Групповые политики (GPO): порядок применения, создание, обновление, шаблоны безопасности и диагностика

Групповые политики - основной инструмент централизованной настройки Windows в домене Active Directory. Через них задают параметры безопасности, ограничения для пользователей, сетевые настройки, сценарии входа, сопоставление дисков, установку сертификатов и сотни других вещей. Ниже - как устроены политики, в каком порядке применяются, как их создавать, обновлять, сохранять и почему иногда они «не работают».

Инструкция подходит для доменов Active Directory на Windows Server 2016, 2019, 2022 и 2025 и клиентов Windows 10 и 11.

Что такое объект групповой политики#

Объект групповой политики (GPO) - это набор параметров с собственным именем и уникальным идентификатором. Физически он хранится в двух местах: описание - в Active Directory, а сами параметры, сценарии и шаблоны - в папке SYSVOL на контроллерах домена (\\домен\SYSVOL\домен\Policies\{GUID}).

Каждый GPO состоит из двух половин:

• Конфигурация компьютера - применяется к компьютеру независимо от того, кто на нём работает. Обрабатывается при загрузке и затем периодически.
• Конфигурация пользователя - следует за пользователем на любой компьютер домена. Обрабатывается при входе и затем периодически.

В каждой половине есть разделы «Политики» (Policies) и «Настройка» (Preferences). Параметры из «Политик» управляемые: когда GPO перестаёт действовать, они возвращаются к значению по умолчанию. «Настройки» (сопоставление дисков, ярлыки, параметры реестра, локальные пользователи и группы) обычно записываются один раз и остаются, даже если политика удалена, пока у элемента не включён режим «Удалить этот элемент, когда он больше не применяется».

Сам GPO ни на что не влияет, пока не связан (linked) с контейнером Active Directory: сайтом, доменом или подразделением (OU). Один GPO можно связать с несколькими контейнерами.

Локальная политика и политики домена#

На каждом компьютере, включая не входящие в домен, есть локальная групповая политика. Её редактируют оснасткой gpedit.msc (в домашних редакциях Windows её нет). Для параметров безопасности есть отдельная оснастка secpol.msc. В домене локальная политика имеет самый низкий приоритет и перекрывается любыми доменными GPO.

При создании домена появляются две политики по умолчанию:

• Default Domain Policy связана с доменом. Здесь принято задавать политику паролей, блокировки учётных записей и Kerberos. Важная особенность: эти параметры для доменных учётных записей действуют только из GPO, связанного с доменом. Если задать политику паролей в GPO для подразделения, она применится к локальным учётным записям компьютеров этого подразделения, но не к доменным пользователям. Разные требования к паролям для разных групп задают через детально настраиваемые политики паролей (Fine-Grained Password Policy) в Центре администрирования Active Directory.
• Default Domain Controllers Policy связана с подразделением Domain Controllers. Определяет права пользователей и параметры аудита на контроллерах домена.

Остальные настройки лучше выносить в отдельные GPO с понятными именами, а политики по умолчанию менять как можно меньше.

Порядок применения: LSDOU#

Политики применяются в порядке:

1. Local - локальная политика компьютера;
2. Site - GPO, связанные с сайтом Active Directory;
3. Domain - GPO, связанные с доменом;
4. OU - GPO, связанные с подразделениями, от верхнего к вложенному.

Если один и тот же параметр задан в нескольких GPO, побеждает тот, что применился последним, то есть ближайший к объекту. Политика вложенного OU перекрывает политику домена.

Если с одним контейнером связано несколько GPO, их порядок определяет «Порядок ссылок» (Link Order) в консоли управления: GPO с номером 1 имеет наивысший приоритет и применяется последним. Порядок меняется стрелками на вкладке «Связанные объекты групповой политики».

Итоговую картину для конкретного OU с учётом наследования показывает вкладка «Наследование групповой политики» в консоли GPMC.

Блокировка наследования и принудительные ссылки#

Два механизма меняют обычный порядок:

• Блокировать наследование (Block Inheritance) - ставится на домен или OU. Политики вышестоящих контейнеров на этот контейнер не действуют.
• Принудительно (Enforced) - ставится на ссылку GPO. Такую политику нельзя перекрыть политиками нижних уровней, и блокировка наследования на неё не действует.

Оба механизма усложняют понимание того, что откуда пришло, поэтому используйте их редко и осознанно. Удобнее сразу строить структуру OU так, чтобы политики наследовались естественно.

Фильтрация#

GPO применяется ко всем объектам в связанном контейнере, если не настроена фильтрация:

• Фильтр безопасности (Security Filtering). По умолчанию в нём группа «Прошедшие проверку» (Authenticated Users). Можно заменить её конкретной группой пользователей или компьютеров. Если убираете «Прошедшие проверку», добавьте этой группе или «Компьютерам домена» право «Чтение» на вкладке «Делегирование», иначе компьютеры не смогут прочитать политику и пользовательские параметры перестанут применяться.
• Фильтр WMI - запрос, который проверяется на компьютере. Например, применить GPO только к ноутбукам или только к определённой версии Windows. Фильтры WMI замедляют обработку, не злоупотребляйте ими.

Замыкание (loopback)#

Обычно пользовательские параметры берутся из GPO, связанных с OU пользователя. Режим замыкания позволяет применять пользовательские параметры по OU компьютера - например, чтобы на терминальных серверах или киосках у всех был одинаковый ограниченный рабочий стол. Включается параметром «Конфигурация компьютера» → «Административные шаблоны» → «Система» → «Групповая политика» → «Настройка режима обработки замыкания пользовательской групповой политики». Режим «Слияние» добавляет параметры OU компьютера к обычным, «Замена» использует только их.

Когда применяются политики#

• Конфигурация компьютера - при загрузке, конфигурация пользователя - при входе в систему.
• Затем в фоне: на рядовых компьютерах и серверах каждые 90 минут со случайным сдвигом до 30 минут, на контроллерах домена - каждые 5 минут.
• Параметры безопасности дополнительно переприменяются каждые 16 часов, даже если GPO не менялся.

Интервал меняется параметрами «Интервал обновления групповой политики для компьютеров» и «...для пользователей» в разделе «Административные шаблоны» → «Система» → «Групповая политика».

Часть параметров в фоне не применяется: установка программ, перенаправление папок, некоторые сценарии. Им нужна перезагрузка или повторный вход. По умолчанию Windows не ждёт сети при загрузке (быстрая оптимизация входа), поэтому такие параметры могут вступить в силу только со второй перезагрузки. Если это мешает, включите «Конфигурация компьютера» → «Административные шаблоны» → «Система» → «Вход в систему» → «Всегда ждать сеть при запуске и входе в систему».

Медленное подключение#

Если скорость связи с контроллером домена ниже порога (по умолчанию 500 Кбит/с), Windows считает подключение медленным и пропускает «тяжёлые» расширения: установку программ, перенаправление папок, сценарии. Порог задаётся параметром «Настройка обнаружения медленной связи для групповой политики», а для отдельных расширений можно разрешить обработку и по медленной связи.

Инструменты#

• Консоль управления групповой политикой (gpmc.msc) - создание, связывание, фильтрация, резервное копирование, отчёты. На серверах ставится компонентом «Управление групповой политикой», на рабочих станциях входит в средства удалённого администрирования (RSAT).
• Редактор управления групповыми политиками - открывается из GPMC командой «Изменить» на GPO. Слева дерево разделов, справа параметры. У каждого параметра административных шаблонов есть описание и поле «Требования» - минимальная версия Windows, которая его поддерживает. Если клиент старее, параметр на нём просто игнорируется.
• Модуль PowerShell GroupPolicy - New-GPO, New-GPLink, Get-GPOReport, Backup-GPO и другие.

Чтобы быстро найти нужный параметр среди тысяч, в разделе «Административные шаблоны» используйте фильтр (контекстное меню → «Параметры фильтра») по ключевым словам или по состоянию «Настроен».

Административные шаблоны и центральное хранилище#

Параметры раздела «Административные шаблоны» описаны в файлах ADMX (сам параметр) и ADML (текст на нужном языке). По сути каждый такой параметр - запись в реестре в разделах HKLM\Software\Policies или HKCU\Software\Policies.

По умолчанию редактор берёт шаблоны с того компьютера, где его запустили. Чтобы все администраторы видели одинаковый набор, создают центральное хранилище: папку \\домен\SYSVOL\домен\Policies\PolicyDefinitions. В неё копируют ADMX из C:\Windows\PolicyDefinitions новейшей версии Windows в сети вместе с подпапками языков (ru-RU, en-US). После этого редактор показывает надпись «Административные шаблоны: определения политик (файлы ADMX) получены из центрального хранилища».

Microsoft выпускает обновлённые наборы ADMX для новых версий Windows отдельно, а производители программ часто публикуют свои шаблоны для настройки своих продуктов. Их тоже кладут в центральное хранилище.

Создание и связывание GPO#

В GPMC:

1. Откройте «Объекты групповой политики», в контекстном меню выберите «Создать», задайте имя.
2. Откройте политику командой «Изменить» и настройте параметры.
3. На нужном OU выберите «Связать существующий объект групповой политики».

Можно сразу «Создать объект групповой политики в этом домене и связать его», но тогда политика начнёт применяться ещё до того, как вы её настроите.

То же в PowerShell:

New-GPO -Name "Рабочие станции - экран блокировки" |
    New-GPLink -Target "OU=Workstations,DC=corp,DC=example"

Стартовые GPO#

Стартовые объекты (Starter GPO) - заготовки с набором параметров административных шаблонов. Новую политику можно создать на основе стартового объекта и получить готовую базу. Папку стартовых объектов создают в GPMC кнопкой «Создать папку стартовых объектов групповой политики», а сами заготовки можно экспортировать в CAB-файл и перенести в другой домен.

Отключение половины политики#

Если в GPO настроены только параметры компьютера, отключите в нём пользовательскую конфигурацию: вкладка «Сведения» → «Состояние GPO» → «Параметры конфигурации пользователя отключены». Клиенты не будут обрабатывать пустую половину, и вход станет быстрее. Аналогично отключается конфигурация компьютера.

Удаление ссылки и удаление GPO#

Удаление ссылки на OU отключает политику для этого контейнера, но сам GPO и другие его ссылки остаются. Удаление объекта в «Объектах групповой политики» стирает его вместе со всеми ссылками. Если сомневаетесь, сначала удалите ссылку или отключите её («Связь задействована» - снять флажок) и понаблюдайте.

Делегирование#

Права на политики настраиваются в GPMC на вкладке «Делегирование»:

• на домене или OU - кто может связывать GPO с этим контейнером, а также выполнять моделирование и смотреть результаты;
• на конкретном GPO - кто может его читать, изменять или менять разрешения;
• в контейнере «Объекты групповой политики» - кто может создавать новые GPO. По умолчанию это администраторы домена и группа «Владельцы-создатели групповой политики».

Удобная схема: служба поддержки филиала получает право редактировать только политики своего OU, а создавать и связывать GPO могут лишь администраторы.

Обновление политики#

На самом компьютере:

rem применить изменённые параметры
gpupdate
rem применить заново все параметры
gpupdate /force
rem только конфигурацию компьютера
gpupdate /target:computer
rem перезагрузить, если параметр требует загрузки
gpupdate /force /boot
rem выйти из системы, если параметр требует входа
gpupdate /force /logoff

Удалённо - в GPMC: контекстное меню OU → «Обновление групповой политики». Консоль запустит gpupdate /force на всех компьютерах этого OU в течение нескольких минут. В PowerShell:

Invoke-GPUpdate -Computer PC042 -Force

Для удалённого обновления на компьютерах должны быть разрешены входящие подключения WMI и удалённое управление планировщиком заданий в брандмауэре.

Помните про репликацию: изменения в GPO сначала должны дойти до контроллера домена, с которым работает клиент. В крупных доменах с несколькими сайтами это может занять время.

Моделирование и результаты#

В GPMC есть два мастера:

• Моделирование групповой политики - показывает, какие параметры получит пользователь или компьютер, если его перенести в другое OU, добавить в группу или перевести в другой сайт. Полезно перед реорганизацией структуры.
• Результаты групповой политики - собирает фактическое состояние с работающего компьютера: какие GPO применились, какие отфильтрованы и почему, когда было последнее обновление, какие ошибки возникли.

На самом компьютере то же даёт gpresult:

rem краткая сводка
gpresult /r
rem только для компьютера
gpresult /r /scope computer
rem подробный отчёт в HTML
gpresult /h C:\Temp\gp.html

Для конфигурации компьютера gpresult нужно запускать от имени администратора. В отчёте ищите разделы «Примененные объекты групповой политики» и «Следующие политики GPO не были применены, так как они отфильтрованы» - рядом будет причина: «Отказано (безопасность)», «Фильтр WMI», «Пустой», «Отключён».

Резервное копирование, восстановление и перенос#

Резервную копию всех GPO домена делают в GPMC («Объекты групповой политики» → «Архивировать все») или в PowerShell:

Backup-GPO -All -Path "D:\GPOBackup"

Восстановление политики в прежнем виде:

Restore-GPO -Name "Рабочие станции - экран блокировки" -Path "D:\GPOBackup"

Резервная копия хранит параметры, фильтры безопасности и связь с фильтром WMI, но не ссылки на OU. После восстановления удалённого GPO ссылки придётся создать заново, поэтому полезно сохранять и отчёт со структурой (Get-GPOReport -All -ReportType Html).

Чтобы перенести параметры в другой GPO или другой домен, используйте импорт: создайте пустой GPO и выберите «Импорт параметров» из резервной копии. Если в политике есть ссылки на группы или пути конкретного домена, мастер предложит таблицу миграции, где старым значениям сопоставляются новые.

Внутри одного домена GPO можно просто скопировать и вставить в узле «Объекты групповой политики»: получится независимая копия, которую удобно менять для тестов.

Восстановление политик по умолчанию#

Если Default Domain Policy или Default Domain Controllers Policy испорчены и резервной копии нет, их можно пересоздать командой на контроллере домена:

dcgpofix /target:both

Ключ /target:domain или /target:dc восстанавливает только одну из политик. Команда возвращает параметры к состоянию сразу после создания домена, и все ваши изменения в этих политиках пропадут. Это крайняя мера: восстановление из резервной копии всегда лучше.

Шаблоны безопасности#

Параметры безопасности (политика паролей, права пользователей, параметры безопасности, аудит, журналы событий, службы, разрешения на реестр и файлы) можно описать в шаблоне безопасности - текстовом файле .inf. Такой шаблон удобно хранить, сравнивать с реальным состоянием и применять на множестве компьютеров.

Оснастки для работы с шаблонами#

Откройте mmc и добавьте две оснастки:

• Шаблоны безопасности - создание и редактирование файлов .inf. По умолчанию шаблоны хранятся в папке Документы\Security\Templates, но можно указать любую.
• Анализ и настройка безопасности - сравнение компьютера с шаблоном и применение шаблона.

В шаблоне те же разделы, что и в «Параметрах безопасности» групповой политики. Двойной щелчок по параметру открывает его, флажок «Определить следующий параметр политики в шаблоне» включает его в шаблон. Неопределённые параметры шаблон не трогает.

Анализ и применение#

В оснастке «Анализ и настройка безопасности»:

1. «Открыть базу данных» - создайте новую базу .sdb и выберите шаблон.
2. «Анализ компьютера» - оснастка сравнит текущие значения с шаблоном. Совпадающие параметры отмечаются зелёной галкой, расходящиеся - красным крестом.
3. «Настроить компьютер» - применить шаблон.

То же из командной строки:

secedit /analyze /db C:\Sec\base.sdb /cfg C:\Sec\servers.inf /log C:\Sec\analyze.log
secedit /configure /db C:\Sec\base.sdb /cfg C:\Sec\servers.inf
secedit /export /cfg C:\Sec\current.inf

Последняя команда сохраняет текущие локальные параметры безопасности в шаблон - полезно, чтобы снять эталон с настроенного сервера.

Применять шаблон на отдельных компьютерах через secedit имеет смысл вне домена. В домене правильнее развернуть его групповой политикой: в редакторе GPO откройте «Конфигурация компьютера» → «Политики» → «Конфигурация Windows» → «Параметры безопасности», в контекстном меню выберите «Импорт политики» и укажите файл .inf. Параметры шаблона станут частью GPO и применятся ко всем компьютерам OU. Отменить такой импорт нельзя, поэтому импортируйте в новый или скопированный GPO.

Microsoft публикует готовые рекомендуемые базовые уровни безопасности (Security Baselines) для разных версий Windows в составе Security Compliance Toolkit - это хорошая отправная точка вместо того, чтобы собирать шаблон с нуля.

Разрешения на реестр и файловую систему#

В разделах «Реестр» и «Файловая система» шаблона или GPO можно задать разрешения на конкретные ключи реестра и пути. Добавьте путь, укажите разрешения и выберите, как распространять их на вложенные объекты: «Распространить наследуемые разрешения на все подпапки и файлы» (дополнить) или «Заменить существующие разрешения» (перезаписать). Второй вариант может заблокировать доступ системным компонентам, проверяйте на тестовых машинах.

Группы с ограниченным доступом#

Раздел «Группы с ограниченным доступом» (Restricted Groups) управляет составом локальных групп, например «Администраторы», на всех компьютерах OU. Есть две настройки:

• Члены этой группы - точный состав. Всех, кого нет в списке, политика удалит. Это строгий режим: добавленные вручную локальные администраторы исчезнут при следующем применении.
• Эта группа входит в - добавить группу в другую группу, не трогая остальных участников.

Если нужно добавить доменную группу в локальные администраторы и не стирать остальных, гибче использовать раздел «Настройка» → «Параметры панели управления» → «Локальные пользователи и группы» с действием «Обновить». Там же можно выборочно удалять участников.

Автоматическая регистрация сертификатов#

Если в домене развёрнут центр сертификации предприятия (службы сертификатов Active Directory), компьютеры и пользователи могут получать и продлевать сертификаты сами. Для этого:

1. В шаблоне сертификата на центре сертификации дайте нужным группам разрешения «Чтение», «Заявка» и «Автоматическая подача заявок» и опубликуйте шаблон.
2. В GPO откройте «Конфигурация компьютера» (или пользователя) → «Политики» → «Конфигурация Windows» → «Параметры безопасности» → «Политики открытого ключа» → «Клиент служб сертификации - автоматическая регистрация».
3. Установите «Включено» и отметьте «Обновлять сертификаты с истекшим сроком действия или в состоянии ожидания и удалять отозванные сертификаты» и «Обновлять сертификаты, использующие шаблоны сертификатов».

После обновления политики сертификаты появятся в хранилище компьютера или пользователя. Проверить можно оснасткой certlm.msc (компьютер) или certmgr.msc (пользователь).

Поиск неполадок#

Когда параметр не применяется, проверяйте по порядку:

1. Попадает ли объект под политику. Правильное ли OU, связан ли GPO, не стоит ли выше блокировка наследования, не отфильтрован ли объект по безопасности или WMI. Быстрее всего это показывает gpresult /h.
2. Та ли половина политики. Частая ошибка - параметр из «Конфигурации пользователя» в GPO, связанном с OU, где лежат только компьютеры. Без режима замыкания он не применится.
3. Не перекрыт ли параметр другой политикой с более высоким приоритетом. В отчёте gpresult /h для каждого параметра указан «Выигравший GPO».
4. Дошли ли изменения. Сравните номер версии GPO на разных контроллерах домена (в GPMC на вкладке «Состояние» есть проверка инфраструктуры). Расхождения указывают на проблемы репликации Active Directory или SYSVOL.
5. Связь с контроллером домена. Неверные DNS-серверы на клиенте, расхождение времени больше 5 минут, недоступность SYSVOL. Проверьте nltest /dsgetdc:домен и открывается ли \\домен\SYSVOL.
6. Журнал событий. «Журналы приложений и служб» → «Microsoft» → «Windows» → «GroupPolicy» → «Operational». Там по шагам видно, какие GPO найдены, сколько заняла обработка и где произошла ошибка. В системном журнале ищите события с источником GroupPolicy и Userenv.

Если параметр раньше применялся, а потом GPO удалили, но настройка осталась - скорее всего, это была «Настройка» (Preferences) или параметр реестра, записанный не в раздел Policies. Такие значения нужно убирать отдельно, например той же настройкой с действием «Удалить».