Home » Misc » Как зайти в групповые политики windows 10

Как зайти в групповые политики windows 10


Настройка начального Windows 10 и панели задач с помощью групповой политики - Configure Windows

  • Статья
  • Чтение занимает 6 мин

Область применения

  • Windows 10

Ищете информацию для потребителей? См. раздел Настройка меню "Пуск"

В Windows 10 Pro, Корпоративная и Windows 10 для образовательных учреждений вы можете использовать объект групповой политики, чтобы развернуть настраиваемый макет начального экрана и панели задач для пользователей в домене. Вам не потребуется повторно создавать образ, а чтобы обновить макет начального экрана, достаточно перезаписать XML-файл, содержащий макет. Благодаря этому вы сможете настраивать макеты начального экрана и панели задач для различных отделов или организаций с минимальными затратами на управление.

В этой статье рассказывается, как обновить параметры групповой политики для отображения настроенного макета начального экрана и панели задач при входе пользователя в систему. Создав объект групповой политики на основе домена с этими параметрами, вы сможете развертывать настраиваемый макет начального экрана и панели задач для пользователей в домене.

Тревожное

Если с помощью этого метода применяется полный макет начального экрана, пользователи не смогут закреплять приложения на начальном экране, а также откреплять или удалять их. Пользователи могут просматривать и открывать все приложения в представлении Все приложения, но не могут закреплять их на начальном экране. Если применяется частичный макет начального экрана, то пользователям не удастся изменить содержимое определенных групп плиток, но они смогут перемещать эти группы, а также создавать и настраивать собственные группы. При применении макета панели задач пользователи по-прежнему смогут закреплять и откреплять приложения, а также изменять порядок закрепленных приложений.

Перед началом работы: настройка и экспорт макета начального экрана

Требования к операционной системе

В Windows 10 версии 1607 управление макетом начального экрана и панели задач с помощью групповой политики поддерживается в Windows 10 Корпоративная и Windows 10 для образовательных учреждений. В Windows 10 версии 1703 управление макетом начального экрана и панели задач с помощью групповой политики также поддерживается в Windows 10 Pro.

Вы можете настроить объект групповой политики с любого компьютера, на котором установлены необходимые ADMX- и ADML-файлы (StartMenu.admx и StartMenu.adml) для Windows 10. В групповой политике файлы ADMX используются для определения параметров политики на основе реестра в категории административных шаблонов. Сведения о том, как создать центральное хранилище для файлов административных шаблонов, см. в статье 929841, написанной для Windows Vista и применяемой до сих пор, в базе знаний Майкрософт.

Принцип работы элемента управления макетом начального экрана

Элемент управления макетом начального экрана и панели задач можно включить с помощью указанных ниже функций.

  • Командлет Export-StartLayout в Windows PowerShell экспортирует описание текущего макета начального экрана в формате XML.

    Примечание

    Чтобы импортировать макет начального экрана в подключенный образ Windows, используйте командлет Import-StartLayout.

  • Вы можете изменить файл начального .xml , чтобы включить <CustomTaskbarLayoutCollection> или создать файл .xml только для конфигурации панели задач.

  • В групповой политике вы можете использовать параметры Макет начального экрана для административного шаблона Меню "Пуск" и панель задач, чтобы настроить макет начального экрана и панели задач на основе XML-файла, когда применена политика. Объект групповой политики не поддерживает макет пустой плитки, так что в этом случае загружается макет плитки по умолчанию для Windows.

Примечание.

Сведения о том, как настроить начальный экран для добавления бизнес-приложений при развертывании Windows 10, см. в статье Настройка макета начального экрана Windows 10.

Использование групповой политики для применения настраиваемого макета начального экрана в домене

Чтобы использовать макет начального экрана и панели задач для пользователей в домене, с помощью консоли управления групповыми политиками настройте объект групповой политики на основе домена, который задает параметры политики Макет начального экрана в административном шаблоне Меню "Пуск" и панель задач для пользователей в домене.

Объект групповой политики применит макет начального экрана и панели задач при следующем входе пользователя в систему. Во время каждого входа пользователя в систему проверяется метка времени XML-файла с макетом начального экрана и панели задач, и если доступна более новая версия файла, будут применены параметры последней версии файла.

Вы можете настроить объект групповой политики с любого компьютера, на котором установлены необходимые ADMX- и ADML-файлы (StartMenu.admx и StartMenu.adml) для Windows 10.

Файл .xml с макетом начального экрана и панели задач должен находиться в общем сетевом хранилище, доступном компьютерам пользователей при входе в систему, а пользователи должны иметь доступ к файлу только для чтения. Если файл недоступен, когда первый пользователь выполняет вход, меню "Пуск" и панель задач будут не настроены во время сеанса, но пользователь не сможет вносить изменения в меню "Пуск". Если в последующих сеансах этот файл будет доступен на момент входа в систему, макет, содержащийся в этом файле, будет применяться к меню "Пуск" и панели задач пользователя.

Сведения о развертывании объектов групповой политики в домене см. в статье Работа с объектами групповой политики.

Использование групповой политики для применения настраиваемого макета начального экрана на локальном компьютере

С помощью редактора локальных групповых политик вы можете предоставить настраиваемый макет начального экрана и панели задач для любого пользователя, выполняющего вход на локальном компьютере. Чтобы отобразить настраиваемый макет начального экрана и панели задач для всех пользователей, выполняющих вход в систему, настройте параметры политики Макет начального экрана для административного шаблона Меню "Пуск" и панель задач. Вы можете использовать административный шаблон Меню "Пуск" и панель задач в разделе Конфигурация пользователя или Конфигурация компьютера.

Примечание.

В результате выполнения этой процедуры параметры политики будут применены только на локальном компьютере. Сведения о развертывании макета начального экрана и панели задач для пользователей в домене см. в статье Использование групповой политики для развертывания настраиваемого начального экрана в домене.

В результате выполнения этой процедуры будет создана локальная групповая политика, которая применяется ко всем пользователям на компьютере. Сведения о настройке локальной групповой политики, применимой к определенному пользователю или группе на компьютере, см. в Пошаговом руководстве по управлению несколькими объектами локальной групповой политики. Руководство было написано для Windows Vista, однако описанные в нем процедуры применимы и к Windows 10.

В результате выполнения этой процедуры настраиваемый макет начального экрана и панели задач будет добавлен к конфигурации пользователя. При этом когда пользователь войдет в систему на компьютере, будут переопределены все параметры макета начального экрана в конфигурации локального компьютера.

Настройка параметров политики макета начального экрана в редакторе локальных групповых политик

  1. Нажмите клавишу Windows на тестовом компьютере, введите gpedit, а затем выберите Изменение групповой политики (панель управления).

  2. Перейдите в раздел Конфигурация пользователя или Конфигурация> компьютераАдминистративные шаблоны>Меню запуска и панель задач.

  3. Щелкните правой кнопкой мыши Макет начального экрана в области справа и выберите Изменить.

    Откроются параметры политики Макет начального экрана.

  4. Введите указанные ниже параметры и нажмите кнопку ОК.

    1. Выберите Включено.

    2. В разделе Параметрыукажите путь к XML-файлу, который содержит макет начального экрана и панели задач. Например, введитеC:\Users\Test01\StartScreenMarketing.xml.

    3. При необходимости введите комментарий для идентификации макета начального экрана и панели задач.

    Важно.

    Если вы отключите действующие параметры политики для макета начального экрана, а затем повторно активируете политику, пользователи не смогут изменять начальный экран, но при этом макет в XML-файле не будет повторно применяться до обновления файла. В Windows PowerShell можно обновить метку времени в файле. Для этого запустите следующую команду:

    (ls <path>).LastWriteTime = Get-Date

Обновление настраиваемого макета начального экрана

После того как вы примените настраиваемый макет начального экрана и панели задач на компьютере или в домене с помощью групповой политики, вы сможете обновить макет. Для этого просто замените XML-файл, указанный в параметрах политики "Макет начального экрана", файлом с новой меткой времени.

  • Управление макетом начального экрана и панели задач Windows 10
  • Настройка панели задач Windows 10
  • Настройка и экспорт макета меню "Пуск" и начального экрана
  • Добавление изображения для вспомогательных плиток
  • XML макета меню "Пуск" для классических выпусков Windows 10 (справочник)
  • Настройка начального экрана и панели задач Windows 10 с помощью пакетов подготовки
  • Настройка начального экрана и панели задач Windows 10 с помощью управления мобильными устройствами (MDM)
  • Изменения политик меню "Пуск" и начального экрана в Windows 10

Редактор групповых политик gpedit.

msc в Windows 10 Home Edition

Консоль редактора локальных групповых политик в Windows (gpedit.msc) используется для тонкой настройки параметров Windows. Gpedit.msc – это стандартная mmc оснастка, доступная во всех версиях Windows (Pro/Enterprise/Education), кроме домашних редакций (Home/Single Language). В этой статье мы рассмотрим особенности использования локального редактора GPO, а также способы установить и запустить gpedit.msc в домашних редакциях Windows 10 и Windows 11 Home.

Содержание:

  • Настройка Windows с помощью редактора локальных групповых политик gpedit.msc
  • Не удается найти gpedit.msc в Windows 10 и 11
  • Установка редактора политик gpedit.msc в Windows 10/11 Домашняя
  • Утилита Policy Plus – универсальный редактор локальной политик для всех версий Windows

Настройка Windows с помощью редактора локальных групповых политик gpedit.msc

Редактор локальной групповой политики это отдельная MMC оснастка, которая по сути представляет собой графическую надстройку для удобного управления параметрами Windows в реестре. При изменении настроек какой-то политики, редактор сразу вносит изменения в связанный параметр реестра. Вместо того, чтобы искать необходимый ключ и вручную править параметр реестра, администратору гораздо проще найти и отредактировать нужный параметр в редакторе gpedit.msc. В редакторе GPO содержится болеетрех тысяч настроек Windows, которые расположены в стройной иерархии, имеют подробное описание и предлагают для выбора предопределенные опции настройки.

Совет. Соответствие между политиками и ключами реестра можно найти в XLSX документе Microsoft Group Policy Settings Reference Spreadsheet Windows. Версию документа Windows10andWindowsServer2019PolicySettings—20H2.xlsx для Windows Server 2019 и Windows 10 20h3 можно скачать по ссылке: https://www.microsoft.com/en-us/download/details.aspx?id=102158. В этом таблице вы можете найти какой ключ реестра правиться той или иной настройкой конкретной политики.

Для запуска редактора локальных групповых политик в Windows достаточно выполнить команду gpedit. msc в командной строке, cmd или окне “Выполнить” ( Win+R ).

Консоль редактора локальной GPO представляет собой древовидную структуру с разделами. Все настройки в консоли gpedit.msc разделены на две большие секции:

  • Секция с настройками параметров компьютера (Computer Configuration)
  • Секция с настройками параметров пользователей (User configuration)

В каждой секции есть по три подраздела:

  • Software Settings
  • Windows Settings — здесь расположены основные настройки безопасности Windows (в том числе настройки политики паролей, блокировки аккаунтов, политики аудита, назначения прав пользователей)
  • Administrative Templates – настройки различных компонентов и подсистем Windows. Здесь доступны как стандартные административные шаблоны Windows, так и дополнительно установленные admx шаблоны (например, admx шаблоны для управления программами из пакета MS Office или шаблоны для Google Chrome)

Чтобы изменить любой параметр GPO в консоли, нужно найти раздел, в котором он находится и открыть его настройки в правой панели.

По умолчанию все параметры в разделе административных шаблонов не настроены (Not configured). У большинства настроек GPO доступно есть всего три параметра: Enabled/Disabled/Not configured.

Чтобы изменить настройку параметра групповой политики достаточно выбрать новое значение и нажать Ok. В данном примере мы установили данный параметр в Enabled – значит данная настройка Windows включена. Если вы выбрали Disabled, значит вы отключили в Windows настраиваемый параметр.

У некоторых настроек GPO можно задать дополнительные параметры, которые можно настроить в секции Options. Например, чтобы задать файл обоев рабочего стола через GPO, нужно включить политику (Enabled), указать путь к файлу с рисунков в поле и выбрать стиль рисунка.

Описание каждого параметра групповой политики доступно в поле Help. А в поле Supported on указаны версий Windows, для которых данная политика применяется. Например, At least Windows 10 означает, что политика применима только к Windows 10/11 и Windows Server 2016/2019/2022. Данный параметр не будет работать на Windows 8.1 или 7.

Настройки, заданные в редакторе gpedit.msc имеют высокий приоритет и перезаписывают любые настройки, заданные пользователем или администратором в графическом интерфейсе Windows или в панели управления.

Все примененные настройки локальных политик хранятся в registry.pol файлах в каталогах (вы можете преобразовать данные pol файлы в удобный текстовый формат с помощью утилиты lgpo.exe):

  • %SystemRoot%\System32\GroupPolicy
  • %SystemRoot%\System32\GroupPolicyUsers

Если вы удалите файлы из этих папок, вы сбросите все настройки локальных политик (это бывает полезно, когда после изменения каких-то настроек Windows в политиках компьютер перестал пускать пользователя или не загружается).

Не удается найти gpedit.msc в Windows 10 и 11

При попытке выполнить команду запуска Group Policy Editor в Windows 10 Домашняя и Домашняя для одного языка или в Windows 11 Home: Win+R -> gpedit. msc , появляется ошибка:

 Не удается найти «gpedit.msc». Проверьте, правильно ли указано имя и повторите попытку.

Вероятно, что по логике Microsoft домашнему пользователя не нужно править локальные настройки через графический интерфейс gpedit.msc. Соответственно, пользователям домашней редакции Windows 10 приходится вносить изменения через редактор реестра, что не так наглядно и более рискованно с точки зрения возможности ошибиться и что-нибудь сломать в системе.

К счастью, в Windows 10 Home есть недокументированная возможность установки редактора gpedit.msc из хранилища пакетов и манифестов образа Windows (\Windows\servicing\packages).

Установка редактора политик gpedit.msc в Windows 10/11 Домашняя

Для установки редактора локальных групповых политик в Windows 10 редакции Домашняя, откройте командную строку с правами администратора и последовательно выполните две однострочные команды:

FOR %F IN ("%SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientTools-Package~*. mum") DO (DISM /Online /NoRestart /Add-Package:"%F")
FOR %F IN ("%SystemRoot%\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientExtensions-Package~*.mum") DO (DISM /Online /NoRestart /Add-Package:"%F")

Также эти команды можно использовать для установки консоли gpedit.msc в Windows 11 Home.

Для удобства данный код можно сохранить в текстовый файл gpedit-install.bat и запустить с правами администратора. Подождите какое-то время, пока DISM производит установку пакетов из внутреннего хранилища пакетов Windows.

В моем случае в английской редакции Windows 10 Home были установлены пакеты ClientTools и ClientExtensions. Если у вас установлен другой язык, например русский, также будут установлены пакеты с ru-RU:

Microsoft-Windows-GroupPolicy-ClientTools-Package~…~amd64~~….mum
Microsoft-Windows-GroupPolicy-ClientTools-Package~…~amd64~en-US~….mum
Microsoft-Windows-GroupPolicy-ClientExtensions-Package~…~amd64~~….mum
Microsoft-Windows-GroupPolicy-ClientExtensions-Package~…~amd64~en-US~…. mum

Теперь попробуйте запустить консоль gpedit.msc. Должен открыться интерфейс редактора локальной групповой политики (перезагрузка не требуется). Редактор GPO полностью работоспособен даже в домашней версии Windows 10 и содержит все необходимые разделы политик, которые доступны в старших редакциях Windows.

 

Утилита Policy Plus – универсальный редактор локальной политик для всех версий Windows

Для редактирования настроек локальной групповой политики в Windows вы также можете использовать стороннюю бесплатную утилиту Policy Plus. Данная утилита — это неплохая альтернатива встроенному редактору групповых политик gpedit.msc для всех версий Windows. Скачать утилиту можно по ссылке из репозитория на GitHub: https://github.com/Fleex255/PolicyPlus. Скачайте и запустите Policy Plus с правами администратора (программа портабельная, установки не требует).

Консоль Policy Plus очень похожа на редактор gpedit. msc: дерево с разделами в левом окне и политики в правом.

Функционал Policy Plus существенно превосходит возможности редактора политик gpedit.msc. Утилита позволяет подключать файлы административных шаблонов (admx), а при необходимости сама может скачать последние версии шаблонов с сайта Microsoft (Help -> Acquire AMDX Files). Это обязательно нужно сделать пользователям домашних редакций Windows 10, т.к. в системе отсутствует большинство файлов административных шаблонов.

В Policy Plus имеется удобный встроенного поиска политик. Можно искать по тексту, описанию политики, связанным веткам реестра.
Можно редактировать реестр офлайн образа Windows, загружать POL файлы политик и экспортировать настройки групповых политик в файл для переноса на другие компьютеры (Импорт / Экспорт reg и pol файлов).
Довольно удобно, что с помощью встроенного инспектора (Element Inspector) можно посмотреть какие ключи реестра включает та или иная политика и возможные значения параметра.

Как получить доступ к редактору групповой политики в Windows Home

Управление групповыми политиками — это функция, зарезервированная для выпусков Windows Professional, Enterprise и Education. Но с помощью нескольких настроек домашние пользователи могут включить редактор локальной групповой политики, или вы можете использовать сторонний инструмент для доступа к более полному набору настроек. Мы покажем вам оба варианта.

Обновление: Последние версии Windows 10 имеют несвязанные параметры, доступные в редакторе локальной групповой политики в Windows 10 Home. Вы можете по-прежнему видеть все настройки, упомянутые ниже, но их изменение может не повлиять на вашу систему.

Как открыть редактор локальной групповой политики

Доступ к редактору локальной групповой политики можно получить несколькими способами.

Вот два самых удобных:

  1. Нажмите Win + R , чтобы открыть меню «Выполнить», введите gpedit. msc и нажмите . Введите , чтобы запустить редактор локальной групповой политики.
  2. Нажмите Win , чтобы открыть панель поиска, или, если вы используете Windows 10, нажмите Win + Q , чтобы вызвать Кортану, введите gpedit.msc и откройте соответствующий результат.

Если это не работает, у вас либо нет прав администратора, либо вы используете Windows Home и не имеете доступа к редактору локальной групповой политики.

К счастью, вам не нужно обновляться до версии Windows Pro, чтобы настроить групповые политики. Мы объясним, как включить редактор локальной групповой политики в Windows Home ниже, но мы рекомендуем сначала проверить следующий сторонний инструмент.

Как настроить параметры Windows без редактора групповой политики

Прежде чем пытаться включить редактор локальной групповой политики, рассмотрите возможность использования более удобной и мощной альтернативы. Policy Plus — это инструмент с открытым исходным кодом, который дает вам доступ к настройкам в редакторе групповой политики и реестре Windows.

Policy Plus совместим со всеми выпусками Windows. Для этого требуется .NET Framework версии 4.5 или выше. Мы рекомендуем установить более стабильную версию Release build 9.0006 . После установки перейдите к Help > Acquire ADMX Files , дважды проверьте папку назначения и нажмите Begin для загрузки дополнительных административных шаблонов.

Если вы когда-либо имели дело с родным редактором групповой политики Windows, интерфейс Policy Plus покажется вам знакомым. Однако категории в левом столбце следуют несколько иной логике, по которой нам легче ориентироваться.

Если вы используете версию Windows Home, переключитесь, чтобы увидеть настройки в Компьютер только категории , так как ваша система будет игнорировать изменения в объектах групповой политики для каждого пользователя; вместо этого вам нужно будет внести эти изменения в реестр Windows.

Изменение настроек работает так же, как и в редакторе групповой политики; подробнее об этом ниже. Обратите внимание, что если вы используете Windows Home, вам придется перезапустить или выйти из системы и снова войти, чтобы активировать изменения.

Как включить редактор локальной групповой политики в Windows Home

Независимо от того, используете ли вы Windows Vista, Windows 7, Windows 8.1 или Windows 10 Home, вы можете включить редактор групповой политики, используя одно из двух решений, указанных ниже.

Решение 1. Используйте установщик Add GPEDIT.msc

Для правильной установки с помощью этого инструмента требуется несколько настроек и .NET Framework версии 3.5 или выше.

Сначала перейдите по адресу C:\Windows\SysWOW64 и скопируйте следующие элементы:

  • Папка GroupPolicy
  • Папка GroupPolicyUsers
  • Файл gpedit.msc

Затем откройте C:\Windows\System32 и вставьте только что скопированные элементы.

Теперь загрузите ZIP-файл Add GPEDIT.msc от пользователя DeviantArt Drudger и установите его на свой компьютер. Вам понадобится аккаунт DevianArt.

После установки вы найдете инструмент под C:\Windows\Temp\gpedit . Возможно, вам придется вручную перейти к этой папке.

Если ваше имя пользователя Windows содержит более одного слова, возможно, вам придется изменить установку. Щелкните правой кнопкой мыши x64.bat или x86.bat , в зависимости от того, 64-разрядная у вас система или 32-разрядная, и выберите Открыть с помощью... > Блокнот или Редактировать (Windows 10). Добавьте кавычки к шести экземплярам %username% , то есть измените %username% на "%username%" , сохраните изменения, затем снова щелкните правой кнопкой мыши файл BAT и выберите Запуск от имени администратора .

Если вы продолжаете получать сообщение об ошибке «MMC не удалось создать оснастку», попробуйте заменить « %username%» на «%userdomain%\%username%» .

Решение 2. Используйте активатор GPEDIT BAT

Если вы не можете найти файл gpedit.msc в своей системе или предыдущий метод не сработал, попробуйте этот. 9>nul') do dism /online /norestart /add-package:"%SystemRoot%\servicing\Packages\%%i" pause Затем щелкните правой кнопкой мыши только что созданный файл BAT и выберите Запуск от имени администратора . Откроется командное окно, и BAT-файл будет запущен через несколько установок. Подождите, пока не увидите . Нажмите любую клавишу, чтобы продолжить внизу; это приведет к закрытию командного окна.

Теперь попробуйте открыть gpedit.msc, как описано выше. Если вы не можете найти gpedit.msc с помощью поиска, обязательно попробуйте открыть его с помощью окна «Выполнить».

Предоставлено ITECHTICS за указание на этот метод.

Как изменить настройки редактора групповой политики

Теперь, когда у вас есть доступ к редактору локальной групповой политики, что вы собираетесь с ним делать?

Количество параметров, доступных в редакторе групповой политики, сокращается, и то, что вы раньше могли делать, теперь требует настройки реестра. Но вы все равно можете обнаружить несколько жемчужин, и мы покажем вам, как это сделать.

В редакторе групповой политики можно найти параметры, влияющие на Конфигурация компьютера или Конфигурация пользователя и три подкатегории для каждой из них. Просмотрите административных шаблонов , чтобы найти самые интересные настройки.

Изменить настройки Центра обновления Windows

Давайте взглянем на Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Центр обновления Windows , всеми любимая функция Windows. Вы обнаружите, что большинство настроек здесь Не настроено .

Чтобы изменить один из параметров, например, на Настроить автоматические обновления , дважды щелкните элемент, затем просмотрите доступные параметры в появившемся окне свойств и измените их в соответствии со своими предпочтениями. В этом примере вы можете изменить параметр на Enabled , затем выбрать параметр 3 — Автоматическая загрузка Windows и уведомление об установке , а затем указать предпочтительный день и время установки. Когда вы закончите, нажмите Применить .

Редактор групповой политики также предлагает параметры для приостановки или остановки Центра обновления Windows и способы управления обновлениями драйверов в Windows 10.

Настройка параметров установщика Windows по умолчанию

Вы делитесь своим компьютером с другими и хотите, чтобы они не могли устанавливать программное обеспечение? Перейдите к Конфигурация компьютера > Административные шаблоны > Установщик Windows > Отключить установщик Windows** и включите этот параметр только для неуправляемых приложений или всегда .

Другие параметры, связанные с установщиком Windows, которые вы можете активировать, включают:

  • Всегда устанавливать с повышенными привилегиями
  • Запретить откат или исправление
  • Ведение журнала
  • Запретить установку пользователями чтобы каждый понимал, что делает каждый параметр. Имейте в виду, что настройки, примененные в конфигурации компьютера , применяются ко всем пользователям. Если вы хотите ограничить только определенных пользователей, переключитесь на Конфигурация пользователя вместо трека.

    Повышение уровня с помощью групповой политики Windows

    Редактор групповой политики — это кладезь мощных настроек Windows. Хотя его важность снизилась с момента появления Windows 10 и еще больше потеряет свое значение с запуском Windows 11, он по-прежнему предлагает множество способов настроить установку Windows. Теперь к этим настройкам имеют доступ и домашние пользователи.

    Варианты доступа и способы использования

    Блог о внутренней безопасности / Безопасность данных / Активный каталог

    Содержимое

      Редактор групповой политики — это инструмент администрирования Windows, который позволяет пользователям настраивать многие важные параметры на своих компьютерах или в сети. Администраторы могут настраивать требования к паролю, запускать программы и определять, какие приложения или настройки могут изменять пользователи.

      Эти параметры называются объектами групповой политики (GPO). Злоумышленники используют объекты групповой политики для отключения Защитника Windows. Системные администраторы используют объекты групповой политики для работы с заблокированными пользователями.

      Этот блог посвящен версии редактора групповой политики для Windows 10 (также известного как gpedit), но вы можете найти его в Windows 7, 8 и Windows Server 2003 и более поздних версиях.

      В этой части рассказывается, как открыть и использовать редактор групповой политики, некоторые важные параметры безопасности в объектах групповой политики и некоторые альтернативы gpedit.

      Как получить доступ к редактору групповой политики Windows 10: 5 параметров

      Существует несколько способов открыть редактор групповой политики. Выберите свой любимый!

      Вариант 1: открыть редактор локальной групповой политики в Run

      • Откройте поиск на панели инструментов и введите «Выполнить» или выберите «Выполнить» в меню «Пуск».
      • Введите «gpedit.msc» в команде «Выполнить» и нажмите «ОК».

      Вариант 2: открыть редактор локальной групповой политики в поиске

      • Открыть поиск на панели инструментов
      • Введите «gpedit» и нажмите «Изменить групповую политику».

      Вариант 3: открыть редактор локальной групповой политики в командной строке

      • В командной строке введите «gpedit.msc» и нажмите «Ввод».

      Вариант 4: открыть редактор локальной групповой политики в PowerShell

      • В PowerShell введите «gpedit», а затем «Ввод».
      • При желании вы также можете использовать PowerShell для внесения изменений в локальные объекты групповой политики без пользовательского интерфейса.

      Вариант 5: открыть редактор локальной групповой политики в панели управления меню «Пуск»

      • Откройте панель управления в меню «Пуск».
      • Щелкните значок Windows на панели инструментов, а затем щелкните значок виджета для параметров.
      • Начните вводить «групповая политика» или «gpedit» и нажмите «Изменить групповую политику».

      Что можно сделать с помощью редактора групповой политики

      Лучше спросить, что нельзя делать с помощью редактора групповой политики! Вы можете сделать что угодно, от установки обоев рабочего стола до отключения служб и удаления Проводника из меню «Пуск» по умолчанию. Групповые политики контролируют доступные версии сетевых протоколов и применяют правила паролей. Корпоративная служба ИТ-безопасности получает значительные преимущества, настраивая и поддерживая строгую групповую политику. Вот несколько примеров хороших групповых политик ИТ-безопасности:

      • Ограничьте количество приложений, которые пользователи могут устанавливать или использовать на своих управляемых корпоративных устройствах.
      • Отключите съемные устройства, такие как USB-накопители или DVD-диски.
      • Отключите сетевые протоколы, такие как TLS 1.0, чтобы принудительно использовать более безопасные протоколы.
      • Ограничьте параметры, которые пользователь может изменить с помощью панели управления. Например, пусть они меняют разрешение экрана, но не настройки VPN.
      • Укажите отличные обои, одобренные компанией, и отключите возможность пользователя менять их.
      • Запретить пользователям доступ к gpedit для изменения любого из вышеуказанных параметров.

      Это всего лишь несколько примеров того, как группа ИТ-безопасности может использовать групповые политики. Если целью является более безопасная и усиленная среда для вашей организации, используйте групповые политики для обеспечения соблюдения правил безопасности.

      Компоненты редактора групповой политики

      Окно редактора групповой политики представляет собой список слева и контекстное представление справа. Когда вы щелкаете элемент с левой стороны, он меняет фокус справа, чтобы показать вам подробности о том, что вы щелкнули.

      Узлы верхнего уровня слева — это «Конфигурация компьютера» и «Конфигурация пользователя». Если вы откроете дерево Конфигурации компьютера, вы сможете изучить параметры, которые у вас есть для управления различными аспектами поведения системы.

      Например, в разделе «Конфигурация компьютера» -> «Административные шаблоны» -> «Панель управления» -> «Персонализация» справа вы увидите такие вещи, как «Не отображать экран блокировки».

      Параметр можно изменить, дважды щелкнув.

      В редакторе групповой политики есть сотни различных параметров, подобных этому. Нажмите или просмотрите документацию Microsoft, чтобы получить список всех из них.

      Компоненты редактора локальной групповой политики

      • Конфигурация компьютера: Эти политики применяются к локальному компьютеру и не меняются для каждого пользователя.
      • Конфигурация пользователя: Эти политики применяются к пользователям на локальном компьютере и будут применяться ко всем новым пользователям в будущем на этом локальном компьютере.
      • Эти две основные категории далее разбиты на подкатегории:
      • Параметры программного обеспечения: Параметры программного обеспечения содержат групповые политики для конкретного программного обеспечения: по умолчанию этот параметр пуст.

      Прекратите настраивать объекты групповой политики и возьмите под контроль AD с помощью Varonis.

      Как настроить параметр политики безопасности с помощью консоли редактора локальной групповой политики

      Если у вас есть представление о том, какие объекты групповой политики вы хотите установить, внесение изменений с помощью редактора групповой политики будет довольно простым делом.

      Давайте посмотрим на настройку быстрого пароля, которую мы можем изменить:

      1. В gpedit нажмите «Параметры Windows», затем «Параметры учетной записи», затем «Политика паролей».
      2. Выберите параметр «Пароль должен соответствовать требованиям сложности».
      3. Нажмите «Включено», а затем «Применить», и ваши изменения вступят в силу на этом локальном компьютере. Применение изменений к объектам групповой политики на уровне предприятия выходит за рамки этого блога.

      Как использовать PowerShell для администрирования групповых политик

      Многие системные администраторы переходят на PowerShell вместо пользовательского интерфейса для управления групповыми политиками. Вот несколько командлетов PowerShell GroupPolicy, которые помогут вам начать работу.

      • New-GPO : Этот командлет создает новый неназначенный объект групповой политики. В новый объект групповой политики можно передать имя, владельца, домен и другие параметры.
      • Get-GPOReport : этот командлет возвращает все или указанные объекты групповой политики, существующие в домене, в файле XML или HTML. Очень полезно для устранения неполадок и документации.
      • Get-GPResultantSetOfPolicy : этот командлет возвращает полный результирующий набор политик (RsoP) для пользователя или компьютера или того и другого и создает XML-файл с результатами. Это отличный командлет для исследования проблем с объектами групповой политики. Вы можете подумать, что для политики задано определенное значение, но эта политика может быть перезаписана другим объектом групповой политики, и единственный способ выяснить это — узнать фактические значения, применяемые к пользователю или компьютеру.
      • Invoke-GPUpdate: Этот командлет позволяет обновить объекты групповой политики на компьютере, это то же самое, что запустить gpupdate.exe. Вы можете запланировать обновление в определенное время на удаленном компьютере с помощью командлета, что также означает, что вы можете написать сценарий для отправки множества обновлений, если возникнет необходимость.

      Ограничения редактора групповой политики

      Приложение gpedit очень упрощено для инструмента, который должен помочь защитить все ваше предприятие. Обновления GPO происходят с некоторым интервалом времени на компьютерах по всей сети по-разному или при перезагрузке. Поэтому время между вашими изменениями и получением этого изменения всеми компьютерами в сети неизвестно.

      Злоумышленники могут изменять локальные групповые политики с помощью того же gpedit или PowerShell, что может отменить любую защиту, которую вы включили в этой системе.

      Несколько компаний предоставляют альтернативные средства редактирования групповой политики, и вы можете узнать, как внести все изменения с помощью PowerShell, чтобы упростить свою работу. Однако gpedit не имеет встроенного встроенного аудита, поэтому вам необходимо иметь надежный план управления изменениями и независимо проверять все изменения GPO, чтобы обеспечить безопасность вашего предприятия.

      Крайне важно отслеживать в Active Directory любые изменения, внесенные в групповую политику — часто эти изменения являются первыми сигналами APT-атак, когда хакеры намереваются находиться в вашей сети некоторое время и хотят оставаться незамеченными. Varonis обнаруживает угрозы, отслеживая и сопоставляя текущую активность с нормализованным поведением и передовыми моделями угроз безопасности данных, чтобы обнаруживать APT-атаки, заражения вредоносным ПО, атаки методом грубой силы, включая попытки изменить объекты групповой политики.

      Ознакомьтесь с курсом PowerShell Адама Бертрама, где он научит вас использовать PowerShell для управления Active Directory. Как только вы изучите основы, вы сможете начать управлять объектами групповой политики с помощью PowerShell, и это стоит 3 кредита CPE!

      Что вам следует сделать сейчас

      Ниже приведены три способа, которыми мы можем помочь вам начать путь к снижению рисков, связанных с данными в вашей компании:

      1. Запланируйте демонстрационный сеанс с нами, где мы можем показать вам, ответить на ваши вопросы и помочь вы увидите, подходит ли вам Варонис.
      2. Загрузите наш бесплатный отчет и узнайте о рисках, связанных с раскрытием данных SaaS.
      3. Поделитесь этой записью в блоге с теми, кого вы знаете, кому будет интересно ее прочитать. Поделитесь им с ними по электронной почте, LinkedIn, Twitter, Reddit или Facebook.
      Майкл Бакби

      Майкл работал системным администратором и разработчиком программного обеспечения в стартапах Силиконовой долины, ВМС США и во всем, что между ними.

      Learn more

Только новые статьи

Введите свой e-mail

Видео-курс

Blender для новичков

Ваше имя:Ваш E-Mail:

Содержание, карта.