Windows PowerShell'i kullanarak Grup İlkelerini Yapılandırma

Bu blog yazısında, Active Directory ortamınızda Grup İlkelerini yönetmek için PowerShell'in nasıl kullanılacağını anlatacağım. Grup İlkeleri kullanıcıların ve bilgisayarların ortamını kontrol eder. Ancak bu sadece kontrol değildir: Grup Politikaları, istemci ve sunucu sistemlerinizi daha kullanıcı dostu hale getirmenize yardımcı olabilir.

Modül Grup İlkesi

Tüm komutlar Grup İlkesi modülünde bulunabilir. Hepsini almak için Etki Alanı Denetleyicilerinizden birinde Get-Command'ı çalıştırmanız yeterlidir.

Get-Command -Module GroupPolicy

Bir GPO oluşturun

Öncelikle herhangi bir konfigürasyon yapmadan basit bir Grup İlkesi Nesnesi oluşturuyoruz.

New-GPO -Name "ScreenSaverTimeOut" -Comment "Sets the time to 900 seconds"

GPO Ekran Koruyucu Zaman Aşımını Yapılandırma

Ve şimdi kötü haber: Bir kayıt defteri anahtarı girmeniz gerekiyor.

Set-GPRegistryValue -Name "ScreenSaverTimeOut" -Key "HKCU\Software\Policies\Microsoft\Windows\Control Panel\Desktop" -ValueName ScreenSaveTimeOut -Type String -Value 900

GPO'yu bir Kuruluş Birimine/Etki Alanına/Siteye Bağlama

Şimdi bir GPO yapılandırdık. Son adım, onu bir Active Directory Nesnesine (OU, Etki Alanı, Site) bağlamaktır.

New-GPLink -Name "ScreenSaverTimeOut" -Target "ou=people,dc=pagr,dc=inet"

Gördüğünüz gibi varsayılan olarak uygulanmaz. GPO'yu zorunlu kılmak çok nadir görülen bir yapılandırmadır. Bazı Kuruluş Birimlerimizin üst kuruluş birimlerinden devralınan GPO'ları engelleyecek şekilde yapılandırılması yararlı olabilir. Daha sonra zorunlu GPO bu ayarları geçersiz kılacaktır. Daha sonra bunun hakkında daha fazla bilgi vereceğiz.

GPO'nuzu gözden geçirin

Önceki yapılandırılmış GPO'nuzu grafik arayüzü veya PowerShell'i kullanarak kontrol edebilirsiniz.

Get-GPO -Name "ScreenSaverTimeOut" | Get-GPOReport -ReportType HTML -Path $Home\report.html
Invoke-Item $Home\report.html

Veya gpmc.msc dosyasını açın ve nesneye gidin.

Gelişmiş Ayarları Yapılandır

Devralınan Grup İlkeleri

Bir Kuruluş Birimi için devralınan tüm Grup İlkesi Nesnelerini bulmak için şunu çalıştırın:

Get-GPInheritance -Target "ou=people,dc=pagr,dc=inet"

Mirasın engellenmesi

Üst Kuruluş Birimlerinden devralınan tüm GPO'ları engellemek istiyorsanız şunu çalıştırın:

Set-GPInheritance -Target "ou=people,dc=pagr,dc=inet" -IsBlocked 1

Bu ekran görüntüsünü öncekiyle karşılaştırın. Varsayılan Etki Alanı Politikası bir üst nesneden gelir ve artık yoktur.

Grup Politikalarının Uygulanması

Daha önce de belirtildiği gibi, zorlama engellemeyi geçersiz kılar. Dolayısıyla, Varsayılan Etki Alanı Politikamı uygularsam yine orada olması gerekir.

Set-GPLink -Name "Default Domain Policy" -Target "dc=pagr,dc=inet" -Enforced Yes

Ve yine orada:

Get-GPInheritance -Target "ou=people,dc=pagr,dc=inet" | Select InheritedGpoLinks

Güvenlik Ayarlarını Yapılandırın

Yeni oluşturulan tüm GPO'lar için varsayılan güvenlik ayarı Kimliği Doğrulanmış Kullanıcılar'dır (Uygula). Bu, politikanın uygulandığı bir OU, Site veya Etki Alanındaki tüm nesnelerin GPO'yu okuma ve dolayısıyla onu uygulama hakkına sahip olduğu anlamına gelir.

Örneğin, bir kuruluş biriminde 10 kullanıcınız var. GPO'yu yalnızca bir kullanıcıya uygulamak istiyorsunuz. Daha sonra Kimliği Doğrulanmış Kullanıcılar grubunun haklarını değiştirmeniz yeterlidir.

Bunu yapmak için kimliği doğrulanmış kullanıcılar grubunu kaldırın. Uyarılara aldırış etmeyin.

Set-GPPermission -Name "ScreenSaverTimeOut" -TargetName "Authenticated Users" -TargetType User -PermissionLevel None

Daha sonra tekrar ekleyin. Ancak şimdi yalnızca “Oku”ya izin verin.

Set-GPPermission -Name "ScreenSaverTimeOut" -TargetName "Authenticated Users" -TargetType User -PermissionLevel GPORead

Son olarak kullanıcınızı ekleyin ve kullanıcıya “GPOApply” izni verin.

Set-GPPermission -Name "ScreenSaverTimeOut" -TargetName "Petra" -TargetType User -PermissionLevel GPOApply