WMI Filter for GPO 群組原則 ~ 不自量力の Weithenn

前言

簡單說，本文的出現是因為最近遇到了在 VDI 虛擬桌面環境中，雖然已經設定 Windows GPO 群組原則來套用相關機制，但卻碰到了個難題。因為環境當中實體主機也有加入 Windows AD 網域，且 VDI 虛擬桌面環境中因為要提升使用者操作體驗，所以有導入「漫遊使用者設定檔 (Roaming User Profile)」機制。

然而卻產生一個難題，當實體主機及 VDI VM 虛擬主機的 GPO 發生衝突時非常難以處理，舉例來說在 VDI 虛擬桌面環境中，為了避免使用者不小心將 VDI VM 虛擬主機關機，增加 vSphere ESXi 虛擬化平台不必要的工作負載，因此在 GPO 中設定當登入後，按下左下角的開始圖示後只會剩下「登出」選項，但是這樣的 GPO 設定會造成登入實體主機時的困擾。

因此，本文主要實作的項目是，透過「WMI 篩選器 (WMI Filter)」的過濾機制，當使用者登入的是 VDI VM 虛擬主機時，才會套用該 GPO 群組原則。若是使用者登入實體主機時，則「不」會套用GPO 群組原則。

實作環境

VMware Horizon View 5.1 (VDI 虛擬化平台)
Windows Server 2008 R2 (Windows AD / GPO)
Windows 7 (VDI VM、實體主機)

安裝及設定

測試 WMI 篩選器功能

因為本文主要處理的部份是，希望實體主機「不」要套用到 VDI VM 虛擬主機的 GPO 群組原則，所以透過 WMI 篩選器內「ComputerSystem \ Model」剛好可以過濾出這樣的需求 (詳細語法請參考 Microsoft MSDN - Win32 Provider)。要測試 WMI 篩選器的語法，其實有很多種方式： 命令提示字元、PowerShell、WMI Code Creator

命令提示字元
您可以登入 VDI VM 虛擬主機，開啟命令提示字元後輸入指令「wmic ComputerSystem get model」，便可以得到 VDI VM 虛擬主機的 Model 資訊，此實作環境為「VMware Virtual Platform」。

PowerShell
您可以登入 VM 虛擬主機，開啟 PowerShell 後輸入指令「gwmi -query 'Select * From Win32_ComputerSystem'」，便可以得到 VDI VM 虛擬主機的 Model 資訊，此實作環境為「VMware Virtual Platform」。

WMI Code Creator
您可以下載由微軟官方推出的 WMI Code Creator 工具，此工具為綠色軟體不需要安裝，首先在 Namespace 欄位選擇預設的「root\CIMV2」，接著在 Classes 欄位選擇此次需要的「Win32_ComputerSystem」項目，接著點選「Model」項目，此時在右方的 Generated Code 區塊會顯示相關的程式碼內容 (你可以點選 Code Language 進行程式碼內容的切換)，若要測試看看所選的結果，請按下「Excute Code」鈕，同樣的可以看到此實作環境環境的「VMware Virtual Platform」。

新增 WMI 篩選器

請登入 Windows AD 網域伺服器，開啟群組原則管理後依序點選「樹系 > 網域 > 站台 > WMI 篩選器 > 新增」，準備新增 WMI 篩選器項目。

在名稱欄位中填入此 WMI 篩選器的名稱，此實作填入「VDI Machine Only」然後按下新增鈕，填入此次的命名空間「root\CIMv2」以及 WMI 查詢內容「Select * From WIn32_ComputerSystem Where Model = "VMware Virtual Platform"」後，按下儲存鈕。

選擇要套用 WMI 篩選器的 GPO

完成後，便可以選擇要套用剛才 WMI 篩選器項目的 GPO (請注意!! 一個 GPO 只能套用一個 WMI 篩選器)，點選此次實作環境的 GPO 項目「View-Student」，然後在 WMI 篩選區塊中的下拉式選單選擇剛才建立的「VDI Machine Only」進行套用的動作。

登入 VDI VM 進行功能驗證

透過 VMware Horizon View Client 登入 VDI VM 虛擬主機後，開啟命令提示字元後輸入指令「wmic ComputerSystem get model」，確認 VDI VM 虛擬主機的 Model 資訊，此實作環境為「VMware Virtual Platform」。