Một trong những thách thức lớn nhất cho quản trị viên IT trong một công ty là chặn quyền truy cập vào các thiết bị như USB, Ổ cứng ngoài, thậm chí Máy in cho các thiết bị của tổ chức. Để làm cho việc này dễ dàng hơn một chút, Microsoft đã tung ra tính năng Chính sách nhóm phân lớp (Layered Group Policy) cho phép quản trị viên phân chia các thiết bị nào có thể được cài đặt trên các máy tính trong tổ chức.
Chính sách nhóm phân lớp (Layered Group Policy) trong Windows 11 là gì?
Chính sách nhóm này nhằm đảm bảo các máy tính ít bị hỏng hơn, giảm số lượng trường hợp hỗ trợ, và quan trọng nhất là giảm thiểu cắp dữ liệu. Chính sách đảm bảo hạn chế bất kỳ cài đặt nào, tức là việc sử dụng thiết bị cả trong môi trường nội bộ và bên ngoài đều bị chặn. Quản trị viên IT có thể chọn phép các thiết bị được ủy quyền trước để sử dụng/cài đặt.
Kịch bản có sẵn ở đây đảm bảo không phải tất cả các lớp đều bị chặn:
Cấu hình máy tính > Hệ thống > Cài đặt thiết bị > Hạn chế cài đặt thiết bị
điều này có nghĩa là nếu bạn chọn chặn sử dụng thiết bị USB, nó chỉ chặn USB. Tiến xa hơn một bước, tính năng mới giải quyết vấn đề trước đây nơi cần tạo nhiều bộ thiết lập để tránh xung đột. Thay vào đó, bạn có phân lớp phân cấp Instance ID thiết bị > Device ID > Lớp > Thuộc tính thiết bị di động.
Cách áp dụng Chính sách nhóm phân lớp trong Windows 11
Chính sách đầu tiên bạn cần bật là — Áp dụng thứ tự đánh giá phân lớp cho các chính sách Cho phép và Ngăn chặn cài đặt thiết bị trên tất cả tiêu chí khớp thiết bị (Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria).
Sau khi hoàn tất, có một bộ chính sách bổ sung, và bạn cần đảm bảo giữ thứ tự phân cấp (Device instance IDs > Device IDs > Device setup class > Removable devices) trong tâm trí. Dưới đây là các chính sách liên quan đến từng mục:
Device instance IDs (ID phiên bản thiết bị)
- Ngăn cài đặt thiết bị sử dụng trình điều khiển khớp với các ID phiên bản thiết bị này (Prevent installation of devices using drivers that match these device instance IDs)
- Cho phép cài đặt thiết bị sử dụng trình điều khiển khớp với các ID phiên bản thiết bị này (Allow installation of devices using drivers that match these device instance IDs).
Device IDs (ID thiết bị)
- Ngăn cài đặt thiết bị sử dụng trình điều khiển khớp với các ID thiết bị này (Prevent installation of devices using drivers that match these device IDs)
- Cho phép cài đặt thiết bị sử dụng trình điều khiển khớp với các ID thiết bị này (Allow installation of devices using drivers that match these device IDs)
Device setup class (Lớp cài đặt thiết bị)
- Ngăn cài đặt thiết bị sử dụng trình điều khiển khớp với các lớp cài đặt thiết bị này (Prevent installation of devices using drivers that match these device setup classes)
- Cho phép cài đặt thiết bị sử dụng trình điều khiển khớp với các lớp cài đặt thiết bị này (Allow installation of devices using drivers that match these device setup classes).
Removable devices (Thiết bị di động)
- Ngăn cài đặt thiết bị di động (Prevent installation of removable devices)
Cấu hình từng chính sách bằng cách thêm ID thiết bị hoặc ID lớp và áp dụng thay đổi.
Microsoft khuyến nghị sử dụng chính sách này thay vì cài đặt chính sách "Ngăn cài đặt thiết bị không được mô tả bởi các cài đặt chính sách khác (Prevent installation of devices not described by other policy settings)" vì cấu trúc phân lớp.
Cách tìm ID phần cứng (Hardware ID) hoặc ID tương thích (Compatible ID)?
- Mở Trình quản lý thiết bị (Device Manager) bằng Win + X, sau đó nhấn M.
- Định vị thiết bị. Nhấp chuột phải vào nó, sau đó chọn Thuộc tính (Properties)
- Chuyển sang tab Chi tiết (Details)
- Nhấp vào menu thả xuống Thuộc tính (Property), và ở đây bạn có thể chọn ID phần cứng (hardware ID), ID lớp (class ID) và các chi tiết khác. Giá trị chính xác sẽ có sẵn trong phần Giá trị (Value).
Cách thêm ID thiết bị vào danh sách Cho phép?
- Mở chính sách— Cho phép cài đặt thiết bị khớp với bất kỳ ID thiết bị nào trong số này (Allow installation of devices that match any of these device IDs).
- Chọn Đã bật (Enabled), sau đó nhấp vào nút Hiển thị (Show) dưới Tùy chọn (Options).
- Thêm ID tương thích (Compatible ID) hoặc ID phần cứng (Hardware ID) vào danh sách
- Áp dụng thay đổi.
Bạn cũng có thể chặn cài đặt các thiết bị cụ thể bằng cách sử dụng các chính sách Ngăn cài đặt (Prevent installation policies).
Cách cho phép quản trị viên ghi đè hạn chế cài đặt thiết bị?
Có một chính sách cụ thể cho việc này mà bạn có thể bật. Sau khi bật, các thành viên của nhóm Quản trị viên có thể sử dụng Trình hướng dẫn Thêm phần cứng (Add Hardware wizard) hoặc Trình hướng dẫn Cập nhật trình điều khiển (update driver wizard) để cài đặt và cập nhật thiết bị.
Cách thiết lập thời gian chờ để thực thi thay đổi chính sách?
Nếu bạn muốn thực thi thay đổi chính sách, bạn cần khởi động lại. Một cài đặt cho phép bạn thiết lập Thời gian chờ khởi động lại (Reboot Timeout) được hiển thị cho người dùng cuối để đảm bảo không có mất mát dữ liệu.
Tôi hy vọng bài viết đã giải thích rõ ràng cho bạn về Chính sách nhóm phân lớp trong Windows 11.
Chính sách này cũng có sẵn trong Windows 10 như một phần của bản phát hành "C" tùy chọn cho khách hàng vào tháng 7 năm 2021 và sẽ được cung cấp rộng rãi hơn kể từ bản phát hành Cập nhật thứ ba tháng 8 năm 2021.