Apa itu Kebijakan Grup?
Kebijakan Grup adalah alat yang tersedia untuk administrator yang menjalankan Domain Direktori Aktif Windows 2000 atau lebih baru . Hal ini memungkinkan manajemen pengaturan terpusat pada komputer klien dan server yang bergabung dengan domain serta menyediakan cara yang belum sempurna untuk mendistribusikan perangkat lunak.
Pengaturan dikelompokkan menjadi objek yang disebut Group Policy Objects (GPOs). GPO ditautkan ke unit organisasi direktori aktif (OU) dan dapat diterapkan untuk pengguna dan komputer. GPO tidak dapat diterapkan ke grup secara langsung, meskipun Anda dapat menggunakan pemfilteran keamanan atau penargetan tingkat item untuk memfilter aplikasi kebijakan berdasarkan keanggotaan grup.
Itu keren, apa fungsinya?
Apa pun.
Serius, Anda dapat melakukan apa pun yang Anda inginkan untuk pengguna atau komputer di domain Anda. Ada ratusan pengaturan yang telah ditetapkan untuk hal-hal seperti pengalihan folder, kompleksitas kata sandi, pengaturan daya, pemetaan drive, enkripsi drive, Pembaruan Windows , dan sebagainya. Apa pun yang tidak dapat Anda konfigurasi melalui pengaturan yang ditentukan sebelumnya yang dapat Anda kontrol melalui skrip. Skrip Batch dan VBScript didukung pada semua klien yang didukung dan skrip PowerShell dapat dijalankan pada host Windows 7.
Kiat profesional: Anda benar-benar dapat menjalankan skrip startup PowerShell pada host Windows XP dan Windows Vista juga selama masih diinstal PowerShell 2.0. Anda dapat membuat file batch yang memanggil skrip dengan sintaks ini:
powershell Set-ExecutionPolicy RemoteSigned
powershell \\\\server\share\script.ps1
powershell Set-ExecutionPolicy Restricted
Baris pertama memungkinkan skrip yang tidak ditandatangani dari share jarak jauh dijalankan pada host itu dan baris kedua memanggil skrip dari file batch. Set baris ketiga mengatur kebijakan kembali ke dibatasi (default) untuk keamanan maksimum.
Bagaimana objek kebijakan grup diterapkan?
GPO diterapkan dalam urutan yang dapat diprediksi. Kebijakan lokal diterapkan terlebih dahulu. Ada kebijakan yang ditetapkan pada mesin lokal melalui gpedit.msc. Kebijakan situs diterapkan kedua. Kebijakan domain diterapkan ketiga, dan kebijakan OU diterapkan keempat. Jika suatu objek bersarang di dalam beberapa OU, maka GPO diterapkan pada OU yang terdekat dengan root.
Ingatlah bahwa jika ada konflik, GPO terakhir yang diterapkan "menang." Ini berarti, misalnya, bahwa kebijakan yang ditautkan di OU yang dihuni komputer akan menang jika ada konflik antara pengaturan di GPO itu dan yang dikaitkan di OU induk.
Script Logon dan Startup tampak keren, bagaimana cara kerjanya?
Skrip logon atau startup dapat hidup di jaringan apa pun asalkan Domain Usersdan Domain Computersgrup telah membaca akses ke share yang mereka gunakan. Secara tradisional, mereka tinggal \\domain.tld\sysvol, tetapi itu bukan keharusan.
Skrip startup dijalankan saat komputer dinyalakan. Mereka dijalankan sebagai akun SISTEM pada mesin lokal. Ini berarti mereka mengakses sumber daya jaringan sebagai akun komputer. Misalnya, jika Anda ingin skrip startup untuk memiliki akses ke sumber daya jaringan pada saham yang memiliki UNC dari \\server01\share1dan nama komputer adalah WORKSTATION01Anda akan perlu memastikan bahwa WORKSTATION01$memiliki akses untuk berbagi itu. Karena skrip ini dijalankan sebagai sistem, skrip ini dapat melakukan hal-hal seperti menginstal perangkat lunak, memodifikasi bagian istimewa registri, dan memodifikasi sebagian besar file di mesin lokal.
Skrip masuk dijalankan dalam konteks keamanan pengguna yang masuk secara lokal. Semoga pengguna Anda bukan administrator, sehingga Anda tidak akan dapat menggunakannya untuk menginstal perangkat lunak atau mengubah pengaturan registri yang dilindungi.
Skrip log masuk dan startup adalah landasan Windows 2003 dan domain sebelumnya, tetapi kegunaannya telah berkurang pada rilis Windows Server selanjutnya. Preferensi Kebijakan Grup memberi administrator cara yang jauh lebih baik untuk menangani pemetaan drive dan printer, pintasan, file, entri registri, keanggotaan grup lokal, dan banyak hal lain yang hanya dapat dilakukan dalam skrip startup atau logon. Jika Anda berpikir bahwa Anda mungkin perlu menggunakan skrip untuk tugas sederhana, mungkin ada Kebijakan Grup atau preferensi untuk itu. Saat ini di domain dengan klien Windows 7 (atau lebih baru), hanya tugas kompleks yang memerlukan skrip startup atau logon.
Saya menemukan GPO keren, tetapi ini berlaku untuk pengguna, saya ingin ini berlaku untuk komputer!
Ya aku tahu. Aku pernah disana. Ini sangat lazim di laboratorium akademik atau skenario komputer bersama lainnya di mana Anda ingin beberapa kebijakan pengguna untuk printer atau sumber daya serupa didasarkan pada komputer, bukan pengguna. Coba tebak, Anda beruntung! Anda ingin mengaktifkan pengaturan GPO untuk Mode Loopback Kebijakan Grup .
Sama-sama.
Anda bilang saya bisa menggunakan ini untuk menginstal perangkat lunak, kan?
Yap, kamu bisa. Namun ada beberapa peringatan. Perangkat lunak harus dalam format MSI , dan modifikasi apa pun harus dalam file MST . Anda dapat membuat MST dengan perangkat lunak seperti ORCA atau editor MSI lainnya. Jika Anda tidak melakukan transformasi, hasil akhir Anda akan sama dengan berjalanmsiexec /i <path to software> /q
Perangkat lunak ini juga hanya diinstal saat startup, jadi ini bukan cara yang sangat cepat untuk mendistribusikan perangkat lunak, tetapi gratis. Dalam lingkungan lab beranggaran rendah, saya telah membuat tugas terjadwal (via GPO) yang akan mem-boot ulang setiap komputer lab pada tengah malam dengan offset 30 menit acak. Ini akan memastikan bahwa perangkat lunak, maksimal, satu hari kedaluwarsa di lab-lab tersebut. Tetap saja, perangkat lunak seperti SCCM , LANDesk , Altaris , atau apa pun yang dapat "mendorong" perangkat lunak berdasarkan permintaan lebih disukai.
Seberapa sering itu diterapkan?
Klien menyegarkan Objek Kebijakan Grup mereka setiap 90 menit dengan pengacakan 30 menit. Itu berarti, secara default, bisa menunggu hingga 120 menit. Juga, beberapa pengaturan, seperti pemetaan drive, pengalihan folder, dan preferensi file, hanya diterapkan pada startup atau masuk. Kebijakan Grup dimaksudkan untuk manajemen jangka panjang yang terencana, bukan untuk situasi perbaikan cepat instan.
Pengontrol Domain menyegarkan kebijakan mereka setiap lima menit.