بسم الله الرحمن الرحيم
فهم نُهُجْ المجموعات (Group Policy):
يمكنك تخيّل نُهُجْ المجموعات (Group Policy) كــ عدد من القواعد التي تساعدك على إدارة المستخدمين والكمبيوترات , يمكنك تطبيق Group Policy على عدة ميادين (Domains) , أو على ميادين منفردة , أو على مجموعات فردية ضمن الــ Domain أو حتى على أنظمة فردية ليست منضمّة إلى أي Domain وتعمل كــ Workgroup.
النُهُجْ التي تطبق على أنظمة فردية تسمى نُهُجْ مجموعات محلية (Local Group Policy) وهي مخزنة في النظام المحلي لنفس الكمبيوتر , أما نُهُجْ المجموعات الأخرى فتكون مرتبطة كـ كائنات (Objects) في خدمة الدليل Active Directory .
لفهم نُهُجْ المجموعات (Group Policy) يجب أن تعرف القليل عن بنية Active Directory (AD) , في AD التجمعّات المنطقية للـ Domains تسمى (Sites) والمجموعات الفردية ضمن الـ Domain تسمى وحدات تنظيمية Organization Units (OU) , لذا يمكن أن تتضمن شبكتك مواقع تدعى Damascus و Aleppo و Homs , ضمن الموقع Damascus يمكنك امتلاك Domains تدعى SYRDAM01 و SYRDAM02 و SYRDAM03 ضمن الــ Domain SYRDAM01 يمكنك امتلاك وحدات تنظيمية OU تدعى Sales و Engineering و غيرها ..
تطبّق Group Policy فقط على الأنظمة Windows 2000, XP, Server 2003 , يمكنك ضبط Group Policy لأنظمة Windows NT 4.0 بواسطة System Policy Editor أو البرنامج (Poledit.exe) لــ Windows 95, 98 , تحتاج إلى استعمال System Policy Editor المزوّد مع نظام Windows 95, 98 على التوالي , ثم نسخ ملف Group Policy إلى مكانه المخصص في المجلد المشترك Sysvol في الــ Domain Controller (DC) .
يتم تخزين إعدادات Group Policy في كائن نهج المجموعة (Group Policy Objects) والذي يختصر بــ GPOs , يمكنك تطبيق عدة GPO على Site أو Domain أو OU .
يتم تطبيق الــ Group Policy ضمن مفاهيم الوراثة , إذا كنت تتوقع أن مفاهيم العلاقات هي الجد ثم الأب ثم الإبن فأنت على حق وهي كذلك تماماً.
من خلال الوراثة النهج المطبّق على حاوية الأب سترثه حاوية الإبن , في الأساس هذا يعني أن إعداد نهج مطبّق على كائن أب سينتقل إلى كائن إبن , مثلاً إذا طبقت إعداد GPO في Domain فإن الوحدات التنظيمية OU ضمن الــ Domain سترث ذلك الإعداد , في هذه الحالة الكائن GPO للــ Domain هو الكائن الأب , والكائنات GPO للوحدات التنظيمية OU هي الكائنات الأبناء.
ترتيب الوراثة دائماً هو كالتالي :
هذا يعني أن إعدادات Group Policy لأحد المواقع Site ستنتقل إلى الــ Domains الموجودة ضمن ذلك الموقع , وإعدادات كل Domain ستنتقل إلى الوحدات التنظيمية OU الموجودة ضمن ذلك الــ Domain .
كما قد تتوقع , يمكنك تخطي الوراثة , لتحقيق هذا يجب أن تعيّن إعداد نهج (Policy) للحاوية الإبن يتناقض مع إعداد نهج (Policy) للحاوية الأب , طالما أن تخطي النهج مسموحاً (بمعنى أنه ليس محظور) سيتم تطبيق إعداد النهج الخاص بالإبن بشكل ملائم , يمكنك أن تتعلم أكثر عن تخطي ومنع الوراثة في هذا الشرح لاحقاً ضمن (منع الوراثة وتخطي وت
Organization Units << Domain << Site
في أي ترتيب يتم تطبيق عدة نُهُجْ Group Policies ؟؟
عندما تكون هناك عدة نهج سيتم تطبيقها بالترتيب التالي: Group Policy Windows NT 4.0 (الملف Ntconfig.pol)
نهج المجموعات المحلية Local Group Policy
نهج مجموعات الموقع Site Group Policy
نهج مجموعات الميدان Domain Group Policy
نهج مجموعات الوحدة التنظيمية OU Group Policy
نهج مجموعات الوحدة التنظيمية الإبن لو تم إنشاؤها.
قد يكون هناك نزاعات بين إعدادات النُهُجْ , لذلك ستكون الأسبقية لإعدادات النهج المطبقة لاحقاً وستحل محل إعدادات النهج المضبوطة سابقاً , مثلاً نُهُجْ الوحدة التنظيمية OU لها الأسبقية على نُهُجْ مجموعات الــ Domain , كما قد تتوقع هناك استثناءات لقاعدة الأسبقية , تلك الاستثناءات مناقشة لاحقاً في هذا الشرح ضمن (منع الوراثة وتخطي وتعطيل النُهُجْ)
متى يتم تطبيق نُهُجْ المجموعات Group Policy ؟?
الــ Group Policy تنطبق إلى فئتان عريضتان : تلك التي تنطبق على الكمبيوترات
تلك التي تنطبق على المستخدمين
رغم أن نُهُجْ الكمبيوترات يتم تطبيقها خلال بدء تشغيل النظام إلا أن نهج المستخدم يتم تطبيقها خلال تسجيل الدخول , غالباً ما يكون التسلسل الدقيق للأحداث مهماً في اصطياد المشاكل , الأحداث التي تجري خلال بدء التشغيل وتسجيل الدخول هي كالتالي : يبدأ تشغيل الكمبيوتر وبعد تشغيل الاتصال الشبكي يبدأ تطبيق نهج الكمبيوتر الواحد تلو الآخر في الترتيب المحدد سابقاً , لا تظهر أية واجهة بينما تتم معالجة نهج الكمبيوتر
يشغل ويندوز النصوص البرمجية Scripts لبدء التشغيل , بشكل افتراضي يتم تنفيذ هذه النصوص الواحد تلو الآخر في الترتيب , هذا مناقش لاحقاً في هذا الشرح
يصل المستخدم إلى واجهة الدخول ويضغط Ctrl + Alt + Del ليسجل دخوله , بعد التحقق من صحة المستخدم يحمّل ويندوز الــ Profile الخاص بالمستخدم مع إعدادات GP
يطبّق ويندوز نُهُجْ المستخدم , بشكل افتراضي يتم تطبيق نهج المستخدم الواحد تلو الآخر في الترتيب المحدد سابقاً
يشغل ويندوز النصوص البرمجية Scripts لتسجيل الدخول , بشكل افتراضي يتم تنفيذ هذه النصوص الواحد تلو الآخر في الترتيب
بشكل افتراضي , يتم تحديث Group Policy فقط عندما يسجل المستخدم خروجه ثم دخوله إلى ويندوز , أو بعدما يعاد تشغيل الكمبيوتر , يمكنك تغيير هذا التصرف بضبط الفاصل الزمني لتحديث GP كما هو مناقش لاحقاً في هذا الشرح (تحديث نهج المجموعة Group Policy)
إدارة النُهُجْ المحلية Local Group Policy :
ستدير النهج المحلية بتنفيذ الخطوات التالية :
اذهب إلى القائمة Start ثم Run ثم اكتب gpedit.msc ثم انقر OK , هذا سيفتح الأداة Group Policy Object Editor التي يمكنك من خلالها بإدارة النهج وضبط إعداداتها.
يتم تخزين نهج المجموعات المحلية في المجلد (SystemRoot%\System32\GroupPolicy%) في كل كمبيوتر يشغل ويندوز 2000 وXP و Server 2003 , في هذا المجلد ستجد المجلدات الفرعية التالية التي ستتعرف عليها : ADM يخزن ملفات القالب الإداري الجاري استخدامه حالياً , تنتهي تلك الملفات بالملحق .adm .
Machine يخزن نصوص الكمبيوتر البرمجية في المجلد Script ومعلومات GP المرتكزة على السجل لــ HKEY_LOCAL_MACHINE في الملف Registry.pol
User يخزن نصوص المستخدم البرمجية في المجلد Script ومعلومات GP المرتكزة على السجل لــ HKEY_LOCAL_MACHINE في الملف Registry.pol .
تحذير :
لا يجب أن تحرر هذه المجلدات أو الملفات مباشرةً , يجب أن يكون لديك فهم متين حول تعديلها , إن أي تغيير فيها عن عدم دراية سيقودك إلى مشاكل , بشكل افتراضي هذه المجلدات مخفية ويمكنك إظهارها من Windows Explorer , لتتعلم كيفية التعامل مع ملفات adm راجع التعديل فى الـ Registry عن طريق الـ Group policy
إدارة نُهُجْ الموقع والميدان والوحدة التنظيمية Site , Domain, OU
كل Site أو Domain أو OU يمكن أن يملك GP واحدة أو أكثر , و كما قلنا سابقاً فإن الــ GP المضبوطة عند هذا المستوى مقترنة بــ Active Directory , هذا يضمن أنه سيتم تطبيق GP بشكل ملائم في كل أرجاء الــ Domain والوحدات التنظيمية المرتبطة .
تذكر دائماً أن نُهُجْ المجموعات المذكورة في لائحة Group Policy لها الأولوية على النُهُج المذكورة في أدنى اللائحة , لاحظ الشكل التالي :
الشكل رقم 7
ستنشئ وتحرر نُهُج الموقع والميدان والوحدة التنظيمية بتنفيذ الخطوات التالية : للمواقع (Sites) , ستشغل الأداة الإضافية لــ Group Policy من وحدة التحكم Active Director Sites and Services وتجدها في قائمة Start < Administrative Tools.
للميادين والوحدات التنظيمية (Domains & OUs) , ستشغل الأداة الإضافية لــ Group Policy من وحدة التحكم Active Directory Users & Computers.
في جذر وحدة التحكم , انقر بيمين الماوس على الموقع أو الميدان أو الوحدة التنظيمية الذي تريد إنشاء إدارة نهج مجموعة فيه , ثم انتق Properties من القائمة المختصرة , هذا سيفتح مربع حوار الخصائص التي من خلالها ستقود بضبط الإعدادات.
في مربع حوار الخصائص انتق علامة التبويب Group Policy وسيظهر لك مربع الحوار كما في الشكل السابق (النُهُجْ الموجودة مذكورة في اللائحة Group Policy Object Links).
لإنشاء GP جديدة انقر الزر New , يمكنك الآن ضبط تكوين هذا النهج .
لتحرير نهج موجود مسبقاً , انتق النهج ثم انقر الزر Edit , يمكنك الآن تحرير النهج .
لتغيير أولوية النهج , انتق النهج الذي تريد ثم استعمل الأزرار Up أو Down لتغيير مكانه في اللائحة Group Policy Object Links.
يتم تخزين نهج مجموعات الموقع والميدان والوحدة التنظيمية في المجلد (SystemRoot%\Sysvol\Domain\Policies%) في الــ Domain Controller , ستجد في هذا المجلد مجلداً فرعياً واحداً لكل نهج عرّفته في متحكم الميدان (DC) , أسماء مجلدات النهج هي المعرف الفريد العمومي (Guid) لكل نهج , يمكن إيجاد الهويات Guid في صفحة خصائص النهج في علامة التبويب General , ضمن المجلدات الفرعية تلك ستجد المجلدات الفرعية التالية : ADM يخزن ملفات القالب الإداري الجاري استخدامه حالياً , تنتهي تلك الملفات بالملحق .adm .
Machine يخزن نصوص الكمبيوتر البرمجية في المجلد Script ومعلومات GP المرتكزة على السجل لــ HKEY_LOCAL_MACHINE في الملف Registry.pol
User يخزن نصوص المستخدم البرمجية في المجلد Script ومعلومات GP المرتكزة على السجل لــ HKEY_LOCAL_MACHINE في الملف Registry.pol .
تحذير :
لا يجب أن تحرر هذه المجلدات أو الملفات مباشرةً , يجب أن يكون لديك فهم متين حول تعديلها , إن أي تغيير فيها عن عدم دراية سيقودك إلى مشاكل , بشكل افتراضي هذه المجلدات مخفية ويمكنك إظهارها من Windows Explorer , لتتعلم كيفية التعامل مع ملفات adm راجع التعديل فى الـ Registry عن طريق الـ Group policy
منع الوراثة وتخطي وتعطيل النُهُجْ :
كما قد تتوقع , يمكنك منع وراثة النهج عند مستوى الموقع والميدان والوحدة التنظيمية , هذا يعني أنه يمكنك منع النهج التي كان سيتم تطبيقها , يمكنك أيضاًُ فرض نُهُجْ كان سيتم منعها أو مناقضتها , هذا سيعطي المسؤولين ذوي المستوى الأعلى القدرة على فرض نُهُجْ ومنع حظرها , هناك خيار آخر هو تعطيل النهج (Disable GP) , يمكنك تعطيل النهج جزئياً أو كلياً من دون حذفه , لاحظ الشكل رقم 7 .
ستضبط تلك الخيارات بتنفيذ الخطوات التالية : افتح علامة التبويب Group Policy للموقع أو الميدان أو الوحدة التنظيمية التي تريد العمل معه , كما هو محدد في الخطوات 1-4 مسبقاً في إدارة نُهُجْ الموقع والميدان والوحدة التنظيمية .
انتقٍ Block Policy Inheritance لمنع وراثة النهج التي لها مستوى أعلى (إلا إذا كان الخيار No Override لتلك النُهُجْ مُنتقى) لاحظ الشكل رقم 7 .
استعمل الخيار No Override لمنع النهج التي لها مستوى أدنى من منع إعدادات هذا النهج , انتقٍ أو الغٍ الانتقاء بالوقوف على النهج ثم بالزر اليمين للماوس ثم اختر الخيار المناسب.
استعمل الخيار Disable لتعطيل استخدام نهج , انتقٍ أو الغٍ الانتقاء بالوقوف على النهج ثم بالزر اليمين للماوس ثم اختر الخيار المناسب.
تعطيل جزء غير مستعمل من Group Policy :
هناك طريقة أخرى لتعطيل نهج وهي تعطيل جزء غير مستعمل من الكائن GPO , عندما تفعل هذا ستمنع الإعدادات Computer Configuration أو User Configuration أو كلاهما , ولن تسمح بأن يتم تطبيقها , تذكر أنه بتعطيل جزء من نهج غير مستعمل سيصبح تطبيق الكائنات GPO والأمان أسرع .
يمكنك تمكين أو تعطيل إعدادات التكوين في Group Policy بتنفيذ الخطوات التالية : افتح علامة التبويب Group Policy للموقع أو الميدان أو الوحدة التنظيمية التي تريد العمل معه , كما هو محدد في الخطوات 1-4 مسبقاً في إدارة نُهُجْ الموقع والميدان والوحدة التنظيمية .
اختر Properties في علامة التبويب Global Policy ثم انتق أو الغ انتقاء Disable Computer Config….. أو Disable User Config …. كما في الشكل رقم 8 :
الشكل رقم 8
تحذير :
أية إعدادات للعقدة المحظورة لن يتم تطبيقها وستضيع مبدئياً , لإعادة الحصول على تلك الإعدادات سيكون عليك إلغاء انتقاء الخيارات Disable Computer … أو Disable User … , لاحظ الشكل السابق رقم 8 .
تطبيق نهج موجود مسبقاً على مكان جديد :
أي نهج مجموعة كنت قد أنشأته مسبقاً يمكن أن تستعمله وتقرنه بموقع أو ميدان أو وحدة تنظيمية تريد العمل معها , بفضل هذه الميزة يمكنك استعمال إعدادات النهج وربطها مع نهج موجود مسبقاً من دون الاضطرار إلى إعادة إنشاء واحد جديد , هذا له حسنات كثيرة ...
ستطبق نهجاً موجوداً على مكان جديد بتنفيذ الخطوات التالية : افتح علامة التبويب Group Policy للموقع أو الميدان أو الوحدة التنظيمية التي تريد العمل معه.
في علامة التبويب Group Policy انقر Add كما هو مبين في الشكل رقم 9 .
استعمل علامات التبويب والحقول المزوّدة لإيجاد النهج الذي تريد تطبيقه على المكان الحالي , بعدما تحدد النهج اضغط OK.
ينشئ Active Directory ارتباطاً بين الكائن GPO وبين الموقع أو الميدان أو الوحدة الحاوية التي تعمل معها , الآن عندما تحرر النهج في أي مكان , فعلياً سيكون قد تم تحرير النسخة الرئيسية للكائن GPO وستنتشر التغييرات لجميع الارتباطات.
الشكل رقم 9
حذف نهج المجموعة Group Policy :
يمكنك حذف نهج المجموعة بتنفيذ الخطوات التالية: افتح علامة التبويب Group Policy للموقع أو الميدان أو الوحدة التنظيمية التي تريد العمل معه .
انتق النهج الذي تريد حذفه ثم انقر Delete.
إذا كان النهج مربوطاً سيكون لديك خيار حذف الارتباط من دون التأثير على الحاويات الأخرى التي تستعمل النهج , لتحقيق هذا انتق Remove The Link From The List والموجود في مربع الحوار Delete.
إذا كان النهج مربوطاً يمكنك أيضاً حذف الارتباط وكائن النهج المرتبط به , طبعاً هذا سيحذف النهج بشكل دائم , لتحقيق هذا انتق Remove The Link and Delete The Group Policy Object Permanently .
الشكل رقم 10
تحذير :
يمكنك حذف نهج المجموعة سواءً المستعمل أو غير المستعمل , بمعنى أنه لو كنت تستعمل نهج مجموعة مرتبط به أكثر من كائن , فسيمكنك حذفه وستضيع ارتباطاته وإعداداته ولن تعود مطبقة , لذلك كن حذراً عند حذفك لأي نهج .
تحديث نهج المجموعة Group Policy :
عندما ُتجري تغييرات على Group Policy ستكون تلك التغييرات فورية ولكنها لن تنتشر تلقائياً , الكمبيوترات العميلة تطلب النهج عندما : يشتغل الكمبيوتر .
يسجل مستخدم دخوله إلى ويندوز.
يطلب برنامج أو مستخدم التحديث يدوياً
هناك فاصل زمني للتحديث مضبوط لــ Group Policy وقد انقضى ذلك الفاصل الزمني.
يمكنك أن تطلب تحديثات Group Policy باستعمال سطر الأوامر CMD بتنفيذ الخطوات التالية: اذهب إلى القائمة Start ثم إلى Run واكتب الأمر التالي : gpupdate أو يمكنك تشغيل cmd ثم بعدها اكتب الأمر gpupdate لكي ترى الخرج الناتج عنه.
الأمر gpupdate له بارامترات عديدة , يمكنك طلب الأمر بهذا الشكل ?/ gpupdate وبالتالي سيظهر لك وصف لكل بارامتر , عملياً كل بارامتر يصف نفسه ولست بحاجة للخوض في شرحه لذلك لو كنت تحتاج لمعلومات أكثر عن هذا الأمر راجع تعليمات ويندوز.
يمكنك نشر تحديثات النهج أيضاً بضبط فاصل زمني للتحديث , وهذا بالتالي يجبر الكمبيوترات العميلة على إجراء تحديث دوري , لكن في كلا الحالتين سيكون التحديث مجرد تحديث خلفي وقد لايتم تحديث بعض النُهُجْ التي تتطلب إعادة تشغيل الكمبيوتر , الطريقة الوحيدة لضمان التحديث لكل نهج الكمبيوتر هو إعادة تشغيل الكمبيوتر.
لضبط الفاصل الزمني للتحديث في Group Policy ستستعمل Group Policy نفسها لهذا الغرض , لضبط زمن التحديث لإعدادات الكمبيوتر نفذ الخطوات التالية : افتح علامة التبويب Group Policy للموقع أو الميدان أو الوحدة التنظيمية التي تريد العمل معه.
اذهب إلى العقدة Group Policy بتوسيع Computer Configuration \ Administrative Templates \ System \ Group Policy .
في لوح التفاصيل انقر نقراً مزدوجا بالماوس على Group Policy refresh interval for computers وحدد زمن , يتحكم هذا النهج بسرعة التحديث الخلفي لنهج الكمبيوتر.
الآن في التبويب Settingانتق Enable , يمكنك الآن ضبط الفاصل الزمني للتحديث , بواسطة الإعدادات الافتراضية يتم التحديث كل 90 دقيقة مع إزاحة عشوائية في الوقت تبدأ من 0 إلى 30 دقيقة , تذكر أن الإزاحة ستقلل كثيراً من احتمال أن يطلب عدة كمبيوترات التحديث في نفس الوقت , بعد أن تنتهي اضغط OK.
لضبط زمن التحديث لإعدادات المستخدم نفذ الخطوات التالية :افتح علامة التبويب Group Policy للموقع أو الميدان أو الوحدة التنظيمية التي تريد العمل معه , كما هو مشروح مسبقاً .
اذهب إلى العقدة Group Policy بتوسيع User Configuration \ Administrative Templates \ System \ Group Policy .
في لوح التفاصيل انقر نقراً مزدوجا بالماوس على Group Policy refresh interval for Users وحدد زمن , يتحكم هذا النهج بسرعة التحديث الخلفي لنهج الكمبيوتر.
الآن في التبويب Settingانتق Enable , يمكنك الآن ضبط الفاصل الزمني للتحديث , بواسطة الإعدادات الافتراضية يتم التحديث كل 90 دقيقة مع إزاحة عشوائية في الوقت تبدأ من 0 إلى 30 دقيقة , تذكر أن الإزاحة ستقلل كثيراً من احتمال أن يطلب عدة كمبيوترات التحديث في نفس الوقت , بعد أن تنتهي اضغط OK.
العالم الحقيقي :
عند تطبيق تحديث يتم توليد حركة مرور في الشبكة, خلال هذا التحديث قد يصبح الكمبيوتر المحلي أقل استجابة من أي وقت وهذا قد يؤثر على عمل المستخدم , لذلك تريد أن تضمن أن التحديثات لا تجري بتواتر سريع ولكنها متكررة بما يكفي التوقعات أو المتطلبات .
تذكر أنه كلما ازداد تواتر تحديث نهج ما كلما تم توليد حركة مرور أكبر في الشبكة , في بيئة شبكة كبيرة سترغب عادةً بضبط سرعة تحديث أطول كي لا تؤثر على عمل المستخدمين , تذكر أن تحديثاً كل يوم أو قد يكون كل أسبوع قد يكون كل مايلزم لإبقاء النهج محدثة بما يكفي .
أنتظرو بقيه الشرح
رد مع اقتباس
المشاركة الأصلية كتبت بواسطة wobooo
ضوابط المشاركة
المفضلات