Như bạn có thể biết, xử lý loopback là một tính năng của Chính sách nhóm Active Directory áp dụng cài đặt người dùng trong GPO cho bất kỳ người dùng nào đăng nhập vào máy tính trong phạm vi của GPO (trong khi hành vi tiêu chuẩn sẽ chỉ áp dụng cài đặt người dùng nếu tài khoản người dùng thực sự nằm trong phạm vi của GPO). Điều này hữu ích khi bạn muốn tất cả người dùng đăng nhập vào một máy tính cụ thể nhận được một số chính sách người dùng, bất kể tài khoản người dùng của họ thực sự nằm ở đâu trong AD.
Vấn đề: khi xử lý loopback được bật, GPO chứa cài đặt người dùng được áp dụng cho mọi người sử dụng các máy tính đó và bạn không thể bỏ qua điều này bằng cách sử dụng ACL trên GPO, vì nó không thực sự được áp dụng cho người dùng , mà cho máy tính .
Câu hỏi: làm thế nào có thể bỏ qua xử lý loopback cho những người dùng cụ thể cần đăng nhập vào các máy tính đó nhưng không phải tuân theo các cài đặt chính sách đó?
Trường hợp cụ thể: có một số máy chủ đầu cuối trong đó GPO có xử lý loopback được sử dụng để thực thi các hạn chế người dùng nặng đối với mọi người đăng nhập vào chúng (về cơ bản họ chỉ có thể chạy một loạt các ứng dụng được công ty phê duyệt); nhưng điều này áp dụng ngay cả với Quản trị viên tên miền , do đó được kết xuất thậm chí không thể khởi chạy một dấu nhắc lệnh hoặc mở trình quản lý tác vụ. Trong trường hợp này, làm cách nào tôi có thể yêu cầu AD không thực thi các cài đặt đó nếu người dùng đăng nhập thuộc về một nhóm cụ thể (chẳng hạn như Quản trị viên tên miền)? Ngoài ra, ngay cả giải pháp ngược lại ("chỉ áp dụng các cài đặt đó cho người dùng thuộc một nhóm cụ thể") sẽ ổn.
Nhưng xin vui lòng, hãy nhớ rằng chúng ta đang nói về xử lý loopback ở đây. Các chính sách được áp dụng cho máy tính và cài đặt người dùng bên trong chúng chỉ được áp dụng cho người dùng vì họ đang đăng nhập vào các máy tính đó (vâng, tôi biết đó là điều khó hiểu, xử lý loopback là một trong những điều khó nhất để hiểu đúng về Chính sách nhóm).