Một trong những công cụ chính để cấu hình cài đặt user và hệ thống trong Windows là Group Policy Objects (GPO). Local (cài đặt này được cấu hình cục bộ trên máy tính) và domain GPO (nếu máy tính tham gia Active Directory domain) có thể áp dụng cho máy tính và user của nó. Tuy nhiên, cấu hình sai một số cài đặt GPO có thể dẫn đến nhiều vấn đề. Cài đặt Group Policy có thể chặn kết nối thiết bị USB, shared printer và folder, hạn chế truy cập mạng bằng quy tắc Windows Defender Firewall, chặn app và công cụ cài đặt hoặc chạy (qua policy SPR hoặc AppLocker), hạn chế logon cục bộ hoặc từ xa đến máy tính.
Nếu bạn không thể logon vào máy tính cục bộ, hoặc không biết chính xác cài đặt GPO áp dụng nào gây vấn đề, bạn phải dùng script để reset cài đặt Group Policy về giá trị mặc định. Ở trạng thái "sạch", không có cài đặt Group Policy nào được cấu hình.
Trong bài viết này chúng tôi trình bày một số phương pháp reset cài đặt local và domain Group Policies về giá trị mặc định. Hướng dẫn này dùng được cho tất cả phiên bản Windows hỗ trợ: từ Windows 7 đến Windows 10, cũng như tất cả phiên bản Windows Server (2008/R2, 2012/R2, 2016 và 2019).
Cách Reset Cài Đặt Local Group Policy Editor (Gpedit.msc) Về Mặc Định?
Phương pháp này dùng GUI của console Local Group Policy Editor (gpedit.msc) để vô hiệu hóa tất cả cài đặt policy đã cấu hình. Local GPO graphical editor chỉ có sẵn trong Windows 10 Pro, Enterprise và Education.
Mẹo. Trong phiên bản Home của Windows, console Local Group Policy Editor (gpedit.msc) bị thiếu.
Chạy snap-in MMC gpedit.msc và đi đến section All Settings (Local Computer Policy -> Computer Configuration – > Administrative templates). Section này chứa danh sách tất cả cài đặt có sẵn để cấu hình trong local administrative GPO templates. Sắp xếp policy theo cột State và tìm tất cả policy đã cấu hình (Disabled hoặc Enabled state). Vô hiệu hóa tất cả hoặc một số bằng cách chuyển sang trạng thái Not configured.
Bạn có thể dùng công cụ LGPO.exe từ Security Compliance Manager để backup cài đặt local GPO hiện tại.
Làm tương tự ở section User Configuration. Như vậy, bạn có thể vô hiệu hóa tất cả cài đặt trong Administrative GPO templates.
Mẹo. Báo cáo HTML tiện lợi chứa danh sách tất cả cài đặt local và domain policy đã áp dụng có thể lấy với công cụ GPResult tích hợp:
gpresult /h c:\PS\GPRreport.html
Phương pháp reset Group Policy trong Windows trên phù hợp cho trường hợp đơn giản. Cấu hình GPO sai có thể dẫn đến vấn đề nghiêm trọng hơn. Ví dụ, không thể chạy snap-in gpedit.msc thậm chí bất kỳ chương trình/app nào, mất quyền administrator, hoặc hạn chế logon cục bộ. Trong các trường hợp như vậy, bạn phải reset cài đặt GPO đã lưu trong file cục bộ trên máy tính của bạn.
File Registry.pol Của Group Policy
Kiến trúc Windows Group Policy dựa trên file Registry.pol đặc biệt. Các file này lưu cài đặt registry tương ứng với cài đặt GPO đã cấu hình. User và Computer policy được lưu trong file Registry.pol khác nhau.
- Cài đặt máy tính (Computer Configuration section) lưu trong
%SystemRoot%\System32\GroupPolicy\Machine\registry.pol - Cài đặt user (User Configuration section) lưu trong
%SystemRoot%\System32\GroupPolicy\User\registry.pol
Trong quá trình khởi động, Windows import nội dung \Machine\Registry.pol vào system registry hive HKEY_LOCAL_MACHINE (HKLM). Nội dung file \User\Registry.pol được import vào hive HKEY_CURRENT_USER (HKCU) khi user đăng nhập.
Khi bạn mở Local GPO Editor Console, nó load nội dung file registry.pol và hiển thị chúng theo cách đồ họa thân thiện. Khi bạn đóng GPO editor, thay đổi bạn làm được lưu vào file Registry.pol. Khi bạn cập nhật cài đặt Group Policy trên máy tính (dùng lệnh gpupdate /force hoặc theo lịch), cài đặt mới được áp dụng vào registry.
Mẹo. Để thay đổi file Registry.pol, bạn chỉ nên dùng console local GPO Editor. Không khuyến khích chỉnh sửa file Registry.pol thủ công hoặc dùng phiên bản cũ của Group Policy Editor!
Để xóa tất cả cài đặt hiện tại cho local GPO, bạn phải xóa file Registry.pol trong thư mục GroupPolicy và GroupPolicyUsers.
Reset Tất Cả Cài Đặt Local Group Policy Ngay Lập Tức Trên Windows 10/Windows Server 2016
Để buộc reset tất cả cài đặt local Group Policy hiện tại, bạn phải xóa file Registry.pol. Có thể xóa hoàn toàn thư mục chứa file cấu hình policy. Bạn có thể làm với các lệnh sau, chạy trong command prompt quyền cao:
RD /S /Q "%WinDir%\System32\GroupPolicyUsers" RD /S /Q "%WinDir%\System32\GroupPolicy"
Trong Windows 10 2004, lệnh RD.exe bị loại bỏ, nên lệnh RMDIR.exe phải dùng để xóa thư mục.
Sau đó, bạn cần reset cài đặt GPO cũ trong registry bằng cách áp dụng GPO sạch:
gpupdate /force
Các lệnh này sẽ reset tất cả cài đặt local Group Policy trong section Computer Configuration và User Configuration.
Mở gpedit.msc và đảm bảo tất cả policy ở trạng thái Not Configured. Sau khi chạy console gpedit.msc, thư mục GroupPolicyUsers và GroupPolicy bị xóa sẽ tự động tạo lại với file Registry.pol rỗng.
Lần sau bạn thay đổi Group Policy, Windows sẽ tạo file Registry.pol mới với cài đặt mới.
Reset Cài Đặt Local Security Policy Về Mặc Định Trong Windows
Local security policies được cấu hình trong console mmc riêng – secpol.msc. Nếu vấn đề với máy tính do "siết chặt" cài đặt bảo mật cục bộ, và nếu bạn vẫn có truy cập cục bộ vào Windows và quyền admin, tốt hơn reset cài đặt security policy về giá trị mặc định. Để làm vậy, mở cmd.exe quyền admin và chạy lệnh sau:
- Trong Windows 10, Windows 8.1/8 và Windows 7:
secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose - Trong Windows XP:
secedit /configure /cfg %windir%\repair\secsetup.inf /db secsetup.sdb /verbose
Khởi động lại máy tính.
Nếu bạn vẫn có vấn đề với security policy, thử thủ công đổi tên file checkpoint của database local security policy %windir%\security\database\edb.chk.
ren %windir%\security\database\edb.chk edb_old.chk
Chạy lệnh:
gpupdate /force
Khởi động lại Windows dùng lệnh shutdown:
Shutdown –f –r –t 0
Reset Local GPO Settings Không Đăng Nhập
Nếu không thể boot/login Windows, dịch vụ GPSVC không chạy, bạn không có quyền local admin, hoặc không thể mở command prompt (ví dụ, app bị chặn bởi Applocker/SRP policy), chỉ cần boot máy tính từ bất kỳ đĩa cài Windows, USB flash drive hoặc LiveCD và reset local GPO bên ngoài image Windows đã cài.
- Boot máy tính từ media cài Windows bất kỳ và mở command prompt (
Shift+F10); - Chạy lệnh:
diskpart - Sau đó hiển thị danh sách volume trên máy tính:
list volume
Trong trường hợp này, chữ cái ổ đĩa gán cho system volume tương ứng với system drive C:\. Tuy nhiên, đôi khi nó có thể không khớp. Vì vậy, các lệnh dưới phải thực thi trong ngữ cảnh system drive của bạn (ví dụ, D:\ hoặc C:\); - Đóng diskpart:
exit - Chạy các lệnh sau lần lượt:
RD /S /Q C:\Windows\System32\GroupPolicy
RD /S /Q C:\Windows\System32\GroupPolicyUsers - Khởi động lại máy tính ở chế độ bình thường và đảm bảo cài đặt local Group Policy được reset về trạng thái mặc định.
Cách Xóa Và Loại Bỏ Cài Đặt GPO Áp Dụng Bởi Domain?
Một chút về domain Group Policies. Nếu máy tính tham gia Active Directory domain, một số cài đặt của nó được đặt bởi domain-based GPOs.
File registry.pol của tất cả domain Group Policies đã áp dụng được lưu trong thư mục %windir%\System32\GroupPolicy\DataStore\0\SysVol\contoso.com\Policies. Mỗi policy được lưu trong thư mục riêng với GUID domain policy. Sau khi máy tính rời khỏi AD domain, file registry.pol của domain Group Policies trên máy tính sẽ bị xóa và không load vào registry khi khởi động. Tuy nhiên, đôi khi, dù đã xóa máy tính khỏi domain, cài đặt GPO vẫn có thể được áp dụng cho máy tính.
Các khóa registry sau tương ứng với các file registry.pol này:
- HKLM\Software\Policies\Microsoft
- HKCU\Software\Policies\Microsoft
- HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects
- HKCU\Software\Microsoft\Windows\CurrentVersion\Policies
Lịch sử phiên bản của domain GPO đã áp dụng dùng trên client nằm trong các khóa registry sau:
- HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy\History\
- HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy\History\
Local cache của domain GPO đã áp dụng lưu trong C:\ProgramData\Microsoft\Group Policy\History. Xóa file trong thư mục này bằng lệnh:
DEL /S /F /Q “%PROGRAMDATA%\Microsoft\Group Policy\History\*.*”
Nếu bạn cần buộc xóa cài đặt domain GPO, bạn cần dọn dẹp thư mục %windir%\System32\GroupPolicy\DataStore\0\SysVol\contoso.com\Policies và xóa các khóa registry chỉ định (khuyến nghị mạnh mẽ backup file và registry entry bị xóa!!!) .
gpupdate /force /boot
Mẹo. Các cách thảo luận cho phép reset tất cả cài đặt local GPO trong các phiên bản Windows. Tất cả cài đặt làm với Group Policy Editor sẽ reset. Tuy nhiên, thay đổi làm trực tiếp vào registry với regedit.exe, file REG, domain registry GPP hoặc cách khác không bị reset.