Active Directory GPO 完整教程 ⚡ 用户和计算机策略解释

GPO 实际上是什么

GPO 只是命名的设置包。它本身什么也不做。仅当您将其链接到容器（站点、域或组织单位 (OU)）时，它才会开始工作，然后应用于该容器内的用户或计算机帐户。

由此得出两个事实。首先，编辑 GPO 和链接 GPO 是两个独立的工作；一个完美配置的、没有链接到任何地方的 GPO 不会改变任何事情。其次，一个GPO可以链接到多个OU，并且一个OU可以接收多个GPO。

本教程中的所有内容都发生在一个控制台中——组策略管理控制台。在域控制器或任何安装了 RSAT 工具的 PC 上，从运行框中打开它：

gpmc.msc

计算机策略与用户策略——两半

打开任何 GPO，您将看到相同的两个部分：计算机配置和用户配置。它们不是一个列表的两个视图 - 它们是两个不同的工具箱，具有不同的设置，在不同的时间应用于不同的帐户。

计算机配置适用于计算机帐户。它会在 PC 启动时、任何人登录之前进行处理。机器的软件安装、启动脚本、USB 阻止、Windows 更新行为和安全设置都位于此处。

用户配置适用于用户帐户。当用户在任何 PC 上登录时都会对其进行处理。壁纸、驱动器映射、文件夹重定向、登录脚本和控制面板限制都在这里。

您链接的位置决定谁可以获取它

GPO 在三个级别上链接：站点（物理办公位置）、域（每个人）和OU（一个部门或组）。在中小型办公室中，几乎所有链接都发生在 OU 级别，因为您首先将帐户组织到 OU 中 - 一个用于办公室 PC，一个用于员工用户，一个用于笔记本电脑，等等。

默认存在的两个 GPO - 默认域策略（密码和帐户规则）和默认域控制器策略 - 最好不要管。为您自己的设置创建您自己的 GPO，以便您可以将其关闭而无需更改默认值。

创建、配置和链接您的第一个 GPO

在gpmc.msc中，右键单击组策略对象→新建→为其指定一个能够说明其用途的名称，例如Block-USB-Drives。诚实命名很重要：六个月后，一个办公室有 40 个 GPO，“New GPO”或“test2”之类的名称无法告诉您任何信息 — 按工作命名，而不是按日期命名。

右键单击新 GPO → 编辑。编辑器以两半打开。在右半部分配置您的设置并关闭编辑器。

返回 GPMC，右键单击目标 OU → 链接现有 GPO → 选择您的 GPO。在客户端 PC 上，重新启动它（对于计算机设置）或注销并重新打开（对于用户设置），或者使用下一步中的命令强制刷新。

强制执行并证明它 — gpupdate 和 gpresult

策略大约每 90 分钟自行刷新一次（有随机偏移），但没有人缓慢地进行测试。在客户端 PC 上，打开命令提示符并运行：

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force 现在重新应用所有策略。某些设置确实需要重新启动（计算机设置、软件安装）或重新登录（用户设置） - /force 无法跳过物理过程。

gpresult /r 是收据：它准确列出了哪些 GPO 应用于计算机和用户，哪些被过滤掉以及原因。为了获得可读的报告，gpresult /h report.html 创建一个 HTML 页面，显示每个获胜设置及其来自哪个 GPO。永远不要凭希望来判断 GPO — 当策略“不起作用”时，gpresult /r 应该是您运行的第一个命令。