หนึ่งในความท้าทายที่ใหญ่ที่สุดสำหรับแอดมิน IT ในบริษัทคือการบล็อกการเข้าถึงอุปกรณ์ เช่น USB, ฮาร์ดดิสก์ภายนอก และแม้แต่เครื่องพิมพ์ ให้กับอุปกรณ์ขององค์กร เพื่อให้เรื่องนี้ง่ายขึ้น Microsoft ได้นำคุณสมบัติ Layered Group Policy ออกมา ซึ่งให้ผู้ดูแลระบบสามารถแบ่งได้ว่าอุปกรณ์ใดสามารถติดตั้งบนเครื่องจักรทั่วองค์กรได้
Layered Group Policy ใน Windows 11 คืออะไร?
Group Policy นี้มีเป้าหมายเพื่อให้เครื่องจักรได้รับความเสียหายน้อยลง จำนวนกรณีที่ต้องขอสนับสนุนลดลง และสำคัญที่สุดคือลดการขโมยข้อมูล นโยบายนี้รับประกันว่าจะจำกัดการติดตั้งใดๆ กล่าวคือ การใช้งานอุปกรณ์ทั้งในสภาพแวดล้อมภายในและภายนอกถูกบล็อก แอดมิน IT สามารถเลือกอนุมัติอุปกรณ์ล่วงหน้าเพื่อให้ใช้/ติดตั้งได้
สคริปต์ที่นี่ทำให้มั่นใจว่าไม่ได้บล็อกทุกคลาส:
Computer Configuration > System > Device Installation > Device Installation Restrictions
หมายความว่าหากคุณเลือกบล็อกการใช้งานอุปกรณ์ USB มันจะบล็อกแค่ USB ไปอีกขั้นหน้า คุณสมบัติใหม่นี้แก้ไขปัญหาเดิมที่ต้องสร้างชุดหลายชุดเพื่อหลีกเลี่ยงการขัดแย้ง แทนที่จะเป็นเช่นนั้น ตอนนี้มีชั้นลำดับแบบลำดับชั้น Instance ID > Device ID > Class > Removable device property
วิธีใช้ Layered Group Policy ใน Windows 11
นโยบายแรกที่คุณต้องเปิดใช้งานคือ — Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria
เมื่อทำเสร็จแล้ว จะมีชุดนโยบายเพิ่มเติม และคุณต้องแน่ใจว่าจัดเก็บลำดับชั้น (Device instance IDs > Device IDs > Device setup class > Removable devices) ไว้ในใจ นี่คือนโยบายที่เกี่ยวข้องกับแต่ละอย่าง:
Device instance IDs
- Prevent installation of devices using drivers that match these device instance IDs
- Allow installation of devices using drivers that match these device instance IDs
Device IDs
- Prevent installation of devices using drivers that match these device IDs
- Allow installation of devices using drivers that match these device IDs
Device setup class
- Prevent installation of devices using drivers that match these device setup classes
- Allow installation of devices using drivers that match these device setup classes
Removable devices
- Prevent installation of removable devices
กำหนดค่าแต่ละอย่างโดยเพิ่ม device id หรือ class ID และนำการเปลี่ยนแปลงไปใช้
Microsoft แนะนำให้ใช้นโยบายนี้แทนนโยบายตั้งค่า "Prevent installation of devices not described by other policy settings" เนื่องจากโครงสร้างแบบลำดับชั้น
วิธีหา Hardware ID หรือ Compatible ID?
- เปิด Device Manager โดยใช้ Win + X ตามด้วยการกด M
- ค้นหาอุปกรณ์ คลิกขวาที่มัน และเลือก Properties
- สลับไปที่แท็บ Details
- คลิกที่ดรอปดาวน์ Property และที่นี่คุณสามารถเลือก hardware ID, class ID และรายละเอียดอื่นๆ ค่าที่แน่นอนจะอยู่ในส่วน Value
วิธีเพิ่ม Device IDs ลงในรายการ Allow?
- เปิดนโยบาย — Allow installation of devices that match any of these device IDs
- เลือก Enabled แล้วคลิกที่ปุ่ม Show ภายใต้ Options
- เพิ่ม Compatible ID หรือ Hardware ID ลงในรายการ
- นำการเปลี่ยนแปลงไปใช้
คุณยังสามารถบล็อกการติดตั้งอุปกรณ์เฉพาะได้โดยใช้นโยบาย Prevent installation
วิธีอนุญาตให้แอดมินสามารถลบข้อจำกัดการติดตั้งอุปกรณ์ได้?
มีนโยบายเฉพาะสำหรับเรื่องนี้ซึ่งคุณสามารถเปิดใช้งานได้ เมื่อเปิดใช้งานแล้ว สมาชิกของกลุ่ม Administrators สามารถใช้ Add Hardware wizard หรือ update driver wizard เพื่อติดตั้งและอัปเดตอุปกรณ์ได้
วิธีตั้งค่า timeout เพื่อบังคับการเปลี่ยนแปลงนโยบาย?
หากคุณต้องการบังคับการเปลี่ยนแปลงนโยบาย คุณต้องรีบูต มีการตั้งค่าที่ให้คุณตั้งค่า Reboot Timeout ที่แสดงให้ผู้ใช้ปลายทางเห็น เพื่อให้แน่ใจว่าไม่มีการสูญเสียข้อมูล
หวังว่าบทความนี้จะอธิบาย Layered Group Policy ใน Windows 11 ให้คุณเข้าใจชัดเจน
นโยบายนี้มีให้ใน Windows 10 ด้วย ตั้งแต่การเผยแพร่ "C" client เพิ่มเติมในเดือนกรกฎาคม 2021 และจะพร้อมใช้งานกว้างขึ้นตั้งแต่การเผยแพร่ Update Tuesday ในเดือนสิงหาคม 2021
