作者jayzhuang (Jay)
看板MIS
標題[請益] 群組原則
時間Thu Sep 20 13:45:23 2018
找尋群組原則如何顯示
各位大神您們好! 小弟我最近公司指派新的任務給我：
希望我能研究出如何找出網域內使用的群組原則(GPO)，因為公司系統要能抓到AD網域內有用到的GPO細項
(根據過去資料顯示，大概會是用一支程式去撈取裏頭的GPO細項，然後呈現在網頁上)
目前研究到的階段，也跟主管討論過，不使用WMI。
兩條路徑走：
1.使用登錄編輯程式去找尋看看
有參考了Group Policy Administrative Templates Catalog，但細項會以英文顯示
但是會有兩個問題：
如果直接去撈取AD Server內的話，可能會有好幾個一樣的....
(像是非同步執行啟動指令碼(RunStartupScriptSync))
今天主管有跟我討論：公司系統要做的是去撈取Local GPO，不是Domain GPO。
(等於說我之前去測試的都是以Domain GPO去測試。)
但透過登錄編輯程式碼去找尋還是一個方向，只是我還沒找到Local GPO的細項....
(EX:像是最小密碼長度OwnerPwdMin)，還是說他屬於Local GPO的名稱都改變了?
2.建議我去找尋這個路徑之下： c:\windows\system32\grouppolicy
但是我看了AD Server與加入AD的電腦，都只有顯示這樣，其他資料夾內都是空的?
有沒有大神知道目前這樣是什麼原因?
https://imgur.com/evEEC0l
win7：
https://imgur.com/btcVnZC
3.這是我自己額外問題，因為我被Local GPO(本機群組原則)與Domain GPO(網域群組原則)
給搞混了....
就是假如你一台Win7電腦加入AD Server之後，那他的GPO套用的到底還是自己的Local GPO?
還是AD Server的GPO，且是"AD的 Local GPO"還是"AD的Domain GPO" ???
我知道順序優先都是：
(本機群組原則，再來是站台、網域、組織單位的順序套用，且後套用的原則會先覆蓋原先套用原則)
從Win7透過gpresult -v 內的查詢：(沒有套用)
https://imgur.com/XUs5mDJ
但查詢：rsop.msc是有的：
https://imgur.com/7q0UQTu
WinServer：
https://imgur.com/RO1fQjc
以下是我的AD Server內建好的GPO原則：
我的Win7 與AD Server都是虛擬機
https://imgur.com/Ozxrg8y
https://imgur.com/1dQsna4
透過rsop.msc查詢win7之下，目前只有確定adlog那個GPO有顯示：
https://imgur.com/SqOZMvH
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.39.63.89
※ 文章網址: https://webptt.com/m.aspx?n=bbs/MIS/M.1537422327.A.627.html
※ 編輯: jayzhuang (114.39.63.89), 09/20/2018 13:46:37
1F：→ eric00169: cmd底下 輸入 gpresult -r 可以顯示目前的GPO 09/21 15:56
2F：→ eric00169: 包含user+computer 09/21 15:56
3F：→ eric00169: 加入網域的PC domain GPO>local GPO 09/21 15:57
4F：推 tgtgl: 如樓上說的 有分帳號登入跟電腦的 09/24 02:48
5F：→ tgtgl: 而且又可以分群組來設定不同規則 09/24 02:49
6F：推 tgtgl: 我的印象是同一台電腦 不同帳號可以設定不同的gpo 但同一台 09/24 02:51
7F：→ tgtgl: 電腦的gpo不管誰登入 都一樣 09/24 02:51
8F：推 tgtgl: ex.同一台用帳號可以設定a登入會出現a印表機 b登入出現b 若 09/24 02:53
9F：→ tgtgl: 是設定在電腦gpo 不管誰登入都會看到 09/24 02:53
10F：推 nfsong: 請問gpo 有哪些是常用的? 這個可以看檔案讀取嗎? 09/25 20:58
11F：→ eric00169: 可以 google一下檔案稽核 但你需要篩選log 09/25 22:33
12F：→ eric00169: 至於用什麼GPO看你公司有什麼會需要用到 09/25 22:34
13F：→ eric00169: 例如軟體更新 WSUS設定 proxy 印表機 其實可以套的很多 09/25 22:34
14F：→ eric00169: 如果妳需要開到檔案稽核的功能 我建議你另開server收lo 09/25 22:35
15F：→ eric00169: log會比較好 不然人一多 log就很多你會很厭世 09/25 22:35