ממשק גרפי של GPO
פרקי ההרצאה: ממשק גרפי של GPO
תמלול ההרצאה: ממשק גרפי של GPO
הטקסט המלא של הדקות הראשונות בהרצאה «ממשק גרפי של GPO» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם בסרט הזה אנחנו נלמד על ממשק גרפי של Group Policy בשרת אנחנו נשתמש בשרת 2012 ואני אספר לכם סוד כל מה שאני אראה לכם בממשק גרפי לא השתנה מאז התוסף שהיה ב-2003 זאת אומרת הבסיס לא משתנה זה כמו רכבים כמו שתלמדו לנהוג על רכב בשנת 93 גם כשעברו 20 שנה רכב נשאר רכב רק קצת קישוטים השתנו אותו דבר group policy אני אומר לכם
ב2003 מאז שיצא התוסף הזה אני זוכר שאני מאוד התלהבתי עליו gpmc מאז זה לא השתנה זה גם ב2016 וגם ב2012 וגם ב2008 הבסיס לא משתנה ולכן אל תפחדו מזה שאתם לומדים עכשיו 2008 2012 מחר 2016 זה לא משנה כלום כי הבסיס נשאר אותו בסיס בגלל זה אתם לא לומדים נהיגה כל שנה כל פעם שיוצא רכב כאילו חדש
אז ככה לומדים את העיקרון של שרתים ושל ניהול רשתות והלאה מסתדרים לבד לדוגמה כל מה שאני מספר לכם יהיה רלוונטי גם לפני 10 שנים וגם עוד 10 שנים קדימה אולי קצת ממשק גרפי השתנה אז לדוגמה במקום סרבר מנאג'ר כזה היה סרבר מנאג'ר אחר אבל הבסיס לא משתנה אני עדיין, האמת, לא מכיר את הסרבר מנאג'ר החדש הזה שהם בנו אותו
אני מחפש את הכלים המוכרים אז זה Group Policy Management ב-GPMC GPMC המפורסם, הידוע והמוצלח דרך אגב, אם אתם רוצים לדעת עוד קישוטים שהם הוסיפו אז הקישוט האחרון נקרא Active Directory Administration Center שהוא מריץ לכם כל מיני שאילתות של כל מיני שאילתות לאקטיב דירקטורי אפשר להריץ איתו זה יחסית חדש זה לא זה יחסית חדש
ואתם יכולים פה להריץ כל מיני סטורצ'ים ושאילתות ולנהל פה אותם אויויים ואותם תיקיות עכשיו שימו לב דרך אגב טוב מאוד שנכנסנו לפה שימו לב כשאתם נכנסים לאקטיב דירקטורי יש לכם שני סוגי תיקיות זה מאוד מאוד חשוב זה משהו שלא דיברנו עליו לפני כן אבל זה ככה הנקודה שעלתה מתוך התלמידים מהתלמידים ששאלו יש שני סוגי תיקיות בואו אני אראה לכם זה מאוד חשוב שתדעו
אני אראה לכם איך אתם מה בלבל את התלמידים ולמה ואיך אני אראה לכם את זה אתם רואים פה אתם רואים את הרשימה הזאת של תיקיות לעומת זאת אם ניכנס לכלי של אקטיב דירקטורי gpm סיגרו פוליסי מנג'מנט הוא מראה כאילו אותם תיקיות כאילו אותם תיקיות אבל חסרות כמה אוקיי?
ועכשיו אני אסביר לכם מה חסר ולמה חסר ואיך זה עובד. עכשיו תסתכלו טוב טוב, זה מאוד חשוב שתדעו ותכף אנחנו נראה את זה. בכלל באופן כללי הסרט הזה הולך להיות כנראה ארוך, כמו כל הסרטים שאני עושה, יוצאים תמיד בסוף ארוכים, אבל אנחנו הולכים ללמוד על הממשק הגרפי הזה, לעבור פה על כל האופציות שיש על המסך,
ואני כבר ככה חושב שנצטרך אפילו לפצל את זה אולי לכמה סרטים. אז תראו, כשאני עושה פה תיקייה חדשה, בואו נעשה פה תיקייה חדשה, נקרא לזה Organization Unit, זאת השפה המקצועית.
אתם רואים, אני יכול לעשות מחשב, אני יכול לעשות איש קשר לשליחת מיילים. לדוגמה, סתם, ספק דיו, לומדים את זה בקורס Exchange. סתם, שיהיה לי איש קשר משותף לכל הארגון, אי אפשר לעשות איתו לוגים.
תכלס, משתמשים בזה אחרי שמתקינים Exchange בארגון. אם אתם תעשו אותו עכשיו, אז יהיה לכם סתם איש קשר, סתם, דיו, פאק דיו לא יודע מה ונקרא לו דיו סופלייר וזהו לא יצא מזה כלום אתם רואים אני יכול לתת פה אימייל שלו אופיס אונליין סתם אני ממציא לו שטרודל ג'ימל דוט קום ואז יוצא לנו כזה איש
קשר כזה אי אפשר לעשות איתו לוגין שימו לב אין לו אקאונט אבל אפשר לשלוח אליו מיילים כמו איש קשר משותף לכל הארגון סתם תדעו שזה קיים ומשתמשים בזה הרבה באקשיינג.
בלי אקשיינג אין לזה באמת שימוש. אז מה באתי לספר לכם? למה אני מספר לכם את כל הסיפור המעניין הזה? יש לנו מחשב, יש לנו קונטקט מחשב, אתם יודעים, אובייקט של מחשב.
משמש בעיקר לקרברוס. כל העימות על ידי שיטת הטיקטים של קרברוס. הזדהות מחייבת חשבון מחשב. איך עובד קרברוס? הוא נפרד וארוך ועשיתי על זה סרט קונטקט אמרנו לאקשנג' קבוצות אינטר אורק פרסן אתם לא תשתמשו בזה בחיים זה כאילו מייצג יוזר מדומיין אחר משהו כזה האמת שאני אפילו לא בטוח שאני אומר לכם נכון אני בחיים לא ראיתי
שהשתמשו בזה אני חושב שפעם כשסינכרנתי בין הפורסטים אני חושב שהשתמשנו בזה אבל לא בטוח זה נראה לי מייצג אתם יודעים מה אני אבדוק עכשיו בגוגל מה זה אומר אינטרנט אורק פרסן כן כן כן זה נכון אז אינטרנט אורק פרסן אני לא אלאה אתכם פה בטקנט בכל מה שהם כותבים על הדבר הזה.
אז אתם באמת לא תשתמשו בזה אני פעם אחת השתמשתי בזה לפני הרבה שנים זה למעשה מייצג יוזר כמו יוזר רגיל רק הוא נועד בשביל להתחבר ל Active Directory לא של מייקרוסופט.
אקטיב דירקטורי בלינוקס כן שזה בעצם דירקטורי סרוויס שגם מחזיק יוזרים והכל יש בלינוקס גם מערכת כזאת ואתם רואים בקורס של לינוקס אנחנו משתמשים בה באזור של FTP מי שרוצה לקפוץ לראות את זה בלינוקס תראו ב-FTP אנחנו ממש מתחברים אליה בסרטים של FTP של לינוקס אבל עכשיו זה בעצם בן אדם שהוא יוזר כביכול יוזר בסטנדרט בתקן של RFC
CRFC זה מכון תקנים אמריקאי, כאילו תקן אמריקאי 2798 איך היוזר אמור להיראות וכדי שתהיה התאמה ויכולת לעשות מיגריישן, הגירה ושילוב עם LDAP של Non Microsoft Directory Services.
בקיצור, למיקרוסופט יש את היוזר שלהם, איך שהם מדמיינים אותו, יעשו מה שהם רוצים. מי שרוצה לעבוד מול משהו תקני, יעשה יוזרים מסוג איינט אורק פיורסן אוקיי וזהו זה יוזר כביכול תקני ואתם לא באמת תשתמשו בזה פעם אחת השתמשתי בזה לפני המון שנים אבל לא זה טוב אנחנו לא נעבור פה על כל מה שיש מה שנסחף פה כן יש יוזר פרינטר פרינטר זה סתם
שרט פולדר זה סתם לפרסם תיקי הכל זה לא מעניין כשאתם מתקנים אקשיינג' אתם תראו עוד סוגים לא בתפריט אבל יש עוד סוגים כמו קבוצות דינמיות כמו כל מיני סוגי קבוצות.
אנחנו עכשיו רוצים לחזור לעניינים שלנו מה זה OU. בואו נעשה OU. OU זאת תיקייה באקטיב דירקטורי. אורגניזיישן יוניט נעשה לו לדוגמה אופיס בניו יורק ככה נקרא. V הזה אומר שאסור למחוק אותה בלי להוריד את הנצרה זאת נצרה שלא ימחקו בטעות.
כי היו המון מקרים שבהם מנהלי רשת מתחילים מה שנקרא בטעות מחקו את ה-OU אז אומרים לא יש פה נצרה כדי למחוק אותה צריך לעשות אתם רואים עכשיו אני רוצה למחוק אותה הוא לא יתן לי בשביל להוריד את הנצרה הנה אתם רואים הוא לא נותן לי אין לך הרשאה למחוק אותה בשביל להוריד את הנצרה צריך לעשות view advanced ללכת לפה ללכת ל-properties אחרי view
advanced ובאבג'ק להוריד את ה-V הזה אוקיי אז כדי שבלי כוונה שוקיסטים לא ימחקו את זה אז עשו את הנצרה הזאת ב2003 היא לא הייתה כן אז שימו לב עשיתי פה אויו ובתוך אויו אני יכול לעשות עוד אויו נניח נניח מחלקה סיירס ומחלקת נניח דב פיתוח מתכנתים זה מחלקת דב דבלופמנט ויש לנו מחלקת qa שבודקים את הזה אז אני עושה להם לכל אחד תיקייה
תשאלו אותי למה לעשות תיקייה, חוץ מסדר שאני רוצה להכניס אנשים שיהיה לי מסודר בעין, תחשבו שיש בחברה מאות ואלפי אנשים, זה לא לחברה של שני עובדים, לא עושים את כל הסיפור הזה לשני עובדים.
שני עובדים עובדים בוורק גרופ, זה לעשרות ומאות אנשים, אז אנחנו מחלקים אותם פה, ופה יש יוזרים, נניח נעשה במחלקת dev את אנדרי, יוזר שקוראים לו אנדרי, ופה אני יכול לזייף לו שיהיה לו כמו אימייל שלו, למקרה שהוא לא גאון הדור והוא לא יודע מה ההבדל בין דומיין אבטחה לדומיין זה אני
יכול להגיד לו פה שים פה מייל בואו נזייף לו מייל ואני סתם עכשיו מדבר איתכם על נושאים שלא באמת קשורים למה שהתכווננו לעשות אבל ככה אני רוצה שתרגישו את המציאות איך עובדת המציאות אז הולכים למקום הכי לא קשור בעולם domains and trust הולכים פה למעלה לפרופרטיז וב-upn suffix זה המקום שאף אחד לא מכיר אותו חוץ
ממי שמלמד את זה כל יום כל היום אני מוסיף practicu.com, practicu.co.il, practicu.ru, נניח זה רוסיה, ואתם מבינים שאני יכול פה לשים כל שם, גם cucu.com, זה cucu ברוסית, כן?
כל מיני שמות אני יכול להוסיף פה, אף אחד לא באמת בודק, זה לא באמת מייל, זה כינוי לדומיין שלי, כינוי, אבל אני דואג שהכינוי הזה יהיה כמו המייל שלי, כדי שלשוקיסטים שמתקשרים אליי אני אומר תרשום את המייל שלך אבל למעשה זה לא מייל זה כינוי לדומייל מה המייל האמיתי שלך לא מעניין את האקטיב דירקטורי איזה שם
קנית אצל רשם האינטרנט העולמי ופה אתה רואה את כל השמות ואתה מזייף לו שזה פרקטיקיו.קום אתה אומר לו תרשום בלוגין בכניסה את המייל שלך ואז הוא רושם הוא חושב שהוא נכנס עם המייל כאשר מייל זה בכלל שם חיצוני שאקטיב דירקטורי לא מעניין אותו ולא מכיר אותו הוא לא רלוונטי לאקטיב
דרקסוס, זה מתחם אבטחה, אני נותן כינוי למתחם אבטחה שלי באותו שם של מייל בשביל אנשים שוקיסטים. ותאמינו לי, יש המון שוקיסטים בארגון. אתם בעצם 90% מהזמן מדברים איתם בטלפון, זה 90% מהעבודה לדבר עם שוקיסטים בטלפון.
הם מבזבזים את רוב הזמן של העבודה. בגלל זה כל דבר כזה קטן חוסך לכם 10 דקות שיחת טלפון, להסביר לו שיש דומיין ויש מייל ומה דומיין ומה זה וזה.
אז 10 דקות שיחה עם שוקיסט כפול 700 שוקיסטים חסכתם לעצמכם חצי שנה מהחיים עם שפופרת טלפון טוב את זה הבנו נעשה שהוא לא צריך להחליף סיסמה למרות שזה שיחליף סיסמה מה אכפת לי אוקיי אנדרי קיבל פה אוי טוב יפה גם את המחשב של אנדרי אני אכניס לאותו מקום כי חלק מהפוליסה כי אני מצמיד את הפוליסות לפה שימו לב אני
אני אצמיד פוליסה לתיקייה הזאת אם המחשב שלו יהיה במקום אחר חצי פוליסה תעבוד חצי לא תעבוד אתם מבינים בפוליסה תמיד יש שני חלקים חלק שקשור למחשב וחלק שקשור ליוזר אז אם אני אשים קומפיוטר אקאונט שלו סתם בתיקיית קומפיוטר שזה התיקייה הדיפולטית ויהיה לו פה מחשב נניח נעשה לו קומפיוטר
פה ולמה אני צריך לעשות חשבון מחשב מראש נניח יהיה לו מחשב סיט תם תחנה מספר 79 סיט 79 זה שם של המחשב שלו שימו לב זה נקרא פריסטייג'ינג פריסטייג'ינג זה אומר הכנה מראש אני מכין מראש חשבון מחשב ובגלל שהמחשב הזה הוכן מראש אני יכול להגיד שאיזשהו יוזר יוכל לקבוע את הסיסמת המחשב זאת אומרת אנדרי במקרה הזה יוכל לקחת מחשב חדש
לקרוא לו סיט 79 ולצרף אותו לדומיין ואז ברגע שהוא יצרף אותו לדומיין זה לא יוריד לו מהמכסה ולכל יוזר יש מכסה של עשרה מחשבים זה לא יוריד לו מהמכסה של עשרה מחשבים כי אמרתי לו פה מראש שמותר לא להכניס אותו לדומיין וכרגע מאחורי חשבון המחשב הזה אין סיסמה בהתחברות הראשונית של מחשב עם השם
הזה תיווצר הסיסמה אולי תראו את הסרט של ניהול מחשב בקצרה, מאחורי כל חשבון מחשב יש סיסמה שכל 30 יום מתחלפת, Computer as a User.
זה נועד ל-Kerberos. כרגע עשיתי מחשב ידנית מראש ואין מאחוריו סיסמה. הסיסמה תהיה ברגע שהמחשב יצטרף לדומיין. ברגע שהמחשב מצטרף לדומיין, רק אז נהיית סיסמה סודית שהיא גם ברג'יסטרי המקומי של המחשב וגם באקטיב דירקטורי.
וכך למעשה אקטיב דירקטורי מזהה את המחשב והמחשב מזדהה מול אקטיב דירקטורי ומביא את הטיקטים של קרברוס. כל מי שרוצה באמת לדעת מה זה קרברוס עוד חודש ידע את זה כשהגיע להרצאה על קרברוס.
בגדול זה שיטת עימות. אם הסברתי לכם יותר מדי אל תיבהלו בהמשך הדרך תבינו אבל אני בא לספר לכם משהו אחר שימו לב לתיקיות פה רפרש אופיס ניו יורק הופיע אתם רואים דב הופיע אתם רואים זה נראה כאילו הכל אותו דבר.
קודם כל אתם לא רואים פה מחשבים אבל אתם גם חסרות לכם תיקיות אתם רואים אין פה קומפיוטר שימו לב גם אייקון שלו הוא שונה אתם רואים גם אייקון שונה אוקיי אז מה הסוד הסוד הוא שיש שתי סוגי תיקיות יש תיקיה שנקראת קונטיינר ויש תיקיה שנקראת אורגניזיישן יוניט או U אוקיי עכשיו תיקיות קונטיינר אתם לא יכולים ליצור לבד בממשק הגרפי וקונטיינר
הוא כאילו לא קיים בעולם של אבטחה אוקיי קונטיינר זה וכמו תיקייה שכאילו לא קיימת. אז התיקייה מסוג Container אתם לא יכולים להצמיד לה פוליסה, כן? זה הקטע שלא קיימת, אתם לא יכולים להצמיד לה פוליסות.
ל-Organization Unit אתם יכולים להצמיד פוליסות. בואו נעשה פה רפרש איכשהו, צריך להיות פה רפרש. אתם יכולים לראות שמה שאנחנו יצרנו זה OU, אתם רואים פה Type.
לכל דבר יש סוג, לכל אובייקט באקטיב דירקטור יש סוג. אנחנו יצרנו Organization Unit, אוקיי? קונטיינרים אתם יכולים ליצור בדרך מתוחכמת לא דרך אתם לא אמורים ליצור אותם אוקיי אז מבחינתכם אתם לא יוצרים אותם הנה זה הספק הדיו שיצרנו כל אובייקט יש לו סוג בקיצור מה שאתם רואים בגרופוליסי מנג'מנט בכלי הניהול של גרופוליסי
זה רק OU רק אובייקטים של OU כי רק להם אתם יכולים להצמיד פוליסה אני יכול ליצור פוליסה ולהצמיד למחלקת dev למחלקת qa למה שאני אצמיד פוליסות כי אני רוצה לנהל אותם בצורה מרכזית.
עכשיו לנהל זה לא רק להגביל אותם ולעשות להם חיים קשים, זה גם לעשות להם התקנה אוטומטית של תוכנות, זה גם להריץ להם איזשהו סקריפס. בסך הכל אנחנו לא באים לדפוק את היוזר, אנחנו באים לנהל אותם לפי מה שהמנהלים אומרים ולפי מה שגם הם מבקשים.
לפעמים אנשים אומרים, תקשיב, אנחנו כולנו רוצים שיהיה לנו קונן X שאנחנו נשים עליו מסמכים משותפים. מבין? אל תחשבו תמיד ש Group Policy זה רע, זה כלי ניהול מרכזי, שלפעמים הוא מקביל ולפעמים הוא עוזר ובכל מקרה זה חוסך לנו טרחה לרוץ בין מאות מחשבים ובין מאות יוזרים ידנית ולהכניס לכל אחד לרג'יסטרי
את ההגדרות בסופו של יום כל מה שנגדיר בגרו פוליסי וכל הפוליסות הן יורדות לרג'יסטרי המקומי של המשתמש אוקיי שבסופו של דבר יש רג'יסטרי במחשב וכל מה שעושה גרו פוליסי אני אספר לכם סוד בסופו של יום בסופו של יום יש ככה יש סרוויץ זה נקרא Group Policy Client בכל מחשב גם בשרת עצמו יש Group Policy Client שכל כמה דקות זה בערך שעה שעה וחצי ניגש לשרת ומושך
את הפוליסות שאנחנו הולכים לעשות אותם ומבצע אותם על רג'יסטרי מקומי בסופו של יום מה שקובע זה הרג'יסטרי המקומי במחשב אתם לא יכולים לעצור את הסרוויס הזה אפילו שאתם אדמיניסטרטורים למה אתם לא יכולים לעשות את הסרוויס הזה בסרט אחר?
בגדול יש הרשאות על רג'יסטרי, כל הסרוויסים נמצאים ברג'יסטרי וגם ברג'יסטרי יש הרשאות על כל ענף, אז אין לכם הרשאות, יש הרשאות רק לסיסטם, או לחלופין המתכנת עשה ככה שאין אירוע לסטופ ולפאוז ואז הכפתור לא דלוק כי אין event שיפעיל התוכנה
הזאת, אין event שיתפוס אותה, זאת אומרת המתכנתים לא עשו איבנט אז הממשק גרפי לא מראה לכם את זה זה ממש אנחנו פה הולכים לכיוון לא נכון אז הבנו שגרופוליסי בסופו של דבר יש קליינט בכל התחנות ובכל השרתים שמושך את הפוליסה מה זה מושך את הפוליסה מאוד פשוט הוא נכנס לשרת דומיין קונטרולר במקרה אני על השרת הזה אז הוא נכנס לשרת דומיין קונטרולר בתוך שרת
דומיין קונטרולר תמיד יש תיקייה שנקראת סיסוול שהיא בשיתוף והוא ניגש לתיקיית סיסוול משותפת ומעתיק משם פוליסות.
הפוליסות יש להם מספרים, אתם רואים תמיד בשרת דומיין קונטרולר, כמובן שהוא ניגש לפי השם של השרת, מאיפה הוא יודע את השם? מ-DNS, זאת אומרת כל דומיין קונטרולר רושם את עצמו ב-DNS, כל קליינט ניגש ל-DNS, מושך רשימה של דומיין קונטרולרים, מזהה מי נמצא בסייט הפיזי שלו וניגש לאחד הדומיין הקונטרולרים שנמצאים בסייט הפיזי שלו.
על סייט וסרוויסס יש גם פרק שלם. ברגע שקליינט מזהה מי זה ה-DC שלו, הוא ניגש אליו בשם שלו. אני ניגשתי ב-IP, כמו שיתוף רגיל של קבצים. ניגש לתיקיית סיסוול שם, זה תמי תיקייה נקראת סיסוול, היא נמצאת בתוך תיקיית וינדוס, אם אתם רוצים לדעת איפה היא פיזית נמצאת, ובתוכה יש פוליסות, תכף אנחנו ניכנס פנימה,
יש לי פה שתי ג'יגה ראם. אתם רואים יש לנו פה תיקי הסיס וולט בתוכה יש דומיין ובתוך הדומיין יש לנו קריפטים זה משהו מימי עמימה שהיו פה סקריפטים באמת היום כבר לא שמים שם סקריפטים ויש פה פוליסות אתם רואים לכל פוליסה יש מספר בתוך פוליסה יש כמה קבצים שבעצם זה הגדרות של הפוליסה כן אפילו אפשר לקרוא אותם הם כבשי טקסט אז לכל פוליסה יש מספר אתם רואים והוא
מושך לפני שאני אעבור פה הקליינט מושך מתוך אקטיב דירקטורי, מהדאטאבייס של אקטיב דירקטורי, את מספרי הפוליסה שהוא אמור ליישם אצלו במחשב, ומעתיק את הפוליסות שהוא אמור לבצע ומבצע אותן.
זאת אומרת, מה לבצע כתוב בתוך דאטאבייס של אקטיב דירקטורי, שזה מה שאנחנו עכשיו נתחיל להצמיד את הדברים האלו, וההגדרות של הפוליסה נמצאות פה בארדיס כקבצים.
אז תפרידו יש הגדרות של הפוליסה שכל מיני מפתחות ברג'יסטרים זה קבצים איזה פוליסה לקחת ואיזה פוליסה צמודה לאן זה נשמר בדאטה בייס של אקטיב דירקטורי ואת זה הוא מושך דרך אלדאפ הוא מתשאל את הדאטה בייס של אקטיב דירקטורי כמו sql בשפת האלדאפ שואל מה אני אמור ליישם ונותנים לו את הרשימה לביצוע ואז הוא מוריד מאשר הזה ומבצע לפי הרשימה
וזה Group Policy Client Service מבצע את זה. שימו לב, כל פוליסה מחולקת לשני חלקים תמיד, אחד Machine, אחד User. אז ברגע שהמחשב עולה, הוא מבצע את כל הפוליסות שהוא אמור לבצע, רק את החלק של המכונה.
אחרי זה יוזר נכנס, אנחנו לא יודעים איזה יוזר ייכנס, הוא מבצע, הוא מקבל רשימה של פוליסות לביצוע ומבצע רק את החלק של היוזר.
מה הטעות הכי נפוצה? להצמיד את הפוליסה, נניח הזאת, למקום שיש בי את היוזר, שיש בו את היוזר, אבל בטעות להגדיר הגדרות של המחשב בפנים, כי תוך כדי הגדרות אני לא שם לב ש-computer account עצמו, חשבון מחשב שיצרנו, לא נמצא באותו OU, אתם מבינים?
אנחנו נחזור על הטעות הזאת עוד הרבה הרבה פעמים, כי זו הטעות הכי נפוצה שיש, ואני בטוח בסרטים מדבר על זה כמה פעמים.
אז תדעו שזה זה. למה יש דרך אגב מספר כזה מכוער ולא שם יפה לפוליסה? כדי שתוכלו לעשות rename לפוליסה, לשנות לה שם, שום דבר לא ישתנה לכן הכל עובד עם מספרים המספרים המכוערים האלה נקראים גוויד גלובל יוניק אנדיטיפייר גוויד ג'י-יו-איי-די גלובל יוניק אנדיטיפייר כל הפוליסות הן ככה גם כמו סיד של יוזר סיקיוריטי אנדיטיפייר בקיצור מספרים סידוריים
טוב בואו ניצור פוליסה חדשה וסתם אנחנו נעשה פוליסה חדשה אז הבנו פה שיש פה קונטיינרים אתם רואים בילט אין קונטיינר שכולל את כל הקבוצות שהיו בתוך המחשב, לפני שעשינו לו התקנה של Group Policy, זה מה שהיה הקבוצות הלוקאליות של הקומפיוטר לפני שנגענו בו.
Users, זה היוזרים הדיפולטיים שיש עם ההתקנה של Active Directory, עם השירות של Active Directory כמו דומיין Users, דומיין סרוויס, דומיין קונטרולרס, כל מיני קבוצות.
דרך אגב, למה יש כל כך הרבה קבוצות? כי Active Directory עצמה מחלקת הרשאות לקבוצות האלו, זה כאילו הדיפולט של המערכת. לדוגמה, Domain Admins, איפה יש לנו פה Domain Admins, הם נכנסים אוטומט כאדמיניסטרטורים לוקאליים בכל המחשבים ברשת.
כל המחשבים בדומיין, Domain Admins נהיים שם אדמיניסטרטורים. כאילו קבוצת אדמיניסטרטורס לוקאלית כוללת קבוצת Domain Admins מהדומיין, ואז אם אני מצרף יוזר לקבוצה הזאת, נניח את אנדרי לקבוצה הזאת, הוא נהיה אדמיניסטרטור בכל התחנות וגם בכל השרתים.
אז יש כל מיני קבוצות שמגיעות ב-users עם התקנה של Active Directory ואם אתם תסתכלו אתם די תבינו מה זה אומר ויש קבוצות שמגיעות עם ההתקנה מתוך ההתקנה של השרת המקורי עוד לפני שהוא נהיה Domain Admins כמו Remote Desktop Users שאתם מכירים ו-Event Log Readers מי יכול לקרוא את הלוג מרחוק לדוגמה ויש עוד כל מיני קבוצות שבטח אתם כבר שמעתם ומכירים אותם
כמו IaaS, שזה שרת ה-Web, האנונימוס של שרת ה-Web, אדמיניסטרטור, זוכרים האדמיניסטרטור המקומי? זה האדמיניסטרטורס הזה. ושימו לב, האדמיניסטרטורס המקומי של התחנה, מי שנכלל בו גם דומיין, אדמינס של הדומיין, כאדמיניסטרטורס של התחנה.
למה צריך? כי בעצם בתוך הווינדוס ההרשאות מחולקות לאדמיניסטרטורס מקומיים, כי לא ידוע אם יום אחד הוא יהיה חלק מדומיין או לא.
אז מי שמתכנת את הווינדוס מחלק את ההרשאות לקבוצת אדמיניסטרטורס, מכניס לקבוצת אדמיניסטרטורס את האדמיניסטרטור הדפולטי, שימו לב לזה משתמש, וברגע שיש לנו דומיין אז לוקחים גם קבוצת דומיין אדמינס ומצרפים אותה לאדמיניסטרטורס הדפולטי.
אז ככה נוצר מצב שדומיין אדמינס מקבל הרשאות על כל האובייקטים במחשב ברשת. הבנתם איך זה עובד? נניח אתם כותבים עכשיו איזושהי תוכנה בתוך ווינדוס, אתם בצוות שמפתח משהו בווינדוס, נניח סתם רימור דסקטופ, אומרים לכם תיתנו הרשאה לקבוצת אדמיניסטרטורס המקומית.
ואז אחרי שנצטרף לדומיין, אז גם דומיין אדמינס נכנס וגם אנטרפרייז אדמינס. אנטרפרייז אדמינס הם אדמיניסטרטורים בכל הדומיינים. תחשבו, יש לנו הרבה דומיינים בחברה, הרבה סניפים, אז אני יכול להיות דומיין אדמין בסניף בישראל אבל לא דומיין אדמין ברוסיה כי ברוסיה אסור לי לגשת לשם אני לא מנהל שם אני כולה טכנאי
בישראל. אז אם אני דומיין אדמין בישראל זה לא אומר שמותר לי פתאום לעשות דברים ברוסיה ואז אני כל אחד יש לו דומיין משלו כל אחד אדמיניסטרטיבית שונה אבל אם יש לנו מנהל רשת על טבעי שרוצה להיות דומיין אדמין בכל הדומיינים בארגון אז אפשר להכניס אותו לאנטרפרייז אדמין.
אנטרפרייז אדמיניסט נכנסים לקבוצת נכנסים להיות אדמיניסטרטורים בכל הדומיינים בארגון אז ככה זה בעצם שושלת כזאת מי שחושב שכל זה מיותר אני מסכים איתו שבארגונים קטונים זה מיותר בארגונים ענקיים וגדולים שתמיד יש ארגונים של מאות אלפי אנשים מאות אלפי אנשים יש בארגון אחד לדוגמה, במייקרוסופט
עובדים מעל 100,000 איש. בצבא, בצבא יש חיל שלם, חיל האוויר, שזה הכל דומיין אחד, זה עשרות ומאות אלפי אנשים, כן?
אז דומיין אדמינס, אתם יכולים לראות פה מי חבר במי. בקיצור, אם אתם, מה שנקרא, בעסק קטן, זה לא באמת יזיז לכם, אם אתם בעסק גדול, זה מאוד חשוב.
יפה, וכבר עברה לנו חצי שעה ועוד לא התחלנו. הבנו מה זה בילט אין, מגיע עם המחשב, יוזרס מגיע עם התקנה של אקטיב דירקטורי, OU'ים הם נועדו לסדר ולחלוקה של גורופוליסי וקונטיינרינג הם בעצם אתם לא יכולים לבנות אותם בדרך רגילה כפי שאתם רואים פה באיזה N אתם גם לא תצטרכו לבנות אותם הם באים מובנים במערכת ויש אפילו פקודה שמחליפה אותם חזרה ל-OU וזהו והדגש הכי חשוב שלי שתמיד תשימו את המחשב יחד עם
היוזר, שלא יצא מצב שאני רוצה פה לחלק הרשאות לכל המחלקת פיתוח, אני מחלק מחלק הרשאות בגרופוליסי. אתם רואים בגרופוליסי, אם אנחנו נקפוץ ואנחנו עוד דקה נעבור פה על כל הממשק הגרפי, אם תראו שבגרופוליסי הכל מחולק ליוזר וקומפיוטר, ושימו לב הפוליסה הזאת
היא מוגדרת לקומפיוטר. ואם אני אעשה פוליסה שיש בה הגדרות של הקומפיוטר ואני אצמיד פה לדאב, למחלקת פיתוח, זה לא יקרה, למה זה לא יקרה?
כי החלק של הקומפיוטר בכלל יתבצע מתוך הקומפיוטר הזה. אתם מבינים? הוא נמצא פה, הוא לא נמצא ב-Dev.
אז מה שחל עליו זה רק מה שחל על הדומיין. אתם מבינים? מעליו רק דומיין. אז שורה תחתונה, אם אני הייתי מצמיד פה איזושהי פוליסה, בוא נעשה איזה פוליסה זריזה, נעשה נניח פוליסה שנקראת firewall off.
נניח אני החלטתי שאני מכבד את ה-firewall בארגון, פעם זה היה מאוד נפוץ, היום זה פחות נפוץ. Firewall, אז עשיתי פוליסה, פוליסה מגיעה ריקה, אתם רואים פה מסך של settings אומר שזה ריק.
אני נכנס לתוך פוליסה ונניח מגיע לחפש ומחפש שעות איפה הסרוויסים. בסוף אני מוצא את הסרוויסים פה ויש פה אלפי אלפי הגדרות. System Services, הרשימה נשלפת מהמחשב המקומי, אם אתם רוצים משהו שלא נמצא במחשב המקומי, תפתחו את ה-GPMC, את הכלי הזה, מתוך תחנת העבודה שלכם, ואז ברגע שאתם פותחים את זה מתחנת העבודה
שלכם עם RSSAT, אתם רואים את הסרוויסים המקומיים שלכם. זה כלי גרפי ששולף את הסרוויסים שיש לי במחשב ומציג לי אותם גרפית.
ברגע שאני מגדיר איזושהי הגדרה, היא נשמרת ב-SysWall כהגדרת רג'יסטרי. מה רצינו? FireWall, Windows, firewall כמובן זה לא מומלץ להפיל את ה firewall ואני אומר disable ואני אומר בסקיוריטי האדמיניסטרטור לא יכול לשנות את זה שימו לב אני מעיף לאדמיניסטרטור אפשרות להדליק את זה אתם מבינים גם לאינטראקטיב יוזר יש לו רק read לסיסטם זה
אומר יוזר שנכנס אינטראקטיבית למחשב יכול לראות שקיים הסרוויס הזה אבל סיסטם שזה מערכת ההפעלה עצמה יכולה לעשות מה שהיא רוצה כן סיסטם זה היוזר הכי חזק בווינדוס