如何定时炸弹GPO?

我在高等教育方面做了很多工作,在特定课程或事件期间重新configuration许多Windows域成员(例如,教室中的PC)是相当普遍的要求,并且此后将此configuration撤销。

由于大多数configuration更改都可以通过组策略对象来完成,并且在OU级别取消关联或取消激活GPO时,这些更改会自动反转,这是一条非常舒适的路线。

唯一的缺点是重复的手动链接和解除OU上的GPO链接需要很多提醒和IT人员在课程开始之前和结束之后值class – 这是操作团队无法保证的。

有没有一种方法来指定特定GPO的有效性的时间框架?

这可以通过WMI过滤来完成。 组策略客户端将从附加的WMI筛选器执行WQL查询,并且只有在查询将返回非零数的行时才应用GPO。 因此,通过创build一个WMIfilter来检查当前系统时间是否在给定的时间间隔内,并将此WMIfilter连接到GPO,您想要定时炸弹,就可以得到您想要的。

win32_operatingsystem WMI类有一个localdatetime属性,它可以用'yyyymmdd hh:nn:ss'格式与给定的stringdate进行比较,所以使用WQLstring就像

select * from win32_operatingsystem where localdatetime >= '20150220 00:00:00' and localdatetime <= '20150223 15:00:00' 

root\CIMv2名称空间中,将确保GPO仅适用于当地时间为2015年2月20日00:00:00至2015年2月23日15:00:00之间的系统:

使用WQL字符串配置WMI筛选器

确保您已将WMI筛选器链接到所需的GPO:

将WMI筛选器链接到GPO

需要注意的是:

  • WQL正在评估客户机上的本地date和时间,这些date和时间可能会或可能不会与您要使用的时间源同步。 客户端的时间不会在域控制器的时间之前或之后运行得太远,否则Kerberos身份validation将会中断,但是可能会有一些小的偏差,请考虑它们
  • 组策略客户端将检查GPO更改并默认重新应用它们,而不是经常进行:

    默认情况下,计算机组策略每90分钟在后台更新一次,随机偏移量为0到30分钟。

    所以默认设置只允许精度为+2小时。 如果需要,更新间隔可以通过(另一个)组策略设置进行更改 。

  • 您的政策需要能够在不再应用时恢复所有更改。 所有pipe理的pipe理模板都是默认的情况。 组策略首选项设置可能需要明确设置为“不再应用时删除此项”GPP-通用标签