بنابراین بعد از اینکه دستور در cmd اجرا شد. بسه به اینکه computer configuration یا user configuration می باشد یکی از دو کار ذکر شده را باید انجام دهید.