10 GPO hàng đầu trong Windows Server
10 Chính sách nhóm hàng đầu dành cho văn phòng Windows Server — chính sách mật khẩu, khóa màn hình, chặn USB, ánh xạ ổ đĩa, máy in, cập nhật, chuyển hướng thư mục, AppLocker, kiểm tra và kiểm soát quản trị viên cục bộ — mỗi chính sách được giải thích bằng những từ đơn giản.
📑Các chương
- Tại sao một miền mới cần mười chính sách này trước tiên
- Chính sách mật khẩu — một quy tắc cho toàn bộ miền
- Khóa màn hình — PC không được giám sát sẽ tự khóa
- Khối USB — ổ bút không còn là cánh cửa nữa
- Ánh xạ ổ đĩa — các chia sẻ máy chủ tự xuất hiện
- Máy in — máy in văn phòng không cần chạm vào PC
- Cập nhật — Các bản cập nhật Windows diễn ra theo lịch trình của bạn
- Chuyển hướng thư mục — tài liệu trực tiếp trên máy chủ chứ không phải trên PC
- AppLocker — chỉ những chương trình được phê duyệt mới chạy
- Kiểm tra — ghi lại ai đã đăng nhập và ai không thành công
- Quyền kiểm soát của quản trị viên cục bộ — hầu như không ai là quản trị viên trên PC của chính họ
- Thử nghiệm trên OU thí điểm trước khi triển khai cho mọi người
📋 Tổng quan & Hướng dẫn từng bước
Mở quản lý chính sách nhóm đầu tiên
Tất cả mười chính sách đều được xây dựng trong một bảng điều khiển: Bảng điều khiển quản lý chính sách nhóm. Mở hộp Run, gõ lệnh bên dưới và nhấn Enter. Quy tắc hoạt động cho toàn bộ danh sách là một GPO cho mỗi công việc, mỗi GPO có một tên đơn giản như Block-USB-Storage hoặc Screen-Lock-10-Min — một chính sách riêng biệt có thể được kiểm tra, vô hiệu hóa, khôi phục và lọc riêng, trong khi một GPO khổng lồ không hoạt động như một GPO khổng lồ.
gpmc.mscChính sách mật khẩu - Một quy tắc cho toàn bộ miền
Đường dẫn: Cấu hình máy tính → Chính sách → Cài đặt Windows → Cài đặt bảo mật → Chính sách tài khoản → Chính sách mật khẩu, thường được chỉnh sửa trong Chính sách miền mặc định. Đặt độ dài tối thiểu mà mọi người thực sự có thể nhớ - 12 ký tự có độ phức tạp theo nhịp 8 ký tự được thay đổi mỗi tháng. Hướng dẫn hiện đại của Microsoft đã bị loại bỏ buộc phải hết hạn thường xuyên vì người dùng trả lời hướng dẫn đó bằng các mẫu có thể đoán trước được. Độ dài cộng với chính sách khóa tài khoản hợp lý là sự kết hợp trung thực.
Khóa màn hình - PC không được giám sát sẽ tự khóa
Đường dẫn: Cấu hình người dùng → Chính sách → Mẫu quản trị → Bảng điều khiển → Cá nhân hóa — bật trình bảo vệ màn hình, đặt thời gian chờ và bật mật khẩu bảo vệ trình bảo vệ màn hình. Một tính năng song sinh bên máy tính, Đăng nhập tương tác: Giới hạn không hoạt động của máy trong Tùy chọn bảo mật, thực hiện cùng một công việc trên mỗi máy. Mười phút là điểm thú vị của văn phòng: ai đó bước ra khỏi một chiếc PC đã mở khóa được đăng nhập bằng tài khoản hoặc bộ phận nhân sự và bất kỳ ai đi ngang qua đều bất ngờ trở thành người đó. Chính sách này đóng lỗ hổng an ninh rẻ nhất trong tòa nhà.
Kiểm soát bộ nhớ USB - Ổ đĩa bút không còn là cánh cửa nữa
Đường dẫn: Cấu hình máy tính → Chính sách → Mẫu quản trị → Hệ thống → Truy cập bộ nhớ di động. Bạn có thể từ chối đọc, ghi hoặc thực thi trên mỗi loại thiết bị hoặc từ chối tất cả bộ nhớ di động trong một cài đặt. Lý do văn phòng là dữ liệu: một ổ bút có thể mang toàn bộ cơ sở dữ liệu khách hàng ra khỏi tòa nhà hoặc mang virus vào.
Lập bản đồ ổ đĩa - Máy chủ chia sẻ tự xuất hiện
Đường dẫn: Cấu hình người dùng → Tùy chọn → Cài đặt Windows → Bản đồ Drive. Đây là Tùy chọn Chính sách nhóm, không phải chính sách cổ điển: bạn trỏ ký tự ổ đĩa vào một lượt chia sẻ, chọn hành động (Tạo hoặc Cập nhật) và sử dụng nhắm mục tiêu cấp mục nếu các tài khoản sẽ nhận được một ổ đĩa mà doanh số bán hàng không được nhận. Chính sách này gỡ bỏ tập lệnh cũ nhất trong CNTT — tệp bó đăng nhập — và lệnh gọi "ổ đĩa máy chủ biến mất" hàng ngày. Sau đó, ổ đĩa được ánh xạ hiển thị chữ thập đỏ có thể đọc được ngay lập tức: sự cố mạng hoặc quyền, không phải là bí ẩn về ánh xạ.
Triển khai máy in — Máy in văn phòng không cần chạm vào PC
Đường dẫn: Tùy chọn → Cài đặt bảng điều khiển → Máy in (hoặc triển khai từ Quản lý in). Người dùng đăng nhập và máy in văn phòng chỉ đơn giản ở đó, với trình điều khiển phù hợp từ máy chủ in. Nhắm mục tiêu máy in theo OU hoặc nhóm nên tầng 3 ngừng in xuống tầng trệt.
Kiểm soát cập nhật Windows - Cập nhật diễn ra theo lịch trình của bạn
Đường dẫn: Cấu hình máy tính → Chính sách → Mẫu quản trị → Cấu phần Windows → Cập nhật Windows. Cài đặt chính: Định cấu hình Cập nhật tự động, Không tự động khởi động lại với người dùng đã đăng nhập, thời hạn cài đặt và — nếu văn phòng sử dụng WSUS — vị trí máy chủ cập nhật mạng nội bộ. Cài đặt trì hoãn cho phép nhóm thí điểm cập nhật trước và phần còn lại của văn phòng vài ngày sau đó. Hãy rõ ràng về công việc: chính sách này kiểm soát thời gian chứ không phải liệu các cập nhật có diễn ra hay không. Đặt khoảng thời gian cài đặt sau giờ làm việc và thời hạn khởi động lại mà người dùng có thể thấy sắp tới và các bản cập nhật trở nên nhàm chán — đó chính xác là những gì bạn muốn.
Chuyển hướng thư mục - Tài liệu trực tiếp trên máy chủ, không phải trên PC
Đường dẫn: Cấu hình người dùng → Chính sách → Cài đặt Windows → Chuyển hướng thư mục. Tài liệu, Màn hình nền và Hình ảnh lặng lẽ trỏ vào một thư mục trên máy chủ tệp thay vì đĩa cục bộ. Phần thưởng sẽ xuất hiện vào ngày tồi tệ nhất: một PC bị hỏng, người dùng đăng nhập vào bất kỳ PC nào khác và các tệp của họ đã ở đó — và bản sao máy chủ nằm trong bản sao lưu thông thường của bạn.
AppLocker - Chỉ các chương trình được phê duyệt mới chạy
Đường dẫn: Cấu hình máy tính → Cài đặt Windows → Cài đặt bảo mật → Chính sách kiểm soát ứng dụng → AppLocker hoặc Chính sách hạn chế phần mềm cũ hơn trong cùng khu vực. Ý tưởng là một danh sách trắng: Windows, Tệp chương trình và các ứng dụng được quản trị viên phê duyệt có thể chạy; bất cứ điều gì người dùng tải xuống hồ sơ của riêng họ có thể không. Đây là mục mạnh nhất trong danh sách và là mục đòi hỏi sự tôn trọng nhất.
Ghi nhật ký kiểm tra - Ghi lại ai đã đăng nhập và ai không thành công
Đường dẫn: Cấu hình máy tính → Chính sách → Cài đặt Windows → Cài đặt bảo mật → Cấu hình chính sách kiểm tra nâng cao. Ở mức tối thiểu, hãy kiểm tra sự thành công và thất bại đăng nhập trên bộ điều khiển miền và máy chủ thành viên. Kiểm toán trả lời câu hỏi mà mọi văn phòng đều đặt ra sau một sự cố: tài khoản của ai đã được sử dụng, từ PC nào và khi nào?
Kiểm soát quản trị viên cục bộ - Hầu như không ai là quản trị viên trên PC của chính họ
Đường dẫn: Tùy chọn → Cài đặt Bảng điều khiển → Nhóm và người dùng cục bộ có thể xóa nhóm Quản trị viên trên mọi PC — xóa tài khoản người dùng lạc, giữ lại nhóm hỗ trợ CNTT. Phần đi kèm là Windows LAPS, cung cấp cho mỗi PC một mật khẩu quản trị viên cục bộ duy nhất, tự động thay đổi được lưu trữ an toàn trong Active Directory. Công việc hàng ngày không cần quyền quản trị viên; phần mềm độc hại kế thừa chúng. Xóa quyền quản trị thường trực, giữ LAPS trong ngày CNTT cần mật khẩu cục bộ và một nửa số sự cố trong văn phòng bình thường không bao giờ xảy ra — nhưng hãy giữ một lộ trình kính vỡ đã được thử nghiệm trước khi triển khai.
Áp dụng, cập nhật và xác minh trên PC thử nghiệm
Liên kết GPO mới với OU thử nghiệm, sau đó trên máy khách thử nghiệm buộc phải làm mới chính sách và chứng minh kết quả trước khi bất kỳ ai khác nhận được nó. Lệnh đầu tiên áp dụng các chính sách ngay bây giờ thay vì chờ chu kỳ làm mới tiếp theo; người thứ hai viết một báo cáo liệt kê chính xác GPO nào đã được áp dụng - GPO nào đã bị từ chối và tại sao.
gpupdate /forcegpresult /h report.html🏷️Biến và từ khóa tìm kiếm chủ đề
🎙️ Bản ghi đầy đủ - nhấn để mở rộng
__TOK_35__
__TOK_36__
__TOK_37__
❓ Câu hỏi thường gặp
Hướng dẫn này có miễn phí 100% để làm theo không?
__TOK_38__
Người mới bắt đầu có thể làm theo hướng dẫn này không?
__TOK_39__
Tôi có thể đặt câu hỏi ở đâu nếu gặp khó khăn?
__TOK_40__