ค้นหาเว็บไซต์

วิธีเพิ่ม ตั้งค่า ลบ หรือนำเข้าคีย์รีจิสทรีผ่าน GPO

ในบทความนี้ เราจะดูวิธีการใช้นโยบายกลุ่ม (GPO) เพื่อสร้าง แก้ไข นำเข้า และลบรีจิสตรีคีย์และพารามิเตอร์บนคอมพิวเตอร์ที่เข้าร่วมโดเมนจากส่วนกลาง

คุณสามารถจัดการรายการรีจิสทรีโดยใช้ส่วนขยายพิเศษที่เรียกว่า Group Policy Preferences (GPP) มีส่วนแยกต่างหากใน GPP ซึ่งคุณสามารถกำหนดค่าจากส่วนกลาง (สร้าง ลบ แก้ไข อัปเดต) พารามิเตอร์หรือสาขารีจิสทรีใดๆ และปรับใช้การเปลี่ยนแปลงเหล่านี้กับคอมพิวเตอร์ทุกเครื่องในโดเมน

สมมติว่าคุณต้องการปิดใช้งานการอัปเดตไดรเวอร์อัตโนมัติบนคอมพิวเตอร์ทุกเครื่องใน Active Directory OU (หน่วยขององค์กร) ที่ระบุ ในการทำเช่นนี้ คุณจะต้องเปลี่ยนค่าของพารามิเตอร์รีจิสทรี SearchOrderConfig ในคีย์ reg HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching คุณสามารถกำหนดการตั้งค่ารีจิสทรีบนคอมพิวเตอร์เป้าหมายในโดเมนได้สองวิธี: โดยใช้ GPP Registry Browser ในตัว หรือด้วยตนเองโดยการระบุเส้นทางไปยังคีย์รีจิสทรี ชื่อพารามิเตอร์ และค่า

ปรับใช้รายการรีจิสทรีโดยใช้ตัวช่วยสร้างรีจิสทรีใน GPO

ตัวช่วยสร้างรีจิสทรีใน GPO เป็นวิธีที่ง่ายที่สุดในการเปลี่ยนแปลงรีจิสทรี

  1. เรียกใช้คอนโซลการจัดการนโยบายกลุ่ม (

    gpmc.msc

    );

  2. สร้าง GPO ใหม่ (หรือแก้ไข GPO ที่มีอยู่) เชื่อมโยงกับคอนเทนเนอร์ที่ต้องการ (OU) ใน AD กับคอมพิวเตอร์ (หรือผู้ใช้) ที่คุณต้องการใช้คีย์รีจิสทรี และสลับไปที่โหมดแก้ไขนโยบาย

  3. ขยายส่วน GPO คอมพิวเตอร์ (หรือ ผู้ใช้) การกำหนดค่า -> ค่ากำหนด -> การตั้งค่า Windows -> Registry และเลือก New -> Registry Wizard ในเมนูบริบท

  4. ตัวช่วยสร้างรีจิสทรี ช่วยให้คุณสามารถเชื่อมต่อกับรีจิสทรีบนคอมพิวเตอร์ระยะไกลและเลือกคีย์รีจิสทรีที่มีอยู่

  5. ระบุชื่อคอมพิวเตอร์ระยะไกลที่คุณต้องการเชื่อมต่อ

    หมายเหตุ หากข้อผิดพลาด ไม่พบเส้นทางเครือข่ายปรากฏขึ้นเมื่อคุณพยายามเชื่อมต่อกับคอมพิวเตอร์ผ่าน Registry Browser เป็นไปได้มากว่าคอมพิวเตอร์ระยะไกลเครื่องนี้ปิดอยู่ การเข้าถึงถูกบล็อกโดยไฟร์วอลล์หรือ ไม่ได้เริ่มบริการ Registry ระยะไกล

    หากต้องการเริ่มบริการด้วยตนเอง ให้รันคำสั่งเหล่านี้บนคอมพิวเตอร์ระยะไกล:

    sc config remoteregistry start= demand
net start remoteregistry

  6. ใช้ Remote Registry Browser เพื่อค้นหาและเลือกพารามิเตอร์รีจิสทรีทั้งหมดที่คุณต้องการปรับใช้ผ่าน GPO

    หมายเหตุ เบราว์เซอร์รีจิสทรีนี้อนุญาตให้คุณเลือกเฉพาะคีย์รีจิสทรีจากกลุ่ม HKEY_LOCAL_MACHINE และ HKEY_USERS บนคอมพิวเตอร์ระยะไกล หากคุณต้องการตั้งค่าคีย์ที่อยู่ในกลุ่มรีจิสทรีอื่นๆ คุณต้องติดตั้ง RSAT บนคอมพิวเตอร์ระยะไกล จากนั้นเรียกใช้คอนโซล gpmc.msc บนคอมพิวเตอร์เครื่องนี้ และใช้ขั้นตอนเดียวกันเพื่อเลือกรีจิสตรีคีย์ที่คุณต้องการ

  7. ในตัวอย่างนี้ ฉันต้องการนำเข้าพารามิเตอร์รีจิสทรีเพียงรายการเดียวไปยัง GPP — SearchOrderConfig;

  8. รายการรีจิสทรีที่ระบุจะถูกนำเข้าไปยังคอนโซล GPP พร้อมกับเส้นทางและค่าปัจจุบัน (0) คุณสามารถเปลี่ยนค่าและการกระทำที่ต้องการได้ (จะพิจารณาในภายหลัง)

  9. ดังนั้น คุณได้สร้างนโยบายกลุ่มเพื่อปรับใช้รีจิสตรีคีย์ของคุณ ครั้งต่อไปที่การตั้งค่า Group Policy ได้รับการอัปเดตบนคอมพิวเตอร์เป้าหมาย ค่าของคีย์รีจิสทรี SearchOrderConfig จะเปลี่ยนเป็น 0

    หากนโยบายนี้ใช้ไม่ได้กับไคลเอ็นต์ คุณสามารถใช้เครื่องมือ GPResult เพื่อวินิจฉัยได้

หาก GPO นี้ถูกลบ ยกเลิกการลิงก์จากคอนเทนเนอร์ AD หรือคอมพิวเตอร์เป้าหมายถูกย้ายไปยัง OU อื่น ค่าของพารามิเตอร์รีจิสทรีจะไม่กลับไปเป็นค่าดั้งเดิม (ค่าเริ่มต้น)

วิธีสร้าง แก้ไข หรือลบ Registry Key ด้วยตนเองโดยใช้ Group Policy

คุณสามารถใช้ GPP เพื่อสร้าง แก้ไข หรือลบพารามิเตอร์หรือคีย์รีจิสทรีที่ระบุได้โดยการระบุเส้นทางและค่าของรายการรีจิสทรีด้วยตนเอง

  1. เลือก รีจิสทรี -> ใหม่ -> รายการรีจิสทรี

  2. กำหนดการตั้งค่ารายการรีจิสทรีของคุณ:

    Action: Update
Hive: HKEY_LOCAL_MACHINE
Key Path: SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching
Value name: SearchOrderConfig
Value type: REG_DWORD
Value date: 00000000

    อย่าป้อนชื่อ HIVE ในเส้นทางคีย์ มิฉะนั้นจะมีการสร้างคีย์ย่อยเพิ่มเติมในรีจิสทรี (เช่น HKEY_HKEY_XXX)

  3. ตามค่าเริ่มต้น รายการรีจิสทรีที่กำหนดค่าโดย GPO จะถูกตั้งค่าเป็นโหมด อัปเดต

มีการดำเนินการ 4 ประเภทใน GPO สำหรับรีจิสตรีคีย์:

  • สร้าง - สร้างคีย์/พารามิเตอร์รีจิสทรี หากมีพารามิเตอร์อยู่แล้ว ค่าของพารามิเตอร์จะไม่เปลี่ยนแปลง

  • อัปเดต (โดยค่าเริ่มต้น) - อัปเดตค่าของพารามิเตอร์ที่มีอยู่ตาม GPP หากไม่มีพารามิเตอร์รีจิสทรี พารามิเตอร์จะถูกสร้างขึ้นโดยอัตโนมัติ (รวมถึงคีย์รีจิสทรีที่ควรอยู่)

  • แทนที่ - หากมีพารามิเตอร์/คีย์รีจิสทรีอยู่แล้ว พารามิเตอร์/คีย์ดังกล่าวจะถูกลบและสร้างใหม่ (ไม่ค่อยได้ใช้)

  • ลบ - ลบรายการรีจิสทรี

มีตัวเลือกที่มีประโยชน์อื่นๆ มากมายในแท็บ ทั่วไป:

  • เรียกใช้ในบริบทความปลอดภัยของผู้ใช้ที่เข้าสู่ระบบ (ตัวเลือกนโยบายผู้ใช้) — คีย์รีจิสทรีจะถูกสร้างขึ้นในบริบทของผู้ใช้ปัจจุบันเท่านั้น (เป็นไปได้สำหรับ GPP เท่านั้นในส่วนการกำหนดค่าผู้ใช้ของ GPO) หากผู้ใช้ไม่มีสิทธิ์ของผู้ดูแลระบบ นโยบายจะไม่สามารถเขียนอะไรลงในคีย์รีจิสทรีของระบบที่ได้รับการป้องกันได้

  • ลบรายการนี้เมื่อไม่ได้ใช้อีกต่อไป - หากนโยบายนี้ไม่ได้ใช้กับไคลเอ็นต์อีกต่อไป การเปลี่ยนแปลงรีจิสทรีจะถูกลบโดยอัตโนมัติ

  • ใช้ครั้งเดียวและไม่ต้องสมัครซ้ำ - นโยบายจะใช้กับไคลเอนต์ (ผู้ใช้หรือคอมพิวเตอร์) เพียงครั้งเดียว ภายหลังจะไม่ถูกนำมาใช้ใหม่ หากหลังจากใช้ GPO แล้ว ผู้ใช้เปลี่ยนค่าของรายการรีจิสทรีด้วยตนเอง นโยบายจะไม่แทนที่ค่าในรอบการอัปเดตนโยบายถัดไป

  • การกำหนดเป้าหมายระดับรายการ - ช่วยให้คุณกำหนดเป้าหมายนโยบายไปยังไคลเอนต์ได้แม่นยำยิ่งขึ้น (คุณสามารถกำหนดเป้าหมายนโยบายไปยัง IP, เน็ตเวิร์กมาสก์, ชื่อคอมพิวเตอร์ หรือคอมพิวเตอร์ที่มีลักษณะเฉพาะบางอย่างได้ ซึ่งคล้ายกับวิธีที่คุณใช้ WMI ตัวกรองใน GPO) ตัวอย่างเช่น คุณสามารถระบุได้ว่าควรใช้พารามิเตอร์รีจิสทรีกับคอมพิวเตอร์ที่ใช้ Windows Server 2016 ใน AD OU ชื่อ Servers

นี่คือลักษณะของการตั้งค่า Group Policy ที่เป็นผลลัพธ์ในคอนโซล GPMC (บนแท็บการตั้งค่า)

GPO: นำเข้าข้อมูลรีจิสทรีจากไฟล์ REG

การตั้งค่านโยบายกลุ่มของรีจิสทรีช่วยให้ผู้ดูแลระบบสามารถนำเข้าไฟล์ .REG ที่มีรายการรีจิสทรีหลายรายการลงในนโยบายกลุ่มพร้อมกันได้ ในการทำเช่นนี้ ไฟล์ REG จะต้องแปลงเป็น XML (ตัวแก้ไขนโยบายกลุ่มอนุญาตให้คุณนำเข้าไฟล์ในรูปแบบ XML เท่านั้น)

ตัวอย่างเช่น คุณมีคอมพิวเตอร์อ้างอิงซึ่งมีการกำหนดค่าบางอย่างผ่านรีจิสทรี คุณสามารถส่งออกการตั้งค่าเหล่านี้ไปยังไฟล์ REG ได้โดยการคลิกขวาที่ชื่อคีย์ reg ใน regedit.exe แล้วเลือก ส่งออก

บันทึกรายการคีย์รีจิสทรีลงในไฟล์ REG

หากไฟล์ REG ของคุณมีข้อมูลจากกลุ่มรีจิสทรีต่างๆ (HKLM, HKCU, HKEY_CLASSES_ROOT, HKEY_USERS) คุณต้องแบ่งไฟล์เหล่านี้ออกเป็นไฟล์ REG แยกกัน

ถัดไป คุณต้องแปลงไฟล์ REG นี้เป็นรูปแบบ XML คุณสามารถดำเนินการสนทนา reg->xml โดยใช้บริการออนไลน์ Reg2GPP https://www.runecasters.com.au/reg2gpp ด้วยสคริปต์ PowerShell RegToXML.ps1

คัดลอกไฟล์ XML ที่ได้ใน File Explorer แล้ววางลงในส่วน Registry ของตัวแก้ไขนโยบายกลุ่ม

ด้วยเหตุนี้ การตั้งค่ารีจิสทรีทั้งหมดจากไฟล์ REG ของคุณจะปรากฏในคอนโซล Group Policy และจะนำไปใช้กับคอมพิวเตอร์ของโดเมนเป้าหมาย

ตั้งค่าการอนุญาตคีย์รีจิสทรีด้วยนโยบายกลุ่ม

คุณสามารถใช้นโยบายกลุ่มเพื่อเปลี่ยนสิทธิ์การเข้าถึง (ACL) สำหรับคีย์รีจิสทรีเฉพาะได้ คุณสามารถใช้คุณสมบัตินี้เพื่อป้องกันไม่ให้ผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบเข้าถึงรีจิสตรีคีย์ที่ได้รับการป้องกัน หรือเพื่ออนุญาตให้ผู้ใช้ทั่วไปมีสิทธิ์แก้ไขคีย์ระบบ

คุณสามารถกำหนดการตั้งค่า ACL ของรีจิสทรีได้ในส่วน GPO การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า Windows -> การตั้งค่าความปลอดภัย -> รีจิสทรี แข็งแรง>

  1. เลือกเพิ่มคีย์;

  2. ใช้ Registry Browser ในตัวเพื่อค้นหาคีย์รีจิสทรีที่คุณต้องการ (หรือระบุเส้นทางด้วยตนเองในรูปแบบต่อไปนี้

    MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\DriverSearching

    );

  3. ตั้งค่า ACL ใหม่สำหรับคีย์รีจิสทรีของคุณที่คุณต้องการใช้ในหน้าต่างความปลอดภัยของฐานข้อมูล ในตัวอย่างนี้ ฉันต้องการอนุญาตให้ผู้ใช้ทำการเปลี่ยนแปลงใด ๆ กับคีย์รีจิสทรีที่ป้องกันโดยระบบ คุณต้องเลือกกลุ่ม ผู้ใช้ และให้สิทธิ์ ควบคุมทั้งหมด คุณสามารถเปิดใช้งานการสืบทอดสิทธิ์ไปยังคีย์ย่อยได้โดยใช้ตัวเลือก ขั้นสูง -> เปิดใช้งานการสืบทอด

    คุณสามารถเพิ่มหรือลบกลุ่มความปลอดภัย ผู้ใช้ และหลักการอื่นๆ จากเครื่องคอมพิวเตอร์หรือ Active Directory

  4. บันทึกการเปลี่ยนแปลงของคุณ สิทธิ์ของคีย์รีจิสทรีใหม่จะนำไปใช้กับไคลเอ็นต์หลังจากอัปเดต GPO แล้ว

จะแก้ไขรายการรีจิสทรีด้วยสคริปต์การเข้าสู่ระบบ GPO ได้อย่างไร

ก่อน Windows Server 2008 ไฟล์ BAT ของสคริปต์การเข้าสู่ระบบเท่านั้นที่สามารถใช้เพื่อปรับเปลี่ยนการตั้งค่ารีจิสทรีโดยใช้ GPO คุณต้องใช้คำสั่ง reg add หรือ reg import ในไฟล์ .bat เพื่อเปลี่ยนแปลงรีจิสทรี

ในการเปลี่ยนแปลงรีจิสทรีโดยใช้สคริปต์การเข้าสู่ระบบ GPO คุณต้องสร้างไฟล์ข้อความ myreg.bat ด้วยคำสั่งที่จำเป็น ตัวอย่างเช่น:

  • คำสั่งทั้งสองนี้อนุญาตให้คุณกำหนดการตั้งค่าพร็อกซีใน Windows (เรียกใช้ผ่านสคริปต์เริ่มต้นในการกำหนดค่าคอมพิวเตอร์):

    reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 1 /f
reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer /t REG_SZ /d yourproxyadress:proxyport /f

  • คำสั่งสองคำสั่งต่อไปนี้จะล้างประวัติการเชื่อมต่อ RDP ของไคลเอ็นต์ ในตัวอย่างนี้ สคริปต์ต้องถูกเรียกใช้จากส่วนสคริปต์การเข้าสู่ระบบในการกำหนดค่าผู้ใช้ เนื่องจากเรากำลังเข้าถึงกลุ่มรีจิสทรีของผู้ใช้:

    reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f

  • คำสั่งสุดท้ายให้คุณนำเข้ารีจิสตรีคีย์ทั้งหมดจากไฟล์ REG ( เพื่อส่งออกรีจิสตรีคีย์ในเครื่อง ให้ใช้คำสั่งต่อไปนี้: reg export HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate c:\WindowsUpdateRegFile เร็ก):

    reg import "%~dp0"WindowsUpdateRegFile.reg

หากต้องการใช้พาธไปยังไดเร็กทอรีปัจจุบันซึ่งมีสคริปต์ BAT อยู่ ให้ใช้วิธีพิเศษ

%~dp0

ใช้พารามิเตอร์

คัดลอก *.bat ของคุณ (และ *.reg หากคุณต้องการนำเข้า) ไปยังไดเร็กทอรี Netlogon บนตัวควบคุมโดเมน (

\\a-d.loc\netlogon

).

เปิด GPO ของคุณและไปที่ การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า Windows -> สคริปต์ -> การเริ่มต้น
คลิก เพิ่ม และระบุเส้นทาง UNC ไปยังไฟล์ค้างคาวของคุณใน NETLOGON

ครั้งต่อไปที่คุณรีสตาร์ท Windows ไฟล์ BAT ของคุณจะเรียกใช้และทำการเปลี่ยนแปลงกับรีจิสทรี

ตามค่าเริ่มต้น ไฟล์ค้างคาวนี้จะถูกเรียกใช้ทุกครั้งที่คุณรีสตาร์ทคอมพิวเตอร์ คุณสามารถกำหนดค่า GPO เพื่อเรียกใช้สคริปต์เพียงครั้งเดียว

บทความที่เกี่ยวข้อง