[请益] 群组原则

楼主: jayzhuang (Jay)   2018-09-20 13:45:23
找寻群组原则如何显示
各位大神您们好! 小弟我最近公司指派新的任务给我:
希望我能研究出如何找出网域内使用的群组原则(GPO),因为公司系统要能抓到AD网域内有用到的GPO细项
(根据过去资料显示,大概会是用一支程式去捞取里头的GPO细项,然后呈现在网页上)
目前研究到的阶段,也跟主管讨论过,不使用WMI。
两条路径走:
1.使用登录编辑程式去找寻看看
有参考了Group Policy Administrative Templates Catalog,但细项会以英文显示
但是会有两个问题:
如果直接去捞取AD Server内的话,可能会有好几个一样的....
(像是异步执行启动指令码(RunStartupScriptSync))
今天主管有跟我讨论:公司系统要做的是去捞取Local GPO,不是Domain GPO。
(等于说我之前去测试的都是以Domain GPO去测试。)
但透过登录编辑程式码去找寻还是一个方向,只是我还没找到Local GPO的细项....
(EX:像是最小密码长度OwnerPwdMin),还是说他属于Local GPO的名称都改变了?
2.建议我去找寻这个路径之下: c:\windows\system32\grouppolicy
但是我看了AD Server与加入AD的电脑,都只有显示这样,其他资料夹内都是空的?
有没有大神知道目前这样是什么原因?
https://imgur.com/evEEC0l
win7:
https://imgur.com/btcVnZC
3.这是我自己额外问题,因为我被Local GPO(本机群组原则)与Domain GPO(网域群组原则)
给搞混了....
就是假如你一台Win7电脑加入AD Server之后,那他的GPO套用的到底还是自己的Local GPO?
还是AD Server的GPO,且是"AD的 Local GPO"还是"AD的Domain GPO" ???
我知道顺序优先都是:
(本机群组原则,再来是站台、网域、组织单位的顺序套用,且后套用的原则会先覆蓋原先套用原则)
从Win7透过gpresult -v 内的查询:(没有套用)
https://imgur.com/XUs5mDJ
但查询:rsop.msc是有的:
https://imgur.com/7q0UQTu
WinServer:
https://imgur.com/RO1fQjc
以下是我的AD Server内建好的GPO原则:
我的Win7 与AD Server都是虚拟机
https://imgur.com/Ozxrg8y
https://imgur.com/1dQsna4
透过rsop.msc查询win7之下,目前只有确定adlog那个GPO有显示:
https://imgur.com/SqOZMvH
作者: eric00169 (eric)   2018-09-21 15:56:00
cmd底下 输入 gpresult -r 可以显示目前的GPO包含user+computer加入网域的PC domain GPO>local GPO
作者: tgtgl (阿骏)   2018-09-24 02:48:00
如楼上说的 有分帐号登入跟电脑的而且又可以分群组来设定不同规则我的印象是同一台电脑 不同帐号可以设定不同的gpo 但同一台电脑的gpo不管谁登入 都一样ex.同一台用帐号可以设定a登入会出现a打印机 b登入出现b 若是设定在电脑gpo 不管谁登入都会看到
作者: nfsong (圖書館我來了)   2018-09-25 20:58:00
请问gpo 有哪些是常用的? 这个可以看档案读取吗?
作者: eric00169 (eric)   2018-09-25 22:33:00
可以 google一下档案稽核 但你需要筛选log至于用什么GPO看你公司有什么会需要用到例如软件更新 WSUS设定 proxy 打印机 其实可以套的很多如果妳需要开到档案稽核的功能 我建议你另开server收lolog会比较好 不然人一多 log就很多你会很厌世

Links booklink

Contact Us: admin [ a t ] ucptt.com