Администрирование объектов групповых политик (GPO)

Групповые политики обеспечивают централизованное управление настройками операционных систем, приложений и пользователей в домене «Эллес». Набор настроек, назначенный администратором определенной группе компьютеров и пользователей, объединяется в объект групповой политики (Group Policy Object, GPO).

Инфраструктура управления и применения GPO в домене состоит из двух уровней:

  • серверные расширения (Server Side Extensions, SSE) — отвечают за работу с GPO на контроллере домена, позволяя администраторам задавать и применять настройки к определенным компьютерам и пользователям в домене (в случае «Эллес» это — группа подкоманд samba-tool gpo);

  • клиентские расширения (Client Side Extensions, CSE) — модули на клиентских машинах, обеспечивающие установку и применение определенных политик (в случае «Эллес» клиентское расширение представляет собой файл на Python).

В случае настройки автоматического обновления политик их применение происходит с интервалом в диапазоне от 90 до 120 минут.

При необходимости данный интервал может быть изменен с помощью конфигурационного параметра apply group policies:period в файле smb.conf.

См. подробное описание параметра в разделе «Работа с samba-gpupdate».

Для принудительного применения политик вручную на участнике домена под управлением ОС Linux используется команда samba-gpupdate --force. Аналогичная команда на участнике домена под управлением ОС Windows — gpupdate /force.

Для администрирования объектов групповых политик (GPO) в домене «Эллес» с помощью утилиты samba-tool (полный путь к samba-tool после установки — /app/inno-samba/bin/samba-tool) используется группа подкоманд gpo.

В «Эллес» все операции с GPO по умолчанию выполняются на контроллере домена, являющемся владельцем роли PDC Emulator. Это обеспечивает целостность данных и исключает конфликты при одновременном изменении одной и той же политики на нескольких контроллерах.

При использовании команд samba-tool gpo create, set, del, list и других без явного указания целевого контроллера (-H ldap://<server>) операция автоматически направляется на PDC Emulator. Если PDC Emulator недоступен, операция завершается ошибкой.

Для управления GPO на другом контроллере домена необходимо явно указать его с помощью опции -H ldap://<server>. В этом случае операция выполняется непосредственно на указанном контроллере, но только если GPO уже реплицирован на него.

Обновлено: