Як бомбардувати групову групу?

Я займаюся великою роботою у вищій освіті, де досить поширеною вимогою є перенастроювання декількох членів домену Windows (наприклад, ПК у класі) протягом певного курсу чи події, і ця конфігурація після цього не скасовується.

Оскільки більшість змін конфігурації, про які ми просимо зробити, можна здійснити через об’єкти групової політики, і ці зміни автоматично змінюються, коли GPO відключається або деактивується на рівні OU, це дуже простий шлях.

Єдиним недоліком є ​​те, що багаторазове вручне з'єднання та від’єднання ГРУ на ОУ потребує численних нагадувань та ІТ-службовців, які чергують перед початком курсу та після їх закінчення - те, що операційна команда не може гарантувати завжди.

Чи є спосіб визначити часовий інтервал для дії конкретного групового об'єкта?

Це можна зробити за допомогою фільтра WMI . Клієнт групової політики виконує WQL-запит із приєднаного фільтра WMI і застосовує GPO лише тоді, коли запит поверне ненульове число рядків. Таким чином, створивши фільтр WMI, перевіривши, чи є поточний системний час в заданому інтервалі часу, і зв’язавши цей фільтр WMI з груповою групою, яку ви хочете виконати, ви отримаєте саме те, що хотіли.

Win32_OperatingSystem клас WMI має LocalDateTime атрибут , який можна порівняти із заданою дати рядка в форматі «РРРРММДД чч: пп: сс» так , використовуючи WQL рядок типу

select * from win32_operatingsystem where localdatetime >= '20150220 00:00:00' and localdatetime <= '20150223 15:00:00'

у root\CIMv2просторі імен переконайтесь, що GPO застосовуватиметься лише до систем, де локальний час знаходиться між 20 лютого 2015 00:00:00 та 23 лютого 2015 15:00:00:

Переконайтеся, що ви підключили WMI-фільтр до потрібної GPO:

Що потрібно пам’ятати:

• WQL оцінює локальну дату та час на клієнті, які можуть або не можуть бути синхронізовані з джерелом часу, яке ви хочете використовувати. Час клієнта не буде надто далеко вперед або позаду часу контролера домену, інакше автентифікація Kerberos порушиться, але можуть бути незначні відхилення, врахуйте їх

• клієнт групової політики перевірятиме наявність змін у груповій групі та повторно застосовує їх за замовчуванням:

  За замовчуванням групова політика комп'ютера оновлюється у фоновому режимі кожні 90 хвилин із випадковим зміщенням від 0 до 30 хвилин.

  Тож налаштування за замовчуванням дозволять отримати точність +2 години. Інтервал оновлення може бути змінений, встановивши (іншу) групову політику, якщо потрібно.

• Ваша політика повинна мати можливість відновити всі зміни, коли вони більше не застосовуються. Це за замовчуванням для всіх керованих адміністративних шаблонів. Налаштування налаштувань групової політики, можливо, потрібно буде чітко встановити, щоб "видалити цей елемент, коли він більше не застосовується" :