Как найти объекты групповой политики

Обновлено 30.10.2019

Добрый день! Уважаемые читатели и гости одного из крупнейших IT блогов России Pyatilistnik.org. Не так давно мы с вами разбирали вопрос «По чему не применяются групповые политики», многим она была полезной и позволила получить новые знания. В сегодняшней публикации я хочу вам показать, как вы можете производить поиск по ключевому слову, значению во всех объектах групповой политики вашего домена Active Directory, опишу когда это полезно.

Постановка задачи

Предположим, что у вас есть инфраструктура Active Directory, все настройки клиентских компьютеров осуществляются через групповые политики, и это правильно так как централизация наше все. В какой-то момент вам необходимо выяснить какая групповая политика вносит ту или иную настройку, если у вас нет практики постоянного комментирования в GPO, то при их большом количестве это может быть весьма затруднительно и долго. Простой пример, у вас есть RDS ферма на которой работают ваши сотрудники, логично предположить, что на них применяются политики компьютера и пользователя, вам необходимо выяснить, какой именно объект добавляет выполнение скрипта при входе, количество политик у вас 20 и более, согласитесь, что не очень удобно их все открывать и искать нужную настройку. Вот для такой ручной работы можно использовать блага предоставленные компанией Microsoft, а именно оболочку PowerShell.

Поиск внутри GPO через PowerShell

Я все больше постигаю возможности PowerShell и нашел решение позволяющее произвести поиск по нужному значению во всех объектах групповой политики буквально за несколько минут. Я предлагаю вам для этого воспользоваться нижеописанным скриптом. Искать мы в моем примере будем сценарий AddRemPrinters-new, который добавляет при входе пользователя назначенные ему принтеры, данный метод отличается от распространения через публикацию в Active Directory или оснастку управление печатью. Давайте откроем оснастку «Управление групповой политикой» и посмотрим, что есть в моем тестовом домене, хочу подчеркнуть, что в настоящей рабочей инфраструктуре GPO объектов может быть от нескольких десяткой до нескольких сотен. В домене root.pyatilistnik.org их 15 штук.

Как я и писал выше мне нужно выяснить в какой из них у меня идет подключение скрипта AddRemPrinters-new. Когда вы явно не знаете, где искать можно бегло пробежаться по каждой политике, это я так называю обезьяний метод, подразумевает полностью ручную работу, особенно интересно когда политик куча. Что вы делаете:

1. Выберите нужную групповую политику
2. Перейдите в ней на вкладку «Параметры»
3. Раскройте области действия политики «Конфигурация компьютера» и «Конфигурация пользователя», после чего произведите поиск значения в данной групповой политике

Как видите, это очень интересно, особенно когда параметров много и не все даже могут из них отображаться, могут быть проблемы с административными шаблонами, в результате чего вы можете наблюдать ошибку «Пространство имен «Microsoft.Policies.WindowsStore» уже определено как целевое пространство имен для другого файла в хранилище».

Я стараюсь рационально использовать свое время и люблю, чтобы по возможности все было легко и автоматизированно, поэтому я и люблю PowerShell, который в этом поможет. Скачайте скрипт представленный чуть ниже, его разработал замечательный инженер Microsoft Тони Муррай.

Содержимое скрипта по поиску в объектах групповых политик

# Что будем искать
$string = Read-Host -Prompt «What string do you want to search for?»

# Задаем домен для поиска
$DomainName = $env:USERDNSDOMAIN

# Находим все групповые политики в данном домене
write-host «Finding all the GPOs in $DomainName»
Import-Module grouppolicy
$allGposInDomain = Get-GPO -All -Domain $DomainName

#Заглядываем в каждый XML в GPO
Write-Host «Starting search….»
foreach ($gpo in $allGposInDomain) {
$report = Get-GPOReport -Guid $gpo.Id -ReportType Xml
if ($report -match $string) {
write-host «********** Match found in: $($gpo.DisplayName) **********»
} # end if
else {
Write-Host «No match in: $($gpo.DisplayName)»
} # end else
} # end foreach

Запуск скрипта по поиску

Это простой сценарий Powershell, который использует командлеты групповой политики для поиска строки в объектах групповой политики. Единственным вводом является строка для поиска. Вывод показывает все объекты групповой политики и соответствует ли их (XML) содержимое указанной строке. Обратите внимание, что скрипт не предоставляет никакой информации о том, где в объекте групповой политики находится строка. Для этого вы можете открыть HTML-отчет для объектов групповой политики, для которых есть совпадения, и выполнить поиск вручную.

Если делаете один раз, то можете не менять политику ExecutionPolicy, если часто то поменяйте, по ссылке выше.

Первое, что вас спросят, это что нужно искать внутри объекта GPO, я ввожу AddRemPrinters-new. После нажатия «Enter» сразу запускается скрипт и происходит поиск по всем политикам, если политика не содержит нужного нам значения, то она выдает статус «No match in«, если совпадение обнаружено, то вы увидите статус «Match found in и имя политики«. В моем примере я обнаружил нужное мне значение в политике под именем «AllClients-DefaultSettings» и «Add-Printers».

Как видите такой метод, гораздо проще, единственное есть нюансы, скрипт ищет точное значение, но вы можете дописать его, чтобы он искал и по части слова. Если вы знаете еще методы, позволяющие вам производить быстрый и действенный поиск по объектам GPO, то прошу описать его в комментариях. На этом у меня все, с вами был Иван Семин, автор и создатель IT портала Pyatilistnik.org.

Групповые политики Windows являются неотъемлемой частью администрирования Windows-систем. Рассмотрим примеры работы с этим инструментом на VDS под управлением ОС семейства Windows Server.

Что такое групповые политики и как ими пользоваться:

• Для чего необходимы групповые политики
• Клиентский и серверный компоненты групповых политик
• Настройка управления групповыми политиками
• Как создать новый объект групповой политики
• Как настроить управление групповыми политиками
• Как найти нужный объект групповой политики
• Как удалить объект групповой политики

Для чего необходимы групповые политики

Говоря простым языком, Групповая политика — это инструмент архитектуры Active Directory, который позволяет управлять настройками серверов и рабочих терминалов, подключенных к домену, централизованно. Также, с помощью групповых политик достаточно просто распространить программное обеспечение. Администратор может указать политики для группы в одном месте, а затем применить их к целевой группе пользователей.

Во многих компаниях, как правило, применяется деление на отделы: отдел кадров, бухгалтерия, юристы, отдел системного администрирования. Предположим, что каждому отделу необходим собственный минимальный набор программного обеспечения, а рабочие станции должны быть настроены для конкретных нужд и под конкретные задачи. Благодаря групповым политикам появляется возможность создать настройки для конкретных групп пользователей в домене. При помощи Active Directory GPO администратор может устанавливать и управлять стандартизированными наборами настроек, конкретно для бухгалтерии или отдела кадров.

Настроить рабочие места (компьютеров и пользователей) проще и эффективнее потому что расположены по тому что располагаются централизованно и требуют дублирования на каждом ПК.

Клиентский и серверный компоненты групповых политик

Выделяют два компонента групповых политик — клиентский и серверный, т.е. формируется структура “клиент-сервер”.

Серверный компонент представляет оснастка MMC (Microsoft Management Console), предназначенная для настройки групповой политики. MMC можно использовать для создания политик, а также для контроля и управления административными шаблонами, настройками безопасности (установка ПО, скрипты и т.п.). Обобщенное название “возможностей”  называется расширением. Каждое расширение может иметь дочернее расширение, которое разрешает добавление новых или удаление старых компонентов, а также их обновление.

Клиентский компонент получает и применяет настройки групповой политики. Клиентские расширения являются компонентами запускаемыми на клиентской ОС, которые отвечают за интерпретацию и обработку объектов групповой политики.

Для администрирования GPO используют оснастки MMC — Group Policy Management Console (GPMC) и Group Policy Management Editor.

Сценарии использования Active Directory GPO:

• Централизованная настройка пакета программ Microsoft Office.
• Централизованная настройка управлением питанием компьютеров.
• Настройка веб-браузеров и принтеров.
• Установка и обновление ПО.
• Применение определенных правил в зависимости от местоположения пользователя.
• Централизованные настройки безопасности.
• Перенаправление каталогов в пределах домена.
• Настройка прав доступа к приложениям и системным программам.

Как настроить управление групповыми политиками

Окно оснастки управления групповой политикой выглядит так:

Как создать новый объект групповой политики

Добавленный объект появится в общем списке:

Настройка созданного объекта групповой политики

Создание объектов можно считать оконченным.

Как найти нужный объект групповой политики

Как удалить объект групповой политики

220140
Минск
ул. Домбровская, д. 9

+375 (173) 88-72-49

ООО «ИТГЛОБАЛКОМ БЕЛ»

220140
Минск
ул. Домбровская, д. 9

+375 (173) 88-72-49

ООО «ИТГЛОБАЛКОМ БЕЛ»

Используя оснастку
«Управление групповой политикой»можно создавать и редактировать объекты
групповой политики, а также комментарии
к ним для упрощения их мониторинга,
удалять объекты групповых политик и
проводить поиск среди существующих
объектов.

1.4.1. Создание объекта групповой политики с комментарием

Один или несколько
параметров групповой политики, который
применяется к одному или нескольким
пользователям или компьютерам, обеспечивая
конкретную конфигурацию, называется
объектом групповой политики. Для того
чтобы создать новый объект групповой
политики, выполните следующие действия:

1. В оснастке
   «Управление групповой политикой»разверните узел лес, домен, название
   вашего домена и выберите контейнер«Объекты групповой политики».
   Именно в этом контейнере будут храниться
   все объекты групповой политики, которые
   вы будете создавать;

2. Щелкните правой
   кнопкой мыши на данном контейнере и из
   контекстного меню выберите команду
   «Создать»
   (рисунок 8);

Рисунок 8. Создание
объекта групповой политики

1. В диалоговом окне
   «Новый объект групповой политики»введите название объекта в поле«Имя»(рисунок 9) и нажмите на кнопку«ОК».

Рисунок 9. Диалоговое
окно «Новый объект групповой политики»

1.4.2. Удаление объекта групповой политики

Для удаления
выберите объект групповой политики и
выполните одно из следующих действий:

• Нажмите на клавишу
  Deleteи в диалоговом окне«Управление групповой политикой»нажмите на кнопку«Да»;

• Нажмите на кнопку
  «Удалить»(в виде красного
  креста) на панели инструментов, а затем
  в диалоговом окне«Управление
  групповой политикой»нажмите на
  кнопку«Да»;

• Нажмите правой
  кнопкой мыши на объекте групповой
  политики и из контекстного меню выберите
  команду «Удалить». Затем в
  диалоговом окне«Управление
  групповой политикой»нажмите на
  кнопку«Да».

1.4.3. Поиск объектов групповой политики

При развертывании
групповых политик в организации могут
быть созданы десятки (а то и сотни)
объектов групповых политик. Для того
чтобы найти существующий объект групповой
политики, выполните следующие действия:

1. В дереве консоли
   оснастки «Управление групповой
   политикой»щелкните правой кнопкой
   мыши на лесу (или если знаете, в каком
   домене нужно провести поиск объекта,
   то можете вызвать контекстное меню для
   конкретного домена) и из контекстного
   меню выберите команду«Найти»
   (рисунок 10);

Рисунок 10. Поиск
объекта групповой политики

1. В диалоговом окне
   «Поиск объектов групповой политики»(рисунок 11) в раскрывающемся списке«Искать объекты групповой политики
   в домене:»можете выбрать домен,
   для которого будет производиться поиск
   или оставить значение, используемое
   по умолчанию;

Рисунок 11. Выбор
домена для поиска GPO

1. В раскрывающемся
   списке «Элемент поиска»,
   выберите тип объекта, для которого
   будет выполняться поиск. В этом случае
   нужно выбрать элемент«Имя объекта
   групповой политики»;

2. Раскрывающийся
   список «Условие»позволяет
   выбрать условие для поиска. Доступные
   варианты«Содержит»,«Не
   содержит»и«совпадает».
   При выборе условия«совпадает»нужно ввести точное название политики.
   В противном случае поиск закончится
   ошибкой;

3. В поле «Значение»введите значение, которое будет
   использовано для фильтрации поиска.
   Если результаты предыдущего поиска
   были сохранены, то значение можно будет
   выбрать из раскрывающегося списка;

4. Нажмите на кнопку
   «Добавить»для выбора условия
   поиска;

5. По нажатию на
   кнопку «Найти»будут выведены
   все результаты, согласно условиям
   поиска (рисунок 12).

Рисунок 12. Результаты
поиска

1. Для того чтобы
   сразу перейти к оснастке «Редактор
   управления групповыми политиками»нажмите на кнопку«Изменить»,
   для сохранения текущих результатов
   поиска нажмите на кнопку«Сохранить
   результаты»(результаты будут
   сохранены в указанной вами папке с
   расширением *.csv). По нажатию на кнопку«Очистить»результаты поиска
   будут очищены без сохранения, а для
   закрытия данного диалога нажмите на
   кнопку«Закрыть»или на клавишуEsc.

Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]

• #
• #
• #
• #
• #
• #
• #
• #
• #
• #
• #

If you change a lot of settings in the Local Group Policy Editor, and you now want to find all applied or enabled Group Policy settings on your Windows 10 system, then here is what you need to do. The Local Group Policy Editor plays a vital role in tweaking various system settings, and a wrong change can make or break your smooth user experience. If you made some change and you now do not remember the path, here is how to find it out.

There are four different ways to get the list of all enabled or applied changes that you have made in the Local Group Policy Editor, and they are mentioned below.

How to check the Group Policy applied on a computer

To find all applied or enabled Group Policy settings in Windows 10, you have four ways-

1. Use Local Group Policy Editor’s State option
2. Use the filter in Local Group Policy Editor
3. Use Command line
4. Use Resultant Set of Policy Tool (rsop.msc)

To know more about these methods, read on.

1] Use Local Group Policy Editor’s State option

It is the easiest method to find all the Enabled, Disabled, and Not configured policies within moments. The best thing is that you do not need to go through any complex step to get it done. Only one-click can show you all the changes on your screen.

Open the Local Group Policy Editor on your computer. For that, press Win+R, type gpedit.msc and hit the Enter button. After that, find a folder from your left-hand side. If you do not want to get the list by folder and instead, you want to get the same across whole Local Group Policy Editor, you need to expand the Administrative Templates and select All Settings option.

Then, you should see all the settings on your right side. It should show a column called State. You need to click on the “State” text.

Now, your Local Group Policy Editor should show all the enabled settings on the top of the line. From here, you can follow the usual method to make a change if required.

2] Use the filter in Local Group Policy Editor

Microsoft included the “filter” option in the Local Group Policy Editor so that users can apply numerous conditions to find a specific type of setting. You can utilize that function to find all the enabled or applied settings in this tool. To get started, you need to right-click on a folder after opening the Local Group Policy Editor and select Filter Options.

Alternatively, you can go to Action > Filter Options. Then, select Yes from the Configured drop-down list and click on the OK button.

Now you can find only those folders, which are holding an Enabled setting.

3] Use Command line

It is another easy way to find all the enabled Group Policy settings in Windows PC. All you need to do is to enter a command that will let you show all settings and the exact path to find it in the Local Group Policy Editor.

At first, open the Command Prompt on your Windows computer, and enter this command-

gpresult /Scope User /v

You should see the results.

4] Use Resultant Set of Policy Tool (rsop.msc)

It is an in-built tool of Windows OS that allows users to see all the Group Policy settings that have applied to your computer. It is a graphical version of the command as mentioned earlier, and the user interface is almost the same as Local Group Policy Editor.

To get started, open the Run prompt by press Win+R keys together, type rsop.msc, and hit the Enter button. It should take a couple of seconds to load everything, and at the end, you can find a window like this-

Now you must navigate to the folders to check which setting is applied to your computer. The good news is that it shows only those folders where you can find an enabled setting or policy. Please note that this tool doesn’t allow you to change the setting.

These are some of the best methods to find all applied or enabled Group Policy settings in Windows 10.