Active Directory GPO บทช่วยสอนแบบเต็ม ⚡ อธิบายนโยบายผู้ใช้และคอมพิวเตอร์

GPO แท้จริงแล้วคืออะไร

GPO เป็นเพียงชุดการตั้งค่าที่มีชื่อ มันไม่ทำอะไรเลยด้วยตัวเอง โดยจะเริ่มทำงานเฉพาะเมื่อคุณลิงก์กับคอนเทนเนอร์ เช่น ไซต์ โดเมน หรือหน่วยองค์กร (OU) เท่านั้น จากนั้นจะมีผลกับผู้ใช้หรือบัญชีผู้ใช้คอมพิวเตอร์ภายในคอนเทนเนอร์นั้น

ข้อเท็จจริงสองประการต่อจากนี้ ประการแรก การแก้ไข GPO และการเชื่อมโยง GPO เป็นงานสองงานที่แยกจากกัน GPO ที่กำหนดค่าไว้อย่างสมบูรณ์แบบซึ่งไม่ได้เชื่อมโยงทุกที่ไม่มีอะไรเปลี่ยนแปลง ประการที่สอง GPO หนึ่งรายการสามารถเชื่อมโยงกับ OU หลายรายการได้ และ OU หนึ่งรายการสามารถรับ GPO ได้หลายรายการ

ทุกอย่างในบทช่วยสอนนี้เกิดขึ้นในคอนโซลเดียว — คอนโซลการจัดการนโยบายกลุ่ม เปิดบนตัวควบคุมโดเมนหรือบนพีซีเครื่องใดก็ได้ที่ติดตั้งเครื่องมือ RSAT จากกล่อง Run:

gpmc.msc

นโยบายคอมพิวเตอร์กับนโยบายผู้ใช้ - สองซีก

เปิด GPO ใดๆ แล้วคุณจะเห็นสองส่วนที่เหมือนกัน: การกำหนดค่าคอมพิวเตอร์ และ การกำหนดค่าผู้ใช้ ไม่ใช่สองมุมมองของรายการเดียว แต่เป็นสองกล่องเครื่องมือที่แตกต่างกันซึ่งมีการตั้งค่าที่แตกต่างกัน ซึ่งใช้งานในเวลาที่ต่างกันกับบัญชีที่ต่างกัน

การกำหนดค่าคอมพิวเตอร์ใช้กับบัญชีคอมพิวเตอร์ จะถูกประมวลผลเมื่อพีซีเริ่มทำงาน ก่อนที่ใครก็ตามจะเข้าสู่ระบบ การติดตั้งซอฟต์แวร์สำหรับเครื่อง สคริปต์เริ่มต้น การบล็อก USB ลักษณะการทำงานของ Windows Update และการตั้งค่าความปลอดภัยอยู่ที่นี่

การกำหนดค่าผู้ใช้ใช้กับบัญชีผู้ใช้ จะถูกประมวลผลเมื่อผู้ใช้เข้าสู่ระบบบนพีซีเครื่องใดก็ได้ วอลเปเปอร์ การแมปไดรฟ์ การเปลี่ยนเส้นทางโฟลเดอร์ สคริปต์การเข้าสู่ระบบ และข้อจำกัดของแผงควบคุมแสดงอยู่ที่นี่

ตำแหน่งที่คุณเชื่อมโยงจะตัดสินใจว่าใครจะได้รับมัน

การเชื่อมโยง GPO มีสามระดับ: ไซต์ (ที่ตั้งสำนักงาน), โดเมน (ทุกคน) และ OU (หนึ่งแผนกหรือหนึ่งกลุ่ม) ในสำนักงานขนาดเล็กและขนาดกลาง การเชื่อมโยงเกือบทั้งหมดเกิดขึ้นที่ระดับ OU เนื่องจากในขั้นแรกคุณต้องจัดระเบียบบัญชีเป็น OU — บัญชีหนึ่งสำหรับพีซีในสำนักงาน บัญชีหนึ่งสำหรับผู้ใช้ของพนักงาน บัญชีหนึ่งสำหรับแล็ปท็อป และอื่นๆ

GPO ทั้งสองที่มีอยู่ตามค่าเริ่มต้น — นโยบายโดเมนเริ่มต้น (กฎรหัสผ่านและบัญชี) และ นโยบายตัวควบคุมโดเมนเริ่มต้น — ปล่อยให้อยู่คนเดียวเป็นส่วนใหญ่ สร้าง GPO ของคุณเองสำหรับการตั้งค่าของคุณเอง เพื่อให้คุณสามารถปิดได้โดยไม่ต้องแตะค่าเริ่มต้น

สร้าง กำหนดค่า และเชื่อมโยง GPO แรกของคุณ

ใน gpmc.msc ให้คลิกขวาที่ Group Policy Objects → New → ตั้งชื่อที่บอกว่ามันทำอะไร เช่น Block-USB-Drives การตั้งชื่อมีความสำคัญอย่างแท้จริง: หลังจากผ่านไปหกเดือน สำนักงานจะมี GPO สี่สิบแห่ง และชื่ออย่าง "New GPO" หรือ "test2" ไม่ได้บอกอะไรคุณเลย — ตั้งชื่อตามงาน ไม่ใช่ตามวันที่

คลิกขวาที่ GPO ใหม่ → แก้ไข ตัวแก้ไขเปิดขึ้นโดยมีสองซีก กำหนดการตั้งค่าของคุณในครึ่งที่ถูกต้องและปิดโปรแกรมแก้ไข

ย้อนกลับไปใน GPMC คลิกขวาที่ OU เป้าหมาย → เชื่อมโยง GPO ที่มีอยู่ → เลือก GPO ของคุณ บนไคลเอนต์พีซี ให้รีสตาร์ท (สำหรับการตั้งค่าคอมพิวเตอร์) หรือออกจากระบบแล้วเปิดใหม่ (สำหรับการตั้งค่าผู้ใช้) — หรือบังคับให้รีเฟรชด้วยคำสั่งในขั้นตอนถัดไป

บังคับและพิสูจน์มัน - gpupdate และ gpresult

นโยบายจะรีเฟรชด้วยตัวเองประมาณทุกๆ 90 นาที (โดยมีออฟเซ็ตแบบสุ่ม) แต่ไม่มีใครทดสอบสิ่งนั้นช้าๆ บนพีซีไคลเอ็นต์ ให้เปิด Command Prompt แล้วเรียกใช้:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force นำนโยบายทั้งหมดไปใช้ใหม่ทันที การตั้งค่าบางอย่างยังคงจำเป็นต้องรีสตาร์ท (การตั้งค่าคอมพิวเตอร์ การติดตั้งซอฟต์แวร์) หรือการเข้าสู่ระบบใหม่ (การตั้งค่าผู้ใช้) — /force ไม่สามารถข้ามหลักฟิสิกส์ได้

gpresult /r คือใบเสร็จ โดยแสดงรายการที่ชัดเจนว่า GPO ใดที่ใช้กับคอมพิวเตอร์และกับผู้ใช้ และอันใดที่ถูกกรองออกและเหตุผล สำหรับรายงานที่อ่านได้ gpresult /h report.html จะสร้างหน้า HTML ที่แสดงการตั้งค่าที่ชนะทุกรายการและที่มาของ GPO อย่าตัดสิน GPO ด้วยความหวัง — gpresult /r ควรเป็นคำสั่งแรกที่คุณเรียกใช้เมื่อใดก็ตามที่นโยบาย "ไม่ทำงาน"