如何向AWS托管Active Directory导入新的策略定义或ADMX文件？

一、ADMX文件导入方法（无需访问域控制器） #

AWS托管AD并没有禁止用户上传自定义ADMX文件，只是不需要直接登录域控制器操作，按以下步骤执行即可：

1. 准备一台已经加入AWS托管AD域的Windows实例，使用具有域管理员权限的账号登录该实例
2. 下载Google Chrome官方ADMX策略包，解压得到ADMX策略文件和对应语言的ADML语言文件
3. 打开资源管理器，访问路径 \\<你的域FQDN>\SYSVOL\<你的域FQDN>\Policies\PolicyDefinitions，如果该路径不存在可以手动创建，这就是AD组策略的ADMX中央存储路径
4. 将解压得到的所有ADMX文件拷贝到上述路径下，再将对应语言的ADML文件拷贝到路径下对应语言的子目录（比如简体中文对应zh-CN目录）
5. 刷新组策略管理控制台（GPMC），就能看到Chrome的策略配置项，后续可以正常新建GPO配置Chrome策略并关联到对应OU生效

以上操作全程不需要登录AWS托管AD的域控制器，所有权限由AWS托管AD默认开放给域管理员账号。

二、替代强制执行Chrome策略的方案 #

如果不想配置ADMX中央存储，也可以选择以下方案直接生效Chrome策略：

• 注册表批量推送：所有Chrome组策略对应注册表项都位于 HKLM\Software\Policies\Google\Chrome 路径下，你可以通过AWS Systems Manager的Run Command功能，批量给所有目标Windows EC2实例写入对应的注册表键值，不需要依赖AD组策略即可强制生效
• Chrome云管理：使用Chrome企业版云管理服务，绑定企业账号后直接在云端配置所有Chrome策略，实例上的Chrome只要登录企业账号或者绑定设备标识，就能自动同步云端策略，不需要AD环境支持

内容的提问来源于stack exchange，提问作者Amith Gowda