ใช้ Local Group Policy กับผู้ที่ไม่ใช่ผู้ดูแลระบบหรือผู้ใช้รายเดียวด้วย MLGPO

คุณสามารถใช้ Local Group Policy เพื่อกำหนดค่า Windows หรือการตั้งค่าผู้ใช้บนคอมพิวเตอร์ในเครือข่ายเวิร์กกรุ๊ปขนาดเล็ก (โดยไม่มีโดเมน AD) ก่อนหน้านี้ ข้อเสียเปรียบหลักของ GPO ในเครื่องคือการไม่สามารถใช้การตั้งค่านโยบายกับผู้ใช้หรือกลุ่มเฉพาะในเครื่องได้ ตัวอย่างเช่น หากคุณปิดใช้งานอุปกรณ์ USB ใน GPO ภายในเครื่อง นโยบายนี้จะถูกนำไปใช้ทั้งกับบัญชีผู้ใช้และผู้ดูแลระบบภายในเครื่อง

วัตถุนโยบายกลุ่มภายในหลายรายการ (MLGPO) ช่วยให้คุณสามารถใช้การตั้งค่า GPO ภายในกับผู้ใช้หรือกลุ่มภายในเครื่องต่างๆ ในบทความนี้ เราจะแสดงวิธีการใช้ GPO ในเครื่องกับผู้ใช้ในเครื่องรายเดียวหรือผู้ใช้ที่ไม่ได้เป็นสมาชิกของผู้ดูแลระบบในเครื่องโดยใช้ MLGPO

คุณสามารถกำหนด MLGPO ให้กับ:

• ผู้ใช้ในเครื่องใด ๆ (ตามชื่อ);

• สมาชิกของกลุ่มผู้บริหารท้องถิ่น

• ผู้ใช้ทั้งหมดที่ ไม่ใช่ สมาชิกของกลุ่มผู้ดูแลระบบภายใน.

gpedit.msc

หากต้องการสร้าง Group Policy ใหม่สำหรับผู้ใช้หรือกลุ่ม:

1. กด Win + R ->

   mmc

   ;

2. คลิก ไฟล์ -> เพิ่ม/ลบ Snap-in
   

   

3. เลือก ตัวแก้ไขวัตถุนโยบายกลุ่ม ในรายการสแน็ปอินที่มีอยู่แล้วคลิก เพิ่ม
   

   

4. คลิก เรียกดู และไปที่แท็บ ผู้ใช้ คุณสามารถเลือกกลุ่มท้องถิ่นหรือผู้ใช้ที่จะใช้นโยบายกับ หากมีการกำหนด GPO ในเครื่องให้กับผู้ใช้หรือกลุ่มแล้ว คุณจะเห็น ใช่ ในคอลัมน์ มีวัตถุนโยบายกลุ่ม หากต้องการใช้นโยบายกับผู้ใช้ภายในทั้งหมดยกเว้นผู้ดูแลระบบ ให้เลือก ไม่ใช่ผู้ดูแลระบบ
   

   

5. ตรวจสอบให้แน่ใจว่าได้เลือก Local Computer\Non-Administrators แล้วคลิก เสร็จสิ้น
   

   

6. คอนโซลตัวแก้ไข GPO พร้อมการตั้งค่าผู้ใช้จะปรากฏขึ้น คุณสามารถกำหนดการตั้งค่านโยบายท้องถิ่นเพื่อใช้กับผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบได้ที่นี่
   

   

7. กำหนดการตั้งค่านโยบายกลุ่มที่ต้องการสำหรับผู้ใช้ภายใน

หากคุณต้องการลบนโยบายท้องถิ่นสำหรับกลุ่ม ให้เลือกกลุ่มในแท็บ ผู้ใช้ แล้วคลิก ลบวัตถุนโยบายกลุ่ม

ข้อเสียเปรียบหลักของ GPO ภายในเครื่องคือการย้ายไปยังคอมพิวเตอร์เครื่องอื่นทำได้ยาก (ไม่เหมือนกับโดเมน GPO ซึ่งจัดเก็บไว้ในตัวควบคุมโดเมน AD และแก้ไขจากส่วนกลาง) หากต้องการถ่ายโอนการตั้งค่า MLGPO คุณสามารถใช้เครื่องมืออย่างเป็นทางการของ Microsoft - lgpo.exe (เป็นส่วนหนึ่งของ Security Compliance Manager และ Microsoft Security Baseline)

หากต้องการส่งออกนโยบายโลคัลที่กำหนดค่าทั้งหมดไปยังไฟล์ จะใช้คำสั่งนี้:

lgpo /b c:\GPObackup\

หากต้องการนำเข้าการตั้งค่า Group Policy ในเครื่องไปยังคอมพิวเตอร์เครื่องอื่น ให้ระบุ GUID (คุณสามารถค้นหาโฟลเดอร์นโยบายในไฟล์ที่คุณได้รับจาก SID ที่รู้จักกันดีของกลุ่มที่ไม่ใช่ผู้ดูแลระบบ —

S-1-5-32-545

). เมื่อต้องการใช้การตั้งค่าบนคอมพิวเตอร์เป้าหมาย ใช้คำสั่งต่อไปนี้:

lgpo /parse /u C:\GPObackup\{GUID}\DomainSysvol\GPO\User\registry.pol

จากนั้นรีเฟรชการตั้งค่า GPO:

gpupdate /force

นอกจากนี้ คุณสามารถใช้

LocalGPO.wsf

สคริปต์เพื่อส่งออก/นำเข้า MLGPO

ในการส่งออก:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Non-Administrators

ในการนำเข้า:

cscript LocalGPO.wsf /Path:C:\GPObackup\{GUID}