איך זה עובד
אחרי שמבינים את סדר ההחלה (LSDOU) ואת gpupdate, השלב הבא הוא לשלוט במי בדיוק מקבל את המדיניות. ארבעה כלים עושים את ההבדל: Security Filtering, WMI Filters, Group Policy Preferences וה־Central Store.
- כברירת מחדל חל על Authenticated Users. מוחקים אותם ומוסיפים קבוצת יעד — למשל G_Finance_WS — והמדיניות תחול רק עליהם.
- אין צורך להזיז מחשבים בין רק בשביל : מקשרים את אותו GPO לכמה OU ומסננים לפי קבוצה.
- Deny ב־Security Filtering גובר על Apply — משתמשים בו בזהירות ובתיעוד.
WMI Filter הוא שאילתה שרצה על התחנה לפני החלת ה־. לדוגמה: להחיל מדיניות רק על מחשבים ניידים (יש להם סוללה) או רק על Windows 11. שאילתה איטית מעכבת Logon — בודקים אותה קודם ידנית עם Get-CimInstance.
- Drive Maps, Shortcuts, Printers, Registry, Local Users — דברים שפעם דרשו סקריפט Logon.
- Item-Level Targeting מאפשר תנאי לכל שורה: רק למחלקת כספים, רק כשיש חיבור VPN וכדומה.
- כלל ברזל: אף פעם לא שומרים סיסמה ב־GPP — הסיסמאות מוצפנות במפתח שפורסם (MS14-025) וכל משתמש בדומיין יכול לפענח אותן.