71、组策略对象（GPO）与密码及账户锁定策略的实施与管理

组策略对象（GPO）与密码及账户锁定策略的实施与管理

1. GPO 管理的关键要点

在管理组策略对象（GPO）时，GPMC（组策略管理控制台）主要用于展示应用了 GPO 的组，而非被拒绝应用的组。因此，建议尽可能通过管理 GPO 的应用来控制其作用范围，而非通过拒绝应用。不过，在某些场景下，如涉及企业安全和使用策略时，管理豁免（即拒绝应用）是必要的。

1.1 管理整个 GPO 的豁免

• 原因 ：在大多数企业中，很少有 GPO 适用于企业内的每个用户或计算机，几乎总会有例外情况。
• 操作方法 ：为企业内广泛部署的变更主动配置豁免机制，可创建一个对 GPO 具有“拒绝应用组策略”权限的安全组。当确定需要豁免的系统或用户时，将其添加到该组中，该组就成为管理范围。随着时间推移，可确定这些豁免是永久的还是可以解决并移除的。

1.2 管理 GPO 部分设置的豁免

• 场景 ：有时需要对 GPO 配置的部分（而非全部）设置进行豁免。
• 操作步骤 ：
  1. 创建一个安全组，包含需要豁免的用户或计算机。
  2. 创建第二个 GPO，包含原 GPO 中除有问题设置之外的所有设置。
  3. 将第二个 GPO 的作用范围设置为仅适用于豁免组，原 GPO 的作用范围排除豁免组。

1.3 高结构层次链接组