Polityki grupowe (GPO)

Zasady grupy to mechanizm Windows umożliwiający centralne wymuszanie ustawień na komputerach i kontach w domenie.

Jak działają zasady grupy w środowisku Windows

Polityki grupowe, określane skrótem GPO od Group Policy Object, są mechanizmem systemu Windows służącym do centralnego definiowania ustawień komputerów i kont użytkowników. Najczęściej wykorzystuje się je w środowisku Active Directory, w którym komputery i użytkownicy należą do domeny. Administrator może dzięki temu ustalić wspólne reguły dla wielu urządzeń bez ręcznej zmiany każdego systemu. GPO może określać między innymi konfigurację zabezpieczeń, dostęp do składników systemu, sposób działania usług, ustawienia pulpitu, reguły zapory oraz wybrane opcje aplikacji.

Obiekt zasad grupy składa się z części dotyczącej konfiguracji komputera oraz części dotyczącej konfiguracji użytkownika. Ustawienia komputera są przetwarzane niezależnie od tego, kto zaloguje się do systemu, natomiast ustawienia użytkownika odnoszą się do konkretnego profilu. Polityki komputera są zwykle stosowane podczas uruchamiania systemu, a polityki użytkownika podczas logowania. Część zmian może zostać zastosowana dopiero po ponownym uruchomieniu, ponownym zalogowaniu albo odświeżeniu zasad.

Powiązanie GPO z domeną i jednostkami organizacyjnymi

Polityki grupowe nie są przypisywane przypadkowo do pojedynczego komputera, lecz wiążą się je z określonym zakresem w Active Directory. GPO można połączyć z lokacją, domeną albo jednostką organizacyjną, czyli OU. Jednostki organizacyjne pozwalają uporządkować obiekty według działu, lokalizacji, typu urządzenia lub przeznaczenia. Jeżeli komputer zostanie przeniesiony do innej OU, może otrzymać inny zestaw zasad. Podobnie konto użytkownika może podlegać odmiennym ustawieniom po umieszczeniu go w odpowiedniej strukturze katalogowej.

Przetwarzanie zasad odbywa się według ustalonej hierarchii, często opisywanej skrótem LSDOU: Local, Site, Domain, Organizational Unit. Najpierw brane są pod uwagę lokalne zasady komputera, następnie zasady lokacji, domeny i kolejnych jednostek organizacyjnych. Zasada przetworzona później może zastąpić wcześniejszą, jeżeli dotyczy tego samego ustawienia. Na wynik wpływają również dziedziczenie, wymuszenie określonego GPO oraz opcja blokowania dziedziczenia. Dodatkowe filtrowanie może ograniczać zastosowanie polityki do wybranych kont lub komputerów za pomocą uprawnień oraz filtrów bezpieczeństwa i filtrów WMI.

Same ustawienia GPO są przechowywane w dwóch powiązanych miejscach. Informacje dotyczące obiektu znajdują się w Active Directory, natomiast szablony i pliki zasad są przechowywane w udziale SYSVOL na kontrolerach domeny. Obie części muszą być spójne. Problemy z replikacją Active Directory albo SYSVOL mogą powodować, że różne kontrolery domeny będą udostępniały odmienne wersje zasad. W efekcie jeden komputer może otrzymać inną konfigurację niż drugi, mimo pozornie takiego samego położenia w strukturze domeny.

Odświeżanie ustawień i śledzenie zastosowanych reguł

Klient Windows okresowo odświeża zasady grupy, a administrator może wymusić ich ponowne przetworzenie poleceniem gpupdate. Przełącznik /force powoduje ponowne zastosowanie wszystkich zasad, także tych, które system uznaje za niezmienione. Nie każda polityka jest jednak wdrażana natychmiast. Ustawienia wymagające uruchomienia komputera lub ponownego logowania mogą zostać oznaczone jako oczekujące. W środowisku domenowym poprawne działanie zależy również od dostępności DNS, komunikacji z kontrolerem domeny, dostępu do SYSVOL oraz prawidłowego czasu systemowego.

Do sprawdzania wyniku przetwarzania służy między innymi polecenie gpresult. Parametr /r wyświetla podsumowanie zastosowanych zasad, a raport HTML można wygenerować poleceniem gpresult /h raport.html. Raport pokazuje między innymi, które obiekty GPO zostały zastosowane, które pominięto oraz jakie filtry lub uprawnienia wpłynęły na wynik. Graficzną analizę zapewnia narzędzie Resultant Set of Policy, uruchamiane poleceniem rsop.msc. Przydatne informacje znajdują się także w Podglądzie zdarzeń, zwłaszcza w dziennikach związanych z GroupPolicy w gałęzi Applications and Services Logs.

Typowym błędem jest ocena konfiguracji wyłącznie na podstawie edytora zasad. To, że ustawienie zostało zapisane w GPO, nie oznacza jeszcze, że działa na konkretnym komputerze. Polityka może zostać pominięta z powodu złego powiązania z OU, odrzucona przez filtr bezpieczeństwa, wykluczona przez filtr WMI albo nadpisana przez inną zasadę. Diagnostyka powinna dlatego obejmować położenie obiektu w Active Directory, kolejność dziedziczenia, dostęp do kontrolera domeny, wynik gpresult oraz zdarzenia zapisane podczas przetwarzania zasad.

GPO a konfiguracja i diagnostyka komputera

Nieprawidłowa polityka grupowa może zmienić zachowanie komputera bez widocznego uszkodzenia sprzętowego. Przykładowo, zasady mogą ograniczyć uruchamianie określonych programów, wyłączyć dostęp do części ustawień systemu, zmienić reguły zapory, wymusić konfigurację usługi albo zablokować instalowanie urządzeń. Objawem może być niedostępna funkcja, komunikat o braku uprawnień, nieuruchamiająca się aplikacja lub odmienna konfiguracja po każdym logowaniu. W takim przypadku przywrócenie ustawień domyślnych systemu bez sprawdzenia GPO może nie rozwiązać problemu, ponieważ zasada zostanie ponownie zastosowana.

Podczas diagnostyki należy rozdzielić problem lokalny od problemu wynikającego z domeny. Warto ustalić, czy objaw występuje na jednym komputerze, na wielu urządzeniach w tej samej OU, czy tylko dla jednego użytkownika. Jeżeli kilka komputerów otrzymuje tę samą niepożądaną konfigurację, prawdopodobne jest wspólne źródło w GPO albo w strukturze Active Directory. Jeżeli trudność dotyczy tylko jednego urządzenia, trzeba dodatkowo sprawdzić lokalny magazyn zasad, stan usług systemowych, komunikację sieciową i zgodność konfiguracji z domeną. Zmiany w GPO powinny być wykonywane kontrolowanie, ponieważ pojedyncze ustawienie może oddziaływać na dużą liczbę komputerów.

Przy pracy z komputerem użytkownika potrzebne jest zachowanie ciągłości konfiguracji i ustalenie, które ustawienia są narzucone centralnie, a które wynikają z lokalnego systemu. Analiza raportu zasad, dzienników zdarzeń i aktualnego stanu systemu pozwala uniknąć pochopnego usuwania profilu, reinstalacji systemu albo wyłączania zabezpieczeń. W przypadku sprzętu domowego, który nie należy do domeny, klasyczne GPO domenowe zwykle nie jest źródłem konfiguracji, choć lokalny edytor zasad grupy może występować w wybranych edycjach Windows. Wtedy sprawdza się zasady lokalne oraz ustawienia rejestru i zabezpieczeń systemu.