Autologon - Compartilhar um GPO com vários usuários utilizando o Preferences. (Estudo de caso)

Transcrição

1 Autologon - Compartilhar um GPO com vários usuários utilizando o Preferences. (Estudo de caso) Updated: January 10, 2018 Applies To: Windows 7, 8, 10, Windows Server 2008 R2 ou superior. Escrito por: Alex M. dos Santos Descobri que é possível consolidar todas as políticas de autologon em apenas uma, utilizando o filtro de Targetin pelo nome da máquina ou IP (no caso de ser fixo) na opção de registro, com isso conseguimos diminuir em cerca de 95% a quantidade de GPOs de autologon no ambiente, inclusive OUs (ainda é necessário um usuário por máquina). Essa é uma solução que pode ser utilizada para centralizar muitas das demandas relacionadas a autologon, pois as configurações são aplicadas de acordo com o filtro Targetin da respectiva chave de registro. PROS Diminuição da quantidade de OUs e GPOs no ambiente, Melhorar o processamento do GPMC e AGPM, centralizar as configurações em apenas uma GPO ou uma por unidade, maior tempo de processamento utilizando a função de Tergetin, centralização da administração melhorar as consultas e troubleshooting através da console do GPMC. Concentração dos filtros de segurança em apenas uma GPO, ou seja, serão quatro chaves de registro compartilhadas para todas as maquinas (Não há documentação oficial exclusiva para autologon utilizando compartilhamento de chaves de registro de um mesmo GPO). Pesquisei um pouco sobre o assunto e entendi como o Item-level Targeting funciona, realmente, ele abre um leque de possibilidade e pode possibilitar sim reduzirmos a quantidade de GPOs de autologon. O QUE É NECESSÁRIO PARA APLICAÇÃO DAS CONFIGURAÇÕES? 1 Crie uma OU de computador para teste; 2 defina as maquinas de teste; 3 Crie uma OU de Usuário para teste; 4 Defina ou crie um ou dois usuários para o teste; 5 Crie um novo GPO de Teste; 6 Crie um grupo de segurança para inserir as maquinas de teste. Fiz alguns testes e foi possível compartilhar entre todas as maquinas envolvidas as chaves de registro AutoAdminLogon, DefaultDomainName, DefaultPassword, FroceAutologon, que são responsáveis pelo autologon, sendo assim, teremos apenas que criar uma chave DefaultUserName individualizada para cada computador, pois a mesma leva o nome do usuário respectivo a máquina.

2 Abaixo estão as chaves responsáveis pela configuração de autologon na GPO de teste: Note que na imagem abaixo existem duas maquinas, (Nomeei a chave DefaultUserName, para DefaultUserName _Computer01 e 02, facilitando a identificação, este nome não influencia na execução da chave, cada um dos PCs precisa de sua própria chave DefaultUserName devido a necessidade de um usuário para cada máquina, as demais estão compartilhadas entre os mesmos através de um grupo de segurança, cujo qual as maquinas foram inseridas previamente.

3 Adicionei o Grupo de segurança criado para as maquinas no Security Filtering da GPO de teste e inserir as maquinas Estação_01 e 02: Já no painel de edição da politica, vá nas configurações do computador, expanda o container Preferences em seguida, entre no Registro.

4 Já com as chaves AutoAdminLogon, DefaultDomainName, DefaultPassword, FroceAutologon criadas, crie as chaves DefaultUserName para cada usuário respectivo a máquina que irá utilizar, em seguida altere/adicione o nome do usuário no campo Dados de Valor (esse campo define o nome do usuário de autologon que fará logon na máquina que estiver definida no Iten-level Targeting, sempre valide se o mesmo está correto). Clique na guia Comum, e no campo Nome do Computador, adicione o nome da máquina, o campo NetBIOS deve permanecer marcado, cliquem OK. (Este campo define a máquina que o usuário inserido no campo anterior fará logon, sempre valide se o mesmo está correto).

5 Agora configurei de Item-level Targeting exclusiva para a máquina Estacao_01 (chave DefaultUserName): Configuração de Item-level Targeting exclusiva para a máquina Estacao_02 (chave DefaultUserName): Todas as maquinas inseridas no grupo de segurança atribuído a esse ILT e a GPO irão receber essa configuração.

6 Clique em common (Comum), abra a o campo New Item, clique em securty group.

7 Conforme pode ser visto na imagem abaixo, insira o grupo de segurança que foi criado no campo Group, deixe marcada a opção Computer in Group. Como exemplo da aplicação deste GPO podemos ver nos prints abaixo o Registro das maquinas utilizadas nos testes, as chaves compartilhadas e individual aplicaram corretamente, foi necessário reiniciar 2x ou executar o GPUPDATE /F e reinicia-la uma vez, não evidenciei qualquer tipo de problema no ambiente de teste.

8 Vejam como ficou a chave de registro após a aplicação da GPO compartilhada. Observem que as quatro cahaves de registro responsáveis por configurar o autologon foram aplicadas nas duas maquinas e a chave DefaultUserName que é exclusiva para cada máquina aplicou corretamente nas respectivas maquinas.

9 OBs. No meu cenário corporativo precisei criar seis GPOs para dividir entre os Mil usuários de autologon (um por máquina) existentes das, agora temos mil usuários, Seis GPOs, e Seis OUs (no antigo cenário eram Mil GPOs e Mil OUs...Ufa). Esta solução é ideal para ambientes que precisam de muitos computadores de autologon por necessidade de alguma aplicação, o que acaba minimizando a criação de vários objetos de GPO. Abaixo o registro de um GPO de autologon aplicado a 13 maquinas (Um usuário p/maquina), no senário antigo seriam 13 GPOs (conseguem entender a redução de carga de trabalho dos analistas e praticidade na administração).

10 Referencias That s right, you can filter a GPP item (within a GPO with other GPPs and GP settings) to only apply if say the user is in the Security Group Help Desk and the Computer Name is XP-00233, it is between 8 AM and 5PM (Time Range) and the user is on a Terminal Session with a specific session name on Windows XP as the Operating System and has 20GB free Disk Space on the System partition. Well, theoretically, you can. If that s actually useful, that s up to you. Fonte: Existe um alerta da utilização de vários filtros diferentes ILT no mesmo GPO: GP Preferences settings that use Item- Level Targeting (ILT) are not inherently harmful. However, certain kinds of Item Level Targeting queries can take more time to run. You can find these targets in any Group Policy Preferences setting under the Common tab. Costly ILT evaluations include all of the ILT types that must work over the network against AD to be evaluated: OU, LDAP Query, Domain, Site and Computer Security Group filters. Fonte: