84、本地和基于域的组策略详解

本地和基于域的组策略详解

1. 引言

在网络管理中，安全设置的有效应用至关重要。传统的 Secedit 工具虽有其作用，但使用起来较为繁琐，需要手动调用或通过批处理文件执行，这意味着要对登录批处理文件进行大量杂乱的编辑，或者在所有系统上摆弄计划任务。若使用登录脚本，安全模板仅在登录时应用。那么，如何更频繁地强制实施安全设置呢？答案就是组策略。

2. 基于域的组策略优势

基于域的组策略具有以下显著优势：
- 易于控制应用对象 ：相比确定哪些批处理文件应用于何处，组策略能更轻松地控制应用对象。
- 定期重新应用 ：不仅在登录时应用，工作站每 60 至 120 分钟会主动查找并重新应用组策略。

3. 组策略概念

3.1 组策略对象（GPO）

管理员通过构建组策略对象（GPO）来配置和部署组策略。GPO 是一组设置（策略）的容器，可应用于网络中的用户和计算机。策略对象使用组策略对象编辑器创建，通常通过 DSA.MSC 或 DSSITE.MSC 中的组策略选项卡调用。

3.2 主要节点

组策略对象编辑器有两个主要节点：
|节点名称|功能|
| ---- | ---- |
|计算机配置|管理特定于计算机的设置，如磁盘配额、审计和事件日志管理。|
|用户配置|应用于特定于用户的设置，如应用程序配置或文件夹重定向。|

需要注意的是，这两个节点之间存在一定的重叠，同一策略可能同时存在于两个节点中。

3.3 应