[請益] 群組原則

作者: jayzhuang (Jay)   2018-09-20 13:45:23
找尋群組原則如何顯示
各位大神您們好! 小弟我最近公司指派新的任務給我:
希望我能研究出如何找出網域內使用的群組原則(GPO),因為公司系統要能抓到AD網域內有用到的GPO細項
(根據過去資料顯示,大概會是用一支程式去撈取裏頭的GPO細項,然後呈現在網頁上)
目前研究到的階段,也跟主管討論過,不使用WMI。
兩條路徑走:
1.使用登錄編輯程式去找尋看看
有參考了Group Policy Administrative Templates Catalog,但細項會以英文顯示
但是會有兩個問題:
如果直接去撈取AD Server內的話,可能會有好幾個一樣的....
(像是非同步執行啟動指令碼(RunStartupScriptSync))
今天主管有跟我討論:公司系統要做的是去撈取Local GPO,不是Domain GPO。
(等於說我之前去測試的都是以Domain GPO去測試。)
但透過登錄編輯程式碼去找尋還是一個方向,只是我還沒找到Local GPO的細項....
(EX:像是最小密碼長度OwnerPwdMin),還是說他屬於Local GPO的名稱都改變了?
2.建議我去找尋這個路徑之下: c:\windows\system32\grouppolicy
但是我看了AD Server與加入AD的電腦,都只有顯示這樣,其他資料夾內都是空的?
有沒有大神知道目前這樣是什麼原因?
https://imgur.com/evEEC0l
win7:
https://imgur.com/btcVnZC
3.這是我自己額外問題,因為我被Local GPO(本機群組原則)與Domain GPO(網域群組原則)
給搞混了....
就是假如你一台Win7電腦加入AD Server之後,那他的GPO套用的到底還是自己的Local GPO?
還是AD Server的GPO,且是"AD的 Local GPO"還是"AD的Domain GPO" ???
我知道順序優先都是:
(本機群組原則,再來是站台、網域、組織單位的順序套用,且後套用的原則會先覆蓋原先套用原則)
從Win7透過gpresult -v 內的查詢:(沒有套用)
https://imgur.com/XUs5mDJ
但查詢:rsop.msc是有的:
https://imgur.com/7q0UQTu
WinServer:
https://imgur.com/RO1fQjc
以下是我的AD Server內建好的GPO原則:
我的Win7 與AD Server都是虛擬機
https://imgur.com/Ozxrg8y
https://imgur.com/1dQsna4
透過rsop.msc查詢win7之下,目前只有確定adlog那個GPO有顯示:
https://imgur.com/SqOZMvH
作者: eric00169 (eric)   2018-09-21 15:56:00
cmd底下 輸入 gpresult -r 可以顯示目前的GPO包含user+computer加入網域的PC domain GPO>local GPO
作者: tgtgl (阿駿)   2018-09-24 02:48:00
如樓上說的 有分帳號登入跟電腦的而且又可以分群組來設定不同規則我的印象是同一台電腦 不同帳號可以設定不同的gpo 但同一台電腦的gpo不管誰登入 都一樣ex.同一台用帳號可以設定a登入會出現a印表機 b登入出現b 若是設定在電腦gpo 不管誰登入都會看到
作者: nfsong (圖書館我來了)   2018-09-25 20:58:00
請問gpo 有哪些是常用的? 這個可以看檔案讀取嗎?
作者: eric00169 (eric)   2018-09-25 22:33:00
可以 google一下檔案稽核 但你需要篩選log至於用什麼GPO看你公司有什麼會需要用到例如軟體更新 WSUS設定 proxy 印表機 其實可以套的很多如果妳需要開到檔案稽核的功能 我建議你另開server收lolog會比較好 不然人一多 log就很多你會很厭世

Links booklink

Contact Us: admin [ a t ] ucptt.com