Windows Server 2025: záloha GPO pred zmenou skupinových politík
Jedna chybná skupinová politika môže zmeniť prihlásenie, zabezpečenie alebo prístup k súborom na stovkách počítačov. Pred úpravou nestačí odfotiť nastavenie. Windows Server umožňuje vytvoriť riadnu zálohu objektu skupinovej politiky a v prípade potreby obnoviť konkrétnu verziu.
Záloha, obnova a import nie sú to isté
Obnova
Vracia zálohovaný objekt do pôvodnej domény a zachováva jeho identitu, nastavenia aj oprávnenia. Hodí sa pri návrate konkrétneho existujúceho GPO.
Import
Prenesie nastavenia zo zálohy do iného cieľového objektu. Je vhodný pri šablóne alebo migrácii, no väzby a oprávnenia treba posudzovať samostatne.
Microsoft podporuje zálohovanie a obnovu cez konzolu správy skupinových politík aj prostredníctvom príkazov modulu GroupPolicy. Zálohovať možno jeden objekt alebo všetky objekty v doméne. Každá záloha má vlastný identifikátor, preto je opis a evidencia dátumu dôležitejšia než názov priečinka.
Kontrolovaný postup pred zmenou
- Určte rozsah dopadu. Skontrolujte prepojenia GPO, poradie, dedenie, bezpečnostné filtrovanie a filtre WMI. Zapíšte, ktoré organizačné jednotky a skupiny môžu zmenu dostať.
- Vytvorte čerstvú zálohu. V konzole vyberte objekt alebo celý kontajner objektov, zadajte chránené umiestnenie a do opisu vložte číslo zmeny, dôvod a meno správcu.
- Overte výsledok. Skontrolujte, že konzola zálohu zobrazuje, priečinok obsahuje nové údaje a kópia sa dostala na oddelené úložisko. Samotný prázdny adresár nie je dôkaz úspechu.
- Testujte mimo produkcie. Vytvorte testovaciu organizačnú jednotku a presuňte do nej vhodné skúšobné zariadenie alebo používateľa. Overte výslednú sadu politík a udalosti po spracovaní.
- Nasadzujte po etapách. Najprv malá skupina, potom širšia. Sledujte prihlásenie, sieť, aplikácie a bezpečnostné udalosti. Ak sa objaví odchýlka, zastavte rozširovanie a použite pripravený návrat.
Záloha GPO nie je úplná záloha Active Directory: chráni nastavenia konkrétnych politík, nie všetky objekty domény, systémový stav radiča ani údaje používateľov. Musí byť súčasťou širšieho plánu obnovy vrátane overených záloh a dokumentovaných závislostí.
Skúška obnovy bez rizika
Na nácvik vytvorte neprodukčný GPO s niekoľkými neškodnými nastaveniami, zálohujte ho, zmeňte hodnoty a vykonajte obnovu. Skontrolujte obsah, oprávnenia aj to, či sa politika viaže tam, kde očakávate. Produkčný objekt neobnovujte iba kvôli skúške.
Pri automatizácii zaznamenávajte výsledok každého príkazu a uchovávajte viac verzií. Príkaz Backup-GPO vie zálohovať jeden alebo všetky GPO; Restore-GPO dokáže vybrať konkrétnu zálohu. Skript musí skončiť chybou, ak cieľové úložisko nie je dostupné, namiesto vytvorenia falošného pocitu bezpečia.
Priečinok so zálohami pravidelne kontrolujte na inom správcovskom počítači. Obmedzte práva na zápis, pretože útočník alebo chybný skript môže znehodnotiť aj pripravený návrat. Retencia má ponechať viac časových bodov; najnovšia záloha môže už obsahovať neželanú zmenu, ktorú ste si všimli neskôr.
- Záloha vznikla tesne pred každou zmenou a má jednoznačný opis.
- Kópia je uložená mimo radiča domény a prístup je obmedzený.
- Dopad politiky bol overený na testovacej organizačnej jednotke.
- Tím pozná rozdiel medzi obnovou, importom a úplnou obnovou domény.
Návrat musí byť pripravený vopred
Bezpečná zmena GPO začína čerstvou zálohou, pokračuje testovacím rozsahom a končí postupným nasadením. Záloha má hodnotu až vtedy, keď je spoľahlivo dohľadateľná a obnova bola prakticky overená podľa dokumentovaného postupu.