10 GPO teratas dalam Pelayan Windows
10 Dasar Kumpulan teratas untuk pejabat Windows Server — dasar kata laluan, kunci skrin, blok USB, pemetaan pemacu, pencetak, kemas kini, pengalihan semula folder, AppLocker, pengauditan dan kawalan pentadbir setempat — masing-masing dijelaskan dengan perkataan yang mudah.
📑Bab
- Mengapa domain baharu memerlukan sepuluh dasar ini dahulu
- Dasar kata laluan — satu peraturan untuk keseluruhan domain
- Kunci skrin — PC tanpa pengawasan terkunci sendiri
- Blok USB — pemacu pen berhenti menjadi pintu
- Pemetaan pemacu — perkongsian pelayan muncul dengan sendirinya
- Pencetak — pencetak pejabat tanpa menyentuh PC
- Kemas kini — Kemas kini Windows berlaku pada jadual anda
- Ubah hala folder — dokumen secara langsung pada pelayan, bukan PC
- AppLocker — hanya program yang diluluskan dijalankan
- Pengaudit — rekod siapa yang log masuk, dan siapa yang gagal
- Kawalan pentadbir setempat — hampir tiada siapa yang menjadi pentadbir pada PC mereka sendiri
- Uji pada OU perintis sebelum dilancarkan kepada semua orang
📋 Gambaran Keseluruhan & Panduan Langkah demi Langkah
Buka Pengurusan Dasar Kumpulan Dahulu
Kesemua sepuluh dasar dibina dalam satu konsol: Konsol Pengurusan Dasar Kumpulan. Buka kotak Run, taip arahan di bawah dan tekan Enter. Peraturan kerja untuk keseluruhan senarai ialah satu GPO setiap kerja, setiap satu dengan nama biasa seperti Block-USB-Storage atau Screen-Lock-10-Min — dasar yang berasingan boleh diuji, dilumpuhkan, ditarik balik dan ditapis sendiri, manakala satu GPO gergasi gagal sebagai gergasi.
gpmc.mscDasar Kata Laluan — Satu Peraturan untuk Seluruh Domain
Laluan: Konfigurasi Komputer → Dasar → Tetapan Windows → Tetapan Keselamatan → Dasar Akaun → Dasar Kata Laluan, biasanya disunting dalam Dasar Domain Lalai. Tetapkan panjang minimum yang orang boleh ingat sebenarnya — 12 aksara dengan kerumitan pada rentak 8 aksara ditukar setiap bulan. Panduan moden Microsoft sendiri telah menurunkan tempoh luput paksa, kerana pengguna menjawabnya dengan corak yang boleh diramal. Panjang serta dasar kunci keluar akaun yang wajar ialah gabungan yang jujur.
Kunci Skrin — PC Tanpa Pengawasan Mengunci Sendiri
Laluan: Konfigurasi Pengguna → Dasar → Templat Pentadbiran → Panel Kawalan → Pemperibadian — dayakan penyelamat skrin, tetapkan tamat masa dan hidupkan kata laluan melindungi penyelamat skrin. Kembar sebelah komputer, Log masuk Interaktif: Had ketidakaktifan mesin di bawah Pilihan Keselamatan, melakukan kerja yang sama bagi setiap mesin. Sepuluh minit adalah tempat yang menarik di pejabat: seseorang meninggalkan PC yang tidak berkunci yang dilog masuk sebagai akaun atau HR, dan sesiapa yang lalu lalang tiba-tiba menjadi orang itu. Dasar ini menutup lubang keselamatan termurah dalam bangunan.
Kawalan Storan USB — Pemacu Pen Berhenti Menjadi Pintu
Laluan: Konfigurasi Komputer → Dasar → Templat Pentadbiran → Sistem → Akses Storan Boleh Alih. Anda boleh menafikan membaca, menulis atau melaksanakan setiap kelas peranti atau menafikan semua storan boleh tanggal dalam satu tetapan. Sebab pejabat ialah data: satu pemacu pen boleh membawa seluruh pangkalan data pelanggan keluar dari bangunan, atau membawa virus masuk.
Pemetaan Drive — Perkongsian Pelayan Muncul dengan Sendiri
Laluan: Konfigurasi Pengguna → Keutamaan → Tetapan Windows → Peta Pemacu. Ini ialah Dasar Kumpulan Keutamaan, bukan dasar klasik: anda menghalakan huruf pemacu pada bahagian, pilih tindakan (Buat atau Kemas Kini) dan gunakan penyasaran peringkat item jika akaun sepatutnya mendapat dorongan yang tidak sepatutnya jualan. Dasar ini menghentikan skrip tertua dalam IT — fail kelompok log masuk — dan panggilan harian "pemacu pelayan hilang". Pemacu yang dipetakan yang menunjukkan palang merah boleh dibaca serta-merta: masalah rangkaian atau kebenaran, bukan misteri pemetaan.
Penggunaan Pencetak — Pencetak Pejabat Tanpa Menyentuh PC
Laluan: Keutamaan → Tetapan Panel Kawalan → Pencetak (atau gunakan daripada Pengurusan Cetakan). Pengguna log masuk dan pencetak pejabat berada di sana, dengan pemandu yang betul dari pelayan cetakan. Sasarkan pencetak mengikut OU atau kumpulan supaya tingkat tiga berhenti mencetak ke tingkat bawah.
Kawalan Kemas Kini Windows — Kemas Kini Berlaku pada Jadual Anda
Laluan: Konfigurasi Komputer → Dasar → Templat Pentadbiran → Komponen Windows → Kemas Kini Windows. Tetapan utama: Konfigurasikan Kemas Kini Automatik, Tiada mula semula automatik dengan pengguna log masuk, tarikh akhir pemasangan dan — jika pejabat menggunakan WSUS — lokasi pelayan kemas kini intranet. Tetapan penangguhan membenarkan kumpulan perintis mengambil kemas kini dahulu dan seluruh pejabat beberapa hari kemudian. Jelas tentang tugas: dasar ini mengawal masa, bukan sama ada kemas kini berlaku. Tetapkan tetingkap pemasangan selepas waktu kerja dan tarikh akhir mula semula yang boleh dilihat pengguna akan datang, dan kemas kini menjadi membosankan — itulah yang anda mahukan.
Pengalihan Folder — Dokumen Langsung pada Pelayan, Bukan PC
Laluan: Konfigurasi Pengguna → Dasar → Tetapan Windows → Ubah Hala Folder. Dokumen, Desktop dan Gambar secara senyap-senyap menunjuk pada folder pada pelayan fail dan bukannya cakera setempat. Hasilnya muncul pada hari yang paling teruk: PC mati, pengguna log masuk pada mana-mana PC lain, dan fail mereka sudah ada — dan salinan pelayan berada di dalam sandaran biasa anda.
AppLocker — Hanya Program Yang Diluluskan Dijalankan
Laluan: Konfigurasi Komputer → Tetapan Windows → Tetapan Keselamatan → Dasar Kawalan Aplikasi → AppLocker, atau Dasar Sekatan Perisian yang lebih lama di kawasan yang sama. Ideanya ialah senarai putih: Windows, Fail Program dan apl yang diluluskan pentadbir boleh dijalankan; apa sahaja yang dimuat turun oleh pengguna ke dalam profil mereka sendiri mungkin tidak. Ini adalah item terkuat dalam senarai dan yang paling menuntut penghormatan.
Pengelogan Audit — Rekod Siapa yang Log Masuk, dan Siapa yang Gagal
Laluan: Konfigurasi Komputer → Dasar → Tetapan Windows → Tetapan Keselamatan → Konfigurasi Dasar Audit Lanjutan. Sekurang-kurangnya, audit kejayaan dan kegagalan log masuk pada pengawal domain dan pelayan ahli. Pengauditan menjawab soalan yang ditanya oleh setiap pejabat selepas insiden: akaun siapa yang digunakan, dari PC mana, dan bila?
Kawalan Pentadbir Tempatan — Hampir Tiada Siapa Menjadi Pentadbir pada PC Mereka Sendiri
Laluan: Keutamaan → Tetapan Panel Kawalan → Pengguna dan Kumpulan Tempatan boleh membersihkan kumpulan Pentadbir pada setiap PC — alih keluar akaun pengguna yang sesat, kekalkan kumpulan sokongan IT. Sekeping pendamping ialah Windows LAPS, yang memberikan setiap PC kata laluan pentadbir tempatan yang diputar secara automatik yang disimpan dengan selamat dalam Active Directory. Kerja harian tidak memerlukan hak admin; perisian hasad mewarisi mereka. Alih keluar hak pentadbir tetap, simpan LAPS untuk hari IT memerlukan kata laluan setempat dan separuh daripada insiden di pejabat biasa tidak pernah berlaku — tetapi simpan satu laluan pecah kaca yang diuji sebelum pelancaran.
Mohon, Kemas Kini dan Sahkan pada PC Ujian
Pautkan GPO baharu ke OU ujian, kemudian pada klien ujian memaksa penyegaran dasar dan buktikan hasilnya sebelum orang lain menerimanya. Perintah pertama menggunakan dasar sekarang dan bukannya menunggu kitaran muat semula seterusnya; yang kedua menulis laporan yang menyenaraikan dengan tepat GPO yang digunakan — dan yang dinafikan, dan mengapa.
gpupdate /forcegpresult /h report.html🏷️Pembolehubah & Kata Kunci Carian Topik
🎙️ Transkrip Penuh — ketik untuk mengembangkan
__TOK_35__
__TOK_36__
__TOK_37__
❓ Soalan Lazim
Adakah tutorial ini 100% percuma untuk diikuti?
__TOK_38__
Bolehkah pemula mengikuti panduan ini?
__TOK_39__
Di mana saya boleh bertanya soalan jika saya tersekat?
__TOK_40__