Lab 20 — Group Policy — GPO i organizacijske jedinice

Organizational Unit (OU)

OU (Organizational Unit) je logički kontejner unutar Active Directory domene koji grupira objekte (korisnici, računala, grupe) radi lakšeg upravljanja i primjene politika.

Kreiranje OU

Server Manager → Tools → Active Directory Users and Computers
Desni klik na domenu (ad.structureality.com) → New → Organizational Unit
Name: SalesClients → OK

Premještanje objekata u OU

Desni klik na objekt (korisnik, računalo) → Move
Odaberi ciljni OU → OK
U labu: Dani (iz Nonadmins) + Cam (iz Admins) + PC10 (iz Clients) → SalesClients

Što se može staviti u OU? Computers, Users i ostali AD objekti (grupe, kontakti). OU ne može sadržavati subnete ili VLAN-ove — to su mrežni koncepti bez veze s AD OU strukturom.

Group Policy Objects (GPO)

GPO je skup konfiguracija (sigurnosnih i operativnih) koji se primjenjuje na objekte unutar OU, domene ili site-a.

Kreiranje i linkanje GPO

Server Manager → Tools → Group Policy Management
Desni klik na SalesClients OU → Create a GPO in this domain, and Link it here
Name: SalesPolicy → OK
Desni klik SalesPolicy → Edit

Konfiguracija u GPO

Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies → Account Lockout Policy → Account lockout threshold: 3
User Configuration → Preferences → Windows Settings → Folders → New → Create → Path: C:\SalesDocs

GPO truth statements

GPO može sadržavati postavke za i korisnike i računala
GPO može biti linkovan na OU (ili domenu ili site)
Jedan OU može imati više linkanih GPO-ova
Jedan GPO može biti linkovan na više OU-ova

Redoslijed primjene GPO (LSDOU)

Local Computer Policy
Site GPO
Domain GPO
OU GPO (zadnji primijenjeni pobjeđuje)

gpresult i RSOP

gpresult — pregled primijenjenih GPO

gpresult /r

Prikazuje primijenjene GPO-ove za trenutnog korisnika i računalo
Standardni korisnik vidi samo USER SETTINGS
Administrator vidi COMPUTER SETTINGS i USER SETTINGS
Za pregled tuđih GPO: gpresult /r /user:username

rsop — Resultant Set of Policy

rsop

GUI alat koji prikazuje efektivnu konfiguraciju sustava
Prikazuje koje GPO-ove se primjenjuju za svaku postavku
U Source GPO stupcu vidi se koji GPO je primijenio postavku
Zahtijeva admin privilegije za COMPUTER SETTINGS

Logon/Logoff skripte

Kreiranje skripti

Na DC10: kreiraj C:\scripts mapu
Dijeli mapu s Full Control za Everyone
Kreiraj logon.txt i logoff.txt
CMD: echo \\DC10\scripts\logon.txt > c:\scripts\scriptlogon.cmd
CMD: echo \\DC10\scripts\logoff.txt > c:\scripts\scriptlogoff.cmd

Linkanje skripti u GPO

GPO Editor → User Configuration → Policies → Windows Settings → Scripts (Logon/Logoff)
Double-click Logon → Add → \\DC10\scripts\scriptlogon.cmd
Double-click Logoff → Add → \\DC10\scripts\scriptlogoff.cmd
Za prikaz instrukcija pri logoffu: Administrative Templates → System → Scripts → Display instructions in logoff scripts as they run → Enable

Mrežna referenca: Skripte treba referencirati kao mrežnu putanju (\\server\share\script.cmd) a ne lokalnu (C:\scripts\...). GPO se primjenjuje na raznim računalima — lokalna putanja ne bi bila dostupna na drugom računalu!

Na ispitu zapamti: LSDOU = redoslijed primjene GPO (Local → Site → Domain → OU). OU GPO pobjeđuje u konfliktu. gpresult /r = tekstualni prikaz GPO-ova (admin vidi COMPUTER + USER, obični korisnik samo USER). rsop = GUI s izvorom svake postavke. GPO se može linkovati na OU, Domenu ili Site — NIKAD direktno na korisnika ili računalo.

Kviz — 15 pitanja

0 / 15

Odgovori na pitanja da vidiš rezultat.

1. Koji AD objekti se mogu staviti u OU? (Odaberi najispravniji odgovor)

Samo korisnici Samo računala i grupe Korisnici, računala i drugi AD objekti (grupe, kontakti) Korisnici, računala, subneti i VLAN-ovi

OU može sadržavati: Users, Computers, Groups, Contacts, Printers i ostale AD objekte. Subneti i VLAN-ovi su mrežni koncepti koji se konfiguriraju u AD Sites and Services, ne u OU strukturi. Subneti se mogu pridružiti AD Site-ovima (ne OU-ovima).

2. Na što se može linkovati GPO?

Samo na domenu Samo na OU Na OU, domenu ili AD Site Na pojedinačne korisnike

GPO se može linkovati na: OU (Organizational Unit), Domain ili AD Site. Ne može se linkovati direktno na korisnika ili računalo — samo na kontejnere. Jedan OU može imati više linkanih GPO-ova. Jedan GPO može biti linkovan na više OU-ova.

3. Koja je istinita tvrdnja o GPO-ovima?

GPO može sadržavati samo Computer Configuration OU može imati samo jedan linkani GPO GPO može sadržavati postavke za i korisnike i računala GPO ne može mijenjati postavke administratorskog računa

GPO ima dvije sekcije: Computer Configuration (primjenjuje se pri pokretanju računala) i User Configuration (primjenjuje se pri prijavi korisnika). Jedan OU može imati više GPO-ova (priority po redoslijedu). GPO može utjecati na sve korisnike uključujući administratore (ali Local Admin može biti izuzet).

4. Što prikazuje naredba gpresult /r?

Ažurira sustav s najnovijim GPO verzijama Prikazuje GPO politike koje su trenutno primijenjene na sustav i korisnika Blokira GPO od primjene Otvara GUI za uređivanje GPO

gpresult /r (Resultant Set of Policy) prikazuje sve primijenjene GPO-ove za trenutnog korisnika i računalo. /r = summary report. /h ime.html = HTML izvještaj. /v = verbose. gpupdate /force ažurira GPO bez čekanja na sljedeći refresh interval.

5. Zašto standardni (ne-admin) korisnik ne može vidjeti COMPUTER SETTINGS u gpresult izlazu?

Computer Settings se ne primjenjuju na korisničke račune Pregled COMPUTER SETTINGS zahtijeva administrativne privilegije na sustavu Computer Settings su skrivene u zasebnom log datoteku gpresult ne prikazuje Computer Settings, samo User Settings

Za pregled Computer Configuration GPO postavki (Account Lockout, Security Settings, itd.) korisnik mora imati Admin privilegije na lokalnom računalu. Standardni korisnik može vidjeti samo USER SETTINGS koje se primjenjuju na njega. Cam (Domain Admin) može vidjeti oboje.

6. Koji alat prikazuje grafički prikaz efektivne konfiguracije sustava sa svim primijenjenim GPO-ovima?

gpupdate RSOP (Resultant Set of Policy) — pokreće se naredbom rsop Group Policy Management Console secpol.msc

rsop (naredba) otvara RSOP konzolu koja grafički prikazuje sve efektivne GPO postavke. U Source GPO stupcu vidiš koji GPO je primijenio svaku postavku. Korisno za troubleshooting — možeš vidjeti odakle dolazi svaka postavka i jesu li sve primijenjene kako se očekuje.

7. Korisnik Dani se prijavi na PC10 koji je u SalesClients OU. Koji GPO-ovi se primjenjuju na Dani?

Samo Default Domain Policy Samo lokalne računalne politike SalesPolicy i uu-domain-default (svi GPO-ovi linkovani na SalesClients OU i na domenu) Nijedan GPO jer Dani nije admin

GPO primjena (LSDOU): Lokalne politike → Site GPO → Domain GPO → OU GPO. Dani u SalesClients OU dobiva: domenske GPO-ove (uu-domain-default) + SalesClients OU GPO (SalesPolicy). Oba se primjenjuju, s OU GPO-om koji pobjeđuje u slučaju konflikta.

8. U kojoj GPO sekciji se konfiguriraju Logon/Logoff skripte?

Computer Configuration → Policies → Windows Settings → Scripts (Startup/Shutdown) User Configuration → Policies → Windows Settings → Scripts (Logon/Logoff) Computer Configuration → Preferences → Control Panel Settings → Scripts User Configuration → Administrative Templates → Scripts

Logon/Logoff skripte (vezane uz korisnika) nalaze se u User Configuration → Policies → Windows Settings → Scripts (Logon/Logoff). Computer Configuration ima Startup/Shutdown skripte (vezane uz pokretanje/gašenje računala, ne uz prijavu korisnika).

9. Zašto se logon/logoff skripte trebaju referencirati mrežnom putanjom, a ne lokalnom?

Lokalne putanje su sporije od mrežnih GPO se primjenjuje na raznim računalima — lokalna putanja (C:\scripts) ne postoji na svakom računalu, samo mrežna putanja (\\DC10\scripts) je dostupna svima Mrežne putanje su sigurnije Windows zahtijeva mrežne putanje za skripte

Korisnik se može prijaviti s raznih računala — svako ima C:\ ali sadržaj C:\scripts je lokalan. \\DC10\scripts\ je mrežna dijeljenja mapa dostupna s bilo kojeg računala u domeni. Skripte uvijek treba pohranjivati centralno (na DC ili file serveru) i referencirati mrežnom putanjom.

10. Koje Account Lockout Policy postavke definira SalesPolicy GPO u labu?

Minimalna duljina lozinke: 8 znakova Lockout trajanje: 30 minuta Account lockout threshold: 3 neuspješna pokušaja prijave Password complexity: omogućena

Lab SalesPolicy GPO definira Account lockout threshold = 3 neuspješna pokušaja. Ovo je Computer Configuration postavka. Nakon 3 uzastopna pogrešna pokušaja, račun se zaključava — sprječava brute force napade na lozinke. Unlock nakon isteka vremena ili admin reset.

11. Koji alat u Server Manageru se koristi za kreiranje OU i premještanje AD objekata?

Group Policy Management Active Directory Users and Computers Active Directory Sites and Services Computer Management

Active Directory Users and Computers (ADUC) je konzola za upravljanje AD objektima: korisnicima, računalima, grupama i OU-ovima. Group Policy Management je za GPO. AD Sites and Services za mrežnu topologiju (sites, subnets, replication). Computer Management za lokalne sustave.

12. Koja GPO postavka treba biti omogućena da bi logoff skripta prikazivala instrukcije korisniku dok se izvodi?

Run logoff scripts visible Show script output to user Display instructions in logoff scripts as they run (User Config → Admin Templates → System → Scripts) Logoff script verbose mode

User Configuration → Administrative Templates → System → Scripts → "Display instructions in logoff scripts as they run" → Enabled. Bez ove postavke, skripta se izvodi u pozadini bez vidljivog prozora korisniku. Postoji i ekvivalentna postavka za logon skripte.

13. Koji je točan redoslijed primjene GPO politika (od najnižeg do najvišeg prioriteta)?

Domain → Site → OU → Local OU → Domain → Site → Local Local → Site → Domain → OU (LSDOU) Local → Domain → Site → OU

LSDOU = Local Computer Policy → Site GPO → Domain GPO → OU GPO. Zadnji primijenjeni (OU GPO) pobjeđuje u slučaju konflikta jer prepisuje prethodne postavke. OU GPO ima najviši prioritet jer se primjenjuje zadnji. Unutar iste razine (npr. više GPO-ova na jednom OU), prioritet se određuje ručno u Group Policy Management konzoli.

14. Razlika između gpresult /r i rsop?

gpresult je GUI alat, rsop je naredbeni redak gpresult prikazuje samo Computer Settings, rsop samo User Settings gpresult /r daje tekstualni sažetak primijenjenih GPO-ova; rsop daje grafički prikaz sa izvorom (Source GPO) svake pojedine postavke Nema razlike — oba alata prikazuju iste informacije

gpresult /r = tekstualni sažetak koji prikazuje koji GPO-ovi su primijenjeni (bez detalja pojedinih postavki). rsop (Resultant Set of Policy) otvara grafičku konzolu koja prikazuje svaku konfigurirajuću postavku i izvor koji GPO je postavio tu vrijednost — idealno za troubleshooting konflikata između GPO-ova.

15. Korisnik Cam vidi i COMPUTER SETTINGS i USER SETTINGS u gpresult izlazu, dok Dani vidi samo USER SETTINGS. Zašto?

Cam ima drugačiji GPO primijenjen od Danija COMPUTER SETTINGS se primjenjuju samo na administratore Pregled COMPUTER SETTINGS zahtijeva administrativne privilegije — Cam je domain admin, Dani je standardni korisnik Cam je pokrenuo Command Prompt kao administrator (Run as administrator)

Za pregled Computer Configuration sekcije u gpresult potrebne su administrativne privilegije na računalu. Dani (Nonadmin) može vidjeti samo USER SETTINGS — GPO-ove koji se primjenjuju na njega kao korisnika. Cam (Domain Admin) pokreće cmd kao administrator i vidi obje sekcije. Oba korisnika imaju primijenjene iste Computer Configuration GPO postavke — samo Cam može vidjeti te podatke.

0 / 15

Riješi kviz da vidiš rezultat.