GPO

Group Policy Object

Leerdoelen

  • Wat is een GPO?
  • Waar gebruiken we GPO's voor?

Group Policy Object

  • Group Policy verzorgt:
    • de configuratie van user en computer settings
      • Security settings
      • Installatie van software
  • Werkt op Windows Servers en Clients
  • Een Group Policy kan lokaal op een filesysteem opgeslagen worden
  • Of in Active Directory

GPO in AD

  • Een GPO bestaat uit twee delen:
    • De Group Policy container
      • Is opgeslagen in het domein deel van AD
    • De Group Policy template(s) / scripts
      • Opgeslagen in de SYSVOL folder van elke domain controller
  • De File Replication Service zorgt ervoor dat de DC's in sync blijven

Soorten Policies

  • Policy settings zijn bedoelt voor computers of gebruikers
  • Computer settings:
    • Als de computer opstart
    • Systeem breed
    • Voorbeeld: Power management, Firewall settings
  • Gebruiker settings:
    • Als de gebruiker inlogt
    • Settings per gebruiker
    • Voorbeeld: Browser, Folder Redirection

GPO processing

  • Synchroon of Asynchroon:
    • Synchroon: uitgevoerd voordat een gebruiker mag inloggen
    • Asynchroon: kan na inloggen uitgevoerd worden
  • Policies op verschillende levels:
    • OU, Domain, Site
    • voorbeeld Domain: password policies

GPO inheritance

  • Volgorde:
    1. Local Computer Policy
    2. Site-level GPOs
    3. Domain-level GPOs
    4. OU-level GPOs
  • Volgt de hiërarchische structuur van AD
  • De OU structuur helpt in het zetten van GPOs

Group Policy Management

  • Administrators kunnen GP's aanpassen
  • GP beheer kan gedelegeerd worden
  • Local Group Policy Editor (gpedit.msc) - lokale settings
  • Group Policy Object Editor (MMC snap-in) - domain GP editor (gpmc.msc)
  • Elke GPO heeft zijn eigen unieke GUID (Globally Unique IDentifier)

A Real Life Problem

One of our clients have about 1400 workstations in their organization in several countries. The IT manager just asked from me that is there any tool that we could use to make sure that Group Policies are working on all computers in AD.

Toni Rantanen (23 mei 2010)

https://social.technet.microsoft.com/Forums/lync/en-US/642a5e6f-2a9a-4497-8766-62aebf5c2cb7/tool-to-monitor-gpo-functionality?forum=winserverGP

Group Policy Report on Client

  • gpresult /r

Group Policy Report on DC

Disable de lokale administator

  • Helpt het voorkomen van malware
  • Voorkomt installatie van lokale software als admin
  • Local Admins kunnen uitzetten:
    • Antivirus
    • Firewall
    • Encryption
    • Group Policy
  • Programma's opgestart als Local Admin hebben dezelfde rechten
  • Local Admin policies hebben voorrang op Group Policies:
    • Local Admin kan zijn eigen policies maken
    • Kunnen Group Policies tegen houden
  • Een rapport van Avecto heeft aangetoond dat het verwijderen van local admin rechten 85% van alle Critical vulnerabilities tegen houdt

You can not delete a (local) Administrator account

gpmc.msc

  • Open je domain
  • Selecteer: Group Policy Objects
  • Klik: New
  • Set GPO Name:
    • Local Admin Disable

GPO activatie

  • Link GPO aan ons domein om hem te activeren
  • Het duurt 10 tot 20 minuten voordat een GPO wordt uitgevoerd
  • Run gpresult
  • Controle Applied Objects

Opdracht

  1. Installeer Windows Server
    • Met Active Directory
  2. Installeer Windows Client
    • Join het domein
  3. Maak een GPO die local admin uit zet
    • Controleer of de GPO is uitgevoerd
  4. Test of je kan inloggen als lokale en domein admin
    • Login als HOSTNAME/Administrator
    • Login als DOMAIN/Administrator

Samenvatting

  • Voordelen GPOs:
    • Centraal beheer van gebruikers settings
    • Verbeterde beveiliging
    • Makkelijke software deployment
  • Een GPO is vaak niets anders dan een wijziging in de registry