Name: الأساس الحديدي — الأسبوع 23 — سياسات المجموعة GPO
Author: Amine RAITI

RATIO

الأساس الحديدي · دعامة الدرس · الأسبوع 23

◆◆◆

سياسات المجموعة
GPO
الأسبوع 23 من 26 · الوحدة 8 — Active Directory وGPO
9 ساعات نظرية · 26 ساعة تطبيقية

◆

◆ الأهداف التعليمية للأسبوع

1. فهم مبادئ GPO (الوراثة، الأولوية، النطاق)
2. إنشاء وربط GPO بـOUs أو مواقع أو نطاقات
3. إعداد GPO أمنية وتكوينية
4. نشر معطيات على الأجهزة العميلة عبر GPO
5. تشخيص تعارض GPO أو GPO غير مُطبَّقة

◆◆◆

◆ ملاحظة تسلسل

تُدرَّس GPO هنا، مباشرة بعد Active Directory (الأسبوع 22)، الذي تُعد وظيفة مباشرة منه. تدريس GPO دون نشر Active Directory مسبقًا سيكون بلا معنى — هذا بالضبط سبب التسلسل المختار في هذا التكوين.

◆

Amine RAITI · مهندس بنية تحتية وSRE
وثيقة عمومية · CC BY-NC-SA 4.0 · AI Powered by Amine
عملية ديندون

RATIO

خطة الدرس · 9 ساعات

الخيط النظري الناظم

◆

23.1 · مبادئ GPO3 ساعات

— التعريف: GPO مجموعة معطيات إعداد تُطبَّق على مستخدمي أو حواسيب النطاق
— النطاق: يمكن ربط GPO بموقع أو نطاق أو OU
— ترتيب التطبيق: محلي ← موقع ← نطاق ← OU (LSDOU) — عند التعارض، تفوز GPO الخاصة بـOU الفرعية
— الوراثة: ترث OU الفرعية GPO الخاصة بالأصل، إلا في حال حجب صريح

23.2 · أنواع معطيات GPO3 ساعات

— إعداد الحاسوب: يُطبَّق عند إقلاع الجهاز، بغض النظر عن المستخدم المتصل
— إعداد المستخدم: يُطبَّق عند اتصال مستخدم، على أي جهاز في النطاق
— أمثلة معطيات شائعة: سياسة كلمة المرور، قفل الشاشة، ربط محركات الشبكة، تقييد الوصول إلى إعدادات النظام

23.3 · تشخيص وحل تعارضات GPO3 ساعات

— أدوات التشخيص: نتيجة سياسة المجموعة (RSoP)، gpresult، سجل الأحداث
— أسباب شائعة لعدم التطبيق: تصفية أمان سيئة الإعداد، GPO غير مربوطة، خطأ تحليل أسماء (صلة بالأسبوع 21 — DNS)
— حجب الوراثة والإجبار: متى ولماذا نستخدمهما بحذر

RATIO

التمرين التطبيقي 1 · إنشاء ونشر GPO · 13 ساعة

المعدات: متحكم النطاق (الأسبوع 22)، أجهزة عميلة منضمة إلى النطاق، سيناريو إعداد مُوفَّر.

(3 ساعات) إنشاء GPO أمنية على النطاق: سياسة كلمة المرور (الطول الأدنى، التعقيد، مدة الصلاحية)، قفل الحساب بعد N محاولات فاشلة — التطبيق على الأجهزة العميلة والتحقق.

(3 ساعات) إنشاء GPO لإعداد مستخدم على OU التقني: ربط تلقائي لمحرك شبكي (المشاركة المُنشأة في الأسبوع 12) عند الاتصال — التحقق من أن فقط مستخدمي OU التقني يرون هذا المحرك.

(3 ساعات) إنشاء GPO تقييدية على OU الزوار: منع الوصول إلى لوحة التحكم، تعطيل الوصول إلى مدير المهام — التحقق من التطبيق على الجهاز العميل المتصل بحساب زائر.

(ساعتان) إنشاء GPO متعارضة مع GPO موروثة، ملاحظة النتيجة (أي GPO تُطبَّق؟)، التصحيح عبر حجب الوراثة أو الإجبار.

(ساعتان) استخدام gpresult لعرض GPO الفعلية على جهاز عميل، تفسير التقرير.

تصحيح التمرين التطبيقي 1

السلوك المتوقَّع لـGPO محرك الشبكة: يرى مستخدم OU التقني المحرك الشبكي مربوطًا تلقائيًا عند اتصاله على أي جهاز منضم إلى النطاق. لا يرى مستخدم من OU أخرى هذا المحرك — تضمن تصفية الأمان أو نطاق OU العزل.

تفسير تقرير gpresult: يسرد التقرير GPO المُطبَّقة (مع OU الأصل) وGPO المرفوضة (مع سبب الرفض) — هذه هي أداة التشخيص الأولى لأي مشكلة GPO غير مُطبَّقة.

RATIO

التمرين التطبيقي 2 · سيناريو GPO كامل والتشخيص · 13 ساعة

المعدات: بيئة AD كاملة (الأسبوع 22 + التمرين 1).

(4 ساعات) نشر سيناريو كامل: تريد المؤسسة الافتراضية تطبيق سياسة أمان مختلفة حسب 3 مجموعات مستخدمين (الإدارة: تقييدات خفيفة، التقني: وصول كامل لأدوات النظام، الزوار: تقييدات قصوى). إنشاء وربط GPO الثلاث المقابلة.

(4 ساعات) تمرين تشخيص: يُعدِّل المكوِّن الإعداد سرًا (يعطّل GPO، يغيّر تصفية أمان، يُنشئ تعارضًا) — يلاحظ المتدرب سلوكًا غير متوقَّع على جهاز عميل ويجب أن يشخّص عبر gpresult وسجلات الأحداث.

(3 ساعات) إدارة GPO عبر PowerShell (Get-GPO، New-GPO، Set-GPLink) — إظهار التكافؤ مع الواجهة الرسومية.

(ساعتان) توثيق مجمل GPO المنشورة: جدول تلخيصي (الاسم، النطاق، المعطيات الرئيسية، المستخدمون المستهدَفون).

تصحيح التمرين التطبيقي 2

طريقة التشخيص المتوقَّعة: 1) التحقق من ربط GPO بـOU الصحيحة (واجهة GPMC)، 2) التحقق من تصفية الأمان (يجب أن تمتلك مجموعة المستخدم صلاحيتي "قراءة" و"تطبيق")، 3) فرض تحديث GPO على الجهاز العميل، 4) إعادة تشغيل gpresult للتأكيد.

◆ بطاقة تجميع — التقييم الذاتي للأسبوع 23

1. أستطيع شرح ترتيب تطبيق GPO (LSDOU).

2. أستطيع إنشاء وربط GPO بـOU.

3. أستطيع إعداد معطيات أمان عبر GPO (سياسة كلمة المرور، القفل).

4. أستطيع ربط محرك شبكي تلقائيًا عبر GPO.

5. أستطيع تطبيق تقييدات واجهة المستخدم عبر GPO.

6. أستطيع استخدام gpresult لتشخيص GPO الفعلية.

7. أستطيع تشخيص GPO غير مُطبَّقة (التصفية، الربط، التعارض).

8. أستطيع إدارة GPO عبر PowerShell.