GPO 环回和安全过滤解释

从默认开始 - 经过身份验证的用户

开箱即用，每个新 GPO 都带有一个安全过滤器：经过身份验证的用户，同时拥有读取和应用组策略权限。该组比听起来更广泛 - 它包括每个登录用户和每个域计算机帐户 - 这就是为什么新的 GPO 对它所链接的 OU 中的每个人都“有效”。您可以在组策略管理控制台中看到过滤器：选择 GPO 并查看“范围”选项卡上的安全过滤框。该视频中的所有内容都是对默认设置的有意更改 - 每个惊喜都从这里开始。

打开环回处理

环回处理是计算机设置。编辑链接到包含计算机的 OU 的 GPO，然后转到计算机配置 → 策略 → 管理模板 → 系统 → 组策略。打开配置用户组策略环回处理模式并将其设置为启用。从那时起，登录到这些 PC 的任何人的用户设置都将从链接到计算机 OU 的 GPO 中获取，而不仅仅是用户自己的 OU。环回永远不会更改策略的计算机部分 - 计算机设置始终正常处理。

选择合并或替换模式

相同的设置需要一种模式，而选择会改变一切。 替换完全跳过用户自己的用户端 GPO - 仅适用计算机 GPO 中的用户设置。这是自助服务终端、教室和 RDS 服务器的模式，其中机器必须向所有人提供一个相同的受控环境。 合并首先应用用户自己的GPO，然后应用计算机的用户设置 - 并且计算机的设置会赢得任何冲突。合并适合普通的个人电脑，人们保留大部分通常的策略，但机器的规则必须有最后的决定权。

通过安全过滤瞄准 GPO

安全过滤是阻止 GPO 访问 OU 中的每个人的方法。在控制台中选择 GPO，打开范围选项卡，然后在安全过滤部分中删除经过身份验证的用户并仅添加应接收策略的组。要接收 GPO，帐户需要同时读取和应用组策略 — 只要两者之一，GPO 要么永远不会下载，要么列出但会被跳过。过滤是首先在一个小组上试验新策略或针对单个部门的标准方法，而无需在 OU 之间移动单个帐户。

保留计算机的读取权限（MS16-072）

这是自 2016 年 6 月以来一直困扰管理员的陷阱。MS16-072 安全更新更改了组策略的检索方式：计算机帐户现在从计算机自身安全上下文中的域控制器获取用户 GPO。因此，计算机必须对其获取的每个 GPO 持有读取权限，包括筛选到计算机不属于的组的用户 GPO。如果您在上一步中删除了经过身份验证的用户，请打开 GPO 的委派选项卡，单击添加，并仅授予经过身份验证的用户（或域计算机）读取权限 - 读取是计算机所需的全部权限；申请留在您的目标群体。

当环回和过滤相遇时

这两个控件可以交互，这种交互甚至可以吸引经验丰富的管理员。环回提供的用户设置仍然存在于链接到计算机 OU 的 GPO 中，但它们仍然是用户设置，因此键盘操作者仍然需要在该 GPO 上应用组策略，并且计算机仍然需要读取它。将环回 GPO 上的过滤器仅拧紧到计算机组，机器就会尽职尽责地获取一个 GPO，其用户设置不允许坐在它的任何人：一个完美配置的信息亭 GPO，但不会默默提供任何内容。在指责策略本身之前，请检查权限对的两半。

用 gpresult 证明

不要猜测——验证。在受影响的电脑上，在受影响的用户会话中，打开命令提示符并运行视频的校样命令：

gpresult /h report.html

打开生成的 report.html 并阅读结论。应用的 GPO 列在顶部，每个拒绝的 GPO 都带有其原因：拒绝（安全） 表示过滤决策，拒绝（无法访问） 表示获取或权限失败，拒绝（空） 表示一半的 GPO 根本没有设置。通过环回工作，指纹是明确无误的 - 提供用户设置的 GPO 是来自计算机 OU 的 GPO。按此顺序处理证据 - 范围、过滤器、环回 - 大多数“GPO 不适用”案例都会自行解释。