Kayıt Defteri Anahtarlarını GPO Aracılığıyla Ekleme, Ayarlama, Silme veya İçe Aktarma

Bu makalede, etki alanına katılmış bilgisayarlarda tüm kayıt defteri anahtarlarını ve parametrelerini merkezi olarak oluşturmak, değiştirmek, içe aktarmak ve silmek için Grup İlkesi'nin (GPO) nasıl kullanılacağına bakacağız.

Grup İlkesi Tercihleri (GPP) adı verilen özel uzantıları kullanarak kayıt defteri öğelerini yönetebilirsiniz. GPP'de herhangi bir parametreyi veya kayıt dalını merkezi olarak yapılandırabileceğiniz (oluşturabileceğiniz, silebileceğiniz, değiştirebileceğiniz, güncelleyebileceğiniz) ve bu değişiklikleri etki alanındaki tüm bilgisayarlara dağıtabileceğiniz ayrı bir bölüm vardır.

Belirli bir Active Directory OU'sundaki (Kuruluş Birimi) tüm bilgisayarlarda otomatik sürücü güncellemesini devre dışı bırakmak istediğinizi varsayalım. Bunu yapmak için, HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching kayıt anahtarındaki SearchOrderConfig kayıt defteri parametresinin değerini değiştirmeniz gerekecektir. Etki alanındaki hedef bilgisayarlarda bir kayıt defteri ayarını iki şekilde yapılandırabilirsiniz: yerleşik GPP Kayıt Tarayıcısını kullanarak veya kayıt defteri anahtarının yolunu, parametre adını ve değeri manuel olarak belirterek.

Kayıt Defteri Öğelerini GPO'da Kayıt Sihirbazını Kullanarak Dağıtın

GPO'daki Kayıt Sihirbazı, kayıt defterinde değişiklik yapmanın en kolay yoludur.

1. Grup İlkesi Yönetimi konsolunu çalıştırın (

   gpmc.msc

   );

2. Yeni bir GPO oluşturun (veya mevcut olanı düzenleyin), kayıt defteri anahtarını uygulamak istediğiniz bilgisayarlarla (veya kullanıcılarla) AD'deki gerekli kapsayıcıya (OU) bağlayın ve ilke düzenleme moduna geçin;

3. GPO bölümünü genişletin Bilgisayar (veya Kullanıcı) Yapılandırma -> Tercihler -> Windows Ayarları -> Kayıt ve bağlam menüsünde Yeni -> Kayıt Sihirbazı'nı seçin;

   

4. Kayıt Sihirbazı, uzak bir bilgisayardaki kayıt defterine bağlanmanıza ve mevcut kayıt defteri anahtarını seçmenize olanak tanır;

5. Bağlanmak istediğiniz uzak bilgisayar adını belirtin;

   

   Not. Kayıt Defteri Tarayıcısı aracılığıyla bir bilgisayara bağlanmaya çalıştığınızda Ağ yolu bulunamadı hatası görünürse, büyük ihtimalle bu uzak bilgisayar kapatılmıştır, ona erişim bir güvenlik duvarı tarafından engellenmiştir veya Üzerinde Remote Registry hizmeti başlatılmadı.

   

   Hizmeti manuel olarak başlatmak için uzak bilgisayarda şu komutları çalıştırın:

   sc config remoteregistry start= demand
   net start remoteregistry

   

6. GPO aracılığıyla dağıtmak istediğiniz tüm kayıt defteri parametrelerini bulmak ve seçmek için Uzak Kayıt Defteri Tarayıcısını kullanın;

   Not. Bu kayıt defteri tarayıcısı, uzak bir bilgisayarda yalnızca HKEY_LOCAL_MACHINE ve HKEY_USERS kovanlarından kayıt defteri anahtarlarını seçmenize izin verir. Diğer kayıt defteri kovanlarında bulunan anahtarları ayarlamanız gerekirse, uzak bilgisayara RSAT yüklemeniz gerekir. Daha sonra bu bilgisayarda gpmc.msc konsolunu çalıştırın ve ihtiyacınız olan kayıt defteri anahtarlarını seçmek için aynı prosedürü kullanın.

7. Bu örnekte, GPP'ye yalnızca bir kayıt parametresi aktarmak istiyorum — SearchOrderConfig;

   

8. Belirtilen kayıt defteri girişi, yol ve geçerli değer (0) ile birlikte GPP konsoluna aktarılır. Değerini ve istenen eylemi değiştirebilirsiniz (bu daha sonra ele alınacaktır);

   

9. Böylece, kayıt defteri anahtarınızı dağıtmak için bir Grup İlkesi oluşturdunuz. Grup İlkesi ayarları hedef bilgisayarlarda bir sonraki güncellenişinde, SearchOrderConfig kayıt defteri anahtarının değeri 0 olarak değişecektir.

   İlke istemci için geçerli değilse teşhis için GPResult aracını kullanabilirsiniz.

Bu GPO kaldırılırsa, bir AD kapsayıcısından bağlantısı kaldırılırsa veya bir hedef bilgisayar başka bir OU'ya taşınırsa, kayıt defteri parametresinin değeri orijinal (varsayılan) değerine geri dönmez.

Grup İlkesi Kullanılarak Manuel Olarak Kayıt Defteri Anahtarı Nasıl Oluşturulur, Düzenlenir veya Silinir?

Kayıt defteri öğesinin yolunu ve değerini manuel olarak belirterek belirli bir parametreyi veya kayıt defteri anahtarını oluşturmak, değiştirmek veya silmek için GPP'yi kullanabilirsiniz.

1. Kayıt -> Yeni -> Kayıt Öğesi'ni seçin;

   

2. Kayıt defteri öğesi ayarlarınızı yapılandırın:

   Action: Update
   Hive: HKEY_LOCAL_MACHINE
   Key Path: SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching
   Value name: SearchOrderConfig
   Value type: REG_DWORD
   Value date: 00000000

   

   Anahtar yoluna HIVE adını girmeyin, aksi takdirde kayıt defterinde ek bir alt anahtar oluşturulur (HKEY_HKEY_XXX gibi).

3. Varsayılan olarak, GPO tarafından yapılandırılan kayıt defteri öğeleri Güncelleme moduna ayarlanmıştır.

Kayıt defteri anahtarları için GPO'da 4 tür eylem mevcuttur:

• Oluştur - bir kayıt defteri anahtarı/parametresi oluşturur. Parametre zaten varsa, değeri değişmez;

• Güncelle (varsayılan olarak) - mevcut bir parametrenin değerini GPP'ye göre günceller. Kayıt parametresi yoksa, otomatik olarak oluşturulacaktır (bulunması gereken kayıt defteri anahtarıyla birlikte);

• Değiştir - kayıt defteri parametresi/anahtarı zaten varsa silinir ve yeniden oluşturulur (nadiren kullanılır);

• Sil - bir kayıt defteri öğesini siler.

Ortak sekmesinde bir dizi başka yararlı seçenek vardır:

• Oturum açmış kullanıcının güvenlik bağlamında çalıştır (kullanıcı politikası seçeneği) — yalnızca geçerli kullanıcı bağlamında bir kayıt defteri anahtarı oluşturulur (yalnızca GPO'nun Kullanıcı Yapılandırması bölümündeki GPP için mümkündür). Bir kullanıcının yönetici ayrıcalıkları yoksa, ilke korumalı sistem kayıt defteri anahtarlarına hiçbir şey yazamaz;

• Artık uygulanmadığında bu öğeyi kaldırın - Politika artık bir müşteri için geçerli değilse, kayıt defteri değişikliği otomatik olarak silinir;

• Bir kez uygulayın ve yeniden uygulamayın - bir ilke, bir istemciye (kullanıcı veya bilgisayar) yalnızca bir kez uygulanır. Daha sonra tekrar uygulanmaz. GPO'yu uyguladıktan sonra, kullanıcı kayıt defteri öğesinin değerini el ile değiştirirse, ilke bir sonraki ilke güncelleme döngüsünde değerini geçersiz kılmayacaktır;

• Öğe düzeyinde hedefleme - ilkeyi istemcilere daha doğru şekilde hedeflemenize olanak tanır (ilkeyi belirli bir IP'ye, ağ maskesine, bilgisayar adına veya WMI'yı nasıl kullandığınıza benzer şekilde belirli özelliklere sahip bilgisayarlara hedefleyebilirsiniz) GPO'daki filtreler). Örneğin, AD OU'da Sunucular adlı Windows Server 2016 çalıştıran bilgisayarlara kayıt defteri parametresinin uygulanması gerektiğini belirtebilirsiniz.

  

Elde edilen Grup İlkesi ayarları GPMC konsolunda (Ayarlar sekmesinde) bu şekilde görünecektir.

GPO: Bir REG Dosyasından Kayıt Defteri Verilerini İçe Aktarın

Kayıt Defteri Grup İlkesi Tercihi, bir yöneticinin birden çok kayıt defteri girdisi içeren bir .REG dosyasını aynı anda Grup İlkesi'ne almasına olanak tanır. Bunun için REG dosyasının XML'e dönüştürülmesi gerekir (Grup İlkesi Düzenleyicisi, dosyaları yalnızca XML biçiminde içe aktarmanıza izin verir).

Örneğin, bazı ayarların kayıt defteri aracılığıyla yapılandırıldığı bir referans bilgisayarınız var. Bu ayarları, regedit.exe'deki kayıt anahtarı adını sağ tıklayıp Dışa Aktar'ı seçerek bir REG dosyasına verebilirsiniz.

Kayıt defteri anahtarı girişlerini REG dosyasına kaydedin.

Ardından, bu REG dosyasını XML biçimine dönüştürmeniz gerekir. Reg->xml görüşmesini Reg2GPP https://www.runecasters.com.au/reg2gpp çevrimiçi hizmetini kullanarak gerçekleştirebilirsiniz. RegToXML.ps1 PowerShell komut dosyasıyla.

Ortaya çıkan XML dosyasını Dosya Gezgini'nde kopyalayın ve Grup İlkesi Düzenleyicisi'nin Kayıt Defteri bölümüne yapıştırın.

Sonuç olarak, REG dosyanızdaki tüm kayıt defteri ayarları Grup İlkesi konsolunda görünecek ve hedef etki alanı bilgisayarlarına uygulanacaktır.

Grup İlkesi ile Kayıt Defteri Anahtarı İzinlerini Ayarlayın

Belirli kayıt defteri anahtarlarının erişim izinlerini (ACL) değiştirmek için Grup İlkesi'ni kullanabilirsiniz. Yönetici olmayan kullanıcıların korumalı kayıt defteri anahtarlarına erişmesini engellemek veya normal kullanıcılara sistem anahtarlarını değiştirme hakkı vermek için bu özelliği kullanabilirsiniz.

Kayıt defteri ACL ayarlarını Bilgisayar Yapılandırması -> Windows Ayarları -> Güvenlik Ayarları -> Kayıt Defteri GPO bölümünde yapılandırabilirsiniz. güçlü>

1. Ekle anahtarı'nı seçin;

2. İhtiyacınız olan kayıt defteri anahtarını bulmak için yerleşik Kayıt Defteri Tarayıcısını kullanın (veya yolu aşağıdaki biçimde manuel olarak belirtin)

   MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching

   );

   

3. Veritabanı Güvenliği penceresinde uygulamak istediğiniz kayıt defteri anahtarınız için yeni ACL ayarlarını yapın. Bu örnekte, kullanıcıların sistem korumalı kayıt defteri anahtarında herhangi bir değişiklik yapmasına izin vermek istiyorum. Kullanıcılar grubunu seçmeniz ve bu grup için Tam Denetim izni vermeniz gerekir. Gelişmiş -> Kalıtımı etkinleştir seçeneğini kullanarak izinlerin alt anahtarlara devralınmasını etkinleştirebilirsiniz;

   

   Yerel bilgisayardan veya Active Directory'den diğer güvenlik gruplarını, kullanıcıları ve diğer sorumluları ekleyebilir veya kaldırabilirsiniz.

4. Değişikliklerinizi kaydedin. Yeni kayıt defteri anahtarı izinleri, GPO güncelleştirildikten sonra istemcilere uygulanacaktır.

Bir GPO Oturum Açma Komut Dosyası ile Kayıt Defteri Girişleri Nasıl Değiştirilir?

Windows Server 2008'den önce, GPO kullanılarak kayıt defteri ayarlarını değiştirmek için yalnızca oturum açma komut dosyası BAT dosyaları kullanılabilir. Böyle bir .bat dosyasında kayıt defterinde değişiklik yapmak için reg add veya reg import komutlarını kullanmalısınız.

GPO oturum açma komut dosyasını kullanarak kayıt defterinde değişiklik yapmak için, gerekli komutları içeren bir myreg.bat metin dosyası oluşturmanız gerekir. Örneğin:

• Bu iki komut, Windows'ta proxy ayarlarını yapılandırmanıza izin verir (Bilgisayar Yapılandırmasında Başlangıç komut dosyası aracılığıyla çalıştırın):

  reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 1 /f
  reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /t REG_SZ /d yourproxyadress:proxyport /f

• Aşağıdaki iki komut, müşterinin RDP bağlantı geçmişini temizler. Bu örnekte, bir kullanıcı kayıt defteri kovanına eriştiğimiz için, komut dosyasının Kullanıcı Yapılandırmasındaki Oturum açma komut dosyası bölümünden çalıştırılması gerekir:

  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
  reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f

• Son komut, bir REG dosyasından tüm kayıt defteri anahtarını almanıza izin verir (yerel kayıt defteri anahtarını dışa aktarmak için aşağıdaki komutu kullanın: reg export HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate c:\WindowsUpdateRegFile. kayıt):

  reg import "%~dp0"WindowsUpdateRegFile.reg

%~dp0

*.bat dosyanızı (ve içe aktarmanız gerekiyorsa *.reg) etki alanı denetleyicisindeki Netlogon dizinine kopyalayın (

\\a-d.loc\netlogon

).

GPO'nuzu açın ve Bilgisayar Yapılandırması -> Windows Ayarları -> Komut Dosyaları -> Başlangıç'a gidin.
Ekle'ye tıklayın ve NETLOGON'da yarasa dosyanızın UNC yolunu belirtin.

Windows'u bir sonraki yeniden başlatışınızda, BAT dosyanız çalışacak ve kayıt defterinde değişiklikler yapacaktır.