Групповые политики в Windows

В РАЗРАБОТКЕНЕ ДЛЯ НОВИЧКОВНЕ ОБЯЗАТЕЛЬНО

Разработчику Архитектору Инженеру

Групповые политики в Windows

Групповые политики — это механизм централизованного управления настройками операционной системы Windows, приложений и пользовательских сред. Они позволяют администраторам применять единые правила безопасности, конфигурации и поведения ко всем компьютерам и пользователям в домене или локально на отдельной машине.

Что такое групповые политики

Групповая политика — это набор правил, определяющих поведение операционной системы Windows, её компонентов и установленных приложений. Эти правила применяются автоматически и могут контролировать всё: от внешнего вида рабочего стола до сложных параметров безопасности, сетевых протоколов и разрешений на запуск программ.

Групповые политики реализованы через Group Policy Object (GPO) — объект, содержащий настройки, которые можно применить к:

отдельным пользователям,
группам пользователей,
компьютерам,
организационным единицам (OU) в Active Directory.

В доменной среде групповые политики распространяются с контроллера домена на клиентские машины. В автономной (рабочей станции без домена) используется локальная групповая политика, доступная через gpedit.msc или «Изменение групповой политики» в Windows 11.

Какие возможности дают групповые политики

Групповые политики предоставляют широкий спектр возможностей администрирования:

Централизованное управление: все изменения применяются из одного места.
Автоматизация: настройки обновляются без участия пользователя.
Безопасность: блокировка нежелательных функций, принудительное использование сложных паролей, ограничение доступа к ресурсам.
Стандартизация: единый вид и поведение всех рабочих станций.
Аудит и контроль: возможность включать журналирование действий, отслеживать входы, запуск программ и т.п.
Совместимость и производительность: отключение фоновых служб, настройка сети, ограничение потребления ресурсов.

Local Group Policy Editor

В Windows 11 инструмент называется «Изменение групповой политики» и вызывается командой gpedit.msc. Он доступен только в редакциях Pro, Enterprise и Education. В домашней версии Windows этот редактор отсутствует.

Интерфейс разделён на две основные ветви:

Конфигурация компьютера — настройки, применяемые к самой машине, независимо от того, кто в неё вошёл.
Конфигурация пользователя — настройки, привязанные к учётной записи, и активные только при её использовании.

Каждая ветвь содержит подразделы:

Программы — управление установкой и запуском ПО.
Конфигурация Windows — настройки системных компонентов.
Административные шаблоны — сотни параметров для тонкой настройки ОС и приложений.

Конфигурация компьютера и конфигурация пользователя

Конфигурация компьютера

Эта часть политики применяется при загрузке системы. Она влияет на:

безопасность системы,
сетевые параметры,
службы и драйверы,
политики аудита,
поведение Windows Defender и других компонентов.

Настройки здесь работают даже если пользователь не вошёл в систему.

Конфигурация пользователя

Эта часть применяется при входе пользователя. Она регулирует:

поведение проводника,
доступ к панели управления,
параметры браузеров,
вид меню «Пуск»,
запрет на запуск определённых программ.

Если один и тот же параметр задан в обеих ветвях, то приоритет имеет конфигурация компьютера.

Административные шаблоны

Административные шаблоны — это файлы .admx и .adml, описывающие интерфейс и значения политик. Они позволяют управлять тысячами параметров через графический интерфейс, не редактируя реестр вручную.

Шаблоны делятся на:

Классические — старые настройки, работающие через реестр.
Центральные — современные, хранятся на контроллере домена и доступны всем клиентам.

Примеры популярных политик:

Отключение Центра обновления Windows.
Блокировка доступа к командной строке.
Принудительное использование длинных путей (LongPathsEnabled).
Запрет на использование USB-накопителей.

Политика разрешения имён (NRPT)

Name Resolution Policy Table (NRPT) — это таблица, определяющая, как система разрешает DNS-имена. Она особенно важна в гибридных и корпоративных сетях, где используются внутренние DNS-зоны и IPsec-туннели.

Через NRPT можно:

указать, какие DNS-серверы использовать для конкретных доменов,
настроить шифрование DNS-трафика (DoH/DoT),
перенаправить запросы в защищённые каналы.

Политики учётных записей

Эти политики управляют требованиями к паролям и блокировке учётных записей:

Максимальный срок действия пароля — сколько дней пароль остаётся действительным.
Минимальная длина пароля — например, 8 символов.
Сложность пароля — требование использования заглавных букв, цифр, специальных символов.
История паролей — количество предыдущих паролей, которые нельзя повторно использовать.
Блокировка после неудачных попыток — например, после 5 неверных вводов.
Длительность блокировки — временная или до вмешательства администратора.

Эти настройки находятся в разделе Конфигурация компьютера → Политики Windows → Параметры безопасности → Локальные политики → Политика учётных записей.

Локальные политики

Локальные политики включают три ключевых подраздела:

Аудит

Определяет, какие события записывать в журнал безопасности:

успешный/неудачный вход,
доступ к файлам,
изменение политик,
выключение системы.

Права пользователей

Назначает права на уровне системы:

«Вход в систему через сеть»,
«Отключение компьютера»,
«Резервное копирование файлов»,
«Загрузка и выгрузка драйверов».

Параметры безопасности

Устанавливает общие правила безопасности:

поведение при нажатии Ctrl+Alt+Del,
минимальный уровень шифрования,
защита от атак типа "воспроизведение".

Монитор брандмауэра Windows

Через групповые политики можно:

полностью включить или отключить брандмауэр,
настроить правила по профилям (домен, частная, публичная сеть),
заблокировать все входящие соединения по умолчанию,
разрешить только определённые порты или программы.

Это особенно важно для защиты рабочих станций в корпоративной сети.

Политики диспетчера списка сетей

Эти политики управляют тем, какие сети считаются доверенными, как сохраняются профили Wi-Fi, и можно ли пользователю добавлять новые сети. Например:

запрет на подключение к незащищённым Wi-Fi,
автоматическое удаление профилей после выхода пользователя,
ограничение на использование Bluetooth-сетей.

Политики открытого ключа

Используются для настройки:

сертификатов шифрования файловой системы (EFS),
IPsec-политик,
доверенных корневых центров сертификации,
автоматического обновления сертификатов.

Это критически важно для безопасного обмена данными и шифрования на уровне ОС.

Политики ограниченного использования

Позволяют создать ограниченную среду выполнения, где пользователь может запускать только одобренные программы. Это достигается через:

AppLocker,
Software Restriction Policies (устаревший, но ещё поддерживаемый механизм).

Примеры:

разрешить только Microsoft Office и браузер Edge,
запретить запуск .exe из папки Downloads,
блокировать PowerShell для обычных пользователей.

Политики управления приложениями

Включают:

установку и удаление программ через сценарии запуска/завершения,
настройку параметров приложений через реестр или файлы,
принудительное обновление ПО,
управление лицензиями и активацией.

Политики IP-безопасности (IPsec)

Позволяют настраивать правила шифрования и аутентификации сетевого трафика между компьютерами. Например:

все соединения к серверу баз данных должны быть зашифрованы,
только авторизованные хосты могут подключаться к контроллеру домена.

Компоненты Windows

Групповые политики позволяют управлять поведением почти каждого встроенного компонента Windows:

Internet Explorer — блокировка ActiveX, настройка зон безопасности.
Microsoft Edge — принудительное использование корпоративного профиля, отключение синхронизации.
OneDrive — запрет на синхронизацию, ограничение объёма.
OOBE (Out-of-Box Experience) — пропуск начальной настройки при развёртывании.
Paint, Камера, Магазин — полное отключение недееспособных или нежелательных приложений.
SmartScreen — включение/отключение фильтрации загрузок.
Windows Defender — настройка исключений, расписания сканирования, отправки отчётов в облако.
PowerShell — ограничение режима выполнения (ExecutionPolicy), запрет на удалённое управление.
Безопасная загрузка (Secure Boot) — принудительное включение UEFI Secure Boot.
Биометрия — запрет на использование Windows Hello.
Журнал событий — настройка размера, архивации, фильтрации.
Планировщик задач — запрет на создание задач пользователями.
Параметры входа — отключение PIN, смарт-карт, Windows Hello.
Отчёты об ошибках — отправка или блокировка передачи данных в Microsoft.
Службы IIS — настройка веб-сервера на клиентских машинах (редко, но возможно).

Сеть

Групповые политики позволяют детально настраивать сетевые компоненты Windows:

BranchCache

BranchCache кэширует содержимое с центральных серверов на локальных компьютерах, ускоряя доступ к данным в филиалах. Политики позволяют:

включать/отключать BranchCache,
выбирать режим (режим хоста или режим распределённого кэша),
настраивать порты и безопасность.

DNS-клиент

Управление поведением DNS-резолвера:

настройка суффиксов поиска,
управление кэшем DNS,
блокировка определённых доменов,
настройка NRPT (см. выше).

SNMP

Simple Network Management Protocol используется для мониторинга сетевых устройств. Политики позволяют:

задавать community-строки,
ограничивать IP-адреса, с которых разрешён запрос,
включать/отключать службу.

Автономные файлы

Позволяет пользователям работать с сетевыми файлами без подключения. Через политики можно:

запретить автономный режим,
настроить синхронизацию,
указать объём кэша.

Параметры TCP/IP

Настройка стека протоколов:

размер окна TCP,
поведение при перегрузке,
параметры IPv6,
настройка QoS для приоритизации трафика.

SSL

Политики SSL/TLS регулируют:

минимальную версию протокола,
разрешённые шифры,
поведение при ошибках сертификатов.

QoS (Quality of Service)

Позволяет назначать приоритеты сетевому трафику по:

IP-адресам,
портам,
исполняемым файлам. Это особенно полезно для VoIP, видеоконференций и других чувствительных к задержкам приложений.

Lanman (Служба рабочей станции)

Управление клиентской частью SMB:

отключение подписи SMB,
ограничение версий протокола,
настройка буферов.

WLAN и WWAN

Настройка беспроводных сетей:

автоматическое подключение только к доверенным SSID,
запрет на создание ad-hoc сетей,
настройка профилей для корпоративных Wi-Fi (802.1X, EAP).

BITS (Background Intelligent Transfer Service)

BITS используется Центром обновления, OneDrive и другими службами для фоновой передачи данных. Политики позволяют:

ограничить скорость загрузки/выгрузки,
задать расписание активности,
полностью отключить службу.

Система

Групповые политики дают глубокий контроль над системными компонентами:

App-V (Application Virtualization)

Позволяет запускать приложения в изолированной среде без установки. Политики управляют:

кэшем виртуальных приложений,
сроком жизни пакетов,
сетевым доступом виртуализированных программ.

DPAPI (Data Protection API)

Защита данных на уровне пользователя. Политики влияют на:

ротацию ключей,
резервное копирование ключей восстановления,
использование аппаратного ускорения шифрования.

iSCSI

Настройка инициатора iSCSI для подключения к сетевым хранилищам:

автоматическое подключение к целевым устройствам,
настройка аутентификации CHAP,
управление сессиями.

Kerberos

Протокол аутентификации в доменах Active Directory. Политики регулируют:

максимальный срок жизни билета,
поддержку делегирования,
совместимость с другими системами.

LAPS (Local Administrator Password Solution)

Автоматическая смена паролей локальных администраторов и сохранение их в Active Directory. Политики задают:

сложность пароля,
период смены,
группы, имеющие право читать пароль.

NTLM

Устаревший, но иногда необходимый протокол аутентификации. Политики позволяют:

запретить его использование,
ограничить применение только для определённых серверов,
включить аудит попыток использования.

Восстановление и вход

Настройка поведения при сбое (экран синего экрана, автоматический перезапуск),
отключение последнего известного хорошего конфигурации,
блокировка безопасного режима,
настройка экрана приветствия и входа.

Диспетчер учётных записей

Управление локальными пользователями и группами через политики:

автоматическое создание учётных записей,
назначение прав,
блокировка встроенных аккаунтов.

Диспетчер сервера

Отключение интерфейса диспетчера сервера на клиентских машинах, чтобы предотвратить случайные изменения.

Защита DMA

Защита от атак через Thunderbolt и другие интерфейсы с прямым доступом к памяти. Политики могут:

отключить DMA в BIOS/UEFI (если поддерживается),
включить защиту на уровне ОС.

Завершение работы

Запрет на выключение компьютера обычным пользователям,
принудительное завершение всех процессов при выходе,
отключение гибернации.

Контроль памяти

Настройка файла подкачки,
ограничение использования памяти на пользователя,
включение DEP (Data Execution Prevention).

Локальная система безопасности (LSA)

Защита процесса lsass.exe от дампа памяти,
настройка уровня проверки подписи,
включение защиты учётных данных (Credential Guard).

Профили

Ограничение размера профиля пользователя,
удаление профиля после выхода,
перенаправление папок (документы, рабочий стол) на сетевой ресурс.

Сетевой вход в систему

Блокировка входа по сети для определённых пользователей,
ограничение количества одновременных сессий,
настройка времени неактивности до разрыва соединения.

Служба входа

Отключение быстрого входа (Fast Sign-in),
принудительная двухфакторная аутентификация,
настройка параметров Windows Hello.

Сложность PIN-кода

Минимальная длина PIN,
требование использования цифр и букв,
блокировка повторяющихся символов.

Удалённый помощник

Полное отключение функции,
ограничение только на внутренние IP,
обязательное подтверждение каждой сессии.

Установка драйвера и устройства

Разрешение устанавливать драйверы только из доверенных источников,
блокировка установки USB-устройств определённых классов (например, HID-клавиатуры),
автоматическая установка только подписанных драйверов.

Файловая система

Принудительное шифрование через BitLocker,
настройка NTFS-разрешений по умолчанию,
включение сжатия или дедупликации,
включение поддержки длинных путей (LongPathsEnabled), что особенно важно для разработчиков, использующих Git или Node.js в проектах с глубокой вложенностью.

Меню «Пуск» и панель задач, панель управления

Групповые политики позволяют полностью контролировать внешний вид и поведение пользовательского интерфейса Windows:

Меню «Пуск»:
- фиксированный набор приложений,
- запрет на закрепление новых элементов,
- отключение рекомендаций и рекламы,
- принудительное использование классического или нового вида.
Панель задач:
- блокировка изменения положения,
- отключение чата с Microsoft Teams,
- скрытие виджетов и поиска,
- ограничение доступа к области уведомлений.
Панель управления:
- полное скрытие,
- отключение отдельных апплетов (например, «Учётные записи», «Сеть и Интернет»),
- запрет на изменение параметров даты, времени, региональных настроек.

Эти настройки особенно полезны в учебных заведениях, колл-центрах и на рабочих станциях с ограниченным функционалом.

Самые интересные и распространённые политики

Политики паролей

Одна из самых часто используемых групп политик — требования к паролям:

минимальная длина — 8 символов,
наличие заглавных и строчных букв, цифр и специальных символов,
запрет на повторное использование последних 24 паролей,
срок действия — 90 дней.

Эти настройки находятся в разделе:
Конфигурация компьютера → Политики Windows → Параметры безопасности → Локальные политики → Политика учётных записей.

Включение длинных путей

По умолчанию Windows ограничивает длину пути 260 символами. Это вызывает ошибки в современных инструментах разработки (например, при клонировании репозиториев с глубокой структурой). Чтобы включить поддержку длинных путей:

Откройте gpedit.msc.
Перейдите в:
Конфигурация компьютера → Административные шаблоны → Система → Файловая система.
Найдите политику «Включить поддержку длинных путей Win32».
Установите значение «Включено».

После этого приложения, поддерживающие этот режим (например, Git, Node.js, Python), смогут работать с длинными путями без ошибок.