ในปัจจุบัน องค์กรเผชิญกับหลายความท้าทาย สำหรับผู้ดูแลระบบ IT อาจเป็นการจำกัดการเข้าถึงอุปกรณ์ที่ไม่ได้รับอนุญาต เช่น ฮาร์ดดิสก์ภายนอก เครื่องพิมพ์ และอุปกรณ์พริมอิพย์อื่นๆ ที่เป็นปัญหาหลัก
โชคดีที่ Microsoft ตระหนักถึงความท้าทายนี้ นั่นอาจเป็นเหตุผลที่พวกเขาเผยแพร่ฟีเจอร์ Layered Group Policy เพื่อให้ผู้ดูแลระบบเครือข่ายตัดสินใจได้ว่าสิ่งใดสามารถติดตั้งบนอุปกรณ์ในเครือข่ายองค์กรได้
Group Policy Editor เคยเป็นหนึ่งในเครื่องมือที่ทรงพลังที่สุดบน Windows สำหรับผู้ดูแลระบบ IT ด้วยแต่ละเวอร์ชัน Microsoft ได้เพิ่มวิธีใหม่ๆ ในการสร้างและจัดการ Group Policy Objects (GPOs)
สิ่งหนึ่งที่ไม่เคยเปลี่ยนคือความจำเป็นในการเข้าใจว่า Group Policy ทำงานอย่างไรก่อนที่คุณจะนำไปใช้ในองค์กรของคุณได้สำเร็จ คู่มือนี้ให้บทนำในการจัดการ Group Policy และวิธีใช้ Layered Group Policy บน Windows 11
Group Policy บนอุปกรณ์ Windows: ภาพรวมแบบรวดเร็ว
ก่อนอะไร Group Policy คืออะไร?
เป็นฟีเจอร์ของ Windows ที่ผู้ดูแลระบบเครือข่ายสามารถจัดการและควบคุมช่วงกว้างของการตั้งค่า มันทำหน้าที่เป็นสถานที่ศูนย์กลางสำหรับ System Admins ในการกำหนดค่าแอปพลิเคชัน การตั้งค่าผู้ใช้ และอื่นๆ
เมื่อใช้งานอย่างถูกต้อง Group Policy Editor ช่วยให้องค์กรปรับปรุงความปลอดภัยของคอมพิวเตอร์และอุปกรณ์อื่นๆ ภายในเครือข่ายเดียวกัน มันจะช่วยปกป้องเครือข่ายจากภัยคุกคาม มัลแวร์ และการโจมตีอื่นๆ
Group Policy Object (GPO) คืออะไร?
GPOs เป็นกลุ่มของการตั้งค่าที่สร้างขึ้นโดยใช้ Microsoft Management Console Group Policy Editor ออบเจ็กต์เหล่านี้สามารถเชื่อมโยงกับคอนเทนเนอร์ Active Directory ต่างๆ ได้ เช่น โดเมนและไซต์
Group Policy Objects สามารถใช้ได้หลายวิธีเพื่อวัตถุประสงค์ด้านความปลอดภัย ด้านล่างคือสถานการณ์ตัวอย่างบางส่วน:
- GPO สามารถใช้ตั้งค่า Landing page ที่ผู้ใช้เห็นเมื่อเปิดเบราว์เซอร์หรือเปิดแท็บใหม่
- System Administrators สามารถใช้ GPO กำหนดว่าเครื่องพิมพ์ที่เชื่อมต่อเครือข่ายไหนจะปรากฏในรายการเครื่องพิมพ์ที่พร้อมใช้งานในเครือข่าย
- GPO ยังสามารถใช้เปลี่ยนแปลงแนวทางปฏิบัติและโปรโตคอลความปลอดภัยบางอย่างได้ เช่น การตั้งค่าการจำกัดการเชื่อมต่ออินเทอร์เน็ตและเวลาหน้าจอ
GPOs ถูกประมวลผลอย่างไร?
ลำดับชั้นของ GPOs ที่จะถูกประมวลผลจะส่งผลต่อการตั้งค่าที่นำไปใช้กับอุปกรณ์ของผู้ใช้ ลำดับชั้นนี้เรียกว่า LSDOU ซึ่งเป็นคำย่อของ Local, Site, Domain, Organizational Unit
ด้วย LSDOU นโยบายคอมพิวเตอร์ท้องถิ่นจะถูกประมวลผลก่อน ตามด้วยระดับไซต์ไปยังโดเมน นโยบาย AD สุดท้าย Organizational Units จะถูกประมวลผล หากนโยบายขัดแย้งกับ LSDOU นโยบายที่ถูกนำไปใช้ทีหลังจะชนะ
ทำไมต้องใช้ Group Policies?
คุณควรใช้นโยบายเหล่านี้ไหม? คุณจะได้ประโยชน์จากพวกมันไหม?
แน่นอน คุณสามารถทำได้ Group Policies สามารถรับรองได้ว่าข้อมูลละเอียดอ่อนของคุณปลอดภัยจากแฮกเกอร์ และโครงสร้างพื้นฐาน IT ของคุณตั้งค่าอย่างถูกต้อง
น่าประหลาดใจที่จะรู้ว่า Windows ไม่ได้ปลอดภัยอย่างที่คุณคิด ขอบคุณ GPOs ที่ออกแบบมาเพื่อแก้ไขช่องว่างด้านความปลอดภัยภายในระบบปฏิบัติการ ตัวอย่างเช่น พวกมันอนุญาตให้คุณนำไปใช้นโยบายที่ผู้ใช้มีการเข้าถึงจำกัดกับเครื่องมือที่จำเป็นสำหรับการทำงานของพวกเขา
อย่างไรก็ตาม ประโยชน์ของ Group Policy Editor ไม่ได้จำกัดเพียงแค่ความปลอดภัยเพียงอย่างเดียว ด้านล่างคือข้อดีอื่นๆ ของการนำนโยบายกลุ่มไปใช้:
- Systems Management – Group Policy สามารถใช้เพื่อทำให้งานที่ใช้เวลานานง่ายขึ้น นำไปใช้เพื่อประหยัดเวลาหลายชั่วโมงในการพยายามกำหนดค่าสภาพแวดล้อมของผู้ใช้ใหม่ที่เข้าร่วมองค์กรของคุณ
- Password Policy – องค์กรจำนวนมากดำเนินงานด้วยนโยบายไม่มีรหัสผ่าน และอื่นๆ แม้แต่อนุญาตให้ผู้ใช้ตั้งค่าข้อมูลประจำตัวที่ไม่หมดอายุ เราทุกคนรู้ว่ารหัสผ่านที่ไม่เปลี่ยนแปลงเป็นประจำอยู่ในความเสี่ยงของการถูกแฮก ด้วย Group Policy องค์กรสามารถตั้งกฎในการสร้างรหัสผ่าน รวมถึงพารามิเตอร์อย่างความยาวและความซับซ้อน
- Health Checking – คุณสามารถใช้ Group Policy เพื่อปรับใช้การอัปเดตแอปและซอฟต์แวร์ การทำเช่นนี้จะทำให้แน่ใจว่าสภาพแวดล้อมของคุณมีสุขภาพดีและป้องกันภัยคุกคามด้านความปลอดภัย
ฟีเจอร์ Layered Group Policy บน Windows 11 คืออะไร?
ฟีเจอร์ Layered Group Policy เป็นฟังก์ชันใหม่ที่ Microsoft เปิดตัวบนอุปกรณ์ Windows 10/11 และ Windows 11 นี่คือคำอธิบายของไจแอนท์ซอฟต์แวร์เกี่ยวกับฟีเจอร์นี้:
"นโยบายการติดตั้งอุปกรณ์ถูกใช้เพื่อจำกัดการติดตั้งอุปกรณ์ใดๆ ทั้งภายในและภายนอก ให้กับเครื่องทั้งหมดทั่วองค์กร ในขณะที่อนุญาตให้ชุดเล็กๆ ของอุปกรณ์ที่ได้รับอนุญาตล่วงหน้าสามารถใช้/ติดตั้งได้ ทุกอุปกรณ์มีชุดของ 'Device Identifiers' ที่ระบบเข้าใจ (Class, Device ID และ Instance ID) Allow List ซึ่งเขียนโดย System Admin มีชุดของ Identifiers ที่แทนอุปกรณ์ต่างๆ – วิธีนี้ทำให้ระบบเข้าใจว่าอุปกรณ์ไหนได้รับอนุญาตและอุปกรณ์ไหนถูกบล็อก"
เป้าหมายของฟีเจอร์นี้คือการปกป้องเครื่องจากการเสียหาย ลดจำนวนกรณีสนับสนุนภายในองค์กร และสำคัญที่สุดคือป้องกันการขโมยข้อมูล นโยบายนี้สามารถนำไปใช้เพื่อจำกัดการติดตั้งหรือการใช้อุปกรณ์ในองค์กรภายในหรือภายนอก โดยพื้นฐานแล้ว ผู้ดูแลระบบ IT มีการควบคุมเต็มที่ว่าอุปกรณ์ไหนสามารถติดตั้งหรือใช้งานได้
Layered Group Policy ทำงานบน Windows 10/11 ได้ไหม?
สำหรับผู้ใช้ WinAero Layered Group Policy อาจไม่ใหม่ เพราะมันถูกเปิดตัวครั้งแรกใน Windows 10 เวอร์ชัน 21H2 สำหรับ Windows 10 เวอร์ชันอื่นๆ นโยบายนี้ถูกเปิดตัวโดย Microsoft เพิ่งแค่เดือนกรกฎาคม 2021
นโยบายจำกัดสามารถตั้งค่าได้โดยใช้ Device Identifiers บางอย่าง ซึ่ง Windows 10/11 คุ้นเคยแล้ว Identifiers เหล่านี้รวมถึง Class, Instance IDs และ Device IDs
Allow List ของฟีเจอร์นี้ต้องเขียนโดย System Admin และมีชุดของ Identifiers ที่แต่ละตัวแทนอุปกรณ์เฉพาะ ผ่านรายการนี้ ระบบสามารถกำหนดได้ว่าอุปกรณ์ไหนควรได้รับการเข้าถึงและอุปกรณ์ไหนควรถูกบล็อก
ด้วย Layered Group Policy ที่เพิ่มเข้ามา System Administrators สามารถได้ประโยชน์จาก:
- Intuitive Usage – ด้วยนโยบายนี้ System Administrators ไม่ต้องรู้ Device Classes เพื่อป้องกันการติดตั้งคลาส USB อื่นๆ มันอนุญาตให้พวกเขาเพียงโฟกัสที่สคริปต์
- Flexibility – นอกจาก Intuitive Usage แล้ว นโยบายีนำเสนอ Hierarchical Layering ในลำดับนี้: Instance ID, Hardware IDs, และ Compatible IDs, Class, และ Removable Device Property
วิธีนำ Layered Group Policy ไปใช้บน Windows 11
Layered Group Policy สามารถเข้าถึงและนำไปใช้ได้สะดวกโดยทำตามเส้นทางนี้:
Computer Configuration -> Administrative Templates -> System -> Device Installation -> Device Installation Restrictions
เมื่ออยู่ในโฟลเดอร์ Device Installation Restrictions นโยบายแรกที่ต้องเปิดใช้งานคือ Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria หลังจากนี้ จะมีชุดนโยบายอีกชุดที่ต้องเปิดใช้งานในลำดับชั้น: Device Instance IDs -> Device IDs -> Device Setup Class -> Removable Devices
นี่คือคำอธิบายที่ดีกว่าสำหรับแต่ละตัว:
- Device Instance IDs – เป็นสตริงระบุตัวตนอุปกรณ์ที่เป็นเอกลักษณ์ จัดหาโดยระบบ ที่สามารถระบุอุปกรณ์ใหม่ในระบบได้ Device Instance IDs ป้องกันการติดตั้งอุปกรณ์อื่นๆ ที่ใช้ไดรเวอร์ตรงกับพวกมัน เช่นเดียวกัน IDs เหล่านี้อนุญาตการติดตั้งอุปกรณ์ที่ใช้ไดรเวอร์ตรงกับพวกมัน
- Device IDs – Windows ใช้สตริงนี้เพื่อจับคู่อุปกรณ์กับ Driver Package สตริงนี้อาจแตกต่างจากเฉพาะเจาะจงไปจนถึงทั่วไป Device ID strings สามารถเป็น Hardware IDs หรือ Compatible IDs Device IDs ป้องกันการติดตั้งอุปกรณ์ที่ใช้ไดรเวอร์ตรงกับพวกมัน IDs เหล่านี้ยังสามารถอนุญาตการติดตั้งอุปกรณ์ที่ใช้ไดรเวอร์ตรงกับพวกมันได้
- Device Setup Class – เรียกอีกอย่างว่า Class นี่คือประเภทหนึ่งของสตริงระบุตัวตน ผู้ผลิตอุปกรณ์คือผู้กำหนด Class ให้อุปกรณ์ใน Driver Package Device Setup Class ป้องกันการติดตั้งอุปกรณ์ที่ใช้ไดรเวอร์ตรงกับพวกมัน มันยังอนุญาตการติดตั้งอุปกรณ์ที่ใช้ไดรเวอร์ตรงกับพวกมัน
- Removable Devices – พารามิเตอร์เหล่านี้ใช้เพื่อป้องกันการติดตั้งอุปกรณ์ที่ถอดได้ Removable Devices สามารถกำหนดค่าได้โดยการเพิ่ม Class ID หรือ Device ID จากนั้นนำไปใช้
เนื่องจากโครงสร้างแบบชั้นของนโยบาย มันสามารถใช้เหนือฟีเจอร์ Prevent installation of devices not described by other policy settings ได้
วิธีค้นหา Compatible IDs และ Hardware IDs
เพื่อค้นหา Compatible IDs และ Hardware IDs ให้ทำตามขั้นตอนเหล่านี้:
- เข้าถึง Device Manager โดยใช้ Windows + X เลือก Device Manager จากรายการ
- คลิกขวาที่อุปกรณ์
- เลือก Properties
- เข้าถึงแท็บ Details
- คลิก Property เพื่อหาข้อมูลที่คุณต้องการ เช่น Hardware ID, Class ID และอื่นๆ
วิธีเพิ่ม Device ID ลงใน Allow List
เพื่อเพิ่ม Device ID ลงใน Allow List ให้อ้างอิงขั้นตอนด้านล่าง:
- เปิด Allow installation of devices that match any of these device IDs
- เลือก Enabled
- ไปที่ส่วน Options และคลิกปุ่ม Show
- เพิ่ม Hardware ID หรือ Compatible ID ลงในรายการ
- บันทึกการเปลี่ยนแปลงโดยการกด Apply
วิธีอนุญาตให้ System Administrators ทำ Override Device Installation Restrictions
คุณต้องเปิดใช้นโยบายเฉพาะเพื่ออนุญาตให้ Override การจำกัดการติดตั้งอุปกรณ์ได้ เมื่อเปิดใช้งานแล้ว System Administrators สามารถใช้ Wizard Add Hardware หรือ Update Driver เพื่อติดตั้งและอัปเดตอุปกรณ์
สรุป
ในบทความนี้ เราได้แสดงวิธีนำ Layered Group Policy ไปใช้สำหรับสภาพแวดล้อม Windows 10/11 ของคุณ เรายังอภิปรายว่า Group Policy คืออะไรและมันจะให้ประโยชน์กับองค์กรของคุณอย่างไร เราหวังว่านี้จะเป็นประโยชน์! หากมีอะไรอื่นที่เราสามารถทำให้คุณได้ โปรดแจ้งให้เราทราบโดยการอ่านเพิ่มเติมหรือเยี่ยมชมเว็บไซต์ของเราในวันนี้
