![如何在Windows Server 2008域中设置组策略?](https://linux22.com/image/550005/%E5%A6%82%E4%BD%95%E5%9C%A8Windows%20Server%202008%E5%9F%9F%E4%B8%AD%E8%AE%BE%E7%BD%AE%E7%BB%84%E7%AD%96%E7%95%A5%EF%BC%9F.png)
我需要申请组策略到 Windows Server 2008 域中的多台计算机。运行 gpmc.msc 后,我们可以看到默认域策略和默认域控制器策略
- 你能告诉我它们的区别吗?
- 哪项政策有效?
技术网这么说但我不明白:
默认域策略与域对象相链接,并通过策略继承影响域中的所有用户和计算机(包括作为域控制器的计算机)。
默认域控制器策略链接到域控制器 OU。此策略通常仅影响域控制器,因为默认情况下,域控制器的计算机帐户保存在域控制器 OU 中。
答案1
听起来你最好获取有关组策略的一些背景信息开始进行更改之前。活动目录也许也会对你有帮助。
我强烈建议不要修改默认在 Active Directory 中创建的“默认...”组策略对象 (GPO)。您可以创建包含自定义设置的 GPO。通过将这些设置保留为默认状态,您可以禁用所有自定义 GPO,并将所有内容恢复为默认状态。
回答您的具体问题(可能会重复 TechNet 所说的内容):
“默认域策略”是在创建 Active Directory 域期间创建的 GPO,其中包含默认应用于域中所有计算机和用户帐户的设置。(使用单个 OU 上的“阻止继承”功能可以覆盖此行为,但这是一个更高级的主题。)此 GPO 的主要默认设置是域密码策略。此设置控制与用户帐户锁定和用户密码相关的参数(长度、复杂性、到期时间、重复使用)。
“默认域控制器策略”是您在创建 Active Directory 域期间创建的另一个 GPO。它包含仅适用于域控制器 (DC) 计算机(即托管 Active Directory 数据库副本并执行身份验证功能的计算机)的设置。Windows 2003 和更新版本的 Windows 中此 GPO 的主要默认设置是将 DC 限制为“与”支持数字签名的服务器消息块 (SMB) 数据包的客户端“对话”。此设置的目的是提高安全性。
用户或计算机如何应用组策略的具体细节有些复杂。但一般来说,组策略对象是按照遇到的顺序应用的,从域的顶部开始,然后通过 OU 向下到计算机对象。我能想到的关于 GPO 之间的“优先级”或“冲突”的最简单的方法是想象在遇到每个 GPO 时应用所有设置,其中“有效”设置是应用于给定项目的最后一个设置。
例如:域中链接的 GPO 将计算机的“脱机文件”功能设置为“已启用”。计算机对象所在的 OU 中链接的另一个 GPO 将“脱机文件”功能设置为禁用。由于最后应用的 GPO 是最后应用的链接到计算机对象所在 OU 的 GPO,因此计算机的“有效设置”将是将“脱机文件”保留为禁用状态。
“阻止继承”和“禁止覆盖”功能增加了复杂性和强大的功能。WMI 过滤、安全组过滤和环回策略处理也增加了许多额外的复杂性,值得学习。不过,除非您对产品的一般行为有充分的了解,否则我不建议您学习这些功能。
答案2
这两种策略都对它们所链接的 OU 内的对象有效。通常,默认域控制器策略仅适用于域控制器。(您应该在该 OU 中看到您的域控制器。)
默认域策略链接到域树的顶部。要对所有计算机进行更改,请使用默认域策略或添加新策略。