群組原則偏好設定 (Group Policy Preferences, GPP) 自 Windows Server 2008 引入，提供「非強制、可選、精準定向」的設定部署能力，解決傳統群組原則「全或無、難以維護、介面反直覺」的痛點。以下五大 GPP 項目是企業環境部署的最高 CP 值項目，建議立即實施。
1. 使用者設定 → 控制台設定 → 網際網路設定：集中管理 IE/Edge 設定
- 痛點： 傳統原則需用 IE 維護工具 (IEAK) 匯出註冊表、介面複雜、易誤改、版本綁定。
- GPP 優勢： 直接操作即時 IE/Edge 設定介面 (安全性/隱私/內容/連線/程式/進階分頁)，所見即所得。支援「套用一次」 (使用者可改) 與「強制」 (使用者不可改) 兩種模式混合。支援項目層級定向 (WMI 篩選、安全性群組、IP 範圍)。
- 部署建議： 首頁、信任網站、Proxy 設定、增益集管理、自動完成、摺疊清單 → 強制。下載設定、暫存網路檔案大小 → 套用一次。
2. 使用者設定 → Windows 設定 → 磁碟機對應：告別登入腳本，動態對應網路磁碟機
- 痛點： 登入腳本 (VBS/PowerShell/BAT) 需手寫、維護困難、電腦更換需改腳本、錯誤難除錯。
- GPP 優勢： 圖形化建立/更新/取代/刪除磁碟機對應。依使用者群組 (如「財務部」→ Z: 對應 \\FS\Finance) 自動對應，人隨設定走，換電腦零設定。支援「重新連線」、「隱藏/顯示」、「標籤自訂」。更新頻率預設 90 分鐘 + 隨機 30 分鐘，近乎即時生效。
- 進階： 結合項目層級定向：
%LogonServer%、%UserDomain%、WMI 查詢 (如僅對筆電套用)。
3. 電腦設定 → 控制台設定 → 服務：集中強制服務啟動類型、復原動作、登入身分
- 痛點： 服務設定分散、手動改易被覆蓋、稽核困難 (無法證明「已正確設定」)。
- GPP 優勢： 圖形化列出所有已知服務 (含描述)、設定啟動類型 (自動/手動/停用/自動延遲)、登入身分 (LocalSystem/NetworkService/自訂帳號)、復原動作 (第一/二/三次失敗：重啟服務/執行程式/重啟電腦)。設定本身即為合規證據，稽核員可直接查看 GPP 報表確認。
- 典型部署： Windows Update (自動/延遲)、Windows Defender (自動)、遠端登錄 (停用)、SSDP Discovery (停用)、印表機佇列 (手動)、SQL Server 服務 (自動、指定服務帳號)。
4. 電腦設定 → 控制台設定 → 本地使用者和群組：統一建立本地管理員群組成員、服務帳號
- 痛點： 手動加入本地 Administrators 群組、映像預埋帳號難維護、腳本易遺漏、離職帳號清理無機制。
- GPP 優勢： 宣告式定義：群組名稱、成員 (使用者/群組/SID)、動作 (建立/更新/刪除/取代成員)。
🔵 典型用法： 建立/更新「本地 IT 支援」群組 → 成員：域群組 DOMAIN\IT_Admins、DOMAIN\Helpdesk → 將此群組加入本地 Administrators。
🟢 離職處理： 從域群組移除使用者 → 下次群組原則重整自動從本地 Administrators 移除。
🟡 服務帳號： 建立本地使用者 SVC_AppPool、設定複雜密碼、加入「效能記錄使用者」、「分散式 COM 使用者」等必要群組。
5. 使用者設定 / 電腦設定 → 控制台設定 → 資料來源 (ODBC)：一站式部署資料庫連線字串
- 痛點： ODBC 設定 (DSN、驅動、伺服器、連接埠、認證) 極易出錯、32/64 位元雙重維護、機器級/使用者級 DSN 混淆。
- GPP 優勢： 圖形化建立 System DSN / User DSN：資料來源名稱 (DSN)、驅動 (SQL Server Native Client / ODBC Driver 17 for SQL Server / PostgreSQL / Oracle / MySQL)、伺服器、資料庫、認證 (Windows 整合 / SQL 認證)、連線字串屬性 (ConnectionTimeout、ApplicationIntent=ReadOnly 等)。部署至使用者設定 (User DSN) 或電腦設定 (System DSN)，自動處理 32/64 位元註冊表路徑差異 (
HKLM\SOFTWARE\ODBC vs HKLM\SOFTWARE\Wow6432Node\ODBC)。
- 安全： 密碼以 AES 加密儲存於 GPP XML (SYSVOL)，僅限具權限管理員可見，優於腳本明文/註冊表明文。
GPP 部署最佳實務
| 原則 | 說明 |
|---|
| 優先用「更新」動作 | 建立不存在、更新已存在、保留使用者自訂 (非強制模式)，最安全 |
| 善用項目層級定向 | WMI 查詢、安全性群組、IP 範圍、作業系統版本、電池狀態，精準投遞 |
| 測試環境先行驗證 | GPMC → 群組原則建模精靈 / gpresult /h report.html 分析生效結果 |
| 文件化每個 GPP 目的 | GPP 註解欄位填寫：業務需求、負責人、變更紀錄，利於交接稽核 |
| 定期清理廢棄 GPP | 設定動作為「刪除」並保留一段時間後永久移除，避免 SYSVOL 膨脹 |
這五大 GPP (IE 設定、磁碟機對應、服務管理、本地用戶群組、ODBC 資料來源) 涵蓋了企業桌面管理 80% 的高頻、高痛點、高風險場景。它們零成本 (內建於 Windows Server/Client)、零代理、零維護窗口、原生支援離線/緩存/背景重整。不要再寫登入腳本、手動跑 Regedit、遠端桌面逐台改設定了。打開 GPMC，建立 GPP，推送到 OU，喝杯咖啡看生效報表，這才是現代桌面管理的正確姿態！
