วิธีสำรองและคัดลอกการตั้งค่านโยบายกลุ่มในเครื่องไปยังคอมพิวเตอร์เครื่องอื่น

นโยบายกลุ่มใช้เพื่อกำหนดการตั้งค่าจากส่วนกลางสำหรับคอมพิวเตอร์และผู้ใช้ใน Windows หากคอมพิวเตอร์ของคุณเข้าร่วมกับโดเมน Windows คุณสามารถใช้โดเมน GPO เพื่อนำคอมพิวเตอร์ทั้งหมดภายในโดเมน Active Directory เข้าสู่การกำหนดค่าเดียว หากคุณไม่มีโดเมน คุณสามารถใช้นโยบายกลุ่มในเครื่องเพื่อกำหนดการตั้งค่าสำหรับคอมพิวเตอร์เครื่องเดียว (ตัวแก้ไขนโยบายกลุ่มในเครื่องจะเริ่มต้นด้วย

gpedit.msc

สั่งการ). ในบทความนี้ เราจะแสดงวิธีสำรอง GPO ในเครื่องและคัดลอกการตั้งค่านโยบายในเครื่องไปยังคอมพิวเตอร์เครื่องอื่น

หากเครือข่ายของคุณใช้เวิร์กกรุ๊ปของ Windows คุณสามารถใช้ Group Policy ในเครื่องเพื่อให้คอมพิวเตอร์ทุกเครื่องมีการกำหนดค่าเดียวกัน ในการทำเช่นนี้ คุณต้องกำหนดค่าตัวเลือก GPO ภายในเครื่องบนคอมพิวเตอร์อ้างอิง จากนั้นคัดลอกและใช้การตั้งค่าเหล่านี้กับคอมพิวเตอร์เครื่องอื่น

วิธีคัดลอกการตั้งค่า GPO ในเครื่องไปยังคอมพิวเตอร์เครื่องอื่นด้วยตนเอง

Windows ไม่มีเครื่องมือในตัวสำหรับสำรองข้อมูล นำเข้า ส่งออก หรือย้ายการตั้งค่า GPO ในเครื่อง Windows เก็บการตั้งค่าเทมเพลตการจัดการ Group Policy ในเครื่องไว้ในไฟล์ Registry.pol ภายใต้เส้นทางต่อไปนี้:

• %SystemRoot%\System32\GroupPolicy\Machine\

• %SystemRoot%\System32\GroupPolicy\User\

ดังนั้น วิธีที่ง่ายที่สุดในการถ่ายโอนการตั้งค่า Group Policy ในเครื่องระหว่างคอมพิวเตอร์คือการคัดลอกและแทนที่เนื้อหาของ

%systemroot%\System32\GroupPolicy

โฟลเดอร์จากคอมพิวเตอร์เครื่องหนึ่งไปยังอีกเครื่องหนึ่ง คุณต้องอัปเดตการตั้งค่า Group Policy ด้วยตนเองด้วย

gpupdate /force

คำสั่งหรือรีสตาร์ท Windows หลังจากแทนที่ไฟล์ GPO

ข้อเสียเปรียบหลักของวิธีการย้าย GPO นี้:

1. การตั้งค่าจากเทมเพลตความปลอดภัยในเครื่องจะไม่ถูกคัดลอก

2. ข้อผิดพลาดอาจเกิดขึ้นเมื่อใช้ GPO หากเวอร์ชันของ Windows บนคอมพิวเตอร์เป้าหมายแตกต่างกัน

3. คุณไม่สามารถนำเข้าการตั้งค่า GPO ในเครื่องไปยังคอนโซลการจัดการนโยบายกลุ่มของโดเมน (

   gpmc.msc

   );

4. มีปัญหาบางอย่างเกี่ยวกับการย้ายการตั้งค่าจากเทมเพลต ADMX แบบกำหนดเอง

วิธีการสำรองข้อมูล (ส่งออก) นโยบายกลุ่มภายในด้วย LGPO.exe

Microsoft แนะนำให้ใช้เครื่องมือคอนโซล LGPO.exe สำหรับการสำรอง/นำเข้า/ส่งออก และถ่ายโอนการตั้งค่า Group Policy ในเครื่อง LGPO (เวอร์ชันปัจจุบัน 3.0) รวมอยู่ใน Microsoft Security Compliance Toolkit และสามารถดาวน์โหลดได้ที่นี่ https://www.microsoft.com/en-us/download/details.aspx?id=55319

นี้

LGPO.exe

ยูทิลิตี้ช่วยให้คุณ:

• ส่งออกการตั้งค่านโยบายกลุ่มภายในไปยังไฟล์

• นำเข้าการตั้งค่า GPO จากข้อมูลสำรอง อนุญาตให้นำเข้าไฟล์ Registry.pol เทมเพลตความปลอดภัย และไฟล์ CSV

• แปลงไฟล์ Registry.pol เป็นรูปแบบ LGPO ที่อ่านได้และในทางกลับกัน

ในการสำรองข้อมูล (ส่งออก) การตั้งค่า GPO ในเครื่องปัจจุบันไปยังไดเร็กทอรีที่ระบุ ให้ใช้คำสั่ง:

LGPO.exe /b c:\tools\GPO

เครื่องมือจะบันทึกการตั้งค่านโยบายท้องถิ่นในโฟลเดอร์ที่มีชื่อ GUID แบบสุ่ม ไดเร็กทอรีนี้มีไฟล์ที่จำเป็นทั้งหมดที่จำเป็นสำหรับการกู้คืนการตั้งค่า GPO ในเครื่องหรือนำไปใช้กับคอมพิวเตอร์เครื่องอื่น

Restore-GPO -Name Win10Settings -Path C:\Backup\GPO_W10\

หากต้องการดูการตั้งค่า GPO ปัจจุบันในไฟล์ Registry.pol ให้เรียกใช้คำสั่งต่อไปนี้:

lgpo.exe /parse /m "C:\Tools\GPO\{985966AD-21BE-4A9C-BF7D-26C879982067}\DomainSysvol\GPO\Machine\registry.pol" >>c:\tools\gpo\lgpo.txt

ไฟล์ข้อความ lgpo.txt เป้าหมายมีการตั้งค่ารีจิสทรีที่ใช้โดยนโยบายนี้

คุณสามารถแก้ไขไฟล์ lgpo.txt และแปลงเป็นรูปแบบ Registry.pol ได้ด้วยตนเอง:

LGPO.exe /r "C:\tools\GPO\lgpo.txt" /w "C:\tools\GPO\registry_new.pol"

หากต้องการใช้การตั้งค่าใหม่จากไฟล์ Registry_new.pol กับนโยบายภายในเครื่องปัจจุบันของคอมพิวเตอร์:

LGPO.exe /m "C:\tools\GPO\registry_new.pol"

นำเข้า (กู้คืน) การตั้งค่านโยบายกลุ่มภายในบน Windows

หากต้องการนำเข้า (กู้คืน) การตั้งค่า GPO ในเครื่องจากข้อมูลสำรองบนคอมพิวเตอร์เครื่องอื่น คุณต้องคัดลอกไดเร็กทอรี GUID ของนโยบายไปยังคอมพิวเตอร์เป้าหมายและเรียกใช้คำสั่ง:

LGPO.exe /g C:\tools\GPO\

ผู้ดูแลระบบบางคนใช้นโยบายกลุ่มภายในหลายรายการ (MLGPO) เพื่อใช้การตั้งค่า GPO ในเครื่องแต่ละรายการเฉพาะกับกลุ่มเฉพาะ (ผู้ที่ไม่ใช่ผู้ดูแลระบบหรือผู้ดูแลระบบ) หรือผู้ใช้ ตามค่าเริ่มต้น lgpo.exe จะไม่ส่งออกการตั้งค่า MLGPO

สิ่งต่อไปที่เราจะดูคือวิธีคัดลอกการตั้งค่า MLGPO สำหรับผู้ใช้หรือกลุ่มเฉพาะไปยังคอมพิวเตอร์เครื่องอื่น

เมื่อผู้ดูแลระบบสร้าง Local Policy ใหม่สำหรับผู้ใช้หรือกลุ่มเฉพาะ (MLGPO) ระบบจะสร้างโฟลเดอร์แยกต่างหากสำหรับ GPO นั้นใน

C:\Windows\System32\GroupPolicyUsers

ไดเรกทอรี SID ของผู้ใช้หรือกลุ่มใช้เป็นชื่อไดเร็กทอรี ตัวอย่างเช่น:

• S-1-5-32-545

  - ไม่ใช่ผู้ดูแลระบบ (BUILTIN\USERS)

• S-1-5-32-544

  - ผู้ดูแลระบบ (BUILTIN\ADMINISTRATORS)

ตัวอย่างเช่น คุณอาจต้องการคัดลอกการตั้งค่าของ GPO ภายในเครื่องสำหรับผู้ที่ไม่ใช่ผู้ดูแลระบบไปยังคอมพิวเตอร์เครื่องอื่น

• จากคอมพิวเตอร์อ้างอิง ให้คัดลอกไฟล์ Local Policy Settings จากไดเร็กทอรีที่มี SID ที่จำเป็น (

  C:\Windows\System32\GroupPolicyUsers\S-1-5-32-545\User\Registry.pol

  );

• เมื่อต้องการใช้ไฟล์ Registry.pol สำหรับผู้ที่ไม่ใช่ผู้ดูแลระบบบนคอมพิวเตอร์เป้าหมาย ให้รันคำสั่งต่อไปนี้:

  lgpo /un "C:\tmp\Registry.pol"

Import MLGPO settings for Non-Administrators from registry.pol

lgpo /ua "C:\tmp\Registry.pol"

lgpo /u:username "C:\tmp\Registry.pol"

ส่งออกและนำเข้าการตั้งค่านโยบายกลุ่มด้วย LocalGPO

ก่อนหน้านี้ สคริปต์ LocalGPO (ส่วนหนึ่งของ Microsoft Security Compliance Manager 3.0) ถูกใช้เพื่อนำเข้าและส่งออกการกำหนดค่า Group Policy ในเครื่อง เครื่องมือ LocalGPO ช่วยให้คุณสร้างสำเนาสำรองของ GPO ในเครื่องได้อย่างรวดเร็วและกู้คืนการตั้งค่านโยบายในเครื่องจากนั้น นอกจากนี้ยังมีตัวเลือกที่น่าสนใจในการสร้างไฟล์ปฏิบัติการ GPOPack ที่ให้คุณโอนย้าย (นำเข้า) การตั้งค่า GPO ในเครื่องไปยังเครื่องอื่นได้ด้วยคลิกเดียว

หากต้องการส่งออกการตั้งค่า Group Policy ในเครื่องไปยังไดเร็กทอรี C:\GPObackup (ต้องสร้างโฟลเดอร์เป้าหมายล่วงหน้า):

cscript LocalGPO.wsf /Path:C:\GPObackup /Export

ยูทิลิตี้ LocalGPO ช่วยให้คุณสามารถส่งออกการตั้งค่า MLGPO สำหรับกลุ่มหรือผู้ใช้เฉพาะไปยังไดเร็กทอรีแยกต่างหาก ไวยากรณ์ที่ใช้:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Administrators

หรือ

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:LocalUserName

หากต้องการคืนค่าการตั้งค่านโยบายกลุ่มในเครื่องจากสำเนาสำรองก่อนหน้า:

cscript LocalGPO.wsf /Path:C:\GPObackup\{B6542366-C0C0-4948-AF39-B17F0B1F0E9A}

LocalGPO อนุญาตให้คุณรีเซ็ตการตั้งค่า Group Policy ในเครื่องทั้งหมดเป็นค่าเริ่มต้น:

cscript LocalGPO.wsf /Restore