Group Policy چیست؟

چرا Group Policy یکی از مهم‌ترین ابزارهای مدیریت شبکه‌های ویندوزی است؟

فرض کنید مدیر شبکه‌ی یک شرکت با ۵۰۰ کامپیوتر هستید. حالا باید روی همه‌ی این کامپیوترها یک تنظیم امنیتی خاص، مثلاً قفل شدن صفحه بعد از ۵ دقیقه بی‌کاری، یا ممنوعیت نصب نرم‌افزار توسط کاربران عادی را اعمال کنید. آیا باید تک‌تک به هر کامپیوتر مراجعه کنید؟ قطعاً نه.

اینجاست که Group Policy یا خط‌مشی گروهی وارد می‌شود؛ یکی از قدرتمندترین قابلیت‌های محیط Active Directory (AD) در ویندوز که به مدیران شبکه اجازه می‌دهد از یک نقطه‌ی مرکزی، تنظیمات، محدودیت‌ها و رفتار سیستم‌ها و کاربران را در کل شبکه کنترل کنند.

در این مقاله قدم‌به‌قدم و به زبان ساده، مفهوم Group Policy را باز می‌کنیم، اجزای آن را می‌شناسیم و نگاهی به محیط واقعی مدیریت آن در Active Directory می‌اندازیم.

بخش اول: تعریف ساده‌ی Group Policy

Group Policy مجموعه‌ای از قوانین و تنظیمات است که توسط مدیر شبکه (Domain Admin) تعریف می‌شود و به‌صورت خودکار روی کامپیوترها و حساب‌های کاربری در یک دومین (Domain) اعمال می‌گردد.

به زبان ساده‌تر: Group Policy یک «کنترل‌پنل مرکزی» است که مدیر شبکه با آن می‌گوید:

کدام کاربران اجازه‌ی نصب نرم‌افزار دارند
چه پیام هشداری هنگام ورود به سیستم نمایش داده شود
پسورد باید چند کاراکتر و شامل چه حروفی باشد
کدام درایوهای شبکه به‌صورت خودکار متصل (Map) شوند
کدام نرم‌افزارها به‌صورت خودکار روی کامپیوترها نصب یا حذف شوند
دسترسی به Control Panel، Registry یا Command Prompt محدود شود یا نه

همه‌ی این تنظیمات به‌جای اعمال دستی روی هر دستگاه، یک‌بار در سطح دومین تعریف می‌شوند و AD به‌صورت خودکار آن‌ها را روی تمام سیستم‌های مربوطه پخش می‌کند.

بخش دوم: رابطه‌ی Group Policy با Active Directory

Group Policy به‌تنهایی معنا ندارد؛ این فناوری مستقیماً وابسته به ساختار Active Directory است. در AD، اشیا (Users, Computers, Groups) درون واحدهای سازمانی به نام Organizational Unit (OU) دسته‌بندی می‌شوند.

Domain (company.local)
 ├── OU: Sales
 │     ├── User: Ali
 │     └── Computer: PC-Sales01
 ├── OU: IT
 │     ├── User: Reza
 │     └── Computer: PC-IT01
 └── OU: HR
       ├── User: Sara
       └── Computer: PC-HR01

مدیر شبکه می‌تواند یک Group Policy را روی کل Domain، یک Site خاص، یا فقط یک OU مشخص (مثلاً فقط بخش فروش) اعمال کند. این یعنی می‌توان سیاست‌های متفاوتی برای بخش‌های مختلف سازمان تعریف کرد؛ مثلاً بخش IT دسترسی کامل داشته باشد ولی بخش فروش محدودتر باشد.

تصویر زیر نمونه‌ای از ساختار واقعی OUها در ابزار Active Directory Users and Computers را نشان می‌دهد، جایی که کاربران و کامپیوترها درون واحدهای سازمانی مختلف چیده شده‌اند.

بخش سوم: ابزار اصلی مدیریت Group Policy — GPMC

مدیریت Group Policy از طریق کنسولی به نام Group Policy Management Console (GPMC) انجام می‌شود. این ابزار روی سرورهای Domain Controller نصب است و رابط گرافیکی اصلی برای:

ساخت خط‌مشی جدید (Group Policy Object یا GPO)
لینک کردن GPO به یک Domain، Site یا OU
تعیین اولویت و ترتیب اجرای خط‌مشی‌ها
فیلتر کردن اعمال خط‌مشی بر اساس گروه‌های امنیتی (Security Filtering)
بررسی وضعیت اجرای خط‌مشی روی کاربران و سیستم‌ها (Group Policy Results)

در تصویر نمایش‌داده‌شده از محیط واقعی GPMC، در سمت چپ درخت ساختار Domain و OUها دیده می‌شود و در سمت راست، تنظیمات و وضعیت هر GPO قابل بررسی است. این دقیقاً محیطی است که مدیران شبکه در سازمان‌های واقعی هر روز با آن کار می‌کنند.

بخش چهارم: GPO چیست و چگونه ساخته می‌شود؟

هر خط‌مشی که در GPMC می‌سازید، یک Group Policy Object (GPO) نام دارد. هر GPO از دو بخش اصلی تشکیل شده:

۱. Computer Configuration
تنظیماتی که روی خود سیستم (نه کاربر) اعمال می‌شود، حتی اگر هیچ کاربری وارد سیستم نشده باشد. مثال‌ها:

تنظیمات فایروال ویندوز
سیاست‌های امنیتی (Security Policies)
نصب خودکار نرم‌افزار روی سیستم
تنظیمات شبکه و آپدیت ویندوز

۲. User Configuration
تنظیماتی که فقط وقتی یک کاربر خاص وارد سیستم شود، فعال می‌گردد. مثال‌ها:

تنظیمات دسکتاپ و Wallpaper
محدودسازی دسترسی به Control Panel
Mapping درایوهای شبکه
اسکریپت‌های ورود (Logon Scripts)

برای باز کردن و ویرایش تنظیمات هر GPO، از ابزاری به نام Group Policy Management Editor استفاده می‌شود که ساختار درختی آن شامل هزاران گزینه‌ی قابل‌تنظیم در دسته‌بندی‌های Software Settings، Windows Settings و Administrative Templates است؛ دقیقاً همان پنجره‌ای که در تصویر نمایش‌داده‌شده مشاهده می‌شود.

بخش پنجم: ترتیب اعمال Group Policy — قانون LSDOU

نکته‌ی مهمی که هر مدیر شبکه باید بداند، ترتیب اجرای خط‌مشی‌هاست. وقتی چند GPO روی یک کاربر یا کامپیوتر اعمال می‌شود، ترتیب پردازش به این شکل است (که به آن LSDOU می‌گویند):

L — Local: خط‌مشی محلی خود کامپیوتر
S — Site: خط‌مشی‌های تعریف‌شده روی Site شبکه
D — Domain: خط‌مشی‌های سطح Domain
OU — Organizational Unit: خط‌مشی‌های سطح OU (و اگر OU تودرتو باشد، از بیرونی‌ترین به درونی‌ترین)

نکته‌ی کلیدی: هر لایه‌ی بعدی می‌تواند تنظیمات لایه‌ی قبلی را بازنویسی (Override) کند. یعنی تنظیم OU معمولاً روی تنظیم Domain اولویت دارد، مگر اینکه گزینه‌ی Enforced برای GPO سطح بالاتر فعال شده باشد که در آن صورت آن تنظیم قابل بازنویسی نیست.

همچنین مفهومی به نام Block Inheritance وجود دارد که به یک OU اجازه می‌دهد ارث‌بری خط‌مشی‌های سطوح بالاتر را (به‌جز موارد Enforced) قطع کند.

بخش ششم: کاربردهای واقعی Group Policy در سازمان‌ها

برای این‌که مفهوم کاملاً ملموس شود، چند نمونه‌ی واقعی از استفاده‌ی سازمانی:

سیاست پسورد: تعیین حداقل طول، پیچیدگی و مدت انقضای رمز عبور برای همه‌ی کاربران دومین
قفل خودکار صفحه: بعد از مثلاً ۱۰ دقیقه بی‌کاری، صفحه به‌صورت خودکار قفل شود
مدیریت نرم‌افزار: نصب خودکار آنتی‌ویروس یا حذف یک نرم‌افزار غیرمجاز از همه‌ی سیستم‌ها
محدودسازی دسترسی USB: غیرفعال کردن پورت‌های USB برای جلوگیری از نشت اطلاعات
تنظیمات مرورگر: اجرای صفحه‌ی خاص هنگام باز شدن مرورگر یا مسدود کردن دسترسی به سایت‌های خاص
Wallpaper و برندینگ سازمانی: اعمال یک تصویر پس‌زمینه‌ی یکسان روی همه‌ی سیستم‌های شرکت
Logon Scripts: اجرای خودکار یک اسکریپت هنگام ورود کاربر، مثلاً برای Map کردن درایوهای شبکه

بخش هفتم: چند نکته‌ی کاربردی برای مدیران شبکه (Best Practices)

تعداد GPOهای فعال روی هر OU را کم نگه دارید؛ تعداد زیاد GPO باعث افزایش زمان لاگین کاربران می‌شود.
برای هر GPO یک نام واضح و توصیفی انتخاب کنید (مثلاً Sales-Password-Policy به‌جای New GPO).
قبل از اعمال گسترده، خط‌مشی را ابتدا روی یک OU آزمایشی تست کنید.
از دستور gpupdate /force برای اعمال فوری تغییرات به‌جای منتظر ماندن برای بازه‌ی زمانی پیش‌فرض (۹۰ دقیقه) استفاده کنید.
برای عیب‌یابی این‌که چرا یک خط‌مشی روی یک کاربر خاص اعمال نشده، از ابزار Group Policy Results یا دستور gpresult /r استفاده کنید.
از Security Filtering برای محدود کردن اعمال یک GPO فقط به گروه‌های امنیتی خاص (نه همه‌ی اعضای OU) استفاده کنید.

جمع‌بندی

Group Policy یکی از ستون‌های اصلی مدیریت متمرکز در محیط‌های ویندوزی مبتنی بر Active Directory است. این ابزار به مدیران شبکه اجازه می‌دهد بدون نیاز به دخالت دستی روی تک‌تک سیستم‌ها، سیاست‌های امنیتی، تنظیمات کاربری و پیکربندی نرم‌افزاری را در سطح کل سازمان یا بخش‌های مشخصی از آن پیاده‌سازی کنند.
درک صحیح ساختار OU، نحوه‌ی کار GPMC، ترتیب پردازش خط‌مشی‌ها (LSDOU) و تفاوت بین Computer و User Configuration، پایه‌ای‌ترین دانشی است که هر کسی که قصد ورود به حوزه‌ی مدیریت شبکه یا سیستم‌های ویندوزی را دارد باید به آن مسلط باشد

Malih Akhlaqi

شهریور 24, 1405