그렇습니다 당연히 당신은 안전 그룹에 그룹 정책을 할당할 수 있다!
나는 blog 이것 즉시 한다 - 일부분일 것이다 더 큰 기사를 "어떤 점에서 가공해" GP의 그러나… 그러나 이것은 빨리 거기 나가는 필요 IMHO 중요한 재료이다 
나는 너무 많은 시간 뒤에 오는 문장을 들었다 (이럭저럭에서): "당신은 위치, 영역 수준 또는 OU 서만 그룹 정책 목표를"에 할당할 수 있다…
- 그러나 저것 단지 이다 분할 진실한! 일반적으로 뉴스 그룹, 공개토론 등등에서. 이것은 독자를 떠난다 (예를들면. 또는 당신이 확신한 것의 일원을 "할 수 있지 않는 느낌에 무엇이건) GP 질문을 질문한 누구는 명중했다" 안전 그룹 단지 (당신에 남기는 "위치 또는 Domain/OU 거르기" 그리고/또한 "WMI 거르기" 유일하게 가능한으로 유효한 선택). 그러나 저것은 간단하게 엔진을 가공하는 굉장한 그룹 정책에 공정하지 않다!
(WS2003가 도착할 후에) 비록 "거르는"가 WMI 요즈음 매우 유명하더라도, 많은 사람들은 - 그러나 극단적으로 효과적이고 그리고 가동 가능하다 - 불린 것 약간을 잊어 경향이 있다 "안전 거르기" (비록 WMI와 비교된 그것이이더라도 약간 좀더 "기본적")…
당신이… 관심이 끌리는 경우에 분 또는 2를 위해 그것에 대해서 이야기하자
당신은 어느 것이든에 그룹 정책 관리 콘솔 (GPMC) 내의 범위 탭을 거르기의 이 종류를 놓을 수 있다:
- 또는 전진되는 대표단 탭 ():
당신이 볼 수 있던 대로, 곁에 과태 모든 그룹 정책 목표 (GPO)는 포함한다 "인증된 사용자" 둘 다 허용하십시오: "읽는" 그리고 허용하십시오: "적용하십시오 그룹 정책"를 놓이는 허가. 이들 모두 허가는 필요하다를 위해 사용자와 컴퓨터 (또는 과정) 주어진 GPO 맡기 위하여:
아주 중요한 "인증된 사용자" 그룹에 관하여 것은 포함한다 이다 광고 영역 내의 모든 사용자 및 컴퓨터 계정 또는 목표 (너무, 바르게 영역 관제사). 이렇게, 곁에 GPO를 적용한다 두 컴퓨터 및 사용자 전부 (우리는 GPO 부속 등등을에게 무능하게 하기에 대해서 이야기하기 위하여 려고 하고 있지 않다 궐석하십시오. 지금).
저것은 "기술적인" 설명 왜 위에 둔 정책이다
a) 위치는 위치 내의 모든 사용자 그리고 컴퓨터에 적용한다 (사용자 위치는 컴퓨터 위치, 위치를 따른다 IP 주소를 따른다)
b) 영역 수준은 영역 내의 모든 사용자 그리고 컴퓨터에 적용한다
c) 어떤 주어진 OU든지 저것 내의 모든 사용자 그리고 컴퓨터에 특정한 OU 적용한다 (및 이하 OUs 그 문제에 관해서는)
=> "인증된 사용자" 안전 그룹이 과태 곁에 거기 있기 때문에. 이들은 불린 무언가에 의해 새로운 GPOs에 허가를 취급된다 궐석한다 "안전 기술자", 그러나 다른 약간 blog에서 저것에 더 많은 것 또는 기사.
So, we have Security permission on all of our GPOs (unfortunately not the GPO links, but that’s another talk) - leaving us with GREAT power to control to whom he particular GPO should be assigned (or ‘applied’). All we need to do is to change the default permissions and <Zaboooka!> we are in complete control.
First step is generally to remove the "Authenticated Users" group from the GPO in question. Click Remove (below Security Filtering section) on the Scope tab and click OK:
Click Add… and select the domain security group you want to "hit" - click OK when done:
And <poof>, this GPO will only apply to members of "The Sales Group" - or whatever group (or user, or computer object…) you selected:
Now all you need to do is to link the GPO to the Domain Level (or Site or OU if that’s better in your case) - but the Domain Level should be fine for most environments.
Now, you could turn this around and Exclude certain groups, users or computers - by setting Deny:"Apply Group Policy" instead. In some cases that might be the best choice - but as always with "deny" you have to watch out (manly because deny overwrites allow)!
Also note, that Security groups can include both user and computer accounts - we are maybe used to thinking that groups are for users only (in my experience most admins know the "Domain Users" group - but the "Domain Computers" group is not that well known)… But, with this in mind, you could make a group of computers instead of applying a WMI filter for instance (which is generally slower).
You could use other methods for setting permissions than the GPMC (like scripts) - but the GPMC is a wonderful tool for doing this easily - no sweat!
One way of automatically creating Security Groups from members of an OU is described in my article "Configuring Granular Password Settings in Windows Server 2008, Part 2" - these groups are referred to as Shadow Groups (cool, right). In some "filtering situations" that is nice to know…
Wow - that was nice getting it off my shoulders, and now I can refer to this blog entry whenever I get the question again - and so can you of course
.
Popularity: unranked
Popularity: unranked
Written by Jakob H. Heidelberg. Read more great feeds at is source WEBSITE
no comments.
Read more articles on otherSoftware and Group Policy and GPO.
- [+] Digg: Feature this article
- [+] Del.icio.us: Bookmark this article
- [+] Furl: Bookmark this article
