החלת מדיניות קבוצתית מקומית על משתמשים שאינם מנהלי מערכת או על משתמש יחיד עם MLGPO

באפשרותך להשתמש במדיניות קבוצתית מקומית כדי לקבוע את תצורת Windows או הגדרות משתמש במחשבים ברשתות של קבוצות עבודה קטנות (ללא תחום AD). מוקדם יותר, החיסרון העיקרי של GPO מקומי היה חוסר היכולת להחיל את הגדרות המדיניות על המשתמש המקומי או הקבוצה הספציפית. לדוגמה, אם השבתת התקני USB ב- GPO המקומי, מדיניות זו מוחלת הן על משתמשים והן על חשבונות מנהל מערכת מקומיים.

אובייקטי מדיניות קבוצתית מקומיים מרובים (MLGPO) מאפשרים לך להחיל הגדרות GPO מקומיות על משתמשים או קבוצות מקומיים שונים. במאמר זה נראה כיצד להחיל GPO מקומי על משתמש מקומי יחיד או על משתמשים שאינם חברים במנהלי המערכת המקומיים המשתמשים ב- MLGPO.

ניתן להקצות MLGPO ל:

• כל משתמש מקומי (לפי שם);

• חברים בקבוצת המנהלים המקומית;

• כל המשתמשים שאינם חברים בקבוצה Administrators המקומית.

gpedit.msc

כדי ליצור מדיניות קבוצתית מקומית חדשה עבור משתמש או קבוצה:

1. לחץ על Win + R ->

   mmc

   ;

2. לחץ על קובץ -> הוספה/הסרה של יישום Snap-in

   

3. בחר עורך אובייקטי מדיניות קבוצתית ברשימת יישומי ה- Snap-in הזמינים ולחץ על הוסף;

   

4. לחץ על עיון ועבור אל הכרטיסיה משתמשים. באפשרותך לבחור קבוצה מקומית או משתמש להחיל עליהם מדיניות. אם GPO מקומי כבר מוקצה למשתמש או לקבוצה, תראה כן בעמודה קיים אובייקט מדיניות קבוצתית. כדי להחיל מדיניות על כל המשתמשים המקומיים למעט מנהלי מערכת, בחר שאינם מנהלי מערכת;

   

5. ודא שהאפשרות Local Computer\Non-Administrators נבחרה ולחץ על Finish;

   

6. מסוף עורך GPO עם הגדרות המשתמש מופיעים. כאן תוכל להגדיר הגדרות מדיניות מקומית כך שיוחלו על משתמשים שאינם מנהלי מערכת;

   

7. קבע את תצורת הגדרות המדיניות הקבוצתית הרצויות עבור משתמשים מקומיים.

אם ברצונך להסיר מדיניות מקומית עבור הקבוצה, בחר את הקבוצה בכרטיסיה משתמשים ולחץ על הסר אובייקט מדיניות קבוצתית.

החיסרון העיקרי של GPO מקומי הוא שקשה להעביר אותם למחשבים אחרים (בניגוד ל-GPO של דומיין המאוחסנים בבקרי תחום AD ונערכים באופן מרכזי). כדי להעביר הגדרות MLGPO, באפשרותך להשתמש בכלי רשמי של Microsoft - lgpo.exe (הוא חלק ממנהל תאימות האבטחה ומ- Microsoft Security Baseline).

כדי לייצא את כל פריטי המדיניות המקומיים שתצורתם נקבעה לקבצים, נעשה שימוש בפקודה זו:

lgpo /b c:\GPObackup\

כדי לייבא את הגדרות המדיניות הקבוצתית המקומית למחשב אחר, ציין את ה- GUID שלו (באפשרותך למצוא את תיקיית המדיניות בקבצים שקיבלת על-ידי הקבוצה הידועה SID של Non-Administrators —

S-1-5-32-545

). כדי להחיל את ההגדרות במחשב היעד, נעשה שימוש בפקודה הבאה:

lgpo /parse /u C:\GPObackup\{GUID}\DomainSysvol\GPO\User\registry.pol

לאחר מכן פשוט רענן את הגדרות GPO:

gpupdate /force

כמו כן, באפשרותך להשתמש בלחצן

LocalGPO.wsf

סקריפט לייצוא/ייבוא MLGPO.

כדי לייצא:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Non-Administrators

כדי לייבא:

cscript LocalGPO.wsf /Path:C:\GPObackup\{GUID}