การจัดการนโยบายกลุ่ม

นโยบายกลุ่มคือเทคโนโลยีการจัดการ Active Directory สำหรับ Windows ที่ให้การจัดการการตั้งค่าการกำหนดค่าแบบรวมศูนย์ แม้ว่าจะไม่ใช่โซลูชันการจัดการเพียงอย่างเดียวที่พร้อมใช้งาน แต่คุณสามารถใช้ PowerShell Desired State Configuration (DSC) และ Mobile Device Management (MDM) ได้เช่นกัน - นโยบายกลุ่มเป็นเทคโนโลยีที่แนะนำสำหรับอุปกรณ์ไคลเอ็นต์ที่เข้าร่วมโดเมน เนื่องจากให้การควบคุมที่ละเอียดมากกว่าอื่นๆ โซลูชั่น

คอนโซลการจัดการนโยบายกลุ่ม

การตั้งค่านโยบายกลุ่มได้รับการกำหนดค่าในวัตถุนโยบายกลุ่ม (GPO) คุณสามารถเชื่อมโยง GPO กับโดเมน ไซต์ และหน่วยองค์กร (OU) ได้ เพื่อการควบคุมที่มากยิ่งขึ้น สามารถใช้ GPO ตามผลลัพธ์ของตัวกรอง Windows Management Instrumentation (WMI) แม้ว่าตัวกรอง WMI ควรใช้เท่าที่จำเป็น เนื่องจากตัวกรองเหล่านี้สามารถเพิ่มเวลาการประมวลผลนโยบายได้อย่างมาก

คอนโซลการจัดการนโยบายกลุ่ม (GPMC) เป็นเครื่องมือการดูแลระบบ Windows ในตัวที่ช่วยให้ผู้ดูแลระบบสามารถจัดการนโยบายกลุ่มในฟอเรสต์ Active Directory และรับข้อมูลสำหรับการแก้ไขปัญหานโยบายกลุ่ม คุณสามารถค้นหาคอนโซลการจัดการนโยบายกลุ่มได้ในเมนูเครื่องมือของ Microsoft Windows Server Manager ไม่ใช่แนวทางปฏิบัติที่ดีที่สุดในการใช้ตัวควบคุมโดเมนสำหรับงานการจัดการในแต่ละวัน ดังนั้นคุณควรติดตั้ง Remote Server Administration Tools (RSAT) สำหรับ Windows เวอร์ชันของคุณ

การติดตั้งคอนโซลการจัดการนโยบายกลุ่ม

หากคุณใช้ Windows 10 เวอร์ชัน 1809 ขึ้นไป คุณจะติดตั้ง GPMC ได้โดยใช้แอปการตั้งค่า ดังนี้

1. เปิดแอปการตั้งค่าโดยกด WIN + I
2. คลิก แอป ใต้การตั้งค่า Windows
3. คลิก จัดการคุณลักษณะเสริม
4. คลิก + เพิ่มคุณลักษณะ
5. คลิก RSAT: เครื่องมือการจัดการนโยบายกลุ่ม จากนั้นคลิก ติดตั้ง

รูปที่ 1 การติดตั้งคอนโซลการจัดการนโยบายกลุ่มโดยใช้อินเทอร์เฟซการตั้งค่าแอป

หากคุณใช้ Windows เวอร์ชันเก่า คุณจะต้องดาวน์โหลด RSAT เวอร์ชันที่ถูกต้องจากเว็บไซต์ของ Microsoft

เพื่อความสะดวก คุณอาจต้องการติดตั้ง Server Manager ด้วย แต่หากคุณเลือกที่จะไม่เพิ่ม คุณสามารถเพิ่ม GPMC ลงใน Microsoft Management Console (MMC) และบันทึกคอนโซลได้

การใช้คอนโซลการจัดการนโยบายกลุ่ม

ทุกโดเมน AD มี GPO เริ่มต้นสองรายการ:

• นโยบายโดเมนเริ่มต้น ซึ่งเชื่อมโยงกับโดเมน
• นโยบายตัวควบคุมโดเมนเริ่มต้น ซึ่งเชื่อมโยงกับ OU ของตัวควบคุมโดเมน

คุณสามารถดู GPO ทั้งหมดในโดเมนได้โดยการคลิกคอนเทนเนอร์ Group Policy Objects ในบานหน้าต่างด้านซ้ายของ GPMC

รูปที่ 2 อินเทอร์เฟซของคอนโซลการจัดการนโยบายกลุ่ม

สร้างวัตถุนโยบายกลุ่มใหม่

อย่าเปลี่ยนนโยบายตัวควบคุมโดเมนเริ่มต้นหรือนโยบายโดเมนเริ่มต้น วิธีที่ดีที่สุดในการเพิ่มการตั้งค่าของคุณเองคือการสร้าง GPO ใหม่ มีสองวิธีในการสร้าง GPO ใหม่:

• คลิกขวาที่โดเมน ไซต์ หรือ OU ที่คุณต้องการเชื่อมโยง GPO ใหม่ และเลือก สร้าง GPO ในโดเมนนี้ และเชื่อมโยงที่นี่... เมื่อคุณบันทึก GPO ใหม่ GPO นั้นจะถูกเชื่อมโยง และเปิดใช้งานได้ทันที
• คลิกขวาที่คอนเทนเนอร์ Group Policy Objects และเลือก ใหม่ จากเมนู คุณจะต้องเชื่อมโยง GPO ใหม่ด้วยตนเองโดยคลิกขวาที่โดเมน ไซต์ หรือ OU แล้วเลือก เชื่อมโยง GPO ที่มีอยู่ คุณสามารถดำเนินการนี้ได้ตลอดเวลา

ไม่ว่าคุณจะสร้าง GPO ใหม่อย่างไร ในกล่องโต้ตอบ New GPO คุณต้องตั้งชื่อให้กับ GPO และคุณสามารถเลือกที่จะยึดตาม GPO ที่มีอยู่ได้ ดูส่วนถัดไปสำหรับข้อมูลเกี่ยวกับตัวเลือกอื่นๆ

แก้ไขวัตถุนโยบายกลุ่ม

หากต้องการแก้ไข GPO ให้คลิกขวาที่ GPO ใน GPMC แล้วเลือก แก้ไข จากเมนู ตัวแก้ไขการจัดการนโยบายกลุ่ม Active Directory จะเปิดขึ้นในหน้าต่างแยกต่างหาก

รูปที่ 3 อินเทอร์เฟซของตัวแก้ไขการจัดการนโยบายกลุ่ม

GPO แบ่งออกเป็นการตั้งค่าคอมพิวเตอร์และผู้ใช้ การตั้งค่าคอมพิวเตอร์จะถูกใช้เมื่อ Windows เริ่มทำงาน และการตั้งค่าผู้ใช้จะถูกใช้เมื่อผู้ใช้เข้าสู่ระบบ การประมวลผลเบื้องหลังของนโยบายกลุ่มจะใช้การตั้งค่าเป็นระยะๆ หากตรวจพบการเปลี่ยนแปลงใน GPO

นโยบายเทียบกับการตั้งค่า

การตั้งค่าผู้ใช้และคอมพิวเตอร์แบ่งออกเป็นนโยบายและการตั้งค่าเพิ่มเติม:

• นโยบาย ห้ามสักรีจิสทรี — เมื่อการตั้งค่าใน GPO มีการเปลี่ยนแปลงหรือ GPO อยู่นอกขอบเขต การตั้งค่านโยบายจะถูกลบออก และใช้ค่าดั้งเดิมแทน การตั้งค่านโยบายจะแทนที่การตั้งค่าการกำหนดค่าของแอปพลิเคชันเสมอ และจะเป็นสีเทาเพื่อให้ผู้ใช้ไม่สามารถแก้ไขได้
• ค่ากำหนด สักที่รีจิสทรีตามค่าเริ่มต้น แต่ลักษณะการทำงานนี้สามารถกำหนดค่าได้สำหรับการตั้งค่ากำหนดแต่ละรายการ การตั้งค่าจะเขียนทับการตั้งค่าการกำหนดค่าของแอปพลิเคชัน แต่อนุญาตให้ผู้ใช้เปลี่ยนรายการการกำหนดค่าได้เสมอ รายการที่สามารถกำหนดค่าได้หลายรายการในการตั้งค่านโยบายกลุ่มคือรายการที่อาจได้รับการกำหนดค่าก่อนหน้านี้โดยใช้สคริปต์การเข้าสู่ระบบ เช่น การแมปไดรฟ์และการกำหนดค่าเครื่องพิมพ์

คุณสามารถขยายนโยบายหรือการตั้งค่าเพื่อกำหนดการตั้งค่าได้ การตั้งค่าเหล่านี้จะถูกนำไปใช้กับวัตถุคอมพิวเตอร์และผู้ใช้ที่อยู่ในขอบเขตของ GPO ตัวอย่างเช่น หากคุณเชื่อมโยง GPO ใหม่ของคุณกับ OU ของตัวควบคุมโดเมน การตั้งค่าจะถูกนำไปใช้กับวัตถุคอมพิวเตอร์และผู้ใช้ที่อยู่ใน OU นั้นและ OU ย่อยใดๆ คุณสามารถใช้การตั้งค่าการสืบทอดบล็อกบนไซต์ โดเมน หรือ OU เพื่อหยุด GPO ที่เชื่อมโยงกับวัตถุหลักจากการนำไปใช้กับวัตถุลูก คุณยังสามารถตั้งค่าสถานะบังคับใช้บน GPO แต่ละรายการ ซึ่งจะแทนที่การตั้งค่าการสืบทอดบล็อกและรายการการกำหนดค่าใดๆ ใน GPO ที่มีความสำคัญสูงกว่า

ลำดับความสำคัญของ GPO

GPO หลายรายการสามารถเชื่อมโยงกับโดเมน ไซต์ และ OU ได้ เมื่อคุณคลิกที่วัตถุใดวัตถุหนึ่งเหล่านี้ใน GPMC รายการ GPO ที่เชื่อมโยงจะปรากฏทางด้านขวาบนแท็บวัตถุนโยบายกลุ่มที่เชื่อมโยง หากมี GPO ที่เชื่อมโยงมากกว่าหนึ่ง GPO ที่มีหมายเลขลำดับลิงก์ที่สูงกว่าจะมีลำดับความสำคัญมากกว่าการตั้งค่าที่กำหนดค่าใน GPO ที่มีหมายเลขต่ำกว่า

คุณสามารถเปลี่ยนหมายเลขลำดับลิงก์ได้โดยการคลิกที่ GPO และใช้ลูกศรทางด้านซ้ายเพื่อเลื่อนขึ้นหรือลง แท็บการสืบทอดนโยบายกลุ่มจะแสดง GPO ที่นำไปใช้ทั้งหมด รวมถึงที่สืบทอดมาจากวัตถุหลัก

รูปที่ 4 ข้อมูลเกี่ยวกับ GPO ทั้งหมดที่นำไปใช้ใน GPMC

การจัดการนโยบายกลุ่มขั้นสูง

Advanced Group Policy Management (AGPM) พร้อมใช้งานโดยเป็นส่วนหนึ่งของ Microsoft Desktop Optimization Pack (MDOP) สำหรับลูกค้า Software Assurance AGPM เป็นแอปพลิเคชันไคลเอนต์/เซิร์ฟเวอร์ซึ่งต่างจาก GPMC โดยที่ส่วนประกอบเซิร์ฟเวอร์จัดเก็บ GPO แบบออฟไลน์ รวมถึงประวัติสำหรับ GPO แต่ละรายการ GPO ที่จัดการโดย AGPM เรียกว่า GPO ที่มีการควบคุม เนื่องจากได้รับการจัดการโดยบริการ AGPM และผู้ดูแลระบบสามารถตรวจสอบเข้าและออกได้ เช่นเดียวกับที่คุณอาจตรวจสอบไฟล์หรือรหัสเข้าและออกจาก GitHub หรือระบบการจัดการเอกสาร

AGPM ให้การควบคุม GPO ที่ดียิ่งกว่าที่เป็นไปได้ด้วย GPMC นอกเหนือจากการให้การควบคุมเวอร์ชันแล้ว ยังช่วยให้คุณสามารถมอบหมายบทบาท เช่น ผู้ตรวจสอบ ผู้แก้ไข และผู้อนุมัติ ให้กับผู้ดูแลระบบนโยบายกลุ่ม ซึ่งช่วยให้คุณใช้การควบคุมการเปลี่ยนแปลงที่เข้มงวดตลอดวงจรชีวิตของ GPO ทั้งหมด การตรวจสอบ AGPM ยังให้ข้อมูลเชิงลึกมากขึ้นเกี่ยวกับการเปลี่ยนแปลงนโยบายกลุ่ม