Group Policy (Grup İlkesi), Active Directory ortamında kullanıcı ve bilgisayar yapılandırmalarını merkezi olarak yönetmek için kullanılan Windows yönetim mekanizmasıdır. Güvenlik ayarları, masaüstü kısıtlamaları, Windows Update davranışı, scriptler, güvenlik duvarı ve çok sayıda işletim sistemi ayarı GPO’lar üzerinden standartlaştırılabilir.
Group Policy Object (GPO) Nedir?
Yapılandırmalar Group Policy Object (GPO) adı verilen nesnelerde tutulur. Domain ortamında GPO’nun Active Directory içindeki metadata bölümü Group Policy Container (GPC), SYSVOL üzerindeki dosya tabanlı bölümü ise Group Policy Template (GPT) olarak değerlendirilir. İstemcinin sağlıklı policy işleyebilmesi için AD ve SYSVOL tarafının tutarlı ve erişilebilir olması gerekir.
Local Group Policy ve Domain Group Policy
Local Group Policy
Tek bir Windows bilgisayarındaki yerel politika ayarlarını yönetir. Domain’e bağlı olmayan sistemlerde de kullanılabilir.
Domain Group Policy
Active Directory üzerinden merkezi olarak yönetilir. GPO’lar Site, Domain ve Organizational Unit (OU) seviyelerine bağlanabilir; kullanıcı ve bilgisayar nesneleri kapsamlarına göre policy’leri işler.
Group Policy Uygulanma Sırası: LSDOU
Temel işleme sırası Local → Site → Domain → OU şeklindedir ve genellikle LSDOU olarak hatırlanır. İç içe OU yapılarında üst OU’lardan alt OU’lara doğru işleme devam eder.
Ancak “son uygulanan her zaman kazanır” ifadesi tek başına yeterli değildir. Enforced, Block Inheritance, Security Filtering, WMI Filtering ve bazı policy ayarlarının kendi davranışları sonucu etkileyebilir.
Computer Configuration ve User Configuration
- Computer Configuration: bilgisayar nesnesine ve sistem bağlamına uygulanan ayarlar.
- User Configuration: oturum açan kullanıcı nesnesine uygulanan ayarlar.
Bir ayarın hangi bölümde tanımlandığını bilmek, GPO’yu hangi OU’ya bağlamanız gerektiğini anlamak açısından kritiktir.
GPO Kapsamını Neler Belirler?
- GPO linkinin bağlı olduğu Site/Domain/OU
- Kullanıcı veya bilgisayar nesnesinin konumu
- Security Filtering
- WMI Filter
- Link Enabled ve GPO Status
- Inheritance, Enforced ve Block Inheritance
Politikanın Uygulandığını Nasıl Kontrol Ederim?
gpresult /r
gpresult /h C:Tempgpresult.html
rsop.mscgpupdate /force policy yenilemesini tetikleyebilir; ancak bir GPO’nun neden uygulanmadığını açıklamaz. Sorun varsa GPO Uygulanmıyor: Group Policy Troubleshooting rehberindeki sistematik akışı kullanın.
Group Policy Nerelerde Kullanılır?
- Parola ve hesap güvenliği politikaları
- Windows Update ve istemci davranışı
- Windows Firewall ve güvenlik ayarları
- Script ve scheduled task dağıtımları
- Registry tabanlı merkezi yapılandırmalar
- BitLocker ve işletim sistemi güvenliği
- Kullanıcı masaüstü/arayüz kısıtlamaları
Best Practice
- GPO’lara amacı açık isimler verin.
- Tek GPO içine ilgisiz onlarca ayar doldurmayın.
- Değişiklikleri önce pilot OU’da test edin.
- Security Filtering ve WMI Filter kullanımını dokümante edin.
- Default Domain Policy gibi temel GPO’ları genel ayar deposuna çevirmeyin.
- GPO sorunlarında önce kapsam ve
gpresult, sonra DNS/SYSVOL/log katmanına geçin.
Sonuç
Group Policy’nin temel mantığı, Windows ayarlarını tek tek bilgisayarlarda değiştirmek yerine Active Directory üzerinden kontrollü ve doğrulanabilir biçimde standartlaştırmaktır. Sağlıklı bir GPO tasarımında yalnız ayarın kendisi değil; scope, inheritance, filtering ve doğrulama mekanizması birlikte düşünülmelidir.
