20、组策略部署、故障排除及服务器安全管理全解析

组策略部署、故障排除及服务器安全管理全解析

组策略部署注意事项

在组织中部署组策略（GP）时，有诸多要点需要考虑，以下是一些常见问题及建议：
1. 保持默认域策略清晰 ：默认域策略组策略对象（GPO）仅用于全域、所有计算机的设置，不要将其作为自定义众多策略的起点。避免在该策略中应用不同设置，再试图通过继承阻止和安全组过滤来限制设置范围，这会给故障排除带来极大困扰。建议为不同容器创建单独的 GPO，这样即使更改被 GPO 的某些属性阻止，影响范围也不会过大。
2. 创建多个小 GPO ：相较于少数大 GPO，建议创建多个小 GPO。虽然处理时间会稍有增加，但好处是小 GPO 仅影响少数对象，在特定计算机上更容易识别其作用范围。
3. 清晰命名 GPO ：为 GPO 构建清晰且具有描述性的命名结构。例如，看到名为“Office”的 GPO，应能明确其是通过 IntelliMirror 定义谁能获得 Microsoft Office，还是包含办公室计算机的安全设置等。同时，要将相关信息记录在安全的地方。
4. 合理设计目录结构 ：
- 为执行相似角色的对象创建单独的组织单位（OU），为不同类型的用户创建不同的 OU。通过逻辑清晰的目录，将客户端工作站与服务器计算机分开，区分普通用户、高级用户和管理员。
- 确保为特殊情况预留空间，因为有些客户端可能充当服务器角色，有些服务器可能作为客户端使用。尽量创建浅层次的 Active Directory 结构，避免过多层级的策略应用到嵌套的 OU 中。
5.