Group Policy Object (GPO) เป็นเครื่องมือที่มีประโยชน์สำหรับการปรับแต่งผู้ใช้และสภาพแวดล้อมระบบปฏิบัติการใน Windows ทั้ง GPO ของโดเมน (หากคอมพิวเตอร์เป็นสมาชิกของโดเมน Active Directory) และนโยบายกลุ่มภายในเครื่อง (การตั้งค่าเหล่านี้ได้รับการกำหนดค่าในเครื่องคอมพิวเตอร์) สามารถนำไปใช้กับคอมพิวเตอร์และผู้ใช้ได้ เนื่องจากการกำหนดค่าการตั้งค่า GPO บางอย่างไม่ถูกต้อง (ส่วนใหญ่มักเกี่ยวข้องกับความปลอดภัย) คุณอาจประสบปัญหาต่างๆ ในการใช้งานแอปพลิเคชันหรือเครื่องมือ ข้อผิดพลาดของระบบปฏิบัติการ (ขึ้นอยู่กับความเป็นไปไม่ได้ที่จะเข้าสู่ระบบ Windows ในเครื่อง) ฯลฯ หากคุณไม่ทราบว่าการตั้งค่า GPO ใดที่ทำให้เกิดปัญหา คุณสามารถรีเซ็ตการตั้งค่านโยบายกลุ่มของ Windows เป็นค่าเริ่มต้นได้
สารบัญ:
- วิธีรีเซ็ตตัวเลือกนโยบายกลุ่มท้องถิ่นเฉพาะด้วย Gpedit.msc
- รีเซ็ตการตั้งค่านโยบายกลุ่มทั้งหมดเป็นค่าเริ่มต้นบน Windows ด้วย CMD
- รีเซ็ตการตั้งค่านโยบายความปลอดภัยท้องถิ่นเป็นค่าเริ่มต้นใน Windows
- วิธีรีเซ็ตการตั้งค่า GPO ในเครื่องหากคุณไม่สามารถเข้าสู่ระบบ Windows ได้
- ล้างการตั้งค่านโยบายกลุ่มที่ใช้โดเมนใน Windows
- วิธีการคืนค่านโยบายกลุ่มโดเมนเริ่มต้น
วิธีรีเซ็ตตัวเลือกนโยบายกลุ่มท้องถิ่นเฉพาะด้วย Gpedit.msc
คอนโซลตัวแก้ไขนโยบายกลุ่มภายในแบบกราฟิก (gpedit.msc) ใช้เพื่อกำหนดการตั้งค่า GPO บนเครื่องคอมพิวเตอร์ คอนโซลนี้มีเฉพาะใน Windows 10 และ 11 รุ่น Pro, Enterprise และ Education เท่านั้น
เคล็ดลับ.คุณยังติดตั้งคอนโซล gpedit.msc ในรุ่น Windows Home ได้ด้วย
เปิดgpedit.mscสแน็ปอิน MMC และนำทางไปยังการตั้งค่าทั้งหมดส่วน (นโยบายคอมพิวเตอร์เฉพาะที่ -> การกำหนดค่าคอมพิวเตอร์ -> เทมเพลตการดูแลระบบ- ส่วนนี้ประกอบด้วยตัวเลือกทั้งหมดที่พร้อมใช้งานสำหรับการกำหนดค่าในเทมเพลต GPO การดูแลระบบ (admx) ที่ติดตั้งบนคอมพิวเตอร์ จัดเรียงนโยบายตามคอลัมน์สถานะเพื่อค้นหาการตั้งค่าที่กำหนดค่าไว้ทั้งหมด (ด้วยพิการหรือเปิดใช้งานแล้วสถานะ).
หากต้องการปิดใช้งานพารามิเตอร์นโยบายกลุ่มเฉพาะ คุณต้องเปลี่ยนสถานะเป็นไม่ได้กำหนดค่า.
- คุณสามารถสำรองข้อมูลการตั้งค่า GPO ในพื้นที่ปัจจุบันของคุณโดยใช้เครื่องมือ LGPO.exe
- คำสั่ง GPResult สามารถใช้เพื่อสร้างรายงาน HTML ที่มีรายการการตั้งค่านโยบายท้องถิ่นและโดเมนที่ใช้ทั้งหมดบนคอมพิวเตอร์:
gpresult /h c:PSGPRreport.html
ในทำนองเดียวกัน คุณสามารถรีเซ็ตการตั้งค่าได้ในการกำหนดค่าผู้ใช้ส่วนของบรรณาธิการ GPO ในพื้นที่
นี่เป็นวิธีที่ง่ายที่สุดในการค้นหาและเลิกทำการตั้งค่า Local Group Policy ใน Windows
อย่างไรก็ตาม การตั้งค่า GPO ของนโยบายกลุ่มที่ไม่ถูกต้องสามารถป้องกันไม่ให้สแน็ปอิน gpedit.msc (หรือโปรแกรมและเครื่องมืออื่นๆ) ทำงานได้ อาจทำให้คุณไม่สามารถเข้าสู่ระบบคอมพิวเตอร์ในเครื่องได้ สามารถเพิกถอนสิทธิ์ผู้ดูแลระบบในเครื่องของคุณได้ ฯลฯ ในกรณีเช่นนี้ คุณจะต้องรีเซ็ตการตั้งค่า GPO ทั้งหมดในไฟล์ในเครื่องบนคอมพิวเตอร์
รีเซ็ตการตั้งค่านโยบายกลุ่มทั้งหมดเป็นค่าเริ่มต้นบน Windows ด้วย CMD
Windows เก็บการตั้งค่านโยบายกลุ่มภายในเครื่องไว้ในRegistry.polไฟล์. การตั้งค่านโยบายสำหรับผู้ใช้และคอมพิวเตอร์จะถูกจัดเก็บไว้ในไฟล์ POL แยกกัน
- การตั้งค่าคอมพิวเตอร์ (ส่วนการกำหนดค่าคอมพิวเตอร์) ถูกเก็บไว้ใน
%SystemRoot%System32GroupPolicyMachineregistry.pol - การตั้งค่าผู้ใช้ (ส่วนการกำหนดค่าผู้ใช้) ถูกเก็บไว้ใน
%SystemRoot%System32GroupPolicyUserregistry.pol
หากคุณเปิดใช้งานตัวเลือกบางอย่างใน GPO ภายในเครื่องจากคอนโซล gpedit.msc การเปลี่ยนแปลงใดๆ ที่คุณทำจะถูกบันทึกลงในไฟล์ Registry.pol การตั้งค่าใหม่จะถูกนำเข้าไปยังรีจิสทรีและนำไปใช้กับคอมพิวเตอร์เมื่อมีการอัปเดตการตั้งค่านโยบายกลุ่ม (โดยใช้gpupdate /forceคำสั่งหรือตามกำหนดเวลา)
- เมื่อคุณเริ่มคอมพิวเตอร์ การตั้งค่ารีจิสทรีจะถูกนำเข้าจาก
MachineRegistry.polไฟล์ลงในHKEY_LOCAL_MACHINE(HKLM) รัง; - การตั้งค่าผู้ใช้จะถูกนำเข้าจาก
UserRegistry.polไฟล์ลงในHKEY_CURRENT_USERกลุ่มรีจิสทรี (HKCU) เมื่อผู้ใช้เข้าสู่ระบบ Windows
ดังนั้น เมื่อต้องการลบการตั้งค่านโยบายกลุ่มภายในเครื่องปัจจุบัน คุณต้องลบแฟ้ม Registry.pol ในโฟลเดอร์ GroupPolicy และ GroupPolicyUsers คุณสามารถลบไฟล์ Registry.pol และรีเซ็ตการตั้งค่า GPO ปัจจุบันได้จากพร้อมท์คำสั่ง:
RD /S /Q "%WinDir%System32GroupPolicyUsers"
RD /S /Q "%WinDir%System32GroupPolicy"
อัปเดตการตั้งค่าในนโยบายกลุ่มเพื่อรีเซ็ตการตั้งค่าเก่าในรีจิสทรี:
gpupdate /force
คำสั่งเหล่านี้จะรีเซ็ตการตั้งค่านโยบายกลุ่มภายในเครื่องทั้งหมดในส่วนการกำหนดค่าคอมพิวเตอร์และการกำหนดค่าผู้ใช้
เปิดgpedit.mscคอนโซลและตรวจสอบให้แน่ใจว่านโยบายทั้งหมดได้รับการตั้งค่าเป็น 'ไม่ได้กำหนดค่า- หลังจากที่คุณรันคอนโซล gpedit.msc แล้วGroupPolicyUsersและGroupPolicyไดเร็กทอรีจะถูกสร้างขึ้นใหม่โดยอัตโนมัติ
นโยบายความปลอดภัยในท้องถิ่นได้รับการกำหนดค่าแยกต่างหากsecpol.mscคอนโซล MMC หากคุณต้องการรีเซ็ตการตั้งค่านโยบายความปลอดภัยของ Windows ในเครื่องเป็นค่าเริ่มต้น ให้รันคำสั่ง:
secedit /configure /cfg %windir%infdefltbase.inf /db defltbase.sdb /verbose
แจ้งเตือน]%windir%infdefltbase.infไฟล์เป็นเทมเพลตที่มีการตั้งค่าความปลอดภัยภายในเครื่องเริ่มต้นสำหรับ Windows [/เตือน]
รีสตาร์ทคอมพิวเตอร์ของคุณ
สิ่งนี้ควรรีเซ็ตการตั้งค่าความปลอดภัยของ Windows ที่เก็บไว้ภายใต้HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystemคีย์รีจิสทรี
การตั้งค่า UAC จะถูกจัดเก็บไว้ในคีย์รีจิสทรีนี้ด้วย
ลองเปลี่ยนชื่อไฟล์จุดตรวจสอบฐานนโยบายความปลอดภัยท้องถิ่นด้วยตนเองหากวิธีการก่อนหน้านี้ไม่ได้ผล:
ren %windir%securitydatabaseedb.chk edb_old.chk
อัปเดตการตั้งค่านโยบายกลุ่ม:
gpupdate /force
รีสตาร์ท Windows โดยใช้คำสั่งปิดเครื่อง:Shutdown –f –r –t 0
วิธีรีเซ็ตการตั้งค่า GPO ในเครื่องหากคุณไม่สามารถเข้าสู่ระบบ Windows ได้
หากคุณไม่สามารถเข้าสู่ระบบ Windows ในเครื่องได้ หรือคุณไม่สามารถเปิดพรอมต์คำสั่งได้ (เช่น หากแอปพลิเคชันถูกบล็อกโดยนโยบาย AppLocker หรือ Software Restriction) คุณสามารถลบไฟล์ Registry.pol ได้โดยการบูตจากสื่อการติดตั้ง Windows (แฟลชไดรฟ์ USB ที่สามารถบูตได้) จาก LiveCD ใดๆ หรือใช้ Window Recovery Environment (WinRE)
- บูตคอมพิวเตอร์ของคุณจากสื่อการติดตั้ง Windows และเปิดพร้อมท์คำสั่ง (
Shift+F10); - รันคำสั่ง:
diskpart - จากนั้นแสดงรายการวอลุ่มบนคอมพิวเตอร์:
list volume
ในกรณีนี้คืออักษรระบุไดรฟ์ค:ถูกกำหนดให้กับไดรฟ์ระบบ อักษรระบุไดรฟ์อาจแตกต่างกันในกรณีของคุณ ด้วยเหตุนี้ คำสั่งต่อไปนี้จึงจำเป็นต้องดำเนินการในบริบทของไดรฟ์ระบบของคุณ (เช่น D: หรือ C:); - ปิดดิสก์พาร์ท:
exit - รันคำสั่งต่อไปนี้:
RD /S /Q C:WindowsSystem32GroupPolicy
RD /S /Q C:WindowsSystem32GroupPolicyUsers
- รีสตาร์ทคอมพิวเตอร์และตรวจสอบว่าการตั้งค่านโยบายกลุ่มภายในทั้งหมดถูกรีเซ็ตเป็นสถานะเริ่มต้น
ล้างการตั้งค่านโยบายกลุ่มที่ใช้โดเมนใน Windows
หากคอมพิวเตอร์เป็นส่วนหนึ่งของโดเมน Active Directory คุณสามารถกำหนดค่าการตั้งค่าได้โดยใช้ GPO ของโดเมน
ไฟล์ Registry.pol ของ GPO ของโดเมนที่ใช้ทั้งหมดจะถูกแคชไว้ใน% windir% System32GroupPolicyDataStore SysVolcontoso.comนโยบาย- แต่ละนโยบายจะจัดเก็บไฟล์ไว้ในไดเร็กทอรีแยกต่างหากพร้อมชื่อที่มี GUID ของนโยบายโดเมน
เมื่อคุณลบคอมพิวเตอร์ออกจากโดเมน ไฟล์ Registry.pol ของนโยบายกลุ่มของโดเมนควรถูกลบออกจากคอมพิวเตอร์โดยอัตโนมัติ บางครั้งมันเกิดขึ้นที่คอมพิวเตอร์ออกจากโดเมน แต่การตั้งค่า GPO ของโดเมนยังคงมีผลอยู่
ในกรณีนี้ คุณควรล้างแคชนโยบายกลุ่มของโดเมนบนคอมพิวเตอร์ คุณสามารถใช้สคริปต์ BAT ต่อไปนี้:
DEL /S /F /Q “%ALLUSERSPROFILE%MicrosoftGroup PolicyHistory*.*”
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionGroup Policy /f
REG DELETE HKLMSoftwarePoliciesMicrosoft /f
REG DELETE HKLMSOFTWAREMicrosoftWindowsCurrentVersionPolicies /f
REG DELETE HKCUSOFTWAREMicrosoftWindowsCurrentVersionPolicies /f
REG DELETE HKCUSoftwarePoliciesMicrosoft /f
REG DELETE "HKCUSoftwareMicrosoftWindowsCurrentVersionGroup Policy Objects" /f
DEL /F /Q C:WINDOWSsecurityDatabasesecedit.sdb
klist purge
gpupdate /force
exit
โปรดทราบว่าC:ProgramDataMicrosoftGroup PolicyHistoryโฟลเดอร์ประกอบด้วยการตั้งค่าการกำหนดลักษณะนโยบายกลุ่มที่ใช้กับคอมพิวเตอร์
หากคุณได้ตรวจสอบแล้วลบรายการนี้หากไม่ได้ใช้อีกต่อไปในตัวเลือกรายการการตั้งค่า GP จากนั้นแคช GPO ในโฟลเดอร์นี้จะช่วยให้คุณสามารถเปลี่ยนกลับไปสู่สถานะก่อนหน้าได้หลังจากปิดใช้งานนโยบาย
วิธีการคืนค่านโยบายกลุ่มโดเมนเริ่มต้น
มี GPO เริ่มต้นสองตัวที่มี GUID ที่รู้จักในโดเมน:
- นโยบายโดเมนเริ่มต้น
{31B2F340-016D-11D2-945F-00C04FB984F9} - นโยบายตัวควบคุมโดเมนเริ่มต้น
{6AC1786C-016F-11D2-945F-00C04FB984F9}
ตามแนวทางของ Microsoft ไม่ควรแก้ไข GPO เหล่านี้ ขอแนะนำให้คุณสร้างสำเนาของนโยบายเหล่านี้ในคอนโซลการจัดการนโยบายกลุ่ม (gpmc.msc) และแก้ไขการตั้งค่าตามต้องการ
ใช้บิวท์อินdcgpofix.exeเครื่องมือในการคืนค่า GPO เหล่านี้กลับเป็นการตั้งค่าเริ่มต้น
เปิดพรอมต์คำสั่งที่ยกระดับบน DC และรันคำสั่ง:
dcgpofix /target:Domain– รีเซ็ต GPO โดเมนเริ่มต้น
dcgpofix /target:DC– รีเซ็ต GPO ของตัวควบคุมโดเมนเริ่มต้น
หรือรีเซ็ต GPO เริ่มต้นทั้งสองรายการพร้อมกัน:
dcgpofix /target:both
ที่เกี่ยวข้อง:
ข้อผิดพลาดอาจปรากฏขึ้น:
The Active Directory schema version for this domain and the version supported by this tool do not match. The GPO can be restored using the /ignoreschema command-line parameter. However, it is recommended that you try to obtain an updated version of this tool that might have an updated version of the Active Directory schema. Restoring a GPO with an incorrect schema might result in unpredictable behavior.
ในกรณีนี้คุณต้องเพิ่ม/ละเว้นสคีมาตัวเลือกในการบังคับให้รีเซ็ต GPO เริ่มต้น:
dcgpofix /ignoreschema /target:Domain
เคล็ดลับ- วิธีการที่อธิบายไว้ข้างต้นอนุญาตให้คุณรีเซ็ตการตั้งค่านโยบายกลุ่มใน Windows ทุกรุ่น การตั้งค่าใด ๆ ที่ทำโดยใช้ตัวแก้ไขนโยบายกลุ่มจะถูกรีเซ็ต อย่างไรก็ตาม การเปลี่ยนแปลงที่ทำกับรีจิสทรีโดยตรงโดยใช้ regedit-exe, ไฟล์ REG, PowerShell หรือ GPP ของรีจิสทรีโดเมนจะไม่ถูกรีเซ็ต
