Group Policy

GRUP POLTKALARI

HALL EN FCYD Sistem Ynetimi Uzman

Group Policy Nedir?

Windows Server 2003teki Group Policy, clientlara ve serverlara standartlatrlm bir alma ortam sunar. Kurumsal alarn ynetiminde kstlanmas ok sk karlalan bir konudur ve group policy bize bu olana salar. Windows Server 2003 Group Policy sistemi bilgisayarlar ve kullanclar kstlamak, ayrca yazlm datm gibi ilemleri yapmak iin kullanlan dzenlemelerdir. Windows NTdeki System Policy konseptinin gelimi halidir.

Group Policy Dzenlemeleri

Active Directory nesnelerinin her biri iin farkl kstlamalar ieren bir yada daha ok GPO (Group Policy Object) yaratlabilir. Ardndan bu kurallar domain, OU gibi AD nesnelerine balanr. Bylece logon olan kullanc bu dzenlemelerden etkilenir. Group Policy dzenlemeleri MMC konsoldan yada AD Users and Computers aracl ile yaplr.

Group Policy Dzenlemeleri

GPO GPO

Site

Domain

OU

Group Policy Dzenlemeleri

Windows Server 2003 bilgisayarlarda bir local GPO varken AD iinde ise ok sayda GPO yaratlabilir. ki tr GPO vardr:
Lokal GPO: DC olmayan tek bir bilgisayar zerinde tanmlanr. %Systemroot%\System32\GroupPolicy altnda bulunur. Domain GPOlar: AD bileenlerine (site, domain, OU ) bal olarak yaratlr. AD kurulumundan sonra varsaym olarak iki GPO vardr. Default Domain Policy Default Domain Controllers Policy: Domain Controlers OUsuna balanr

Group Policy Dzenlemeleri

AD zerinde dzenlenen GPler DCler zerinde iki farkl ekilde saklanrlar:
Group Policy Container (ADde) Group Policy Template (SYSVOLda yer alr ve dzenlemeleri ierir.

Neler Yaplabilir?
Password gibi nemli bilgilerin tm ayarlama ve kstlamalarn dzenlemek. Masast, ana klasrler gibi zel klasrleri kullanclara atamak. Sistem kaynaklar, network kaynaklar, Control Panel programlar, masast ve Start mens gibi temel iletim sistemi ilevlerini kullanmay kstlamak. Bigisayar alnda belirli ilemleri yapmak. Yazlmlar daitmak .......................

Local Computer Policy

GPO EDITOR

GPO EDITOR
Bir GPO iindeki politikalar dzenlemek iin Group Policy Object Editor kullanlr. GPO Editore ulamak iin Active Directory Users and Computer program kullanlr. Konsol aldnda GP uygulamak istediiniz domain ya da OUyu sa tklanr ve Properties seilir. Burdan Group Policyi seilir ve GPO Links listesinde var olan bir GPOyu secmek iin tklanr ve Editi ya da New tklanr.

GPO EDITOR

GPO EDITOR
Software settings: Bu ksm kullanlarak uygulamalarn organizasyon iinde nasl kurulaca ve altrlaca belirlenir. Windows settings: Bu ksm, Scripts ve Security Settings ksmlarn ierir. Administrative Templates: Registry tabanl Group Policy ayarlarn ieren ksmdr.

Gvenlik Dzenlemeleri

Grup Policy Dzenlemesi

Start/Administrative Tools/Active Directory Users and Computers program balatlr. Konsol aacnda Group Policyi uygulamak istediiniz domain ya da OU seilir ve sa tklanarak Properties penceresi alr. New dmesi yeni dzenleme, Edit dmesi de var olan bir GPOnun deimesini salar. Computer Configuration ya da User Configuration seilir. Policy zerine ift tklayn ve dzenlenecek politikann durumunu belirleyin.

GPO EDITOR

leyi Sras
1) 2) 3) 4) Lokal Group Policy Site Domain OU

GPlerin leyii
1. Bilgisyar aldnda:
1. 2. 3.

Bilgisayar iin dzenlenen GPler iler Startup scriptleri iler. Bilgisayar etkileyen btn GPOlar iler. Kullanclar iin dzenlenen grup policyler iler. Logon scriptleri iler. Kullanc logon scriptleri iler.

2. Kullanc logon olduunda:

1. 2. 3.

GPO lemleri (komut satr)

Gncelleme
Gpupdate Secedit.exe /refreshpolicy

Silindiinde geri yklemek iin

Dcgpofix.exe

GPOlar Link etmek

Domain OU

Domain GPO Domain GPO

Site OU OU

Site GPO Site GPO

Organizational Organizational Unit GPO Unit GPO

Organizational Organizational Unit GPO Unit GPO

Inherintance Dzenlemeleri
OU GPO 1 OU GPO 1 OU GPO 2 OU GPO 2

OU OU OU
Domain Domain
Kullanc veya Bilgisayar Hesab

OU GPO 3 OU GPO 3

OU OU

GPO Bloklama
Domain Production GPOs GPOs

Sales

GPO GPO uygulanmaz uygulanmaz

No Override (Engellenemez)
OU No Override OU Bloklanamaz! OU OU OU OU

Bloklama ve No Override
Block Inheritance ve No Override seeneklerinin kullanmn minimum dzeyde ve ayr ayr yap. Bir kullanc ve bilgisayar etkileyecek GPO saysn belli bir sayda tut. GPO says logon sresini arttrr. GPOnun kullanlmayan ksmlar disable edilmelidir. lgili dzenlemeleri bir GPO iinde bir araya getir. Domainler arasnda GPO atamalarn nle.

Filtreleme
Yeni bir GPO yaratldnda varsaym izin olan Authenticated Users Grubunun Read ve Apply Group Policy izinleri Allow olduu iin herkes etkilenir. Ancak bir GPO istenirse filtrelenebilir. Bu yle yaplr: Authenticated Users Grubunun Apply Group Policy izni temizlenir. Ardndan hangi grubunun GPOdan etkilenmesi sz konusu olacaksa o gruba Read ve Apply Group Policy izni verilir.

RsOP (Redundent set of Policy)

RSoP

Hangi GPOdan Etkileniyor

Yazlm Datm
2. Datm 3. Bakm

1. Hazrlk

4. Kaldrma

Deploy

Deploying

Deploy Seenekleri
-Assigning User: Kullanc logon olduunda start menye eklenir. Computer: Bilgisayar aldnda kurulur.

-Publishing

Add or Remove Programs

WMI Filtreleme