Три задачи групповых политик, которые часто решают вместе при настройке рабочих мест: выполнить сценарий при загрузке или входе, перенести папки пользователей на файловый сервер и установить программы. Общие принципы работы политик - порядок применения, фильтрация, обновление - разобраны в статье про групповые политики, здесь только эти три механизма.

Инструкция подходит для доменов Active Directory на Windows Server 2016, 2019, 2022 и 2025 и клиентов Windows 10 и 11.

Все три обрабатываются при загрузке компьютера или входе пользователя, а не при фоновом обновлении каждые 90 минут. Поэтому изменения часто вступают в силу только после перезагрузки или повторного входа, а иногда со второго раза. Чтобы этого избежать, включите параметр «Конфигурация компьютера» → «Административные шаблоны» → «Система» → «Вход в систему» → «Всегда ждать сеть при запуске и входе в систему».

Сценарии

Какие бывают

  • Автозагрузка и завершение работы (Startup/Shutdown) - «Конфигурация компьютера» → «Политики» → «Конфигурация Windows» → «Сценарии». Выполняются при загрузке и выключении компьютера от имени системы (учётная запись «Локальная система»), до входа пользователя. Подходят для настройки компьютера, установки компонентов, копирования файлов в системные папки.
  • Вход и выход (Logon/Logoff) - «Конфигурация пользователя» → «Политики» → «Конфигурация Windows» → «Сценарии». Выполняются от имени пользователя с его правами. Подходят для подключения сетевых дисков и принтеров, настройки профиля.

Как назначить

  1. Откройте нужный параметр, например «Вход в систему», двойным щелчком.
  2. Нажмите «Показать файлы» - откроется папка сценариев этого GPO в SYSVOL. Скопируйте туда свой файл. Так сценарий будет реплицироваться вместе с политикой на все контроллеры домена.
  3. Нажмите «Добавить» и выберите файл. Для сценариев PowerShell используйте вкладку «Сценарии PowerShell», для .bat, .cmd и .vbs - вкладку «Сценарии».
  4. При необходимости укажите параметры командной строки.

VBScript Microsoft объявила устаревшим: в Windows 11 24H2 и Windows Server 2025 он ещё установлен как необязательный компонент, но позже будет отключён по умолчанию и удалён. Новые сценарии пишите на PowerShell или в виде .cmd, а старые .vbs постепенно переводите.

Сценарий можно положить и в другую общую папку, но тогда у компьютеров (для сценариев запуска) или пользователей (для сценариев входа) должно быть право на чтение.

Особенности выполнения

  • Задержка сценариев входа. В современных Windows сценарии входа по умолчанию запускаются не сразу, а примерно через пять минут после входа, чтобы не замедлять появление рабочего стола. Если сценарий должен сработать сразу, задайте параметр «Конфигурация компьютера» → «Административные шаблоны» → «Система» → «Групповая политика» → «Настроить задержку сценария входа» со значением 0.
  • Синхронное и асинхронное выполнение. Сценарии входа по умолчанию выполняются асинхронно (пользователь получает рабочий стол, пока они работают), сценарии запуска - синхронно. Это меняется параметрами «Выполнять сценарии входа синхронно» и «Выполнять сценарии запуска асинхронно» в разделе «Система» → «Сценарии».
  • Время выполнения ограничено. По умолчанию на все сценарии отводится до 10 минут, после чего Windows их прерывает. Долгие задачи выносите в планировщик заданий.
  • Сценарий из учётной записи. Сценарий входа можно указать и в свойствах пользователя в Active Directory (вкладка «Профиль» → «Сценарий входа»). Это старый механизм, сценарии через GPO гибче.

Многие задачи, для которых раньше писали сценарии входа, удобнее решать разделом «Настройка» (Preferences) групповых политик: сопоставление дисков, принтеры, ярлыки, параметры реестра, копирование файлов, запланированные задания. Там есть нацеливание на группы, подразделения и версии ОС без единой строки кода.

Перенаправление папок

Компьютер, документы и стрелки к серверу с отметкой

Перенаправление папок хранит содержимое папок пользователя - «Документы», «Рабочий стол», «Изображения», «AppData\Roaming» и других - на файловом сервере вместо локального диска. Пользователь видит их на обычном месте, а данные лежат централизованно: их проще резервировать, и они доступны с любого компьютера.

Подготовка общей папки

Создайте на сервере папку, например D:\Redirect, и откройте общий доступ как Redirect$ (знак $ скрывает её из списка общих папок). Разрешения:

  • Общий ресурс: «Прошедшие проверку» - полный доступ (реальные ограничения задаются NTFS).
  • NTFS:
    • «Создатель-владелец» - полный доступ, только для подпапок и файлов;
    • группа пользователей, чьи папки перенаправляются, - «Список содержимого папки», «Создание папок/дозапись данных», «Чтение атрибутов», только для этой папки;
    • «Система» и «Администраторы» - полный доступ.

Отключите наследование разрешений для этой папки. При такой схеме каждый пользователь при первом входе создаст свою папку и будет единственным, у кого к ней доступ.

Настройка политики

«Конфигурация пользователя» → «Политики» → «Конфигурация Windows» → «Перенаправление папок». Откройте свойства нужной папки, например «Документы»:

  • Основной - все пользователи, на которых действует GPO, перенаправляются в одно место. Укажите «Создать папку для каждого пользователя в корневом пути» и корневой путь \\fs01\Redirect$. Получится \\fs01\Redirect$\<имя пользователя>\Documents.
  • Дополнительный - место выбирается по членству в группе: например, бухгалтерия на один сервер, отдел продаж - на другой. Для каждой группы указывается свой путь.

На вкладке «Параметры»:

  • Предоставить пользователю исключительные права - доступ к папке будет только у пользователя, даже администраторы её не откроют без смены владельца. Если администраторам нужен доступ, снимите флажок.
  • Переместить содержимое в новое расположение - при первом применении файлы из локальной папки будут скопированы на сервер. Для уже работающих пользователей это обязательно, иначе их документы «пропадут» (останутся на локальном диске).
  • При удалении политики - что делать, если GPO перестанет действовать: оставить папку на сервере или перенаправить обратно в локальный профиль.

Перенаправленные папки на ноутбуках по умолчанию доступны автономно через автономные файлы, поэтому работают и без связи с сервером. Если автономные файлы не нужны, их можно отключить политиками в разделе «Сеть» → «Автономные файлы».

Отмена перенаправления

Просто удалить политику недостаточно: при параметре по умолчанию данные останутся на сервере, а пользователь увидит пустую локальную папку. Правильный порядок:

  1. В свойствах перенаправления на вкладке «Параметры» выберите «При удалении политики» → «Перенаправить папку обратно в профиль локального пользователя».
  2. Дождитесь, пока все пользователи хотя бы раз войдут в систему с этой настройкой.
  3. Удалите ссылку на GPO или отключите перенаправление. При следующем входе содержимое скопируется обратно в локальный профиль.

Установка программ

Пакет со стрелкой вниз и линии к ряду компьютеров

Раздел «Установка программ» умеет разворачивать программы в формате MSI на компьютеры или пользователей.

Подготовка

  1. Создайте общую папку для пакетов, например \\fs01\Software$. Права на чтение нужны группе «Компьютеры домена» (установка на компьютер идёт от имени системы) и пользователям, если программы назначаются пользователям.
  2. Скопируйте туда MSI-файл. Указывайте путь именно в UNC-формате (\\сервер\папка\файл.msi), а не через букву диска, иначе клиенты не найдут пакет.

Назначение и публикация

«Конфигурация компьютера» (или пользователя) → «Политики» → «Конфигурация программ» → «Установка программ» → «Создать» → «Пакет».

  • Назначенный (Assigned) - программа устанавливается обязательно. Для компьютера - при следующей загрузке, для пользователя - при входе или первом запуске.
  • Опубликованный (Published) - только для пользователей: программа появляется в «Панели управления» → «Программы» → «Установка программы из сети», и пользователь ставит её сам.
  • Особый (Advanced) - открывает свойства пакета, где можно добавить файл преобразования .mst с настройками установки, задать параметры развёртывания и обновлений.

Для большинства случаев используйте назначение на компьютер: программа ставится один раз для всех пользователей, а установка идёт с правами системы.

Параметры развёртывания

На вкладке «Развёртывание» свойств пакета:

  • Удалить приложение, если оно выходит за пределы управления - если компьютер или пользователь выйдет из-под действия GPO (например, переместится в другое подразделение), программа будет удалена;
  • Не отображать этот пакет в «Установке и удалении программ»;
  • Устанавливать это приложение при входе в систему - для назначенных пользователю программ: установка полностью при входе, а не при первом запуске.

Обновление и переход на новую версию

  1. Добавьте MSI новой версии отдельным пакетом в ту же политику.
  2. В его свойствах на вкладке «Обновления» нажмите «Добавить» и выберите старый пакет. Выберите «Удалить существующий пакет, затем установить обновлённый» или «Пакет может обновлять существующий» - зависит от того, поддерживает ли MSI обновление поверх.
  3. Флажок «Обязательное обновление для существующих пакетов» заставит обновиться всех, у кого уже установлена старая версия.

Исправления внутри той же версии (новый MSI с тем же кодом продукта) можно применить через контекстное меню пакета → «Все задачи» → «Повторное развёртывание приложения».

Удаление

Контекстное меню пакета → «Все задачи» → «Удалить»:

  • Немедленное удаление программного обеспечения у пользователей и с компьютеров - программа будет удалена при следующей загрузке или входе;
  • Разрешить пользователям продолжать использование, но запретить новые установки - кто успел установить, сохранит её.

Ограничения

Установка программ через GPO работает только с MSI, не показывает прогресс, не отчитывается о результате в консоли и плохо подходит для крупных сетей. Результат ищите в журнале «Приложение» на клиенте (источник MsiInstaller и Application Management Group Policy). Для больших парков и программ в формате EXE обычно используют специализированные системы управления, например Microsoft Configuration Manager или Intune, а для разовых задач - сценарий запуска или назначенное задание, запускающее установщик с ключами тихой установки.