หนึ่งในความท้าทายที่ใหญ่ที่สุดสำหรับผู้ดูแลระบบไอทีในบริษัทคือการบล็อกการเข้าถึงอุปกรณ์ต่างๆ เช่นUSB ฮาร์ดได รฟ์ภายนอก^{(External Hard Drive)}และแม้แต่เครื่องพิมพ์ไปยังอุปกรณ์ขององค์กร เพื่อให้ง่ายขึ้นเล็กน้อยMicrosoftได้เปิดตัวคุณลักษณะ Layered Group Policy^{(Layered Group Policy feature)}ที่ช่วยให้ผู้ดูแลระบบสามารถแบ่งอุปกรณ์ที่สามารถติดตั้งบนเครื่องทั่วทั้งองค์กรได้

Layered Group PolicyในWindows 11คืออะไร?

นโยบายกลุ่ม^{(Group Policy)}นี้มีจุดมุ่งหมายเพื่อให้แน่ใจว่าเครื่องได้รับความเสียหายน้อยลง จำนวนกรณีการสนับสนุนลดลง และที่สำคัญที่สุดคือการลดการขโมยข้อมูล นโยบายนี้รับประกันว่าจะจำกัดการติดตั้ง เช่น การใช้อุปกรณ์ทั้งในสภาพแวดล้อมภายในและภายนอกจะถูกบล็อก ผู้ดูแลระบบไอทีสามารถเลือกอุปกรณ์ที่ได้รับอนุญาตล่วงหน้าเพื่อใช้/ติดตั้ง

มีให้^(Available)ที่นี่ สคริปต์ทำให้แน่ใจว่าไม่ได้บล็อกทุกคลาส:

Computer Configuration > System > Device Installation > Device Installation Restrictions

ซึ่งหมายความว่าหากคุณเลือกบล็อกการ ใช้อุปกรณ์ USBจะบล็อกเท่านั้น ก้าวไปข้างหน้าหนึ่งก้าว คุณลักษณะใหม่นี้จะแก้ปัญหาก่อนหน้านี้ซึ่งจำเป็นต้องสร้างหลายชุดเพื่อหลีกเลี่ยงความขัดแย้ง คุณมีลำดับชั้นของ อินส Instance ID > Device ID > Class > Removableคุณสมบัติอุปกรณ์ แบบถอดได้

วิธีการใช้Layered Group PolicyในWindows 11

นโยบายแรกที่คุณต้องเปิดใช้งานคือ — ใช้ลำดับชั้นของการประเมินสำหรับนโยบายอนุญาตและป้องกันการติดตั้งอุปกรณ์ในทุกเกณฑ์การจับคู่^{(Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria)}อุปกรณ์

เมื่อเสร็จแล้ว จะมีชุดนโยบายเพิ่มเติม และคุณต้องแน่ใจว่าได้รักษาลำดับชั้น ( ID อินสแตนซ์อุปกรณ์^(Device)IDs > Device IDs > Deviceคลาสการตั้งค่า อุปกรณ์ > Removable ) นี่คือนโยบายที่เกี่ยวข้องกับแต่ละนโยบาย:

ID อินสแตนซ์อุปกรณ์

• ป้องกัน^(Prevent)การติดตั้งอุปกรณ์โดยใช้ไดรเวอร์ที่ตรงกับID อินสแตนซ์อุปกรณ์เหล่านี้^(IDs)
• อนุญาตให้^(Allow)ติดตั้งอุปกรณ์โดยใช้ไดรเวอร์ที่ตรงกับID^(IDs) อินสแตนซ์อุปกรณ์เหล่า นี้

รหัสอุปกรณ์

• ป้องกัน^(Prevent)การติดตั้งอุปกรณ์โดยใช้ไดรเวอร์ที่ตรงกับ ID อุปกรณ์เหล่านี้
• อนุญาตให้^(Allow)ติดตั้งอุปกรณ์โดยใช้ไดรเวอร์ที่ตรงกับ ID อุปกรณ์เหล่านี้

คลาสการตั้งค่าอุปกรณ์

• ป้องกัน^(Prevent)การติดตั้งอุปกรณ์โดยใช้ไดรเวอร์ที่ตรงกับคลาสการตั้งค่าอุปกรณ์เหล่านี้
• อนุญาตให้^(Allow)ติดตั้งอุปกรณ์โดยใช้ไดรเวอร์ที่ตรงกับคลาสการตั้งค่าอุปกรณ์เหล่านี้

อุปกรณ์ที่ถอดออกได้

• ป้องกัน^(Prevent)การติดตั้งอุปกรณ์ที่ถอดออกได้

กำหนดค่า^(Configure)แต่ละรายการโดยเพิ่มรหัสอุปกรณ์หรือรหัสคลาสแล้วนำการเปลี่ยนแปลงไปใช้

Microsoftแนะนำให้ใช้นโยบายนี้แทนการตั้งค่านโยบาย " ป้องกันการติดตั้งอุปกรณ์ที่ไม่ได้อธิบายโดยการตั้งค่านโยบายอื่น^{(Prevent installation of devices not described by other policy settings)} " เนื่องจากโครงสร้างเป็นชั้น

จะค้นหาHardware IDหรือ Compatible ID ได้อย่างไร?

• เปิดDevice Managerโดยใช้Win + Xตามด้วยการกด M
• ค้นหาอุปกรณ์ คลิกขวาที่มัน จากนั้นเลือก Properties
• สลับไปที่แท็บรายละเอียด
• คลิก^(Click)ที่ ดรอปดาวน์ คุณสมบัติ^(Property)และคุณสามารถเลือก ID ฮาร์ดแวร์ ID คลาส และรายละเอียดอื่นๆ ได้ที่นี่ ค่าที่แน่นอนจะมีอยู่ในส่วนค่า

จะเพิ่มDevice ID^{(Device IDs)}ใน รายการ Allowได้อย่างไร?

• เปิดนโยบาย— อนุญาตให้ติดตั้งอุปกรณ์ที่ตรงกับรหัสอุปกรณ์เหล่า^{(Allow installation of devices that match any of these device IDs)}นี้
• เลือก Enabled^{(Select Enabled)}จากนั้นคลิกที่ ปุ่ม Showใต้ Options
• เพิ่ม Compatible ID^{(Add Compatible ID)}หรือHardware IDลงในรายการ
• ใช้การเปลี่ยนแปลง

คุณยังสามารถบล็อกการติดตั้งอุปกรณ์เฉพาะได้โดยใช้ นโยบาย ป้องกัน^(Prevent)การติดตั้ง

จะอนุญาตให้ผู้ดูแลระบบแทนที่ข้อจำกัดการติดตั้งอุปกรณ์ได้อย่างไร

มีนโยบายเฉพาะสำหรับสิ่งนี้ซึ่งคุณสามารถเปิดใช้งานได้ เมื่อเปิดใช้งานแล้ว สมาชิกของ กลุ่ม ผู้ดูแลระบบ^{(Administrators)}สามารถใช้วิซาร์ดAdd Hardware หรือตัวช่วยอัปเดตไดรเวอร์เพื่อติดตั้งและอัปเดตอุปกรณ์^{(Add Hardware)}

จะตั้งค่าไทม์เอาต์เพื่อบังคับใช้การเปลี่ยนแปลงนโยบายได้อย่างไร

หากคุณต้องการบังคับใช้การเปลี่ยนแปลงนโยบาย คุณต้องรีบูต การตั้งค่าทำให้คุณสามารถตั้งค่า Reboot Timeoutที่แสดงต่อผู้ใช้ปลายทาง เพื่อให้แน่ใจว่าไม่มีข้อมูลสูญหาย

ฉันหวังว่าโพสต์จะอธิบายให้คุณทราบอย่างชัดเจนเกี่ยวกับLayered Group PolicyในWindows^{(Windows 11)} 11

นโยบาย^{(The policy)}นี้ยังมีให้ใช้งานในWindows 10  โดยเป็นส่วนหนึ่งของการเปิดตัวไคลเอ็นต์ “C” ที่เป็นตัวเลือก ใน เดือนกรกฎาคม 2564^{(July 2021)} และจะมีให้ใช้งานในวงกว้างมากขึ้นโดยเริ่มในการ เปิดตัว การอัปเดตใน เดือนสิงหาคม 2564 ใน ^{(August 2021)} วันอังคาร^{(Update Tuesday)}

How to apply Layered Group Policy in Windows 11/10

One of thе biggest challenges for an IT admin in a companу is to block access to devices such as USB, External Hard Driνe, and even Printеrs to the organizаtiоn’s devices. To make this a lіttlе easier, Microsoft has rolled out the Layered Group Policy feature that gives administrators the ability to divide which devices can be installed on machines across the organization.

What is Layered Group Policy in Windows 11?

This Group Policy aims to ensure the machines get less corruption, the number of support cases drops, and the most important is to reduce data theft. The policy ensures to restrict any installation, i.e., the use of devices both in the internal and external environment is blocked. IT admins can choose to pre-authorized devices to be used/installed.

Available here, the script makes sure not all classes are blocked:

Computer Configuration > System > Device Installation > Device Installation Restrictions

this means that if you chose to block the USB device usage, it only blocks it. Going one step ahead, the new feature resolves the earlier problem where several sets need to be created to avoid conflict. Instead, you have hierarchical layering Instance ID > Device ID > Class > Removable device property.

How to apply Layered Group Policy in Windows 11

The first policy you need to enable is — Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria.

Once done, there are an additional set of policies, and you need to ensure to keep the hierarchical order (Device instance IDs > Device IDs > Device setup class > Removable devices) in mind. Here are the policies related to each:

Device instance IDs

• Prevent installation of devices using drivers that match these device instance IDs
• Allow installation of devices using drivers that match these device instance IDs.

Device IDs

• Prevent installation of devices using drivers that match these device IDs
• Allow installation of devices using drivers that match these device IDs

Device setup class

• Prevent installation of devices using drivers that match these device setup classes
• Allow installation of devices using drivers that match these device setup classes.

Removable devices

• Prevent installation of removable devices

Configure each of them by adding the device id or class ID and apply the changes.

Microsoft recommends using this policy over the “Prevent installation of devices not described by other policy settings” policy setting because of the layered structure.

How to find the Hardware ID or Compatible ID?

• Open Device Manager using Win + X, followed by pressing M.
• Locate the device. Right-click on it, and then select Properties
• Switch to the Details tab
• Click on the Property dropdown, and here you can select hardware ID, class ID, and other details. The exact value will be available in the value section.

How to add Device IDs to the Allow list?

• Open the policy— Allow installation of devices that match any of these device IDs.
• Select Enabled, and then click on the Show button under Options.
• Add Compatible ID or Hardware ID to the list
• Apply the changes.

You can also block the installation of specific devices by using the Prevent installation policies.

How to allow administrators to override device installation restrictions?

There is a policy specific to this which you can enable. Once enabled, members of the Administrators group can use the Add Hardware wizard or the update driver wizard to install and update the device.

How to set up a timeout to enforce policy change?

If you want to enforce the policy change, you need to reboot. A setting allows you to set up a Reboot Timeout displayed to the end-user to make sure there is no data loss.

I hope the post explained to you clearly about the Layered Group Policy in Windows 11.

The policy is also available in Windows 10  as part of the July 2021 optional “C” client release and will be made more broadly available beginning in the August 2021 Update Tuesday release.

Related posts

• วิธีการเพิ่ม Group Policy Editor เพื่อ Windows 10 Home Edition

• วิธีการเปิดหรือปิดการใช้งานบน Win32 Long Paths Windows 10

• Delete โปรไฟล์ผู้ใช้เก่าและไฟล์โดยอัตโนมัติใน Windows 10

• วิธีปิดใช้งาน Picture Password Sign-In option ใน Windows 10

• วิธีการติดตาม User Activity ใน WorkGroup Mode บน Windows 11/10

• 6 เครื่องมือซ่อมแซม Windows 11/10 ที่ดีที่สุดฟรี

• วิธีการป้องกันผู้ใช้จากการลบ Diagnostic Data ใน Windows 10

• Stop Windows 10 จากการโหลด Microsoft Edge บน Startup

• วิธีใช้ Group Policy ถึง Non-Administrators เฉพาะใน Windows 10

• Limit Reservable Bandwidth Setting ใน Windows 10

• วิธีการแมป Network Drive โดยใช้ Group Policy บน Windows 10

• วิธี จำกัด การชาร์จแบตเตอรี่เป็นเปอร์เซ็นต์ที่แน่นอนใน Windows 11/10

• วิธีการระบุกำหนดเวลาก่อนรีสตาร์ทอัตโนมัติสำหรับ Update installation

• เปิดใช้งานหน้าจอ Windows 10 Full Start Menu โดยใช้ Group Policy or Registry

• Desktop Background Group Policy ไม่ได้ใช้ใน Windows 10

• ไซต์เปลี่ยนเส้นทางจาก IE ถึง Microsoft Edge โดยใช้ Group Policy ใน Windows 10

• เกิดข้อผิดพลาดเมื่อคุณเปิด Local Group Policy Editor ใน Windows 10

• dependency Service or Group ไม่สามารถเริ่มต้นใน Windows 10

• วิธีการเปิดใช้งานหรือ Disable or Application Isolation feature ใน Windows 10

• วิธีแก้ไขปัญหาเสียงทั่วไปใน Windows 11/10