Подключение сетевых дисков через групповые политики windows server 2019

Для подключения общих сетевых папок с файлового сервера пользователям домена в виде сетевых дисков можно использовать групповые политики. Групповые политики позволяют создать гибкие правила автоматического подключения сетевых дисков (папок) в зависимости от групп безопасности, в которых состоит пользователь, его текущего расположения и т.д. В этой статье мы создадим GPO для подключения общей сетевой папки отдела и персональной сетевой папки пользователя в виде отдельных сетевых дисков.

Создать групповую политику AD для подключения сетевых дисков

Предположим, ваша задача автоматически подключать общую сетевый папку всем пользователям отдела менеджеров. Для этого мы создадим в Active Directory новую групп безопасности SPB—managers, в которую нужно добавить всех пользователей отдела. Общие документы отдела хранятся на файловом сервере и доступы по UNC пути
\\server1\share\managers

Картинка с сайта: winitpro.ru

Наша задача создать GPO для подключения этой общей паки в виде диска.

1. Откройте консоль управления доменными GPO — Group Policy Management Console (
   gpmc.msc
   );
2. Перейдите в раздел Group Policy Objects и создайте новую политику с именем spbMapNetworkDrive. Щелкните по политике и выберите Edit.
3. Перейдите в секцию GPO User Configuration -> Preferences -> Windows Settings -> Drive Maps. Создайте новый параметр политики New -> Mapped Drive;
   

   Картинка с сайта: winitpro.ru

4. На вкладке General нужно указать параметры подключения сетевого диска. В поле Action доступны четыре опции:
   • Update– изменить настройки существующего сетевого диска или создать его (если не существует). При изменении настроек в Group Policy Preferences, сетевой диск не удаляется, а только обновляются его настройки.
   • Create – создать новый сетевой диск.
   • Replace – удалить и пересоздать сетевой диск. Если диск отсутствует, создаст новое подключение. Если уже есть, удалит и создаст заново.
   • Delete – удалить подключенный сетевой диск.

   В большинстве случаев для подключения сетевого диска нужно использовать режим Update. Режим Replace обычно используется, когда вам нужно изменить UNC путь к сетевой папке в настройках диска.

5. Заполните следующе поля:
   • • Location: UNC путь к общей сетевой папке каталогу, который нужно подключить;
     • Label as: метка диска;
     • Reconnect: сделать сетевой диск постоянным (будет переподключаться каждый раз при входе, даже если вы удалите политику. Это аналог параметра /persistent в команде
       net use
       );
     • Drive Letter – укажите букву диска, которую нужно назначить;
     • Connect as: опция не используется, т.к. Microsoft запретила сохранять пароли в Group Policy Preferences.
6. Переключитесь на вкладку Common, включите опции “Run in logged on users’s security context” и “Item-level Targeting”. Затем нажмите на кнопку “Targeting”;
7. Здесь нужно создать правило, которое будет подключать сетевой диск только пользователям, которые состоят в группе безопасности AD spb-Managers. Выберите New Item -> Security Group -> укажите имя группы;
   

   Картинка с сайта: winitpro.ru

8. Сохраните изменения в GPO.
9. Затем перейдите в консоль Group Policy Management и назначьте политику на OU с пользователями. Щелкните правок кнопкой по OU, выберите Link an existing GPO и выберите вашу политику.
10. Политика подключения сетевых дисков примениться пользователям в фоновом режиме в течении 90 минут (не обязательно делать принудительное обновление настроек GPO с помощью команды
    gpupdate /force
    или перезагрузку/логоф).
11. Откройте на компьютере пользователя праведник File Explorer и проверьте, что появился новый сетевой диск M.
    

    Картинка с сайта: winitpro.ru

В этой же GPO можно создать дополнительные правила для подключения сетевых дисков другим пользователям в зависимости от групп безопасности, в которые они добавлены.

Картинка с сайта: winitpro.ru

Подключение персонального сетевого диска через GPO

Часто групповые политики используются для подключение персонального сетевого диска пользователю. На таком сетевом диске пользователь может хранить свои личные документы, которые будут доступ не зависимо от компьютера, за которым он работает.

Создайте для каждого пользователя отдельный каталог, соответствующий его имени в AD (
sAMAccountName
). Для предотвращения доступа пользователей к чужим личным папкам, отключите наследование и оставьте в NTFS разрешениях каждого персонального каталога только System, Administrator и самого пользователя с правами Full Control. Группу Users нужно удалить из NTFS списка доступа.

Картинка с сайта: winitpro.ru

Создайте еще одно правило подключения сетевого диска в той же самой GPO.

Картинка с сайта: winitpro.ru

В настройках политики укажите путь к сетевому каталогу с личными папками пользователей в виде
\\server1\share\home\%LogonUser%
. В качестве метки диска я указал
%LogonUser% - Personal
.

Переменная окружения
%LogonUser%
указывает, что нужно в качестве имени каталог подставить имя учетной записи пользователя.

Полный список переменных окружения, которые можно использовать в GPP можно вывести, нажав клавишу F3.

После обновления настроек GPO на компьютере пользователя, в его сессии появится отдельный персональный сетевой диск, в котором он может хранить свои документы.

Картинка с сайта: winitpro.ru

Mapping network drives is a common task for system administrators. One option is to create a batch script that runs every time the workstation starts. But there is a simpler and more convenient method: using Group Policy. Mapping network drives via Group Policy is faster and easier, so it is a much more scalable approach.

Here is a step-by-step guide for Group Policy drive mapping:

Step #1. On a Microsoft Windows Server with the Active Directory role installed, open the Group Policy Management

Step #2. Create a new GPO and give it a name. Then link it to an OU that contains user accounts because Group Policy drive mapping is a user configuration preference. You can also select an option – create a GPO in this domain and link it here, after that use item-level targeting option which will be described below.

Картинка с сайта: blog.netwrix.com

Step #3. Right-click the new Group Policy object and go to User Configuration -> Preferences -> Windows Settings -> Drive Maps.

Step #4. Right-click Drive Maps, select New and then click the Mapped Drive

Картинка с сайта: blog.netwrix.com

Step #5. Then you need to configure the settings for the new mapped drive. Here are the options on the General tab:

• • Action — Select an action that will be performed on the shared drives:
    • Create — creates a new mapped drive for users.
    • Delete — deletes a mapped drive for users.
    • Replace — deletes and then creates mapped drives for users.
    • Update — modifies settings of an existing mapped drive for users. This action differs from Replace in that it only updates settings and don’t delete
  • Location — Specify the path to the shared folder or drive that you want to map.
  • Reconnect — Check this option if you want to save the mapped drive in the user’s settings and reconnect it each time they log on.
  • Label as — Specify a custom name for the shared drive. (You can leave this field blank.)
  • Drive Letter — Specify the letter you want the drive to be mapped to. Be careful, because if the workstation is already using the letter you choose here, the Group Policy drive mapping will fail.
  • Connect as — If this setting is blank, the drive will be mapped using the current user account credentials. You can choose to specify a different account here that will be used instead.
  • Hide/Show options — You can also choose to connect the new drive (or all drives) in a hidden state.

Картинка с сайта: blog.netwrix.com

Step #6. Click the Common tab to configure these additional settings for all items:

• • Stop processing items in this extension if an error occurs
  • Run in the security context of the user who is currently logged on
  • Remove this item when it is no longer applied
  • Apply once and do not reapply
  • Item-level targeting (see step 7)

Картинка с сайта: blog.netwrix.com

Step #7. Item-level targeting allows you to apply drive mappings in a very flexible way. For example you could apply a drive mapping only to a certain OU and the users and computers in it, or only to a certain IP address range. If you enable item-level targeting, click the Targeting button to open the Targeting Editor. Click New Item and select the type of item that you want to apply the new shared drive mapping policy to. The screenshot below shows how to select Organizational Unit and then choose the specific users or computers in that OU. Click OK to close the Targeting Editor.

Картинка с сайта: blog.netwrix.com

Step #8. To apply the policy, either reboot the target computers or run gpupdate /force on them. Alternatively, you can go to Group Policy Management, right-click the target OU, and then click Group Policy Update.

Now, whenever a user logs on to any of the targeted computers, the new network drive will be shown in their file explorer.

Conclusion

As you can see, mapping a network drive via Group Policy is a very easy process and doesn’t require any PowerShell scripting experience. It is the best way to assign network drives to your users in a centralized manner, and makes troubleshooting easier — for example, you can simply use gpresult rather than writing logon scripts.

Картинка с сайта: blog.netwrix.com

Политики описаны для Active Directory на основе Windows Server 2019

Добавление администратора домена в локальные администраторы

Для того, чтоб была возможность управлять компьютером от имени доменного администратора, его нужно добавить в группу локальных администраторов компьютера

Конфигурация компьютера
  Настройка
    Параметры панели управления
      Локальные пользователи и группы

Действие: Обновить
Имя группы: Администраторы (встроенная учетная запись)
✓Удалить всех пользователей-членов этой группы
✓Удалить все группы-члены этой группы
Члены группы: Workstation Admins

Включение возможности принудительного обновления групповой политики контроллером домена

Под принудительным обновлением понимается нажатие Обновление групповой политики в контекстном меню объекта управления (подразделения). Если не разрешить некоторые правила брандмауэра будет возникать ошибка с кодом 8007071a

Конфигурация компьютера
  Политики
    Конфигурация Windows 
      Монитор брандмауэра Защитника Windows в режиме повышенной безопасности
        Монитор брандмауэра Защитника Windows в режиме повышенной безопасности 
          Правила для входящих подключений

Доступ к сети COM+
Удаленное управление журналом событий
Инструментарий управления Windows (WMI)
Удаленное управление назначенными задачами

Включение сетевого обнаружения

Конфигурация компьютера
  Политики
    Конфигурация Windows 
      Монитор брандмауэра Защитника Windows в режиме повышенной безопасности
        Монитор брандмауэра Защитника Windows в режиме повышенной безопасности 
          Правила для входящих подключений

Обнаружение сети
Общий доступ к файлам и принтерам

Конфигурация компьютера
  Политики
    Административные шаблоны
      Сеть
        Обнаружение топологии связи (Link-Layer)

Включает драйвер отображения ввода/вывода (LLTDIO)
Включить драйвер "Ответчика" (RSPNDR)

Конфигурация компьютера
  Политики
    Административные шаблоны
      Сеть
        Рабочая станция Lanman

Включить небезопасные гостевые входы

Конфигурация компьютера
  Настройка
    Параметры панели управления
      Службы

Публикация ресурсов обнаружения функции (FDResPub)
Обнаружение SSDP (SSDPSRV)

Выключение требования нажатия Ctrl+Alt+Del при входе

Конфигурация компьютера
  Политики
    Конфигурация Windows
      Параметры безопасности
        Локальные политики
          Параметры безопасности

Интерактивный вход в систему: не требовать нажатия CTRL+ALT+DEL

Разрешение на доступ по RDP

Конфигурация компьютера
  Политики
    Административные шаблоны
      Компоненты Windows
        Службы удаленных рабочих столов
          Узел сеансов удаленных рабочих столов
            Подключения

Разрешить пользователям удаленное подключение с использованием служб удаленных рабочих столов

Конфигурация компьютера
  Политики
    Административные шаблоны
      Сеть
        Сетевые подключения
          Брандмауэр Защитника Windows
            Профиль домена

Брандмауэр Защитника Windows: Разрешает исключение для входящего общего доступа к файлам и принтерам
Брандмауэр Защитника Windows: Разрешить входящее исключение удаленного администрирования 
Брандмауэр Защитника Windows: Разрешить входящие исключения удаленного рабочего стола

Разрешение на сохранение паролей для подключения по RDP

Конфигурация компьютера
  Политики
    Административные шаблоны
      Система
        Передача учетных данных

Разрешить передачу сохраненных учетных данных с проверкой подлинности сервера "только NTLM"

Конфигурация компьютера
  Политики
    Административные шаблоны
      Сеть
        Сетевые подключения
          Брандмауэр Защитника Windows
            Профиль домена

Брандмауэр Защитника Windows: Разрешает исключение для входящего общего доступа к файлам и принтерам
Брандмауэр Защитника Windows: Разрешить входящее исключение удаленного администрирования 
Брандмауэр Защитника Windows: Разрешить входящие исключения удаленного рабочего стола

Настройки электропитания

Конфигурация компьютера
  Политики
    Административные шаблоны
      Система
        Управление электропитанием
          Параметры дисплея и видео

Отключить дисплей (питание от сети)
Отключить дисплей (питание от батареи)

Конфигурация компьютера
  Политики
    Административные шаблоны
      Система
        Управление электропитанием
          Параметры жесткого диска

Отключить жесткий диск (питание от сети)
Отключить жесткий диск (питание от батареи)

Конфигурация компьютера
  Политики
    Административные шаблоны
      Система
        Управление электропитанием
          Параметры спящего режима

Указать время ожидания автоматического перехода в спящий режим (питание от сети)
Указать время ожидания автоматического перехода в спящий режим (питание от батареи)

Требовать пароль при выходе из спящего режима (питание от сети)
Требовать пароль при выходе из спящего режима (питание от батареи)

Конфигурация пользователя
  Политики
    Административные шаблоны
      Панель управления
        Персонализация

Защита заставки с помощью пароля

Подключение сетевого диска

Конфигурация пользователя
  Настройка
    Конфигурация Windows
      Сопоставления дисков

Действие: Обновить
Размещение: Указать путь к сетевому диску
Буква диска: Указать букву для сетевого диска

Настройка контроллера домена в качестве NTP сервера и настройка клиентов NTP

Select * from Win32_ComputerSystem where DomainRole = 5

Конфигурация пользователя
  Политики
    Административные шаблоны
      Система
        Служба времени Windows
          Поставщики времени

Настроить NTP-клиент Windows

0.ru.pool.ntp.org,0x1 1.ru.pool.ntp.org,0x1 2.ru.pool.ntp.org,0x1 3.ru.pool.ntp.org,0x1

Конфигурация пользователя
  Политики
    Административные шаблоны
      Система
        Служба времени Windows
          Поставщики времени

Настроить NTP-клиент Windows

Выбрать Type — NT5DS и в поле NtpServer указать ip-адрес контроллера домена

Настройка прав на диск/папку/файл

Конфигурация компьютера
  Политики
    Конфигурация Windows
      Параметры безопасности
        Файловая система

ПКМ ⇒ Добавить файл. После выбора объекта можно будет указать для него параметры безопасности, нажав на кнопку Изменить параметры

Запрет компьютерам домена становится MasterBrowser`ом

Конфигурация компьютера
  Настройка 
    Конфигурация Windows
      Реестр

Действие - Обновить
Куст - HKEY_LOCAL_MACHINE
Путь раздела - SYSTEM\CurrentControlSet\Services\Browser\Parameters
Имя параметра - MaintainServerList
Тип параметра - REG_SZ
Значение - No

Всегда ждать запуска сети при запуске и входе в систему

Конфигурация компьютера
  Политики 
    Административные шаблоны
      Система
        Вход в систему

Всегда ждать сеть при запуске и входе в систему

Задать адрес прокси сервера

Конфигурация пользователя
  Настройка
    Параметры панели управления
      Параметры обозревателя

Создать параметры для нужных версий IE, можно для всех сразу.
Для всех версий настройка осуществляется одинаково на вкладке Подключения, кнопка Настройка сети.

В открывшемся окне указать ip-адрес и порт прокси сервера.
Если строки подчеркнуты красным параметры не применятся, строки должны быть подчеркнуты зеленым, для этого нужно нажать F5

Создание файлов на компьютерах

Конфигурация пользователя
  Настройка
    Конфигурация Windows
      Файлы

Исходные файлы: файл, который должен лежать на сетевом диске с доступам для всех, например \\SRV-SHARE\data\123.txt
Конечный файл: путь и название файла на конечном компьютере, например %userprofile%\AppData\Roaming\test.txt

Разрешение на подключение гостя к компьютеру домена

Конфигурация компьютера
  Политики
    Конфигурация Windows
      Параметры безопасности
        Назначение прав пользователя

Отказать в доступе к этому компьютеру из сети

Установка программы

C:\Windows\SYSVOL\domain\scripts

\\<Имя сервера>\netlogon

Конфигурация компьютера
  Политики
    Конфигурация программ
      Установка программ

Указать установочный файл msi, для этого нужно нажать ПКМ ⇒ Создать ⇒ Пакет

Конфигурация пользователя
  Политики
    Конфигурация Windows
      Сценарии
        Вход в систему

Зайти в свойства и указать путь к bat файлу, он должен лежать на сетевом диске, например \\SRV-SHARE\data\123.bat

Shared network folders from file servers can be made available to domain users as network drives using Group Policy. GPO allows configuring flexible rules to automatically map network drives based on the security groups the user is a member of, their current location, etc. This guide describes creating a GPO to map the shared network folder of the department and the user’s network (home) folder as separate network drives.

Configure Group Policy to Map a Shared Network Drive

Suppose, you have a file server where shared folders of different departments are stored. To do this, create a new ‘IT Marketing‘ security group in Active Directory and add all the users in the team to this group. Shared team documents are stored on the file server and can be accessed via the UNC path \\ro-fs01\share\marketing.

Картинка с сайта: woshub.com

Our task is to map this shared folder as a separate drive by using the Group Policies.

1. Open the domain Group Policy Management Console (gpmc.msc)
2. Go to the Group Policy Objects section and create a new policy named IT_MapNetworkDrives. Click the policy and select Edit.
3. Go to User Configuration -> Preferences -> Windows Settings -> Drive Maps. Create a new policy option: New -> Mapped Drive 
4. In the General tab, you need to specify the shared network folder connection settings. The Action dropdown list has four options:
   • Update– change the settings of an existing mapped drive or create a new one if none exists. Changing the settings in Group Policy Preferences doesn’t delete the mapped drive. It just updates the settings.
   • Create – create a new mapped network drive.
   • Replace – delete and recreate the network drive. If the drive is missing, a new connection will be created. It will delete and re-create a mapped drive if one already exists.
   • Delete – remove the mapped network drive.

   In most cases, the Update mode is used to map a network drive. Replace mode is usually used when you need to change the UNC path to a shared folder in the drive settings.

5. Set the following mapped drive settings:
   • Location: a UNC path to the shared folder you want to connect
   • Label as: a drive label
   • Reconnect: make a shared drive persistent (it will be reconnected at each login, even if you have removed the policy. This is the same as the /persistent option in the net use command)
   • Drive Letter: specify the drive letter to assign
   • Connect as: this option is no longer available because Microsoft doesn’t allow passwords to be stored in the GPO.  
     

     Картинка с сайта: woshub.com

6. Go to the Common tab. Check the Run in logged on users’s security context and Item-level Targeting options. Then click Targeting;
7. Create a rule that maps a network drive only to users who are members of the AD IT-Marketing security group. Select New Item -> Security Group -> specify the group name;
   

   Картинка с сайта: woshub.com

8. Save the changes.
9. Then navigate to the Group Policy Management console and assign the GPO to the OU containing the user accounts. Right-click on the OU, select Link an existing GPO, and select your policy.
10. The network drive mapping policy will be applied to the users in the background within 90 minutes (it is not necessary to force a GPO update using the gpupdate /force command or to reboot /logoff.).
11. Open File Explorer on the user’s computer and check for a new network drive M:.
    

    Картинка с сайта: woshub.com

A single GPO can have multiple drive mapping rules, depending on the security groups that users are members of.

Картинка с сайта: woshub.com

How to Map Individual User’s Network Drive via GPO

Group Policies are also can be used to map a user’s home network drive to a user session. Users can store their personal files on a network drive and access them from any computer.

Create an individual directory in the shared network folder for each user according to their name in AD (sAMAccountName). To prevent users from accessing other people’s personal folders, change the NTFS permissions for each folder. Disable inheritance and leave only System, Administrator, and the owner user with Full Control permissions of each home folder. Remove the built-in Users group from the NTFS access control list.

Картинка с сайта: woshub.com

Create an additional network map rule in the same GPO.

Картинка с сайта: woshub.com

Specify the path to the user’s home directory in the policy settings. For example, \\ro-fs01\shared\home\%LogonUser%. I have set %LogonUser% - Personal as a drive label.

Картинка с сайта: woshub.com

The environment variable %LogonUser% specifies that the name of the user account should be used as the name of the directory.

Press F3 to display a full list of environment variables that can be used in GPP rules.

A personal mapped network drive will appear on the user’s computer to store documents and files after the GPO settings have been updated.

Картинка с сайта: woshub.com