Nangungunang 10 GPO sa Windows Server
Ang nangungunang 10 Mga Patakaran ng Grupo para sa isang opisina ng Windows Server — patakaran sa password, lock ng screen, USB block, drive mapping, mga printer, update, pag-redirect ng folder, AppLocker, pag-audit at lokal na kontrol ng admin — bawat isa ay ipinaliwanag sa simpleng salita.
📑Mga Kabanata
- Bakit kailangan muna ng bagong domain ang sampung patakarang ito
- Patakaran sa password — isang panuntunan para sa buong domain
- Screen lock — ang hindi nag-aalaga na PC ay nagla-lock mismo
- USB block — huminto sa pagiging pinto ang mga pen drive
- Drive mapping — ang mga pagbabahagi ng server ay lalabas nang mag-isa
- Mga Printer — ang printer ng opisina nang hindi hinahawakan ang PC
- Mga Update — Ang mga update sa Windows ay nangyayari sa iyong iskedyul
- Pag-redirect ng folder — live ang mga dokumento sa server, hindi sa PC
- AppLocker — mga aprubadong program lang ang tumatakbo
- Pag-audit — itala kung sino ang nag-sign in, at kung sino ang nabigo
- Lokal na kontrol ng admin — halos walang sinuman ang admin sa kanilang sariling PC
- Subukan ang isang pilot OU bago ilunsad sa lahat
📋 Pangkalahatang-ideya at Step-by-Step na Gabay
Buksan muna ang Pamamahala ng Patakaran ng Grupo
Ang lahat ng sampung patakaran ay binuo sa isang console: ang Group Policy Management Console. Buksan ang kahon ng Run, i-type ang command sa ibaba at pindutin ang Enter. Ang gumaganang panuntunan para sa buong listahan ay isang GPO bawat trabaho, bawat isa ay may payak na pangalan tulad ng Block-USB-Storage o Screen-Lock-10-Min — isang hiwalay na patakaran ay maaaring subukan, i-disable, i-roll back at i-filter nang mag-isa, habang ang isang higanteng GPO ay nabigo bilang isang higante.
gpmc.mscPatakaran sa Password — Isang Panuntunan para sa Buong Domain
Path: Configuration ng Computer → Mga Patakaran → Mga Setting ng Windows → Mga Setting ng Seguridad → Mga Patakaran sa Account → Patakaran sa Password, karaniwang na-edit sa Default na Patakaran sa Domain. Magtakda ng pinakamababang haba na talagang maaalala ng mga tao — 12 character na may kumplikado sa beats 8 character na binago bawat buwan. Ang sariling modernong patnubay ng Microsoft ay nagbawas ng sapilitang madalas na pag-expire, dahil sinasagot ito ng mga user gamit ang mga predictable na pattern. Ang haba at isang makabuluhang patakaran sa lockout ng account ay ang tapat na kumbinasyon.
Lock ng Screen — Nagla-lock ang Walang Nag-aalaga na PC
Path: User Configuration → Mga Patakaran → Administrative Templates → Control Panel → Personalization — paganahin ang screen saver, itakda ang timeout, at i-on ang password protect the screen saver. Isang computer-side twin, Interactive logon: Limitasyon sa kawalan ng aktibidad ng makina sa ilalim ng Mga Opsyon sa Seguridad, ang gumagawa ng parehong trabaho sa bawat makina. Sampung minuto ang sweet spot sa opisina: may lumayo mula sa isang naka-unlock na PC na naka-sign in bilang mga account o HR, at sinumang dumaan ay biglang ang taong iyon. Isinasara ng patakarang ito ang pinakamurang butas sa seguridad sa gusali.
USB Storage Control — Ang Pen Drives ay Tumigil sa Pagiging Isang Pinto
Path: Computer Configuration → Mga Patakaran → Administrative Templates → System → Removable Storage Access. Maaari mong tanggihan ang pagbabasa, pagsulat o pag-execute sa bawat klase ng device, o tanggihan ang lahat ng naaalis na storage sa isang setting. Ang dahilan ng opisina ay data: maaaring dalhin ng isang pen drive ang buong database ng customer palabas ng gusali, o magdala ng virus papasok.
Drive Mapping — Lumilitaw ang Mga Pagbabahagi ng Server
Path: Configuration ng User → Mga Kagustuhan → Mga Setting ng Windows → Drive Maps. Ito ay isang Patakaran ng Grupo Kagustuhan, hindi isang klasikong patakaran: ituturo mo ang isang drive letter sa isang bahagi, pipiliin ang aksyon (Gumawa o I-update), at gumamit ng pag-target sa antas ng item kung ang mga account ay dapat makakuha ng drive na hindi dapat benta. Itinigil ng patakarang ito ang pinakalumang script sa IT — ang logon batch file — at ang pang-araw-araw na "nawala ang server drive" na tawag. Ang isang nakamapang drive na nagpapakita ng pulang krus ay agad na nababasa: isang problema sa network o mga pahintulot, hindi isang misteryo sa pagmamapa.
Printer Deployment — ang Office Printer nang Hindi Hinahawakan ang PC
Path: Mga Kagustuhan → Mga Setting ng Control Panel → Mga Printer (o i-deploy mula sa Print Management). Nagsa-sign in ang user at nandoon lang ang printer ng opisina, na may tamang driver mula sa print server. I-target ang mga printer ayon sa OU o grupo upang ang ikatlong palapag ay huminto sa pag-print sa ground floor.
Windows Update Control — Ang mga Update ay Mangyayari sa Iyong Iskedyul
Path: Computer Configuration → Mga Patakaran → Administrative Templates → Windows Components → Windows Update. Mga pangunahing setting: I-configure ang Mga Awtomatikong Update, Walang auto-restart na may mga naka-log on na user, mga deadline sa pag-install, at — kung gumagamit ang opisina ng WSUS — ang lokasyon ng server ng pag-update ng intranet. Hinahayaan ng mga setting ng pagpapaliban ang isang pilot group na kumuha muna ng mga update at ang natitirang bahagi ng opisina makalipas ang ilang araw. Maging malinaw tungkol sa trabaho: kinokontrol ng patakarang ito ang timing, hindi kung may mga update. Magtakda ng window sa pag-install pagkatapos ng mga oras at isang deadline ng pag-restart na makikita ng mga user na darating, at nagiging boring ang mga update — na kung ano mismo ang gusto mo.
Pag-redirect ng Folder — Mga Dokumentong Live sa Server, Hindi sa PC
Path: Configuration ng User → Mga Patakaran → Mga Setting ng Windows → Pag-redirect ng Folder. Tahimik na tumuturo ang Mga Dokumento, Desktop at Larawan sa isang folder sa file server sa halip na sa lokal na disk. Lumilitaw ang kabayaran sa pinakamasamang araw: namatay ang isang PC, nag-sign in ang user sa alinmang PC, at naroon na ang kanilang mga file — at nasa loob ng iyong normal na backup ang kopya ng server.
AppLocker — Mga Approved Programs Lang ang Tumatakbo
Mga Path: Computer Configuration → Windows Settings → Security Settings → Application Control Policy → AppLocker, o ang mas lumang Software Restriction Policy sa parehong lugar. Ang ideya ay isang whitelist: Maaaring tumakbo ang Windows, Program Files at mga app na inaprubahan ng admin; anuman ang mada-download ng isang user sa kanilang sariling profile ay maaaring hindi. Ito ang pinakamalakas na item sa listahan at ang humihingi ng higit na paggalang.
Pag-log sa Audit — Itala kung Sino ang Nag-sign In, at Sino ang Nabigo
Path: Computer Configuration → Mga Patakaran → Windows Settings → Security Settings → Advanced Audit Policy Configuration. Sa pinakamababa, ang pag-audit ng tagumpay at pagkabigo sa pag-logon sa mga controller ng domain at mga server ng miyembro. Sinasagot ng pag-audit ang tanong ng bawat opisina pagkatapos ng isang insidente: kaninong account ang ginamit, saang PC, at kailan?
Lokal na Kontrol ng Admin — Halos Walang Tao ang Admin sa Kanilang Sariling PC
Path: Preferences → Control Panel Settings → Local Users and Groups ay maaaring linisin ang Administrators group sa bawat PC — alisin ang mga naliligaw na user account, panatilihin ang IT support group. Ang kasamang piraso ay Windows LAPS, na nagbibigay sa bawat PC ng natatangi, awtomatikong pinaikot na password ng lokal na administrator na ligtas na nakaimbak sa Active Directory. Ang pang-araw-araw na trabaho ay hindi nangangailangan ng mga karapatan ng admin; ang malware ay nagmamana sa kanila. Alisin ang mga nakatayong karapatan ng admin, panatilihin ang LAPS para sa araw na kailangan ng IT ang lokal na password, at kalahati ng mga insidente sa isang normal na opisina ay hindi mangyayari — ngunit panatilihin ang isang nasubok na ruta ng break-glass bago ilunsad.
Mag-apply, Mag-update at Mag-verify sa isang Test PC
I-link ang bagong GPO sa pagsubok na OU, pagkatapos ay sa isang pagsubok na kliyente, pilitin ang isang pag-refresh ng patakaran at patunayan ang resulta bago ito matanggap ng sinuman. Inilalapat ng unang utos ang mga patakaran ngayon sa halip na maghintay para sa susunod na ikot ng pag-refresh; ang pangalawa ay nagsusulat ng ulat na eksaktong naglilista kung aling mga GPO ang inilapat — at alin ang tinanggihan, at bakit.
gpupdate /forcegpresult /h report.html🏷️Mga Variable at Keyword sa Paghahanap ng Paksa
🎙️ Buong Transcript — i-tap para palawakin
__TOK_35__
__TOK_36__
__TOK_37__
❓ Mga Madalas Itanong
Ang tutorial na ito ba ay 100% libre upang sundin?
__TOK_38__
Maaari bang sundin ng mga nagsisimula ang gabay na ito?
__TOK_39__
Saan ako maaaring magtanong kung ako ay natigil?
__TOK_40__