GPO Loopback
gpupdate /force מבצע את כל הפוליסות מההתחלה, ו-rsop מראה איזו הגדרה הגיעה ומאיזה GPO.פרקי ההרצאה: GPO Loopback
תמלול ההרצאה: GPO Loopback
הטקסט המלא של הדקות הראשונות בהרצאה «GPO Loopback» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לסרט הלופבק. זה סרט מאוד חשוב ואנחנו לפני שניגש ללופבק אנחנו צריכים להבין איך עובד כל המנגנון של גרופוליסי. אז קודם כל אני אדגיש דבר חשוב שיש לנו שני כלים שאנחנו נעבוד איתם.
אחד זה Active Directory Users and Computers שאומר לי איזה יוזר נמצא באיזה OU, איזה מחשב נמצא באיזה OU, באיזה תיקייה נמצא איזה מחשב ואיזה יוזר.
וכלי שני שאומר לי, נקרא Group Policy Management, GPMC, Group Policy Management Console, GPMC שאומר לי לאיזה OU, לאיזה אותן תיקיות, כמו מעבדה פה ומעבדה פה, לאיזה תיקיות, לאיזה OUים מחוברות איזה פוליסה.
ואנחנו יכולים לראות פה שיש פה שתי פוליסות שמחוברות למעבדה, ואנחנו יכולים לראות שיש פה גם פוליסות שמגיעות בהורשה, בהורשה מדומיין, בהורשה מ-OU הראשי יותר.
יש פה ארבע פוליסות שיחולו עכשיו לפני שאנחנו נתחיל לדבר על לובק אנחנו צריכים להבין את הבעיה העקרונית שיש לנו ואת המנגנון העבודה שלו איך אנחנו איך גורופוליסי עובד אז במעבדה יש לנו פה מחשב נדלק המחשב במעבדה מה קורה איך שהמחשב נדלק הוא מתחיל לבצע את הפוליסות אחרי שהוא עובר עימות מול הדומיין מזהה את הדומיין קונטרולר שלו נבדק שהמחשב הוא באמת
מחשב בדומיין מתחיל לבצע את הפוליסות הוא ניגש לסיסוול ומושך את הפוליסה מתוך סיסוול, זוכרים כל הפוליסות נמצאות פה בסיסוול, יש תיקייה משותפת שנקראת סיסוול, בתוך התיקייה המשותפת של סיסוול יש בעצם את כל הפוליסות, פה, אתם רואים את כל הפוליסות?
המחשב ניגש לתיקייה המשותפת, מעתיק את הפוליסות עליו לארדיסק ומתחיל לבצע אותם. אבל זה לא כזה פשוט. הוא מתחיל לבצע את הפוליסה הראשונה, אבל מתוך הפוליסה הראשונה כשהמחשב נדלק הוא מבצע רק את החלק של הקומפיוטר, זה החלק של המחשב הוא מתעלם מהחלק של היוזר אחרי זה הוא מבצע את הפוליסה הבאה בתור אחרי default domain פוליסה של office מבצע את
החלק של הקומפיוטר אחרי זה הוא מבצע פה את החלק הזה של הקומפיוטר עם כל ההגדרות שיש לנו פה אחרי זה הוא מבצע את הפוליסה הבאה בתור רק את החלק של הקומפיוטר אתם יכולים לעמוד פה ולראות את כל הפוליסות שהוא מבצע הדגש שלי שהמחשב בזמן שהוא נדלק הוא מבצע את כל הפוליסות לפי הסדר אבל רק את החלק של הקומפיוטר למה כי הוא לא יודע איזה יוזר יבוא להיכנס אליו
אולי ייכנס יוזר שעובד למחשב הזה יבוא יעשה שם וסיסמה יוזר ממחלקה אחרת ממחלקת לוגיסטיקה ואם יבוא יוזר ממחלקת לוגיסטיקה לדוגמה שמוליק המחשב יתחיל לבצע את כל הפוליסות לפי מחלקת לוגיסטיקה שזה כל הרצף הזה אתם רואים אני עומד פה על לוגיסטיקה לוחץ פה ורואה את כל הפוליסות שהוא מבצע אבל הפעם
הוא יבצע את החלק של היוזר זאת אומרת הוא יבוא לפוליסה הראשונה כן default domain policy יבצע את החלק של היוזר זה ריק, אז הוא לא יבצע.
אחרי זה את החלק של ה-Office יעשה את זה. אחרי זה את החלק של ה-User פה, אחרי זה את החלק של ה-User פה. זאת אומרת שמחשב נדלק, מבצע את כל הפוליסות עד חשבון המחשב שלו.
נניח פה אתם רואים חשבונות מחשב. מחשב K7T20 יידלק, יבצע את כל הפוליסות לפי הסדר הזה: מעבדה, פרקטיקי, אופיס, מעבדה. יבצע את כל הפוליסות האלו, רק את החלק של הקומפיוטר בכל הפוליסות.
הוא יתעלם מהחלק של היוזר אחרי 10 דקות רבע שעה יבוא יוזר נניח יבוא יוזר ממחלקת לוגיסטיקה או ממחלקת מזכירות אז הוא יבצע את כל הפוליסות פרקטיקיו אופיס מזכירות אם יבוא יוזר של הלוגיסטיקה הוא יבצע פרקטיקיו אופיס לוגיסטיקה זאת אומרת הוא לא יודע מי יגיע אליו אז הוא לא יודע איזה פוליסות לבצע אז הוא יבצע אותם
רק אחרי שהיוזר ייכנס ומתוך כל הפוליסות האלו של היוזר הוא יבצע רק את החלק של היוזר באותן פוליסות הבנתם? זאת אומרת שאפילו שבפוליסה יש שני חלקים יוזר וקומפיוטר הם לא מבוצעות ביחד ולאו דווקא שתיהן יתבצעו.
זאת אומרת שאם אני אגדיר פה איזושהי פוליסה ובתוכה אני אגדיר חלק של היוזר לאו דווקא זה יתבצע. אפילו שהמחשב נמצא במעבדה, אתם רואים מחשב יכול להיות במעבדה אבל יוזר לא חייב להיות במעבדה, יוזר יכול להיות במחלקה אחרת.
אז הפוליסות של המעבדה יתבצעו על המחשבים שבמעבדה אבל רק את החלק של הקומפיוטר. לא את החלק של היוזר. החלק של היוזר יתבצע בעצם על היוזר.
למה אני כל כך מבלבל לכם במוח? הרעיון זה בעצם שיוזר, לא משנה באיזה מחשב הוא ייכנס, אני יודע שזה מאוד מבלבל, לא משנה באיזה מחשב ייכנס היוזר, לא משנה באיזה מחשב נכנס היוזר, הפוליסות שלו מטיילות איתו ביחד.
זאת אומרת, הפוליסות של שמוליק ממחלקה לוגיסטיקה, לא משנה הוא יבוא למחשב זה או למחשב אחר, Group Policy של שמוליק יטיילו איתו ביחד, מבוצעות בשלב אחרי שהוא מכניס שם וסיסמה אז אל תתבלבלו כי הרבה אנשים חושבים שאם שני חלקים של פוליסה יושבות ביחד זאת אומרת פה על המסך אני רואה גם יוזר וגם קומפיוטר שתיהן התבצעו ממש לא נכון הן התבצעו
שתיהן רק אם יוזר יהיה גם פה וגם המחשב יהיה פה בגלל זה אני ממליץ מאוד לשים ביחד יוזר ומחשב אז נוצרת לנו בעיה בגלל מה שסיפרתי לכם מה יקרה אם יש לי מחשב בכניסה הנה יוני PC נמצא בכניסה והיוזר נמצא בלוגיסטיקה אז יפה אז יתבצע פה כל החלק של הקומפיוטר עד לפה וכל החלק של היוזר יתבצע פה אבל אני לא רוצה את זה אני רוצה שבמחשב בכניסה לא משנה
מי נכנס לא מעניין אותי מי נכנס למחשב בכניסה שיהיו בדיוק אותם הגדרות לכולם זאת המטרה שלי אז אני עושה פה גרופוליסה חדשה שנקראת כניסה כן מחשב בכניסה ובמחשב בכניסה אני רוצה שלא יהיה שומר מסך כרגע הפוליסה ריקה אני עושה אדיט ניגש לי חלק של שומר מסך.
איפה החלק של שומר המסך נמצא? הוא לא נמצא בקומפיוטר, הוא נמצא ביוזר, כי לכל בן אדם יכול להיות שומר מסך שונה. בגלל שלכל בן אדם שומר מסך שונה, החלק של היוזר, שם נמצאת ההגדרה.
אנחנו יכולים לחפש פה, יש פה הרבה מאוד אופציות, אני עושה All Settings בשבילו לחפש, עושה פילטר, זה כמו חיפוש לפי... הוא אומר, כותב לו פה Screen Saver, שם לו V, כותב Screen Saver, עושה אוקיי.
והוא מראה לי רק את האופציות שקשורות לסקרין סייבר. עושה לי סינון, פה אתם רואים היא מסננת. ואני אומר כזה, Enable Screen Saver, לאפשר סקרין סייבר, אני אומר לו, לא, Disable Screen Saver, אוקיי?
זה אומר שאין לנו שומר מסך. זאת הייתה המטרה שלי, שלא יהיה שומר מסך במחשב בכניסה. או שאני יכול לעשות, אתם יודעים מה? בואו נתחכם יותר.
נעשה שומר מסך ספציפי. בשביל החברה שלנו המצאנו שומר מסך, מתכנתים כתבו שומר מסך מיוחד לחברה שלנו עם הלוגו שלנו ועם הפרסומות שלנו. אז אני יכול לעשות for specific screen saver.
אני עושה enable וכותב לו את השם שלו פה. מאיפה אני לוקח אותם? הם נמצאים ב-CMD, CD Windows, CD System 32, דיר כוכבית screen saver.
אני מעתיק אותו ל-System 32 ואני אומר לו להפעיל את זה מפה. אני יכול לשים אותו גם אפילו בשיתוף. אני עושה פה את השם של שומר מסך שאני רוצה. אני רוצה שיהיה שומר מסך הזה ולא אחד אחר.
למה? כי זה מחשב בכניסה שיהיה לו שומר מסך רשמי יפה של החברה. יפה. Enable send screen saver. Enable timeout. תוך כמה זמן הוא מופעל? מבחינתי הוא מופעל, אני רוצה שיסתובב הרבה, תוך דקה.
אם אף אחד לא נוגע במחשב הזה, תוך דקה מופעל שומר מסך. סיסמה. סיסמה, אני לא רוצה. Password, protect screen saver, לא רוצה.
לרוב, אתם יודעים מה? כן רוצה. מה שמגדירה לכם הנהלה, או מחלקת אבטחה האם יוזר יכול להחליף את ההגדרות אנחנו נחזור על זה ונראה את ההגדרות פה בפנים זה אומר שאם אני אבחר את האופציה הזאתי זה אומר שאני בכלל לא אוכל לראות מה הם ההגדרות בכלל לא אוכל ללחוץ על הכפתור לראות אותן
להחליף אני גם ככה לא יכול כי זה פוליסה כל מה שבפוליסי אי אפשר להחליף יוזר לא יכול להחליף מה שהגדרתי בפוליסי פוליסה יותר חזקה ממי משתמש וגם מאדמיניסטרטור זאת אומרת פוליסה חלה על האדמיניסטרטור כמו על כולם והאדמיניסטרטור גם לא יוכל לשנות דברים במסך הגרפי אבל בואו נראה את זה, אתם יודעים מה, לפני שאני ממשיך בואו נראה את זה קורה
טוב אז הגדרתי פה דברים בסקרין סייבר מצוין הגדרתי את זה ברמת יוזר כי סקרין סייבר נמצא ברמת יוזר הכל מצוין שייכתי את הפוליסה שלי לכניסה כי אני רוצה שהיא תהיה כניסה שומר מסך כניסה סקרין סייבר שומר מסך לכניסה ואני עכשיו לוקח בכניסה ומוודא שיוני PC נמצא בכניסה.
ואני הולך ליוני PC ועושה לו gp update. בואו נלך ליוני PC, זה המחשב הזה. יוני PC פה, שנייה, אני אסגור כל מה שיש לנו פה. נעשה פה gp update /4, זה אומר תבצע את כל הגרופוליסי מההתחלה.
אל תחכה 90 עד 120 דקות בשביל לבדוק האם יש פוליסה חדשה. לך עכשיו, תבצע גרופוליסי. עכשיו לסיסוול תמשוך פוליסה תבצע אותה פורס אומר גם אם זה השתנה גם אם זה לא השתנה אתה עושה את זה אז gp update עשה לנו את הגרופוליסי כמו שביקשנו אנחנו יכולים דרך אגב לבדוק איזה פוליסות הוא עשה אני עושה הרסופ
פקודת הרסופ מראה לי איזה פוליסות חלו על המחשב מה התבצע במחשב הזה אני עושה פה הרסופ ואני רואה פה בדיוק איזה פוליסות חלו לי על המחשב זה כלי מאוד מאוד חשוב יכולים לראות פה כל מיני הגדרות שחלו על המחשב ומאיזה גרופוליסי זה חל גורופוליסי שקוראים לדיפול דומיין פוליסי בדיוק מה חל לי על המחשב זה כלי הר סופ הזה זה כלי מאוד מאוד חשוב בואו נבדוק בפרסונליז האם סקרין סייבר חל
עליי לא חל עליי אתם רואים יש פה עשר דקות לא חייבים סיסמה אין שומר מסך ספציפי אני יכול להחליף אותו כאילו גורופוליסי לא תפס למה גורופוליסי לא תפס בואו נחשוב שימו לב עם איזה יוזר אני נמצא פה עם אדמיניסטרטור כן אדמיניסטרטור שימו לב מה קורה פה פוליסה כניסה סקרין סבר יש בה את החלק של היוזר אבל החלק של היוזר הזה עם השומר מסך
עם כל מה שביקשתי לעולם לא יתבצע אתם רואים ביקשתי 60 שניות ביקשתי שומר מסך ספציפי ביקשתי לבקש סיסמה זה לעולם לא מתבצע למה זה לעולם לא מתבצע מה שהגדרתי הרי שייכתי את זה לאוריו של הכניסה כי בכניסה יש רק מחשבים ואין יוזרים ולכן מה שיתבצע פה זה החלק של המחשב החלק של היוזר לא יתבצע אם אני רוצה שזה יתבצע
אני צריך לקחת את שמוליק ולגרור אותו פנימה ואז יתבצעו כששמוליק ייכנס למחשב הזה יתבצע הכל אגרופוליסי בואו נראה בואו נראה ניקח פה ווינדוס 7 ניכנס בתור שמוליק ואז אנחנו נראה שבאמת יחול החלק של היוזר כי שמוליק נמצא באותו OU אתם מבינים פה את הלוגיקה הרעיון שחלק של היוזר מתבצע בשלב של הלוגין החלק של הקומפיוטר מתבצע
בחלק של הריסטארט של ההתחלה של המחשב זה מאוד מאוד מבלבל הרבה אנשים נופלים על זה אז שמוליק נכנס, בואו נראה מה קורה אצלו. פרסונלייז, סקרין סייבר, הנה באמת דקה. הנה סקרין סייבר בלנק, שזה מה שהיה אצלנו בשרת.
והנה באמת on resume, display log on screen, זאת אומרת תבקש סיסמה. ודקה, זה תפס דקה. יפה, זה עובד, טוב מאוד, השגתי את המטרה.
אבל שימו לב, שימו לב מה קרה פה, יש לנו בעיה. למה? כי שמוליק בא למחשב של הכניסה, נכנס, הכל עובד, אבל שמוליק חזר למחשב שלו, יושב על המחשב שלו ופתאום הוא מקבל גרופוליסי של מחשב של הכניסה למה כי היוזר שלו נמצא פה אז עכשיו לא משנה
באיזה מחשב שמוליק ייכנס הוא תמיד יקבל את ההגדרות כאילו במחשב בכניסה לבניין הוא רוצה את ההגדרות שלו את הגרופוליסי שלו הרגילים של המשרד אז הוא אומר יוני חמוד תעביר אותי חזרה לפה אז אני מעביר אותו חזרה ללוגיסטיקה ושימו לב יש פה דעת אזהרה אומרת שזה שאתה מזיז OU אתה משפיע על גרופוליסי אני אומר בטח זאת המטרה שלי
ולכן גרירת אובייקטים בתוך OU באקטיב דירקטור