Windows 2003 Active Diretory全攻略（八）--組策略（1）

組策略與OU中的組沒有關係，不要混淆了。系統管理員可利用組策略來管理AD資料庫中的電腦與使用者。例如：使用者案頭環境、電腦啟動/關機所執行指令檔，使用者登入/登出所執行的指令檔、檔案重新導向、軟體安裝等。

一、組策略的基本概念

1、組策略的設定資料儲存在AD資料庫中，因此必須在網域控制站上設定組策略。

2、組策略只能夠管理電腦與使用者。也就是說組策略是無法管理印表機、共用資料夾等其它對象。

3、組策略不能應用到組，只能夠應用到網站、域或組織單位（SDOU）

4、組策略不適用於WINDOWS9X/NT的電腦，所以應用到這些電腦上無效。

5、組策略不會影響未加入域的電腦和使用者，對於這些電腦和使用者，應使用本地安全性原則來管理。注意一下：本地安全性原則與組策略很相似，但功能較少，僅能管理本機上的電腦設定與使用者佈建。

GPO的特性：

組策略的設定資料都是儲存在“組策略對象“（GPO）中，GPO具有以下特性：

1、GPO利用ACL記錄使用權限設定，可以修改個別GPO的ACL，指定哪些人對該GPO擁有何種許可權。

2、使用者只要有足夠的許可權，便能夠添加或刪除GPO，但無法複製GPO。當AD域剛建好時，預設僅有一個GPO--DEFAOLT DOMAIN POLICY。這個GPO可用來管理域中所有的電腦與使用者。若要設定應用於組織單位的組策略，通常會再另行建立GPO，以方便管理。

GPO的內容：

GPO有兩大類策略：1、電腦設定：包含所有與電腦有關的原則設定，這些策略只會應用到電腦帳戶。

2、使用者佈建：包含所有與使用者有關的原則設定，這些策略只會應用到使用者帳戶。

下面來看下