Как обойти обработку петли GPO для некоторых пользователей?

8

Как вы, вероятно, знаете, петлевая обработка - это функция групповых политик Active Directory, которая применяет пользовательские настройки в объекте групповой политики к любому пользователю, который входит в систему на компьютерах в области действия объекта групповой политики (тогда как стандартным поведением будет применение пользовательских настроек только в том случае, если учетная запись пользователя на самом деле находится в области действия объекта групповой политики). Это полезно, когда вы хотите, чтобы все пользователи, входящие в систему на определенном компьютере, получали определенную политику пользователя, независимо от того, где их учетные записи фактически расположены в AD.

Проблема: когда включена петлевая обработка, объект групповой политики, содержащий пользовательские настройки, применяется ко всем, кто использует эти компьютеры, и вы не можете обойти это, используя списки ACL для объекта групповой политики, потому что на самом деле он применяется не к пользователям , а к компьютерам .

Вопрос: как обойти петлевую обработку для определенных пользователей, которым необходимо войти в систему на этих компьютерах, но на них не должны распространяться эти параметры политики?

Показательный пример: есть несколько терминальных серверов, на которых объекты групповой политики с обработкой по шлейфу используются для обеспечения жестких ограничений пользователей для всех, кто входит в них (в основном они должны иметь возможность запускать только несколько утвержденных компанией приложений); но это относится даже к администраторам домена , которые, таким образом, оказываются не в состоянии даже запустить командную строку или открыть диспетчер задач. В этом случае, как я могу сказать AD не применять эти параметры, если входящий в систему пользователь относится к определенной группе (например, администраторы домена)? Альтернативно, даже противоположное решение («применять эти настройки только к пользователям, принадлежащим к определенной группе») будет приемлемым.

Но, пожалуйста, помните, что речь идет об обработке петли здесь. Политики применяются к компьютерам , а пользовательские настройки внутри них применяются к пользователям только потому, что они входят в систему на этих компьютерах (да, я знаю, что это сбивает с толку, обработка обратной связи - одна из самых хитрых вещей, чтобы получить правильные сведения о групповых политиках).

Massimo
источник
1
неспособность обойти настройки для пользователя - именно поэтому вы используете loopback.
Джим Б
Пожалуйста, прочтите technet.microsoft.com/en-us/library/cc782815(v=ws.10).aspx. Они создают 2 объекта групповой политики, один с обратной связью, а другой с пользовательскими настройками, связанными с подразделением сервера терминалов. Они заявляют об удалении администратора (путем удаления аутентифицированного пользователя) только из второго объекта групповой политики.
yagmoth555
Политика применяется к компьютерам ... вмешательство в права пользователя не должно работать; тем не менее, я сейчас более растерян, чем когда-либо. Некоторое тестирование в порядке; Я вернусь к этому вопросу после проверки того, как это на самом деле работает.
Массимо
Использовать вторую принудительную политику, связанную с пользователями, чтобы отменить настройки, полученные при обработке обратной связи?
BlueCompute

Ответы:

1

Я думаю, что решением будет фильтрация WMI (вот как я это сделал на своем месте).

Вы создаете фильтр WMI, который ловит те рабочие станции, которые вы хотите.
Вы создаете объект групповой политики только с пользовательскими настройками и с фильтрацией безопасности.
Вы соединяете их вместе и помещаете объект групповой политики в контейнер пользователей.

Таким образом, фильтрация WMI определяет компьютер, к которому он применяется, и безопасность, фильтрующую пользователей, к которым он применяется.

И брось петлю.
Это даст вам больше головной боли, чем вы ожидали, так как это относится не только к указанному объекту групповой политики, в котором он настроен, но и ко всем политикам, применяемым к компьютерам.

Обновление
Если на ваших рабочих станциях установлен kb3163622 , вы можете сделать то же самое, используя только группы безопасности.
Это обновление изменяет способ применения пользовательских политик.
Отныне пользовательские политики фактически применяются как в контексте компьютера, так и в контексте безопасности пользователя.
Так что, если вы включите фильтрацию безопасности этого объекта групповой политики для компьютеров и пользователей, к которым вы хотите его применить, это будет делать то же самое, что и WMI (при условии, что вы не собираетесь выполнять какой-либо сложный запрос).

EliadTech
источник
1

Отказ в разрешении ACE for Apply Group Policy для рассматриваемых участников безопасности (пользователь / группа) для групповых политик с настройками пользователя в подразделении компьютера не позволит применять групповые политики пользователей, связанные с подразделением компьютера.

Однако если обработка политики обратной связи настроена для режима замены, групповые политики пользователей, которые находятся в области расположения учетной записи пользователя (а не компьютера), будут игнорироваться.

Грег Аскью
источник
Политика применяется к компьютерам , а не к пользователям ; это влияет только на использование из-за петлевой обработки. Отказ пользователям в праве на его применение не имеет никакого эффекта, потому что политика фактически не применяется к пользователям.
Массимо
Параметр политики пользователя применяется к пользователям, и пользователи не могут применять параметры, если имеется достойный ACE. Я подтвердил это в тестировании. Loopback означает только проверку области компьютера на наличие политик пользователя, и если политики пользователя в области учетной записи пользователя должны быть объединены или заменены / проигнорированы. Это не значит, что пользовательские настройки применяются к компьютерам.
Грег Аскью
Я действительно попробовал это, и это не сработало; может быть, я что-то пропустил, попробую еще раз ...
Массимо
@Massimo: Нет проблем. И вы правы, это сбивает с толку. :-)
Грег Аскью
@Massimo Возможно, вам не хватало патча KB, о котором говорилось в другом ответе, который был отредактирован с помощью этой детали, это решение работает нормально, если вы применили его. Я предполагаю, что вы уже поняли это, но хотели бы упомянуть на всякий случай.
Сок Pimp IT