Технологія WMI фільтрів в групових політиках (GPO) дозволяє більш гнучко застосовувати політики на клієнтів, за рахунок використання різних правил, що дозволяють вказувати WMI запити для формування критеріїв вибірки комп’ютерів, на які буде діяти групова політика. Наприклад, за допомогою WMI фільтрів GPO ви можете застосувати політику, призначену на OU, тільки до комп’ютерів з ОС Windows 10 (на інших версіях Windows така політика з фільтром застосовуватися не буде).

Для чого використовуються WMI фільтри GPO?

Зазвичай технологія фільтрації групових політик за допомогою WMI (Windows Управління Приладобудування) використовується в ситуаціях, коли об’єкти домену (користувачі або комп’ютери) знаходяться в плоскій структурі AD, а не в виділеному OU, або якщо необхідно застосувати політики, в залежності від версії ОС, її параметри мережі, наявності певного встановленого ПО або будь-якому іншому критерії, який можна вибрати за допомогою WMI. При обробці такої групової політики клієнтом, Windows буде перевіряти свої статки на відповідність вказаним WMI запитом на мові WQL (WMI Query Language), і, якщо умови фільтра виконуються, така GPO буде застосована до комп’ютера.

WMI фільтри групових політик вперше з’явилися ще в Windows XP, і доступні аж до останніх версій Windows (Windows Server 2019, 2016, Windows 10, 8.1).

Як створити новий WMI фільтр і прив’язати його до GPO?

Щоб створити новий WMI фільтр, відкрийте консоль управління доменними груповими політиками Група Політика Управління (Gpmc.msc) і перейдіть в розділ Forest -> Domains -> winitpro.ru -> WMI Фільтри. У цій секції містяться всі WMI фільтри домену. Створіть новий WMI фільтр (Новий).

Створити WMI фільтр групових політик

У полі Ім’я вкажіть ім’я фільтру, в поле Описи його опис (не обов’язково). Щоб додати в фільтр WMI запит натисніть на кнопку Додати, Вкажіть ім’я простору імен WMI (за замовчуванням root CIMv2) і вкажіть код запиту WMI.

WMI запит має наступний формат:

Select * from <WMI Class> WHERE <Property> = <Value>

У нашому прикладі ви хочемо створити WMI фільтр, що дозволяє застосувати групову політику тільки на комп’ютери з Windows 10. Код WMI запиту може виглядати так:

Select * from Win32_OperatingSystem where Version like "10.%" and ProductType="1"

код запиту wmi фільтра GPO для windows 10

Створені WMI фільтри зберігаються в об’єктах класу msWMI-Som домену Active Directory в розділі DC = …, CN = System, CN = WMIPolicy, CN = SOM їх можна знайти і відредагувати за допомогою консолі adsiedit.msc.

клас msWMI-Som в домені

Після створення WMI фільтра його можна прив’язати до конкретного об’єкта GPO. Знайдіть потрібну політику в консолі GPMC і на вкладці Сфера дії в випадаючому меню секції WMI Фільтрування виберіть створений раніше WMI фільтр. У цьому прикладі я хочу, щоб політика автоматичного призначення принтерів застосовувалася тільки до комп’ютерів з Windows 10.

прив'язати wmi фільтр до групової політики

Дочекайтеся застосування даної політики на клієнтів, або поновіть її за допомогою gpupdate /force. При аналізі застосованих політик на клієнті потрібно використовувати команду гпресульт /р. Якщо політика діє на клієнта, але не застосовується через WMI фільтра, така політика в звіті матиме статус Filtering: Denied (WMI Filter) і вказано ім’я WMI фільтра.

gpresult фільтрація по wmi запитам

Приклади запитів для WMI фільтрів GPO

Розглянемо різні приклади WMI фільтрів GPO, який найчастіше використовуються.

За допомогою WMI фільтра ви можете вибрати тип ОС:

  • ProductType = 1 – будь-яка кліенская ОС
  • ProductType = 2 – контролер домену AD
  • ProductType = 3 – серверна ОС (Windows Server)

Версії Windows:

  • Windows Server 2016 і Windows 10 – 10%
  • Windows Server 2012 R2 і Windows 8.1 – 6,3%
  • Windows Server 2012 і Windows 8 – 6,2%
  • Windows Server 2008 R2 і Windows 7 – 6,1%
  • Windows Server 2008 та Windows Vista – 6,0%
  • Windows Server 2003 – 5,2%
  • Windows XP – 5,1%
  • Windows 2000 – 5,0%

Ви можете комбінувати умови вибірки в WMI запиті за допомогою логічних операторів І і АБО. Щоб застосувати політику тільки до серверів з Windows Server 2016, код WMI запиту буде таким:

select * from Win32_OperatingSystem WHERE Version LIKE "10.%" AND ( ProductType = "2" or ProductType = "3" )

Вибрати 32 бітові версії ОС Windows 8.1:

select * from Win32_OperatingSystem WHERE Version like "6.3%" AND ProductType="1" AND OSArchitecture = "32-bit"

Застосувати політику тільки до 64-бітовим ОС:

Select * from Win32_Processor where AddressWidth = "64"

Вибрати Windows 10 з певним білдом, наприклад Windows 10 1803:
select Version from Win32_OperatingSystem WHERE Version like “10.0.17134” AND ProductType=”1″

Застосувати політику тільки до віртуальних машин VMWare:

SELECT Model FROM Win32_ComputerSystem WHERE Model = “VMWare Virtual Platform”

Застосувати політику тільки до ноутбуків (див. Статтю wmi запит вибірки ноутбуків в SCCM:

select * from Win32_SystemEnclosure where ChassisTypes = "8" or ChassisTypes = "9" or ChassisTypes = "10" or ChassisTypes = "11" or ChassisTypes = "12" or ChassisTypes = "14" or ChassisTypes = "18" or ChassisTypes = "21"

WMI фільтр, який застосується тільки до комп’ютерів, чиї імена починаються на “msk-pc” (наприклад, для блокування підключення USB накопичувачів на цих пристроях):
SELECT Name FROM Win32_ComputerSystem WHERE Name LIKE ‘msk-pc%’

Приклад використання WMI фільтра для тонкого націлювання групової політики до IP подсетям описується в статті WMI фільтр для прив’язки GPO до IP підмережі. Наприклад, щоб застосувати політику до клієнтів в декількох IP подсетях, використовуйте фільтр:

Select * FROM Win32_IP4RouteTable WHERE (Mask='255.255.255.255' AND (Destination Like '192.168.1.%' OR Destination Like '192.168.2.%'))

Застосовувати політику до комп’ютерів, з кількістю оперативної пам’яті більше 1 Гб:

Select * from WIN32_ComputerSystem where TotalPhysicalMemory >= 1073741824

WMI фільтр перевірки наявності на комп’ютері Internet Explorer 11:

SELECT path,filename,extension,version FROM CIM_DataFile WHERE path="\Program Files\Internet Explorer\" AND filename="iexplore" AND extension="exe" AND version>"11.0"

Тестування WMI фільтра за допомогою PowerShell

При написанні WMI запитів іноді потрібно отримувати значення різних параметрів на комп’ютері. Ви посліді отримати ці даний за допомогою командлета Отримати-WMIOоб’єкт. Наприклад, виведемо атрибути і значення WMI класу Win32_OperatingSystem:

Get-WMIObject Win32_OperatingSystem

SystemDirectory : C:WINDOWSsystem32
Organization    :
BuildNumber     : 17134
RegisteredUser  : Windows User
SerialNumber    : 00331-10000-00001-AA494
Version         : 10.0.17134

Щоб вивести всі доступні параметри класу:

Get-WMIObject Win32_OperatingSystem| Select *

Get-WMIObject

Для тестування WMI фільтрів на комп’ютерах можна використовувати PowerShell. Припустимо, ви написали складний WMI запит і його хочете перевірити (у відповідності комп’ютера даному запиту чи ні). Наприклад, ви створили WMI фільтр перевірки наявності IE 11 на комп’ютері. На цільовому комп’ютері ви можете виконати цей WMI запит за допомогою командлета отримати-wmiobject:

get-wmiobject -query 'SELECT * FROM CIM_DataFile WHERE path="\Program Files\Internet Explorer\" AND filename="iexplore" AND extension="exe" AND version LIKE "11.%"'

Якщо дана команда щось повертає, значить комп’ютер відповідає умовам запиту. Якщо команда get-wmiobject нічого не повернула – комп’ютер не відповідає запиту.
Наприклад, запустивши вказаний запит на комп’ютері з Windows 10 і IE 11, команда поверне:
Compressed : False
Encrypted  : False
Size       :
Hidden     : False
Name       : c:program filesinternet exploreriexplore.exe
Readable   : True
System     : False
Version    : 11.0.17134.1
Writeable  : True

get-wmiobject query - тестування wmi запитів в powershell

Це означає, що IE 11 встановлений на комп’ютері і GPO з таким WMI фільтром буде застосовуватися до цього комп’ютера.

Отже, ми розібралися як використовувати WMI фільтри для застосування групових політик тільки комп’ютерам, які підпадають під умови запиту. Потрібно враховувати наявність WMI фільтрів при аналізі причин, через які не застосовується політика на комп’ютері.

Leave a Reply

Your email address will not be published. Required fields are marked *