Group Policy: đặt quy tắc cho cả công ty

Trả lời nhanh: Group Policy cho phép định nghĩa một quy tắc trên máy chủ rồi để toàn bộ máy trạm tự áp dụng. Chính sách gắn vào đơn vị tổ chức chứ không gắn vào từng máy, và áp theo thứ tự từ mức miền xuống mức đơn vị con, mức áp sau ghi đè mức trước. Luôn thử trên một đơn vị nhỏ trước khi áp rộng.

Đây là công cụ tiết kiệm nhiều thời gian nhất trong hệ thống Windows nội bộ, và cũng là công cụ gây ra những buổi sáng cả trăm máy không đăng nhập được. Sự khác biệt nằm ở việc bạn có hiểu thứ tự áp dụng và có thử trước hay không.

Chính sách gắn vào đâu và áp theo thứ tự nào

Một chính sách không gắn thẳng vào máy tính hay người dùng. Nó gắn vào một vùng chứa, và mọi đối tượng nằm trong vùng đó nhận được.

Có ba mức gắn, áp lần lượt từ ngoài vào trong: mức khu vực mạng, mức miền, rồi mức đơn vị tổ chức. Nếu đơn vị tổ chức lồng nhau nhiều tầng thì tầng trong áp sau tầng ngoài.

Quy tắc quan trọng nhất: khi hai chính sách cùng đặt một thiết lập, cái áp sau thắng. Nghĩa là chính sách gắn ở đơn vị tổ chức sâu nhất sẽ ghi đè chính sách gắn ở mức miền. Nắm quy tắc này là giải thích được phần lớn tình huống chính sách không có tác dụng như mong đợi.

Có hai cơ chế phá vỡ thứ tự trên. Một là đánh dấu bắt buộc, khiến chính sách ở mức cao không bị ghi đè. Hai là chặn kế thừa ở một đơn vị tổ chức. Dùng cả hai đều làm hệ thống khó hiểu, nên hạn chế tối đa.

Hai nửa của một chính sách

Mỗi chính sách chứa hai phần tách biệt.

Phần cấu hình máy tính áp khi máy khởi động, không phụ thuộc ai đăng nhập. Dùng cho những thứ gắn với thiết bị: chính sách mật khẩu, cấu hình tường lửa, quy tắc cài phần mềm.

Phần cấu hình người dùng áp khi người dùng đăng nhập, đi theo người đó dù ngồi máy nào. Dùng cho ánh xạ ổ mạng, cấu hình máy in, tùy chỉnh giao diện.

Sai lầm hay gặp là đặt thiết lập vào nửa sai. Chính sách gắn vào đơn vị tổ chức chứa máy tính nhưng lại cấu hình ở phần người dùng thì không có tác dụng, và ngược lại. Khi một chính sách không chạy, hãy kiểm tra điều này trước tiên.

Sáu chính sách nên bật ngay

1. Chính sách mật khẩu. Độ dài tối thiểu, độ phức tạp, và khóa tạm sau nhiều lần nhập sai. Đặt ở mức miền.
2. Khóa màn hình tự động sau vài phút không thao tác. Đơn giản nhưng chặn được rủi ro thực tế nhất trong văn phòng.
3. Ánh xạ ổ mạng theo phòng ban. Nhân viên mở máy là thấy sẵn thư mục của mình, không phải gõ đường dẫn.
4. Giới hạn quyền cài phần mềm. Giảm cả rủi ro mã độc lẫn rủi ro dùng phần mềm chưa có giấy phép.
5. Cấu hình cập nhật hệ điều hành theo lịch của công ty, thay vì để mỗi máy tự quyết.
6. Bật ghi nhật ký đăng nhập. Không tốn gì, nhưng lúc cần điều tra sự cố thì đây là thứ duy nhất bạn có.

Cách thử an toàn trước khi áp rộng

Quy trình bốn bước, áp dụng cho mọi thay đổi chính sách.

1. Tạo một đơn vị tổ chức thử nghiệm chứa hai tới ba máy và một tài khoản thử.
2. Gắn chính sách mới vào đó và chờ máy lấy chính sách, hoặc buộc cập nhật ngay bằng lệnh làm mới chính sách.
3. Kiểm tra kết quả bằng công cụ báo cáo chính sách đang áp trên máy trạm, để biết chính xác chính sách nào đang thắng.
4. Áp dần theo phòng ban chứ không áp cả công ty một lượt, và tránh áp vào cuối ngày làm việc thứ sáu.

Thêm một thói quen đáng có: xuất báo cáo cấu hình chính sách ra tệp và cất cùng tài liệu vận hành. Khi một chính sách bị sửa nhầm, có bản gốc để so là tiết kiệm hàng giờ.

Gỡ rối khi chính sách không có tác dụng

Bốn nguyên nhân chiếm phần lớn các ca.

• Đối tượng không nằm trong vùng gắn chính sách. Máy tính mới thêm vào miền thường rơi vào vùng chứa mặc định chứ không vào đơn vị tổ chức của phòng ban.
• Đặt sai nửa cấu hình như đã nói ở trên.
• Bị chính sách khác ghi đè. Dùng công cụ báo cáo để xem chính sách nào đang thắng.
• Máy trạm chưa lấy chính sách mới. Chu kỳ mặc định khoảng chín mươi phút cộng thêm phần ngẫu nhiên. Chạy lệnh làm mới rồi kiểm lại.

Nếu vẫn không ra, kiểm tra máy trạm có phân giải được tên miền nội bộ không. Rất nhiều sự cố Windows nội bộ truy về nguyên nhân này.

Sáu chính sách nên bật ngay trong tuần đầu

Sáu mục này chiếm phần lớn giá trị mà công cụ chính sách nhóm mang lại. Những chính sách phức tạp hơn nên để sau, khi bạn đã quen với cách chúng được áp và gỡ.

Cách thử an toàn trước khi áp cho cả công ty

# Khong bao gio gan chinh sach moi vao goc cua ca mien # Quy trinh an toan:#  1. Tao mot don vi to chuc rieng ten la Thu-nghiem#  2. Chuyen VAI may hoac vai tai khoan cua chinh ban vao do#  3. Gan chinh sach vao don vi do#  4. Dang nhap thu, kiem tra bang lenh ben duoi#  5. Chi khi dung nhu mong doi moi ap rong # Kiem chinh sach nao dang thuc su ap len may naygpresult /rgpresult /h bao-cao.html      # ban day du, mo bang trinh duyet # Ep cap nhat chinh sach ngay thay vi cho chu ky tu donggpupdate /force # Neu chinh sach khong co tac dung, kiem theo thu tu nay:#  - may co nam dung don vi to chuc do khong#  - chinh sach ap cho MAY hay cho NGUOI DUNG, co dat nham nua khong#  - co chinh sach nao khac ghi de len khong

Ba nguyên nhân chính sách không áp được

• Đặt nhầm nửa. Một chính sách có nửa dành cho máy tính và nửa dành cho người dùng. Đặt vào nửa sai thì không bao giờ áp được, và đây là lỗi phổ biến nhất.
• Chưa đăng xuất đăng nhập lại. Nhiều chính sách chỉ có hiệu lực ở lần đăng nhập kế tiếp, không phải ngay lập tức.
• Bị chính sách khác ghi đè. Chính sách gắn ở cấp gần máy hơn thường thắng. Xem báo cáo đầy đủ để biết cái nào đang thắng cái nào.