Каким образом можно экспортировать и импортировать локальную групповую политику?

Question

[Ёшинон Ушастый]

Доброго времени суток!
ОС Windows 10, на некоторых Windows 7
Имеется определённая задача - настроить необходимые возможности пользователей. То есть кому-то запретить доступ к дискам, кому-то запретить доступ к вставленным флешкам и т.д. С этим я более-менее разобрался и всё это находится в локальной групповой политике (которая по gpedit.msc)
Но возникла проблема следующего характера: каким образом можно экспортировать, а потом импортировать данные политики? Рабочих станций достаточно много и заниматься этим руками весьма нуторно и долго.
Я пробовал вариант с

secedit /export /cfg security_settings.inf
secedit /configure /db secpol.sdb /cfg security_settings.inf /overwrite

на собственной машине.
Я экспортировал таким образом политику безопасности перед включением запрета к диску с системой и получил конфигурационный файл 1.
После я экспортировал политику безопасности снова с уже отключённым запретом на доступк к диску с системой и получил второй конфигурационный файл 2. После сравнил их друг с другом в diff и обнаружил, что разницы между ними совершенно никакой. Я проделовал это ещё пару раз, чтобы убедиться в результате.
Что делать, как быть?

Answer 1

[siriym]

Рабочих станций достаточно много и заниматься этим руками весьма нуторно и долго

Внедрить контроллер домена.

Comments

[Ёшинон Ушастый]

Какие требования к машине для такого? Обычный офисный ПК подойдёт с аппаратной точки зрения для этого?

[siriym]

Aquinary выберите версию Windows Server и поищите в интернете технические требования для данной версии.

[Ёшинон Ушастый]

siriym, да, уже глянул. Между тем глянул ещё распределение на роли. Как понимаю, в моём случае это не обязательно и я могу сосредоточиться исключительно на контроллере домена?

[Максим Гришин]

Aquinary, роли в домене при создании нового домена все равно все окажутся на этом контроллере домена, так что да, не парьтесь особо по этому поводу. Но вот запасной контроллер домена может понадобиться, как только что-то в домене будет настроено так, что при поломке "всё сломается".

[Ёшинон Ушастый]

Максим Гришин, что подразумевается под "всё сломается"? Слетят настройки безопасности и люди смогут делать больше, чем им позволено?

[siriym]

Aquinary, все сломается - это к примеру физически выйдет из строя сервер (сгорел БП, приказал долго жить жесткий диск...). В домене нужно иметь хотя бы 2 контроллера домена, на такой вот самый случай. Один накрылся, есть второй, а значит все работает, на пользователях никак не отражается, бизнес процессы работают. И Вы спокойно можете восстановить первый.

[siriym]

Слетят настройки безопасности и люди смогут делать больше, чем им позволено

Такой вариант возможен только если Вы и поломаете эти настройки. Я бы Вам так же рекомендовал посмотреть курс по Active Directory от Microsoft, Вы найдете ответы на свои вопросы и откроете для себя новые возможности, которые можно будет применить в Вашей инфраструктуре после внедрения контроллера домена. Благо в интернете, такие курсы есть.

[Ёшинон Ушастый]

siriym, то есть на первое время будет достаточно делать бекапы на другой хард?
У нас сейчас нет никакой инфраструктуры, какие-то компьютеры есть в сети, каких-то нет, даже не смотря на то, что все подключены к одному роутеру. То есть даже локальная сеть не используется так, как должна.
Вся задача состоит в том, чтобы отключить ненужные функции другим сотрудникам во избежании утечки информации (или уменьшения таковой) и поэтому хотелось бы сделать это с наименьшими затратами времени. Начальство пока не видит необходимости в развёртвывании полноценной инфраструктры. С этим я ничего поделать не могу :)
Я надеюсь, что будет достаточно воткнуть сервер-контроллер в роутер и сделать настройки GPO, сейчас даже представления не имею, с чего начать.

[siriym]

Aquinary, бэкапы AD это отдельная тема...На Вашем месте я бы развернул два контроллера домена. Все машины офисных сотрудников ввел в домен. Теперь я могу настраивать эти машины как мне вздумается, сидя за контроллером домена, а не бегая по сотрудникам отвлекая их от работы.

Вся задача состоит в том, чтобы отключить ненужные функции другим сотрудникам во избежании утечки информации (или уменьшения таковой) и поэтому хотелось бы сделать это с наименьшими затратами времени. Начальство пока не видит необходимости в развёртвывании полноценной инфраструктры

Что-то тут не вяжется, хотите уменьшить риск утечки информации, но для этого делать ничего не хотим...