Grup İlkesi Yönetimi

Grup İlkesi, Windows için yapılandırma ayarlarının merkezi yönetimini sağlayan bir Active Directory yönetim teknolojisidir. Mevcut tek yönetim çözümü olmasa da - PowerShell İstenen Durum Yapılandırması (DSC) ve Mobil Cihaz Yönetimi (MDM) de kullanılabilir - Grup İlkesi, etki alanına katılan istemci cihazları için önerilen teknolojidir çünkü diğerlerine göre daha ayrıntılı kontrol sağlar çözümler.

Grup İlkesi Yönetim Konsolu

Grup İlkesi ayarları, Grup İlkesi nesnelerinde (GPO'lar) yapılandırılır. GPO'ları etki alanlarına, sitelere ve kuruluş birimlerine (OU'lar) bağlayabilirsiniz. Daha da fazla kontrol için, GPO'lar Windows Yönetim Araçları (WMI) filtrelerinin sonuçlarına göre uygulanabilir; ancak WMI filtreleri, politika işleme süresini önemli ölçüde artırabileceğinden dikkatli kullanılmalıdır.

Grup İlkesi Yönetim Konsolu (GPMC), yöneticilerin bir Active Directory ormanındaki Grup İlkesini yönetmesine ve Grup İlkesi sorunlarını gidermek için veri elde etmesine olanak tanıyan yerleşik bir Windows yönetim aracıdır. Grup İlkesi Yönetim Konsolunu Microsoft Windows Server Manager'ın Araçlar menüsünde bulabilirsiniz. Günlük yönetim görevleri için etki alanı denetleyicilerini kullanmak en iyi uygulama değildir; bu nedenle Windows sürümünüz için Uzak Sunucu Yönetim Araçlarını (RSAT) yüklemelisiniz.

Grup İlkesi Yönetim Konsolunu Yükleme

Windows 10 sürüm 1809 veya üzerini kullanıyorsanız Ayarlar uygulamasını kullanarak GPMC'yi yükleyebilirsiniz:

WIN+I tuşlarına basarak Ayarlar uygulamasını açın.
Windows Ayarları altında Uygulamalar'ı tıklayın.
İsteğe bağlı özellikleri yönet'i tıklayın.
+ Özellik ekle'yi tıklayın.
RSAT: Grup İlkesi Yönetim Araçları'nı ve ardından Yükle'yi tıklayın.

Şekil 1. Ayar uygulaması arayüzünü kullanarak Grup İlkesi Yönetim Konsolunu yükleme

Windows'un daha eski bir sürümünü kullanıyorsanız Microsoft'un web sitesinden doğru RSAT sürümünü indirmeniz gerekir.

Kolaylık olması açısından Sunucu Yöneticisi'ni de yüklemek isteyebilirsiniz. Ancak bunu yapmamayı tercih ederseniz GPMC'yi bir Microsoft Yönetim Konsolu'na (MMC) ekleyebilir ve konsolu kaydedebilirsiniz.

Grup İlkesi Yönetim Konsolunu Kullanma

Her AD etki alanının iki varsayılan GPO'su vardır:

Alana bağlı olan Varsayılan Alan Adı Politikası
Etki alanı denetleyicisinin kuruluş birimine bağlı olan Varsayılan Etki Alanı Denetleyicileri Politikası

GPMC'nin sol bölmesindeki Grup İlkesi Nesneleri kapsayıcısını tıklatarak bir etki alanındaki tüm GPO'ları görebilirsiniz.

Şekil 2. Grup İlkesi Yönetim Konsolunun Arayüzü

Yeni Bir Grup İlkesi Nesnesi Oluşturun

Varsayılan Etki Alanı Denetleyicileri Politikasını veya Varsayılan Etki Alanı Politikasını değiştirmeyin. Kendi ayarlarınızı eklemenin en iyi yolu yeni bir GPO oluşturmaktır. Yeni bir GPO oluşturmanın iki yolu vardır:

Yeni GPO'yu bağlamak istediğiniz etki alanını, siteyi veya kuruluş birimini sağ tıklayın ve Bu etki alanında bir GPO oluştur ve buraya bağla… seçeneğini seçin. Yeni GPO'yu kaydettiğinizde bağlanacaktır. ve hemen etkinleştirildi.
Grup İlkesi Nesneleri kapsayıcısını sağ tıklayın ve menüden Yeni'yi seçin. Bir alanı, siteyi veya kuruluş birimini sağ tıklayıp Mevcut bir GPO'yu Bağla'yı seçerek yeni GPO'yu manuel olarak bağlamanız gerekecektir. Bunu istediğiniz zaman yapabilirsiniz.

Yeni bir GPO'yu nasıl oluşturduğunuzdan bağımsız olarak, Yeni GPO iletişim kutusunda GPO'ya bir ad vermeniz gerekir ve bunu mevcut bir GPO'ya dayandırmayı seçebilirsiniz. Diğer seçenekler hakkında bilgi için sonraki bölüme bakın.

Grup İlkesi Nesnesini Düzenleme

Bir GPO'yu düzenlemek için GPMC'de sağ tıklayın ve menüden Düzenle'yi seçin. Active Directory Grup İlkesi Yönetimi Düzenleyicisi ayrı bir pencerede açılacaktır.

Şekil 3. Grup İlkesi Yönetimi Düzenleyicisinin Arayüzü

GPO'lar bilgisayar ve kullanıcı ayarlarına bölünmüştür. Bilgisayar ayarları Windows başlatıldığında uygulanır ve kullanıcı ayarları bir kullanıcı oturum açtığında uygulanır. Grup İlkesi arka plan işleme, bir GPO'da bir değişiklik algılanırsa ayarları düzenli aralıklarla uygular.

Politikalar ve Tercihler

Kullanıcı ve bilgisayar ayarları ayrıca Politikalar ve Tercihler olarak ikiye ayrılır:

Politikalar kayıt defterine dövme yapmaz; GPO'daki bir ayar değiştirildiğinde veya GPO kapsam dışına çıktığında, politika ayarı kaldırılır ve bunun yerine orijinal değer kullanılır. İlke ayarları her zaman bir uygulamanın yapılandırma ayarlarının yerine geçer ve kullanıcıların bunları değiştirememesi için gri renkte görünür.
Tercihler varsayılan olarak kayıt defterinde yer alır, ancak bu davranış her tercih ayarı için yapılandırılabilir. Tercihler bir uygulamanın yapılandırma ayarlarının üzerine yazar ancak kullanıcıların her zaman yapılandırma öğelerini değiştirmesine olanak tanır. Grup İlkesi Tercihleri'ndeki yapılandırılabilir öğelerin çoğu, sürücü eşlemeleri ve yazıcı yapılandırması gibi bir oturum açma komut dosyası kullanılarak önceden yapılandırılmış olabilecek öğelerdir.

Ayarlarını yapılandırmak için Politikaları veya Tercihleri genişletebilirsiniz. Bu ayarlar daha sonra GPO kapsamına giren bilgisayar ve kullanıcı nesnelerine uygulanacaktır. Örneğin, yeni GPO'nuzu etki alanı denetleyicisinin kuruluş birimine bağlarsanız, ayarlar bu kuruluş biriminde ve tüm alt kuruluş birimlerinde bulunan bilgisayar ve kullanıcı nesnelerine uygulanacaktır. Üst nesnelere bağlı GPO'ların alt nesnelere uygulanmasını durdurmak için bir site, etki alanı veya kuruluş birimindeki Devralmayı Engelle ayarını kullanabilirsiniz. Ayrıca, Blok Devralma ayarını ve GPO'lardaki daha yüksek önceliğe sahip tüm yapılandırma öğelerini geçersiz kılan Zorunlu bayrağını tek tek GPO'larda da ayarlayabilirsiniz.

GPO Önceliği

Etki alanlarına, sitelere ve kuruluş birimlerine birden fazla GPO bağlanabilir. GPMC'de bu nesnelerden birine tıkladığınızda, Bağlantılı Grup İlkesi Nesneleri sekmesinde sağda bağlantılı GPO'ların bir listesi görünecektir. Birden fazla bağlantılı GPO varsa, bağlantı sırası numarası daha yüksek olan GPO'lar, daha düşük numaralı GPO'larda yapılandırılan ayarlara göre önceliklidir.

Bir GPO'ya tıklayarak ve onu yukarı veya aşağı taşımak için soldaki okları kullanarak bağlantı sırası numarasını değiştirebilirsiniz. Grup İlkesi Devralma sekmesi, üst nesnelerden devralınanlar da dahil olmak üzere uygulanan tüm GPO'ları gösterir.

Şekil 4. GPMC'de uygulanan tüm GPO'lar hakkında bilgiler

Gelişmiş Grup İlkesi Yönetimi

Gelişmiş Grup İlkesi Yönetimi (AGPM), Yazılım Güvencesi müşterileri için Microsoft Masaüstü Optimizasyon Paketi'nin (MDOP) bir parçası olarak mevcuttur. GPMC'den farklı olarak AGPM, sunucu bileşeninin her GPO için bir geçmiş de dahil olmak üzere GPO'ları çevrimdışı olarak depoladığı bir istemci/sunucu uygulamasıdır. AGPM tarafından yönetilen GPO'lara kontrollü GPO'lar denir çünkü bunlar AGPM hizmeti tarafından yönetilirler ve yöneticiler, tıpkı GitHub'a veya bir belge yönetim sistemine dosya veya kod girişi ve çıkışı yaptığınız gibi, bunları giriş ve çıkış yapabilirler.

AGPM, GPO'lar üzerinde GPMC ile mümkün olandan daha fazla kontrol sağlar. Sürüm kontrolü sağlamanın yanı sıra, Grup İlkesi yöneticilerine Gözden Geçirici, Düzenleyici ve Onaylayıcı gibi roller atamanıza olanak tanır ve bu, tüm GPO yaşam döngüsü boyunca sıkı değişiklik kontrolü uygulamanıza yardımcı olur. AGPM denetimi ayrıca Grup Politikası değişikliklerine ilişkin daha fazla bilgi sağlar.