Stap voor stap GPO's beheren in PowerShell met praktische voorbeelden

Het beheren van groepsbeleidsobjecten (GPO's) in bedrijfsomgevingen is essentieel voor het handhaven van de beveiliging en standaardisatie van computer- en gebruikersconfiguraties binnen Active Directory. Hoewel de grafische interface veel tools biedt, is PowerShell een krachtig, veelzijdig en automatiseerbaar alternatief voor het afhandelen van alle aspecten met betrekking tot GPO's, van het aanmaken tot het verwijderen ervan. Voor meer informatie over het optimaliseren van deze taken is er aanvullende informatie beschikbaar over GPO-beheer in PowerShell.

Dit artikel laat u zien hoe u PowerShell kunt gebruiken om uw groepsbeleid op een gedetailleerde en professionele manier te beheren, met praktische opdrachten , voorbeelden, aanbevelingen, best practices en alles wat u moet weten om deze functies optimaal te benutten.

Aan de slag: PowerShell configureren om GPO's te beheren

Voordat u opdrachten kunt uitvoeren, is het essentieel om de benodigde modules te importeren om met Active Directory en GPO's te kunnen werken . PowerShell, als automatiseringsframework, vereist dat deze modules op het systeem beschikbaar zijn.

• Import-module ActiveDirectory: Hiermee worden alle functies voor interactie met AD-objecten ingeschakeld.
• Import-Module Groepsbeleid: hiermee kunt u bewerkingen rechtstreeks op groepsbeleid uitvoeren.

Nadat u de module hebt geladen, kunt u een lijst maken van alle beschikbare cmdlets uit de GroupPolicy-module met:

Get-Command –Module Groepsbeleid

Met deze opdracht krijgt u een overzicht van alle mogelijke acties op GPO's met behulp van PowerShell.

Bestaande GPO's in het domein opvragen

Een van de eerste gebruikelijke stappen is het visualiseren van de beleidsregels die in de omgeving zijn geconfigureerd . Hiervoor kunt u de volgende opdracht gebruiken:

Get-GPO -Domain domein.naam -Alles

Vervang domain.name door uw daadwerkelijke domein, bijvoorbeeld: company.local.

Met deze cmdlet worden alle bestaande GPO's weergegeven. U kunt deze aanvullen met andere filters om zoekopdrachten te verfijnen.

Een nieuw GPO vanaf nul maken

Met PowerShell kunt u nieuwe, lege beleidsregels maken , wat erg handig is wanneer u specifieke configuraties helemaal opnieuw wilt toepassen:

New-GPO -Naam "GPO-naam" -Opmerking "Beschrijvende opmerking"

Met deze opdracht wordt de GPO-structuur gemaakt zonder dat er koppelingen of instellingen worden toegepast. Het is het uitgangspunt voor de persoonlijke ontwikkeling ervan.

Een GPO koppelen aan een organisatie-eenheid (OU)

Nadat het groepsbeleidsobject (GPO) is aangemaakt, moet het worden toegewezen aan een organisatie-eenheid (OU) of domein om van kracht te worden . Dit doe je met de volgende opdracht:

New-GPLink -Naam «GPOName» -Doel «ou=OUname,dc=bedrijf,dc=lokaal»

Het argument -Target moet de exacte Distinguished Name (DN) van de OU bevatten.

Een GPO ontkoppelen of uitschakelen zonder deze te verwijderen

In bepaalde gevallen kan het nuttig zijn om een ​​beleid tijdelijk uit te schakelen zonder het te verwijderen , bijvoorbeeld om te testen of vanwege organisatorische veranderingen:

Set-GPLink -Naam «GPOName» -Doel «ou=OUname,dc=bedrijf,dc=lokaal» -LinkEnabled Nee

Met deze methode wordt de toepassing uitgeschakeld zonder dat de relatie tussen GPO en OU wordt verwijderd.

Een GPO volledig verwijderen

Als een beleid niet langer wordt gebruikt of conflicten veroorzaakt, kunt u het permanent verwijderen met de volgende opdracht:

Remove-GPO -Naam "GPOName" -Domein "bedrijf.local"

Je kunt ook de GUID- identificatiecode gebruiken als je die hebt:

Verwijder-GPO -Guid “xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx”

Maak een back-up van individuele of globale GPO's

Een van de grote voordelen van het gebruik van PowerShell is de mogelijkheid om GPO-backups eenvoudig te automatiseren:

Backup-GPO -Naam «GPONaam» -Pad «C:\Backups\GPOs»

Of als u alle beleidsregels voor uw domein wilt back-uppen:

Backup-GPO -Alles -Pad «C:\Backups\GPO's»

Je kunt ook opmerkingen toevoegen om elke back-up gemakkelijk te identificeren:

Backup-GPO -Naam «GPOName» -Pad «C:\Backups» -Opmerking «April 2024 Backup»

Een beleid herstellen vanuit een back-up

Als u in het verleden een back-up hebt gemaakt, kunt u deze indien nodig herstellen met het volgende commando:

Restore-GPO -Naam «GPOName» -Pad «C:\Backups\GPOs» -Opmerking «April 2024 Backup»

De restauratie is snel en functioneel, ideaal bij storingen of ongewenste veranderingen.

GPO-update afdwingen

Er zijn situaties waarin beleidswijzigingen tijd nodig hebben om te worden doorgevoerd of niet zoals verwacht worden geïmplementeerd. In deze gevallen kunt u de implementatie afdwingen met:

Aanroepen-GPUpdate

Als u dit op een externe computer moet doen:

Invoke-GPUpdate -Computer "domein\computer"

U kunt deze actie ook beperken tot alleen gebruikers of computers die:

• - Doelgebruiker
• -Doelcomputer

En als u alle beleidsregels van een volledige OU wilt bijwerken , kunt u een script van één regel gebruiken :

Get-ADComputer –Filter * -SearchBase «ou=verkoop,dc=bedrijf,dc=lokaal» | foreach { Invoke-GPUpdate –Computer $_.Name -Force }

PowerShell-scripts implementeren via GPO

Naast het beheren van de GPO's zelf, biedt PowerShell ook de mogelijkheid om de inhoud van een beleid als een aangepast script te definiëren , bijvoorbeeld voor taken zoals:

• Automatische toewijzing van netwerkstations.
• Printertoewijzing.
• Back-ups.
• Installatie van programma's.

Een voorbeeldregel om een ​​schijf te mounten zou zijn:

New-PSDrive –Naam «P» –PSProvider Bestandssysteem –Root «\\Server\Shared» –Persisteren

Dit script kan aan een GPO worden toegevoegd via het gedeelte Gebruikersaanmelding.

PowerShell uitschakelen via GPO

In omgevingen waar beveiliging een cruciale factor is, kan het nodig zijn om de toegang tot PowerShell voor bepaalde gebruikers te blokkeren via beleidsregels, met name als het gaat om gedeelde terminals of kritieke werkstations:

1. Maak een nieuw GPO vanuit de Groepsbeleidconsole.
2. Ga naar Gebruikersconfiguratie > Beleid > Beheersjablonen > Systeem.
3. Inschakelen Voer geen applicaties uit Windows gespecificeerd.
4. voegt powershell.exe y powershell_ise.exe naar de lijst.

Hiermee wordt voorkomen dat gebruikers waarop dit GPO is toegepast, PowerShell kunnen uitvoeren, zelfs handmatig.

Ontvang gedetailleerde rapporten voor een of meer GPO's

Voor documentatie, controles of foutdetectie kunt u met PowerShell HTML- of XML-rapporten genereren met alle configuratiegegevens en koppelingen van een specifiek groepsbeleidsobject (GPO):

Get-GPOReport -Name "GPO-naam" -ReportType HTML -Pad "C:\Reports\GPO\report.html"

Als u dit liever op alle GPO's in het domein wilt doen, kunt u het volgende gebruiken:

Get-GPOReport -Alles -RapportType HTML -Pad «C:\Rapporten\GPO\todo.html»

Deze rapporten bevatten onder andere koppelingen, WMI-filters (indien van toepassing), gebruikers- en computerinstellingen en delegaties.

PowerShell is een essentieel hulpmiddel voor moderne systeembeheerders die taken willen automatiseren, tijd willen besparen, handmatige fouten willen voorkomen en hun acties correct willen documenteren . Of het nu gaat om het maken van nieuw beleid, het toepassen van scripts, het genereren van back-ups of het afdwingen van updates, de integratie met Active Directory maakt het een onmisbare pijler binnen bedrijfsnetwerken. Met de voorbeelden en uitleg die hier zijn verzameld, bent u helemaal klaar om GPO-beheer met PowerShell onder de knie te krijgen.

[gerelateerde url=»https://mundobytes.com/hoe-kan-ik-gpedit-msc-windows-7-downloaden/»]