Ngày nay, các tổ chức đối mặt với một số thách thức. Đối với quản trị viên IT, có thể là việc giới hạn truy cập vào thiết bị không được ủy quyền như ổ cứng ngoài, máy in và các thiết bị ngoại vi khác là vấn đề lớn.
May mắn thay, Microsoft nhận thức được thách thức này. Có lẽ đó là lý do họ đã phát hành tính năng Layered Group Policy (Group Policy nhiều lớp) để cho phép quản trị viên mạng quyết định những gì có thể được cài đặt trên thiết bị trong mạng của tổ chức.
Group Policy Editor (Trình chỉnh sửa Group Policy) luôn là một trong những công cụ mạnh mẽ nhất trên Windows cho quản trị viên IT. Với mỗi phiên bản, Microsoft đã thêm các cách mới để tạo và quản lý Group Policy Objects (GPOs - Đối tượng Group Policy).
Một điều chưa thay đổi là nhu cầu hiểu cách Group Policy hoạt động trước khi bạn có thể triển khai thành công nó trong doanh nghiệp của mình. Hướng dẫn này cung cấp giới thiệu về quản lý Group Policy và cách sử dụng Layered Group Policy trên Windows 11.
Group Policy trên thiết bị Windows: Tổng quan nhanh
Trước hết, Group Policy là gì?
Đó là một tính năng của Windows nơi quản trị viên mạng có thể quản lý và kiểm soát nhiều cài đặt. Nó đóng vai trò là nơi tập trung cho quản trị viên hệ thống để cấu hình ứng dụng, cài đặt người dùng và những thứ khác.
Khi được sử dụng đúng cách, Group Policy Editor cho phép tổ chức cải thiện bảo mật của máy tính và các thiết bị khác trong cùng mạng. Nó sẽ giúp bảo vệ mạng chống lại mối đe dọa, phần mềm độc hại và các cuộc tấn công khác.
Group Policy Object (GPO) là gì?
GPO là một nhóm cài đặt được tạo bằng Microsoft Management Console Group Policy Editor. Các đối tượng này có thể được liên kết với nhiều container Active Directory khác nhau, như domain (miền) và site (trang web).
Group Policy Objects có thể được sử dụng theo nhiều cách cho mục đích bảo mật. Dưới đây là một số kịch bản ví dụ:
- Một GPO có thể dùng để thiết lập trang đích (landing page) mà người dùng thấy khi khởi chạy trình duyệt hoặc mở tab mới.
- Quản trị viên hệ thống có thể dùng GPO để định nghĩa máy in kết nối mạng nào sẽ xuất hiện trong danh sách máy in có sẵn trong mạng.
- Một GPO cũng có thể dùng để thay đổi một số thực hành và giao thức bảo mật, như thiết lập giới hạn kết nối internet và thời gian màn hình.
GPOs được xử lý như thế nào?
Thứ bậc của GPOs nào được xử lý sẽ ảnh hưởng đến cài đặt được áp dụng cho thiết bị của người dùng. Thứ bậc này được gọi là LSDOU, viết tắt của local, site, domain, organizational unit (cục bộ, trang web, miền, đơn vị tổ chức).
Với LSDOU, chính sách máy tính cục bộ được xử lý đầu tiên. Sau đó sẽ là cấp trang web đến chính sách domain ad. Cuối cùng, các đơn vị tổ chức được xử lý. Nếu một chính sách xung đột với LSDOU, thì chính sách được áp dụng cuối cùng sẽ thắng.
Tại sao nên sử dụng Group Policies?
Vậy bạn có nên dùng các chính sách này không? Bạn có hưởng lợi từ chúng không?
Chắc chắn là có. Group Policies có thể đảm bảo dữ liệu nhạy cảm của bạn an toàn trước hacker và cơ sở hạ tầng IT của bạn được thiết lập đúng cách.
令人惊讶的是，Windows并不像您想象的那么安全。值得庆幸的是，GPO旨在解决操作系统中的任何安全漏洞。例如，它们允许您实施一项政策，即用户只能有限地访问完成其工作所需的工具。
Tuy nhiên, lợi ích của Group Policy Editor không giới hạn ở bảo mật. Dưới đây là các lợi ích khác của việc triển khai group policies:
- Quản lý hệ thống (Systems Management) – Group policy có thể dùng để đơn giản hóa các nhiệm vụ tốn thời gian. Áp dụng điều này để tiết kiệm giờ cố gắng cấu hình môi trường của người dùng mới gia nhập tổ chức.
- Chính sách mật khẩu (Password Policy) – Nhiều tổ chức đang hoạt động với chính sách không mật khẩu, và những tổ chức khác thậm chí cho phép người dùng đặt thông tin xác thực không hết hạn. Chúng ta đều biết, mật khẩu không được thay đổi thường xuyên có nguy cơ bị hack. Với group policy, tổ chức có thể đặt quy tắc tạo mật khẩu, bao gồm các tham số như độ dài và độ phức tạp.
- Kiểm tra sức khỏe (Health Checking) – Bạn có thể dùng group policy để triển khai cập nhật ứng dụng và phần mềm. Việc này sẽ đảm bảo môi trường của bạn khỏe mạnh và được bảo vệ khỏi các mối đe dọa bảo mật.
Tính năng Layered Group Policy trên Windows 11 là gì?
Tính năng Layered Group Policy là chức năng mới được Microsoft giới thiệu trên thiết bị Windows 10/11 và Windows 11. Đây là cách hãng phần mềm lớn mô tả tính năng này:
"Device installation policies (Chính sách cài đặt thiết bị) được dùng để hạn chế cài đặt bất kỳ thiết bị nào, cả nội bộ và bên ngoài, cho tất cả máy tính trong tổ chức trong khi cho phép một tập hợp nhỏ thiết bị được ủy quyền trước để được sử dụng/cài đặt. Mỗi thiết bị có một tập hợp 'device identifiers' (mã định danh thiết bị) được hệ thống hiểu (class, device ID và instance ID). Danh sách cho phép (allow list), do quản trị viên hệ thống viết, chứa các tập hợp mã định danh đại diện cho các thiết bị khác nhau – như vậy hệ thống hiểu thiết bị nào được phép và thiết bị nào bị chặn."
Mục tiêu của tính năng này là bảo vệ máy tính chống lại hỏng hóc, giảm số lượng case hỗ trợ trong tổ chức, và quan trọng nhất, tránh mất cắp dữ liệu. Chính sách này có thể áp dụng để hạn chế cài đặt hoặc sử dụng thiết bị trong tổ chức nội bộ hoặc bên ngoài. Về cơ bản, quản trị viên IT có toàn quyền kiểm soát thiết bị nào có thể được cài đặt hoặc sử dụng.
Layered Group Policy có hoạt động trên Windows 10/11 không?
Đối với người dùng WinAero, Layered Group Policy có thể không mới vì nó lần đầu được phát hành trong Windows 10 phiên bản 21H2. Đối với các phiên bản Windows 10 khác, chính sách này đã được Microsoft phát hành chỉ vào tháng 7 năm 2021.
Các chính sách hạn chế có thể được thiết lập bằng cách dùng một số mã định danh thiết bị mà Windows 10/11 đã quen thuộc. Các mã định danh này bao gồm class (lớp), instance IDs (ID thực thể) và device IDs (ID thiết bị).
Danh sách cho phép (allow list) của tính năng này cần được viết bởi quản trị viên hệ thống, và nó chứa một tập hợp mã định danh mà mỗi cái đại diện cho một thiết bị cụ thể. Qua danh sách này, hệ thống có thể xác định thiết bị nào được cấp quyền truy cập và thiết bị nào nên bị chặn.
Với Layered Group Policy được thêm vào, quản trị viên hệ thống có thể hưởng lợi từ:
- Sử dụng trực quan (Intuitive Usage) – Với chính sách này, quản trị viên hệ thống không cần biết các lớp thiết bị (device classes) để ngăn cài đặt các lớp USB khác. Nó cho phép họ chỉ tập trung vào scripts.
- Linh hoạt (Flexibility) – Ngoài việc sử dụng trực quan, chính sách này giới thiệu việc phân lớp theo thứ bậc theo thứ tự: Instance ID, Hardware IDs (ID phần cứng) và compatible IDs (ID tương thích), Class (Lớp), và Removable Device Property (Thuộc tính thiết bị di động).
Cách áp dụng Layered Group Policy trên Windows 11
Layered Group Policy có thể được truy cập và áp dụng thuận tiện bằng cách làm theo đường dẫn này:
Computer Configuration -> Administrative Templates -> System -> Device Installation -> Device Installation Restrictions (Cấu hình máy tính -> Mẫu quản trị -> Hệ thống -> Cài đặt thiết bị -> Hạn chế cài đặt thiết bị).
Khi đã ở thư mục Device Installation Restrictions, chính sách đầu tiên cần bật là Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria (Áp dụng thứ tự đánh giá nhiều lớp cho chính sách Cho phép và Ngăn cài đặt thiết bị trên tất cả tiêu chí khớp thiết bị). Sau đó, sẽ có một tập hợp chính sách khác cần bật theo thứ tự phân cấp: Device Instance IDs -> Device IDs -> Device Setup Class -> Removable Devices.
Giải thích tốt hơn cho từng chính sách:
- Device Instance IDs – Là chuỗi nhận dạng thiết bị duy nhất, do hệ thống cung cấp, có thể xác định thiết bị mới trong hệ thống. Device Instance IDs ngăn cài đặt các thiết bị khác sử dụng trình điều khiển khớp với chúng. Tương tự, các ID này cho phép cài đặt thiết bị sử dụng trình điều khiển khớp với chúng.
- Device IDs – Windows dùng chuỗi này để khớp thiết bị với gói trình điều khiển. Chuỗi này có thể từ rất cụ thể đến chung chung. Chuỗi Device ID có thể là hardware IDs hoặc compatible IDs. Device IDs ngăn cài đặt thiết bị sử dụng trình điều khiển khớp với chúng. Các ID này cũng có thể cho phép cài đặt thiết bị sử dụng trình điều khiển khớp với chúng.
- Device Setup Class – Còn gọi là Class, đây là loại chuỗi nhận dạng khác. Là nhà sản xuất thiết bị gán class cho thiết bị trong gói trình điều khiển. Device setup class ngăn cài đặt thiết bị sử dụng trình điều khiển khớp với chúng. Nó cũng cho phép cài đặt thiết bị sử dụng trình điều khiển khớp với chúng.
- Removable Devices (Thiết bị di động) – Các tham số này dùng để ngăn cài đặt thiết bị di động. Removable Devices có thể cấu hình bằng cách thêm class ID hoặc device ID. Sau đó, áp dụng thay đổi.
Nhờ cấu trúc nhiều lớp của chính sách, nó có thể được dùng thay thế tính năng Prevent installation of devices not described by other policy settings (Ngăn cài đặt thiết bị không được mô tả bởi cài đặt chính sách khác).
Cách tìm Compatible IDs và Hardware IDs
Để tìm compatible IDs và hardware IDs, làm theo các bước sau:
- Truy cập Device Manager (Trình quản lý thiết bị) dùng Windows + X. Chọn Device Manager từ danh sách.
- Nhấp chuột phải vào thiết bị.
- Chọn Properties (Thuộc tính).
- Truy cập tab Details (Chi tiết).
- Nhấp Property (Thuộc tính) để tìm chi tiết bạn cần, như hardware ID, class ID và những cái khác.
Cách thêm Device ID vào danh sách cho phép (Allow List)
Để thêm Device ID vào danh sách cho phép, chỉ cần tham khảo các bước dưới đây:
- Mở Allow installation of devices that match any of these device IDs (Cho phép cài đặt thiết bị khớp với bất kỳ device IDs nào trong số này).
- Chọn Enabled (Đã bật).
- Đi đến phần Options (Tùy chọn) và nhấp nút Show (Hiển thị).
- Thêm Hardware ID (ID phần cứng) hoặc Compatible ID (ID tương thích) vào danh sách.
- Lưu thay đổi bằng cách nhấn Apply (Áp dụng).
Cách cho phép quản trị viên hệ thống ghi đè hạn chế cài đặt thiết bị
Bạn cần bật một chính sách nhất định để cho phép ghi đè hạn chế cài đặt thiết bị. Khi nó được bật, quản trị viên hệ thống có thể dùng wizard Add Hardware (Thêm phần cứng) hoặc Update Driver (Cập nhật trình điều khiển) để cài đặt và cập nhật thiết bị.
Tóm tắt
Trong bài viết này, chúng tôi đã chỉ cho bạn cách triển khai layered group policy cho môi trường Windows 10/11 của bạn. Chúng tôi cũng đã thảo luận group policy là gì và nó sẽ mang lại lợi ích gì cho tổ chức của bạn. Hy vọng điều này đã hữu ích! Nếu có điều gì khác chúng tôi có thể làm cho bạn, vui lòng cho chúng tôi biết bằng cách đọc thêm hoặc truy cập trang web của chúng tôi hôm nay.