GPO - Enforce
gpupdate מעדכן את המדיניות בלי להמתין לזמן הרענון הרגיל.gpmc.msc פותח את ממשק ניהול המדיניות.rsop.msc מציג את התוצאה הסופית של המדיניות על המחשב.פרקי ההרצאה: GPO - Enforce
תמלול ההרצאה: GPO - Enforce
הטקסט המלא של הדקות הראשונות בהרצאה «GPO - Enforce» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
ברוכים הבאים לסרט על GPO והסרט הזה יעסוק ביחסים בין הפוליסות השונות. זאת אומרת שאנחנו הולכים ליצור פוליסה ופוליסה אחרת שמתנגשת בה ולראות מי מנצח ובאילו מקרים מי ינצח כי יש מקרים שונים וזה הולך להיות שיעור מאוד מאוד מעניין.
ולשם שיעור זה אנחנו נפתח Features כאן ב-Rולים יש לנו בשרת Active Directory ואנחנו פותחים פיצ'ר של גרופוליסי מנג'מנט הוא נקרא gpmc גרופוליסי מנג'מנט קונסול gpmc יש חבר'ה יותר ותיקים שפותחים את זה פשוט מכאן gpmc.microsoft.consol כן זה msc מוכנה msc זה ציונות של msc מוכנה אז gpmc.msc פותחת בדיוק את אותו כלי ניהול
אפשר לעבוד איתו מפה ואפשר לעבוד איתו מסרבר מנאג'ר זה בדיוק אותו כלי ניהול. יפה מאוד. אז אנחנו רוצים לעשות פוליסה.
אני נכנס פה ל- Group Policy Objects, עושה רייט קליק New Group Policy ונקרא לה נניח נקרא לה no-regedit אסור להיכנס ל-registry no-regedit זאת אומרת שאם יוזר יבוא בתחנת העבודה שלו ויכתוב רג'אדיט.exe, זה כלי שעורך רג'יסטרי, שאני מזכיר לכם שברג'יסטרי שמורות כל ההגדרות של כל התוכנות.
זה המקום המרכזי, רג'יסטרי זה המקום המרכזי להגדרות של התוכנות, לשמירת ההגדרות של התוכנות. באנגלית זה נשמע יותר טוב Central Repository, מאגר מרכזי.
ככה נראה רג'יסטרי, הוא מחולק להגדרות פר מחשב והגדרות פר יוזר. אם אתם תראו פה, נניח בסופטוור, אתם רואים את כל התוכנות שמותקנות. יש לי פה תוכנת פייל זילה, מותקנת במחשב הזה.
אז יש לה את הרג'יסטרי שלה. לכל תוכנה יש את הרג'יסטרי שלה, שזה אוסף של ההגדרות. יפה מאוד, בשורה לרג'יסטרי אני מוחק פה נניח אדובי או משהו כזה, איזושהי תוכנה, ואז היא חושבת שהיא מופעלת פעם ראשונה.
כאילו מוחק משהו באדובי, ואתם רואים פתאום שהוא מציג לכם רישיון, כאילו פעם ראשונה נכנסתם לתוכנה. בקיצור, אני לא רוצה לאפשר ליוזר להיכנס ל-Redgedit הזה, שלא יוכל לערוך את ההגדרות של התוכנות מאחורי גבן של התוכנות.
למנוע ממנו Redgedit, ויש הרבה כלים שעושים Redgedit, כן? זה כלי מובנה בווינדוס. כל הגישה לרמת רג'יסטרי.
אז אני עושה פוליסה שנקראת NoRedgedit, עושה עליה Edit, איפה זה נמצא בדיוק אני לא כל כך זוכר, אז אני אבוא לפה, אעשה רייט קליק, פילטר תעשה לי פילטר אכתוב פה רג' אדיט נעשה אוקיי שימו לב פילטר עובד רק על הענף הזה של אדמיניסטריטיב טמפלייטס הוא לא עובד על כל הקודמים אנחנו נדבר יותר לעומק על מה קורה
בתוך הפוליסה בהמשך כרגע אנחנו עושים פוליסה פשוטה ש-prevent access to registry editor תמנע גישה disable רג'י אדיט פרום ראנינג ס... כאילו, אל תאפשר גם להריץ את זה בפקודות דוס, בפקודות בייץ'.
סיילנטלי זה אומר בשקט. אז prevent access to the registry editor, תמנע גישה לעריכה של רג'יסטרי, אני מאפשר את הפוליסה, וגם בשורת פקודה זה אומר בראן, אי אפשר, ויש לנו פה הסבר.
אוקיי, אז אנחנו עושים אוקיי, ומנענו גישה לרג'יסטרי על ידי הפוליסה הזאת, ובגלל שהשיעור הזה עוסק ביחסים בין הפוליסות ומה קורה כשמתנגשות ההגדרות, אני הולך לעשות עוד פוליסה, אני קורא לו yes regedit או allow regedit, תאפשר regedit, זאת אומרת עשיתי פוליסה אחת שמונעת ופוליסה אחת, זאתי אני לא צריך אותה,
אז עשיתי בדיקה קטנה לעצמי, allow regedit, אני עושה edit, policies, administrative templates, right-click, פילטר, regedit, אוקיי, כל סטינגס ושימו לב
prevent access למנוע גישה אני עושה disable זה אומר אני לא מונע גישה אני מונע את המניעה prevent בדיסייבלד יפה אז יש לנו עכשיו פה אתם יכולים לראות בדיסייבלד יופי יש לנו שתי פוליסות שאחת מתנגשת בשנייה אחת עושה
no rigid אחד הלאו ריג'ידיט יפה מה יקרה עכשיו מה יקרה עכשיו כשהם יתנגשו אחד בשנייה אז בואו נעמוד על הפוליסה ואנחנו יכולים לראות שהיא בכלל לא מקושרת לשום מקום היא קיימת במאגר הפוליסות שלי קיימת אצלי בסיס וול ואני יכול לראות אותה בדיטלס שימו לב דיטלס אתם רואים את המספר שלה
668 אם תיכנסו לסיס וול שני סלאשים שם של המחשב או איי פי שלו אני עושה 27001 כי אני נמצא לאותו המחשב סיס וול פרקטיקיו פוליסיס אני יכול לראות בסיסוול, בשיתוף של סיסוול, יש פה 668, שזאת הפוליסה הזאת.
אתם רואים, כל מה שעשיתי פה בלאו רג'יט נכנס לכאן. אתם יכולים להיכנס פה בפנים, ואתם רואים פה את ההגדרות. אתם רואים פה, יש לה שם, יש לה ורז'ן, יש לה הגדרה ברמת יוזר, הנה, ההגדרה עצמה.
זאת הפוליסה, זה קובץ טקסט, שימו לב, פוליסה זה קובץ טקסט. פוליסה הזאת היא 668, ופוליסה הזאת, כמו רג'אג'ית, המספר שלה c8f. אני מסתכל על הספרות האחרונות, הנה היא, c8f, זאת הפוליסה השנייה.
בעצם תחנת העבודה כשהיא נדלקת, היא ניגשת לשיתוף הזה, כמובן זה לא מ-27 אצלה, אצלה זה שם של מחשב, שם של דומיין קונטרולר, /c2, ניגשת לתיקי המשותפת, מושכת את הפוליסות הרלוונטיות אליה ומבצעת אותן.
זה שיתוף רגיל ששומר את הפוליסות והוא נקרא סיסוול. טוב מאוד, אבל יש לנו פה בעיה. מה הבעיה? שבסקופ על מי זה חל, על איזה מסגרת זה חל?
אנחנו רואים פה, אין פה אף לוקיישן, אף מיקום שזה מחובר אליו. אתם רואים? אין פה אף מיקום שזה מחובר אליו. ולכן הפוליסה הזאת קיימת בסיסוול, אבל אף אחד לא מבצע אותה, כי היא לא חלה על אף אחד.
אז בואו נעשה דבר כזה שאנחנו עושים no-regedit, ניקח פוליסה של no-regedit, ונחבר אותה לכל הדומיין. אני בא לרמת דומיין, זה אומר לכולם, כל מי שבסניף שלי.
לינק אנד אקזיסטינג ג'י פיו, לחבר ג'י פיו קיימת. אני יכול לעשות ישר, לעשות אחת חדשה וישר לחבר אותה. עשיתי את זה בשני שלבים, קודם יצרתי ואחרי זה אני מחבר, אפשר היה לעשות את זה בשלב אחד.
לינק אנד אקזיסטינג ג'י פיו אומר תחבר, מה לחבר? no redgedit. אסור עריכה של רג'יסטרי. הנה, עכשיו הפוליסה של no redgedit מחוברת לדומיין.
בואו נבדוק שזה באמת עובד, נבוא לווינדוס 7 וניכנס לווינדוס 7 שלנו, אנחנו צריכים איזשהו משתמש ליצור אני לא זוכר איזשהו משתמש, טוב בואו ניכנס עם אדמיניסטרטור אדמיניסטרטור, דומיין נקרא שטורדל פרקטיק יונקודה לוקל פרקטיק יונקודה לוקל, הנה
הוא מבצע כניסה ראשונה, שימו לב אני נכנס עם אדמיניסטרטור של כל הרשת האדמיניסטרטור של כל הרשת הוא גם אדמיניסטרטור בכל אחת מתחנות שנמצאות ברשת.
זאת אומרת שהוא אדמיניסטרטור על המחשב הזה, הוא יכול להחליף כתובות IP והוא יכול לעשות שיתופים והוא יכול להוציא מהדומיין, לצרף לדומיין. הוא יכול לעשות הכל על המחשב כי הוא אדמיניסטרטור.
יפה מאוד. ואנחנו רוצים לעשות רג' אדיט, אנטר. תראו מה זה, האדמיניסטרטור מקבל הודעה ש-registry editing has been disabled by your administrator.
זאת אומרת שאסור לפתוח לך רג'יסטרי. אפילו שאתה אדמיניסטרטור, וכל הכבוד לך שאתה אדמיניסטרטור של כל הרשת ושל המחשב הזה, פוליסה יותר חזקה מאדמיניסטרטור. אבל האדמיניסטרטור יכול להחליף אותה, לשנות אותה, לעשות איתה מה שהוא רוצה, אבל היא גם חלה עליו.
הפוליסה חלה על האדמיניסטרטור ועל כולם, ואי אפשר להיכנס לרג'יסטרי, ואי אפשר לשנות לתוכנה את כל ההגדרות שלה מאחורי הגב שלה. יפה.
אז ראינו שגרופוליסי חלה על המחשב הזה. דרך אגב, איזה מחשב זה? בואו נמצא אותו. איך הוא נקרא? Windows 7. מה השם שלו? Windows 7 זה נקרא win71pc.
בואו נראה פה איפה הוא נמצא. בואו נראה פה. לפי דעתי הוא נמצא ב-Testers in a PC. יש לי OU שנקרא Testers ויש ב-Test PC ו-Test User ויש לי User שקוראים לו טסטר.
בואו רק נאפס לו את הססמה לססמה הרגילה של מייקרוסופט שאני לא אתבלבל יפה אז יש לנו יוזר טסטר יש לנו מחשב ויש לנו אויו ראשי שנקרא טסטרס בואו נעשה עוד אויו שנקרא משרד אופיס משרד כל אחד והשיטה שלו דרך אגב אפשר לתת שמות בעברית אבל אני אף פעם לא עושה את זה כי זה יכול לעשות בעיות בכלים אחרים לא של מייקרוסופט
אבל כלים נוספים שעובדים עם אקטיב דירקטורי יכולים לעשות בעיות עם עברית אז לכן לא מומלץ משרד ומחסן נעשה יופי עשינו מחסן עשינו משרד עשינו טסטרס יופי אז ראינו איך פוליס עובדת עכשיו יש לנו שאלה אחרת אם אני אקח ואני אבוא לפה לטסטרס פה אני עשיתי רפרש כן אני אבוא פה לטסטרס ואני אצמיד לטסטרס users בואו ניקח לטסטרס הרגיל
אקזיסטינג gpu אז יש לנו ברמת domain no רדג'אדיט אני הולך להצמיד אלו רדג'אדיט לטסטרס הבנתם לכולם no ול-u הזה אלו שימו לב זה בדיוק אותה הגדרה בואו נראה מה יקרה עכשיו בואו ניכנס למכונה וירטואלית של ווינדוס 7 אנחנו לא רוצים לחכות 90 עד 120 דקות ולא רוצים לעשות סתם לוגו פלוגון אפשר לעשות לוגו פלוגון לצאת להיכנס
כי ההגדרה ברמת היוזר חלה כל פעם ונבדקת כל פעם שאתה נכנס לרשת. אז לוגון לוגוף היה עוזר לי, אני עושה שיטה אחרת, אני עושה gp update. ברגע שאתה עושה gp update, סרוויס של group policy, אתם זוכרים, כן?
Services, כשאתם עושים gp update בסרוויסס, בסרוויסס יש סרוויס שנקרא group policy client, וכשאתם עושים gp update, ה-group policy client הזה שעובד עכשיו ונדלק עם המחשב אוטומטית, והסרוויס הזה של Group Policy Client הולך ל-SysVol ומושך את הפוליסות הרלוונטיות, אוקיי?
הוא מקבל מידע מ-Active Directory איזה פוליסות רלוונטיות אליו, ואחרי שהוא קיבל מידע איזה מספרי פוליסות רלוונטיות, הוא הולך ל-SysVol ומושך אותם, מעתיק אותם אליו.
יפה. דרך אגב, האדמיניסטרטור של המחשב יכול לעצור את הסרוויס הזה, ואז כל מה שהאדמיניסטרטור של הרשת עושה כבר לא יתפוס.
זאת אומרת, האדמיניסטרטור של המחשב יכול לנצח את האדמיניסטרטור של הרשת כי הוא יכול לעצור את הסרוויס הזה שמבצע את העבודה ולכן למשתמש פשוט ורגיל לא נותנים להיות אדמיניסטרטור על תחנת העבודה.