您的瀏覽器似乎不支援JavaScript語法,但沒關係,這裡的JavaScript語法並不會影響 到內容的陳述, 如需要選擇字級大小,IE6請利用鍵盤按住ALT鍵+ V → X → (G)最大 (L)較大(M)中(S)較小(A)小,來選擇適合您的文字大小, 而IE7或Firefox瀏覽器則可 利用鍵盤 Ctrl + (+)放大(-)縮小來改變字型大小,如需要回到上一頁可使用瀏覽器提 供的 Alt+左方向鍵(←) 快速鍵功能,列印可使用瀏覽器提供的(Ctrl+P)功能。 跳到主要內容
:::

政府組態基準(GCB)-FAQ-常見問題專區

1.是否需採購共同供應契約廠商提供之服務,進行政府組態基準(GCB)導入作業?

無強制要求採購共同供應契約廠商提供之服務,可由機關人員參考技服中心公告之GCB說明文件、部署資源、教育訓練教材及數位教材影片後,自行導入政府組態基準(GCB)。

NCCST網站/GCB專區

2.如何設定網域主機群組原則管理之GPO連結順序?

群組原則管理時,GPO連結順序依設定值大小決定,連結順序的數字越小優先權越高,調整方式如下:
1. 選取欲調整之GPO,並點選下圖標示之移動按鈕,即可調整連結順序。

2. 結果顯示已將例外管理的連結順序調整至最優先。

3.如何建立查詢Microsoft Windows 7與Microsoft Windows 10作業系統的WMI篩選器?

請參閱下方說明文件:

WMI篩選器操作說明

4.如何在群組原則編輯器(gpedit.msc)中顯示MSS類別的設定?

請依照下列步驟操作,以顯示MSS類別的設定:
1.安裝LocalGPO程式。
2.按右鍵「以系統管理員身分執行」啟動LocalGPO Command 程式。
3.在LocalGPO Command輸入「cscript LocalGPO.wsf /ConfigSCE」執行後,就可以在群組原則編輯器看到MSS類別的設定。

5.使用者電腦執行「gpupdate /force」指令後顯示失敗訊息,可能為哪些原因造成?

執行「gpupdate /force」指令後,若顯示如下圖之失敗訊息,請先行檢視網域設定是否正常,若網域設定正常,可能為網域主機系統忙碌或網路連線異常導致使用者電腦更新群組原則失敗。

6.導入政府組態基準(GCB)後,該如何判斷影響電腦與系統的項目?

若機關須針對政府組態基準(GCB)條目進行測試,建議以二分法方式逐漸縮小範圍進行,如下圖以Microsoft Windows 7為例,將GPO分為「Account Policy、Computer Settings」與「 Firewall Settings、User Settings」等兩個群組,依次部署於測試環境,經測試後發現「Account Policy、Computer Settings」影響加解密相關程式,再拆分測試後發現為「Computer Settings」條目影響,單獨針對「Computer Settings」測試後即可釐清TWGCB-01-001-0040影響加解密相關程式,並可針對此項目進行例外管理。

7.如何針對不同科室派送不同例外管理設定值之GPO?

如下圖所示,建議於上層OU部署技服中心政府組態基準(GCB)之GPO,在下層各科室OU部署例外管理GPO,依政府組態基準(GCB)套用原則,下層OU之設定會覆蓋上層OU設定值,以達成針對不同科室派送不同例外管理GPO之需求。

8.什麼情況下需訂立例外管理項目?

當機關組態設定值與技服中心公告之「政府組態基準文件」表列項目不同時,皆需列入例外管理,以確實控管可能存在的風險。若不在「政府組態基準文件」表列項目中,則不需列入例外管理。

9.是否有政府組態基準(GCB)例外管理表單範例可供參考?

GCB數位教材內容已納入例外管理表單範例,供機關參考以了解例外管理流程與需記錄之資訊,機關可依需求進行調整。相關內容請參閱「政府組態基準(GCB)」專區之「GCB數位教材-->政策說明、例外管理及部署教學教材」。

政策說明、例外管理及部署教學教材

10.是否須針對所有例外管理項目訂立配套措施?

建議機關針對所有例外管理項目訂立配套措施以提升安全性,若有無法訂立配套措施之情形,請機關以內部審查方式記錄例外管理項目清單,以確實控管資安風險。

11.LocalGPO與LGPO程式有何差異?

LocalGPO及LGPO皆為Microsoft應用程式,提供以單機部署方式將GPO匯入電腦之功能,並產生相同的群組原則套用結果。
1. LocalGPO需進行安裝且Windows8.1、Windows 10、Windows Server 2012、Windows Server 2016無法直接使用,需至LocalGPO.wsf檔案新增程式碼後才可正常執行,GPO部署後若需進行還原,可透過指令直接回復至系統預設值。
2. LGPO為免安裝軟體且無作業系統版本限制,在GPO部署前需透過指令備份當下組態設定,後續還原將以此備份檔為基準。

12.如何使用LocalGPO進行單機部署與還原?

請參閱下方說明文件:

LocalGPO操作說明

13.如何修改LocalGPO Script檔,使Microsoft Windows 10、Microsoft Windows Server 2016、Microsoft Windows 8.1及Microsoft Windows Server 2012電腦正常使用?

請參閱下方說明文件:

LocalGPO Script檔修改方式說明

14.如何使用LGPO進行單機部署與還原?

請參閱下方說明文件:

LGPO操作方式說明

15.LocalGPO匯入失敗(Path not found)之解決方式?

可選擇下列其中一種方式解決Path not found的問題:
1.移除目錄名稱中的空白,例如將「Windows 10 Account Settings」調整為「Windows10AccountSettings」。
2.匯入時將資料夾名稱前後加入雙引號,例如:"C:\Windows10AccountSettings\{BB605EAD-FFC0-4763-AD67-F9B2125C54DA}"。

16.如何解決「政府歲計會計資訊管理系統」(GBA)上傳資料失敗?

使用者執行上傳資料時,在下拉式選單中選擇以SFTP協定傳送即可排除問題。

17.如何解決「公教人員人事管理系統」(Pemis2K)無法進入差勤子系統?

執行程式時,按右鍵選擇「以系統管理員身分執行」,即可排除問題。

18.使用「筆硯公文系統」操作「線上簽核」功能,出現錯誤訊息怎麼辦呢?

使用「筆硯公文系統」操作「線上簽核」功能,出現如下圖所示之錯誤訊息,可在執行IE瀏覽器時,按右鍵選擇「以系統管理員身分執行」,便可排除問題。

19.如何解決健「保署健保卡驗證元件」無法安裝的問題?

經實際測試,政府組態基準(GCB)不會影響健保卡驗證元件安裝,由於此元件安裝時,需寫入網域名稱對照資料至「C:\Windows\System32\drivers\etc\hosts」檔案中,才可順利完成安裝,建議檢視是否有鎖定hosts檔或將其設定為唯讀之情形。

20.是否可提供「Windows設定對照表」之Excel編輯檔?

目前僅提供鎖定的Excel工作表供機關參閱,如有編輯需求可將內容複製到新增的Excel資料表中進行。

21.是否可提供LocalGPO最新版本供機關使用?

Microsoft已終止LocalGPO版本更新,目前「GCB部署資源」頁面所提供之檔案為最終版本。

22.使用LocalGPO進行單機部署時,顯示「稽核原則程式停止」訊息,是否會造成GPO套用失敗?

使用LocalGPO進行單機部署時,若出現「稽核原則程式停止」之訊息,不會影響GPO套用結果。

23.使用網域部署政府組態基準(GCB)後,以Rsop.msc查看的設定值與使用Gpedit.msc查看的設定值不一樣,該以哪一個為標準呢?

在已加入網域的電腦中,若同一條群組原則在Rsop.msc與Gpedit.msc皆有設定值,依群組原則套用順序,請以Rsop.msc的設定值為標準。

24.是否可將所有政府組態基準(GCB)的GPO連結到網域,並使用WMI篩選器讓GPO套用到對應的電腦?

部署政府組態基準(GCB)時,可將所有GPO連結到網域,並使用WMI篩選器讓GPO套用到對應的電腦,惟若需使用此方式進行GPO套用,建議先進行小範圍測試後,再部署至全機關。

25.TWGCB-ID適用於何處呢?

TWGCB-ID為我國政府組態基準專屬編碼方式,機關人員可透過TWGCB-ID快速查找GCB組態設定項目,目前已公告之政府組態基準說明文件皆已制定相對應之編碼供機關參考。

26.Windows Server 2012 R2與Windows Server 2016政府組態基準(GCB)定義之伺服器角色為何?

Windows Server 2012 R2與Windows Server 2016政府組態基準(GCB)定義之伺服器角色,係指於「伺服器管理員」安裝之角色,各角色於「伺服器管理員」之確認方式說明如下:

1.DC Server:點選「AD DS」進入「伺服器」畫面,檢查「角色和功能」列表中是否包含「Active Directory 網域服務」角色服務。

2.DNS Server:點選「DNS」進入「伺服器」畫面,檢查「角色和功能」列表中是否包含「DNS伺服器」角色服務。

3.File Server:點選「檔案與存放服務」進入「伺服器」畫面,檢查「角色和功能」列表中是否包含「檔案伺服器」角色服務。

4.Web Server:點選「IIS」進入「伺服器」畫面,檢查「角色和功能」列表中是否包含「網頁伺服器」角色服務。

27.Windows作業系統之「拒絕透過遠端桌面服務登入」項目,該如何透過群組原則設定「本機帳戶」群組呢?

將「"電腦設定"=>"Windows設定"=>"安全性設定"=>"本機原則"=>"使用者權限指派"=>"拒絕透過遠端桌面服務登入"」設為啟用,在「新增使用者或群組」處輸入「本機帳戶」即可。

28.若Windows Server 2012 R2與Windows Server 2016伺服器主機同時存在多個伺服器角色,是否須針對各伺服器角色部署專用群組原則物件?

若伺服器主機同時存在多個伺服器角色,各伺服器角色皆須部署專用群組原則物件,部署方式請參閱108年政府組態基準(GCB)實作研習活動教材-Windows Server 2016組態設定與實作練習。

108年政府組態基準(GCB)實作研習活動教材

29.Windows Server主機套用GCB設定後,發生服務(如防毒中控台或SQL Server)無法正常啟動,怎麼辦?

政府組態基準(GCB)之設定值原則上不宜隨意更動,但如因公務執行需求,必須調整設定值,方法如下:

請調整群組原則設定,將啟動服務之帳戶加入「"電腦設定"=>"Windows 設定"=>"安全性設定"=>"本機原則"=>"使用者權限指派"=>"以服務方式登入"」,以允許帳戶啟動服務。

依照群組原則物件(GPO)部署方式與啟動帳戶類型之不同,設定方式說明如下:

1.單機部署GPO
    1.1.單機部署GPO,以網域帳戶啟動服務:
        至本機端使用本機群組原則編輯器(Gpedit.msc)設定「以服務方式登入」,加入啟動服務之網域帳戶。
    1.2.單機部署GPO,以本機帳戶啟動服務:
        至本機端使用本機群組原則編輯器(Gpedit.msc)設定「以服務方式登入」,加入啟動服務之本機帳戶。

2.以網域主機部署GPO
    2.1.以網域主機部署GPO,以網域帳戶啟動服務:
        至網域主機使用群組原則管理工具設定「以服務方式登入」,加入啟動服務之網域帳戶。
    2.2.以網域主機部署GPO,以本機帳戶啟動服務:
        先至網域主機使用群組原則管理工具設定「以服務方式登入」,將設定值調整為「尚未定義」,再至本機端使用本機群組原則編輯器(Gpedit.msc),將啟動服務之本機帳戶加入「以服務方式登入」項目中。

30.使用者帳戶啟用「密碼永久有效」設定後,導致「密碼最長使用期限」設定失效,該怎麼辦?

若使用者帳戶啟用「密碼永久有效」設定,將覆蓋群組原則「密碼最長使用期限」設定,造成系統不再要求使用者更換密碼。

建議停用「密碼永久有效」設定,以確保GCB「密碼最長使用期限」設定生效。

依照使用者類型不同,停用「密碼永久有效」之設定方式說明如下:
1.本機使用者:
   步驟1:以系統管理員身分開啟「命令提示字元」視窗。
   步驟2:於「命令提示字元」視窗輸入「compmgmt.msc」,開啟「電腦管理」工具。
   步驟3:於左窗格點選「本機使用者和群組」,接著再點選「使用者」,即可於中間窗格中顯示帳戶列表。
   步驟4:雙擊欲停用「密碼永久有效」之帳戶,以開啟「帳戶內容」視窗。
   步驟5:於「一般」頁籤中,取消勾選「密碼永久有效」。
   步驟6:點選「確定」按鈕,即完成設定。

2.網域使用者:
舉例而言,若欲針對「2016gcb.com」網域之「testuser」組織單位內所有使用者停用「密碼永久有效」,設定方式如下:
   步驟1:以系統管理員身分開啟PowerShell視窗。
   步驟2:執行以下指令,即可對「testuser」組織單位內所有使用者停用「密碼永久有效」設定:
   dsquery user ou=testuser,dc=2016gcb,dc=com | dsmod user -pwdneverexpires no

31.在Windows Server 2012 R2與2016作業系統中,若需將「進階稽核原則設定」內之群組原則設定為「沒有稽核」,該如何操作?

執行「群組原則管理編輯器」,開啟「進階稽核原則設定」內之群組原則設定視窗,勾選「設定下列稽核事件」選項,並確認無勾選「成功」與「失敗」選項,即可將該群組原則設為「沒有稽核」。

下圖以設定「稽核詳細目錄服務複寫」群組原則為例:

32.若運行於虛擬機之資通訊設備符合政府組態基準(GCB)適用環境,是否需導入GCB?

凡符合GCB適用環境之資通訊設備皆需導入GCB,包含實體機與虛擬機。

33.Windows Server主機使用「網路原則伺服器」角色為RADIUS用戶端提供驗證服務時,套用GCB設定後,若發生RADIUS驗證失敗問題,怎麼辦?

政府組態基準(GCB)之設定值原則上不宜隨意更動,但如因公務執行需求,必須調整設定值,方法如下:

1.將「"電腦設定"=>"系統管理範本"=>"Windows元件"=>"Windows遠端殼層"=>"允許遠端殼層存取"」設定為啟用,以允許RADIUS用戶端遠端連線網路原則伺服器。
2.設定主機防火牆連線規則,允許RADIUS協定所使用之通訊埠(預設使用1812埠)。
3.將「電腦設定"=>"Windows設定"=>"安全性設定"=>"本機原則"=>"安全性選項"=>"網路安全性:LAN Manager驗證等級」設定內容,調整為與RADIUS用戶端設定之驗證等級匹配。

34.自GCB專區下載GPO檔後,如欲在執行單機部署前先進行GPO設定值調整,該如何進行?

可透過AD伺服器主機之群組原則編輯工具調整GPO設定值,再將GPO匯出,即可進行單機部署。

35.透過AD伺服器群組原則工具檢視GPO設定值時,如出現adml檔剖析錯誤訊息,該怎麼辦?

透過AD伺服器群組原則工具檢視GPO設定值時,如出現adml檔剖析錯誤訊息,係因群組原則系統管理範本毀損所造成,機關可自行評估是否更新管理範本,更新注意事項與相關風險請參考下列網址:

https://docs.microsoft.com/zh-TW/troubleshoot/windows-client/group-policy/create-and-manage-central-store。