Объект групповой политики

Объект групповой политики (англ. Group Policy Object, GPO) — это набор параметров и настроек, определяющих конфигурацию операционной системы, рабочей среды и приложений для пользователей и компьютеров в среде Microsoft Active Directory. GPO является центральным элементом технологии групповой политики (Group Policy), которая позволяет администраторам централизованно управлять настройками тысяч компьютеров и учётных записей в домене Windows.

История

Технология групповой политики была впервые представлена корпорацией Microsoft в составе операционной системы Windows 2000 Server. Она пришла на смену системным политикам (System Policies) из Windows NT 4.0, которые хранились в реестре и имели ограниченные возможности. В Windows 2000 и последующих версиях Windows Server (2003, 2008, 2012, 2016, 2019, 2022) функциональность GPO значительно расширялась: появились новые категории настроек (административные шаблоны, настройки безопасности, параметры Internet Explorer, перенаправление папок, установка программного обеспечения), а также улучшились механизмы фильтрации и обработки политик. В Windows 10 и Windows 11 групповая политика остаётся ключевым инструментом управления корпоративными устройствами, хотя для облачных сценариев Microsoft развивает альтернативные решения, такие как Microsoft Intune и Configuration Manager.

Архитектура и устройство

Объект групповой политики состоит из двух основных компонентов: контейнера GPO (Group Policy Container, GPC) и шаблона GPO (Group Policy Template, GPT).

Контейнер GPO (GPC)

Контейнер GPO — это объект в Active Directory, хранящийся в разделе «Система» (System) контейнера домена. GPC содержит метаданные: уникальный идентификатор (GUID), версию, ссылки на шаблон, атрибуты, а также список фильтров безопасности (Security Filtering). GPC не хранит сами настройки политики, а лишь указывает, где находится файл шаблона и какая версия политики актуальна.

Шаблон GPO (GPT)

Шаблон GPO — это набор файлов и папок, расположенных на контроллере домена в общей папке SYSVOL (\\<домен>\SYSVOL\<домен>\Policies\<GUID>). Внутри этой папки находятся подкаталоги:

• Machine — настройки, применяемые к компьютеру (параметры безопасности, реестр, скрипты запуска/остановки).
• User — настройки, применяемые к пользователю (перенаправление папок, параметры рабочего стола, скрипты входа/выхода).
• Adm (или ADMX) — административные шаблоны, определяющие доступные параметры реестра.
• Registry.pol — файл, содержащий изменения реестра, которые будут применены к целевым объектам.

Административные шаблоны

Административные шаблоны (ADMX-файлы) — это XML-файлы, описывающие параметры реестра, которые могут быть настроены через GPO. Они заменили старые ADM-файлы (текстовый формат) начиная с Windows Vista/Server 2008. ADMX-файлы хранятся централизованно в центральном магазине (Central Store) на контроллере домена, что упрощает их обновление и управление.

Типы объектов групповой политики

Различают два основных типа GPO:

• Локальный объект групповой политики (Local GPO) — существует на каждом компьютере под управлением Windows, даже если он не входит в домен. Локальная политика хранится в папке %SystemRoot%\System32\GroupPolicy и применяется только к данному компьютеру. В Windows имеется несколько уровней локальных политик (локальная политика компьютера, политика администратора, политика неадминистраторов), но в доменной среде они обычно переопределяются доменными GPO.
• Доменный объект групповой политики (Domain GPO) — создаётся администратором в консоли управления групповой политикой (Group Policy Management Console, GPMC) и хранится в Active Directory. Доменные GPO могут быть связаны с сайтами, доменами или организационными единицами (OU). Они применяются к пользователям и компьютерам, входящим в соответствующие контейнеры.

Применение и обработка

Порядок применения

GPO применяются в следующем порядке (сначала применяются политики с более низким приоритетом):

1. Локальная политика (Local GPO) — применяется первой.
2. Политики сайта (Site GPO) — связаны с сайтом Active Directory, в котором находится компьютер.
3. Политики домена (Domain GPO) — связаны с доменом.
4. Политики организационных единиц (OU GPO) — применяются в порядке вложенности: сначала политики родительской OU, затем дочерней. Последняя применённая политика имеет наивысший приоритет.

Наследование и блокировка

По умолчанию дочерние OU наследуют политики от родительских контейнеров. Администратор может:

• Заблокировать наследование (Block Inheritance) — отключить применение всех политик от вышестоящих контейнеров к данной OU.
• Принудительно применить политику (Enforced) — установить, что политика должна быть применена, даже если наследование заблокировано. Принудительные политики имеют наивысший приоритет.

Фильтрация

Фильтрация GPO позволяет ограничить круг пользователей и компьютеров, к которым применяется политика. Основные механизмы:

• Фильтрация безопасности (Security Filtering) — задаётся в свойствах GPO: политика применяется только к тем объектам (пользователям, группам, компьютерам), которые имеют разрешение «Применить групповую политику» (Apply Group Policy). По умолчанию это разрешение имеют группы «Authenticated Users» и «Domain Computers».
• WMI-фильтры (Windows Management Instrumentation Filters) — позволяют применить политику только к компьютерам, удовлетворяющим определённым условиям (например, версия ОС, объём оперативной памяти, наличие определённого программного обеспечения).

Интервал обновления

GPO применяются к компьютерам и пользователям при входе в систему (для пользовательских настроек) и при загрузке компьютера (для компьютерных настроек). Кроме того, политики периодически обновляются в фоновом режиме: для компьютеров — каждые 90–120 минут (с разбросом для предотвращения одновременной нагрузки), для контроллеров домена — каждые 5 минут. Обновление можно принудительно запустить командой gpupdate /force.

Классификация настроек

Настройки в GPO делятся на две основные категории:

Конфигурация компьютера (Computer Configuration)

Применяется ко всем пользователям, работающим на данном компьютере. Включает:

• Параметры безопасности (Security Settings) — политики учётных записей, локальные политики, журнал событий, ограниченные группы, системные службы, реестр, файловая система.
• Административные шаблоны (Administrative Templates) — настройки реестра для компонентов Windows (проводник, панель управления, сеть, система, компоненты Windows).
• Настройки папок (Folder Redirection) — перенаправление папок пользователей (например, «Документы», «Рабочий стол») на сетевые ресурсы.
• Скрипты (Scripts) — скрипты запуска и остановки компьютера.
• Установка программного обеспечения (Software Installation) — назначение MSI-пакетов для автоматической установки на компьютеры.

Конфигурация пользователя (User Configuration)

Применяется к конкретному пользователю независимо от того, на каком компьютере он работает. Включает:

• Параметры безопасности (Security Settings) — ограничения для пользователя (например, запрет на изменение пароля).
• Административные шаблоны (Administrative Templates) — настройки рабочего стола, меню «Пуск», панели задач, Internet Explorer, проводника.
• Перенаправление папок (Folder Redirection) — перенаправление папок пользователя.
• Скрипты (Scripts) — скрипты входа и выхода пользователя.
• Установка программного обеспечения (Software Installation) — назначение MSI-пакетов для установки при входе пользователя.

Управление GPO

Консоль управления групповой политикой (GPMC)

Основной инструмент для создания, редактирования, связывания и управления GPO — это оснастка Group Policy Management Console (GPMC), доступная в Windows Server и устанавливаемая как компонент RSAT (Remote Server Administration Tools) на клиентские версии Windows. GPMC предоставляет:

• Древовидный обзор всех GPO в домене, лесу, сайте.
• Возможность создавать, копировать, импортировать/экспортировать GPO.
• Просмотр результирующей политики (Resultant Set of Policy, RSOP) — симуляция или отчёт о применённых политиках.
• Управление фильтрами безопасности и WMI-фильтрами.
• Настройка наследования и принудительного применения.

Редактор управления групповой политикой (GPE)

Для редактирования параметров конкретного GPO используется оснастка Group Policy Management Editor (GPE), которая открывается из GPMC. В GPE администратор выбирает категории настроек (Computer Configuration или User Configuration) и изменяет их значения.

Командная строка и PowerShell

Управление GPO возможно также через командную строку (утилита gpupdate для обновления, gpresult для просмотра применённых политик) и через модуль PowerShell GroupPolicy (командлеты Get-GPO, New-GPO, Set-GPO, Backup-GPO, Restore-GPO и др.).

Применение

GPO широко используются в корпоративных средах для:

• Централизованного управления безопасностью — установка парольной политики, блокировка USB-накопителей, настройка брандмауэра Windows, ограничение прав пользователей.
• Стандартизации рабочей среды — настройка внешнего вида рабочего стола, меню «Пуск», панели задач, браузера, отключение ненужных компонентов.
• Автоматической установки ПО — назначение пакетов программ для установки на компьютеры или для пользователей.
• Перенаправления папок — обеспечение сохранности пользовательских данных на сервере, а не на локальном диске.
• Управления скриптами — выполнение скриптов при загрузке, входе, выходе или завершении работы.
• Настройки сетевых параметров — конфигурация прокси-сервера, VPN, беспроводных сетей.

Ограничения и критика

• Сложность диагностики — при большом количестве GPO и сложной структуре OU может быть трудно определить, какая именно политика применяется и почему. Инструменты RSOP и gpresult помогают, но не всегда дают полную картину.
• Производительность — чрезмерное количество GPO или сложные WMI-фильтры могут замедлять вход пользователей в систему и загрузку компьютера.
• Ограниченная поддержка облачных сценариев — GPO работают только в локальной среде Active Directory. Для управления устройствами, не подключёнными к домену (например, мобильные устройства, устройства в облаке), требуются другие решения (Intune, Configuration Manager).
• Риск ошибок — неправильная настройка GPO (например, блокировка доступа к системным папкам) может привести к неработоспособности компьютера или приложений. Рекомендуется тестировать политики на ограниченной группе устройств перед массовым развёртыванием.

Интересные факты

• В Windows 10/11 существует более 3000 отдельных параметров групповой политики, доступных через административные шаблоны.
• GPO могут быть применены не только к компьютерам и пользователям, но и к группам безопасности (через фильтрацию), хотя напрямую связать GPO с группой нельзя — требуется связь с OU.
• Существует возможность «замедленного применения» (Slow Link Detection) — если связь с контроллером домена медленная, некоторые настройки GPO (например, установка ПО) могут не применяться.
• В Windows Server 2008 и выше появилась функция «Starter GPO» — готовые шаблоны GPO, которые можно использовать как основу для создания новых политик.

Источники

• Microsoft Docs: Group Policy Overview
• Windows Server 2022 Technical Documentation: Group Policy
• «Group Policy: Fundamentals, Security, and Troubleshooting» (Jeremy Moskowitz)
• TechNet: Group Policy Planning and Deployment Guide
• Microsoft Learn: Group Policy for Windows 10/11