Group Policy Object (GPO) ของ Microsoft เป็นชุดของ Group Policy settings ที่กำหนดว่าระบบจะมีลักษณะและพฤติกรรมอย่างไรสำหรับกลุ่มผู้ใช้ที่กำหนด
Microsoft มี program snap-in ให้ใช้ Group Policy Management Console (GPMC) ผลลัพธ์คือ Group Policy Object GPO เชื่อมโยงกับ Active Directory containers ที่เลือก เช่น sites, domains หรือ organizational units (OU) GPMC อนุญาตให้สร้าง GPO ที่กำหนด registry-based policies, security options, software installation/maintenance options, scripts options และ folder redirection options
ประเภทของ GPOs
มี GPOs 3 ประเภท: local, non-local และ starter
- Local Group Policy Objects: ชุด group policy settings ที่ apply เฉพาะ local computer และ users ที่ log on เข้าเครื่องนั้น ใช้เมื่อ policy settings ต้อง apply กับ single Windows computer หรือ user มีอยู่โดย default บน Windows computers ทุกเครื่อง
- Non-local Group Policy Objects: ใช้เมื่อ policy settings ต้อง apply กับหนึ่งหรือหลาย Windows computers หรือ users Non-local GPOs apply เมื่อ linked กับ Active Directory objects (sites, domains, OUs)
- Starter Group Policy Objects: เปิดตัวใน Windows Server 2008 เป็น templates สำหรับ Group Policy settings อนุญาตให้แอดมินสร้าง pre-configured group of settings ที่เป็น baseline สำหรับ policy ใหม่ๆ ในอนาคต
ความปลอดภัยข้อมูลและ Group Policy Object
มี Group Policy settings บางอย่างช่วยรักษาความปลอดภัยเครือข่ายบริษัท เช่น ผ่าน Group Policy องค์กรสามารถรัน scripts, หยุด users ไม่ให้เข้าถึง resources บางอย่าง และทำ simple tasks เช่น บังคับให้ home page เฉพาะเปิดสำหรับทุก network user
มาตรการความปลอดภัยบางอย่าง:
- จำกัดการเข้าถึง Control Panel: ผ่าน Control Panel ควบคุมทุกด้านของคอมพิวเตอร์ จำกัดผู้เข้าถึงเก็บข้อมูลและทรัพยากรให้ปลอดภัย
- ปิดใช้งาน Command Prompt: Command Prompts รันคำสั่งให้ high-level access และ bypass system restrictions จึงควรปิดเพื่อความปลอดภัย ถ้า user พยายามเปิด command window หลังปิดแล้ว ระบบจะแสดงข้อความว่าบาง settings ป้องกัน
- ป้องกันการติดตั้งซอฟต์แวร์: หาก users ติดตั้งซอฟต์แวร์ได้ อาจติดตั้ง unwanted applications หรือ malware ที่คุกคามระบบ ควรป้องกันผ่าน Group Policy
ประโยชน์ของ Group Policy Objects
นอกจากความปลอดภัยแล้ว มีประโยชน์อื่นๆ:
- การจัดการที่มีประสิทธิภาพมากขึ้น: GPOs ที่มีอยู่ apply standardized environment ให้ new users และ computers ที่ join domain ขององค์กร ประหยัดเวลา setup
- การบริหารที่ง่าย: system admins ปรับใช้ software, patches, updates ผ่าน GPO
- การบังคับ password policy ดีขึ้น: GPOs กำหนด password length, reuse rules และ requirements อื่นๆ เก็บเครือข่ายให้ปลอดภัย
- การกำหนดค่า folder redirection: GPOs ช่วยให้บริษัทรับรองว่า users เก็บ company files สำคัญบน centralized และ monitored storage system เช่น redirect Documents folder จาก local drive ไป network location
ข้อจำกัดของ GPOs
- รันแบบ sequential: GPOs ประมวลผล actions ทีละอย่าง ถ้ามี GPOs หลายตัวต้อง config อาจใช้เวลานานสำหรับ users log on
- Flexibility จำกัด: GPOs apply ได้เฉพาะ users หรือ computers จำกัดเมื่อ apply settings based on context
- Triggers จำกัด: GPOs apply ได้เฉพาะ computer startup, user logon หรือ set intervals ไม่ react กับ environment changes (network disconnect/reconnect)
- ยากต่อการบำรุงรักษา: ไม่มี built-in search/filter หา specific setting ใน GPO ยากต่อการหาหรือแก้ไข issues
- No version control: การเปลี่ยนแปลง GPO settings ไม่ได้ถูก audit ถ้าทำ incorrect change ไม่รู้ว่าอะไรเปลี่ยน ใครทำ
ลำดับการประมวลผล GPOs
Processing order ของ Group Policies ส่งผลต่อ settings ที่ apply ให้ computer หรือ end-user เรียกว่า LSDOU: local, site, domain, organization unit ก่อนประมวลผล local computer policy ตามด้วย AD policies จาก site level ไป domain แล้วเข้า OU (GPOs ใน nested OUs apply จาก OU ใกล้ root ก่อน แล้วค่อยต่อไป) ถ้ามี conflicts policy ที่ apply สุดท้ายจะมีผล
ตัวอย่าง GPOs
- GPO อาจระบุ home page ที่แสดงแรกเมื่อ user เปิด Internet Explorer เมื่อ user log on domain GPO นั้น retrieved และ applied ไปยัง configuration ของ user's IE
- องค์กร deploy shared network printer connections ให้ users จาก OU เฉพาะของ AD ด้วย Group Policy เมื่อ user log in Windows network printer ที่ assigned จะปรากฏในรายการ printers อัตโนมัติ
- Admins ใช้ group policy ปรับ settings เช่น ปิด display หลายเวลา, เลือก default programs, ป้องกัน users เปลี่ยน Internet connection options
Best practices
- สร้าง OU structure ที่ออกแบบดีใน Active Directory เพื่อลดความซับซ้อนในการ apply และ troubleshoot Group Policy
- ตั้งชื่อ GPOs ให้ descriptive ช่วย admins ระบุได้เร็วว่าแต่ละ GPO ทำอะไร
- เพิ่ม comments ให้แต่ละ GPO อธิบายว่าสร้างทำไม วัตถุประสงค์คืออะไร settings คืออะไร
- อย่าตั้ง GPOs ที่ domain level เพราะจะ apply ทุก computer และ user objects อาจทำให้บาง settings apply กับ objects ที่ไม่จำเป็น
- อย่าใช้ root computers หรือ user folders ใน AD เพราะไม่ใช่ OUs ไม่สามารถ link GPOs ได้ เมื่อ user/computer object ใหม่ปรากฏใน folders นี้ ควรย้ายไป OU ที่เหมาะสมทันที
- อย่าปิดใช้งาน GPO แต่มันควรลบ link จาก OU แทน ถ้าไม่อยากให้ apply การปิด GPO จะป้องกันไม่ให้ apply ทั้ง domain อาจเป็นปัญหาเพราะถ้า GPO นั้นใช้ใน OU อื่น จะไม่ทำงานที่นั่นอีกต่อไป
Next Steps
How to enable Active Directory fine-grained password policies
