18、深入理解组策略：配置、管理与优化

深入理解组策略：配置、管理与优化

1. 组策略处理顺序例外情况

在组策略（GPO）的应用过程中，存在一些默认处理顺序的例外情况，这些情况为管理员提供了更多的灵活性和控制权。

1.1 工作组计算机

工作组计算机仅处理本地 GPO。由于可以链接 GPO 的其他容器（如站点、域和组织单位）都是 Active Directory 对象，而工作组计算机不属于 Active Directory 环境，因此只能通过逐台计算机配置本地 GPO 来使用 GPO。

1.2 阻止策略继承

在任何域或组织单位（OU）级别，可以阻止 GPO 处理的继承行为（在站点级别，“阻止策略继承”选项不可用）。例如，Finance OU 的初级管理员可以阻止策略继承，使该 OU 中的用户能够访问控制面板，因为默认处理顺序中较高级别（域）配置的设置被阻止。需要注意的是，阻止策略继承是在容器级别进行的，对链接到该站点、域或 OU 的所有 GPO 都有效。

1.3 无覆盖

这是“阻止策略继承”选项的对策。可以将链接到站点、域或 OU 的任何 GPO 配置为其设置不能被处理链中较低位置的其他 GPO 覆盖。如果有多个 GPO 具有“无覆盖”设置，则 GPO 处理链中位置最高的那个将成为有效设置。

1.4 环回设置

环回设置可能是最令人困惑且最少使用的设置，它专为实验室或信息亭等严格控制环境中的计算机设计。该设置使系统的计算机配置设置成为有效设置，无论在登录时其他 GPO 可能应用于用户账户的情况如何。配置环回设置需要编辑适用于计算机的 GPO，并编辑其中一个计算机配置设置，完整路径为“计算机