Computer >> Hướng Dẫn Máy Tính >  >> Hệ Thống >> Windows 10

Áp dụng Local Group Policy cho Non-Admins hoặc Single User với MLGPO

Local Group Policy dùng cấu hình Windows hoặc cài đặt user trên máy tính trong mạng workgroup nhỏ (không có AD domain). Trước đây nhược điểm chính của Local GPO là không áp dụng cài đặt policy cho user hoặc group local cụ thể. Ví dụ: tắt USB trong Local GPO → policy áp dụng cho cả user và admin local.

Multiple Local Group Policy Objects (MLGPOs) cho phép áp dụng cài đặt Local GPO cho các user hoặc group local khác nhau. Bài viết hướng dẫn áp dụng Local GPO cho single local user hoặc user không phải admin dùng MLGPO.

Có thể gán MLGPO cho:

  • Bất kỳ user local nào (theo tên);
  • Thành viên group local Administrators;
  • Tất cả user KHÔNG phải thành viên group local Administrators.

Local Group Policy Editor chỉ có trên Windows 10 Pro, Enterprise, Education. Trên Windows 10 Home, cài gpedit.msc theo hướng dẫn riêng.

Tạo Local Group Policy mới cho user/group:

  1. Win + R → mmc;
  2. File → Add/Remove Snap-in
    Áp dụng Local Group Policy cho Non-Admins hoặc Single User với MLGPO
  3. Chọn Group Policy Object Editor trong danh sách snap-in → Add;
    Áp dụng Local Group Policy cho Non-Admins hoặc Single User với MLGPO
  4. Nhấn Browse → tab Users. Chọn group hoặc user local áp dụng policy. Nếu GPO local đã gán cho user/group, cột Group Policy Object Exists hiển thị Yes. Để áp dụng cho tất cả user trừ admin, chọn Non-Administrators;
    Áp dụng Local Group Policy cho Non-Admins hoặc Single User với MLGPO
  5. Đảm bảo Local Computer\Non-Administrators được chọn → Finish;
    Áp dụng Local Group Policy cho Non-Admins hoặc Single User với MLGPO
  6. Console GPO editor hiện ra với cài đặt user. Cấu hình local policy settings áp dụng cho non-admin user;
    Áp dụng Local Group Policy cho Non-Admins hoặc Single User với MLGPO
  7. Cấu hình Group Policy settings mong muốn cho local users.

Có thể dùng MLGPO thiết lập hạn chế user áp dụng trước khi join máy vào AD domain. Ví dụ: hạn chế truy cập mạng dưới tài khoản local.

Muốn xóa local policy cho group, chọn group ở tab Users → Remove Group Policy Object.
Áp dụng Local Group Policy cho Non-Admins hoặc Single User với MLGPO

Nhược điểm chính của Local GPO: khó chuyển sang máy khác (khác domain GPO lưu trên AD DC và chỉnh sửa tập trung). Để chuyển cài đặt MLGPO, dùng công cụ chính thức Microsoft – lgpo.exe (thuộc Security Compliance Manager và Microsoft Security Baseline).

Xuất tất cả local policy đã cấu hình ra file:

lgpo /b c:\GPObackup\

Import cài đặt Local GPO sang máy khác, chỉ định GUID (tìm thư mục policy trong file backup bằng SID well-known của group Non-Administrators — S-1-5-32-545). Lệnh áp dụng trên máy đích:

lgpo /parse /u C:\GPObackup\{GUID}\DomainSysvol\GPO\User\registry.pol

Làm mới cài đặt GPO:

gpupdate /force

Cũng dùng script LocalGPO.wsf để export/import MLGPO.

Export:

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Non-Administrators

Import:

cscript LocalGPO.wsf /Path:C:\GPObackup\{GUID}