- GPO=GPC+GPT (理解GPO的应用过程)
- 当计算机开机或用户登录时,组策略的应用顺序:Local—->site—->domain—->OU—->子OU
- GPO只能链接到容器上(即LSDOU),只能对容器里面的计算机或用户生效,而对组无效。
- 组策略的生效原则:
a.用户和计算机必须在其对应的容器下面。
用户会应用其GPO中的用户配置,而不管用户在哪台计算机上登录。
计算机会应用其GPO中的计算机配置,而不管哪个用户登录。
b.默认状态下,GPO会应用在authenticated users组(即所有域用户和域计算机,默认下此组用户可以读取和应用组策略) - 组策略的生效时间:
a. 计算机策略设置:计算机启动、手动刷新(gpupdate /force)、90-120分钟后台周期刷新。
b. 用户策略设置:用户登录、手动刷新(gpupdate /force)、90-120分钟后台刷新。
c. DC的策略设置:5分钟后台周期刷新。 - 累加性:如果各级容器的GPO的策略设置没有冲突,则累加。(默认状态下)
- 如果各级容器的GPO的策略设置发生冲突,则以范围小的GPO策略为准。(默认)
- 若一个容器上链接多个GPO,设置不冲突,则累加;若设置冲突,则以列表中最上面的优先(即最后执行的优先)(默认)
- 若计算机策略和用户策略冲突,则计算机设置覆盖用户设置。
- 调整组策略的应用顺序:
阻止继承:在子容器上启用(将阻止掉所有上级容器的策略,只应用本容器的GPO设置)
强制(禁止替代):在父容器的某个GPO上启用(此GPO优先级最高,如果冲突,以此为准,其它不冲突的将累加)
“阻止继承”不能阻止上级容器所做的“强制”的GPO。(即若二者同时启用,以强制的为准)
若多个容器的GPO设为“强制”时,以先被应用的为准。
11.查看计算机或用户应用组策略的结果:gpresult/组策略结果集(MMC、帮助中)
12.组策略的安全过滤:如果一个用户帐号位于一个GPO相连的容器里,但不在security filtering里,则该用户不受到该GPO的影响。
13.WMI筛选:如果在一个GPO上连接了一个WMI过滤器,则该GPO的设置将只能作用于所连容器中符合WMI要求的计算机。
如:要求给所有客户机满足是winxp的机器安装软件。
思考:图书馆或教室的计算机,要求不管什么域用户登录,将都会应用本计算机的相应策略。即原有用户设置失效!—启用回环模式。 - LOOPBACK模式:如果对一个容器的GPO设置了Loopback模式,则无论一个用户帐号来自何处,则只要在该容器的计算机登录到域,一定会受到该容器GPO的用户策略的影响。(replace/merge两种方式)
15.同步和异步:默认winxp是异步处理组策略。即先登录,后刷新组策略。
16.禁用GPO。可以针对一个容器禁用GPO中的计算机配置或用户配置或二者全禁。
17.改变管理GPO的DC:通过GPMC.msc或传统工具完成。
18.组策略的委派管理:(为指定的域或OU指定相应的组策略管理员)
三种权限的管理员:
可以为OU创建并链接,并编辑、删除(完全权限)—》domain admins
可以为OU创建并链接、编辑、删除(自己创建的)—》将用户加入到Group Policy Creator Owners组
可以为指定OU链接已有GPO,并可以删除GPO的链接,但不能编辑
19.低速链路配置组策略:注册表策略进程、安全策略进程。仍将处理。
20.组策略的复制、粘贴、备份、恢复、导入等:利用GPMC.msc
复制、粘贴:可以在同一域内操作,也可跨域、跨林操作。
备份、恢复:
a. 可以执行某个GPO的备份,也可以同时执行多个GPO的备份或所有GPO的备份。
b. 备份内容:GPO设置、名称等,但不备份GPO到某个容器的链接。
c. 还原不可跨域操作,但导入可以跨域操作。
** 如果父子域中,子域如果要用父域的GPO,应该在父域上备份,然后导入到子域或通过复制和粘贴方式处理。不要做直接链接。
注:
a. 有些设置不能对低客户端生效。
b. 有些设置不能对慢速链路用户生效。
c. 还原默认的两条组策略对象GPO:dcgpofix