Ekran kilidini beş dakikaya indirmeniz gerekiyor. Elli makine var. Tek tek gezmek yerine bir grup ilkesi nesnesi oluşturur, ilgili kuruluş birimine bağlarsınız ve iş biter. Grup ilkesinin varlık nedeni budur: ayarı merkezden dayatmak.
Nasıl çalışır
Bir grup ilkesi nesnesi (GPO) ayar koleksiyonudur. Tek başına bir şey yapmaz; bir kapsayıcıya bağlandığında etkili olur.
Bağlanabileceği üç yer vardır: site, etki alanı ve kuruluş birimi (OU). En yaygın kullanım OU’dur, çünkü en dar ve en denetlenebilir kapsam odur.
İstemci makineler ilkeleri düzenli aralıklarla çeker — öntanımlı olarak 90 dakikada bir, üzerine rastgele bir sapma eklenerek. Ayrıca açılışta ve oturum açışta uygulanır. Yani bir ayarı değiştirdiğinizde etkisini görmek zaman alabilir; hemen görmek için istemcide yenileme komutu çalıştırılır.
Kavramın oturduğu bütün için Active Directory nedir yazısına bakabilirsiniz.
Uygulama sırası: LSDOU
Birden çok GPO aynı makineye ulaştığında hangisi kazanır? Sıra sabittir ve baş harfleriyle anılır: L-S-D-OU.
Yerel (Local) ilke önce uygulanır — makinenin kendi üzerindeki ayarlar. Site ilkeleri sonra. Etki alanı (Domain) ilkeleri onun ardından. Kuruluş birimi (OU) ilkeleri en son.
Kritik nokta şudur: en son uygulanan kazanır. Yani en dıştaki OU ilkesi, etki alanı ilkesini ezer. İç içe OU’lar varsa en içteki en son uygulanır.
Aynı kapsayıcıda birden çok GPO bağlıysa, bağlantı sırası belirleyicidir — ve orada da en yüksek sıradaki en son uygulanır.
Bu sıralamayı elle takip etmek karışıktır; birden çok GPO çakıştığında sonucun ne olacağını GPO çakışma çözümleyici aracıyla görebilirsiniz.
İki istisna: zorlama ve devralmayı engelleme
Sırayı bozan iki ayar vardır ve ikisi de dikkatli kullanılmalıdır.
Zorlanmış (Enforced) işaretlenen bir bağlantı, alttaki hiçbir ilke tarafından ezilemez. Etki alanı düzeyindeki güvenlik temel ayarları genelde böyle işaretlenir.
Devralmayı engelle (Block Inheritance) bir OU’da işaretlendiğinde, üstten gelen ilkeler o OU’ya inmez. Ama zorlanmış ilkeler yine iner — zorlama, engellemeyi yener.
İkisi birlikte kullanıldığında sonuç hızla anlaşılmaz hâle gelir. Pratik öneri: zorlamayı yalnızca gerçekten pazarlık edilemez güvenlik ayarları için kullanın, devralma engellemeyi ise mümkünse hiç kullanmayın.
Bilgisayar ayarı mı, kullanıcı ayarı mı
Her GPO iki bölümden oluşur ve ikisi farklı zamanlarda, farklı hedeflere uygulanır.
Bilgisayar yapılandırması makine açılırken uygulanır ve makinenin bulunduğu OU’ya bakar. Kim oturum açarsa açsın geçerlidir.
Kullanıcı yapılandırması oturum açılırken uygulanır ve kullanıcının bulunduğu OU’ya bakar. Kullanıcı hangi makineye giderse gitsin onunla taşınır.
En sık yapılan hata, kullanıcı ayarını bilgisayar OU’suna bağlamaktır. İlke doğru görünür, hiçbir şey olmaz. Kullanıcı nesnesi o OU’da olmadığı için ayar hiç değerlendirilmez.
Neden bazen hiç uygulanmıyor
Ayar doğru, bağlantı doğru, ama makinede etkisi yok. Nedenler sınırlı sayıdadır.
Güvenlik süzgeci. GPO’nun uygulanması için hedefin hem okuma hem “grup ilkesi uygula” iznine sahip olması gerekir. Süzgeci daralttıysanız ve ilgili grubu unuttuysanız ilke sessizce atlanır.
Yanlış OU. Nesne, ilkenin bağlı olduğu OU’da değildir. Grup üyeliği burada işe yaramaz; belirleyici olan nesnenin konumudur.
Çoğaltma gecikmesi. İlkeyi bir denetleyicide oluşturdunuz, makine başka bir denetleyiciye soruyor. Değişiklik henüz oraya ulaşmamıştır.
Yavaş bağlantı algılama. Windows bağlantıyı yavaş sayarsa bazı ilke uzantılarını atlar.
Bu vakaların teşhis sırası grup ilkesi neden uygulanmıyor rehberinde adım adım anlatılıyor.
İlke ile tercih arasındaki fark
GPO içinde iki ayrı bölüm vardır ve davranışları temelden farklıdır.
İlkeler (policies) dayatmadır. Kullanıcı ayarı değiştiremez; arayüzde gri görünür. İlke kaldırıldığında ayar da geri alınır, çünkü değer kayıt defterinin ilkelere ayrılmış özel bölümünde tutulur.
Tercihler (preferences) ise başlangıç değeri verir. Kullanıcı sonradan değiştirebilir. Daha da önemlisi: tercih kaldırıldığında ayar geri alınmaz, makinede öylece kalır.
Bu ikinci davranış çok sayıda “kaldırdım ama hâlâ duruyor” vakasının kaynağıdır. Haritalanmış sürücüler, kısayollar ve yazıcılar genelde tercihlerle dağıtılır; onları geri almak için ayrı bir “sil” eylemi tanımlamak gerekir.
Tercihlerde ayrıca öge düzeyinde hedefleme vardır: aynı tercihi yalnızca belirli bir işletim sistemine ya da güvenlik grubuna uygulayabilirsiniz. Bu, ayrı GPO açmadan koşullu dağıtım yapmanın pratik yoludur.
Yedeği alınmayan GPO
Grup ilkeleri, kaybedildiğinde yeniden yazılması en can sıkıcı yapılandırmalardandır: onlarca ayar, kimin neden eklediği belirsiz. Düzenli yedek almak ve değişiklikleri sürümlemek bu yüzden değerlidir.
Otomatik yedekleme yaklaşımı GPO yedek otomasyonu rehberinde ele alınıyor.
Kısaca
GPO, ayarı merkezden dayatmanın yoludur. Uygulama sırası L-S-D-OU’dur ve son uygulanan kazanır. Bir ilke çalışmıyorsa önce nesnenin doğru OU’da olup olmadığına, sonra güvenlik süzgecine bakın — vakaların çoğu bu ikisinde biter.