组策略应用要点

组策略应用要点5]ZS/u}Sue

　1.不要删除两条默认的策略(默认域策略和默认域控制器策略)，很多问题的发生都是由删除这两条默认策略而引起的。而且要使用组策略管理控制台(GPMC)工具备份这两条默认策略，用于将来还原。如果直接通过GPMC删除默认策略时，我们会发现是行不通的，但是，稍有经验的读者知道如何删除它们。既然是一个不推荐的做法，希望大家不要删除它们。

2.组策略是不能够链接在用户组上的。有很多初次接触活动目录的管理员，经常设想将组策略生效于某一用户组，这是行不通的。组策略不是为用户组设定的策略，而是一组策略的集合，只能链接在站点、组织单元和域上面。2oX`EhO
qeBBLa{ ZH
　　3.组策略的生效问题
 
　　(1)生效顺序`urI!E)iz

　　正常生效顺序:本地策略→站点策略→域策略→父OU策略→子OU策略。
 Rg8dCm GF
　　我们使用时，在出现登录对话框前，会有“应用安全策略”的提示，这也就是本地策略生效的过程。
1G$| ~5E:y&{
　　发生冲突时，最新的策略设置会覆盖其他设置。计算机设置高于用户设置(即使用户设置是后设置的)。父容器组策略设置与子容器设置发生冲突，子容器中组策略的设置将最终生效。同一容器的多个策略按照优先权顺序进行生效。所以，当在一个容器上面链了多个GPO时，不妨仔细看看它们的顺序，很有可能问题是顺序不当引起的。
　　(2)生效时间.q:S&n`9D3O0R3f:^2p

默认情况下，非域控制器的计算机每90分钟刷新一次策略，其中含有随机的30分钟时间偏移量，时间偏移量保证了多个计算机不会同时连接到同一个域控制器上面。域控制器每5分钟刷新一次，保证了紧急更新的组策略设置(安全性设置)能够得到及时执行，可以在 “域控制器组策略重新刷新时间间隔”里面更改。（不是很清楚更改的同志，查看有关书籍或去baidu一下）
O[*XF,E$v C
　　在Windows 2000里面可以使用secedit/refreshpolicy machine_policy或secedit /refreshpolicy user_policy命令强制刷新，在Windows XP或Windows 2003使用gpupdate/force强制刷新。如果新做的设置没有能够生效，不妨考虑一下是否为刷新时间间隔问题。

 

最后可以在客户端使用gpresult 命令来查看client端策略应用的情况！

 

注意：对计算机配置的修改一定要连接到站点、域或者计算机上，而不能连接到ou上！