สุดยอดคู่มือการจัดการนโยบายกลุ่มใน Active Directory

ความรู้เบื้องต้นเกี่ยวกับการจัดการนโยบายกลุ่ม

นโยบายกลุ่มเป็นคุณลักษณะของระบบปฏิบัติการ Microsoft Windows ที่ช่วยให้ผู้ดูแลระบบจัดการและรักษาความปลอดภัยผู้ใช้และคอมพิวเตอร์ในสภาพแวดล้อม Active Directory การตั้งค่านโยบายกลุ่มจะถูกจัดกลุ่มเป็นวัตถุนโยบายกลุ่ม (GPO) และนำไปใช้กับวัตถุคอมพิวเตอร์และผู้ใช้ภายในขอบเขตของ GPO

ตัวอย่างเช่น คุณสามารถใช้วัตถุนโยบายกลุ่มในการจัดการ:

• การกำหนดค่า เช่น การตั้งค่าเดสก์ท็อป สคริปต์เริ่มต้น และสคริปต์การเข้าสู่ระบบ/ออกจากระบบ
• ความปลอดภัย รวมถึงนโยบายรหัสผ่าน Active Directory (AD) นโยบายการล็อคบัญชี และการตั้งค่าไฟร์วอลล์
• การเข้าถึง ทรัพยากรเครือข่าย เช่น โฟลเดอร์ที่ใช้ร่วมกัน เครื่องพิมพ์ และแอปพลิเคชัน
• การใช้งานซอฟต์แวร์ รวมถึงการติดตั้งซอฟต์แวร์บนเครื่องที่เลือก และการกำหนดเวลาแพตช์และการอัปเดต

คู่มือนี้จะอธิบายองค์ประกอบสำคัญของการจัดการนโยบายกลุ่ม

เครื่องมือการจัดการนโยบายกลุ่ม

ในการจัดการ GPO ผู้ดูแลระบบใช้ Group Policy Management Console (GPMC) คุณสามารถเข้าถึงตัวแก้ไขนโยบายกลุ่มโดเมนได้จากเมนูเครื่องมือของ Windows Server Manager

คุณสามารถดู GPO ทั้งหมดในโดเมนได้โดยการคลิกคอนเทนเนอร์วัตถุนโยบายกลุ่มในบานหน้าต่างด้านซ้ายของคอนโซลการจัดการนโยบายกลุ่ม ด้านล่างนี้ คุณจะเห็นว่าโดเมน AD ad.contoso.com มี GPO เพียงรายการเดียว นโยบายโดเมนเริ่มต้น:

คอนโซลการจัดการนโยบายกลุ่มประกอบด้วยตัวแก้ไขนโยบายกลุ่มดังที่แสดงไว้ที่นี่:

ประเภทของการตั้งค่านโยบายกลุ่ม

แผงด้านซ้ายของภาพหน้าจอด้านล่างแสดงประเภทการตั้งค่าใน GPO:

อย่างที่คุณเห็น มีสองหมวดหมู่หลัก: การกำหนดค่าคอมพิวเตอร์ และ การกำหนดค่าผู้ใช้

แต่ละนโยบายมี นโยบาย และ การตั้งค่า ซึ่งคุณสามารถขยายเพื่อกำหนดค่าได้:

• การตั้งค่าซอฟต์แวร์
• การตั้งค่า Windows
• เทมเพลตการดูแลระบบ

นโยบายเทียบกับการตั้งค่า

นโยบายและการตั้งค่าสามารถใช้เพื่อจัดการการตั้งค่าสำหรับคอมพิวเตอร์ Active Directory และออบเจ็กต์ผู้ใช้ ความแตกต่างหลักมีดังนี้:

• นโยบาย ไม่สามารถเปลี่ยนแปลงได้โดยผู้ใช้ ดังนั้น การตั้งค่าที่เกี่ยวข้องกับความปลอดภัยและการปฏิบัติตามกฎระเบียบจึงควรจัดทำไว้ในนโยบาย ตัวอย่างได้แก่ นโยบายรหัสผ่าน นโยบายการล็อคบัญชี นโยบายไฟร์วอลล์ และนโยบายข้อจำกัดของซอฟต์แวร์
• ผู้ใช้สามารถเปลี่ยน ค่ากำหนด ได้ ดังนั้นจึงควรใช้เฉพาะกับประสบการณ์ผู้ใช้และการตั้งค่าสภาพแวดล้อมเท่านั้น ตัวอย่างเช่น คุณอาจจัดเตรียมชุดมาตรฐานของไดรฟ์เครือข่ายที่แมป เครื่องพิมพ์ หรือทางลัดบนเดสก์ท็อป แต่การสร้างไดรฟ์เหล่านั้นผ่านการตั้งค่าจะช่วยให้ผู้ใช้สามารถปรับให้ตรงตามความต้องการของตนเองได้

การติดตั้งคอนโซลการจัดการนโยบายกลุ่มบน Windows Server

หากต้องการติดตั้งคอนโซลการจัดการนโยบายกลุ่มบน Windows Server ให้ทำตามขั้นตอนเหล่านี้:

• เปิดตัว Server Manager โดยคลิกที่เมนู Start และเลือก Server Manager
• ใน Server Manager คลิก จัดการ จากเมนูด้านบน จากนั้นเลือก เพิ่มบทบาทและคุณลักษณะ

• เลือกการติดตั้งตามบทบาทหรือคุณลักษณะ และคลิกถัดไป

• เลือกเซิร์ฟเวอร์ที่คุณต้องการติดตั้ง GPMC และคลิก ถัดไป

• ในหน้า "เลือกบทบาทเซิร์ฟเวอร์" ให้คลิก ถัดไป เนื่องจากเราไม่ได้เพิ่มบทบาท
• เลื่อนลงค้นหา “การจัดการนโยบายกลุ่ม” และทำเครื่องหมายที่ช่องถัดจากนั้น

• คลิก "ถัดไป" ข้อความยืนยันเมื่อการติดตั้งเสร็จสิ้น คลิก "ปิด" เพื่อออกจากวิซาร์ด

การติดตั้งคอนโซลการจัดการนโยบายกลุ่มบน Windows

หากคุณใช้ Windows 10 เวอร์ชัน 1809 ขึ้นไป คุณจะติดตั้ง GPMC ได้โดยใช้แอปการตั้งค่า ดังนี้

1. เปิดการตั้งค่าโดยกด WIN + I
2. ค้นหาคุณลักษณะเสริม
3. คลิก + เพิ่มคุณลักษณะ
4. คลิก RSAT: เครื่องมือการจัดการนโยบายกลุ่ม แล้วคลิก ติดตั้ง

หากคุณใช้ Windows เวอร์ชันเก่า คุณจะต้องดาวน์โหลด RSAT เวอร์ชันที่ถูกต้องจากเว็บไซต์ของ Microsoft

วิธีการสร้าง GPO

หากต้องการสร้างวัตถุนโยบายกลุ่มใหม่:

• เปิดตัวจัดการเซิร์ฟเวอร์ คลิก เครื่องมือ ที่มุมขวาบน และเลือก การจัดการนโยบายกลุ่ม จากเมนูแบบเลื่อนลง

• ในคอนโซลการจัดการนโยบายกลุ่ม ให้ขยายฟอเรสต์และโดเมนที่คุณต้องการเชื่อมโยง GPO

  • คลิกขวาที่ OU โดเมน หรือไซต์ที่คุณต้องการเชื่อมโยง GPO และเลือกตัวเลือก สร้าง ที่เกี่ยวข้อง เช่น สร้าง GPO ในโดเมนนี้ และเชื่อมโยงที่นี่...

• ป้อนชื่อที่สื่อความหมายสำหรับ GPO ใหม่แล้วคลิก ตกลง

วิธีแก้ไข GPO

หากต้องการแก้ไขนโยบายกลุ่มในคอนโซลการจัดการนโยบายกลุ่ม ให้ทำตามขั้นตอนต่อไปนี้:

• ขยายฟอเรสต์และโดเมนที่ GPO เป็นเจ้าของ
• นำทางไปยัง OU โดเมน หรือไซต์ที่เชื่อมโยง GPO
• คลิกขวาที่ GPO ที่คุณต้องการแก้ไข และเลือก แก้ไข

• ใน Group Policy Management Editor คลิกสองครั้งที่การตั้งค่านโยบายที่ต้องการ และแก้ไขตามความต้องการของคุณ

การตั้งค่าคอมพิวเตอร์จะถูกใช้เมื่อ Windows เริ่มทำงาน และการตั้งค่าผู้ใช้จะถูกใช้เมื่อผู้ใช้เข้าสู่ระบบ การประมวลผลเบื้องหลังของนโยบายกลุ่มจะใช้การตั้งค่าเป็นระยะๆ หาก GPO มีการเปลี่ยนแปลง

วิธีการเชื่อมโยง GPO

เพื่อให้มีผล GPO จะต้องเชื่อมโยงกับคอนเทนเนอร์ Active Directory อย่างน้อยหนึ่งคอนเทนเนอร์ เช่น OU โดเมน หรือไซต์ หากต้องการเชื่อมโยง GPO ให้ทำตามขั้นตอนต่อไปนี้:

• ในคอนโซลการจัดการนโยบายกลุ่ม ให้ขยายฟอเรสต์และโดเมนที่คุณต้องการเชื่อมโยง GPO
• คลิกขวาที่ OU โดเมน หรือไซต์ที่คุณต้องการเชื่อมโยง GPO และเลือก เชื่อมโยง GPO ที่มีอยู่

• เลือก GPO ที่คุณต้องการเชื่อมโยงจากรายการ GPO ที่พร้อมใช้งาน และคลิก ตกลง

วิธีเปิดใช้งานหรือปิดใช้งานลิงก์ GPO

เมื่อปิดใช้งานลิงก์ GPO การตั้งค่าจะไม่นำไปใช้กับออบเจ็กต์ในคอนเทนเนอร์ที่เชื่อมโยง ต่อไปนี้เป็นวิธีเปิดหรือปิดใช้งานลิงก์ GPO:

• ในคอนโซลการจัดการนโยบายกลุ่ม ขยายฟอเรสต์ Active Directory และโดเมนที่มี GPO ที่เชื่อมโยงอยู่
• ขยายคอนเทนเนอร์ที่เชื่อมโยง GPO และคลิกขวาที่ GPO
• ในเมนูบริบท ให้เลือก เปิดใช้งานลิงก์ เพื่อเปิดใช้งานลิงก์ หรือยกเลิกการทำเครื่องหมายเพื่อปิดใช้งานลิงก์

วิธีนำเข้าการตั้งค่า GPO

คุณสามารถกำหนดค่า GPO ได้โดยการนำเข้าการตั้งค่าจาก GPO สำรองหรือไฟล์เทมเพลต นี่คือวิธีการ:

• ในคอนโซลการจัดการนโยบายกลุ่ม ให้ไปที่ OU โดเมน หรือไซต์ที่มี GPO ที่คุณต้องการนำเข้าการตั้งค่า
• คลิกขวาที่ GPO ปลายทางแล้วเลือก style="color: Initial;">นำเข้าการตั้งค่า…
• เลือกไฟล์สำรองหรือไฟล์เทมเพลต (.admx หรือ .adml) ที่มีการตั้งค่า GPO ที่ต้องการ และคลิก style="color: Initial;">เปิด
• เนื่องจากตำแหน่งสำรองสามารถมี GPO ได้หลายรายการ ให้เลือกรายการที่คุณต้องการนำเข้าการตั้งค่า

• คลิก ถัดไป สองครั้ง ตรวจสอบข้อมูลสรุป และคลิก เสร็จสิ้น เพื่อเสร็จสิ้นกระบวนการนำเข้า

การสืบทอดและลำดับความสำคัญของ GPO

การสืบทอดนโยบายกลุ่มและลำดับความสำคัญจะกำหนดวิธีการใช้วัตถุนโยบายกลุ่มกับวัตถุ

มรดก

การสืบทอดนโยบายกลุ่มเป็นไปตามโครงสร้างลำดับชั้นของโดเมน AD และ OU นโยบายระดับโดเมนมีผลกับออบเจ็กต์ทั้งหมด (ผู้ใช้ คอมพิวเตอร์ กลุ่ม) ในโดเมน นโยบายระดับ OU ใช้กับออบเจ็กต์ภายใน OU ที่ระบุ นโยบายที่ใช้ในระดับที่สูงกว่าในลำดับชั้นจะได้รับการสืบทอดโดยออบเจ็กต์ย่อย ดังนั้น GPO ระดับโดเมนจึงได้รับการสืบทอดโดย OU ทั้งหมดในโดเมน และนโยบายที่เชื่อมโยงกับ OU จะได้รับการสืบทอดโดย OU ย่อยทั้งหมดที่ซ้อนอยู่ภายใต้ OU นั้น

อย่างไรก็ตาม คุณสามารถใช้การตั้งค่าการสืบทอดบล็อกบนไซต์ โดเมน หรือ OU เพื่อหยุด GPO ที่เชื่อมโยงกับวัตถุหลักจากการนำไปใช้กับวัตถุลูก การตั้งค่าสถานะบังคับใช้ในแต่ละ GPO จะแทนที่การตั้งค่าการสืบทอดบล็อก

หากต้องการดู GPO ที่วัตถุสืบทอดมาจากวัตถุหลัก ให้คลิกที่วัตถุใน GPMC และไปที่แท็บการสืบทอดนโยบายกลุ่ม

ลำดับความสำคัญ

โดเมน ไซต์ หรือ OU ที่ระบุสามารถมี GPO หลายรายการเชื่อมโยงอยู่ได้ และนโยบายเหล่านั้นอาจมีการตั้งค่าที่ขัดแย้งกัน ลำดับความสำคัญของนโยบายกลุ่มจะควบคุมลำดับการนำ GPO ไปใช้ และการตั้งค่าใดจะมีผลใช้บังคับ ยิ่งมีการใช้ GPO ในลำดับในภายหลัง ลำดับความสำคัญก็จะยิ่งสูงขึ้น

ลำดับการใช้นโยบายมีดังนี้:

• นโยบายกลุ่มท้องถิ่น
• GPO ระดับไซต์
• GPO ระดับโดเมน
• GPO ระดับ OU

หากต้องการดู GPO ที่เชื่อมโยงกับวัตถุ ให้คลิกที่วัตถุใน GPMC และไปที่แท็บวัตถุนโยบายกลุ่มที่เชื่อมโยง GPO ที่มีหมายเลขลำดับลิงก์ที่สูงกว่าจะมีลำดับความสำคัญมากกว่าที่มีหมายเลขที่ต่ำกว่า คุณสามารถเปลี่ยนหมายเลขลำดับลิงก์ได้โดยการคลิกที่ GPO และใช้ลูกศรทางด้านซ้ายเพื่อเลื่อนขึ้นหรือลง

การขยายนโยบายกลุ่ม

คุณสามารถขยายฟังก์ชันการทำงานของนโยบายกลุ่มได้โดยการผสานรวมคุณลักษณะเพิ่มเติม การตั้งค่าแบบกำหนดเอง หรือส่วนประกอบของบุคคลที่สาม ต่อไปนี้เป็นแง่มุมต่างๆ ของความสามารถในการขยายนโยบายกลุ่ม:

• เทมเพลตการดูแลระบบ (ไฟล์ .admx) — ผู้ดูแลระบบสามารถสร้างเทมเพลตที่กำหนดเองเพื่อจัดการการตั้งค่าเพิ่มเติมหรือกำหนดค่านโยบายที่กำหนดเอง
• การตั้งค่านโยบายกลุ่มแบบกำหนดเอง — คุณสามารถสร้างรายการการตั้งค่าแบบกำหนดเองได้โดยใช้ไฟล์ XML หรือสคริปต์ สิ่งเหล่านี้ช่วยให้คุณจัดการสิ่งต่างๆ เช่น ไดรฟ์ที่แมป เครื่องพิมพ์ การตั้งค่ารีจิสทรี ไฟล์ และทางลัดบนคอมพิวเตอร์ไคลเอนต์
• ส่วนขยายฝั่งไคลเอ็นต์ของนโยบายกลุ่ม (CSE) — คุณสามารถสร้าง CSE ที่กำหนดเองเพื่อเพิ่มการตั้งค่า นโยบาย หรืองานการจัดการเพิ่มเติม
• ตัวกรองนโยบายกลุ่มและตัวกรอง WMI — คุณสามารถสร้างตัวกรองเพื่อกำหนดเป้าหมายการตั้งค่านโยบายกลุ่มตามเกณฑ์เฉพาะ เช่น คุณลักษณะของผู้ใช้หรือคอมพิวเตอร์
• เครื่องมือนโยบายกลุ่มของบริษัทอื่น — โซลูชันของบริษัทอื่นให้ความสามารถในการจัดการเพิ่มเติม คุณลักษณะการรายงาน เครื่องมือตรวจสอบ และเทมเพลตนโยบาย

การสำรองข้อมูล GPO

สร้างการสำรองข้อมูล GPO ของคุณเป็นประจำเพื่อให้แน่ใจว่าคุณมีสำเนาล่าสุด ในกรณีที่มีการลบ การเสียหาย หรือการกำหนดค่าผิดพลาดโดยไม่ตั้งใจหรือเป็นอันตราย คุณควรสำรองข้อมูล GPO หลังจากทำการเปลี่ยนแปลงที่สำคัญหรือก่อนดำเนินการบำรุงรักษาที่อาจส่งผลต่อการตั้งค่านโยบายกลุ่ม

สร้างตำแหน่งส่วนกลางสำหรับจัดเก็บข้อมูลสำรอง GPO เพื่อให้เข้าถึงและจัดการได้ง่าย พิจารณาจัดระเบียบไฟล์สำรองข้อมูลตามโดเมน วันที่ หรือวัตถุประสงค์เพื่ออำนวยความสะดวกในการเรียกค้นและกู้คืน ใช้หลักการตั้งชื่อที่สื่อความหมายหรือข้อมูลเมตาเพื่อระบุเวอร์ชันสำรองและการเปลี่ยนแปลงที่เกี่ยวข้อง ใช้แนวทางปฏิบัติในการควบคุมเวอร์ชันเพื่อติดตามการเปลี่ยนแปลงของ GPO เมื่อเวลาผ่านไป และรักษาประวัติการสำรองข้อมูล

การสร้างแบบจำลองการเปลี่ยนแปลงการตั้งค่านโยบายกลุ่ม

การสร้างแบบจำลองนโยบายกลุ่มเป็นคุณลักษณะของ GPMC ที่ช่วยให้ผู้ดูแลระบบจำลองวิธีการทำงานของการตั้งค่านโยบายกลุ่มสำหรับผู้ใช้และคอมพิวเตอร์ในสภาพแวดล้อม Active Directory มีวิธีคาดการณ์ผลลัพธ์ของการใช้การตั้งค่านโยบายกลุ่มเฉพาะโดยไม่ต้องนำไปใช้

การจัดการนโยบายกลุ่มขั้นสูง

การจัดการนโยบายกลุ่มขั้นสูง (AGPM) เป็นส่วนประกอบ Microsoft Desktop Optimization Pack (MDOP) ที่ปรับปรุงการจัดการ การมอบหมาย การควบคุมเวอร์ชัน และการตรวจสอบออบเจ็กต์นโยบายกลุ่ม

ต่างจาก GPMC ตรงที่ AGPM เป็นแอปพลิเคชันไคลเอ็นต์/เซิร์ฟเวอร์ ส่วนประกอบเซิร์ฟเวอร์จัดเก็บ GPO และประวัติแบบออฟไลน์ GPO ที่จัดการโดย AGPM เรียกว่า GPO ที่มีการควบคุม ผู้ดูแลระบบสามารถตรวจสอบเข้าและออกได้ เช่นเดียวกับวิธีจัดการไฟล์หรือโค้ดใน GitHub หรือระบบการจัดการเอกสาร

AGPM ให้การควบคุม GPO มากกว่า GPMC นอกจากการควบคุมเวอร์ชันแล้ว คุณยังสามารถมอบหมายบทบาท เช่น ผู้ตรวจสอบ ผู้แก้ไข และผู้อนุมัติ ให้กับผู้ดูแลระบบนโยบายกลุ่มได้ สิ่งนี้อำนวยความสะดวกในการควบคุมการเปลี่ยนแปลงอย่างเข้มงวดตลอดวงจรชีวิตของ GPO การตรวจสอบ AGPM ยังให้ข้อมูลเชิงลึกเกี่ยวกับการเปลี่ยนแปลงในนโยบายกลุ่มอีกด้วย

คำถามที่พบบ่อย

การจัดการนโยบายกลุ่ม Active Directory คืออะไร

นโยบายกลุ่มเป็นคุณลักษณะหนึ่งของ Active Directory ที่ช่วยให้ผู้ดูแลระบบสามารถควบคุมการตั้งค่าการกำหนดค่าของผู้ใช้และคอมพิวเตอร์ได้ การจัดการนโยบายกลุ่มคือกระบวนการสร้างและรักษาการตั้งค่านโยบายกลุ่มที่บังคับใช้ความปลอดภัย ปรับใช้ซอฟต์แวร์ จัดการการกำหนดค่าเดสก์ท็อป และอื่นๆ

คุณจะเปิดคอนโซลการจัดการนโยบายกลุ่มได้อย่างไร

หากต้องการเปิดคอนโซลการจัดการนโยบายกลุ่ม Active Directory:

1. กด ปุ่ม Windows + R บนแป้นพิมพ์
2. ในกล่องโต้ตอบเรียกใช้ที่ปรากฏขึ้น ให้พิมพ์ gpmc msc และกด Enter หรือคลิก ตกลง

ฉันจะติดตั้งคอนโซลการจัดการนโยบายกลุ่มได้อย่างไร

หากต้องการติดตั้ง GPMC บน Windows Server ให้ทำตามขั้นตอนเหล่านี้:

1. เปิดตัวจัดการเซิร์ฟเวอร์ ปกติจะอยู่ในทาสก์บาร์ หรือจะอยู่ในเมนู Start ก็ได้
2. ใน Server Manager คลิก จัดการ ที่มุมบนขวา จากนั้นเลือก เพิ่มบทบาทและคุณลักษณะ
3. ในหน้าจอ "ก่อนที่คุณจะเริ่มต้น" คลิก ถัดไป
4. ในหน้าจอ "เลือกประเภทการติดตั้ง" ให้เลือกการติดตั้งตามบทบาทหรือตามคุณลักษณะ จากนั้นคลิก ถัดไป
5. เลือกเซิร์ฟเวอร์ที่คุณต้องการติดตั้งคุณลักษณะ GPMC และคลิก ถัดไป
6. ในหน้าจอ "เลือกคุณลักษณะ" ให้ทำเครื่องหมายที่ช่องถัดจาก การจัดการนโยบายกลุ่ม คลิกถัดไป
7. ตรวจสอบการเลือกของคุณและคลิก ติดตั้ง
8. รอให้กระบวนการติดตั้งเสร็จสิ้น เมื่อคุณเห็นข้อความยืนยัน ให้ปิด Server Manager

ผู้ใช้คนใดที่ได้รับสิทธิ์โดยอัตโนมัติเพื่อดำเนินงานการจัดการนโยบายกลุ่ม

กลุ่มเจ้าของ Group Policy Creator จะถูกสร้างขึ้นโดยอัตโนมัติเมื่อมีการสร้างฟอเรสต์ Active Directory สมาชิกของกลุ่มสามารถสร้าง แก้ไข และจัดการวัตถุ Group Policy ในระดับโดเมนได้ โดยทั่วไปกลุ่มนี้จะใช้เมื่อผู้ดูแลระบบต้องการมอบหมายการควบคุมนโยบายกลุ่มโดยไม่ต้องให้สิทธิ์ผู้ดูแลระบบเต็มรูปแบบ ตามค่าเริ่มต้น เฉพาะผู้ดูแลระบบโดเมนเท่านั้นที่เป็นสมาชิกของกลุ่มนี้