آیا نحوه اعمال یک پالیسی بر روی کلاینتها متفاوت است؟ اعمال GPO
سلام دوستان عزیز ؛ چند روز پیش مشکلی برام پیش اومده بود که تو فروم مطرح کردم و دوستان لطف کرده و پاسخ من رو دادند. فقط نمیدونم چرا در آخرین مرحله با اینکه تمامی مراحل درست بود، پالیسی اعمال نشده و کار نمی کرد، تا اینکه یکی از دوستان گفت باید علاوه بر سرور تو کلاینت هم این دستور رو بزنی:
gpupdate / force
برام جالب بود آخه حتما باید دستور فوق رو میزدم تا پالیسی اجرا میشد و حتی با Log off و Restart هم، جواب نمیداد.ولی یه پالیسی بود که برای مخفی کردن و برداشتن Add/remove programs ایجاد کردم، این پالیسی فکر کنم فقط با Log off کردن کلاینت اعمال شد.
حالا میخوام بدونم آیا هر پالیسی که میخواد اجرا بشه بسته به نوع محدوده ای که میخواد اعمال کنه، باید یک کدوم از سه روش(اجرای دستور فوق، Log off و restart ) رو برای اعمال شدنش انتخاب کنیم یا اینکه من دارم اشتباه فکر می کنم؟؟ اگه اینجوری باشه که خب بنوعی ضعف در ویندوز سرور نیست که مثلا ما باید بریم پشت هر کلاینت و دستور فوق رو بزنیم؟؟؟فکر کنم پالیسیهایی که مربوط به قسمت تنظیمات کامپیوتر یا همون Computer Configuration هست حتما باید دستور فوق رو بزنیم و در بقیه مثل User Configuration نمیخواد.
4 پاسخ
خود من به تجربه میگم خدمتتون بارها شده یه policy رو اعمال کردم ولی با gpupdate انجام شده ولی گاهی اوقات همون سیاست ها با gpupdate اصلاً انجام نشده و با Restart سیستم انجام شده شاید باگ باشه شایدم من یه جاهایی رو به درستی تنظیم نکردم نمیدونم به هر حالا الان هر موقع کاری انجام میدم gpupdate میگیرم (اکثر مواقع جواب میده) اما اگر جواب نداد یه ریست هم میکنم تا مطمئن شم.
سلام ...
چون تغیر در Group Policy باعث تغیر در Register کامپیوتر می شود، لازم است شما یکی از این کارها را انجام دهید تا تنظیمات در Register اعمال شود.
دوستان یه نکته بسیار مهم رو فراموش نکنید ، این سرور نیست که Group Policy رو اعمال می کنه این برداشت کاملا اشتباه هست ، در واقع سرور فقط یک الگو میسازه تا کلاینت هر موقع تونست بیاد این الگو رو برداره و خودش اعمال کنه ، دقیقا مفهوم Join کردن به همین معنی هست یعنی شما به عضویت این دامین در میاین و از الگوهای این دامین تبعیت می کنید ، زمانیکه شما یک Policy رو اعمال می کنید در Group Policy این Policy تا زمانیکه کلاینت نیاد و درخواست بروز رسانی Policy رو نده اعمال نخواهد شد ، پیشفرض کلاینت ما برای دریافت Policy ها هر 90 دقیقه یکبار به سرور مراجعه می کنه ، پس توجه کنید کلاینت میاد Policy رو میگیره و خودش اعمال می کنه نه سرور ، این زمان 90 دقیقه در Group Policy قابل تغییر هست پس طبیعی هست که شما وقتی یک Policy رو اعمال می کنید بصورت معمول 90 دقیقه بعد اعمال میشه بر روی کلاینت های شما....
حالا توجه کنید که دستوری داریم به نام Gpupdate که برای بروز رسانی Policy ها استفاده می شه ، این دستور هم کلاینتی اجرا میشه و هم سروری ، زمانیکه از روی سرور برای کلاینت ها میخاین Policy اعمال کنید باید دستور Gpupdate //force رو بزنید ، این دستور در واقع داره به کلاینت میگه عزیز من پاشو سریعتر بیا الگو برداری جدید اومده بگیر و خودت اعمال کن .... بنابراین اصلا دستور gpupdate //force روی کلاینت بی معنی هست هرچند وجود داره ، شما روی کلاینت همون gpupdate رو هم بزنید کفایت می کنه.
نکته بعدی در خصوص دیر اعمال شدن یا اعمال نشدن Policy ها هست ، اگر میخاین مطمئن بشید Policy ای اعمال شده یا خیر کافیه خروجی دستور Gpresult رو بررسی کنید و ببینید اعمال شده یا خیر که اگر دیدید نمایش داده شد قطعا اعمال شده ، اما بعضی از Policy ها هستند که خواه ناخواه زمان می بره اعمال بشن ... مثلا Folder Redirection یا مثلا Sync کردن یک سری فایل و یا حتی WSUS و ... این Policy ها اعمال میشن اما طول میکشه کارشون رو انجام بدن چون جابجایی فایل داره صورت میگیره....
اما نکته بعدی اینکه عملیات هایی مثل Logff ، Restart و ... باعث میشن خواه ناخواه با Boot شدن و Startup سیستم Policy ها بروز رسانی بشن ، اینکار در واقع ربطی به اون زمان 90 دقیقه نداره و خود به خود انجام میشه ، به یه مسئله ای هم توجه کنید که سرویس هایی وجود دارند که در دریافت کردن Group Policy شرکت دارند این سرویس ها ممکنه درست کار نکنن و باعث بشن Policy شما دیر یا حتی اعمال نشه ، با Restart شدن این سرویس ها یه شوک بهشون وارد میشه و بعضیا بسیاری از مشکلاتشون برطرف میشه و Policy اعمال میشه. در آخر توجه کنید برخی از Policy ها در ویندوز 8 در ویندوزهای قدیمی اعمال نمیشن ... موفق و پیروز باشید
سه تا مطلب رو میخوام خدمدتون عرض کنم ( همین جا پوزش بطلبم چون محاوره ای مینویسم تا رونتر باشه و اینکه در قسمت پاسخ هست پس من رو میبخشید )
اول رو به جناب آقا داوود ببینید شما یه زمان یه policy رو روی همون سرورتون و در واقع لوکال و interactive ست میکنید که از gpupdate روی سرور استفاده میکنید و همونطور که از اسمش پیداست تنظیمات Group Policy رو update میکنه یعنی همونطور که kamyar عزیز گفت در رجیستری تغییرات میده حالا همون موقع اجرا میشه یا نه بماند تا پائینتر
ولی یه وقتی تنظیمات رو داری برای یوزرها و کامپیوترهای توی شبکت و دامینت ست میکنی که در این صورت برای اجرای اون باید روی اون کامپیوتر خاص یا در اکانت اون یوزر خاص gpupdate بزنی که قاعدتا کلاینت هست چون میخواد به اون اعمال بشه البته کاملا بستگی به اون policy داره که داری اعمال میکنی که اون محدودیت توی سرور داره چک و اعمال میشه یا توی کلاینت پس چیز عجیبی نیست که gpupdate رو در کلاینت force کنی
این نکته رو هم در نظر بگیرید یه سناریو رو باهم پی بگیریم : همونطور که میدونید موقعی که DC خاموش هست شما میتونید با یوزرهاتون به کلاینت ها Log In کنید ، خوب حالا اگه قرار بود پالیسی ها همگی در دامین چک بشه و به کلاینت ها منطقل نشه که یه گاف بزرگ امنیتی بود که شما فارق از محدودیتهایی که برای حداقل یوزرتون درنظر گرفتن فعالیت میکردید
اگه دارم پر چونگی میکنم ببخشید میخوام دوستان کمی تازه کارتر براشون بهتر جا بیفته و شما فکر نکنین که این ماجرا بنوعی ضعف در ویندوز سروره ( البته این ماجراها مطعلق به کل ویندوز هست نه فقط سرور )
نکته دوم اینه که بدونیم پالیسی ها کی update و sync میشن در واقع
بطور کلی بسته به اینکه شما تغییرات رو در چه قسمتی تنظیم میکنید Computer Configuration یا User Configuration ، پالیسی در هنگاه Join دامین شدن ، Log on کردن یوزر ، OK کردن تغییرات در پنجره اون پالیسی ( تائید Configure انجام شده ) و اجرای دستور gpupdate یک پالیسی update میشه ولی به معنی این نیست که اعمال شده
و اما نکته سوم : یک پالیسی کی اعمال میشه
این نکته کاملا بستگی به نوع پالیسی ای هست که دارید ست میکنید
بعضی از پالیسی ها برای اجرا احتیاج به هیچ کار یا زمان خاصی ندارن یعنی به محض زدن دکمه OK و تائید تنظیمات اجرا میشن بله حتی gpupdate هم نمیخوان
دسته دوم اونایی هستن که باید یه force ای روشون بزاری اینا توجیح نیستن واسه همین باید از دستور gpupdate استفاده کنی حالا تو سرور یا کلاینت یا هردو
دسته سوم پالیسی های زبان نفهمند که برای اجرا کارشون با دستور فوق راه نمی افته و باید به خودتون زحمت بدید و Log Off - Log On یا Sign Out - Sign In بفرمائید ( نکته رو توجه کردین: زحمت بدید - بفرمائید !!؟، بنده بدلیل داشتن پارتی در بخش پالیسی ها ازین ماجرا معافم . وا... )
دسته چهارم حکایت آدمیزادیه که خودش رو بخواب زده و تو میخوای بیدارش کنی ، میشه ؟ نه میشه ؟
اینا هم اینطورین ناجورن تا کامپیوتر رو Restart نکنی اجرا نمیشن حکم چک یا یه پارچ آب رو داره
دلیل دو مورد فوق البته همون تغییرات در رجیستری و سطح این تغییرات هست
اما دسته پنجم پالیسی های ... هستند آقا بزار بگم دیگه اینا نمیدونی با من چیکار کردن ده.......... آقا حسین احمدی نمیزاره بگم :)
میگه حذفش میکنم ، موأدب باشید . چشم آقا چشم
اینا خیلی چیزن صد بارم Restart کنی اجرا نمیشن تا هر وقت خودشون حال کردن ملتُ گذاشتن سر کار . خود مایکروسافت معظم هم میگه بعضا تا 24 ساعت من میگم 48 ساعت طول میکشه تا اجرا شه. کلا آدم ضایع کنن ( بنده شخصا زخم خوردم )
علت : برادر خود مایکروسافت درست نمیدونه چرت میگه میخوای من بدونم
در ثانی ... بودنم علت میخواد . چاکریم داش حسین
امیدوارم مورد توجهتون قرار گرفته باشه
همینی که بچه ها میگن IT PRO باشید
بی ...
......
آخیش با این پالیسی آخریا بودم
تو گلوم گیر کرده بود