כיצד להוסיף, להגדיר, למחוק או לייבא מפתחות רישום באמצעות GPO

במאמר זה, נבחן כיצד להשתמש במדיניות קבוצתית (GPO) כדי ליצור, לשנות, לייבא ולמחוק באופן מרכזי מפתחות רישום ופרמטרים במחשבים המצורפים לתחום.

באפשרותך לנהל פריטי רישום באמצעות הרחבות מיוחדות, הנקראות העדפות מדיניות קבוצתית (GPP). יש סעיף נפרד ב- GPP שבו באפשרותך להגדיר באופן מרכזי (ליצור, למחוק, לשנות, לעדכן) כל פרמטר או ענף רישום, ולפרוס שינויים אלה בכל המחשבים בתחום

נניח שברצונך להשבית את עדכון מנהל ההתקן האוטומטי בכל המחשבים ב- OU (יחידה ארגונית) ספציפי של Active Directory. לשם כך, יהיה עליך לשנות את הערך של פרמטר הרישום SearchOrderConfig במפתח reg HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching. באפשרותך להגדיר הגדרת רישום במחשבי יעד בתחום בשתי דרכים: באמצעות דפדפן הרישום GPP המובנה, או באופן ידני על-ידי ציון הנתיב למפתח הרישום, שם הפרמטר והערך.

פריסת פריטי רישום באמצעות אשף הרישום ב- GPO

אשף הרישום ב- GPO הוא הדרך הקלה ביותר לבצע שינויים ברישום.

1. הפעל את מסוף ניהול המדיניות הקבוצתית (

   gpmc.msc

   );

2. צור GPO חדש (או ערוך את הקיים), קשר אותו לגורם המכיל הנדרש (OU) ב- AD עם המחשבים (או המשתמשים) שעליהם ברצונך להחיל את מפתח הרישום ועבור למצב עריכת מדיניות;

3. הרחב את המקטע GPO תצורת מחשב (או משתמש) -העדפות > -> הגדרות Windows -> הרישום ובחר אשף רישום חדש -> בתפריט ההקשר;

   

4. אשף הרישום מאפשר לך להתחבר לרישום במחשב מרוחק ולבחור את מפתח הרישום הקיים;

5. ציין את שם המחשב המרוחק שאליו ברצונך להתחבר;

   

   הערה. אם השגיאה נתיב הרשת לא נמצא מופיעה בעת ניסיון להתחבר למחשב באמצעות דפדפן הרישום, סביר להניח שמחשב מרוחק זה כבוי, הגישה אליו חסומה על-ידי חומת אש או ששירות הרישום המרוחק אינו מופעל בו.

   

   כדי להפעיל את השירות באופן ידני, הפעל פקודות אלה במחשב המרוחק:

   sc config remoteregistry start= demand
   net start remoteregistry

   

6. השתמש בדפדפן הרישום המרוחק כדי לחפש ולבחור את כל פרמטרי הרישום שברצונך לפרוס באמצעות GPO; הערה. דפדפן רישום זה מאפשר לך לבחור רק מפתחות רישום מתוך HKEY_LOCAL_MACHINE וכוורות HKEY_USERS במחשב מרוחק. אם עליך להגדיר את המפתחות הכלולים בכוורות רישום אחרות, עליך להתקין RSAT במחשב המרוחק. לאחר מכן הפעל את מסוף gpmc.msc במחשב זה והשתמש באותו הליך כדי לבחור את מפתחות הרישום הדרושים לך.

7. בדוגמה זו, ברצוני לייבא פרמטר רישום אחד בלבד אל GPP — SearchOrderConfig;

   

8. ערך הרישום שצוין מיובא למסוף GPP יחד עם הנתיב והערך הנוכחי (0). אתה יכול לשנות את הערך שלה ואת הפעולה הרצויה (זה ייחשב מאוחר יותר);

   

9. לפיכך, יצרת מדיניות קבוצתית כדי לפרוס את מפתח הרישום שלך. בפעם הבאה שהגדרות המדיניות הקבוצתית יעודכנו במחשבי היעד, הערך של מפתח הרישום SearchOrderConfig ישתנה ל- 0. אם המדיניות אינה חלה על הלקוח, באפשרותך להשתמש בכלי GPResult לאבחון.

אם GPO זה מוסר, מנותק מגורם מכיל של AD או שמחשב יעד מועבר ל-OU אחר, הערך של פרמטר הרישום לא יחזור לערך המקורי (ברירת המחדל) שלו.

כיצד ליצור, לערוך או למחוק מפתח רישום באופן ידני באמצעות מדיניות קבוצתית?

באפשרותך להשתמש ב-GPP כדי ליצור, לשנות או למחוק פרמטר או מפתח רישום ספציפיים על-ידי ציון ידני של הנתיב והערך של פריט הרישום.

1. בחר Registry -> New -> Registry Item;

   

2. קבע את תצורת הגדרות פריט הרישום שלך:

   Action: Update
   Hive: HKEY_LOCAL_MACHINE
   Key Path: SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching
   Value name: SearchOrderConfig
   Value type: REG_DWORD
   Value date: 00000000

   

   אל תזין את שם ה- HIVE בנתיב המפתח, אחרת ייווצר מפתח משנה נוסף ברישום (כגון HKEY_HKEY_XXX).

3. כברירת מחדל, פריטי הרישום שתצורתם נקבעה על-ידי ה- GPO מוגדרים למצב עדכון.

4 סוגי פעולות זמינים ב- GPO עבור מפתחות רישום:

• צור - יוצר מפתח רישום/פרמטר. אם הפרמטר כבר קיים, ערכו לא ישתנה;

• עדכון (כברירת מחדל) - עדכון הערך של פרמטר קיים בהתאם לתחנת הכוח של עזה. אם פרמטר הרישום אינו קיים, הוא ייווצר באופן אוטומטי (כמו גם מפתח הרישום שבו הוא אמור להיות ממוקם);

• החלף - אם הפרמטר/מפתח הרישום כבר קיים, הוא יימחק וייווצר מחדש (לעתים רחוקות);

• מחק - מחיקת פריט רישום.

קיימות מספר אפשרויות שימושיות אחרות בכרטיסיה משותף:

• הפעל בהקשר האבטחה של המשתמש המחובר (אפשרות מדיניות משתמש) — מפתח רישום נוצר רק בהקשר המשתמש הנוכחי (אפשרי רק עבור GPP במקטע תצורת משתמש של GPO). אם למשתמש אין הרשאות מנהל, המדיניות לא תוכל לכתוב דבר למפתחות הרישום המוגנים של המערכת;

• הסר פריט זה כאשר הוא אינו מוחל עוד - אם המדיניות אינה חלה עוד על לקוח, שינוי הרישום יימחק באופן אוטומטי;

• הגש בקשה פעם אחת ואל תחול שוב - מדיניות מוחלת על לקוח (משתמש או מחשב) פעם אחת בלבד. מאוחר יותר זה לא יוחל מחדש. אם לאחר החלת ה- GPO, המשתמש משנה באופן ידני את הערך של פריט הרישום, המדיניות לא תעקוף את הערך שלה במחזור עדכון המדיניות הבא;

• פילוח ברמת הפריט - מאפשר לך למקד מדיניות ללקוחות בצורה מדויקת יותר (באפשרותך למקד את המדיניות לכתובת IP ספציפית, מסיכת רשת, שם מחשב או מחשבים בעלי מאפיינים מסוימים, בדומה לאופן שבו אתה משתמש במסנני WMI ב- GPO). לדוגמה, באפשרותך לציין כי יש להחיל את פרמטר הרישום על מחשבים שבהם פועל Windows Server 2016 ב- AD OU בשם שרתים.

  

כך ייראו הגדרות המדיניות הקבוצתית המתקבלות במסוף GPMC (בכרטיסיה הגדרות).

GPO: ייבוא נתוני רישום מקובץ REG

העדפת המדיניות הקבוצתית של הרישום מאפשרת למנהל מערכת לייבא . קובץ REG המכיל ערכי רישום מרובים לתוך מדיניות קבוצתית בבת אחת. לשם כך, יש להמיר את קובץ REG ל- XML (עורך המדיניות הקבוצתית מאפשר לך לייבא קבצים בתבנית XML בלבד).

לדוגמה, יש לך מחשב הפניה שבו הגדרות מסוימות מוגדרות באמצעות הרישום. באפשרותך לייצא הגדרות אלה לקובץ REG על-ידי לחיצה ימנית על שם מפתח reg regedit.exe ובחירה באפשרות יצא.

שמור את ערכי מפתח הרישום בקובץ REG.

לאחר מכן, עליך להמיר קובץ REG זה לפורמט XML. באפשרותך לבצע את שיחת reg->xml באמצעות השירות המקוון Reg2GPP עם קובץ ה-script של PowerShell RegToXML.ps1.

העתק את קובץ ה- XML שנוצר בסייר הקבצים והדבק אותו במקטע הרישום של עורך המדיניות הקבוצתית.

כתוצאה מכך, כל הגדרות הרישום מקובץ ה- REG שלך יופיעו במסוף המדיניות הקבוצתית ויחולו על מחשבי תחום היעד.

הגדרת הרשאות מפתח רישום באמצעות מדיניות קבוצתית

באפשרותך להשתמש במדיניות קבוצתית כדי לשנות הרשאות גישה (ACL) עבור מפתחות רישום ספציפיים. באפשרותך להשתמש בתכונה זו כדי למנוע ממשתמשים שאינם מנהלי מערכת לגשת למפתחות רישום מוגנים או כדי לאפשר למשתמשים רגילים את הזכות לשנות מפתחות מערכת.

באפשרותך לקבוע את תצורת הגדרות ACL של הרישום בסעיף GPO תצורת מחשב -> הגדרות Windows -> הגדרות אבטחה -> הרישום

1. בחר הוסף מפתח;

2. השתמש בדפדפן הרישום המובנה כדי למצוא את מפתח הרישום הדרוש לך (או ציין את הנתיב באופן ידני בתבנית הבאה:

   MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching

   );

   

3. הגדר את הגדרות ACL החדשות עבור מפתח הרישום שברצונך להחיל בחלון אבטחת מסד נתונים. בדוגמה זו, ברצוני לאפשר למשתמשים לבצע שינויים כלשהם במפתח הרישום המוגן על-ידי המערכת. עליך לבחור את הקבוצה משתמשים ולהעניק לה הרשאת שליטה מלאה. באפשרותך להפעיל את קבלת הירושה של הרשאות למפתחות המשנה באמצעות האפשרות Advanced -> Enable inheritance;

   

   באפשרותך להוסיף או להסיר קבוצות אבטחה, משתמשים ומנהלים אחרים מהמחשב המקומי או מ- Active Directory.

4. שמור את השינויים שביצעת. הרשאות מפתח הרישום החדשות יחולו על לקוחות לאחר עדכון GPO.

כיצד לשנות ערכי רישום באמצעות סקריפט כניסה GPO?

לפני Windows Server 2008, ניתן להשתמש רק בקבצי BAT של קובץ script לכניסה כדי לשנות את הגדרות הרישום באמצעות GPO. עליך להשתמש בפקודות reg add או reg import בקובץ .bat כזה כדי לבצע שינויים ברישום.

כדי לבצע שינויים ברישום באמצעות סקריפט הכניסה של GPO, עליך ליצור קובץ טקסט myreg.bat עם הפקודות הדרושות. לדוגמה:

• שתי פקודות אלה מאפשרות לך לקבוע את תצורת הגדרות ה- proxy ב- Windows (הפעל באמצעות סקריפט הפעלה בתצורת המחשב):

  reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 1 /f
  reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /t REG_SZ /d yourproxyadress:proxyport /f

• שתי הפקודות הבאות מנקות את היסטוריית חיבורי RDP של הלקוח. בדוגמה זו, יש להפעיל את קובץ ה-script מהמקטע קובץ script לכניסה בתצורת משתמש מכיוון שאנו ניגשים לכוורת רישום של משתמשים:

  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f

• הפקודה האחרונה מאפשרת לך לייבא מפתח רישום שלם מקובץ REG ( כדי לייצא את מפתח הרישום המקומי, השתמש בפקודה הבאה: reg export HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate c:\WindowsUpdateRegFile.reg):

  reg import "%~dp0"WindowsUpdateRegFile.reg

%~dp0

העתק את *.bat שלך (ו- *.reg אם עליך לייבא) לספריית Netlogon בבקר הדומיין (

\\a-d.loc\netlogon

).

פתח את GPO ונווט עבור אל תצורת מחשב -> הגדרות Windows -> Scripts -> Startup.
Add וציין את נתיב UNC לקובץ העטלף שלך ב- NETLOGON.

בפעם הבאה שתפעיל מחדש את Windows, קובץ ה- BAT יפעל ויבצע שינויים ברישום.