การแก้ไขปัญหา: นโยบายกลุ่ม (GPO) ไม่ถูกนำไปใช้กับไคลเอนต์

ในคู่มือการแก้ไขปัญหา GPO นี้ ฉันจะพยายามบอกคุณเกี่ยวกับสาเหตุทั่วไปที่เหตุใด Group Policy Object (GPO) บางอย่างอาจไม่นำไปใช้กับหน่วยขององค์กร (OU) หรือคอมพิวเตอร์/ผู้ใช้เฉพาะโดเมน ฉันคิดว่าบทความนี้จะเป็นประโยชน์สำหรับทั้งมือใหม่และผู้ดูแลระบบ AD Group Policy เพื่อทำความเข้าใจวิธีการทำงานของ Group Policies และสถาปัตยกรรม GPO บทความนี้อธิบายถึงปัญหาที่อาจเกิดขึ้นกับการใช้ GPO ที่เกี่ยวข้องกับการตั้งค่านโยบายที่ระดับโดเมน ตลอดจนการแก้ไขปัญหา GPO บนไคลเอนต์ Windows การตั้งค่าเกือบทั้งหมดที่อธิบายไว้ในบทความได้รับการกำหนดค่าโดยใช้ Group Policy Management Console (

GPMC.msc

).

การจัดการขอบเขต GPO

หากไม่ได้ใช้พารามิเตอร์นโยบายเฉพาะกับไคลเอนต์ ให้ตรวจสอบขอบเขต GPO ของคุณ หากคุณกำหนดการตั้งค่าในส่วน การกำหนดค่าคอมพิวเตอร์ นโยบายกลุ่มของคุณต้องเชื่อมโยงกับ OU ด้วยวัตถุคอมพิวเตอร์ เช่นเดียวกันหากคุณตั้งค่าพารามิเตอร์ในส่วน การกำหนดค่าผู้ใช้

นอกจากนี้ ตรวจสอบให้แน่ใจว่าวัตถุที่คุณพยายามใช้ GPO ของคุณนั้นอยู่ในคอมพิวเตอร์ที่ถูกต้องหรือคอนเทนเนอร์ AD ของผู้ใช้ (OU) คุณสามารถค้นหาตามโดเมนโดยใช้ ADUC (

dsa.msc

) คอนโซล มีการระบุ OU ซึ่งเป็นที่ตั้งของวัตถุในแท็บ วัตถุ

หมายความว่าวัตถุเป้าหมายต้องอยู่ใน OU ที่นโยบายเชื่อมโยงอยู่ (หรือในคอนเทนเนอร์ AD ที่ซ้อนกัน)

จะใช้การกรองความปลอดภัยของนโยบายกลุ่มเพื่อใช้ GPO กับกลุ่มที่เลือกได้อย่างไร

ตรวจสอบการตั้งค่า การกรองความปลอดภัย ในนโยบายของคุณ ตามค่าเริ่มต้น วัตถุ GPO ใหม่ทั้งหมดในโดเมนจะมีสิทธิ์สำหรับกลุ่ม ผู้ใช้ที่รับรองความถูกต้อง ที่เปิดใช้งาน กลุ่มนี้ประกอบด้วยผู้ใช้และคอมพิวเตอร์ทั้งหมดในโดเมน หมายความว่านโยบายจะถูกนำไปใช้กับผู้ใช้และคอมพิวเตอร์ทั้งหมดที่อยู่ในขอบเขต

ในบางกรณี คุณต้องการให้ GPO เฉพาะใช้กับสมาชิกของกลุ่มความปลอดภัยโดเมนเฉพาะ (หรือผู้ใช้/คอมพิวเตอร์เฉพาะ) ในการดำเนินการนี้ คุณต้องลบกลุ่ม ผู้ใช้ที่ได้รับการรับรองความถูกต้อง ออกจากตัวกรองความปลอดภัย และเพิ่มกลุ่มเป้าหมายหรือบัญชีลงในตัวกรอง

หากคุณกำหนดตัวกรองความปลอดภัยให้กับกลุ่ม ตรวจสอบให้แน่ใจว่าวัตถุที่คุณต้องการเป็นสมาชิกของกลุ่ม AD นั้น

นอกจากนี้ ตรวจสอบว่ากลุ่มที่คุณเพิ่มลงในการกรองความปลอดภัยมีสิทธิ์ อ่าน และ ใช้นโยบายกลุ่ม โดยเลือกตัวเลือก อนุญาต ใน GPO - > การมอบหมาย -> แท็บขั้นสูง

หากคุณใช้ตัวกรองความปลอดภัยของ GPO ที่ไม่ได้มาตรฐาน ให้ตรวจสอบว่าไม่มีข้อห้ามอย่างชัดเจนในการใช้ GPO สำหรับกลุ่มเป้าหมาย (ปฏิเสธ)

นโยบายกลุ่ม การกรอง GPO WMI

คุณสามารถใช้ตัวกรอง WMI พิเศษใน GPO สิ่งนี้อนุญาตให้ใช้นโยบายกับคอมพิวเตอร์ของคุณตามแบบสอบถาม WMI ตัวอย่างเช่น คุณสามารถสร้างตัวกรอง GPO WMI เพื่อใช้นโยบายเฉพาะกับคอมพิวเตอร์ที่มี Windows เวอร์ชันเฉพาะ กับคอมพิวเตอร์ในซับเน็ต IP เฉพาะ กับแล็ปท็อปเท่านั้น เป็นต้น

เมื่อใช้การกรอง WMI ของนโยบายกลุ่ม ตรวจสอบให้แน่ใจว่าการสืบค้น WMI ของคุณถูกต้อง ควรเลือกเฉพาะอุปกรณ์ที่คุณต้องการและไม่รวมคอมพิวเตอร์เป้าหมายของคุณ คุณสามารถทดสอบตัวกรอง WMI ของคุณบนคอมพิวเตอร์เครื่องใดก็ได้โดยใช้ PowerShell:

gwmi -Query ‘select * from Win32_OperatingSystem where Version like "10.%" and ProductType="1"‘

หากแบบสอบถามส่งคืนข้อมูลใด ๆ ตัวกรอง WMI จะถูกนำไปใช้กับคอมพิวเตอร์เครื่องนี้

ปิดใช้งานการตั้งค่าผู้ใช้หรือคอมพิวเตอร์ใน Group Policy Object

ดังที่เราได้กล่าวไปแล้ว GPO แต่ละแห่งมีสองส่วนที่เป็นอิสระจากกัน:

• การกำหนดค่าคอมพิวเตอร์ - การตั้งค่าที่ใช้กับคอมพิวเตอร์

• การกำหนดค่าผู้ใช้ - การตั้งค่าผู้ใช้

หาก GPO ของคุณกำหนดค่าเฉพาะการตั้งค่าผู้ใช้หรือเฉพาะการตั้งค่าคอมพิวเตอร์ คุณสามารถปิดใช้งานส่วนนโยบายที่ไม่ได้ใช้ สิ่งนี้จะลดทราฟฟิก GPO และช่วยให้คุณลดเวลาการประมวลผล GPO บนไคลเอ็นต์

ตรวจสอบสถานะ GPO ในแท็บ รายละเอียด ของคุณสมบัตินโยบายใน

GPMC.msc

. สังเกตค่าในรายการแบบเลื่อนลง สถานะ GPO

อย่างที่คุณเห็นมี 4 ตัวเลือก:

• ปิดใช้การตั้งค่าทั้งหมด - การตั้งค่านโยบายทั้งหมดถูกปิดใช้งาน (GPO จะไม่มีผล)

• ปิดการตั้งค่าการกำหนดค่าคอมพิวเตอร์ - การตั้งค่าเฉพาะจากการกำหนดค่าคอมพิวเตอร์ของ GPO ของคุณจะไม่ถูกนำไปใช้

• ปิดใช้งานการตั้งค่าการกำหนดค่าผู้ใช้ - การตั้งค่าจากส่วนการกำหนดค่าผู้ใช้จะไม่ถูกนำไปใช้

• เปิดใช้งาน - การตั้งค่า GPO ทั้งหมดจะถูกนำไปใช้กับวัตถุ AD เป้าหมาย (ค่าเริ่มต้น)

การมอบหมายนโยบายกลุ่ม

สิทธิ์ที่กำหนดค่าสำหรับนโยบายจะแสดงในแท็บ การมอบหมาย ของ GPO ที่นี่ คุณสามารถดูได้ว่ากลุ่มใดสามารถเปลี่ยนการตั้งค่า GPO และดูว่านโยบายมีผลกับกลุ่มนั้นหรือไม่ คุณสามารถให้สิทธิ์ในการจัดการ GPO จากคอนโซลนี้หรือใช้ Active Directory Delegation Wizard ใน ADUC หากมีสิทธิ์ในการเข้าถึง "Enterprise Domain Controllers " นโยบายนี้สามารถจำลองแบบระหว่างตัวควบคุมโดเมน Active Directory ได้ (โปรดทราบว่าหากคุณมีปัญหาการจำลอง GPO ระหว่าง DC) สิทธิ์ในแท็บการมอบสิทธิ์ตรงกับสิทธิ์ NTFS ที่กำหนดให้กับไดเร็กทอรีนโยบายในโฟลเดอร์ SYSVOL

บล็อกการสืบทอดและการบังคับใช้ในลิงก์นโยบายกลุ่ม

การสืบทอดเป็นหนึ่งในแนวคิดหลักของนโยบายกลุ่ม ตามค่าเริ่มต้น นโยบายระดับสูงจะถูกนำไปใช้กับวัตถุที่ซ้อนกันทั้งหมดในลำดับชั้นของโดเมน อย่างไรก็ตาม ผู้ดูแลระบบสามารถบล็อกการใช้นโยบายที่สืบทอดมาทั้งหมดกับ OU เฉพาะได้ โดยคลิกขวาที่ OU ใน GPMC แล้วเลือก บล็อกการสืบทอด

หน่วยขององค์กรที่เปิดใช้งานตัวเลือกการสืบทอดที่ถูกบล็อกจะถูกทำเครื่องหมายด้วยเครื่องหมายอัศเจรีย์สีน้ำเงินในคอนโซล

หากไม่ได้ใช้นโยบายกลุ่มกับไคลเอนต์ ให้ตรวจสอบว่านโยบายนั้นอยู่ใน OU ด้วยตัวเลือกการสืบทอดที่ถูกบล็อกหรือไม่

โปรดทราบว่านโยบายโดเมนที่เปิดใช้งานคุณสมบัติ บังคับใช้ จะถูกนำไปใช้แม้กับ OU ที่มีการตั้งค่าการสืบทอดที่ถูกบล็อก (คุณสามารถดูนโยบายที่สืบทอดมาซึ่งนำไปใช้กับคอนเทนเนอร์ใน การสืบทอดนโยบายกลุ่ม

ขอบเขต GPO และคำสั่งดำเนินการตามนโยบาย (LSDOU)

หากต้องการจดจำลำดับซึ่งนโยบายกลุ่มใช้ในโดเมน ให้จำตัวย่อ LSDOU GPO ใช้กับไคลเอนต์ตามลำดับต่อไปนี้:

1. นโยบายคอมพิวเตอร์เฉพาะที่ (ในเครื่อง) ที่กำหนดค่าไว้ในคอนโซล gpedit.msc ของโปรแกรมแก้ไข GPO ในเครื่อง (หากกำหนดค่าไม่ถูกต้อง คุณสามารถรีเซ็ตได้)

2. GPO ระดับไซต์ ( ไซต์);

3. GPO ระดับโดเมน (โดเมน)

4. GPO จากระดับหน่วยองค์กร (หน่วยองค์กร)

นโยบายหลังมีความสำคัญสูงสุด หมายความว่าหากคุณเปิดใช้งานการตั้งค่า Windows บางอย่างในระดับโดเมน นโยบายอื่นในระดับ OU อาจถูกปิดใช้งาน (นโยบายที่ใกล้เคียงที่สุดกับวัตถุในลำดับชั้น AD จะชนะ)

เมื่อใช้ตัวเลือก บังคับ นโยบายที่มีสถานะสูงกว่าในลำดับชั้นของโดเมนจะชนะ (เช่น หากนโยบายโดเมนเริ่มต้นเปิดใช้งานตัวเลือกบังคับ นโยบายนั้นจะมีลำดับความสำคัญสูงกว่า GPO อื่นๆ) .

ผู้ดูแลระบบยังสามารถเปลี่ยนลำดับการประมวลผลนโยบายโดยใช้คอนโซล GPMC ในการดำเนินการ ให้เลือก OU และไปที่แท็บ อ็อบเจ็กต์นโยบายกลุ่มที่เชื่อมโยง มีรายการ GPO ที่ใช้กับ OU นี้โดยแสดงลำดับความสำคัญ นโยบายจะถูกประมวลผลในลำดับย้อนกลับ (จากล่างขึ้นบน) หมายความว่านโยบายที่มี ลิงก์คำสั่งซื้อ 1 จะถูกนำไปใช้เป็นลำดับสุดท้าย คุณสามารถเปลี่ยนลำดับความสำคัญของ GPO ได้โดยใช้ลูกศรในคอลัมน์ด้านซ้ายและเลื่อนนโยบายขึ้นหรือลงในรายการ

การจัดการลิงก์ GPO ที่เปิดใช้งาน

ออบเจ็กต์ GPO ที่เชื่อมโยงกับหน่วยขององค์กร AD สามารถเปิดหรือปิดตัวเลือก เปิดใช้ลิงก์ หากปิดใช้งานลิงก์ ไอคอนจะกลายเป็นสีเทา เมื่อลิงก์ถูกปิดใช้งาน นโยบายจะไม่นำไปใช้กับไคลเอนต์ แต่ลิงก์ไปยังวัตถุ GPO จะไม่ถูกลบออกจากลำดับชั้นของโดเมน คุณสามารถเปิดใช้งานลิงก์ GPO ได้ตลอดเวลา

อธิบายโหมดการประมวลผลลูปแบ็คของนโยบายกลุ่ม

ตัวอย่างเช่น หากคุณใช้นโยบายที่มีการตั้งค่าในส่วนการกำหนดค่าผู้ใช้กับ OU กับคอมพิวเตอร์ การตั้งค่าเหล่านี้จะไม่ถูกนำไปใช้กับผู้ใช้โดยไม่ใช้ลูปแบ็ค โหมดการประมวลผลลูปแบ็คเปิดใช้งานในการกำหนดค่าคอมพิวเตอร์ -> เทมเพลตการดูแลระบบ -> ระบบ -> นโยบายกลุ่ม -> กำหนดค่าโหมดการประมวลผลลูปแบ็กของนโยบายกลุ่มผู้ใช้

นโยบายการประมวลผลย้อนกลับนี้มีโหมดที่เป็นไปได้สองโหมด:

• ผสาน - GPO ตามตำแหน่งที่ตั้งของผู้ใช้จะถูกนำไปใช้กับคอมพิวเตอร์ จากนั้น GPO ที่เชื่อมโยงกับคอมพิวเตอร์จะถูกนำไปใช้ หากมีข้อขัดแย้งระหว่างนโยบาย OU ของผู้ใช้และคอมพิวเตอร์ นโยบายระดับการกำหนดค่าคอมพิวเตอร์จะมีผลเหนือกว่า

  โปรดทราบว่าเมื่อใช้การประมวลผลแบบย้อนกลับกับโหมด Merge นโยบายจะถูกดำเนินการสองครั้ง พิจารณาสิ่งนี้เมื่อใช้สคริปต์การเข้าสู่ระบบ

• แทนที่ - เฉพาะนโยบายที่กำหนดให้กับ OU ที่มีคอมพิวเตอร์ที่ผู้ใช้เข้าสู่ระบบเท่านั้นที่จะนำไปใช้กับผู้ใช้

ใช้ตัวช่วยสร้างการสร้างแบบจำลองนโยบายกลุ่ม

คุณสามารถใช้คุณลักษณะ การสร้างแบบจำลอง GPO ในคอนโซลการจัดการนโยบายโดเมน (

gpmc.msc

). การสร้างแบบจำลอง GPO ช่วยให้ผู้ดูแลระบบได้รับนโยบายผลลัพธ์ที่จะนำไปใช้กับวัตถุ Active Directory เฉพาะ

ไปที่ส่วนการสร้างแบบจำลองนโยบายกลุ่มและเรียกใช้ ตัวช่วยสร้างการสร้างแบบจำลองนโยบายกลุ่ม

เลือก OU หรือผู้ใช้/คอมพิวเตอร์ที่คุณต้องการรับรายงานนโยบายที่เป็นผลลัพธ์

จากนั้นทำตามคำถามของ GPO Modeling Wizard ด้วยเหตุนี้ คุณจะได้รับรายงาน (ตรวจสอบแท็บ รายละเอียด) ซึ่งแสดงว่านโยบายใดใช้กับออบเจ็กต์ AD และนโยบายใดไม่ได้ใช้ หากนโยบายถูกนำไปใช้หรือถูกปฏิเสธเนื่องจากตัวกรอง GPO สิ่งนี้จะปรากฏในรายงาน

เปิดใช้งานการบันทึกดีบักการตั้งค่านโยบายกลุ่ม

ใน Active Directory เวอร์ชันใหม่ มีส่วนขยายเพิ่มเติมของ Group Policy - Group Policy Preferences (GPP) GPP อนุญาตให้คุณใช้การตั้งค่าเพิ่มเติมโดยใช้ส่วนขยายฝั่งไคลเอ็นต์ของ GP ตัวอย่างเช่น ผ่าน GPP คุณสามารถ:

• ปรับใช้เครื่องพิมพ์ผ่าน GPO;

• เพิ่มผู้ใช้ในกลุ่มผู้ดูแลระบบภายในบนคอมพิวเตอร์โดเมน

• แผนที่ไดรฟ์เครือข่าย

• ปรับใช้การตั้งค่ารีจิสทรี

• คัดลอกโฟลเดอร์และไฟล์ไปยังคอมพิวเตอร์ของผู้ใช้

• เป็นต้น

หากต้องการแก้ไขปัญหาการกำหนดลักษณะนโยบายกลุ่ม คุณสามารถใช้โหมดบันทึกพิเศษ - การติดตามการตั้งค่านโยบายกลุ่ม

คุณสามารถเปิดใช้งานโหมดนี้ผ่านพารามิเตอร์ในส่วน การกำหนดค่าคอมพิวเตอร์ -> นโยบาย -> เทมเพลตการดูแลระบบ -> ระบบ -> นโยบายกลุ่ม -> การบันทึกและการติดตาม มีตัวเลือกการบันทึกแยกต่างหากสำหรับพารามิเตอร์ GPP ที่แตกต่างกัน

ตัวอย่างเช่น ฉันต้องการตรวจสอบว่ามีการใช้พารามิเตอร์รีจิสทรีที่มีการตั้งค่าพร็อกซีผ่าน GPO อย่างไร ในการดำเนินการนี้ ฉันเปิดใช้งานตัวเลือก กำหนดค่าการบันทึกและการติดตามค่ากำหนดของรีจิสทรี คุณสามารถกำหนดค่าพารามิเตอร์การบันทึกและการดีบักและขนาดบันทึกได้ที่นี่

หลังจากใช้นโยบายกับลูกค้าแล้ว ให้เปิด

C:\ProgramData\GroupPolicy\Preference\Trace\Computer.log

ไฟล์เพื่อรับสถานะโดยละเอียดของ GPP

ปิดใช้งานตัวเลือก GPO นี้หลังจากที่คุณแก้ไขจุดบกพร่อง GPP เสร็จแล้ว

นอกจากนี้ โปรดทราบว่า GPP มีตัวเลือก การกำหนดเป้าหมายระดับรายการ เพิ่มเติมเพื่อกรองเมื่อนโยบายถูกนำไปใช้

การแก้ไขปัญหา GPO ที่นำไปใช้ในไคลเอนต์ Windows

คำตอบ,

rsop.msc

และ Windows Event Viewer ใช้เพื่อแก้ไขปัญหาและดีบัก Group Policy ในฝั่งไคลเอ็นต์ เครื่องมือสองตัวแรกให้ชุดนโยบายที่เป็นผลลัพธ์ซึ่งนำไปใช้กับอุปกรณ์ Windows

ในการรับรายงานอย่างง่ายเกี่ยวกับ GPO ที่ใช้กับคอมพิวเตอร์ ให้รันคำสั่ง:

gpresult /r

คำสั่งจะส่งคืนรายการของวัตถุนโยบายกลุ่มที่ใช้และ GPO ที่ไม่ได้ใช้ รายการ GPO ที่กรองแล้วอาจมีรายการต่อไปนี้:

• ไม่ได้ใช้ (ว่างเปล่า) - นโยบายถูกกำหนดให้แต่ไม่มีการตั้งค่า

• ถูกปฏิเสธ (ตัวกรอง WMI) - นโยบายนี้ไม่ถูกนำไปใช้ เนื่องจากตัวกรอง WMI ไม่ตรงกับคอมพิวเตอร์เครื่องนี้

• ถูกปฏิเสธ (ความปลอดภัย) — Group Policy ACL ไม่มีสิทธิ์นำ GPO ไปใช้กับวัตถุนี้

• ปิดใช้งาน (GPO) - ส่วนการกำหนดค่าคอมพิวเตอร์หรือผู้ใช้ถูกปิดใช้งานในการตั้งค่า GPO

หากต้องการรับรายงาน HTML พร้อม GPO ที่เป็นผลลัพธ์ ให้ใช้คำสั่ง:

gpresult /h c:\reports\gpreport.html /f

รายงาน gpresult RSoP HTMP มีข้อผิดพลาด GPO เวลาในการประมวลผลของนโยบายและ CSE บางอย่าง และข้อมูลที่เป็นประโยชน์อื่นๆ สิ่งนี้ช่วยให้คุณเข้าใจว่าทำไม GPO บางตัวจึงประมวลผลนานเกินไป รายงานนี้แสดงการตั้งค่านโยบายที่นำไปใช้และ GPO เฉพาะเจาะจง

ลูกค้านโยบายกลุ่ม (

gpsvc

) บริการต้องทำงานบน Windows เพื่อประมวลผล GPO ตรวจสอบว่าบริการเริ่มต้นโดยใช้ PowerShell:

Get-Service gpsvc

คุณต้องจำไว้ว่า Group Policy ได้รับการอัปเดตใน Windows อย่างไร ตามค่าเริ่มต้น GPO จะถูกรีเฟรชในเบื้องหลังทุกๆ 90 นาที + เวลาสุ่ม 0-30 นาที อย่างไรก็ตาม ผู้ดูแลระบบสามารถเปลี่ยนช่วงเวลานี้ได้โดยใช้ตัวเลือก “ตั้งค่าช่วงเวลาการรีเฟรชนโยบายกลุ่มสำหรับคอมพิวเตอร์” ภายใต้การกำหนดค่าคอมพิวเตอร์ -> เทมเพลตการดูแลระบบ -> ระบบ -> นโยบายกลุ่มใน GPO

คุณสามารถใช้ Event Viewer เพื่อค้นหาเหตุการณ์การประมวลผล GPO กรองบันทึกของระบบตามแหล่งที่มาของ GroupPolicy (Microsoft-Windows-GroupPolicy) นอกจากนี้ ให้ตรวจสอบเหตุการณ์อย่างใกล้ชิดใน Application and Services Logs -> Microsoft -> Windows -> Group Policy -> Operational

เคล็ดลับเพิ่มเติมเล็กน้อยเมื่อทำการดีบัก GPO:

• เมื่อวิเคราะห์นโยบายรหัสผ่านโดเมน โปรดทราบว่านโยบายรหัสผ่านโดเมนเดียวเท่านั้นที่สามารถกำหนดค่าได้โดยใช้ GPMC (โดยปกติจะอยู่ในนโยบายโดเมนเริ่มต้น) ใช้นโยบายรหัสผ่านแบบละเอียดหากคุณต้องการใช้รหัสผ่านและนโยบายการล็อกบัญชีแยกต่างหากสำหรับผู้ใช้หรือกลุ่มเฉพาะ

• ฉันยังแนะนำให้ใช้เครื่องมือ Microsoft AGPM (การจัดการนโยบายกลุ่มขั้นสูง) ซึ่งช่วยให้คุณสามารถรักษาการกำหนดเวอร์ชันสำหรับ GPO และกฎสำหรับการอนุมัติได้

• ใช้ Group Policy Central Store สำหรับเทมเพลต ADMX ในกรณีนี้ คุณไม่จำเป็นต้องปรับใช้ไฟล์ Group Policy admx บนคอมพิวเตอร์ทุกเครื่องด้วยตนเอง

โดยสรุป ฉันจะแนะนำให้รักษาโครงสร้าง GPO ของคุณให้เรียบง่ายที่สุดเท่าที่จะเป็นไปได้ และไม่สร้างนโยบายที่ไม่จำเป็น ใช้รูปแบบการตั้งชื่อนโยบายที่โปร่งใส ชื่อของ GPO ควรระบุอย่างชัดเจนว่ามีไว้เพื่ออะไร