![为什么我的 GPO 不适用?](https://linux22.com/image/714669/%E4%B8%BA%E4%BB%80%E4%B9%88%E6%88%91%E7%9A%84%20GPO%20%E4%B8%8D%E9%80%82%E7%94%A8%EF%BC%9F.png)
答案1
根据您在评论和聊天中的回答,我认为您把这件事弄得太复杂了。除非您有非常您需要它的具体原因。
要使 GPO 阻止Contractors
任何计算机上组内的所有用户访问控制面板,您需要:
- 删除 GPO 的 Loopback 部分
Authenticated Users
从 GPO 安全过滤中删除- 删除
OU_One
OU 链接 - 将 GPO 添加到包含实际用户位于
Contractors
OU 中的(请注意,安全过滤意味着如果承包商分散太多,您可以在域级别应用此 GPO)
安全过滤仅使用组作为组织事物(用户、计算机等)的一种方式。事物(用户、计算机等)仍必须位于 GPO 所链接的 OU 中。
环回过滤通常用于诸如更改终端(远程桌面)服务器上的用户策略之类的操作,您希望仅在特定的计算机上应用用户设置。
答案2
组策略,尽管它的名字是“组策略”,但并不适用于安全组。组策略适用于用户和计算机。您可以过滤组策略,使其仅适用于特定用户或计算机,方法是将这些用户或计算机添加到安全组,然后使用这些安全组作为 GPO 的过滤器。
您的问题是,此用户所属的安全组位于您的目标 OU 中,但此用户的用户帐户是不是在目标 OU 中。您需要将此用户的用户帐户移至目标 OU。您不需要并且应该从 GPO 中删除环回策略处理设置。
此外,您在 GPO 的过滤器中拥有经过身份验证的用户,这意味着 GPO 将应用于 GPO 管理范围内的所有用户(即您 OU 中的所有用户)。您需要从 GPO 的安全过滤器中删除经过身份验证的用户。执行此操作时,请务必按照以下链接中的说明操作,以确保您的 GPO 已正确配置。