Technical Anshu หน้าแรก > บทช่วยสอน > GPO 10 อันดับแรก
🖥️ นโยบายกลุ่ม / Active Directory

GPO 10 อันดับแรกใน Windows Server

นโยบายกลุ่ม 10 อันดับแรกสำหรับสำนักงาน Windows Server — นโยบายรหัสผ่าน, ล็อคหน้าจอ, บล็อก USB, การแมปไดรฟ์, เครื่องพิมพ์, อัปเดต, การเปลี่ยนเส้นทางโฟลเดอร์, AppLocker, การตรวจสอบและการควบคุมผู้ดูแลระบบภายใน — นโยบายแต่ละข้ออธิบายด้วยคำพูดง่ายๆ

✍️ Technical Anshu🖥️ Windows Server / Active Directory🎧 Multi-Language Audio
GPO 10 อันดับแรกใน Windows Server
🎧 เสียงหลายภาษา: ในโปรแกรมเล่นวิดีโอ คลิก [การตั้งค่า] (⚙️) ➔ [แทร็กเสียง] เพื่อเลือกภาษาที่คุณต้องการ

📑บทต่างๆ

  1. เหตุใดโดเมนใหม่จึงต้องมีนโยบายทั้ง 10 ประการนี้ก่อน
  2. นโยบายรหัสผ่าน — กฎเดียวสำหรับทั้งโดเมน
  3. ล็อคหน้าจอ — พีซีที่ไม่ต้องดูแลจะล็อคตัวเอง
  4. บล็อก USB — ไดรฟ์ปากกาหยุดเป็นประตู
  5. การแมปไดรฟ์ — การแชร์เซิร์ฟเวอร์จะปรากฏขึ้นเอง
  6. เครื่องพิมพ์ — เครื่องพิมพ์ในสำนักงานโดยไม่ต้องสัมผัสพีซี
  7. การอัปเดต — การอัปเดต Windows จะเกิดขึ้นตามกำหนดเวลาของคุณ
  8. การเปลี่ยนเส้นทางโฟลเดอร์ — เอกสารอยู่บนเซิร์ฟเวอร์ ไม่ใช่บนพีซี
  9. AppLocker — เฉพาะโปรแกรมที่ได้รับอนุมัติเท่านั้นที่ทำงาน
  10. การตรวจสอบ — บันทึกใครลงชื่อเข้าใช้และใครไม่ผ่าน
  11. การควบคุมของผู้ดูแลระบบภายใน — แทบไม่มีใครเป็นผู้ดูแลระบบบนพีซีของตนเอง
  12. ทดสอบ OU นำร่องก่อนเปิดตัวกับทุกคน

📋 ภาพรวมและคำแนะนำทีละขั้นตอน

1

เปิดการจัดการนโยบายกลุ่มก่อน

นโยบายทั้ง 10 ประการถูกสร้างขึ้นในคอนโซลเดียว: คอนโซลการจัดการนโยบายกลุ่ม เปิดช่อง Run พิมพ์คำสั่งด้านล่างแล้วกด Enter กฎการทำงานของรายการทั้งหมดคือ หนึ่ง GPO ต่องาน โดยแต่ละรายการมีชื่อธรรมดาเช่น Block-USB-Storage หรือ Screen-Lock-10-Min — คุณสามารถทดสอบ ปิดการใช้งาน ย้อนกลับ และกรองนโยบายแยกต่างหากได้ ในขณะที่ GPO ยักษ์ใหญ่ตัวหนึ่งล้มเหลวในฐานะยักษ์ใหญ่

Run
gpmc.msc
⚠️ สร้างและลิงก์นโยบายใหม่ทุกนโยบายใน OU ทดสอบก่อน นโยบายทุกรายการในรายการนี้เป็นไปตามสำนักงานที่การเปิดตัวที่ยังไม่ทดสอบทำให้เกิดการหยุดทำงาน พิสูจน์ด้วยเครื่องไม่กี่เครื่องแล้วเชื่อมโยงให้กว้างขึ้น
2

นโยบายรหัสผ่าน — กฎข้อเดียวสำหรับทั้งโดเมน

เส้นทาง: การกำหนดค่าคอมพิวเตอร์ → นโยบาย → การตั้งค่า Windows → การตั้งค่าความปลอดภัย → นโยบายบัญชี → นโยบายรหัสผ่าน ซึ่งปกติจะแก้ไขในนโยบายโดเมนเริ่มต้น กำหนดความยาวขั้นต่ำที่ผู้คนสามารถจดจำได้จริง — 12 ตัวอักษรที่มีความซับซ้อนในการเต้น 8 ตัวอักษรจะเปลี่ยนทุกเดือน คำแนะนำสมัยใหม่ของ Microsoft ได้ลดการบังคับให้หมดอายุบ่อยครั้ง เนื่องจากผู้ใช้ตอบด้วยรูปแบบที่คาดเดาได้ ความยาวบวกกับนโยบายการล็อคบัญชีที่สมเหตุสมผลคือการผสมผสานที่ลงตัว

📌 นี่คือนโยบายเดียวที่โดเมนได้รับเวอร์ชัน เดียว สำหรับบัญชีโดเมนทั้งหมด นโยบายรหัสผ่านที่เชื่อมโยงกับ OU เดียวไม่ได้ทำอะไรเลยสำหรับผู้ใช้โดเมน กฎที่แตกต่างกันสำหรับกลุ่มหนึ่งต้องใช้นโยบายรหัสผ่านแบบละเอียด ซึ่งเป็นคุณสมบัติแยกต่างหากที่กำหนดค่าใน Active Directory
3

ล็อคหน้าจอ — พีซีแบบอัตโนมัติจะล็อคตัวเอง

เส้นทาง: การกำหนดค่าผู้ใช้ → นโยบาย → เทมเพลตการดูแลระบบ → แผงควบคุม → การกำหนดค่าส่วนบุคคล — เปิดใช้งานโปรแกรมรักษาหน้าจอ ตั้งค่าการหมดเวลา และเปิด รหัสผ่านป้องกันโปรแกรมรักษาหน้าจอ คู่แฝดฝั่งคอมพิวเตอร์ การเข้าสู่ระบบแบบโต้ตอบ: ขีดจำกัดการไม่ใช้งานเครื่อง ภายใต้ตัวเลือกความปลอดภัย จะทำงานเดียวกันต่อเครื่อง สิบนาทีคือจุดที่น่าสนใจในออฟฟิศ มีคนเดินออกจากพีซีที่ไม่ได้ล็อคซึ่งลงชื่อเข้าใช้เป็นบัญชีหรือฝ่ายทรัพยากรบุคคล และใครก็ตามที่เดินผ่านไปก็กลายเป็นบุคคลนั้นทันที นโยบายนี้ปิดช่องโหว่ด้านความปลอดภัยที่ถูกที่สุดในอาคาร

4

การควบคุมที่เก็บข้อมูล USB — ไดรฟ์ปากกาหยุดเป็นประตู

เส้นทาง: การกำหนดค่าคอมพิวเตอร์ → นโยบาย → เทมเพลตการดูแลระบบ → ระบบ → การเข้าถึงที่เก็บข้อมูลแบบถอดได้ คุณสามารถปฏิเสธการอ่าน เขียน หรือดำเนินการต่อคลาสอุปกรณ์ หรือปฏิเสธพื้นที่จัดเก็บข้อมูลแบบถอดได้ทั้งหมดในการตั้งค่าเดียว เหตุผลในสำนักงานคือข้อมูล: ไดรฟ์ปากกาหนึ่งตัวสามารถนำฐานข้อมูลลูกค้าทั้งหมดออกไปนอกอาคารหรือนำไวรัสเข้ามาได้

⚠️ ตั้งค่านี้ด้วยเส้นทางข้อยกเว้นตั้งแต่วันแรก — กลุ่มที่มีการกรองความปลอดภัยสำหรับสองหรือสามคนที่มีความต้องการงานอย่างแท้จริง — หรือนโยบายจะถูกปิดอย่างเงียบๆ ในครั้งแรกที่บล็อกเจ้านายก่อนการนำเสนอ แป้นพิมพ์และเมาส์อยู่ในกลุ่มการตั้งค่าที่แตกต่างกัน (ข้อจำกัดในการติดตั้งอุปกรณ์) นโยบายนี้เกี่ยวกับการจัดเก็บ
5

การทำแผนที่ไดรฟ์ — การแชร์เซิร์ฟเวอร์ปรากฏด้วยตนเอง

เส้นทาง: การกำหนดค่าผู้ใช้ → การตั้งค่า → การตั้งค่า Windows → แผนที่ไดรฟ์ นี่เป็น ค่ากำหนด ของนโยบายกลุ่ม ไม่ใช่นโยบายแบบคลาสสิก: คุณชี้อักษรระบุไดรฟ์ไปที่การแชร์ เลือกการดำเนินการ (สร้างหรืออัปเดต) และใช้การกำหนดเป้าหมายระดับรายการหากบัญชีควรได้รับการขับเคลื่อนที่ยอดขายไม่ควร นโยบายนี้จะเลิกใช้สคริปต์ที่เก่าแก่ที่สุดในไอที — ไฟล์แบตช์การเข้าสู่ระบบ — และการเรียก "ไดรฟ์เซิร์ฟเวอร์หายไป" ทุกวัน ไดรฟ์ที่แมปซึ่งมีเครื่องหมายกากบาทสีแดงจะสามารถอ่านได้ทันที: ปัญหาเกี่ยวกับเครือข่ายหรือการอนุญาต ไม่ใช่ปริศนาในการทำแผนที่

6

การติดตั้งเครื่องพิมพ์ — เครื่องพิมพ์ในสำนักงานโดยไม่ต้องสัมผัสพีซี

เส้นทาง: ค่ากำหนด → การตั้งค่าแผงควบคุม → เครื่องพิมพ์ (หรือปรับใช้จากการจัดการการพิมพ์) ผู้ใช้ลงชื่อเข้าใช้และเครื่องพิมพ์ในสำนักงานก็อยู่ที่นั่น พร้อมด้วยไดรเวอร์ที่ถูกต้องจากเซิร์ฟเวอร์การพิมพ์ กำหนดเป้าหมายเครื่องพิมพ์ตาม OU หรือกลุ่ม เพื่อให้ชั้น 3 หยุดพิมพ์ไปที่ชั้นล่าง

📌 คำเตือนสมัยใหม่ที่ตรงไปตรงมา: เนื่องจาก PrintNightmare แก้ไขแล้ว Windows จึงเข้มงวดเกี่ยวกับไดรเวอร์เครื่องพิมพ์ — ผู้ใช้มาตรฐานโดยทั่วไปไม่สามารถติดตั้งไดรเวอร์ใหม่ล่าสุดได้ ดังนั้นไดรเวอร์จึงควรอยู่บนเซิร์ฟเวอร์การพิมพ์อยู่แล้วและผู้ดูแลระบบจะจัดเตรียมไว้ก่อน การปรับใช้โดย GPO ยังคงลบการเข้าชมต่อพีซี เพียงแต่ไม่ลบการวางแผนไดรเวอร์แบบครั้งเดียวอีกต่อไป
7

การควบคุมการอัปเดต Windows — การอัปเดตจะเกิดขึ้นตามกำหนดเวลาของคุณ

เส้นทาง: การกำหนดค่าคอมพิวเตอร์ → นโยบาย → เทมเพลตการดูแลระบบ → ส่วนประกอบของ Windows → Windows Update การตั้งค่าหลัก: กำหนดค่าการอัปเดตอัตโนมัติ ไม่มีการรีสตาร์ทอัตโนมัติกับผู้ใช้ที่เข้าสู่ระบบ กำหนดเวลาการติดตั้ง และ — หากสำนักงานใช้ WSUS — ตำแหน่งของเซิร์ฟเวอร์การอัปเดตอินทราเน็ต การตั้งค่าการเลื่อนออกไปทำให้กลุ่มนำร่องทำการอัปเดตก่อนและส่วนที่เหลือในสำนักงานในอีกไม่กี่วันต่อมา มีความชัดเจนเกี่ยวกับงาน: นโยบายนี้ควบคุมเวลา ไม่ใช่ว่าการอัปเดตจะเกิดขึ้นหรือไม่ กำหนดกรอบเวลาการติดตั้งนอกเวลาทำการและกำหนดเวลารีสตาร์ทที่ผู้ใช้จะเห็นว่ากำลังจะมาถึง และการอัปเดตเริ่มน่าเบื่อ ซึ่งเป็นสิ่งที่คุณต้องการอย่างแท้จริง

8

การเปลี่ยนเส้นทางโฟลเดอร์ — เอกสารอยู่บนเซิร์ฟเวอร์ ไม่ใช่บนพีซี

เส้นทาง: การกำหนดค่าผู้ใช้ → นโยบาย → การตั้งค่า Windows → การเปลี่ยนเส้นทางโฟลเดอร์ เอกสาร เดสก์ท็อป และรูปภาพจะชี้ไปที่โฟลเดอร์บนไฟล์เซิร์ฟเวอร์อย่างเงียบๆ แทนที่จะเป็นดิสก์ในเครื่อง ผลลัพธ์จะปรากฏในวันที่แย่ที่สุด: พีซีเสีย ผู้ใช้ลงชื่อเข้าใช้พีซีเครื่องอื่น และไฟล์ของพวกเขาก็อยู่ที่นั่นแล้ว — และสำเนาของเซิร์ฟเวอร์ยังอยู่ในการสำรองข้อมูลปกติของคุณ

⚠️ คำเตือนที่ตรงไปตรงมาสองประการ การลงชื่อเข้าใช้ครั้งแรกจะคัดลอกไฟล์ที่มีอยู่ไปยังเซิร์ฟเวอร์ ดังนั้นให้เผยแพร่เป็นชุดเล็กๆ และอย่าเปลี่ยนเส้นทางไปยังเซิร์ฟเวอร์ที่ช้าหรือกำลังจะตาย ทุกๆ การบันทึกจะรู้สึกเสียหาย และผู้ใช้จะเริ่มบันทึกลงในไดรฟ์ปากกาแทน ซึ่งเอาชนะนโยบาย USB ข้างต้น
9

AppLocker — เฉพาะโปรแกรมที่ได้รับการอนุมัติเท่านั้นที่รัน

เส้นทาง: การกำหนดค่าคอมพิวเตอร์ → การตั้งค่า Windows → การตั้งค่าความปลอดภัย → นโยบายการควบคุมแอปพลิเคชัน → AppLocker หรือนโยบายข้อจำกัดซอฟต์แวร์เก่าในพื้นที่เดียวกัน แนวคิดนี้เป็นรายการที่อนุญาต: Windows, ไฟล์โปรแกรม และแอปที่ผู้ดูแลระบบอนุมัติอาจทำงานได้ สิ่งใดก็ตามที่ผู้ใช้ดาวน์โหลดลงในโปรไฟล์ของตนเองอาจไม่สามารถทำได้ นี่คือรายการที่แข็งแกร่งที่สุดในรายการและเป็นรายการที่ต้องการความเคารพมากที่สุด

⚠️ การบังคับใช้ AppLocker ผ่าน GPO เป็นฟีเจอร์ของ รุ่น Enterprise และ Education และผู้ดูแลระบบทุกคนควรเริ่มต้นในโหมด ตรวจสอบเท่านั้น แก้ไขสิ่งที่บันทึกเปิดเผย จากนั้นจึงบังคับใช้เท่านั้น เมื่อดำเนินการอย่างอดทน จะหยุดมัลแวร์ใบแจ้งหนี้ปลอมส่วนใหญ่อย่างเงียบๆ ดำเนินการอย่างรวดเร็วในวันศุกร์ ซอฟต์แวร์จะหยุดการเรียกเก็บเงิน
10

การบันทึกการตรวจสอบ — บันทึกใครลงชื่อเข้าใช้และใครไม่ผ่าน

เส้นทาง: การกำหนดค่าคอมพิวเตอร์ → นโยบาย → การตั้งค่า Windows → การตั้งค่าความปลอดภัย → การกำหนดค่านโยบายการตรวจสอบขั้นสูง อย่างน้อยที่สุด ตรวจสอบความสำเร็จและความล้มเหลวในการเข้าสู่ระบบบนตัวควบคุมโดเมนและเซิร์ฟเวอร์สมาชิก การตรวจสอบจะตอบคำถามที่สำนักงานทุกแห่งถามหลังจากเกิดเหตุการณ์: บัญชีของใครถูกใช้ จากพีซีเครื่องใด และเมื่อใด

📌 ซื่อสัตย์ในช่วงครึ่งหลัง: บันทึกที่ไม่มีใครอ่านไม่ใช่การรักษาความปลอดภัย แต่เป็นที่เก็บข้อมูล เปิดการตรวจสอบพร้อมกับอ่านข้อผิดพลาดตามความเป็นจริงเป็นประจำทุกสัปดาห์
11

การควบคุมผู้ดูแลระบบภายใน — แทบไม่มีใครเป็นผู้ดูแลระบบบนพีซีของตนเอง

เส้นทาง: การตั้งค่า → การตั้งค่าแผงควบคุม → ผู้ใช้และกลุ่มภายใน สามารถล้างกลุ่มผู้ดูแลระบบบนพีซีทุกเครื่อง — ลบบัญชีผู้ใช้ที่หลงทาง และเก็บกลุ่มสนับสนุนด้านไอทีไว้ ชิ้นส่วนที่ใช้ร่วมกับผู้อื่นคือ Windows LAPS ซึ่งช่วยให้พีซีทุกเครื่องมีรหัสผ่านผู้ดูแลระบบภายในเครื่องที่ไม่ซ้ำใครและหมุนเวียนโดยอัตโนมัติ โดยจัดเก็บไว้อย่างปลอดภัยใน Active Directory งานประจำวันไม่จำเป็นต้องมีสิทธิ์ของผู้ดูแลระบบ มัลแวร์สืบทอดมา ลบสิทธิ์ของผู้ดูแลระบบที่ยืนหยัด เก็บ LAPS ไว้ในวันที่ฝ่าย IT ต้องใช้รหัสผ่านในเครื่อง และเหตุการณ์ครึ่งหนึ่งในสำนักงานปกติไม่เคยเกิดขึ้น แต่เก็บเส้นทางกระจกแตกที่ผ่านการทดสอบไว้หนึ่งเส้นทางก่อนที่จะเปิดตัว

12

ใช้ อัปเดต และยืนยันบนพีซีทดสอบ

เชื่อมโยง GPO ใหม่กับ OU การทดสอบ จากนั้นบนไคลเอนต์ทดสอบบังคับให้รีเฟรชนโยบายและพิสูจน์ผลลัพธ์ก่อนใครอื่นจะได้รับ คำสั่งแรกใช้นโยบายทันทีแทนที่จะรอรอบการรีเฟรชครั้งถัดไป ส่วนที่สองเขียนรายงานที่ระบุว่า GPO ใดบ้างที่ถูกนำไปใช้ และอันไหนถูกปฏิเสธ และเพราะเหตุใด

Command Prompt
gpupdate /force
Command Prompt
gpresult /h report.html
✅ ตั้งค่าสิบประการเหล่านี้ใน OU ทดสอบก่อน จากนั้นจึงเชื่อมโยงให้กว้างขึ้น รายการ 10 อันดับแรกเป็นจุดเริ่มต้น ไม่ใช่สิ่งทดแทนการคิด ดูวิดีโอเพียงครั้งเดียวและรายการของคุณเองจะใช้เวลาไม่เกินหนึ่งชั่วโมง

🏷️ตัวแปรการค้นหาหัวข้อและคำหลัก

🔍 Group Policy 🔍 GPO 🔍 Windows Server 🔍 Active Directory 🔍 Password Policy 🔍 Screen Lock 🔍 USB Block 🔍 Drive Mapping 🔍 Printer Deployment 🔍 Folder Redirection 🔍 AppLocker 🔍 Audit Policy 🔍 Local Admin 🔍 TechnicalAnshu
🎙️ บทถอดเสียงฉบับเต็ม — แตะเพื่อขยาย

__TOK_35__

__TOK_36__

__TOK_37__

❓คำถามที่พบบ่อย

บทช่วยสอนนี้ติดตามฟรี 100% หรือไม่

__TOK_38__

ผู้เริ่มต้นสามารถปฏิบัติตามคำแนะนำนี้ได้หรือไม่?

__TOK_39__

ฉันจะถามคำถามได้ที่ไหนหากฉันติดขัด?

__TOK_40__

🚀 ดูการฝึกสอนแบบเต็มบน YouTube

__TOK_41__

__TOK_42__

▶️ ดูวิดีโอเต็ม
บทช่วยสอนนี้อิงจากวิดีโอ Top 10 GPO ของ Technical Anshu ใน Windows Server • ติดขัดในขั้นตอนใดหรือไม่ ถามในความคิดเห็นของวิดีโอ — คุณจะได้รับความช่วยเหลือที่นั่น 🙏