Групова політика — набір правил, відповідно до яких відбувається налаштування робочого середовища Windows. Групові політики створюються в та реплікуються в межах домену. Об'єкт групової політики (Group Policy Object, GPO) складається з двох фізично розділених складових: контейнера групової політики (Group Policy Container, GPC) та шаблону групової політики (Group Policy Template, GPT). Ці два компоненти містять в собі всю інформацію про параметри робочого середовища, що входять до складу об'єкта групової політики. Продумане застосування об'єктів GPO до елементів каталогу Active Directory дозволяє створювати ефективне та легко кероване комп'ютерне робоче середовище на базі ОС Windows. Політики застосовуються зверху вниз ієрархією каталогу Active Directory.
Створення групових політик
За умовчанням в ієрархії каталогу Active Directory створюються дві групові політики з надзвичайно виразними іменами: Default Domain Policy (політика домену за умовчанням), Default Domain Controller's Policy (політика контролера домену за умовчанням).
Перша з них призначається домену, а друга — контейнеру, до складу якого входить контролер домену. Якщо ви бажаєте створити свій власний об'єкт GPO, ви повинні володіти необхідними повноваженнями. За умовчанням правом створення нових GPO володіють групи Enterprise Administrators (Адміністратор підприємства) і Domain Administrators (Адміністратори домену). Щоб створити новий об'єкт групової політики, необхідно виконати такі дії:
Переконайтеся в тому, що ви підключилися до системи з використанням облікового запису, що належить до однієї з груп: Domain Administrators (Адміністратори домену) або Enterprise Administrators (Адміністратори підприємства). Переконайтеся в тому, що в системі, до якої ви підключилися, встановлені засоби адміністрування, необхідні для роботи з груповими політиками. Зокрема, вам буде потрібна оснастка Active Directory Users and Computers (Active Directory — користувачі та комп'ютери). Цьому оснащенню відповідає файл dsa.msc. Відкрийте консоль Active Directory Users and Computers (Active Directory — користувачі та комп'ютери) і перейдіть до контейнера OU, щодо якого ви маєте намір застосувати політику. Правою кнопкою миші клацніть на контейнері OU, з'явиться меню для вибору пункт Properties (Властивості) і перейдіть на вкладку GPO. Щоб створити новий об'єкт GPO і призначити його поточному контейнера, клацніть на кнопці New (Новий). У списку посилань на об'єкти GPO з'явиться нова позиція, рядок імені якої буде знаходитися в режимі редагування. Дайте новому об'єктові GPO змістовне ім'я.
Створена вами політика є лише заготовкою. Її вміст формується на основі адміністративних шаблонів, що містяться в папці SysVol контролера домену, на якому був створений GPO. Ці шаблони можна розширити і модифікувати відповідно до потреб організації. До наявних компонентів об'єкта GPO можна додати створені вами розширення. Наприклад, за допомогою групової політики можна керувати налаштуваннями прикладних програм.
Після створення GPO слід модифікувати значення параметрів цього об'єкта таким чином, щоб налаштувати визначену груповою політикою конфігурацію робочого середовища. На вкладці Group Policy (Групова політика) клацніть на кнопці Edit (Редагувати). При цьому запуститься редактор групової політики, за допомогою якого ви зможете модифікувати конфігурацію комп'ютерів та користувачів, яка визначається політикою. Список посилань на об'єкти GPO, відображений на сторінці властивостей контейнеру OU, містить посилання на об'єкти GPO, розташовані в каталозі Active Directory. Зміни, що вносяться до будь-якого з об'єктів GPO, можуть вплинути на поведінку багатьох об'єктів каталогу Active Directory. Щоб визначити, стосовно яких саме контейнерів OU будуть застосовані зроблені вами зміни, відкрийте діалогове вікно властивостей того GPO, що Вас цікавить і перейдіть на вкладку Links (посилання). Щоб отримати список контейнерів, з якими пов'язана дана політика, користуйтесь кнопкою Find.
Засоби адміністрування
Утиліти групи Administrative Tools (Адміністрування) входять до комплекту поставки операційних систем Server, Advanced Server і Datacenter Server. , необхідний для встановлення цих утиліт, називається adminpak.msi і розташовується в каталозі i386 на установчому компакт-диску або в підкаталозі WINNT\SYSTEM32\ операційної системи. Цей 15-мегабайтний файл встановлює всі необхідні оснастки та реєструє бібліотеки DLL, необхідні для роботи засобів адміністрування. В наш час встановити утиліти групи Administrative Tools (Адміністрування) можна тільки на платформу Windows 2000.
Застосування групових політик
Працюючи з груповими політиками, слід враховувати, що: об'єкти GPO застосовуються щодо контейнерів, а не «замикаючих» об'єктів; один контейнер може бути пов'язаний з кількома об'єктами GPO; об'єкти GPO, пов'язані з одним і тим же контейнером, застосовуються до цього контейнеру в тому порядку, в якому вони були призначені; об'єкт GPO включає в себе дві складові: параметри, пов'язані з комп'ютерами, і параметри, пов'язані з користувачами; опрацювання будь-якої з цих складових можна вимкнути; спадкування об'єктів GPO можна блокувати; спадкування об'єктів GPO можна форсувати; застосування об'єктів GPO можна фільтрувати за допомогою списків Access control list.
Розв'язування конфлікту двох політик
Уявіть, що деякий параметр (наприклад, logon banner — графічна заставка при підключенні) визначено як у політиці Р3, так і в політиці P1. При цьому значення параметру, задане в політиці Р3, відрізняється від значення, заданого в політиці Р1. Яке значення буде присвоєно параметру у результаті застосування обох цих політик? У подібній ситуації параметру об'єкта присвоюється значення, отримане з GPO, який знаходиться до об'єкта ближче всього. Таким чином, в розглянутій ситуації параметру logon banner буде присвоєно значення, взяте з політики Р1.
Успадкування політик
Уявіть, що політика Р3 містить в собі значення параметра logon banner, у той час як політика Р1 не визначає цього параметра. У цьому разі, якщо у відношенні до об'єкта застосовуються обидві політики, параметру об'єкта, що розглядається, буде присвоєно значення з політики Р3. Однак контейнеру SA не призначено жодної політики. Все ж таки параметру logon banner цього контейнера буде присвоєно значення з політики Р3. Мало того, у відношенні цього контейнера будуть повною мірою застосовані політики Р3 і Р1, так як контейнер SA успадкує ці політики від своїх батьків — вузла New York і домену shinyapple.msft.
Застосування декількох політик відносно одного контейнера
Уявіть що політики Р4 і Р5, в яких визначаються значення найрізноманітніших параметрів, застосовані до контейнеру Acct. У розділі конфігурації комп'ютера політики Р4 членам глобальної групи Accounting (бухгалтерія) дозволяється локально підключатися до будь-якого комп'ютера в контейнері Acct, а також у всіх підконтейнерах цього контейнера. А в розділі конфігурації комп'ютера політики Р5 права групі Accounting (бухгалтерія) не призначаються. У списку політик, який відображається на сторінці Group Policy (Групова політика) у вікні властивостей контролера домену, політика Р5 розташовується в верхній частині списку — вище політики Р4. Політики, зазначені в цьому списку, застосовуються до об'єкта в порядку знизу вгору. Іншими словами, політики, розташовані в нижній частині списку, застосовуються в першу чергу, після чого застосовуються політики, розташовані вище за списком. Таким чином, при обробці розглянутого набору політик відносно контейнера Acct спочатку буде застосована політика Р4, а потім політика Р5. Отже, після обробки набору політик параметр прав на локальне підключення до системи буде містити значення з політики Р5. Таким чином, члени глобальної групи Accounting (бухгалтерія) не будуть мати право локального підключення до комп'ютерів контейнера Acct і його підконтейнерів. Щоб змінити порядок обробки політик, слід скористатися кнопками Up (Вгору) і Down (Вниз) в правому нижньому куті вкладки Group Policy (Групова політика).
Windows 2000 дозволяє блокувати застосування деяких розділів об'єкта GPO. Якщо політика застосовується щодо контейнера не повністю, а тільки частково, загальний час підключення користувача до системи зменшується. Чим менша кількість параметрів GPO слід застосувати у відношенні того чи іншого об'єкта, тим швидше виконується обробка відповідної політики. Відключення оброблення деяких розділів політики можна здійснити окремо для кожного з об'єктів GPO. Для цього слід виконати такі дії: Відкрийте оснастку Active Directory — Users and Computers (Active Directory — користувачі і комп'ютери). Виділіть контейнер, що Вас цікавить, відкрийте вікно властивостей цього контейнера і перейдіть на вкладку Group Policy (Групова політика). Виберіть об'єкт GPO, який ви маєте намір модифікувати. Клацніть на кнопці Properties (Властивості). Тут ви можете блокувати застосування щодо контейнера параметрів політики, що відносяться до конфігурації комп'ютера або до конфігурації користувача. Після того як ви зазначили, застосування якого із розділів GPO повинно бути блоковано, на екрані з'явиться повідомлення про те, що значення параметрів, модифікованих завдяки даній політиці, будуть відновлені в початковий стан. Наприклад, якщо блокувати застосування параметрів GPO, що відносяться до конфігурації користувача, то конфігурація всіх користувачів, щодо яких діє дана політика, буде відновлена в стан, в якому вона була до застосування даної політики. На відміну від Windows 2000 операційна система NT 4.0 виконувала очищення політик некоректно. У зв'язку з цим в NT 4.0 навіть після скасування політики параметри об'єктів зберігали значення, присвоєні їм в процесі застосування скасованої політики. Блокування застосування одного з розділів політики налаштовується для конкретного об'єкта GPO і діє відносно всіх контейнерів, для яких призначений цей GPO.
Блокування спадкування політики
Windows 2000 дозволяє блокувати спадкування політики від батьківського об'єкта. Наприклад, якщо ви хочете, щоб відносно контейнера IT і всіх його підконтейнерів діяли тільки політики, визначені на рівні IT, на сторінці Group Policy (Групова політика) властивостей об'єкта IT встановіть прапорець Block Policy Inheritance (блокувати спадкування політики). При цьому політики Р1 і Р3 не будуть застосовуватись у відношенні до контейнерів IT Workstations і IT Servers. Блокування спадкування політик не можна відключити для якої-небудь однієї політики. Якщо для будь-якого контейнера включено блокування спадкування політик — щодо цього контейнера і всіх його підконтейнерів перестають діяти абсолютно всі політики, призначені на вищих рівнях ієрархії каталогу Active Directory. Цей параметр може бути налаштований окремо для конкретного об'єкта GPO і діє відносно всіх контейнерів, для яких призначений цей GPO. Якщо для об'єкта GPO встановлений прапорець No Override (не скасовувати), значення параметрів з відповідної політики завжди будуть мати великий пріоритет при виникненні конфліктів політик незалежно від того, на якому рівні ієрархії розташовані контейнери, до яких застосовується даний GPO. Наприклад, якщо ви відкриєте вікно властивостей домену shinyapple.msft і встановить прапорець No Override (не скасовувати) для політики Р1, об'єкти, розташовані нижче за ієрархією Active Directory, завжди будуть налаштовані згідно зі значеннями, заданими в політиці Р1. При виникненні конфлікту політик значенням з Р1 буде віддано перевагу. Гарним прикладом ситуації, в якій може знадобитися використання даної можливості, є застосування параметрів безпеки. Якщо для будь-якого контейнера включено блокування спадкування політик, політика, що володіє властивістю No Override (не скасовувати), все рівно буде застосована, так як параметр No Override (не скасовувати) має високий пріоритет.
Фільтрація політик