จัดการเครื่องในโดเมนด้วย Group Policy

Group Policy คือเครื่องมือที่ทำให้ตั้งค่าเครื่องหลายร้อยเครื่องพร้อมกันได้จากจุดเดียว ตั้งแต่นโยบายรหัสผ่าน การแมปไดรฟ์เครือข่าย ไปจนถึงการปิดฟีเจอร์ที่ไม่ต้องการ เมื่อเข้าใจลำดับการทำงานแล้ว มันจะกลายเป็นเครื่องมือที่ใช้บ่อยที่สุดในการดูแลโดเมน

คู่มือนี้อธิบายลำดับการมีผลของนโยบาย สร้าง GPO ที่ใช้งานจริงสามตัว และสอนวิธีไล่หาสาเหตุเมื่อนโยบายไม่มีผล ซึ่งเป็นปัญหาที่เสียเวลามากที่สุด

สิ่งที่ต้องเตรียม

• Domain Controller ที่ติดตั้ง Active Directory เรียบร้อยแล้ว
• โครงสร้าง OU ที่แยกผู้ใช้และเครื่องตามกลุ่มแล้ว
• สิทธิ์ Domain Admin

Install-WindowsFeature -Name GPMC
Import-Module GroupPolicy
Get-GPO -All | Select-Object DisplayName, GpoStatus

ขั้นตอนที่ 1: เข้าใจลำดับการมีผล

นโยบายถูกใช้ตามลำดับนี้ ตัวที่มาทีหลังเขียนทับตัวก่อนหน้า จำด้วยตัวย่อ LSDOU

• Local นโยบายบนเครื่องเอง
• Site ตามที่ตั้งทางกายภาพ
• Domain ทั้งโดเมน
• OU ตาม OU จากบนลงล่าง OU ที่ลึกที่สุดมีผลสุดท้ายจึงชนะ

ข้อยกเว้นที่ต้องรู้ GPO ที่ตั้ง Enforced จะชนะทุกอย่าง และ OU ที่ตั้ง Block Inheritance จะไม่รับนโยบายจากชั้นบน ยกเว้นตัวที่ Enforced

ขั้นตอนที่ 2: สร้าง GPO นโยบายรหัสผ่าน

นโยบายรหัสผ่านของโดเมนต้องตั้งที่ระดับโดเมนเท่านั้น ตั้งที่ OU จะไม่มีผลกับบัญชีในโดเมน

New-GPO -Name "TDC - Password Policy" -Comment "นโยบายรหัสผ่านองค์กร"
New-GPLink -Name "TDC - Password Policy" -Target "DC=corp,DC=example,DC=com" -LinkEnabled Yes

ตั้งค่าผ่าน PowerShell หรือผ่านหน้าจอ Group Policy Management Editor ในเส้นทาง Computer Configuration แล้ว Policies แล้ว Windows Settings แล้ว Security Settings แล้ว Account Policies

# ตั้งผ่าน Default Domain Policy ด้วยคำสั่งโดยตรง
Set-ADDefaultDomainPasswordPolicy -Identity corp.example.com `
  -MinPasswordLength 12 `
  -PasswordHistoryCount 12 `
  -MaxPasswordAge 90.00:00:00 `
  -MinPasswordAge 1.00:00:00 `
  -ComplexityEnabled $true `
  -LockoutThreshold 5 `
  -LockoutDuration 00:15:00 `
  -LockoutObservationWindow 00:15:00

Get-ADDefaultDomainPasswordPolicy

ขั้นตอนที่ 3: สร้าง GPO แมปไดรฟ์เครือข่าย

New-GPO -Name "TDC - Mapped Drives"
New-GPLink -Name "TDC - Mapped Drives" -Target "OU=Users,OU=TDC,DC=corp,DC=example,DC=com"

ตั้งค่าในเส้นทาง User Configuration แล้ว Preferences แล้ว Windows Settings แล้ว Drive Maps สร้างรายการใหม่

• Action เลือก Update ซึ่งสร้างถ้ายังไม่มีและแก้ถ้ามีแล้ว ดีกว่า Create ที่ไม่แก้ของเดิม
• Location ใส่ \\fs01\Company
• Drive Letter เลือก S
• Reconnect ติ๊กไว้

ที่แท็บ Common ติ๊ก Item-level targeting เพื่อกำหนดว่าให้เฉพาะสมาชิกกลุ่มไหน เช่น ไดรฟ์ของแผนกการเงินให้เฉพาะกลุ่ม Finance

ขั้นตอนที่ 4: จำกัดขอบเขตให้แม่นด้วย Security Filtering

ค่าเริ่มต้นของ GPO ใช้กับ Authenticated Users ทั้งหมดใน OU ที่เชื่อมไว้ หากต้องการเจาะจงเฉพาะกลุ่ม

Set-GPPermission -Name "TDC - Mapped Drives" `
  -TargetName "Finance" -TargetType Group -PermissionLevel GpoApply

Set-GPPermission -Name "TDC - Mapped Drives" `
  -TargetName "Authenticated Users" -TargetType Group -PermissionLevel None -Replace

ข้อควรระวังที่สำคัญ หลังถอด Authenticated Users ออก ต้องเพิ่มสิทธิ์อ่านให้ Domain Computers ไม่เช่นนั้น GPO จะไม่ถูกอ่านเลยบน Windows รุ่นใหม่

Set-GPPermission -Name "TDC - Mapped Drives" `
  -TargetName "Domain Computers" -TargetType Group -PermissionLevel GpoRead

ขั้นตอนที่ 5: สร้าง GPO ความปลอดภัยพื้นฐาน

New-GPO -Name "TDC - Security Baseline"
New-GPLink -Name "TDC - Security Baseline" -Target "OU=Computers,OU=TDC,DC=corp,DC=example,DC=com"

รายการที่ควรตั้งเป็นอย่างน้อย

• ล็อกหน้าจออัตโนมัติหลังไม่ใช้งาน 10 นาที
• ปิดการใช้งาน SMBv1 ซึ่งมีช่องโหว่ร้ายแรง
• เปิด Windows Defender และห้ามผู้ใช้ปิด
• เปิดการบันทึก Event สำหรับการล็อกอินที่ล้มเหลว
• ปิดการรันไฟล์จากสื่อ USB สำหรับเครื่องที่ไม่จำเป็น

# บนเครื่องลูก
gpupdate /force
gpupdate /force /boot /logoff

# สั่งจากเซิร์ฟเวอร์ไปยังทุกเครื่องใน OU
Invoke-GPUpdate -Computer "WS-001" -Force
Get-ADComputer -Filter * -SearchBase "OU=Computers,OU=TDC,DC=corp,DC=example,DC=com" |
  ForEach-Object { Invoke-GPUpdate -Computer $_.Name -Force -RandomDelayInMinutes 5 }

# บนเครื่องลูก ดูว่าได้รับนโยบายอะไรบ้าง
gpresult /r
gpresult /h C:\gpreport.html
gpresult /scope computer /v

# จำลองผลลัพธ์ก่อนใช้จริง
Get-GPResultantSetOfPolicy -User CORP\somchai -Computer WS-001 -ReportType Html -Path C:\rsop.html

Backup-GPO -All -Path "D:\GPOBackup\$(Get-Date -Format yyyyMMdd)"
Restore-GPO -Name "TDC - Mapped Drives" -Path "D:\GPOBackup\20260925"

# ส่งออกรายงานทั้งหมดเป็น HTML เพื่อเก็บเป็นเอกสาร
Get-GPOReport -All -ReportType Html -Path "D:\GPOBackup\all-gpo.html"

New-ADFineGrainedPasswordPolicy -Name "AdminPolicy" -Precedence 10 `
  -MinPasswordLength 16 -MaxPasswordAge 60.00:00:00
Add-ADFineGrainedPasswordPolicySubject -Identity "AdminPolicy" -Subjects "Domain Admins"