Group Policy چیست و چطور یک سیاست ساده بسازیم؟

GPO می‌تواند به Site، Domain یا OU لینک شود. User Configuration با محل حساب کاربر و Computer Configuration با محل حساب دستگاه ارتباط دارد؛ گروه امنیتی محل Link کردن GPO نیست. ترتیب معمول پردازش از سیاست محلی به Site، Domain و سپس OUهای والد و فرزند است، اما Enforced، Block Inheritance و ترتیب لینک‌ها می‌توانند نتیجه را تغییر دهند. برای حل اولین مشکل، این گزینه‌ها را بی‌دلیل تغییر ندهید.

در این راهنما از Group Policy Management روی دامین استفاده می‌کنیم. gpedit.msc روی یک کلاینت، ویرایشگر سیاست محلی است و جای GPMC دامین را نمی‌گیرد. Drive Maps در بخش Preferences قرار دارد؛ نمایش درایو یک تنظیم کاربری است و مرز امنیتی محافظت از فایل‌ها نیست.

کنترلر DC1 با Windows Server 2025 Standard و Desktop Experience، دامین ad.example.com و کلاینت عضو دامین Windows 11 Pro مبنای این مثال‌اند. در ساخت کاربران، گروه و OU دو حساب عادی lab.sales و lab.control داخل Lab / People قرار می‌گیرند؛ فقط lab.sales عضو GG-Sales-Users است.

اشتراک \\FS1.ad.example.com\Sales باید روی فایل‌سرور آماده باشد. قبل از ساخت GPO، کاربر فروش باید با مسیر مستقیم به فایل آزمایشی دسترسی لازم داشته باشد و کاربر کنترل نباید بتواند همان محتوا را باز کند. اگر این پیش‌نیاز برقرار نیست، ابتدا مشکل دسترسی پوشهٔ اشتراکی را حل کنید.

حرف S را فقط وقتی انتخاب کنید که روی کلاینت آزمایش آزاد و فاقد نگاشت دیگری باشد. تغییر روی کاربران واقعی نیازمند بررسی سیاست‌ها و درایوهای موجود است. برای ساخت و لینک GPO نیز حساب دارای مجوز همان عملیات لازم است؛ کاربر فروش حساب مدیر نیست.

• در Server Manager → Tools → Group Policy Management، دامین ad.example.com را باز کنید. روی Group Policy Objects راست‌کلیک کنید و New را بزنید. نام را LAB-User-SalesDrive بگذارید؛ فعلاً آن را به OU لینک نکنید.
• روی سیاست تازه Edit بزنید. مسیر User Configuration → Preferences → Windows Settings → Drive Maps را باز کنید و New → Mapped Drive را انتخاب کنید.
• مقادیر جدول را در تب General تنظیم کنید. این مثال به تغییر Default Domain Policy نیاز ندارد.

این درایو از هویت کاربر واردشده استفاده می‌کند؛ اعتبارنامهٔ مدیر را داخل سیاست ذخیره نکنید و از نمونه‌های قدیمی Connect as برای توزیع رمز استفاده نکنید. رفتار Actionها در مرجع قدیمی Drive Maps آمده است؛ گزینه‌های عمومی و زمینهٔ کاربری با مستندات فعلی Group Policy Preferences تطبیق داده شده‌اند.

• در تب Common، گزینهٔ Item-level targeting را فعال کنید و Targeting را باز کنید. از New Item، گزینهٔ Security Group را انتخاب کنید.
• گروه AD\GG-Sales-Users را پیدا کنید و شرط عضویت «کاربر» در گروه را تنظیم کنید، نه عضویت کامپیوتر. شرط را ذخیره کنید.
• Apply once and do not reapply را فعال نکنید. گزینهٔ Remove this item when it is no longer applied را نیز در این مثال خاموش بگذارید؛ دلیل و روش پاک‌سازی در بخش پایانی آمده است.

برای این سیاست تازه، Security Filtering پیش‌فرض Authenticated Users را نگه دارید. ابتدا OU محدودهٔ پردازش GPO را تعیین می‌کند و سپس شرط آیتم، فروش را از سایر کاربران همان OU جدا می‌کند. تغییر هم‌زمان Security Filtering و Item-level Targeting تشخیص علت شکست را سخت‌تر می‌کند؛ این تمرین به آن نیاز ندارد.

پس از کنترل تنظیمات، روی OU برابر Lab / People در GPMC راست‌کلیک کنید و Link an Existing GPO را بزنید؛ LAB-User-SalesDrive را انتخاب و فعال بودن لینک را بررسی کنید. آن را به کل دامین، Groups یا Workstations لینک نکنید. این سیاست کاربری به محل حساب کاربر مربوط است.

کارهای باز را ذخیره کنید. برای تازه شدن عضویت گروه، lab.sales باید Sign out کند و دوباره وارد کلاینت شود؛ Lock و Unlock یا gpupdate به‌تنهایی جای نشست تازه را نمی‌گیرند. در پنجرهٔ عادی همان کاربر فرمان‌های زیر را اجرا کنید، نه در پنجره‌ای که با هویت مدیر دیگری باز شده است.

whoami /groups
gpupdate /target:user /force
gpresult /scope user /r

گزارش gpresult باید نشان دهد GPO موردنظر در فهرست سیاست‌های اعمال‌شدهٔ کاربر قرار دارد. این گزارش به‌تنهایی موفقیت تک‌تک آیتم‌های Preferences را ثابت نمی‌کند. در This PC، وجود S و اتصال آن به مسیر فروش را بررسی کنید؛ سپس در پوشهٔ آزمایشی، خواندن و ویرایش مجاز را بسنجید.

با lab.control در نشست جدا وارد شوید. چون عضو گروه فروش نیست، این آیتم نباید برای او S بسازد. او همچنین نباید از مسیر مستقیم UNC به محتوای فروش دسترسی داشته باشد؛ این بخش را مجوز فایل‌سرور تعیین می‌کند. اگر قبلاً S با روش دیگری ساخته شده، وجود آن را به این GPO نسبت ندهید.

نتیجه را با زمان آزمون، حساب و نام کلاینت ثبت کنید. لینک به OU کامپیوتر را با فعال کردن بی‌برنامهٔ Loopback جبران نکنید؛ برای این سناریو محل درست همان OU کاربران است.

در Preferences، گزینهٔ Remove this item when it is no longer applied رفتار آیتم را به Replace تغییر می‌دهد؛ یعنی حذف و ساخت دوبارهٔ نگاشت. این رفتار می‌تواند بر استفاده از درایو اثر بگذارد. برای مثال محدود ما Update را نگه داشتیم و پاک‌سازی را آگاهانه انجام می‌دهیم. بنابراین صرف Unlink کردن GPO یا خارج کردن کاربر از گروه را حذف تضمینی S فرض نکنید.

برای جمع‌کردن همین آزمایش، ابتدا فایل‌های باز روی S را ببندید. تا زمانی که کاربران آزمایشی هنوز مشمول شرط گروه‌اند، آیتم را به Action برابر Delete با انتخاب فقط حرف S تغییر دهید؛ گزینهٔ حذف همهٔ درایوها را انتخاب نکنید. سیاست را برای همان کاربران پردازش کنید و نبودن نگاشت را تأیید کنید؛ بعد لینک سیاست آزمایشی را بردارید.

کاربری که قبلاً از گروه خارج شده دیگر مشمول همین آیتم پاک‌سازی نیست. برای او، پس از تأیید اینکه S دقیقاً همان مسیر آزمایش است، در نشست خودش از Disconnect در File Explorer استفاده کنید یا پاک‌سازی محدود جداگانه‌ای طراحی کنید. برداشتن نگاشت، دسترسی منبع را لغو نمی‌کند؛ برای قطع دسترسی، عضویت‌ها، مجوزها و نشست‌های فعال نیز باید بررسی شوند.