นำ Local Group Policy ไปใช้กับ Non-Admins หรือ Single User ด้วย MLGPO

คุณสามารถใช้ Local Group Policy เพื่อกำหนดค่า Windows หรือ User Settings บนคอมพิวเตอร์ใน Workgroup Networks ขนาดเล็ก (โดยไม่มี AD Domain) ก่อนหน้านี้ ข้อเสียหลักของ Local GPO คือไม่สามารถนำ Policy Settings ไปใช้กับ Local User หรือ Group เฉพาะเจาะจงได้ ตัวอย่างเช่น หากคุณ Disable USB Devices ใน Local GPO Policy นี้จะถูกนำไปใช้กับทั้ง Users และ Local Administrator Accounts

Multiple Local Group Policy Objects (MLGPOs) ช่วยให้คุณสามารถนำ Local GPO Settings ไปใช้กับ Local Users หรือ Groups ที่แตกต่างกันได้ ในบทความนี้เราจะแสดงวิธีนำ Local GPO ไปใช้กับ Single Local User หรือ Users ที่ไม่ใช่สมาชิกของ Local Admins โดยใช้ MLGPO

คุณสามารถ Assign MLGPO ให้กับ:

• Local User ใดๆ (โดยชื่อ)
• สมาชิกของ Local Administrators Group
• ผู้ใช้ทั้งหมดที่ ไม่ใช่ สมาชิกของ Local Administrators Group

Local Group Policy Editor พร้อมใช้งานเฉพาะใน Windows 10 Editions: Pro, Enterprise, และ Education ใน Windows 10 Home คุณสามารถติดตั้ง gpedit.msc ได้โดยใช้คู่มือนี้

สร้าง Local Group Policy ใหม่สำหรับ User หรือ Group

1. กด Win + R -> mmc
2. คลิก File -> Add/Remove Snap-in
   
3. เลือก Group Policy Object Editor ในรายการ Available Snap-ins และคลิก Add;
   
4. คลิก Browse และไปที่แท็บ Users คุณสามารถเลือก Local Group หรือ User เพื่อนำ Policy ไปใช้ หาก Local GPO ถูก Assign ให้ User หรือ Group แล้ว คุณจะเห็น Yes ในคอลัมน์ Group Policy Object Exists หากต้องการนำ Policy ไปใช้กับ Local Users ทุกคนยกเว้น Administrators ให้เลือก Non-Administrators;
   
5. ตรวจสอบให้แน่ใจว่า Local Computer\Non-Administrators ถูกเลือกและคลิก Finish;
   
6. GPO Editor Console พร้อม User Settings จะปรากฏ ที่นี่คุณสามารถกำหนดค่า Local Policy Settings ที่จะนำไปใช้กับ Non-admin Users;
   
7. กำหนดค่า Group Policy Settings ที่ต้องการสำหรับ Local Users

คุณสามารถใช้ MLGPO เพื่อตั้งค่าข้อจำกัด User ให้ถูกนำไปใช้ก่อน Join คอมพิวเตอร์เข้าสู่ AD Domain ของคุณ ตัวอย่างเช่น คุณสามารถจำกัด Network Access ภายใต้ Local Accounts

หากคุณต้องการลบ Local Policy สำหรับ Group ให้เลือก Group ในแท็บ Users และคลิก Remove Group Policy Object

ข้อเสียหลักของ Local GPO คือยากที่จะย้ายไปยังคอมพิวเตอร์อื่น (ต่างจาก Domain GPO ที่จัดเก็บบน AD Domain Controllers และแก้ไขแบบ Centralized) เพื่อโอนย้าย MLGPO Settings คุณสามารถใช้ Official Microsoft Tool – lgpo.exe (เป็นส่วนหนึ่งของ Security Compliance Manager และ Microsoft Security Baseline)

เพื่อ Export Local Policies ที่กำหนดค่าแล้วทั้งหมดไปยัง Files ใช้คำสั่งนี้:

lgpo /b c:\GPObackup\

เพื่อ Import Local Group Policy Settings ไปยังคอมพิวเตอร์อื่น ให้ระบุ GUID ของมัน (คุณสามารถหา Policy Folder ในไฟล์ที่คุณได้จาก Well-known SID ของ Non-Administrators Group — S-1-5-32-545) เพื่อนำไปใช้ Settings บน Target Computer ใช้คำสั่งนี้:

lgpo /parse /u C:\GPObackup\{GUID}\DomainSysvol\GPO\User\registry.pol

จากนั้นแค่ Refresh GPO Settings:

gpupdate /force

คุณยังสามารถใช้ Script LocalGPO.wsf เพื่อ Export/Import MLGPO ได้

เพื่อ Export:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Non-Administrators

เพื่อ Import:

cscript LocalGPO.wsf /Path:C:\GPObackup\{GUID}