Active Directory'de Grup İlkesi Yönetimine İlişkin Nihai Kılavuz

Grup İlkesi Yönetimine Giriş

Grup İlkesi, yöneticilerin Active Directory ortamlarındaki kullanıcıları ve bilgisayarları yönetmesine ve güvenliğini sağlamasına yardımcı olan Microsoft Windows işletim sistemlerinin bir özelliğidir. Grup İlkesi ayarları, Grup İlkesi nesneleri (GPO'lar) halinde gruplandırılır ve GPO kapsamındaki bilgisayar ve kullanıcı nesnelerine uygulanır.

Örneğin, Grup İlkesi nesneleri aşağıdakileri yönetmek için kullanılabilir:

Masaüstü ayarları, başlangıç komut dosyaları ve oturum açma/kapatma komut dosyaları gibi yapılandırmalar
Active Directory (AD) şifre politikaları, hesap kilitleme politikaları ve güvenlik duvarı ayarları dahil Güvenlik
Paylaşılan klasörler, yazıcılar ve uygulamalar gibi ağ kaynaklarına erişim
Yazılımın seçilen makinelere yüklenmesi ve yamaların ve güncellemelerin planlanması da dahil olmak üzere Yazılım dağıtımı.

Bu kılavuzda Grup İlkesi yönetiminin temel öğeleri açıklanmaktadır.

Grup İlkesi Yönetim Aracı

GPO'ları yönetmek için yöneticiler Grup İlkesi Yönetim Konsolu'nu (GPMC) kullanır. Bu etki alanı Grup İlkesi düzenleyicisine Windows Sunucu Yöneticisi'nin Araçlar menüsünden erişebilirsiniz.

Grup İlkesi Yönetim Konsolu'nun sol bölmesindeki Grup İlkesi Nesneleri kapsayıcısını tıklatarak bir etki alanındaki tüm GPO'ları görebilirsiniz. Aşağıda, ad.contoso.com AD alanının yalnızca bir GPO'ya, Varsayılan Etki Alanı Politikası'na sahip olduğunu görebilirsiniz:

Grup İlkesi Yönetim Konsolu burada gösterildiği gibi bir Grup İlkesi Düzenleyicisi içerir:

Grup İlkesi Ayarlarının Türleri

Aşağıdaki ekran görüntüsünün sol paneli bir GPO'daki ayar türlerini gösterir:

Gördüğünüz gibi iki ana kategori vardır: Bilgisayar Yapılandırması ve Kullanıcı Yapılandırması.

Bunların her birinde, yapılandırmak için genişletebileceğiniz Politikalar ve Tercihler bulunur:

Yazılım Ayarları
Windows Ayarları
Yönetim Şablonları

Politikalar ve Tercihler

Politikalar ve Tercihler, Active Directory bilgisayarının ve kullanıcı nesnelerinin ayarlarını yönetmek için kullanılabilir. Temel fark aşağıdaki gibidir:

Politikalar kullanıcılar tarafından değiştirilemez. Buna göre politikalarda güvenlik ve mevzuat uyumuna ilişkin ayarların yapılması gerekmektedir. Örnekler arasında parola politikaları, hesap kilitleme politikaları, güvenlik duvarı politikaları ve yazılım kısıtlama politikaları yer alır.
Tercihler kullanıcılar tarafından değiştirilebilir; bu nedenle yalnızca kullanıcı deneyimi ve ortam ayarları için kullanılmalıdır. Örneğin, standart bir eşlenmiş ağ sürücüleri, yazıcılar veya masaüstü kısayolları seti sağlayabilirsiniz, ancak bunları Tercihler aracılığıyla oluşturmak, kullanıcıların bunları kendi ihtiyaçlarına göre ayarlamasına olanak tanır.

Grup İlkesi Yönetim Konsolunu Windows Server'a Yükleme

Grup İlkesi Yönetim Konsolu'nu Windows Server'a yüklemek için şu adımları izleyin:

Başlat menüsünü tıklayıp Sunucu Yöneticisi'ni seçerek Sunucu Yöneticisi'ni başlatın.
Sunucu Yöneticisi'nde üst menüden Yönet'i tıklayın ve ardından Rol ve Özellik Ekle'yi seçin.

Rol tabanlı veya özellik tabanlı kurulumu seçin ve İleri'yi tıklayın.

GPMC'yi yüklemek istediğiniz sunucuyu seçin ve İleri'yi tıklayın.

Bir rol eklemediğimiz için "Sunucu Rollerini Seçin" sayfasında İleri'yi tıklayın.
Aşağı kaydırın, “Grup İlkesi Yönetimi”ni bulun ve yanındaki kutuyu işaretleyin.

Kurulum tamamlandıktan sonra herhangi bir onay mesajını "İleri"ye tıklayın. Sihirbazdan çıkmak için “Kapat”a tıklayın.

Grup İlkesi Yönetim Konsolunu Windows'a Yükleme

Windows 10 sürüm 1809 veya üzerini kullanıyorsanız Ayarlar uygulamasını kullanarak GPMC'yi yükleyebilirsiniz:

WIN+I tuşlarına basarak Ayarlar'ı açın.
İsteğe bağlı özellikleri arayın.
+ Özellik ekle'yi tıklayın.
RSAT: Grup İlkesi Yönetim Araçları'nı ve ardından Yükle'yi tıklayın.

Windows'un daha eski bir sürümünü kullanıyorsanız Microsoft'un web sitesinden doğru RSAT sürümünü indirmeniz gerekir.

GPO Nasıl Oluşturulur

Yeni bir Grup İlkesi nesnesi oluşturmak için:

Sunucu Yöneticisi'ni açın, sağ üst köşedeki Araçlar'ı tıklayın ve açılır menüden Grup İlkesi Yönetimi'ni seçin.

Grup İlkesi Yönetim Konsolu'nda, GPO'yu bağlamak istediğiniz ormanı ve etki alanını genişletin.
- GPO'yu bağlamak istediğiniz kuruluş birimini, etki alanını veya siteyi sağ tıklayın ve Bu etki alanında bir GPO oluştur ve buraya bağla… gibi ilgili Oluştur seçeneğini seçin. güçlü>

Yeni GPO için açıklayıcı bir ad girin ve Tamam'ı tıklayın.

GPO Nasıl Düzenlenir

Grup İlkesi Yönetim Konsolu'nda Grup İlkesini düzenlemek için aşağıdaki adımları izleyin:

GPO'nun ait olduğu ormanı ve etki alanını genişletin.
GPO'nun bağlı olduğu kuruluş birimine, etki alanına veya siteye gidin.
Düzenlemek istediğiniz GPO'yu sağ tıklayın ve Düzenle'yi seçin.

Grup İlkesi Yönetimi Düzenleyicisi'nde istediğiniz ilke ayarını çift tıklayın ve gereksinimlerinize göre değiştirin.

Bilgisayar ayarları Windows başlatıldığında uygulanır ve kullanıcı ayarları bir kullanıcı oturum açtığında kullanılır. Grup İlkesi arka plan işleme, bir GPO değiştirilmişse ayarları düzenli aralıklarla uygular.

GPO Nasıl Bağlanır

Etkili olması için bir GPO'nun, kuruluş birimi, etki alanı veya site gibi en az bir Active Directory kapsayıcısına bağlanması gerekir. Bir GPO'yu bağlamak için aşağıdaki adımları izleyin:

Grup İlkesi Yönetim Konsolu'nda, GPO'yu bağlamak istediğiniz ormanı ve etki alanını genişletin.
GPO'yu bağlamak istediğiniz kuruluş birimini, etki alanını veya siteyi sağ tıklayın ve Mevcut bir GPO'yu Bağla'yı seçin.

Kullanılabilir GPO'lar listesinden bağlamak istediğiniz GPO'yu seçin ve Tamam'ı tıklayın.

GPO Bağlantısını Etkinleştirme veya Devre Dışı Bırakma

Bir GPO bağlantısı devre dışı bırakıldığında ayarları bağlı kapsayıcıdaki nesnelere uygulanmaz. Bir GPO bağlantısını nasıl etkinleştireceğiniz veya devre dışı bırakacağınız aşağıda açıklanmıştır:

Grup İlkesi Yönetim Konsolu'nda, bağlı GPO'nun ait olduğu Active Directory ormanını ve etki alanını genişletin.
GPO'nun bağlı olduğu kapsayıcıyı genişletin ve GPO'yu sağ tıklayın.
Bağlam menüsünde, bağlantıyı etkinleştirmek için Bağlantı Etkin seçeneğini işaretleyin veya bağlantıyı devre dışı bırakmak için işaretini kaldırın.

GPO Ayarları Nasıl İçe Aktarılır

Yedek bir GPO'dan veya şablon dosyasından ayarları içe aktararak bir GPO'yu yapılandırabilirsiniz. İşte nasıl yapıldığı:

Grup İlkesi Yönetim Konsolu'nda, ayarları içe aktarmak istediğiniz GPO'nun bulunduğu kuruluş birimine, etki alanına veya siteye gidin.
Hedef GPO'yu sağ tıklayın ve style="color: startup;">Ayarları İçe Aktar…'ı seçin.
İstediğiniz GPO ayarlarını içeren yedekleme veya şablon dosyasını (.admx veya .adml) seçin ve style="color: startup;">Aç 'ı tıklayın. .
Yedekleme konumları birden fazla GPO içerebileceğinden, ayarları içe aktarmak istediğiniz GPO'yu seçin.

İleri'yi iki kez tıklayın, özeti inceleyin ve içe aktarma işlemini tamamlamak için Son'u tıklayın.

GPO Mirası ve Önceliği

Grup İlkesi devralma ve öncelik, Grup İlkesi nesnelerinin nesnelere nasıl uygulanacağını belirler.

Miras

Grup İlkesi devralımı, AD etki alanlarının ve OU'ların hiyerarşik yapısını takip eder. Etki alanı düzeyindeki politikalar, etki alanındaki tüm nesnelere (kullanıcılar, bilgisayarlar, gruplar) uygulanır. Kuruluş birimi düzeyindeki politikalar, belirli bir kuruluş birimi içindeki nesnelere uygulanır. Hiyerarşide daha yüksek bir düzeyde uygulanan ilkeler alt nesneler tarafından devralınır; dolayısıyla etki alanı düzeyindeki GPO'lar, etki alanındaki tüm OU'lar tarafından devralınır ve bir OU'ya bağlı bir ilke, o OU altında yuvalanan tüm alt OU'lar tarafından devralınır.

Ancak, üst nesnelere bağlı GPO'ların alt nesnelere uygulanmasını durdurmak için bir site, etki alanı veya kuruluş birimindeki Blok Devralma ayarını kullanabilirsiniz. Tek tek GPO'larda Zorunlu bayrağının ayarlanması, Blok Devralma ayarını geçersiz kılar.

Bir nesnenin üst nesnelerden devraldığı GPO'ları görüntülemek için GPMC'de nesneyi tıklayın ve Grup İlkesi Devralma sekmesine gidin.

Öncelik

Belirli bir etki alanı, site veya kuruluş biriminin kendisine bağlı birden fazla GPO'su olabilir ve bu politikaların çakışan ayarları olabilir. Grup İlkesi önceliği, GPO'ların uygulanma sırasını ve dolayısıyla hangi ayarın etkili olacağını kontrol eder. Bir GPO diziye ne kadar geç uygulanırsa önceliği de o kadar yüksek olur.

Politikaların uygulanma sırası aşağıdaki gibidir:

Yerel Grup İlkesi
Site düzeyinde GPO'lar
Etki alanı düzeyinde GPO'lar
Kuruluş birimi düzeyinde GPO'lar

Bir nesneye bağlı GPO'ları görüntülemek için GPMC'de nesneyi tıklayın ve Bağlantılı Grup İlkesi Nesneleri sekmesine gidin. Bağlantı Sırası numarası daha yüksek olan GPO'lar, numarası daha düşük olanlara göre önceliklidir. Bir GPO'ya tıklayarak ve onu yukarı veya aşağı taşımak için soldaki okları kullanarak bağlantı sırası numarasını değiştirebilirsiniz.

Grup İlkesi Genişletilebilirliği

Ek özellikleri, özel ayarları veya üçüncü taraf bileşenleri entegre ederek Grup İlkesi'nin işlevselliğini genişletebilirsiniz. Grup İlkesi genişletilebilirliğinin çeşitli yönleri şunlardır:

Yönetim şablonları (.admx dosyaları) — Yöneticiler, ek ayarları yönetmek veya özel politikaları yapılandırmak için özel şablonlar oluşturabilir.
Özel Grup İlkesi Tercihleri — XML dosyalarını veya komut dosyalarını kullanarak özel Tercih öğeleri oluşturabilirsiniz. Bunlar, istemci bilgisayarlardaki eşlenen sürücüler, yazıcılar, kayıt defteri ayarları, dosyalar ve kısayollar gibi şeyleri yönetmenize olanak tanır.
Grup İlkesi istemci tarafı uzantıları (CSE'ler) — Ek ayarlar, politikalar veya yönetim görevleri eklemek için özel CSE'ler oluşturabilirsiniz.
Grup İlkesi filtreleri ve WMI filtreleri — Kullanıcı veya bilgisayar özellikleri gibi belirli ölçütlere göre Grup İlkesi ayarlarını hedeflemek için filtreler oluşturabilirsiniz.
Üçüncü taraf Grup İlkesi araçları — Üçüncü taraf çözümleri ek yönetim yetenekleri, raporlama özellikleri, denetim araçları ve politika şablonları sağlar.

GPO'ları Yedekleme

Yanlışlıkla veya kötü niyetli silme, bozulma veya yanlış yapılandırma durumunda güncel bir kopyaya sahip olduğunuzdan emin olmak için GPO'larınızın düzenli yedeklerini oluşturun. Önemli değişiklikler yaptıktan sonra veya Grup İlkesi ayarlarını etkileyebilecek bakım görevlerini gerçekleştirmeden önce de GPO'ları yedeklemelisiniz.

Kolay erişim ve yönetim sağlamak amacıyla GPO yedeklerini depolamak için merkezi bir konum oluşturun. Geri alma ve kurtarmayı kolaylaştırmak için yedekleme dosyalarını etki alanına, tarihe veya amaca göre düzenlemeyi düşünün. Yedekleme sürümlerini ve ilgili değişiklikleri tanımlamak için açıklayıcı adlandırma kurallarını veya meta verileri kullanın. Zaman içinde GPO'larda yapılan değişiklikleri izlemek ve yedekleme geçmişini korumak için sürüm kontrolü uygulamalarını uygulayın.

Grup İlkesi Ayarlarındaki Değişiklikleri Modelleme

Grup İlkesi Modellemesi, yöneticilerin Grup İlkesi ayarlarının Active Directory ortamındaki kullanıcılar ve bilgisayarlar için nasıl davranacağını simüle etmesine olanak tanıyan bir GPMC özelliğidir. Belirli Grup İlkesi ayarlarını uygulamadan uygulamanın sonucunu tahmin etmenin bir yolunu sağlar.

Gelişmiş Grup İlkesi Yönetimi

Gelişmiş Grup İlkesi Yönetimi (AGPM), Grup İlkesi nesnelerinin yönetimini, temsilciliğini, sürüm kontrolünü ve denetimini geliştiren bir Microsoft Masaüstü Optimizasyon Paketi (MDOP) bileşenidir.

GPMC'den farklı olarak AGPM bir istemci/sunucu uygulamasıdır. Sunucu bileşeni GPO'ları ve geçmişlerini çevrimdışı olarak saklar. AGPM tarafından yönetilen GPO'lara kontrollü GPO'lar denir. Yöneticiler, GitHub'da veya bir belge yönetim sisteminde dosya veya kodun nasıl işlendiğine benzer şekilde bunları giriş ve çıkış yapabilirler.

AGPM, GPO'lar üzerinde GPMC'den daha fazla kontrol sunar. Sürüm kontrolünün yanı sıra, Grup İlkesi yöneticilerine İnceleyici, Düzenleyici ve Onaylayıcı gibi roller atayabilirsiniz. Bu, tüm GPO yaşam döngüsü boyunca sıkı değişiklik kontrolünü kolaylaştırır. AGPM denetimi ayrıca Grup Politikasındaki değişikliklere ilişkin daha derin bilgiler sağlar.

Sıkça Sorulan Sorular

Active Directory Grup İlkesi yönetimi nedir?

Grup İlkesi, yöneticilerin kullanıcıların ve bilgisayarların yapılandırma ayarlarını denetlemesine olanak tanıyan bir Active Directory özelliğidir. Grup İlkesi yönetimi, güvenliği zorunlu kılan, yazılımı dağıtan, masaüstü yapılandırmalarını yöneten ve daha fazlasını sağlayan Grup İlkesi ayarlarını oluşturma ve sürdürme işlemidir.

Grup İlkesi Yönetim Konsolu'nu nasıl açarsınız?

Active Directory Grup İlkesi Yönetim Konsolunu açmak için:

Klavyenizde Windows Tuşu + R tuşlarına basın.
Görüntülenen Çalıştır iletişim kutusuna gpmc yazın. msc yazın ve Enter tuşuna basın veya Tamam'ı tıklayın.

Grup İlkesi Yönetim Konsolunu nasıl yükleyebilirim?

GPMC'yi bir Windows Sunucusuna yüklemek için şu adımları izleyin:

Sunucu Yöneticisini başlatın. Bunu genellikle görev çubuğunda bulabilir veya Başlat menüsünde bulabilirsiniz.
Sunucu Yöneticisi'nde sağ üst köşedeki Yönet'i tıklayın ve ardından Rol ve Özellik Ekle'yi seçin.
"Başlamadan önce" ekranında İleri'yi tıklayın.
"Kurulum türünü seçin" ekranında Rol tabanlı veya özellik tabanlı kurulum'u seçin ve ardından İleri'yi tıklayın.
GPMC özelliğini yüklemek istediğiniz sunucuyu seçin ve İleri'yi tıklayın.
"Özellikleri seçin" ekranında Grup İlkesi Yönetimi'nin yanındaki kutuyu işaretleyin. İleri'yi tıklayın.
Seçimlerinizi gözden geçirin ve Yükle'yi tıklayın.
Kurulum işleminin tamamlanmasını bekleyin. Onay mesajını gördüğünüzde Sunucu Yöneticisini kapatın.

Hangi kullanıcılara Grup İlkesi yönetim görevlerini gerçekleştirme izinleri otomatik olarak verilir?

Grup İlkesi Oluşturucu Sahipleri grubu, bir Active Directory ormanı oluşturulduğunda otomatik olarak oluşturulur. Grubun üyeleri, Grup İlkesi nesnelerini etki alanı düzeyinde oluşturabilir, düzenleyebilir ve yönetebilir. Bu grup genellikle yöneticiler, tam yönetici ayrıcalıkları vermeden Grup İlkesi üzerindeki kontrolü devretmek istediklerinde kullanılır. Varsayılan olarak yalnızca etki alanı yöneticisi bu grubun üyesidir.