23、全面解析组策略对象（GPO）的管理与应用

全面解析组策略对象（GPO）的管理与应用

1. GPO的应用与最佳实践

• 应用GPO ：在左窗格中找到要关联此GPO的域名，右键单击该域名，从快捷菜单中选择“链接现有GPO”。在“选择GPO”对话框中，点击要链接的GPO，点击“确定”创建链接，或点击“取消”不进行链接。点击域名后，可通过“链接的组策略对象”选项卡在右窗格中看到新的GPO。
• 最佳实践 ：
  • 不要更改默认组策略，这是故障安全选项。若其他设置失败，在默认GPO未修改的情况下，可禁用自定义GPO并仅使用默认GPO。
  • 避免创建大量GPO，因为这会降低服务器速度，导致登录和注销变慢。影响登录/注销时间的是GPO的数量，而非GPO内设置的数量。
  • 安全相关操作应尽量简单，过多的GPO会造成混淆并可能产生安全漏洞。

2. GPO的删除

要删除GPO，只需右键单击所需的GPO，从快捷菜单中选择“删除”，所有GPO链接也将被删除。注意，不能删除“默认域策略”或“默认域控制器策略”。

3. 管理GPO的继承顺序

GPO的继承与权限继承类似，但有更多细节。当GPO应用于父级时，子对象会继承GPO设置，除非子对象有自己的GPO且其设置与父级GPO冲突，此时子对象的策略会覆盖父级。若策略不冲突，则两者都可应用。未定义的策略设置不会被继承，禁用的策略设置将以禁用状态被继承。

例如，创建一个应用于域级别的GPO和一个应用于部分计算机（如财务部门