GPO. (Group Policy Object) Ing. Daniele Mazza

Транскрипт

1 GPO (Group Policy Object)

2 di cosa si tratta Una GPO non è altro che un insieme di impostazioni che coinvolgono utenti e computer e che sono associate con un container object di Active Directory (Sito, Dominio o OU) in questo caso si parla di NON LOCAL GPO un computer locale in questo caso si parla di LOCAL GPO. Link: Una GPO può essere collegata a diversi container (Sito, Dominio o OU), così come ad ogni container possono essere collegate diverse GPO.

3 a chi vengono applicate Le impostazioni possono essere fatte a livello di computer o a livello di utente. Le prime vengono applicate all atto dell avvio del computer, le seconde all atto del logon dell utente. Le impostazioni per utente vengono applicate agli utenti indipendentemente dal PC dal quale effettuano il logon. Le impostazioni per i computer vengono applicate ai computer indipendentemente dall utente che effettua il logon.

4 a chi vengono applicate Di conseguenza se definisco una policy che abbia solo ed esclusivamente impostazioni relative agli utenti e collego la policy ad una OU alla quale appartengono solo PC, la policy non verrà applicata (e viceversa). Test 1: creazione di una policy per Sito. Test 2: applicazione di una policy con criteri sull utente applicata ad una OU che contiene solo PC

5 a chi vengono applicate Domanda: se ci sono delle policy in contraddizione tra utente e computer, quali vengono applicate? Le aree di sovrapposizione dei due tipi di policy sono poche, tuttavia in caso di contraddizione vengono applicate le policy definite sull utente, perché più specifiche.

6 Ordine di applicazione delle GPO. Le GPO vengono ereditate dagli oggetti figli e vengono applicate dall oggetto di più alto livello (Sito) a quello di più basso livello (OU).

7 Ordine di applicazione delle GPO. L ordine con cui vengono applicate le GPO è il seguente: Local GPO. Vengono applicate solo al computer locale. Site GPO. Vengono applicate a tutti gli utenti ed a tutti i computer appartenenti a tutti i domini del sito. Domain GPO. Vengono applicate a tutti gli utenti ed a tutti i computer appartenenti al dominio. OU GPO. Vengono applicate a tutti gli utenti ed a tutti i computer che appartengono alla OU ed a tutte le OUs eventualmente appartenenti alla OU in questione.

8 Ordine di applicazione delle GPO. Le GPO vengono ereditate dagli oggetti figli e vengono applicate dall oggetto di più alto livello (Sito) a quello di più basso livello (OU). Test 3: creazione di una policy per il dominio che setta dei valori in contraddizione con la policy di sito. Test 4: creazione di una policy per una OU che setta dei valori in contraddizione con la policy di dominio.

9 Ordine di applicazione delle GPO. Ordine di applicazione per St.Paul: 1,2,3,4,5 Ordine di applicazione per Columbus: 1,2,6,7

10 Ereditarietà delle GPO Fino ad ora abbiamo sempre lavorato con una impostazione di policy che richiede un valore (il titolo della barra di IE). Ci sono alcune impostazioni che possono assumere tre stati differenti: Not configured Configured o Enabled o Disabled Es.: l impostazione della complessità della password.

11 Ereditarietà delle GPO Queste sono le regole: 1. Se una impostazione è configurata (Enabled o Disabled) per un container e la stessa impostazione non è configurata (Not configured) per un container figlio, il container figlio eredita l impostazione dal container padre. 2. Se una impostazione è configurata (Enabled o Disabled) per un container e la stessa impostazione è configurata anche per un container figlio, l impostazione del container figlio sovrascrive l impostazione dal container padre. 3. Se una impostazione non è configurata (Not configured) per un container, il container figlio non la eredita.

12 Eccezioni al processo di applicazione delle policy Workgroup members. Un computer che è membro di un gruppo di lavoro (non appartiene ad un dominio) processa solo la local GPO. No override (Enforced per la GPMC). Ogni GPO collegata ad un sito, un dominio o una OU può essere impostata come NO OVERRIDE (o ENFORCED). In questo caso le impostazioni configurate all interno della GPO non possono essere sovrascritte da impostazioni configurate a livello più basso nella gerarchia AD. Nel caso in cui ci siano più policy impostate su NO OVERRIDE, la precedenza viene data a quella più in alto nella gerarchia AD. L impostazione NO OVERRIDE viene associata al collegamento della GPO al container, non alla GPO stessa. Test 5: test sulla policy di tipo enforced.

13 Eccezioni al processo di applicazione delle policy Block policy inheritance. Ad un sito, dominio o OU l ereditarietà delle policy può essere impostata come Block Policy Inheritance. Il blocco dell ereditarietà delle policy blocca l impostazione di tutte le policy definite ai livelli precedenti nella gerarchia AD, cioè le policy definite ai livelli precedenti NON vengono applicate. Questa impostazione viene assegnata ad un container e non ad una GPO o ad un collegamento di una GPO ad un container. Le GPO impostate su NO OVERRIDE vengono comunque applicate e non possono essere bloccate. Test 6: test sulla policy di tipo block inheritance.

14 Eccezioni al processo di applicazione delle policy Ordine di applicazione per St Paul: 1,2,3,4,5 Ordine di applicazione per Columbus: 6,7

15 Applicazione di una GPO ad un utente (computer) o ad un gruppo di utenti (computers) Fino ad ora abbiamo visto che una GPO può essere applicata ad uno dei container di Active Directory (sito, dominio, OU), vi è tuttavia modo di ridurre l applicazione ad un utente (o ad un computer) o ad un gruppo di utenti (o di computers). Nel caso in cui la GPO sia applicata a livello di OU l accortezza che bisogna avere è che l utente (o il computer) o il gruppo di utenti (o di computers) a cui viene applicata facciano parte della OU. Nella sezione scope della GPO è possibile inserire gli utenti o gruppi di utenti o computers a cui la GPO deve essere applicata Test 7: test sulla applicazione di una GPO a un gruppo di utenti.

16 Ricapitolando abbiamo visto: L ordine di applicazione delle GPO. L ereditarietà delle GPO. Le eccezioni all ereditarietà delle GPO. Link GPO enforced container con block inheritance Come ridurre l applicazione di una policy ad un utente o ad un gruppo di utenti.

17 RSoP e Group Policy Results RSoP (Resultant Set of Policy) e Group Policy Results Vista la complicazione delle ereditarietà è difficile prevedere quale è la policy risultante dalla fusione di tutte le GPO che verrà applicata ad un determinato utente su un determinato computer. Per questo motivo ci vengono incontro due strumenti: Il RSoP (Resultant Set of Policy) sul client Il group policy results all interno della GPMC