hieman Standard Ryhmäkäytäntökäsittelystä
ennen kuin tarkastelemme, miten loopback processing toimii, voi olla hyödyllistä saada nopea päivitys siitä, miten standardi ryhmäkäytäntökäsittely toimii.
Ryhmäkäytäntöobjektit (GPO) ovat kokoelma konfiguroitavia käytäntöasetuksia, jotka on järjestetty yhdeksi objektiksi ja jotka sisältävät tietokoneen Määrityskäytäntöjä, joita sovelletaan tietokoneisiin käynnistyksen aikana, ja käyttäjän Määrityskäytäntöjä, joita sovelletaan käyttäjiin kirjautumisen aikana.
All About Scope
scope-termiä käytetään viittaamaan mihin tahansa ryhmäpoikkeusasetukseen, joka koskee objektia (tietokonetili tai käyttäjätili).
ryhmäkäytäntöjä voidaan soveltaa neljässä eri pisteessä toimialueen rakenteessa (paikallinen, sivusto, toimialue ja organisaatioyksikkö (OU)), ja niitä sovelletaan yksi toisensa jälkeen kunkin vaiheen ensisijaisuusjärjestyksessä.
joten in scope GPO tilin koostuvat kaikista paikallisen käytännön GPO, kaikki sivuston GPO, kaikki verkkotunnuksen GPO ja kaikki GPO liittyvät kuhunkin ou polku tilin objektin. Jokaisessa vaiheessa Uusi ryhmäpoikkeusasetus korvaa kaikki ristiriitaiset asetukset omilla asetuksillaan; sovellettavien käytäntöjen lopullista joukkoa kutsutaan Resultant set of Policies (RSoP): ksi, ja sitä voidaan tarkastella asiakaslaitteessa RSoP: n kautta.msc console.
mikä tahansa ryhmäkäytäntöobjekti, jolta on evätty soveltamisoikeudet tai joka on suodatettu pois WMI-suodatuksen kautta, katsotaan olevan soveltamisalan ulkopuolella
miksi Loopback
Ryhmäkäytäntöobjektin tietokoneen määrityssolmussa käytettävissä oleva Käyttäjäryhmäkäytäntö loopback processing mode-vaihtoehto on hyödyllinen työkalu tiettyjen käyttäjäasetusten soveltamiseksi määrätyissä tietokoneissa.
olennaisesti loopback-käsittely muuttaa standardin ryhmäkäytännön käsittelyä siten, että käyttäjän määritysasetuksia voidaan käyttää tietokoneiden GPO-laajuuden perusteella kirjautumisen aikana. Tämä tarkoittaa, että käyttäjän konfigurointivaihtoehtoja voidaan soveltaa kaikkiin käyttäjiin, jotka kirjautuvat tiettyyn tietokoneeseen.
Loopbackin käytön ajankohta
yleisiä skenaarioita, joissa tätä käytäntöä käytetään, ovat yleisesti saatavilla olevat päätelaitteet, sovelluskioskeina toimivat koneet, päätelaitteet ja muut ympäristöt, joissa käyttäjän asetukset määräytyvät tietokonetilin sijaan.
Where to Enable Loopback
the setting is found in the Computer Configuration node of a GPO:
Computer Configuration > Administrative Templates > System > Group Policy > Group Policy>User Group Policy Loopback processing mode
replace or merge
when pressed you must select which mode loopback processing will operate in; replace or merge.
Replace-tila hylkää kokonaan käyttäjäasetukset, joita normaalisti sovelletaan kaikkiin käyttäjiin, jotka kirjautuvat loopback-käsittelyä käyttävään koneeseen, ja korvaa ne sen sijaan tietokoneen tiliä koskevilla käyttäjäasetuksilla.
Yhdistämistila soveltaa käyttäjäasetuksia, joita sovelletaan kaikkiin käyttäjiin, jotka kirjautuvat koneeseen käyttäen loopback-käsittelyä normaalisti, ja sitten käyttäjäasetuksia, jotka koskevat tietokoneen tiliä; jos näiden kahden välillä on ristiriita, tietokoneen tilin käyttäjäasetukset korvaavat käyttäjätilin käyttäjäasetukset.
Loopbackin toiminta
Loopbackin käsittely vaikuttaa tapaan, jolla Getgpolist-funktio toimii, yleensä kun käyttäjä kirjautuu getgpolist-funktioon kerää luettelon kaikista scope-GPO: ista ja järjestää ne ensisijaisuusjärjestykseen käsittelyä varten.
kun loopback-käsittely on käytössä Yhdistämistilassa getgpolist-funktio kerää myös kaikki tietokoneen tilillä olevat GPO: t ja liittää ne käyttäjätilille kerättyjen GPO: iden luetteloon, nämä toimivat sitten korkeammalla etuoikeudella kuin käyttäjien GPO: t.
kun loopback-käsittely on käytössä Replace-tilassa, getgpolist-funktio ei kerää käyttäjiä scope GPO-järjestelmässä.
niin, ilman loopback käytössä, politiikan käsittely näyttää hieman tältä:
1. Tietokonesolmukäytäntöjä kaikista tietokonetiliobjektin piiriin kuuluvista GPO-järjestelmistä sovelletaan käynnistyksen aikana (normaalissa paikallisessa, sivustossa, toimialueessa, OU-järjestyksessä).
2. Käyttäjäsolmukäytäntöjä kaikista käyttäjätilien objektin piiriin kuuluvista GPO: ista käytetään kirjautumisen aikana (normaalissa paikallisessa, sivustossa, toimialueessa, OU-järjestyksessä).
ja, loopback-käsittely käytössä (Yhdistämistilassa):
1. Tietokonesolmukäytäntöjä kaikista tietokonetiliobjektin piiriin kuuluvista GPO: ista käytetään käynnistyksen aikana (normaalissa paikallisessa, sivustossa, toimialueessa, OU-järjestyksessä), tietokoneen liput, jotka loopback-käsittely (Yhdistämistila) on käytössä.
2. Käyttäjäsolmukäytäntöjä kaikista käyttäjätilien objektin piiriin kuuluvista GPO: ista käytetään kirjautumisen aikana (normaalissa paikallisessa, sivustossa, toimialueessa, OU-järjestyksessä).
3. Koska tietokone on käynnissä loopback (Yhdistämistila) se sitten soveltaa kaikki käyttäjän solmun käytäntöjä kaikista GPO laajuus tietokoneen tilin objektin kirjautumisen aikana (paikallinen, sivusto, toimialue ja OU), jos jokin näistä asetuksista ristiriidassa mitä sovellettiin vaiheen 2 aikana. Silloin tietokoneen tilin asetus on etusijalla.
ja, loopback-käsittely käytössä (Korvaustilassa):
1. Tietokonesolmukäytäntöjä kaikista tietokonetiliobjektin piiriin kuuluvista GPO: ista käytetään käynnistyksen aikana (normaalissa paikallisessa, sivustossa, toimialueessa, OU-järjestyksessä), tietokoneen liput, jotka loopback-käsittely (korvaa-tila) on käytössä.
2. Käyttäjäsolmukäytäntöjä kaikista käyttäjätiliobjektin piiriin kuuluvista Käyttäjäsolmukäytännöistä ei ole otettu käyttöön kirjautumisen aikana (koska tietokone suorittaa loopback-käsittelyä Korvaustilassa, käyttäjäsolmukäytäntöjä ei ole kerätty).
3. Koska tietokone on käynnissä loopback (korvaa tila) se sitten soveltaa kaikkia käyttäjän solmun käytäntöjä kaikista GPO laajuus tietokoneen tilin objektin kirjautumisen aikana (paikallinen, sivusto, toimialue ja OU).
mutta en halua kaikkien kirjautuvien saavan näitä asetuksia
Jos haluat lisätä poikkeuksen tähän sääntöön, esimerkiksi olet käyttänyt loopback-käsittelyä turvataksesi päätepalvelimen korvaustilassa, mutta haluat varmistaa, että palvelimen järjestelmänvalvojat eivät saa asetuksia; tämän jälkeen voit asettaa suojausryhmän, joka sisältää järjestelmänvalvojat-tilit ryhmäkäytäntöobjektin delegointi-välilehdessä, kun ryhmäkäytäntöobjektin(GPMC) esto on käytössä-ryhmäkäytäntöobjekti. Tämä on asetettava kaikille GPO: ille, jotka sisältävät käyttäjäasetuksia, jotka haluat kieltää ja jotka ovat laajuudessa tietokoneen tilille.
lopuksi
joten kaikki mitä sinun tarvitsee tehdä varmistaaksesi, että käyttäjän Solmuasetus, jonka haluat konfiguroida loopback-käsittelyssä, pätee; on varmistettava, että käyttäjän Solmuasetus on GPO, joka on laajuus tietokoneen tilin objektin (ja että se on etusijalla kilpailevien GPO).