מידי פעם אני מגלה פיצ'ר נחמד שאני מעוניין להוסיף לדומיין שלי בGPO. ההתלבטות שלי היא האם לערוך כל פעם את ה Default Domain Policy, או לתת לכל הגדרה קטנה GPO משלה?

מצד אחד, להשתמש בGPO אחד רק כדי להגדיר לוגון סקריפט, ועוד אחד רק כדי להגדיר אפשרות כזו, ועוד אחד כדי להגדיר אפשרות אחרת - נראה כמו שימוש בטנק כדי לדפוק תמונה...

מצד שני, אם אני אשים את כל ההגדרות על ה Default Domain Policy, אני לא אזכור מה מוגדר ומה לא.. ובנוסף, כשארצה ליצור עוד GPO, יכולות להיווצר כפילויות..

יש דרך ביניים? או אם אני משתמש רק בGPO אחד, יש כלי שמראה לי רק מה חל?

תודה

אגב, אני מודע לכך שאפשר להשתמש בחלוקה לOU כדי לפשט את האדמיניסטרציה, אבל כרגע מדובר בדומיין קטן וניסיוני..

לבלוג שלי - Sandbox

Pinky: Ha ha ha ha, Troz!
Brain: What is troz?
Pinky: Why that's Zort in a mirror. Huh huh, Troz!

כדאי בהחלט לנסות לעשות מספר GPO נפרדים, אחד לכל קטגוריה (סקריפטים, אבטחה, התקנת תוכנות, הגדרות IE וכו'). בצורה כזו תוכל לבצע הפרדה, ביטול לפי צורך, שינויים וכן בדיקות בצורה נוחה יותר. המגבלה הקיימת על כמות ה- GPOים המקסימלית ליוזר רחוקה, רחוקה מאוד מכמה בודדים שאתה צריך.

לעניין התוכנה - למה לא להתקין את GPMC?

http://www.petri.co.il/download_gpmc.htm

---------------------
http://support.microsoft.com/kb/555375
---------------------

אחד שקשור בהגדרות ככל רשתיות (הגבלות על ססמאות ומחשבים)
אחד להתקנות
אחד להגבלות וויזואליות (ביטול כפתורים + סקריפטים להרצה)

בעקרון מומלץ לא להגדיר יותר מידי GPOים כי תהליך ההתחברות יהפוך מסורבל ואיטי יותר, אבל המעקב קשה כאשר יש לך המון הגבלות באותו אובייקט.
מומלץ לעבוד עם GPMC (עובד מXP ומעלה) כדי שיהיה לך קל יותר לראות אילו הגבלות (Efective Permissions) מוגדרות לך ברשת, ולדגום מידי פעם עם Rsop את המשתמשים.
שים לב שבכלי הזה אתה יכול להוציא דו"ח htmlי שמסביר לך בדיוק מה כל אובייקט מגביל.
אל תשכח שבמקרים של התנגשויות יש כמה כללים כמו GPO על אתר חזק יותר מGPO על OU, הגבלות על מחשב חזקות יותר מהגבלות על משתמש וכד'.
מומלץ לקרוא את החומר לפני שמתעסקים עם זה

עבודה עם GPMC וחלוקה של GPO לפי נושאים תקל עליך מאוד את העבודה.