Zasady grupy

Zasady grupy (GPO) to mechanizm centralnego zarządzania konfiguracją Windows w środowisku domenowym lub lokalnym.

Jak działają zasady grupy w systemie Windows

Zasady grupy, określane skrótem GPO od angielskiego Group Policy Object, służą do automatycznego stosowania ustawień systemu Windows, kont użytkowników oraz wybranych programów. Mogą działać lokalnie na pojedynczym komputerze albo centralnie w domenie Active Directory. W praktyce administrator nie musi zmieniać każdej konfiguracji ręcznie. Tworzy zestaw reguł, a system stosuje go podczas uruchamiania komputera, startu systemu, logowania użytkownika lub cyklicznego odświeżania konfiguracji.

GPO obejmuje dwa główne obszary: konfigurację komputera oraz konfigurację użytkownika. Ustawienia komputera dotyczą całego urządzenia i są przetwarzane niezależnie od tego, kto się loguje. Ustawienia użytkownika są przypisane do konta i mogą obowiązywać po zalogowaniu na różnych komputerach. W edytorze zasad ustawienia są uporządkowane między innymi w gałęziach Administrative Templates, Windows Settings oraz Scripts. Część reguł zapisuje wartości w rejestrze, a część konfiguruje zabezpieczenia, skrypty, usługi, przekierowania folderów lub sposób uruchamiania systemu.

GPO lokalne i zasady domenowe

Na komputerze niepodłączonym do domeny można korzystać z lokalnych zasad grupy. Edytor lokalnych zasad uruchamia się poleceniem gpedit.msc, dostępnym przede wszystkim w edycjach Windows przeznaczonych do zastosowań profesjonalnych. Zmiany zapisane lokalnie obowiązują tylko na tym urządzeniu. W przypadku ustawień użytkownika mogą dotyczyć wszystkich użytkowników albo określonych lokalnych kont, zależnie od zastosowanej konfiguracji i uprawnień.

W domenie zasady grupy są zarządzane zwykle za pomocą Group Policy Management Console, czyli konsoli GPMC. Obiekt GPO jest przechowywany w dwóch powiązanych częściach: w kontenerze znajdującym się w Active Directory, nazywanym Group Policy Container, oraz w plikach szablonu zapisanych w udziale SYSVOL, określanych jako Group Policy Template. Obie części muszą być spójne. Uszkodzenie plików SYSVOL, problemy z replikacją domenową albo brak dostępu do kontrolera domeny może spowodować, że ustawienia będą niepełne, nieaktualne lub nie zostaną zastosowane.

Położenie obiektu w strukturze domeny wpływa na kolejność przetwarzania. Typowo stosuje się model LSDOU: najpierw zasady lokalne, następnie zasady witryny, domeny i jednostki organizacyjnej. Zasada przetworzona później może zastąpić wcześniejsze ustawienie, jeśli obowiązuje ta sama konfiguracja. Dodatkowo znaczenie mają opcje Enforced i Block Inheritance, linkowanie GPO do właściwego obiektu oraz filtrowanie zabezpieczeń. Samo utworzenie zasady nie oznacza więc automatycznie, że każdy komputer lub użytkownik ją otrzyma.

Odświeżanie, dziedziczenie i ustalanie zastosowanej konfiguracji

Konfiguracja zasad grupy jest odświeżana automatycznie, ale administrator może wymusić jej ponowne pobranie poleceniem gpupdate /force. Niektóre ustawienia są stosowane od razu, a inne wymagają ponownego uruchomienia komputera lub ponownego zalogowania użytkownika. Przełącznik /force powoduje ponowne zastosowanie wszystkich ustawień, także tych, które system uznał wcześniej za niezmienione. Polecenie nie naprawia jednak problemów z siecią, uprawnieniami, replikacją Active Directory ani błędną treścią samego GPO.

Do ustalenia, jakie zasady faktycznie obowiązują, służy między innymi gpresult. Polecenie gpresult /r pokazuje podsumowanie zastosowanych zasad dla komputera i zalogowanego użytkownika, natomiast gpresult /h raport.html tworzy raport HTML. W raporcie można sprawdzić zarówno zasady zastosowane, jak i odrzucone. Przyczyna odrzucenia może wynikać z filtrowania zabezpieczeń, filtra WMI, wyłączonej części użytkownika lub komputera, braku dostępu do SYSVOL albo konfliktu z innym ustawieniem.

W środowiskach, w których komputer jest używany przez wiele osób, spotyka się także loopback processing. Ten mechanizm pozwala uzależnić zasady użytkownika od komputera, na którym następuje logowanie, a nie wyłącznie od jednostki organizacyjnej konta. Jest używany między innymi na stanowiskach o określonej funkcji, lecz niewłaściwa konfiguracja może powodować wrażenie, że ustawienia konta są ignorowane. Analiza powinna obejmować strukturę OU, kolejność linków, dziedziczenie, filtrowanie oraz zdarzenia zapisane w dziennikach systemu.

Diagnostyka problemów z zastosowaniem zasad grupy

Jeżeli ustawienie GPO nie działa, pierwszym krokiem jest rozdzielenie problemu lokalnego od domenowego. Należy sprawdzić, czy komputer ma poprawną nazwę, prawidłowy czas systemowy, działające rozwiązywanie nazw DNS oraz dostęp do kontrolera domeny i udziału SYSVOL. Uwierzytelnianie Kerberos jest wrażliwe na różnicę czasu między komputerem a domeną, dlatego niezgodny zegar może wpływać na dostęp do zasobów i przetwarzanie polityk. Warto również ustalić, czy problem dotyczy wszystkich użytkowników, jednego konta, jednego komputera czy całej jednostki organizacyjnej.

Weryfikacja powinna obejmować raport z gpresult, wynik gpupdate oraz dzienniki zdarzeń związane z GroupPolicy w Podglądzie zdarzeń. Należy sprawdzić, czy zasada jest podlinkowana do właściwej domeny, witryny lub OU, czy konto ma prawo odczytu i zastosowania GPO oraz czy nie działa filtr WMI wykluczający daną wersję systemu. Jeśli ustawienie zostało zmienione ręcznie w rejestrze, późniejsze zastosowanie zasad może je ponownie nadpisać. Z tego powodu diagnoza wymaga porównania konfiguracji oczekiwanej z konfiguracją wynikową, a nie tylko sprawdzenia pojedynczej wartości.

W komputerze używanym w domu lub małym biurze częstą przyczyną nieporozumień jest edycja lokalnej zasady w niewłaściwej gałęzi. Ustawienie w konfiguracji komputera nie zmieni zachowania jednego profilu użytkownika, a ustawienie w konfiguracji użytkownika nie zawsze wpłynie na ekran logowania lub usługi uruchamiane przed zalogowaniem. Po zmianie należy wykonać odświeżenie, a następnie potwierdzić wynik raportem. Jeżeli system nie uruchamia edytora zasad, zgłasza błędy przetwarzania albo cyklicznie przywraca niepożądaną konfigurację, potrzebna jest analiza uprawnień, rejestru, usług systemowych i integralności instalacji Windows.