Я установил около 10 групповых политик, и это работает хорошо. Хотя, было бы интересно посмотреть, какие меры преследуют IT-администраторы.
Если у вас есть масса правил, просто покажите некоторые, что вы чувствуете, что действительно что-то меняет.
Я думаю, вы могли бы избежать «разрешения по умолчанию» -> заблокировать все, что вы можете, и держать разблокированными только те вещи, которые непосредственно необходимы.
Этот вопрос относится к серверам Windows :) Хотя я не буду сторониться администраторов Mac и Linux.
Я люблю групповую политику. Это дает мне возможность выполнять свою работу и позволяет моей компании использовать коллективные таланты 3 человек на более чем 1000 ПК и серверных компьютерах на нескольких сайтах клиентов.
Почти каждый из моих клиентов имеет большинство следующих применений групповой политики:
Это мой список "вне головы". Я вернусь и исправлю, если придумаю больше.
Мы используем групповую политику, чтобы:
[EDIT] Добавлено следующее:
И несколько других, которые я не могу припомнить, из головы.
Довольно много; они склонны играть в пинг-понг между маленькими и большими числами. В настоящий момент цифры высоки из-за ряда политик WSUS, которые необходимо консолидировать. Я не думаю, что объекты групповой политики когда-либо действительно «дорабатываются», но вместо этого получают постоянную тонкую настройку и уточнение с течением времени.
Основное использование включает:
Одно - возможно, новое использование - это сценарий входа в систему, который (1) проверяет, является ли компьютер сервером, (2) проверяет, является ли пользователь «чувствительным», которого мы хотим отслеживать, и (3) отправляет электронное письмо на наш администраторы, указывающие имя компьютера, имя пользователя и время, если выполняется одно из условий. Мы называем это «проактивной паранойей», и хотя это не совсем безопасность, это дополнительный уровень комфорта, поскольку мы знаем немного больше о том, что происходит.
Мы также поддерживаем некоторые фиктивные организационные единицы в нашей действующей AD, в которые мы время от времени бросаем некоторых пользователей и / или компьютеры для тестирования новых вещей, и имеем небольшую армию скриптов, которые мы можем добавлять где угодно для выполнения определенных разовых заданий (например, если мы чувствуем, что дефрагментация всех ПК в любое время, мы можем просто добавить для него сценарий выключения).
В планы на будущее входит перенос множества мерзких взломов реестра и, возможно, некоторых других вещей из нашего основного сценария входа в систему в Предпочтения.