Quản lý đối tượng Group Policy AD

Xem dưới dạng Markdown

“GPO Management” trong quản lý miền AD cho phép xem và quản lý đối tượng Group Policy của miền đích, gồm thông tin cơ bản, thiết đặt chính sách, liên kết, bộ lọc bảo mật, bộ lọc WMI và ủy quyền. GPO AD khác với chính sách thiết bị đầu cuối của Ping64. Ghi thành công vào thư mục không có nghĩa mọi người dùng hoặc máy tính đích đã áp dụng; cần xác minh kết quả thực tế trong môi trường đích.

Chuẩn bị môi trường và phê duyệt

Xem cấu hình đầy đủ tại Quy tắc phê duyệt thao tác miền AD.

Hoàn tất cấu hình kết nối và phạm vi đồng bộ miền AD. Kiểm tra miền đích cùng quyền xem, ghi và thao tác cần thiết của tài khoản dịch vụ thư mục và quản trị viên. Chọn miền trong “GPO Management” và chờ môi trường ghi sẵn sàng. Nếu không khả dụng, xem thông báo và nhờ quản trị viên thư mục kiểm tra môi trường, quyền.
Xác định miền, đơn vị tổ chức, người dùng và máy tính bị ảnh hưởng. Kiểm tra liên kết, bộ lọc và ủy quyền hiện có, đánh giá tác động nghiệp vụ và chuẩn bị phương án khôi phục. Trước tiên thử trong miền thử nghiệm hoặc trên đối tượng kiểm soát; không thử nghiệm chưa được phép trên đối tượng sản xuất.
Nếu cần phê duyệt, kiểm tra mẫu thao tác miền AD phù hợp và người phê duyệt trong “Objects & Templates > Approval Templates”, rồi kiểm tra các quy tắc đang bật tại quản lý miền AD > “Audit Events > Platform Operations > Operation Audit > Approval rule”. Dùng lại cấu hình phù hợp; chỉ người có quyền quản lý mới tạo hoặc điều chỉnh mẫu và quy tắc khi cần.
Nếu cần tạo hoặc điều chỉnh quy tắc, chọn mẫu và các thao tác GPO cần phê duyệt như tạo, sửa, sao chép, liên kết, lọc, ủy quyền, thiết đặt và xóa. Đặt miền, số đối tượng, vai trò người yêu cầu và ưu tiên nếu cần, bật và lưu. Kiểm thử phạm vi bằng đối tượng được kiểm soát. Thao tác không khớp quy tắc đang bật sẽ thực thi trực tiếp và không tự chờ phê duyệt. Xem Xử lý phê duyệt thao tác miền AD.

Vai trò người yêu cầu và phạm vi quy tắc: Khi chọn nhiều vai trò, người yêu cầu chỉ cần có một trong các vai trò được chọn còn hiệu lực để thỏa điều kiện vai trò, không cần có tất cả. Thao tác đã chọn và các điều kiện khác vẫn phải đồng thời phù hợp. Nếu vai trò đã chọn bị vô hiệu hóa hoặc xóa, hãy bỏ hoặc thay thế vai trò không hợp lệ trước khi lưu quy tắc đã sửa. Sau thay đổi, kiểm tra phạm vi và thử bằng thao tác được kiểm soát để tránh thao tác không khớp bị thực thi trực tiếp ngoài dự kiến.

Tìm và tạo GPO

Mở “GPO Management”, chọn miền đích và tìm theo từ khóa, cấu hình người dùng, cấu hình máy tính hoặc trạng thái liên kết. Mở chi tiết để kiểm tra tên, trạng thái cấu hình và phạm vi hiện có.
Để tạo, chọn “Create GPO”, nhập tên và mô tả nếu cần, kiểm tra trạng thái bật cấu hình người dùng và máy tính. Xác nhận miền và thông tin rồi gửi.
Nếu cần phê duyệt, theo dõi phê duyệt rồi theo dõi thực thi thư mục; nếu không, theo dõi trực tiếp. Khi hoàn tất, làm mới danh sách và đọc lại chi tiết. Việc gửi hoặc được duyệt không chứng minh tạo đã hoàn tất.
Cấu hình thiết đặt chính sách và liên kết cần thiết, sau đó kiểm tra bộ lọc và việc áp dụng thực tế trên đối tượng. Tạo đối tượng riêng lẻ không có nghĩa chính sách đã được áp dụng.

Cấu hình thiết đặt và phạm vi

Chọn “Edit Policy Content” của GPO đích. Trong cây thiết đặt, chọn cấu hình người dùng hoặc máy tính, tìm mục và kiểm tra mô tả, trạng thái và khả năng sửa. Một số mục có thể chỉ đọc hoặc không khả dụng do môi trường hay quyền; không giả định mọi mục đều sửa được.
Thực hiện thay đổi và chọn “Apply” hoặc “Confirm”. Xác nhận theo thông báo rồi theo dõi phê duyệt hoặc thực thi. Khi cần mẫu quản trị, làm theo hướng dẫn đồng bộ ADMX; sau khi đồng bộ, chọn lại mục và kiểm tra trạng thái. Không gửi lại khi kết quả đang chờ xác nhận. Trước khi chọn “Sync ADMX”, chuyển thiết đặt hoặc rời trang, hãy xử lý các thay đổi chưa lưu. Nếu chọn bỏ thay đổi trong hộp thoại xác nhận, các chỉnh sửa chưa lưu hiện tại sẽ bị mất.
Trong “Manage” của GPO, mở “GPO links” và chọn “Add link”. Chọn vị trí đích, kiểm tra liên kết hiện có và điều chỉnh trạng thái bật, bắt buộc và thứ tự nếu cần. Gửi và theo dõi kết quả. Nếu có thay đổi đồng thời, tải lại liên kết và xem thay đổi của quản trị viên khác. Trước khi thay đổi, ghi lại tất cả liên kết GPO tại vị trí đích cùng thứ tự, trạng thái bật và bắt buộc. Nếu cập nhật thất bại giữa chừng hoặc kết quả không rõ, các liên kết khác tại cùng vị trí cũng có thể bị ảnh hưởng; không mặc định chúng vẫn nguyên vẹn. Hãy đọc lại toàn bộ danh sách, thực hiện theo kế hoạch khôi phục đã phê duyệt và xác minh trên đối tượng được kiểm soát.
Trong “Security filtering”, kiểm tra các đối tượng được phép áp dụng GPO. Trang cảnh báo lưu bộ lọc bảo mật trống sẽ khiến GPO không được áp dụng; xác nhận lựa chọn và tác động trước khi gửi. Khi cần, kiểm tra hoặc sửa bộ lọc WMI và ủy quyền, kiểm tra riêng phạm vi chính sách và quyền quản lý.
Đọc lại cấu hình và xác minh áp dụng thực tế trên người dùng hoặc máy tính được kiểm soát theo quy trình tổ chức. Liên kết, bộ lọc, trạng thái cấu hình người dùng và máy tính cùng môi trường đích có thể ảnh hưởng kết quả. Gỡ liên kết không phải xóa GPO.

Quản lý lọc bảo mật và ủy quyền

Trong màn hình Manage của GPO đích, mở Security filtering và chọn Manage. Nhập tên người dùng, máy tính hoặc nhóm bảo mật, nhấn Enter để tìm rồi thêm kết quả cần thiết. Có thể gỡ mục chỉnh sửa được; không thể sửa mục chỉ đọc tại đây. Kiểm tra toàn bộ danh sách, chọn Save và theo dõi phê duyệt hoặc thực thi.
Chuyển sang Delegation và chọn Manage. Tìm và thêm người dùng hoặc nhóm. Với mục có thể chỉnh sửa, chọn Read, Edit settings hoặc Edit, delete, and modify security theo nguyên tắc quyền tối thiểu. Gỡ mục chỉnh sửa được khi cần; mục chỉ đọc không thể sửa tại đây. Lưu và theo dõi phê duyệt hoặc thực thi.
Ghi lại danh sách và quyền ban đầu trước khi lưu. Nếu gửi thất bại hoặc kết quả không rõ, hãy đọc lại lọc bảo mật và ủy quyền, kiểm tra trạng thái thực tế rồi mới quyết định thử lại. Sau thay đổi, kiểm tra cả việc áp dụng chính sách và quyền quản trị; việc gửi không chứng minh đã có hiệu lực.

Sửa, sao chép và xóa

Thông tin cơ bản: Chọn sửa thông tin, kiểm tra tên, mô tả và trạng thái cấu hình người dùng, máy tính; lưu, theo dõi và đọc lại để xác nhận nội dung thực tế.
Sao chép: Chọn “Copy”, nhập thông tin đối tượng mới và gửi. Theo trang, thiết đặt chính sách được sao chép nhưng liên kết, ủy quyền tùy chỉnh, lọc bảo mật và gán WMI thì không. Kiểm tra và cấu hình riêng khi cần; không giả định phạm vi giống nhau. Nếu sao chép thất bại hoặc kết quả không rõ, hãy làm mới danh sách và kiểm tra GPO mới đã tồn tại chưa và thiết lập đã đầy đủ chưa. Chỉ quyết định thử lại sau khi kiểm tra để tránh tạo trùng hoặc để lại đối tượng cấu hình chưa hoàn tất.
Xóa: Trước tiên kiểm tra liên kết, bộ lọc, ủy quyền và phụ thuộc nghiệp vụ, chuẩn bị khôi phục. Chọn xóa, nhập tên GPO để xác nhận và theo dõi phê duyệt hoặc thực thi. Việc xóa đối tượng tích hợp bị hạn chế. Hệ thống quét liên kết trong toàn bộ rừng và từ chối xóa nếu không thể xác minh bất kỳ phạm vi nào; xử lý nguyên nhân được báo, không bỏ qua bảo vệ.

Trong quá trình xóa, hệ thống trước tiên cố gỡ các liên kết liên quan đã xác định, sau đó xóa GPO. Nếu thất bại giữa chừng hoặc kết quả không rõ, một số liên kết có thể đã bị gỡ trong khi đối tượng vẫn còn. Không gửi lại khi chưa kiểm tra. Hãy đọc lại đối tượng và tất cả liên kết bị ảnh hưởng, thực hiện theo kế hoạch khôi phục đã phê duyệt và xác minh môi trường đích.

Khắc phục sự cố

Không thể ghi: Kiểm tra miền đã chọn, quyền quản trị và thông báo trạng thái môi trường; liên hệ quản trị viên thư mục nếu cần.
Không sửa được mục hoặc mẫu không khả dụng: Kiểm tra thông báo khả năng sửa, quyền và trạng thái đồng bộ ADMX. Mức hỗ trợ thực tế tùy môi trường.
Đã duyệt nhưng chưa áp dụng: Kiểm tra thực thi thư mục trước, rồi cấu hình, liên kết, bộ lọc và áp dụng thực tế trên đối tượng kiểm soát. Phê duyệt không chứng minh thực thi hoặc áp dụng ở thiết bị đã thành công.
Liên kết hoặc đối tượng đã thay đổi: Tải lại thông tin mới nhất, xem thay đổi của quản trị viên khác và tác động trước khi quyết định gửi. Không lặp lại khi chưa rõ kết quả.
Xóa thất bại: Kiểm tra xác nhận tên, bảo vệ đối tượng, quét liên kết và thông báo. Không gỡ bảo vệ hoặc liên kết khi chưa đánh giá tác động.

Ngày cập nhật 15 thg 11, 2026