Bài này giới thiệu template quản trị Group Policy (admx) của Chrome, do Google cung cấp, cho phép quản trị trung tâm cài đặt trình duyệt trong domain Active Directory. Template ADMX GPO của Chrome đơn giản hóa việc triển khai và cấu hình trình duyệt trong mạng doanh nghiệp. Chúng ta cũng sẽ trình bày vài nhiệm vụ điển hình quản lý cài đặt Google Chrome dùng GPO và cài đặt extension trình duyệt.
Cài đặt template GPO ADMX cho Google Chrome
Để quản lý cài đặt Chrome qua Group Policies, bạn phải tải và cài bộ template GPO quản trị đặc biệt (file admx):
-
- Tải và giải nén archive template ADM/ADMX Group Policies cho Google Chrome (https://dl.google.com/dl/edgedl/chrome/policy/policy_templates.zip — dung lượng khoảng 13 MB);
- Trong policy_templates có 3 thư mục:
- chromeos (template quản trị cho Chromium);
- common (chứa file html mô tả đầy đủ tất cả cài đặt policy Chrome – xem file chrome_policy_list.html);
- windows – chứa template policy Chrome hai định dạng: ADM và ADMX (admx là định dạng policy quản trị mới hơn, hỗ trợ từ Windows Vista / Windows Server 2008 trở lên); Cùng thư mục có file chrome.reg. File này chứa ví dụ cài đặt registry Chrome có thể đặt qua GPO. Bạn dùng ví dụ từ file reg này để import trực tiếp cài đặt Chrome dùng Group Policy Preferences).
- Copy file template quản trị Chrome vào thư mục
C:\Windows\PolicyDefinitions(template GPO quản trị cục bộ lưu ở thư mục này). Để cài đặt Group Policy Chrome được bản địa hóa, bạn cần copy file template ADML tương ứng (thư mục en-US, de-De, v.v..). Lưu ý. Nếu muốn dùng policy Chrome trong domain Active Directory, bạn cần copy file ADMX và ADML vào thư mục GPO cụ thể (không phải lựa chọn tốt) hoặc vào thư mục PolicyDefinitions trong SYSVOL trên domain controller. - Giả sử, chúng ta dùng định dạng ADMX template GPO và Central Policy Store domain. Copy file chrome.admx và thư mục bản địa hóa vào \\woshub.loc\SYSVOL\woshub.loc\Policies\PolicyDefinitions\PolicyDefinitions;
- Mở Group Policy Management Console domain (gpmc.msc) và edit GPO hiện có (hoặc tạo mới). Đảm bảo thư mục Google mới chứa hai mục con (Google Chrome và Google Chrome – Default Settings (users can override)) xuất hiện cả ở phần User và Computer của Policies → Administrative Templates;
Mẹo. Nếu không dùng Central Store cho Group Policies, bạn có thể thêm template GPO cho Google Chrome thủ công. Click chuột phải Administrative Templates chọn Add/Remove Templates. Trong cửa sổ tiếp theo chỉ định đường dẫn đến file .adm của Chrome. Tốt hơn chỉ định đường dẫn dạng UNC, như: \\woshub.loc\SYSVOL\woshub.loc\Policies\{60553A6F-2549-4C9E-B522-D3CF668E56B4}\Adm\chrome.adm.
Các template quản trị này chứa khoảng 300+ cài đặt Google Chrome khác nhau bạn có thể quản lý. Bạn tự khám phá và cấu hình cài đặt trình duyệt cần thiết trong môi trường của mình.
Cấu hình các cài đặt Google Chrome điển hình qua GPO
Lưu ý cài đặt Google Chrome lưu ở hai phần Group Policy (cả Computer và User Configuration):
- Google Chrome – user (thậm chí admin cục bộ) không thể thay đổi cài đặt Chrome trên máy tính của họ chỉ định trong phần GPO này;
- Google Chrome – Default Settings (users can override) – cài đặt trình duyệt khuyến nghị mà user có thể thay đổi.
Xét các cài đặt Chrome cơ bản thường cấu hình tập trung trong môi trường doanh nghiệp:
- Set Google Chrome as Default Browser: Enabled;
- Set disk cache directory – đường dẫn cache disk Chrome (thường là "${local_app_data}\Google\Chrome\User Data");
- Set disk cache size – dung lượng cache disk (byte);
- Set Google Chrome Frame user data directory – thư mục cài đặt user Chrome "${local_app_data}\Google\Chrome\User Data";
- Managed Bookmarks;
- Tắt auto-update Chrome: Allow Installation: Disable, Update Policy Override: Enable và trong Policy field chỉ định Updates Disable;
- Thêm site nhất định vào danh sách trusted sites – Policies HTTP Authentication → Authentication server whitelist;
- Cho phép xác thực Kerberos trong Chrome cho site cụ thể. Thêm danh sách địa chỉ server và site vào cài đặt policy HTTP Authentication → Kerberos Delegation Server Whitelist và Authentication Server Whitelist;
- Send anonymous usage statistics and crash information: False;
- Dùng hồ sơ Chrome tạm thời (dữ liệu xóa sau phiên user kết thúc). Ephemeral profile → Enabled;
- Block access to a list of URLs: thêm danh sách website bị chặn;
- Thay đổi vị trí thư mục download: Set download directory: c:\temp\downloads.
Lưu ý thư mục ${local_app_data} tương ứng %username%\AppData\Local, và ${roaming_app_data} – \%username%\AppData\Roaming.
Danh sách đầy đủ cài đặt policy Chrome với giải thích chi tiết tại https://cloud.google.com/docs/chrome-enterprise/policies/.
Cấu hình Proxy Server và Home Page với Chrome GPO
Hãy cấu hình proxy server trong Chrome. Chúng ta quan tâm mục policy sau: Google Chrome → Proxy Server.
- địa chỉ proxy server: ProxyServer – 192.168.123.123:3128
- danh sách ngoại lệ proxy: ProxyBypassList – https://www.woshub.local,192.168.*, *.corp.woshub.local
Đặt trang chủ: Google Chrome → Startup, Home page and New Tab page→ Configure the home page URL: https://woshub.com/
Còn lại là liên kết policy đến container (OU) mong muốn của Active Directory. Áp dụng group policy trên client bằng lệnh:
gpupdate /force |
Khởi chạy Chrome trên client và đảm bảo cài đặt chỉ định trong GPO được áp dụng (trên ảnh chụp màn hình ví dụ, user không thể thay đổi giá trị do admin gán – "This setting is enforced by your administrator").
Bạn có thể troubleshoot gán group policy trên máy desktop dùng gpresult.
Trên trang cài đặt, hiển thị "Your browser is managed by your organization".
Để hiển thị tất cả cài đặt Google Chrome đặt qua GPO, vào địa chỉ Chrome://policy (ở đây hiển thị tham số chỉ định qua registry hoặc file template admx GPO).
Triển khai Google Chrome Extensions dùng Group Policy
Bạn có thể dùng template ADMX cài đặt một số extension Google Chrome cho tất cả user domain. Ví dụ, bạn muốn tự động cài extension AdBlock trên tất cả máy. Mở trang cài đặt chrome://extensions và cài extension cần thiết trên máy của bạn.
Bây giờ cần lấy ID extension và URL cập nhật extension. ID extension Google Chrome tìm được ở properties extension (Developer mode phải bật).
Theo ID, tìm thư mục extension trong hồ sơ user C:\Users\%Username%\AppData\Local\Google\Chrome\User Data\Default\Extensions\{id_here}.
Trong thư mục extension tìm và mở file manifest.json và copy giá trị update_url. Khá có thể bạn thấy URL sau: https://clients2.google.com/service/update2/crx.
Bây giờ, trong console GPO editor, vào Computer Configuration → Policies → Administrative Templates → Google → Google Chrome → Extensions. Bật policy Configure the list of force-installed extensions.
Nhấn nút Show và thêm dòng cho mỗi extension muốn cài. Dùng định dạng sau:
{extension_id_here};https://clients2.google.com/service/update2/crx
Sau khi áp dụng cho máy user, tất cả extension Chrome chỉ định sẽ cài im lặng không tương tác user.
