## 4. Настройка групповой политики
### На компьютере SERVER-AD
1. В **Диспетчере серверов** в разделе **Средства** выберите **Управление групповой политикой**.
2. В окне **Управление групповой политикой** раскройте дерево в столбце слева: **Лес: Study.su** → **Домены**, щёлкните правой кнопкой мыши на `Study.su`, выберите **Создать объект групповой политики в этом домене и связать его…**.
3. В окне **Новый объект групповой политики** в поле **Имя** введите `Token Domain Policy`, нажмите **ОК**.
4. Разверните дерево `Study.su`, щёлкните правой кнопкой мыши по названию объекта групповой политики **Token Domain Policy** и выберите пункт **Изменить…**.
5. В разделе слева раскройте вкладки **Конфигурация компьютера** → **Политики** → **Конфигурация Windows** → **Параметры безопасности** → **Локальные политики**, выделите **Параметры безопасности**.
6. Найдите справа в столбце **Политика** опцию **Интерактивный вход в систему: требовать смарт-карту** и откройте её.
7. Установите флажок **Определить следующий параметр политики**.
8. Установите переключатель в положение **Включен**, нажмите **Применить**, **ОК**.
9. Найдите справа в столбце **Политика** опцию **Интерактивный вход в систему: поведение при извлечении смарт-карты** и откройте её.
10. Установите флажок **Определить следующий параметр политики**.
11. В выпадающем списке выберите **Блокировка рабочей станции**, нажмите **Применить**, **ОК**.
12. Закройте окно **Редактор управления групповыми политиками**.
13. В левой части окна выделите **Token Domain Policy**, в поле справа **Фильтры безопасности** нажмите **Добавить** и добавьте пользователя `user-tkn` (`user-tkn@study.su`).
14. (!) Выделите группу пользователей **Прошедшие проверку**, нажмите **Удалить** для удаления группы из групповой политики **Token Domain Policy**, нажмите **ОК**.
> [!attention] Внимание
> В случае, если группа пользователей **Прошедшие проверку** не будет удалена из групповой политики **Token Domain Policy**, после её обновления все пользователи домена смогут входить в домен только по смарт-карте, включая администратора домена!
15. Закройте окно **Управление групповой политикой**.
16. Запустите **Windows PowerShell**, введите команду `gpupdate /force` и выполните её, дождитесь завершения обновления групповой политики.
17. Перезагрузите компьютер `SERVER-AD`.
18. Запустите средство **Wireshark** и начните перехват трафика с интерфейса **Ethernet** локальной сети, в поле фильтра трафика введите `Kerberos`, нажмите **Enter**.
> [!summary] Простыми словами
> Мы создали политику, которая принуждает пользователя `user-tkn` входить в систему только по смарт-карте. При извлечении токена рабочая станция будет автоматически блокироваться — это защищает сессию от несанкционированного доступа.