Хранить сценарии объекта групповой политики в Netlogon или в папке политики?
Рекомендуется ли хранить сценарии входа централизованно в \\DOMAIN\Netlogon или в папке политики они вставляются по умолчанию, например. \\DOMAIN\SysVol\DOMAIN\Policies\{DE22B6FB-315E-4C55-BF06-A7709913CD9E}\User\Scripts\Logon?
Каковы последствия (если таковые имеются) выбора одного места над другим?
Я склонен просто держать их всех в Netlogon для простоты доступа / обзора...
3 ответа
Расположение по умолчанию для пользовательских сценариев входа - это общий ресурс NETLOGON, который по умолчанию реплицируется на все контроллеры домена в вашем лесу и физически находится в:
%SystemRoot%\SYSVOL\sysvol\<domain DNS name>\scripts,
или же
%SystemRoot%\SYSVOL_DFSR\sysvol\<domain DNS name>\scripts (для FRS на основе DFS, так как это рекомендуется для Server 2012R2+)
Если вы установили скрипт входа пользователя (ADUC > Пользователь> Свойства> Вход> Скрипт входа> hello.cmd), он выполняется из NETLOGON.
"Официальная" лучшая практика это:
- сохраните их вместе с объектом групповой политики, если вы установите его через объект групповой политики.
- сохраните их в NETLOGON, если вы установите его как свойство пользователя в AD.
Оба местоположения синхронизируются между контроллером домена, поэтому для меня это только личный выбор.
Мое личное мнение таково, что после определенного количества объектов групповой политики все в netlogon может быть трудным для управления. (как при удалении объекта групповой политики сценарий не будет удален в примере)
Не уверен, что это "лучшая практика", но я видел несколько постов в блоге, которые рекомендуют это, и я предпочитаю:
У нас есть общий файловый ресурс, который содержит все вспомогательные файлы для наших объектов групповой политики, включая сценарии. Все скрипты проверены на контроль версий.
Общая папка настроена с помощью DFS, поэтому она называется \domain.com\DFS\GPO-Files
Сценарии находятся в подкаталоге \domain.com\DFS\GPO-Files\Scripts
В объекте групповой политики вы вызываете скрипт "powershell.exe", а для параметров -File PathToScript.
Мне нравится этот подход, потому что файлы и сценарии GPO находятся в хорошо известном месте, а не в папке с именем GUID.
Это также позволяет лучше контролировать процесс powershell.exe, например ExecutionPolicy.