אבטחה כללית במחשב - GPO
Gpo-group policy
Gpo –הוא מנגנון,המאפשר לנו לבצע הגדרות בכל אספקט אפשרי ומבלי שנמשתמש יוכל לשנותן ובכך מאפשר לנו שליטה מלאה בהחלת הגדרות ,אכיפת חוקי אבטחה,יצירת סביבת עבודה קבועה ואף פריסת תוכנות.
בכדי לגשת למנגנון ,ניגש לתפריט ההתחל start ונקיש בשורת החיפוש gpedit.msc
דרך גישה נוספת היא דרך mmc מותאמת אישית.
כמובן שצריך להריץ gpedit ,דרך חשבון שהוא Administrator .
מה שהגדרנו במחשב המקומי ב group policy ,הוא יחל על כל המשתמשים במחשב מקומי (locally) זה (אפילו גם על אדמיניסטרטור) .
אם ניכנסים ל group policy דרך mmc אנחנו ניכנסים ל group policy editor ,כלומר בהתחלה שניכנסים לקונסולת נניהול של group policy הוא שואל אותי על מי יחול המדיניות שאני כרגע רוצה להגדיר.
[caption id="attachment_6952" align="alignnone" width="235" caption="mmc"]
[/caption]אפשרות ראשונה היא להגדיר על local computer (מחשב מקומי ועל כל משתמשיו).
אפשרות שניה היא לסמן browse ולבחור משתמש מסוים ספציפי שרק עליו יחול מדיניות group policy שאני אגדיר.
ב group policy יש לנו הגדרות ברמת מחשב(computer configuration)
והגדרות ברמת משתמש(user configuration
[caption id="attachment_6953" align="alignnone" width="300" caption="group policy object"]
[/caption][caption id="attachment_6954" align="alignnone" width="300" caption="group policy object"]
[/caption][caption id="attachment_6955" align="alignnone" width="300" caption="group policy editor"]
[/caption][caption id="attachment_6956" align="alignnone" width="300" caption="group policy object"]
[/caption]Computer configuration –ההגדרות שתחת קטגוריה זו ,יפעלו על המחשב(המכונה )עצמו ויטענו כבר אחרי שהמחשב עולה,לפני ש user ביצע logon .
User configuration –ההגדרות שתחת קטגוריה זו ,יטענו ויחולו על המשתמש עצמו,אחרי שהכניס שם מישתמש וסיסמה(ביצע logon ).
ישנם קטגוריות מסויימות להגדרות תחת computer configuration שייחודיות רק ל computer configuration .
ויש הגדרות שיש אותם רק ב user configuration .
אם ניכנס ל gpedit.msc במחשב המקומי ,כל ההגדרות תחת user configuration חלות על כל המשתמשים במחשב כי זה ברמת local computer (מחשב מקומי).
Gpo editor-מתחלק לשני סקטורים-מגזרים עיקריים:
הגדרות ברמת מחשב-מכונה.
הגדרות ברמת משתמש.
בכל אחד מהסקטורים הללו ישנן הגדרות ייחודיות ,אך לעיתים ישנה הגדרה חופפת הקיימת בשני הסקטורים בעוד שהגדרות ברמת מחשב יחולו על כל המשתמשים העובדים על מחשב זה ללא התחשבות במעמדם(משתמש רגיל,או אדמיניסטרטור) וייושמו עוד לפני שלב הזנת שם המשתמש וסיסמה.
הגדרות ברמת משתמש ניתנות למידור ויוחלו אך ורק לאחרבזמן ביצוע התחברות מצד המשתמש.
ישנן הגדרות הקיימות אך ורק בסקטור מסוים ולא בשניהם.
הגדרות אישיות אפשר לעשות אך ורק דרך MMC .
בכדי להקל על חיפוש הגדרה ספציפית ,ניגש ל administrative templates .
נבצע הרחבה של ההגדרה.
בעזרת הלחצן הימני נקיש על ALL SETTINGS
נבחר Filter options ונסמן את תיבת הסימון Enable keyword filters .
בחלון ה filter for words ,נזין את ההגדרה הרצויה ונוכל לבחור אם ייוצגו לפנינו אך ורק הגדרות שבהן בוצע שינוי,או הגדרות שלהן הוספו הערות בזמן כזה או אחר על ידי Administrator ,וזאת בכדי להקל ולצמצם את החיפוש כמובן.
נוכל לבחור האם לאתר הגדרה לפי שם מדוייק,או חיפוש אחר רצף מילים.
טיפ:במידה ואינכם יודעים מה שם ההגדרה או מתקשים למצוא אותה ,גשו ל googleוהקישו את רצף המילים הבא:
Windows7 gpo –"תיאור ההגדרה שלכם במילים".
עיקבו אחר הנתיב המוצג עד ההגעה להגדרה.
הגדרה לחסימת דיסק און קי ב USB
Computer configuration?policies?administrative tamplates?system?removable storage access
Removable disks:deny execute access-enabled
Removable disks:deny read access-enables
Removable disks:deny write access-enabled
[caption id="attachment_6957" align="alignnone" width="300" caption="group policy"]
[/caption]מבנה פוליסה-GPO
שימו לב לשלושה מצבי היסוד של כל פוליסה:
Not configured –כפוף להגדרות ברירית המחדל של המערכת ,כלומר נשאר זהה להגדרות היצרן.
Enable-מאפשר את הפוליסה ולעיתים גם מאפשר (למנהל admin)להזין ערכים נוספים.
Disable-מבטל את כל הפוליסה ,ובכך יוצר מניעה מוחלטת לשימוש בהגדרה הטמונה בה.
לכל פוליסה ,ישנו טקסט הסבר מלא המפרט את השפעת כל בחירה והשלכותיה ,חשוב מאוד!! לקרוא מידע זה לפני הזנת ערך כזה או אחר לפוליסה.
תקלה אפשרית-לפימים לא ניתן לראות את כל ההגדרות ,כי אנו במצב של filter on (מקש ימני ולהוריד סימון מ filter on ).
דוגמא להגדרות סיסמא דרך group policy
אם אנו רוצים ליישם מדיניות של סיסמה מורכבת נעשה כך:
Computer configuration?windows settings?security settings?account policies?password must meet complexity requirements?enabled?ok
עוד דוגמא למשל אם הגדרנו בחברה שכל שבועיים משתמשים חייבים לשנות את הסיסמה שלהם והגדרנו enforce password history ונתנו ערך 10 זאת אומרת שאם הסיסמה הראשונה של משתמש היתה password ואחרי שבועיים הוא שינה את הסיסמה ל password1 ואז אחרי שבועיים נוספים לכשיצטרך אותו משתמש לשנות שוב את הסיסמה הוא לא יוכל לשנות שוב לסיסמה הראשונה שלו ל password אלא רק אחרי 10 פעמים שהוא נתן סיסמאות שונות אותו משתמש יוכל להחזיר את הסיסמה הראשונה שלו שהיתה password .
Multiple GPO
אחד החידושים היותר מרעננים במערכת ההפעלה windows 7 ,היא יכולת ריבוי מדיניות מקומית .
יכולת זו מאפשרת לנו לעבוד עם מספר סטים של הגדרות GPO ולא עם מדיניות אחת לכל המערכת ולכל המשתמשים מה שכמובן לא מאפשר הגדרות העונות לצרכים הייחודיים של כל משתמש.
נוכל לבצע הגדרות עבור:
משתמשים ספציפיים.
משתמשים בעלי חשבון מנהל.
משתמשים שאינם מנהלים.
קבוצות.
נרשום mmc בשורת החיפוש?נסמן file?נסמן add or remove snap in ?נסמן group policy object editor ובפתיחה של קונסול הניהול של group policy אנו יכולים לסמן browse ולסמן על איזה משתמשים או קבוצות פוליסה זו תחול או על איזה מחשבים באותה רשת מדיניות הפוליסה הזו תחול.
סיכום multiple gpo
בכדי ליצור סטים שונים של מדיניות מקומית לפי רמות סיווג שונות,ניגש ל RUN ונקיש MMC .
לפנינו תופיע קונסולת ניהול ריקה ,ניגש ל File ונסמן add or remove snap in
נבצע בחירה של כלי group policy object editor ונקיש Add ולאחר מכן finish .
לאחר סיום התהליך ,תוצג לפנינו מדיניות ברמת מכונה שתוקפה וכוחה יפה על כלל המשתמשים ,ללא התחשב ברמת הסיווג שלהם.
אנו נבחר שוב את כלי ה group policy object editor ונקיש Add אך הפעם נקיש browse ונבחר את כרטיסית user .
שימו לב שניתן לבחור בין הסיווגים השונים:
מנהלים.
משתמשים שאינם מנהלים.
משתמשים ספציפיים.
קבוצות ספציפיות.
אנו נבצע בחירה של האדם ,או הקבוצה שלה אנו רוצים להגדיר סט הגדרות אישי ונסיים את התהליך.
חשוב לציין שהגדרות ברמת מכונה-מחשב יחולו בכל אופן אם הוגדרו בנוסף להגדרות אלו.
אם יש GPO שעוד לא השפיע במחשב (לוקח עד 16 שעות להתעדכן)ואנחנו מעוניינים שהמדיניות תחול עכשיו ולא תחכה להתעדכן עד 16 שעות אנו ניתן פקודה מ cmd gpupdate או gpupdate /force .
אם יש הגדרה של gpo שמחייבת restart ,או התחברות מחדש (log off) ניתן פקודה:
Gpupdate /force /boot /logoff
שזה אומר אם אתה מזהה הגדרה חדשה שמחייבת הפעלה מחדש או התחברות מחדש עם המשתמש למערכת כדי שזה ייכנס לתוקף אז תבוצע בדיקה ואם יזהה הגדרה שמחייבת הפעלה מחדש אנו נקבל הודעה שהמחשב עומד לבצע restart או logoff וזה יבוצע רק אם יש הצדקה לכך.
אז לסיכום אנו יודעים שאם הגדרנו user configuration כדי שהמדיניות תחול על משתמשים אנו צריכים לבצע logoff .
אם הגדרנו computer configuration נצטרך לבצע restart .
פקודה לבצע רק logoff
Gpupdate /force /target:user /logoff
סיכום זה נעשה על ידי רמי טראב
פרקי ההרצאה: אבטחה כללית במחשב - GPO
תמלול ההרצאה: אבטחה כללית במחשב - GPO
הטקסט המלא של הדקות הראשונות בהרצאה «אבטחה כללית במחשב - GPO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
הרצאה בנושא Group Policy GPO בעמדות קצה מסוג Windows 7 GPO הוא מנגנון שמאפשר לנו לבצע הגדרות כמעט בכל אספקט אפשרי. יש הגדרת GPO לכל דבר, ואת ההגדרות האלה משתמש שעובד על המחשב לא יוכל לשנות בשום פנים ואופן.
ככה בעצם נוכל לשלוט בהמון הגדרות חשובות כמו למשל חוקי אבטחה, סביבת עבודה קבועה כמו רקע אחיד לכל העובדים בחברה שלנו, ואפילו להתקין תוכנות בצורה אוטומטית.
אפשר גם לחסום תוכנות שמשתמשים לא יוכלו להריץ. המון אספקטים. עכשיו אני רק אחדד פה את הנושא הזה, הקדמה זה דבר טוב, אבל בואו נחדד.
נניח אתם עובדים בחברה, והבוס יושב על המחשב ויש לו שומר מסך שנפתח ככה לאחר שתי דקות כשהוא לא נוגע במחשב. הבוס עובד על מסמכים מאוד מאוד רגישים במחשב שלו.
הוא יצא במקרה להפסקה, יצא להתפנות או לאכול משהו, למסעדה או כל דבר אחר, ושכח את המחשב שלו ככה עם השומר מסך. את העכבר והנה הוא בתוך המערכת הכל בסדר הכל יפה יכול לקרות כל המסמכים הרגישים ובאמת בעיה מאוד רצינית דבר שני שיכול לקרות זה אם הבוס היה מספיק אחראי וכן הלך וניגש ושם שומר מסך מאובטח בסיסמה ממש בא ככה ניגש לשומר המסך שלו ושם לו כאן שומר מסך נגיד באבלס
כל מיני בועות כאלה הוא אמר אני רוצה שומר מסך כשאני לא נוגע במחשב שתי דקות תדרוש סיסמה זאת אומרת כשאני עכשיו אזיז את העכבר לאחר ששומר המסך התחיל אני צריך להזין את הסיסמה שלי כדי להתחבר.
באמת, הבוס שלכם היה מאוד מאוד אחראי, עשה ככה אפליי, קיי, מצוין. הבוס חושב שהכל בסדר, הולך פתאום לשירותים לרגע, או שוב פעם הולך לאכול, כנראה הבוס שלכם מאוד מאוד אוהב לאכול, ומה שקרה זה שמישהו הצליח לתפוס את המחשב ממש עשר שניות לפני שהוא נכנס למצב שתומר מסך.
אם הוא היה נכנס לתומר מסך למצב הזה, מה שהיה קורה, באמת המשתמש היה צריך להזין סיסמה בשם המשתמש של המנהל, של הבוס.
אבל הוא במקרה תפס אותו 10 שניות לפני שזה קרה. בא המשתמש, לחץ ככה ממש כמו שהבוס עשה, לחץ סקרין סייבר, ביטל את ההגדרה, אוקיי?
וזהו, ועכשיו יש לו רק שם המסך בלי סיסמה. חבר'ה, זו הגדרה רגילה מתוך המערכת. עוד דוגמה להגדרה רגילה, נניח עכשיו אני בא ויש דבר שנקרא חומת אש, ואני בא לחומת אש הזו ואני מחליט, פתאום אני משתמש בחברה, אני עובד בחברה, לא מוצא חמדה חומת אש, אני רוצה להריץ איזה אימיול או כל דבר אחר, היא חוסמת אותי, אני רוצה לכבות אותה.
בא עובד בחברה, מקבל לכם את החומת אש. אין חומת אש. אוי ואבוי, פרצת אבטחה מאוד מאוד חמורה. אתם בתור מנהלי אש יכולים לחשוד דבר כזה? בתור טכנאי PC יכולים לחשוד דבר כזה?
בשום פנים ואופן לא. גם אם הייתם אחראים והדלקתם את חומת האש, והגדרתם את ההגדרות, ופתחתם את כל מה שצריך לפתוח, והגנתם על כל מה שצריך להגן, אם משתמש יכול לשנות את ההגדרה, זה לא עוזר.
וניתן לכם עוד תרחיש, ככה יותר קיצוני, תארו לכם מה היה קורה אם משתמש עכשיו עושה רקע, ושם פתאום איזה רקע בלתי הולם לחברה. באה איזו ביקורת, או בא איזה שותף עסקי לחברה, ככה להתרשם, ופתאום הוא רואה איזה רקע ממש לא נאות, ולא, בוא נגיד במילים עדינות, צנוע על הרקע של המחשב הוא ממש יקבל רושם מאוד מאוד שלילי עכשיו שוב גם אם אתם הייתם
בסדר והגדרתם עכשיו רקע מאוד מאוד רשמי לחברה שלכם כתוב פרקטי קיו פרקטי קיו פרקטי קיו מצוין זה רקע רשמי נחמד לחברה שוב הגדרתם הגדרה כמו מנהלי רשת טובים כמו טכנאי PC טובים מישהו בא ושינה אותה ממש בא לכאן שם איזה רקע שהוא רוצה אפילו רקע נגיד שהוא לא הולם כל כך אני סתם אתן פה אחד מהרקעים היפים של Windows 7 כן תראו איזה תמונה יפה יש
לנו פה יפה, הייתם רוצים להיות פה, אני בטוח, גם אני, אבל אם זה היה בישראל כמובן. אז ככה חברים, מה שקורה, משתמש יכול לשנות. ואם אתם הגדרתם הגדרות, ומשתמש יכול לשנות אותן, לא עשיתם בזה כלום.
בדיוק בשביל זה, בדיוק בשביל העניין הזה, אנחנו מיישמים GPO, Group Policy. מדיניות מקומית, כשאני מגדיר משהו דרך Group Policy, בין אם זה רקעים למחשב, בין אם זה הגדרות של Firewall, בין אם זה עכשיו שומר מסך מאובטח בסיסמה המשתמש פשוט לא יכול לשנות את זה זה נעול זה אפור הוא לא יכול לגעת בגלל זה גרופוליסי הוא כלי כל כך חזק שיכול לעשות דברים נפלאים
פשוט כמובן שבשרתים אנחנו נדבר על זה הרבה יותר לעומק יש יכולות הרבה יותר ענפות בשרתים אבל המנגנון אני מדגיש הוא אותו מנגנון בדיוק אז איך ניגשים בכלל ל-GPO זה איך באמת מה זה GPO איך ניגשים איך רואים איך מגדירים דברים בינתיים רק דיברתי על שאפשר לשנות אז איך אני עושה שלא יוכלו לשנות פשוט מאוד
אני ניגש לתפריט הסטארט שלנו, וכותב כאן בשורת החיפוש gp-edit.msc תראו איך זה הופיע, אם כתבתם נכון זה יופיע לכם פה. מצוין.
כמובן צריך להריץ את זה עם חשבון שהוא חשבון של מנהל, של אדמיניסטרטור. עכשיו, זו דרך אחת להיכנס לכלי הזה, וזו באמת המדיניות המקומית שתתפוס, תראו, Local Computer Policy שתתפוס על כל המשתמשים.
זאת אומרת, לא משנה מי המשתמש, אדמיניסטרטור, לא אדמיניסטרטור, קבוצה מסוימת, הפתעה באימא לא משנה מה שהגדרתי פה יתפוס על כולם יש עוד דרך לגשת וזה על ידי הקשת MMC שזה אומר Microsoft Management Console קונסולות הניהול של מיקרוסופט אנחנו נאשר ותסתכלו יש לי כאן חלון ריק לגמרי נו אז איפה ה Group Policy איפה כל הGPO כי פה רואים GPO
כתוב כאן Local Computer Policy כתוב כאן לוקל Group Policy אז איפה זה כאן צריך להבין משהו לגבי MMC MMC אז זה בעצם כמו ארגז כלים שאתם יכולים להכניס לתוכו את כל התפריטים או תפריטים שאתם רוצים רק מכל מה שיש בווינדו 7. זה דבר מאוד מאוד יפה.
אז אם אני רוצה להוסיף נגיד לארגז כלים שלי הספציפי הזה רק gpo, אני אעבור ב-cash file, ללחץ add remove snapping, זה אומר אני עכשיו הולך למחסן כלים שלי ואני רוצה להכניס לארגז כלים את הכלים שאני צריך.
אז נכנסתי למחסן כלים, הנה כל הכלים שיש, ואני רוצה עכשיו לקחת איתי לטובת המשימה בארגז הכלים היום לעבודה את הגרופ פוליסי שלנו. Group Policy Object Editor, זה בעצם אותו קליק כמו זה, רק שפה יש פלוס מסוים, כאן אני יכול להוסיף אותו ל-Local Computer, ממש כמו פה, זה אומר שזה חל על כולם, גם אם זה מנהל,
גם אם זה יוזר, סבא, סבתא, אמא, אבא, לא משנה מי המשתמש, בגלל שזה על המחשב, המחשב אומר, כל מי שעובד עליי, לא אכפת לי מי המשתמש, ההגדרה תופסת עליו, כי זה פר המחשב, פר הברזלים, פיניש.
ממש כמו הפוליסה הזאת, ממש כמו הפוליסה הזו, אבל תראו את היופי, אני יכול ללחוץ פה עוד פעם Add אבל הפעם לא לעשות ל-Local Computer אלא לבחור Browse Users ולבחור לקבוצה שלמה לאדמיניסטרטורים יהיו הגדרות מסוימות נגיד שומר מסך מאובטח בסיסמה אחרי שתי דקות למשתמשים שהם לא אדמיניסטרטורים אני יכול להגדיר שומר מסך לא מאובטח בסיסמה כי זה לא חשוב הם משתמשים רגילים לעידו משתמש ספציפי
אני מגדיר שומר מסך אחרי חמש דקות מאובטח בסיסמה ויצרתי בעצם שלוש סטים של הגדרות שונות ויצרתי בידוד.
זה חברים, לא היה אפשרי, לא היה אפשרי במערכות ישנות שהן לא Windows 7. זה נקרא Multipile GPO. המון פוליסות של GPO, מרובות.
אנחנו נגיע לזה בהמשך, ניכנס לזה בצורה יותר נקודתית, רק רציתי להראות. אז באמת בצורתו הבסיסית ביותר, צורתה הבסיסית ביותר, אנחנו מקישים gp-edit.msc וניגשים לתפריט הזה.
בואו נראה באמת מה יש פה. ככה ניגשים אל התפריט הזה. שימו לב, הגדרות ברמת מחשב, הגדרות ברמת יוזר. ההגדרות האלה יחולו על המכונה עצמה וייטענו וייושמו כבר כשהמחשב עולה, עוד לפני שהמשתמש מזין סיסמה שהוא מראה לכם טוענת Windows, כבר אז כל ההגדרות שנגדיר פה יתפסו כבר.
פה לעומת זאת, כל הגדרה שנגדיר תיכנס לתוקף אך ורק כשהמשתמש מזין סיסמה בשם המשתמש. זה אומר שאם אני עכשיו בא ועושה לוגוף, אני הגדרתי הגדרות ברמת משתמש רק כשאני אזין את הסיסמה שלי אז ורק אז ההגדרות ברמת משתמש ייושמו בעוד שהגדרות ברמת מחשב יטענו כשהוא אומר טוענת Windows.
שוב ניכנס ל-GP-Edit.msc ובוא נחדד פה עוד שתי נקודות. נכון יש פה הגדרה ברמת מחשב והגדרה ברמת משתמש הגדרות מחשב והגדרות משתמש אבל לא להתבלבל בגלל שהפוליסה הזאת היא פוליסה ראשית ברמת לוק על קומפיוטר פוליסי פוליסה ברמת מכונה, ברמת ברזל, גם ההגדרות האלו וגם ההגדרות האלו שתיהן יוכלו
על כל המשתמשים. לא משנה אם זה אדמיניסטרטורים או לא אדמיניסטרטורים. סבא, סבתא, אמא, אבא, לא משנה, על כולם. הסיבה שיש פה, למרות שזו הגדרה ברמת מחשב, שיש פה גם קומפיוטר וגם יוזר, היא סיבה פשוטה מאוד. יש הגדרות שהן רלוונטיות אך ורק ליוזר,
כמו למשל שולחן עבודה, ויש הגדרות שהן רלוונטיות אך ורק למחשב. ההגדרות שיהיו כאן, הן ההגדרות שיהיו כאן. בחלק מהמקרים יש זהות. אתם רואים פה, יש פה דברים שהם קצת זהים, ותסתכלו אבל למשהו שהוא שונה.
דסטופ, אתם רואים שולחן עבודה? ביוזר יש דסטופ, לקומפיוטר אין דסטופ. לכן יש הגדרות שהן ייחודיות לכל סקטור. סקטור הקומפיוטר, המגזר של המחשב, והגדרות שהן סקטור של היוזר, מגזר המשתמש.
ושוב אני מדגיש, הפוליסה הזאת חלה על כולם, לא משנה מי המשתמש. כל מי שיושב על המחשב הספציפי הזה, זה חל עליו. יפה.
אז ראינו באמת שניתן לגשת דרך תפריט הסטארט, דרך gp-edit.msc או דרך ארגז כלי העבודה שלנו – MMC. אז באמת, כמו שאמרנו גם בהתחלה, עכשיו זה יותר מובן, מנגנון ה-GPO מאפשר לנו לבצע הגדרות בכל אספקט אפשרי, בלי שהמשתמש יוכל לשנותן.
זה אומר, אני מגדיר, וזהו. היחיד שיכול לשנות את ההגדרה הזאת זה האדמיניסטרטור. ואיך הוא משנה אותה? דרך gpo הוא צריך לבטל את ההגדרה שהוא הכיל כדי לחסום אותה מלכתחילה כמו שהראיתי מקודם gpo editor group policy editor זה בעצם הדבר הזה שימו לב local group policy editor העורך
הוא בעצם מציג לנו את המתחמים שעליהם דיברנו הסקטורים סקטור הקומפיוטר סקטור היוזר הגדרות ברבן מחשב הגדרות ברבן משתמש כמו שאמרנו בכל אחד מהסקטורים הללו ישנן הגדרות ייחודיות לכל סקטור וסקטור אך כמו כמו שהראתי לכם עם הדסטופ, יש לפעמים הגדרה שקיימת רק בסקטור מסוים, ויש הגדרות כפולות, הכל תלוי.
הגדרות ברמה הנכונה יחולו על כל המשתמשים, הגדרות ברמת משתמש אפשר לקסטן. זה אומר להגיד לאיזה יוזר ולאיזה קבוצה זה יחול או לא יחול, אבל לא דרך gp-edit.msc, אלא רק דרך MMC, כמו שהראתי קודם.
כשאנחנו מגישים gp-edit.msc, מה שקורה, דבר מאוד פשוט, אנחנו ניגשים לפוליסה שאחראית על כל המחשב. זאת אומרת, לא משנה מי המשתמש שעובד על המחשב הזה, זה חל עליו.
ועכשיו כשבנו את זה, אפשר להמשיך. הנקודות שחשוב שתבינו שוב, זה שהגדרות ברמת משתמש חלות אך ורק כשהמשתמש מזין שם משתמש וסיסמה. הגדרות ברמת מחשב מוכלות כשהמחשב טוען את עצמו, כשהוא אומר "מתחיל את Windows", טוען את Windows.
כשאתם רואים את הפס הירוק היפה הזה רץ. כמו שראינו בהגדרת הדסטופ, יש הגדרה מסוימת שקיימת אך ורק בסקטור מסוים ולא בשניהם, ויש הגדרות שהן כפולות, כמו שהגמתי קודם.
שימו לב, הגדרות כפולות, פרינטרס, זה לטובת המחשב שלנו. האמת היא שאנחנו יכולים להגיד שזאת דווקא לא הגדרה כפולה, הגדרה ספציפית שאני בחרתי, דווקא הגדרת הנטוורק היא הגדרה כפולה.
וגם פה, בתוך ההגדרה יש שינוי. שימו לב, יש דברים שהם זהים. נסטופ לא מופיעה מלכתחילה. פרינטר מופיע אך ורק במחשב. נסטופ אך ורק ביוזר.
בתוך נטוורק יש הגדרות ענפות יותר ברמת המחשב. בנטוורק של יוזר יש הגדרות פחות ענפות, פחות