จัดการออบเจ็กต์นโยบายกลุ่ม AD

“GPO Management” ในการจัดการโดเมน AD ใช้ดูและจัดการออบเจ็กต์นโยบายกลุ่มในโดเมนเป้าหมาย รวมถึงข้อมูลพื้นฐาน การตั้งค่านโยบาย ลิงก์ ตัวกรองความปลอดภัย ตัวกรอง WMI และการมอบหมายสิทธิ์ GPO ของ AD แตกต่างจากนโยบายปลายทางของ Ping64 การเขียนไดเรกทอรีสำเร็จไม่ได้หมายความว่าผู้ใช้หรือคอมพิวเตอร์เป้าหมายทั้งหมดใช้นโยบายแล้ว ต้องตรวจสอบผลจริงในสภาพแวดล้อมเป้าหมาย

เตรียมสภาพแวดล้อมและการอนุมัติ

ดูการตั้งค่าทั้งหมดใน กฎอนุมัติการดำเนินการโดเมน AD

1. ดำเนินการ ตั้งค่าการเชื่อมต่อและขอบเขตการซิงโครไนซ์โดเมน AD ให้เสร็จ ตรวจสอบโดเมนเป้าหมายและสิทธิ์ดู เขียน และดำเนินการของบัญชีบริการไดเรกทอรีและผู้ดูแล เลือกโดเมนใน “GPO Management” และรอให้สภาพแวดล้อมพร้อมเขียน หากไม่พร้อมให้ตรวจสอบข้อความและให้ผู้ดูแลไดเรกทอรีตรวจสอบสภาพแวดล้อมและสิทธิ์
2. ระบุโดเมน หน่วยองค์กร ผู้ใช้และคอมพิวเตอร์ที่ได้รับผล ตรวจสอบลิงก์ ตัวกรองและการมอบหมายที่มีอยู่ ประเมินผลกระทบทางธุรกิจและเตรียมแผนกู้คืน ทดสอบในโดเมนทดสอบหรือเป้าหมายที่ควบคุมก่อน อย่าทดลองกับออบเจ็กต์ใช้งานจริงโดยไม่ได้รับอนุมัติ
3. หากต้องมีการอนุมัติ ให้ตรวจแม่แบบงานโดเมน AD และผู้อนุมัติที่ใช้ได้ใน “Objects & Templates > Approval Templates” จากนั้นตรวจสอบกฎที่เปิดใช้ในส่วนจัดการโดเมน AD > “Audit Events > Platform Operations > Operation Audit > Approval rule” ใช้การตั้งค่าเดิมที่เหมาะสม และให้ผู้มีสิทธิ์จัดการสร้างหรือปรับแม่แบบและกฎเฉพาะเมื่อจำเป็น
4. หากต้องสร้างหรือปรับกฎ เลือกงาน GPO ที่ต้องอนุมัติ เช่น สร้าง แก้ไข คัดลอก ลิงก์ ตัวกรอง การมอบหมาย การตั้งค่าและลบ พร้อมเทมเพลต ตั้งโดเมน จำนวนเป้าหมาย บทบาทผู้ขอและลำดับความสำคัญตามต้องการ เปิดใช้และบันทึก ทดสอบความครอบคลุมด้วยออบเจ็กต์ที่ควบคุม งานที่ไม่ตรงกับกฎที่เปิดใช้จะดำเนินการโดยตรงและไม่รออนุมัติโดยอัตโนมัติ ดูรายละเอียดที่ จัดการการอนุมัติงานโดเมน AD

บทบาทผู้ขอและขอบเขตกฎ: หากเลือกหลายบทบาท ผู้ขอมีบทบาทที่เลือกและยังใช้งานอยู่เพียงหนึ่งบทบาทก็ผ่านเงื่อนไขบทบาท ไม่จำเป็นต้องมีครบทุกบทบาท แต่การดำเนินการและเงื่อนไขอื่นต้องตรงกันด้วย หากบทบาทที่เลือกถูกปิดใช้งานหรือลบ ให้เอาบทบาทที่ใช้ไม่ได้ออกหรือเปลี่ยนก่อนบันทึกกฎที่แก้ไข หลังเปลี่ยนให้ตรวจขอบเขตและทดสอบด้วยการดำเนินการที่ควบคุม เพื่อหลีกเลี่ยงการดำเนินการตรงเมื่อไม่มีกฎตรงกัน

ค้นหาและสร้าง GPO

1. เปิด “GPO Management” เลือกโดเมนเป้าหมาย และค้นหาด้วยคำสำคัญ การตั้งค่าผู้ใช้ การตั้งค่าคอมพิวเตอร์ หรือสถานะลิงก์ เปิดรายละเอียดเพื่อตรวจสอบชื่อ สถานะการตั้งค่าและขอบเขตเดิม
2. หากต้องการสร้าง เลือก “Create GPO” ใส่ชื่อและคำอธิบายตามต้องการ ตรวจสอบสถานะเปิดใช้การตั้งค่าผู้ใช้และคอมพิวเตอร์ ยืนยันโดเมนและข้อมูลแล้วส่ง
3. หากต้องอนุมัติ ให้ติดตามการอนุมัติแล้วติดตามการดำเนินการในไดเรกทอรี มิฉะนั้นติดตามการดำเนินการโดยตรง หลังเสร็จให้รีเฟรชรายการและอ่านรายละเอียดอีกครั้ง การส่งหรืออนุมัติไม่ยืนยันว่าการสร้างเสร็จแล้ว
4. ตั้งค่านโยบายและลิงก์ตามความจำเป็น แล้วตรวจสอบตัวกรองและการใช้งานจริงบนเป้าหมาย การสร้างออบเจ็กต์เพียงอย่างเดียวไม่ทำให้นโยบายมีผล

ตั้งค่าเนื้อหาและขอบเขต

1. เลือก“Edit Policy Content”ของ GPO เป้าหมาย ในแผนผังเลือกการตั้งค่าผู้ใช้หรือคอมพิวเตอร์ ค้นหารายการแล้วตรวจสอบคำอธิบาย สถานะและความสามารถในการแก้ไข บางรายการอาจอ่านได้อย่างเดียวหรือใช้ไม่ได้เพราะสภาพแวดล้อมหรือสิทธิ์ อย่าสมมติว่าแก้ไขได้ทั้งหมด
2. แก้ไขตามต้องการและเลือก “Apply” หรือ “Confirm” ยืนยันตามข้อความและติดตามการอนุมัติหรือการดำเนินการ หากต้องใช้เทมเพลตการจัดการ ให้ทำตามคำแนะนำซิงโครไนซ์ ADMX แล้วเลือกรายการอีกครั้งเพื่อตรวจสอบสถานะ อย่าส่งซ้ำขณะรอยืนยันผล ก่อนเลือก “Sync ADMX” สลับการตั้งค่า หรือออกจากหน้า ให้จัดการการเปลี่ยนแปลงที่ยังไม่ได้บันทึก หากเลือกละทิ้งในกล่องยืนยัน การแก้ไขที่ยังไม่ได้บันทึกจะสูญหาย
3. ใน “Manage” ของ GPO เปิด “GPO links” และเลือก “Add link” เลือกตำแหน่งเป้าหมาย ตรวจสอบลิงก์เดิม และปรับสถานะเปิดใช้ การบังคับใช้และลำดับตามต้องการ ส่งและติดตามผล หากมีการเปลี่ยนแปลงพร้อมกันให้โหลดลิงก์เป้าหมายใหม่และตรวจสอบการเปลี่ยนของผู้ดูแลอื่น ก่อนเปลี่ยนแปลง ให้บันทึกลิงก์ GPO ทั้งหมดในตำแหน่งเป้าหมาย รวมทั้งลำดับ สถานะเปิดใช้และสถานะบังคับใช้ หากอัปเดตล้มเหลวระหว่างดำเนินการหรือผลไม่ชัดเจน ลิงก์อื่นในตำแหน่งเดียวกันอาจได้รับผลกระทบด้วย อย่าสมมติว่าลิงก์เหล่านั้นไม่เปลี่ยน ให้อ่านรายการทั้งหมดอีกครั้ง ดำเนินการตามแผนกู้คืนที่อนุมัติ และตรวจสอบบนเป้าหมายที่ควบคุมได้
4. ใน “Security filtering” ตรวจสอบออบเจ็กต์ที่ได้รับอนุญาตให้ใช้ GPO หน้าจอเตือนว่า การบันทึกตัวกรองความปลอดภัยว่างจะทำให้ GPO ไม่ถูกนำไปใช้ จึงต้องยืนยันการเลือกและผลกระทบก่อนส่ง หากจำเป็นให้ตรวจสอบหรือแก้ไขตัวกรอง WMI และการมอบหมาย โดยตรวจสอบขอบเขตนโยบายและสิทธิ์จัดการแยกกัน
5. อ่านการตั้งค่าอีกครั้งและตรวจสอบการใช้งานจริงบนผู้ใช้หรือคอมพิวเตอร์ที่ควบคุมตามขั้นตอนองค์กร ลิงก์ ตัวกรอง สถานะการตั้งค่าผู้ใช้และคอมพิวเตอร์ และสภาพแวดล้อมเป้าหมายอาจมีผล การนำลิงก์ออกไม่ใช่การลบ GPO

จัดการตัวกรองความปลอดภัยและการมอบสิทธิ์

1. ในมุมมอง Manage ของ GPO เป้าหมาย เปิด Security filtering แล้วเลือก Manage ป้อนชื่อผู้ใช้ คอมพิวเตอร์ หรือกลุ่มความปลอดภัย กด Enter เพื่อค้นหาและเพิ่มรายการที่ต้องการ รายการเดิมที่แก้ไขได้สามารถนำออกได้ แต่รายการอ่านอย่างเดียวแก้ไขที่นี่ไม่ได้ ตรวจสอบรายชื่อทั้งหมด เลือก Save และติดตามการอนุมัติหรือการดำเนินการ
2. เปลี่ยนไปที่ Delegation แล้วเลือก Manage ค้นหาและเพิ่มผู้ใช้หรือกลุ่ม สำหรับรายการที่แก้ไขได้ เลือก Read, Edit settings หรือ Edit, delete, and modify security ตามหลักสิทธิ์ขั้นต่ำ นำรายการที่แก้ไขได้ออกตามต้องการ ส่วนรายการอ่านอย่างเดียวแก้ไขที่นี่ไม่ได้ บันทึกและติดตามผลอนุมัติหรือการดำเนินการ
3. ก่อนบันทึกให้บันทึกรายชื่อและสิทธิ์เดิม หากส่งไม่สำเร็จหรือผลไม่ชัดเจน ให้อ่านตัวกรองและการมอบสิทธิ์อีกครั้งและตรวจสถานะจริงก่อนตัดสินใจลองใหม่ หลังเปลี่ยนแปลงให้ตรวจการใช้นโยบายกับเป้าหมายและสิทธิ์ผู้ดูแลด้วย การส่งเพียงอย่างเดียวไม่ยืนยันผล

แก้ไข คัดลอก และลบ

• ข้อมูลพื้นฐาน: เลือกแก้ไขข้อมูลพื้นฐาน ตรวจสอบชื่อ คำอธิบายและสถานะการตั้งค่าผู้ใช้กับคอมพิวเตอร์ บันทึก ติดตามผลและอ่านอีกครั้งเพื่อยืนยันข้อมูลจริง
• คัดลอก: เลือก “Copy” ใส่ข้อมูลออบเจ็กต์ใหม่และส่ง หน้าจอระบุว่าคัดลอกการตั้งค่านโยบาย แต่ไม่คัดลอกลิงก์ การมอบหมายแบบกำหนดเอง ตัวกรองความปลอดภัยและการกำหนด WMI ตรวจสอบและตั้งค่าแต่ละส่วนตามต้องการ อย่าสมมติว่าขอบเขตเหมือนเดิม หากคัดลอกล้มเหลวหรือผลไม่ชัดเจน ให้โหลดรายการใหม่และตรวจว่า GPO ใหม่มีอยู่แล้วหรือไม่และตั้งค่าครบหรือไม่ ตรวจสอบผลก่อนตัดสินใจลองใหม่ เพื่อป้องกันการสร้างซ้ำหรือเหลือออบเจ็กต์ที่ตั้งค่าไม่ครบ
• ลบ: ตรวจสอบลิงก์ ตัวกรอง การมอบหมายและการพึ่งพาทางธุรกิจ แล้วเตรียมแผนกู้คืน เลือกลบ ป้อนชื่อ GPO เพื่อยืนยันและติดตามการอนุมัติหรือการดำเนินการ การลบออบเจ็กต์ในตัวมีข้อจำกัด ระบบสแกนลิงก์ทั่วทั้งฟอเรสต์และปฏิเสธการลบหากตรวจสอบขอบเขตใดไม่ได้ ให้แก้สาเหตุที่แจ้งโดยไม่ข้ามการป้องกัน

ระหว่างการลบ ระบบจะพยายามนำลิงก์ที่ยืนยันแล้วออกก่อน แล้วจึงลบ GPO หากล้มเหลวระหว่างดำเนินการหรือผลไม่ชัดเจน ลิงก์บางรายการอาจถูกนำออกแล้วแต่ยังมีออบเจ็กต์อยู่ อย่าส่งคำขอซ้ำโดยไม่ตรวจสอบ ให้อ่านออบเจ็กต์และลิงก์ที่ได้รับผลกระทบทั้งหมดอีกครั้ง ดำเนินการตามแผนกู้คืนที่อนุมัติ และตรวจสอบสภาพแวดล้อมเป้าหมาย

แก้ไขปัญหา

• เขียนไม่ได้: ตรวจสอบโดเมนที่เลือก สิทธิ์ผู้ดูแลและข้อความความพร้อมของหน้า ติดต่อผู้ดูแลไดเรกทอรีหากจำเป็น
• แก้ไขรายการไม่ได้หรือเทมเพลตไม่พร้อม: ตรวจสอบข้อความความสามารถในการแก้ไข สิทธิ์และสถานะซิงโครไนซ์ ADMX การรองรับจริงขึ้นกับสภาพแวดล้อม
• อนุมัติแล้วแต่ไม่ใช้งาน: ตรวจสอบการดำเนินการในไดเรกทอรีก่อน แล้วตรวจสอบการตั้งค่า ลิงก์ ตัวกรองและผลจริงบนเป้าหมาย การอนุมัติไม่ยืนยันว่าดำเนินการหรือใช้งานบนปลายทางสำเร็จ
• ลิงก์หรือออบเจ็กต์เปลี่ยน: โหลดข้อมูลล่าสุด ตรวจสอบการเปลี่ยนของผู้ดูแลอื่นและผลกระทบก่อนตัดสินใจส่ง อย่าทำซ้ำเมื่อไม่ทราบผล
• ลบล้มเหลว: ตรวจสอบการยืนยันชื่อ การป้องกันออบเจ็กต์ การสแกนลิงก์และข้อความ อย่านำการป้องกันหรือลิงก์ออกโดยไม่ประเมินผลกระทบ