Политики Windows никто не понимает: наводим порядок в GPO

В диспетчере групповых политик у многих компаний картина музейная: десятки объектов с именами вроде «Новая политика (2)», «Иванов_тест», «Не удалять!!!», «VPN_old». Спросить «что реально применяется к бухгалтерии» — и комната замолкает. Документации нет, прошлый админ ушёл, RSOP смотрят только когда «у пользователя сломался диск».

GPO — мощный инструмент Windows-домена: пароли, обновления, маппинг дисков, ограничения USB, скрипты входа, SoftWare Deployment. Без порядка он превращается в лотерею: два фильтра WMI, три блокировки наследования, одна политика «на весь домен» с сюрпризом в Default Domain Policy. Бизнес видит симптом — «почему у половины отдела не ставится принтер» — а корень в наложении настроек, которые никто не инвентаризировал годами.

Как хаос проявляется в работе

• одно и то же имя политики, разное содержимое на разных DC после кривой репликации;
• пользователь получает запрет USB «из ниоткуда» — в OU сработало четыре объекта подряд;
• время входа растягивается из-за старых logon-скриптов и сетевых путей в никуда;
• безопасность есть только формально, а исключения для VIP живут вечно;
• аудит ИБ просит карту контролей — собрать её не из чего.

Для руководителя это не «скучная админская тема». Это риск непредсказуемого поведения рабочих мест, срыва сроков проектов и провала проверок. Плюс скрытая стоимость: каждый инцидент «сломались политики» съедает часы поддержки.

Откуда берётся свалка политик

Домен рос быстрее регламента. Каждую проблему лечили новой GPO «точечно», не трогая старые. Тестовые объекты оставляли «на неделю». Подрядчики вносили изменения без change log. Default Domain Policy раздували вместо отдельных объектов — откатывать страшно. Security Filtering и делегирование настраивали «чтобы заработало», а схему так и не описали.

Аудит, с которого начинается порядок

1. Снимок. Экспорт списка GPO, связей с OU, WMI-фильтров, security filtering, прав делегирования.
2. Карта применения. Для ключевых OU (офис, бухгалтерия, IT, серверы, киоски) — что реально побеждает по результатам gpresult / HTML-отчёта с пилотных машин.
3. Мёртвые. Несвязанные объекты, пустые, дубли, ссылки на несуществующие шары и скрипты.
4. Конфликты. Одни и те же ключи реестра/параметры из разных политик; понять победителя.
5. Риски ИБ. Слабые парольные исключения, разрешённые локальные админы, отключённый firewall «для совместимости».

Уже на этом этапе часто находится треть объектов, которые можно отключить без боли — если есть пилот и план отката.

Чистка без пятничного апокалипсиса

Не удаляйте пачками в первый день. Схема безопаснее: переименовать по стандарту → вынести тестовые в отдельную OU → отвязать явно мёртвые → для спорных — unlink, не delete, на период наблюдения → только потом archive/delete. Критичные изменения — через пилотную группу и окно изменений.

Параллельно заведите простой стандарт имени: Объём работ-Purpose-Owner или подобный, дату review в описании, ссылку на тикет. Запретите править Default Domain Policy без двойного согласования. Новые настройки — только новыми объектами с понятной связью.

Типовые ошибки «наведения порядка»

• выключить наследование на половине дерева «чтобы быстрее»;
• слить всё в одну «супер-политику» — станет ещё страшнее откатывать;
• чистить без бэкапа GPO и без системы восстановления;
• игнорировать медленные logon-скрипты — пользователи продолжат ждать минутами;
• не согласовать с ИБ исключения для службы безопасности и аудита.

Что должно остаться после проекта

Не «идеальный Active Directory из учебника», а управляемый набор: карта OU, список политик с владельцами, календарь review (раз в квартал достаточно для малого и среднего бизнеса), пилотная OU, регламент «как добавить политику», мониторинг репликации DC. Поддержка перестаёт гадать — начинает читать карту и gpresult.

Чеклист для IT-руководителя

• есть актуальный экспорт и схема связей GPO↔OU;
• Default Domain Policy минимальна и под контролем изменений;
• нет безымянных и «тестовых» объектов в проде;
• для критичных OU известен ожидаемый набор политик;
• есть пилот и бэкап перед массовыми unlink;
• назначен владелец процесса (не «все админы немного»);
• ИБ видит, какие контроли реально enforced.

FAQ

Сколько занимает аудит? У домена на 50–300 ПК часто 1–2 недели на карту и план; чистка — итерациями, не одним большим взрывом.

Нужно ли всё переписывать с нуля? Редко. Чаще — инвентаризация, удаление мёртвого, нормализация имён и вынос опасного из Default.

Поможет ли только AGPM / расширенный бэкап? Инструменты полезны, но без владельца и стандарта снова накопите свалку — уже версионированную.

Что с компьютерами вне домена? Их политики не спасут: отдельный контур (MDM/ручной baseline) или возврат в домен по регламенту.

Связь GPO с безопасностью и поддержкой

Политики — это не только «диски и обои». Через них закрывают базовые контроли: сложность пароля, блокировка учетных записей, запрет локальных админов на рабочих станциях, централизованные настройки обновлений, ограничения съёмных носителей. Когда карта GPO хаотична, ИБ не может доказать enforcement, а служба поддержки тратит часы на «у одного пользователя иначе, чем у другого».

После чистки имеет смысл завести короткий регламент для новых админов: как читать связи, как катить пилот, куда писать change. Плюс раз в квартал — 30-минутный review: нет ли новых безымянных объектов, не раздулся ли Default Domain Policy, живы ли пути к скриптам. Так порядок не сдувается через полгода после проекта.

На практике после аудита полезно закрепить «золотой» набор политик для типовых OU: офисные ПК, серверы, администраторы, киоски. Всё остальное либо обосновывается исключением с датой review, либо уходит в архив. Так новые сотрудники IT не изобретают десятую политику «для принтера», а расширяют понятный каркас.

Если домен давно без хозяина, начните не с философии, а с экспорта и пилотной OU: один отдел, прозрачный набор политик, замер времени входа и типовых жалоб до/после. Успех на пилоте убеждает бизнес дать окно на остальное дерево.

Следующий шаг

Если никто в компании не может за десять минут объяснить, какие политики действуют на финансы и серверы, порядок в GPO — не косметика, а снижение операционного риска. Начните с снимка и карты применения, не с массового удаления.

Аудит и аккуратную чистку групповых политик обычно проводят в рамках сопровождения Windows Server — с пилотом, откатом и понятной схемой для следующего админа.