GPO - Scope
gpupdate מעדכן את המדיניות במחשב מיד.rsop.msc מציג את התוצאה הכוללת של המדיניות.Select * From Win32_LogicalDisk Where ... (מזהה דיסקים לוגיים לפי מקום פנוי).פרקי ההרצאה: GPO - Scope
תמלול ההרצאה: GPO - Scope
הטקסט המלא של הדקות הראשונות בהרצאה «GPO - Scope» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים לשיעור נוסף על Group Policy אנחנו נדבר על סקופ על מי חלה הפוליסה הזאת וקצת גם על האבטחה אז בואו נתחיל לדבר בעצם על מי חלה פוליסה עשיתי פה פוליסה שנקראת No-Regit שמה שהפוליסה הזאתי עושה היא ברמת User חוסמת Regedit Prevent Access to Registry
Editing Tools Enabled אני מזכיר לכם רג'יסטר זה המקום המרכזי להגדרות של כל התוכנות ואני לא רוצה לתת ליוזר לגשת לשמה, שלא יחליף הגדרות לכל מיני תוכנות, אלא מאחורי הגבן, כשהן לא עובדות, יוזר לא צריך להיכנס לשמה, ואני רוצה למנוע את זה ממנו.
עכשיו השאלה על מי חלה הפוליסה הזאת. אנחנו יכולים לראות שהפוליסה משויכת לכל הדומיין, זה אומר שהיא חלה על כל המשתמשים שיש לי בדומיין שלי.
לפעמים זה לא כל כך טוב לי, אני רוצה קצת לשחק, אני רוצה, לפעמים זה לא מספיק טוב לי, ואני רוצה לקבוע בדיוק על מי היא תחול.
אז בשביל זה יש לנו פה security filter. security filter אומר, אמנם אתה משוייך לכל הדומיין או לאיזשהו U, אבל אתה לא חל על כל המשתמשים, אתה חל רק על קבוצה מסוימת של משתמשים.
לדוגמה, אני רוצה לעשות קבוצה, נעשה אותה פה ברמת דומיין כולו, שנקראת Group, שימו לב אני עושה Group, שנקראת Managers או Managers.
ואני לוקח את הגרופ של מנאג'רס ומשייך לשמה כמה משתמשים, נניח טסטר במקרה שלי, לוקח ומכניס את המנהלים. מה היתרון של הקבוצה?
שבעצם חברים בה יכולים להיות מכל מיני אויויים, מכל מיני תיקיות, מנהלים מאנשי מכירות וממשרדים וממחסנים, והקבוצה לעומת אויו יכולה להכיל משתמשים מכל מיני אויויים.
זאת אומרת שבקבוצה יכולים להיות משתמשים מפוזרים וזה היתרון של הקבוצה. לעומת זה OU, יש, האובייקט נניח של היוזר יכול להיות רק ב-OU אחד, הוא לא יכול להיות בו זמנית גם ב-OU הזה וגם ב-OU אחר.
אז היתרון הזה של הקבוצה מאוד עוזר לי כשאני רוצה לעשות No-Redgedit רק למנהלים. אז אני עושה פה No-Redgedit, אומר שהיא תחול על כל המשתמשים, אני עושה לזה רימוב, מעיף את זה, ואומר שעכשיו מבחינת האבטחה זה יחול רק על קבוצה שנקראת Managers.
יפה. זאת אומרת שזה משוייך לכל ה-scope שלו, זה כל הדומיין, אבל בפועל, ב-Security, זה רק Managers. בואו נבדוק שזה עובד.
איך אנחנו נבדוק שזה עובד? אנחנו נפתח שתי חלונות במקביל ונתחיל לשחק איתם. זאת אומרת, ניקח פה את החלון הזה של Windows 7 ונראה.
אז מה עשינו, עשינו בעצם שהפוליסה no רג'י אדיט חלה על כל מי שחבר בקבוצת מנאג'רס ומי חבר בקבוצת מנאג'רס, הטסטר שלנו. נעשה קונטרול על delete, קונטרול דל וניכנס כטסטר.
דרך אגב טיפ מאוד חשוב שאם אתם מחליפים קבוצות, לוקחים יוזר ומכניסים אותו לקבוצה אתם חייבים לעשות לוגוף ואחרי זה לוגון, למה לוגוף חייבים לעשות לוגוף?
כי הוא צריך לקחת טיקט חדש עם הקבוצה הזאת. זאת אומרת שטיקט חדש מ-DC שכולל את הקבוצה ועל זה הרבה אנשים נופלים, מתקשרים לתמיכה טכנית, אומרים תקשיב משהו לא עובד לי, הוא עושה אה אה שכחנו להכניס אותך לקבוצה שמותר להם להיכנס לתיקייה הזאת, מכניסים אותו לקבוצה,
אומרים הנה הוא ייכנס עכשיו, הוא נכנס וזה לא עובד לו. ואז הוא אומר אבל כולם שם ואצל כולם זה עובד. אז פשוט המשתמש המקומי, היוזר המקומי בתחנת העבודה, נניח במקרה זה טסטר, מקבל את הקבוצות שלו, מקבל טיקט עם הקבוצות שלו, רק בזמן לוגון, שימו לב, רק בזמן לוגון,
רק בזמן כניסה למחשב, ומרגע שהוא נכנס למחשב הוא נשאר עם הטיקט הזה, ועד שהוא לא יעשה לוגוף ולוגון מחדש הוא לא יקבל טיקט חדש, ולכן חייבים לעשות לוגוף לוגון, וזה בדיוק מה שעשיתי עכשיו, כי שייכתי אותו לקבוצת מנאג'רס.
בואו נעשה פה עכשיו רדג'אדיט, ונראה שהפוליסה, פוליסה, נו, מה יש לך? רג'י אדיט. הוא אומר, הוא עכשיו רוצה שאני אכניס לו סיסמה של אדמיניסטרטור לרג'י אדיט, אני עושה לו אס.
והוא אומר, טוב, ללא שום קשר ל-user account control, אתם רואים, פוליסה חלה עליי. שימו לב, הלאה, אני עושה עכשיו קבוצה חדשה שנקראת, קבוצה חדשה שנקראת VIP נניח, גרופ שנקראת VIP, ואני לא בגרופ הזה.
אין פה אף אחד בגרופ הזה, וזה לא מעניין אותי שאין אף אחד, מה שחשוב שאין אותי בפנים, ואני אומר שעכשיו no רג' אדיט לא חלה על המנאג'רס, בואו נרחיב פה טיפה את החלון, אז no רג' אדיט חלה על כל הדומיין, אבל על קבוצת VIP בלבד, ואנחנו נוכל לראות שעכשיו אחרי gpu update, בואו נעשה gpu update,
gpu update, עכשיו אחרי ה gpu update, מספיק מקום במסך, אחרי ה gpu update, נעשה רג' אדיט, אין לי אדמיניסטרטור, הנה אדמיניסטרטור, הנה הפוליסה צריכה הייתה לחול עליי והיא לא חלה עליי, תן לזה עוד הזדמנות, אם לא נצטרך לעשות לוג אוף לוג און,
הוא שגע אותי עם היוזר אקאונט קונטרול, אתם רואים, לא עובד, אני עושה לוג אוף ולוג און מחדש, נכנס מחדש, בואו נבדוק מה קרה, למה הפוליסה הזאת עדיין עובדת, אז אנחנו נעשה MMC מאוד מאוד חשובה, כשה-MMC החשובה הזאת נקראת resultant תוצאה, סט אוף פוליסי תראה לי תוצאות של כל הגרופוליסי
זאת אופציה מאוד מאוד חשובה שאיתה אנחנו מחפשים בעיות בתחנת העבודה משהו שעשינו בשרת באגרופוליסי לא עובד אנחנו הולכים ל-RSOP זה נקרא ריזולטן סט אוף פוליסי נעשה אוקיי ואנחנו יכולים לראות פה איזה פוליסות חלו על המחשב בואו אני אעשה פול סקרין
ונוכל ככה לתחקר מה הבעיה generate rsop הוא עושה לוגינג על איזה מחשב אתה אתה רוצה כי אפשר להפעיל את הכלי הזה מרחוק אני אומר על המחשב הזה שואל אותי על איזה משתמש אתה רוצה אני אומר על המשתמש הזה והוא מתחיל לאסוף לי איזה פוליסות חלות על המחשב הזה עם המשתמש הזה זאת אומרת על המחשב הוא נשב אחד pc משתמש טסטר חברה הכלי הזה זה הכלי המרכזי לבדיקת בעיות של group policy אפשר גם להיכנס אליו לא דרך
mc ככה לאט לאט אלא ישר לכתוב rsop זאת אומרת מייקרוסופט תעשו לנו MMC עם כלי הזה כבר בפנים זה נקרא RSOP, יפה, פיניש ואנחנו יכולים לראות שאין לנו הרשאה כי אנחנו יוזר פשוט לראות את החלק של הקומפיוטר אבל חלק של היוזר אנחנו יכולים לראות ואנחנו יכולים לראות בדיוק מה חל על המשתמש
ומה לא חל עליו, אתם רואים יש פה סימן צהוב עושים פרופרטיז, אנחנו רואים מה קורה אצלנו ביוזר לרוב אני עושה את זה עם אדמיניסטרטור ואז רואים הרבה יותר דברים יפה טוב אני רואה פה שאנחנו לא רואים שום דבר נעשה לו ריסטארט גם רציתי להגיד לכם שהכלי השני שמשתמשים בו זה Event Viewer נכנסים ל-Event
Viewer ומחפשים תקלה שקשורה ל Group Policy טוב עד שהוא עושה היינו עושה לנו ריסטארט יחסית זריז רייג' אדיט רייג' אדיט בוא נעשה הוא מיי סלאש אול הוא מיי סלאש אול יפה הוא מיי סלאש אול יראה לי באיזה קבוצות אני חבר, הנה אני רואה שאני יוזר טסטר, וזה ה-seed שלי, המספר הסידורי שלי
במערכת האבטחה, ואני רואה שאני שייך לקבוצת everyone, לקבוצת users, לקבוצת interactive, לקבוצת, הנה, אני שייך לקבוצת מנאג'רס, לקבוצת creators owner, יפה, יפה, מנאג'רס ו-creators owners, יפה, והפוליסה שלי, צריכה להיות משוייכת רק
ל-VIP, בואו נראה שזה באמת עובד, פה ב-properties, אני רואה שאני לא בקבוצה ובדליגיישן בדליגיישן באדוונסט אני רואה שעל פוליסה הזאתי יש לי vip read ו-enroll ולדומיין אדמינס יש טוב זה לא אמור לחול עליי זה לא אמור לחול עליי אה יפה חבר'ה אתם לא תאמינו הכל עובד כמו שצריך זה לא חל עליי כי היא נקראת no
readit היא אומרת no readit אנחנו מחפשים בעיה במקום שאין אותה בכלל תראו איזה מצחיקים אנחנו פוליסה אומרת לחסום רג'דית, נכון?
והיא חלה על VIP, כן, פה בסקופי, חלה על VIP. אז בגלל זה היא לא חלה עליי, אז היא לא חוסמת לי. שימו לב, אני עושה רג'דית, אני מבקש פה את הסיסמה שלי שוב, והיא לא חוסמת לי את הרג'דית.
יפה. ואם הייתה חלה עליי, זאת אומרת, אני עושה רימוב ומוסיף פה סקיוריטי את המנאג'רס, שאני חבר בקבוצת מנאג'רס, ברגע שהיא כן חלה עליי, אז אני לא אוכל להפעיל רג'דית.
כאילו הפוליסה היא חסמה את הרג'דית, כשהיא לא חלה אז רג'דית עבד ואני חשבתי שרג'דית עובד זאת אומרת שהפוליסה לא עובדת ולהפך היא בדיוק בדיוק הפוך.
טוב לקח לי קצת זמן להבין את זה הנה תראו עכשיו אני מנג'רס והפוליסה כן