集中管理瀏覽器配置和軟體 在企業環境中，這不再是奢侈品，而是必需品。如果您的組織使用 Firefox，並且您希望對其進行有效控制，正確配置其擴充功能和設置，那麼最佳方法是利用 Active Directory、群組原則物件 (GPO) 和 Mozilla 官方管理範本。這將避免您依賴孤立的腳本、手動安裝或「人人隨意配置」的方式。
使用 GPO 建立 Firefox 部署套件 它允許您安裝瀏覽器本身、應用安全性原則、強制安裝擴充功能（就像在 Edge 或 Chrome 中一樣），並自動將其他軟體分發到網域電腦。讓我們一步一步地了解如何設定此基礎架構、如何使用 Firefox 的 ADMX 檔案、如何強制安裝擴充功能以及如何使用群組原則物件 (GPO) 在您的電腦上部署其他 .MSI 程式。
使用 GPO 部署的前提條件和概述
在開始建立 GPO 和修改範本之前，您需要清楚認真使用群組原則的最低要求。 Firefox 在企業網路中。這些包括：
- 活動目錄環境您在這裡看到的所有內容都依賴於具有 Active Directory 網域服務 (AD DS) 的 Windows Server 網域。您至少需要一個網域控制器，不過在實際環境中，通常會有多個網域控制器以實現冗餘。
- 管理員權限要建立和編輯 GPO，將其連結到組織單元 (OU)，並將 ADMX 範本複製到中央存儲，您需要使用在網域中具有管理權限的帳戶，或至少需要對要管理的 OU 具有特定的委派權限。
- 聯合到域中的團隊若要在用戶端（Windows 10/11、伺服器等）上部署 Firefox、其原則或任何其他軟體，必須將用戶端加入 AD DS 網域。否則，群組原則物件 (GPO) 將不會生效。
- 企業級軟體對於使用群組原則進行常規應用程式部署，建議使用 Windows Installer 套件 (.msi) 或透過 setup.exe /a 進行管理安裝。對於 Firefox 及其擴充程序，我們將結合使用 ADMX 和特定參數。
官方 Firefox 管理範本 (ADMX)
多年來，在公司管理 Firefox 一直是個小麻煩。 因為當時沒有官方的管理模板，使用者只能依賴腳本、手動複製設定檔或使用第三方解決方案。這種情況在 2018 年 5 月發生了改變，當時 Mozilla 發布了 ADMX 格式的策略範本。
策略相容性Firefox 策略僅適用於 60 及更高版本。在早期版本中，這些範本無效，因此請確保所有電腦上的 Firefox 都已更新至最新版本。
下載 Mozilla 模板您可以從 GitHub 上的 Mozilla 官方程式碼庫的 policy-templates 專案的「Releases」部分取得 ADMX 檔案及其語言檔案 (ADML)。在那裡，您可以找到一個壓縮文件，其中包含使用群組原則物件 (GPO) 配置 Firefox 所需的所有範本。
減壓和準備下載軟體包後，將其解壓縮到管理工作站或檔案伺服器上的臨時位置。您會看到不同語言的資料夾以及定義策略類別和設定的 .admx 檔案。
將 ADMX 和 ADML 複製到指令儲存庫若要使群組原則管理編輯器能夠識別新模板，您必須將 ADMX 和 ADML 檔案複製到對應的路徑，該路徑可以是本機路徑，也可以是集中式路徑：
- 當地的商店：位於網域控制站上的 C:\Windows\PolicyDefinitions。
- 主店: 位於主網域控制站或組織用於中央儲存的伺服器上的 \\dc-server\SYSVOL\domain-name\Policies\PolicyDefinitions。
複製範本後，開啟 GPO 控制台 （gpmc.msc）您將在管理範本中看到 Mozilla Firefox 的新部分，包括電腦配置和使用者配置，具體取決於每個版本的策略範本提供的內容。
在 Active Directory 中建立和基本管理 GPO
Firefox 和其他程式的整個部署 它是透過群組原則物件 (GPO) 進行協調的。無論是部署瀏覽器、擴充功能或第三方軟體，創建、編輯和連結 GPO 的一般機制都是相同的。
存取群組原則管理員從網域控制器或管理伺服器：
- 打開 服務器管理員前往“工具”並選擇“群組原則管理員”。
- 如果你喜歡直奔主題，可以直接啟動。 GPMC.MSC 從“運行”或控制台運行。
建立新的 GPO集中配置 Firefox 或部署軟體：
- 右鍵點選您的網域名稱或要套用原則的組織單元 (OU)。
- 選擇「在此網域中建立 GPO 並將其連結到此處…」。
- 輸入一個描述性名稱，例如「Firefox – 企業策略」或「PuTTY 軟體部署」。
GPO版創建完成後，右鍵單擊並選擇“編輯”。此時將開啟群組原則管理編輯器，其中包含兩個主要分支：電腦配置和使用者配置，每個分支都有自己的策略、管理範本和軟體配置選項。
安全和範圍控制在群組原則物件 (GPO) 屬性（Active Directory 使用者和電腦中的「安全性」標籤或群組原則管理主控台 (GPMC)）中，您可以調整哪些使用者擁有「應用程式群組原則」的權限。您可以在此處決定哪些安全群組將看到或看不到該策略。取消選取要排除的群組的選項，並選取目標群組的選項。
請記住，範圍也取決於組織單元 (OU)。 該 GPO 連結到哪些組織單元 (OU)？您可以為特定分公司、位置、伺服器群組或特定類型的裝置設定特定策略，具體取決於您設計的 OU 結構。
透過 GPO 和 ADMX 模板設定 Firefox
Mozilla模板複製完畢並創建好GPO後，即可開始… 制定公司內部 Firefox 使用行為的管理策略。 這些策略涵蓋了從配置主頁到阻止某些使用者選項或控制擴充功能等各個方面。
瀏覽 Firefox 模板
在群組原則物件 (GPO) 編輯器中，找到「管理範本」部分，您會看到 Mozilla Firefox 的相關設定（具體位置可能會因版本而略有不同）。您可以在此定義使用者等級或電腦等級的設定。
企業環境中常見的政策 普登包括：
- 阻止關鍵配置更改 （代理程式、憑證、自動更新等）。
- 主頁設置 透過公司內部網路或服務入口網站。
- 代理伺服器及其排除項目的定義 控製網路流量。
- 停用不符合安全性原則的功能例如某些同步功能或網站權限。
- 擴充管理，指示哪些插件已安裝，哪些插件已被阻止，哪些插件已被允許。
政策對使用者或設備的適用性
根據您希望如何控制 Firefox，您可以選擇以下選項：
- 在設備設定中配置策略這樣一來，任何登入這些機器的使用者都會受到影響。
- 在使用者設定中配置策略這樣，無論您使用哪個裝置連接，設定都會隨帳戶一起轉移。
在將策略推廣到整個組織之前，最好先在部分使用者或實驗室 OU 中測試這些策略，以避免在生產環境中出現意外情況。
在瀏覽器（Firefox、Chrome 和 Edge）中自動部署擴充功能
除了瀏覽器本身之外，在許多公司 請務必確保所有電腦上都已安裝並啟用特定擴充功能（例如安全性插件、監控代理程式或效率擴充功能）。 Edge、Chrome 和 Firefox 的操作步驟略有不同，但原理類似。
典型場景：卡賓擴建
假設您想為 Microsoft Edge、Google Chrome 和 Mozilla Firefox 部署 Kabeen 擴充功能。該擴充功能需要與一個本機代理程式配合使用，該代理程式也必須安裝在電腦上才能記錄 Web 應用程式的使用情況，因此您需要同時管理這兩個元件：代理程式和擴充功能。
- 步驟 1：建立擴充部署的 GPO與之前一樣，登入管理工作站或網域控制器，開啟群組原則管理控制台，右鍵單擊網域或相關 OU，然後建立具有描述性名稱的新 GPO，例如「Kabeen 瀏覽器擴充功能」。
- 步驟 2：安裝瀏覽器管理模板在某些網域控制站上，您還需要為 Microsoft Edge、Google Chrome 和 Mozilla Firefox 實作特定的 ADMX 模板，以啟用擴充功能控制選項。這些範本也會複製到本機或中央 PolicyDefinitions 儲存區。
- 步驟 3：設定擴充功能的靜默安裝 對於每個受支援的瀏覽器，請使用管理範本中的擴充功能部分。
Microsoft Edge 擴充
強制在 Edge 瀏覽器中安裝擴充功能編輯 GPO 並瀏覽樹狀結構至：
使用者設定 > 策略 > 管理範本 > Microsoft > Microsoft Edge > 擴充
在該部分中找到該政策 「控制哪些擴充功能以靜默方式安裝」（或根據語言/版本而定的等效名稱）。請依照以下步驟操作：
- 編輯該策略並選擇該選項 已啟用.
- 點擊按鈕 節目 開啟將以靜默方式安裝的擴充功能清單。
- 新增 Kabeen 擴充標識符，例如： jgdflahjneomipldehpneckiplknghbc （具體金額將取決於供應商提供的最新文件。）
這樣一來，當使用者登入Edge瀏覽器時，就會發生這種情況。 在受 GPO 影響的電腦上，該擴充功能將自動安裝，無需確認。
谷歌瀏覽器中的擴展
Chrome 的機制類似。但我們感興趣的策略是強制安裝應用程式和擴充功能的清單策略。在群組原則編輯器中，前往：
使用者設定 > 策略 > 管理範本 > Google > Google Chrome > 擴充功能
然後，他修改了政策。 “配置要強制安裝的應用程式和擴充功能清單”以及：
- 將政治標記為 已啟用.
- 點擊 節目 將項目新增到清單中。
- 例如，在 Chrome 瀏覽器中輸入指派給 Kabeen 的識別碼： hkmgmmaopoofgchofbngplopnhajbojc （請務必在官方文件中確認這一點）。
這樣，Chrome 就會在背景部署擴充功能。 對於處於該 GPO 範圍內的用戶，無需造訪 Chrome 線上應用程式商店。
Mozilla Firefox 擴充
在 Firefox 中，強制擴充管理 安裝管理範本後，也可以透過管理範本完成此操作。在群組原則物件 (GPO) 中，導覽至：
使用者配置 > 策略 > 管理範本 > Mozilla > Firefox > 擴充程序
在該分支中，你會發現政治。 「要安裝的擴充功能」（或類似選項）。要強制安裝 Kabeen 擴充功能：
- 編輯該策略並將其標記為 已啟用.
- 在要安裝的擴充功能清單中，新增來自 Mozilla 附加元件入口網站的安裝 URL，例如： https://addons.mozilla.org/firefox/downloads/latest/kabeen/latest.xpi.
Firefox 隨後會自動下載並安裝擴充功能。 在啟動時，無需使用者乾預，前提是策略應用正確且瀏覽器版本支援這些指令。
使用 GPO 在域電腦上部署軟體
除了管理瀏覽器和擴充功能之外群組原則物件 (GPO) 可讓您在網域感知電腦上部署完整的軟體。此功能在所有受支援的 Windows Server 版本中均可使用，尤其適用於安裝常用工具（VPN 用戶端、PuTTY 等實用程式、代理程式等），而無需逐一存取每台工作站。
集團指令提供了兩種主要的分銷模式:
- 軟體分配 （對使用者或裝置）自動安裝。
- 軟體出版 （對使用者而言）可透過「新增或移除程式」按需安裝。
將程式分配給用戶 這表示軟體會在使用者登入時進行準備，並在使用者首次運行時完成安裝。將其指派給電腦則表示安裝會在系統啟動時進行，並且該電腦的所有使用者都可以使用它。
發布程式 它會將軟體包顯示在「新增或移除程式/控制面板」中的「新增程式」中，使用者可以決定是否要安裝它。
建立軟體分發點
GPO 分發基於共享網路資源 此儲存庫用於向電腦存取 .msi 軟體包或安裝檔案。它通常位於網域內所有電腦均可存取的檔案伺服器上。
設定儲存庫的基本步驟:
- 使用管理員權限登入檔案伺服器或網域控制器本身。
- 建立一個資料夾作為軟體倉庫，例如“SoftRepo”。
- 右鍵點選資料夾，輸入 性能 並轉到選項卡 分享.
- 點擊 進階共享勾選“共用此資料夾”複選框，然後按一下 權限.
配置共享權限 透過移除對「所有人」的通用存取權限，並根據您的安全性原則新增對應的群組或使用者（例如，網域中的所有電腦和網域中的所有使用者）。
在資料夾的「安全」標籤中進入進階選項，新增必要的群組，並授予它們讀取權限（或相應的權限）。這樣可以確保電腦能夠下載安裝程式而不會出現 NTFS 權限問題。
檢查存取權限是否正常 在檔案總管中輸入完整的 UNC 路徑，例如 \\SRV-OLIN02-001\SoftRepo。如果文件能夠正常打開，則表示您的分發點已準備就緒。
使用群組原則發布或指派 MSI 程式包
下一步是建立軟體安裝 GPO。 您可以將其連結到任何您想要的位置。您可以透過「Active Directory 使用者和電腦」或「群組原則管理主控台 (GPMC)」執行此操作，但流程相同。
從 Active Directory 使用者和電腦建立 GPO。:
- 從管理工具中開啟「Active Directory 使用者和電腦」。
- 在樹狀圖中，右鍵單擊網域並選擇 性能.
- 選項卡 組策略， 點擊 努埃瓦 建立 GPO 並為其指定一個描述性名稱。
- 在「安全性」標籤上，根據需要選取或取消選取相應的複選框，以配置哪些群組有權「應用群組原則」。
分配軟體包 這是透過 GPO 編輯器為團隊或使用者執行的操作：
- 點選修改 GPO 改變 從群組原則標籤或群組原則管理主控台 (GPMC) 中。
- 低 設備設置， 擴張 軟件配置 然後進入 軟件安裝 如果您希望程式在電腦啟動時安裝。
- 右鍵單擊“軟體安裝”，選擇 新 > 套餐.
- 在「開啟」對話方塊中，指定共用上 .msi 檔案的完整 UNC 路徑：例如 \\server\SoftRepo\program.msi。
- 選擇套餐，並在提示時選擇運送方式。 已分配.
該軟體包將顯示在編輯器的右側面板中。 作為由群組原則物件 (GPO) 管理的程式。關閉編輯器並套用策略後，受影響的電腦將在下次重新啟動時安裝軟體。
如果您不想分配任務，而是想發布一個軟體包供使用者使用，則可以這樣做。前往“使用者設定”>“軟體設定”>“軟體安裝”，建立一個具有相同 UNC 路徑的新軟體包，然後選擇該方法 發布該程式將出現在控制面板的「新增程式」中，使用者可以從那裡手動安裝。
維護：重新部署和移除軟體包
軟體在組織中的生命週期 安裝並非終點。有時您需要更新、重新部署或徹底移除它。群組原則提供了多種選項，可以以可控的方式管理所有這些操作。
重新部署軟體包 當您發布新版本或修復 MSI 中的錯誤時，可能需要執行此操作。具體操作如下：
- 開啟“Active Directory 使用者和電腦”，轉到“網域屬性”標籤 組策略.
- 選擇用於部署程式包的 GPO，然後按一下 改變.
- 在編輯器中，展開分支 軟件配置 其中包含軟體安裝條目。
- 點擊“軟體安裝”容器，在右側面板中找到該程序，右鍵單擊它，然後選擇“安裝”。 所有任務 進而 重新部署應用程式.
- 確認該訊息，該訊息表明應用程式將重新安裝到先前安裝過的所有位置。
從那時起，在後續的重啟或登入過程中各隊將再次收到該軟體包，並按照 MSI 中的定義進行更新。
移除包裹 當軟體過時或被其他軟體取代時，這一點同樣重要：
- 在同一個軟體安裝容器中，右鍵單擊該程式並選擇 所有任務 > 移除.
- 系統將為您提供兩個選項： 立即從使用者和電腦中卸載該軟體。 o 允許使用者繼續使用該軟體，但阻止新安裝。.
- 選擇最符合您過渡策略的方案並確認。
請注意，有時已發布的軟體包可能會出現問題。 即使透過群組原則移除，這些程式仍可能繼續出現在用戶端工作站上，尤其是在使用者安裝但從未執行的情況下。程式首次運行時，安裝過程將完成，之後群組原則會根據新的配置將其移除。
掌握這些維護選項 它可以幫助您維護一個更乾淨、更統一的軟體環境，避免某些機器上遺留舊版軟體。
透過結合官方 Firefox 管理範本、瀏覽器擴充功能的 GPO 以及透過 MSI 套件進行的軟體安裝，即可實現此功能。您可以對使用的瀏覽器、其管理策略以及工作站上安裝的其他工具進行精細控制。只需進行最少的規劃（軟體倉庫、精心設計的組織單元結構以及事先的實驗室測試），使用群組原則物件 (GPO) 部署 Firefox 及其企業策略，就能將繁瑣的任務轉變為系統管理員可預測、可重複且更加便捷的流程。