20、组策略规划全解析

组策略规划全解析

1. 组策略基础概念

组策略是一种强大的工具，它能够一次性为大量的用户和计算机对象应用设置。通过组策略，还可以在客户端部署和更新软件、配置并强制实施 Windows 设置，以及使用管理模板分发注册表设置。

2. 组策略对象（GPO）的过滤与应用规则

在组策略的应用过程中，有两个特殊的选项需要注意：
- 无替代（Aucun remplacement） ：如果为父对象启用了此选项，它的优先级高于为子对象启用的阻止继承（Bloquer l’héritage）选项。这两个选项都可以创建强大的继承规则例外情况，但使用时需谨慎。
- 过滤 GPO 对象 ：当一个与包含 500 个用户和 20 个组的组织单位（OU）关联的 GPO 对象的设置不想应用于所有人时，可以通过修改用户的权限参数来实现。应用策略需要两个权限：读取权限（如果无法读取策略，更无法应用）和应用组策略权限。若要阻止策略应用于某个用户或组，可修改权限以禁止读取或应用该策略。

3. GPO 对象的结构规划

要实施组策略，首先要创建 GPO 对象，然后将其关联到站点、域和 OU。虽然有时可能需要在域或站点级别应用某些 GPO 对象，但通常在 OU 级别进行操作更为合适。
- 关联 GPO 对象到域 ：与域关联的 GPO 对象会应用到域内的所有用户和计算机。由于这种策略的影响力较大，应谨慎使用。例如，企业为所有用户和计算机强制实施相同的密码和身份验证策略，就是域级别 GPO 对象的典型应用。
- 关联