Group Policy là gì?
Group Policy là tính năng của hệ điều hành Windows (từ Windows 2000 trở đi) cho phép quản trị viên tập trung cấu hình và quản lý thiết lập hệ điều hành, ứng dụng và thiết lập người dùng/máy tính trong môi trường Active Directory. Nó hoạt động dựa trên việc chỉnh sửa Registry của máy tính.
Group Policy Object (GPO) là gì?
GPO là một đối tượng chứa tập hợp các thiết lập chính sách (policy settings). Mỗi GPO có GUID duy nhất. GPO được liên kết (link) với Site, Domain hoặc Organizational Unit (OU) trong Active Directory.
Các loại GPO
| Loại | Mô tả | Phạm vi áp dụng |
|---|---|---|
| Local GPO | Tồn tại trên từng máy tính riêng lẻ | Chỉ máy cục bộ đó |
| Non-local GPO (Domain GPO) | Lưu trong AD, được replicate | Site, Domain, OU |
| Starter GPO | Mẫu (template) để tạo GPO mới nhanh chóng | Dùng làm khung khởi tạo |
Cấu trúc GPO: 2 Node chính
- Computer Configuration: Áp dụng cho máy tính (khởi động, bảo mật, phần mềm)
- User Configuration: Áp dụng cho người dùng (đăng nhập, môi trường desktop, ứng dụng)
Các thiết lập an ninh quan trọng thường cấu hình qua GPO
- Password Policy: Độ dài, độ phức tạp, tuổi tối đa, lịch sử mật khẩu
- Account Lockout Policy: Ngưỡng khóa tài khoản, thời gian khóa
- Audit Policy: Ghi log đăng nhập, truy cập file, thay đổi hệ thống
- User Rights Assignment: Logon as service, access this computer from network...
- Security Options: Tắt tài khoản Guest, rename Administrator, hạn chế anonymous access
- Windows Firewall with Advanced Security: Inbound/Outbound rules, connection security rules
- Software Restriction Policies / AppLocker: Chặn chạy phần mềm không cho phép
- BitLocker Drive Encryption: Bắt buộc mã hóa ổ đĩa
Thứ tự xử lý GPO (LSDOU)
Local → Site → Domain → OU (GPO sau ghi đè GPO trước nếu xung đột). Enforced GPO và Block Inheritance có thể thay đổi hành vi này.
Ví dụ thực tế
- Chặn USB storage: Computer Config → Policies → Admin Templates → System → Removable Storage Access
- Bắt buộc mật khẩu 12 ký tự, thay đổi 90 ngày: Default Domain Policy
- Triển khai phần mềm MSI qua GPO: Software Installation
Công cụ quản trị
- GPMC (Group Policy Management Console): Công cụ chính (gpmc.msc)
- GPEDIT.MSC: Local Group Policy Editor
- RSOP.MSC / gpresult /h report.html: Kiểm tra kết quả áp dụng (Resultant Set of Policy)