Local GPO - pred Vistou a po nej

Neraz som sa stretol s ludmi, ktori nevedeli o zmenach v lokalnych GPO politikach Windowsu od verzie Vista. Skusim sa to v skratke popisat.

Na Windowsoch pred Vistou boli len jedny lokalne politiky. Dali sa editovat cez GPEDIT.MSC. Tieto polity sa aplikovali na vsetkych uzivatelov prihlasenych na lokalny pocitac. Bolo jedno ci je to obycajny smrtelnik alebo administrator. Takze sa kludne stava(lo), ze administrator zakazal "Run" v Start okne a potom marne hladal pod svojim uctom "Run"

Ako to teda je?

Od Windows Vista su implementovane na Windowsoch tzv. Multiple Local GPOs. V skratke povedane, na lokalnom pocitaci sa aplikuju politiky vo viacerych vrstvach, konkretne v troch:

1. vrstva - Local Computer Policy. Tato sa vytvara cez GPEDIT.MSC. To co nastavite vo vetve Computer Configuration sa aplikuje na vsetkych uzivatelov prihlasenych na pocitac. User Configuration nastavenia mozu byt prepisane nasledujucimi vrstvami.

2. vrstva - V druhej vrstve sa pozera na to, ci uzivatel je administratorom alebo obycajnym uzivatelom. Tato vrstva neobsahuje Computer Configuration.

3. vrstva - V tomto kroku sa uz prideluju User Configuration na zaklade uzivatela samotneho. Tato vrstva neobsahuje Computer Configuration.

Ak cez tento proces nie su konflikty, tak sa to sprava aditivne, cize politiky sa nabaluju.

Takze na priklad si uvedieme:

1. vrstva - Nastavime si, ze Remove Lock Computer znepristupnime pod CTRL+ALT+DEL menu.

2. vrstva - Nastavime, ze vsetci uzivatelia "All local users" nebudu mat "Search" v Start Menu.

3. vrstva - Nastavime, ze uzivatel Jozef nebude moct ist do Control Panel-u.

V tomto priklade nemame ziadne konflikty. A vsak, ak by bol konflikt medzi jednotlivymi vrstvami, tak vyhra ta, ktora je najblizsie ku uzivatelovi, cize vrstva 3 vyhrava nad 1 a 2, a vrstva 2 vyhrava nad vrstvou 1.

Aby ste sa dostali ku jednotlivym vrstvam MLGPO, tak treba cez prikaz MMC si spustit MMC konzolu, pridat si Snap-in Group Policy Object Editor, kde pri vkladani je moznost cez tlacidlo Browse vybrat "zameranie" danej GPO politiky:

Ked si pridate inu ako 1. vrstvu, tak budete mat len User Configuration, co je logicke.

Lokalne politiky sa ukladaju do adresara C:\Windows\system32\grouppolicy. Politiky vrstvy 3 sa ukladaju do C:\Windows\system32\grouppolicyusers.

Samozrejme ludia vacsinou maju Windows domenu, takze Local Group Policy sa vacsinou nepouzivaju, ale dobre je o tom vediet.

Prajem pekny den,