54 Module 8 Implementing Group Policy ( Group Policy Uygulamaları ) Active Directory deki kullanıcı ve bilgisayarları yönetmek için group policyler kullanılır. Group policylerle kullanıcı ve bilgisayarların nasıl davranması gerektiği belirlenir. Kullanıcı ve bilgisayarlar uygulanan policy lere uymak zorundadırlar. Policyler kullanıcı veya bilgisayar bazlı yapılabilir. Ayrıca local ve Domain bazlı policylerde uygulanabilir. Policyler yapılırken ne bazlı yapılacağı iyi düşünülmelidir. Kullanıcı bazlı yapılırsa kullanıcıyı her gittiği yerde takip edecektir. Computer bazlı ise sadece seçilen bilgisayarı etkileyecektir. Yapılan bu policyler arka planda sysvol klasörüne kaydedilir. Yazılan policylerdeki kurallar çakışırsa mesela üsten Run yok denmiş alttanda Run var denilmişse bir çakışma olacaktır. Bu durumda kendisine en yakın policy nin kuralı geçerli olacaktır. Policy ekranında ise en üste olan geçerlidir. Local Computer Policy ( Local Bilgisayar Policy Oluşturma ) Local bilgisayarlarda policy uygulanabilir. Bilgisayarları domain üyesi yapmadan da policy uygulayabiliriz. Bunun için ; 1. Run ı çalıştırıp mmc ( Konsola Direk Ulaşmak İçin gpedit.mmc )komutunu veriyoruz. Karşımıza console 1 penceresi açılacaktır. Burada File ve Add/Remove Snap-in komutunu veriyoruz.
55 2. Şimdi karşımıza Add/Remove Snap-in penceresi açılacak. Burada Add düğmesine basıyoruz. Açılan pencerede Group Policy Object Editor ü ( XP de Group Policy ) de seçip Add basıyoruz. 3. Şimdi aşağıdaki pencere açılacak. Burda bi değişiklik yapmadan Finish düğmesine basıyoruz. Pencereyi kapatıyoruz. 4. Local Policy artık aktif hale geldi. OK düğmesine basıyoruz.
56 5. Aşağıdaki pencerede Policy yi uygulamak istediğimiz bölümlerde ayarlar yapıp işlemi bitiriyoruz. Create A Group Policy Object ( Domainde GPO oluşturma ) 1. Active Directory Users and Computer bölümünü açıyoruz. 2. Domain yada OU üzerinde sağ tıklayıp properties sekmesine basıyoruz. 3. Buradan Group Policy sekmesine tıklıyoruz. 4. New düğmesine basıpyoruz ve oluşturacağımız GPO gerekli ayarları yapıyoruz. Creat A GPO Link ( GPO Diğer Bölümlere Bağlama )
57 Oluşturulan bütün GPO lar active Directory içinde depolanır. Bir OU için oluşturulan bir kural başka bir OU yada uygulanacaksa bu OU içinde bir GPO oluşturmak yerine önceden oluşturulmuş GPO linklenerek diğer OU içinde geçerli hale getirilir. Örneğin bir OU kullanıcıların bilgisayarlarında RUN bölümünün görülmemesi için bir policy yazılıyor. Yeni oluşturulan yada var olan başka bir OU kullanıcıları içinde bu kuralı uygulamak istediğimizde yeni bir policy yazmak yerine olan policy yi linkleyerek uygulamış oluyoruz. GPO link işlemleri için ; 1. Yeni bir GPO oluşturulup gerekli ayarlar yapılır. 2. Domaine sağ tıklanıp Link Existing GPO komutu verilir. 3. Bu komuttan sonra aşağıdaki pencere açılacak. Buradan uygulamak istediğimiz policy yi seçip OK ye basıyoruz. Procedure For Disabling A GPO ( GPO yu Disable Etmek ) Oluşturulan policy çift tıklayıp Details komutu veriyoruz.
58 What Happens When GPOs Conflict ( GPOs Çatışmasında Neler Olur ) Bir bilgisayarda iki farklı policy uygulanabilir. Domain Group Policy nin ise üç farklı seviyede uygulanabilir. Uygulanan policyler arasında çakışma olabilir. Çakışma ( conflict ) ; iki policy nin aynı seçenek üzerinde iki farklı ayar belirtmesi durumudur. Söz gelimi domain seviyesinde konumlanmış bir policy maximum password için 15 gün limitini koyarken, daha alt seviyede bulunan bir OU da aynı limit 20 gün olarak belirtilmişse iki policy arasında çakışma vardır. Çakışmanın olması için mutlaka policy ler arasında seviye farkı olmak zorunda değildir. Aynı container içinde uygulanan policy lerde çakışabilir. Üst seviyede konumlanmış bir policy çakışma olmadığı sürece bütün ayarlarını alt seviyedeki container lara miras ( inherit ) yoluyla geçirir. Bu durumda çakışma söz konusu değildir. Aralarında çakışma olan iki policy arasında herzaman en alt seviyedeki policy nin kuralları geçerlidir. Örneğin ; OU seviyesindeki polisi herzaman geçerli sayılır. Policy nin Uygulama Sırası 1. Local policy 2. Site seviyesinde uygulanmış Group Policy 3. Domain seviyesinde uygulanmış Group Policy 4. OU seviyesinde uygulanmış Group Policy Şayet çakışan policy ler aynı container üzerindeyse Group Policy lerin sıralandığı pencerede en üst seviyede listelenen GPO herzaman öncelik alır. Öncelik sırasını değiştirmek için UP ve DOWN tuşlarını kullanarak GPO nun yeri değiştirilebilir.
59 Block ( Inherite ) Bazı durumlarda üsteki policy nin alttakine geçmesini ( inherit ) istemeyebiliriz. Örneğin ; şifrelerin 8 karakterden fazla olmamasını zorunlu kılan policy nin IT bölümünde çalışanların oluşturduğu OU için geçerli olmamasını isteyebiliriz. Böyle bir durumda yapmamız gereken şey üst seviyede bulunan policy den miras almasını istemediğimiz container üzerinde sağ tıklayıp properties ( özellikler ) menüsünü seçiyoruz. Açılan pencerede group policy sekmesini seçip Block Policy İnherite kutusunu işaretliyoruz. Böylece OU yukarıdan hiçbir policy yi miras almayacaktır.
60 No Override Yukarıdaki çözüm bize istediğimizi verdi. Yani söz konusu OU için artık şifrelerimiz 8 karakterden daha fazla olamayacaktır. Ama aynı şekilde daha üst seviyede bulunan ve mesela IPsec Policy tanımlayan başka bir policy olabilir. Yaptığımız çözüm yukarıdan alınan bütün policy lerin miras yolu ile geçmesini engellediği için bu ayarı da engelleyecektir. Bunu istemiyorsak yapmamız gereken şey Block Policy Inheritance ile engellenemeyecek bir policy oluşturmaktır. Herhangi bir policy yi No Override özelliği ile donatırsak, alt seviyelerde bulunan bir OU da block yapılmışsa bile policy geçerliliğini sürdürür ve alt seviye containerlarına inherit eder. Bir policy yi No Override yapabilmek için GPO üzerinde sağ tıklayıp No Override seçeneğini seçeriz. Böylece policy yi No Override ( ezilmiş ) yaparız. Attributes Of A GPO Link ( GPO Link Özellikleri Enforced ) Group Policylere uygulanan No Override özelliği gpmc.msi toolu yüklendikten sonra Enforced ismini alır. Artık No Override özelliğini aşağıdaki gibi ayarlayabileceğiz.
61 Filtering The Deployment Of A GPO ( GPO Yayılmasını Filtreleme ) Bazı durumlarda da container a uygulanan policy nin o container içindeki bütün kullanıcılara uygulanmamasını isteyebiliriz. Mesela muhasebe OU suna uyguladığımız bir policy nin muhasebe OU sunun adminine uygulanmamasını istiyorsak yukarıda saydığımız iki yöntemde işe yaramayacaktır. Bu durumda yapmamız gereken şey söz konusu admin inin GPO üzerindeki okuma hakkını engellemek olacaktır. Yukarıda anlattığımız gibi domain ortamında hazırlanan GPO domain controller üzerinde durur ve client bilgisayarlar tarafından okunarak uygulanırlar. Eğer bütün kullanıcaların normalde etkilendiği bir policy i bir kullanıcı veya grup tarafından okunmasını engellersek, o policy kullanıcıya etki edemez. Bunu yapmak içinse GPO üzerinde sağ tıklayıp properties menüsünden Security tabına geçer, hangi kullanıcı için filtre koymak istiyorsak o kullanıcı için Read hakkına Deny veririz. Belli Kullanıcının Yapılan Policyden Etkilenmemesi İçin Bazen yapılan policy lerin belli kullanıcı yada kullanıcıları etkilememesini isteyebiliriz. Böyle bir durumda ; 1. Uygulanan policy açılır. Burada delegation sekmesi açılır. Buraya kullanıcı eklenir.