Групповые политики (Group Policy, GPO) — главный инструмент администратора Windows-среды для централизованного управления пользователями и компьютерами. Правильно настроенные GPO позволяют:
- снизить риски безопасности (запрет установки нежелательного ПО, ограничение доступа к дискам);
- упростить администрирование (однажды описанная политика распространяется на сотни ПК);
- сделать рабочие станции «тонкими клиентами», пользователь видит только нужные приложения.
В статье мы рассмотрим три уровня ограничения:
- Доменный уровень — через Group Policy Management Console (GPMC).
- Локальный уровень — через gpedit.msc на отдельном ПК.
- Гибрид — локальная групповая политика, действующая только на конкретную учётную запись.
Доменные Group Policy: ограничение прав на терминальном сервере
Задача
Допустим, у нас есть терминальный сервер, к которому подключаются два типа пользователей:
- «Обычные» — работают из офиса, им нужен полный доступ.
- «Ограниченные» — работают удалённо, должны видеть только MS Office и 1С, не иметь доступа к «Моему компьютеру» и панели управления.
Хитрость с Loopback Processing
Политики категории User Configuration применяются к пользователям, но в данном случае нам нужно, чтобы ограничения применялись только при входе на терминальный сервер.
Решение — включить Group Policy Loopback Processing.
Шаги настройки
- Создайте группу безопасности в AD:
Policy_RestrictTerminalUsersи добавьте в неё «ограниченных» пользователей. - Создайте GPO
RestrictTerminalUsers, связанную с OU, где расположен терминальный сервер. - В GPO откройте:
Computer Configuration → Administrative Templates → System → Group Policy → User Group Policy loopback processing mode
Установите Enabled → Mode: Merge (или Replace, если нужно полностью заменить пользовательские политики). - В User Configuration задайте нужные ограничения:
- Remove access to drives (Административные шаблоны → Компоненты Windows → Проводник).
- Prevent access to Control Panel and PC settings.
- Run only specified Windows applications — перечислите
winword.exe, excel.exe, 1cv8s.exeи т.д.
- Security Filtering:
- Удалите Authenticated Users.
- Добавьте группу
Policy_RestrictTerminalUsersи сам терминальный сервер (чтобы объект политики нашёлся).
Теперь, когда пользователь из группы Policy_RestrictTerminalUsers подключится к терминальному серверу, он получит «супер-минимальный» набор прав, а при работе на обычном ПК ограничения не сработают.
Локальные групповые политики (gpedit.msc)
Если домена нет, настроим ограничения на отдельной машине.
Быстрый старт
- Win + R → gpedit.msc
- Две основные ветки:
- Computer Configuration — параметры применяются ко всем пользователям ПК.
- User Configuration — параметры применяются ко всем, кто входит на ПК.
Типичные ограничения
| Что хотим блокировать | Путь в редакторе | Параметр |
|---|---|---|
| Запуск конкретных программ | User Configuration → Administrative Templates → System | Don’t run specified Windows applications |
| Разрешить только список ПО | User Configuration → Administrative Templates → System | Run only specified Windows applications |
| Доступ к дискам | User Configuration → Administrative Templates → Windows Components → File Explorer | Prevent access to drives from My Computer |
| Запись на USB-накопители | User Configuration → Administrative Templates → System → Removable Storage Access | Removable Disks: Deny write access |
| Отключить панель управления | User Configuration → Administrative Templates → Control Panel | Prohibit access to Control Panel and PC settings |
Индивидуальные политики для конкретного пользователя
Если нужно, чтобы ограничения касались только одного аккаунта, не затрагивая администратора, придётся создать персональную консоль ММС.
Пошаговая инструкция
- Win + R → mmc.exe
- Меню File → Add/Remove Snap-in → Group Policy Object Editor → Add
- В появившемся окне нажмите Browse → Users → выберите нужного пользователя (или «Non-Administrators»).
- Сохраните консоль, например, на рабочий стол (
UserPolicy.msc). - Теперь при запуске этой консоли открывается только ветка User Configuration, применимая к выбранному пользователю.
Внутри этой персональной ветки можно задать любые параметры, перечисленные в таблице выше, и они затронут только этого человека.
Частые ошибки и как их избежать
- Loopback не включён — параметры User Configuration не применяются к терминальному серверу.
- Authenticated Users не добавлена в Security Filtering — политика не применяется (для старого GPO).
- Windows Home, gpedit.msc отсутствует, ограничения придётся задавать через реестр или сторонние утилиты.
- Параметры User vs. Computer — путаница: если нужно ограничить всех пользователей на конкретном ПК, используйте Computer Configuration.
После настройки обязательно:
- Выполнить gpupdate /force на клиенте или сервере.
- Проверить Group Policy Results (gpmc.msc → Group Policy Results Wizard).
- Протестировать вход под нужным пользователем и убедиться, что ограничения работают именно так, как задумано.
Запомните: правильно выстроенная политика — это не только безопасность, но и уменьшение трафика поддержки. Пользователь не может сломать то, к чему у него доступа нет.