随行笔记－组策略应用的要点

1.       多个GPO链接到同一个OU，那么所以GPO的配置将被累加起来应用，作为最后的有效配置值，如果GPO间配置相互冲突时，将以排在前面的GPO配置为优先。

2.       GPO是先处理“计算机配置”再处理“用户配置”。如果“计算机配置”与“用户配置”冲突时，是以“计算机配置”为优先。

3.       站点GPO、域的GPO、OU的GPO，域、站点与OU之间发生配置冲突时系统的GPO优先的顺序是： OU的GPO、域的GPO、站点GPO

4.       计算机配置的启用时间：1）计算机开机时自动启用2）即使计算机不重新开机系统仍然会每隔一段时间自动启用：域控制器，默认每隔5分钟自动启用。非域控制器，默认每隔90~120分钟自动启用3）不论策略配置值是否有变动，系统仍然会每隔16小时自动启用一次4）手动启动命令：gpupdate /target:computer /force

5.       用户配置的启用时间：1）用户登录时自动启用2）即使用户不注销、登录，系统默认每隔90~120分钟自动启用3）不论策略配置值是否有变动，系统仍然会每隔16小时自动启用一次4) 手动启动命令：gpupdate /target:user /force

6.       利用gpresult.exe程序来检查上次应用组策略的时间与应用了哪一些GPO设定。如果组策略一直无法应用成功，则可以利用netdiag.exe程序来检查是否网络有问题，或是利用replmon.exe来检查是否域控制器之间的AD复制有问题。

7.       如果域内有多台域控制器，由于组策略的配置默认情况下是先存储到PDC，再由PDC主机复制到其他域控制器后才可以让这些策略配置值有效的应用到其他的域控制器。系统可以利用两种方式来完成复制：1）自动复制PDC主机在默认方式下是15秒后自动将其复制出去2）手动立即复制方法为“开始”－“管理工具”－“AD站点与服务”－“Sites”－“DFSN”－“Servers”－展开目的的域控制器－“NTDS Settings”－右击PDC主机－立即复制

8.       过滤组策略配置：将不应用GPO的用户通过添加到“GPO－单击“属性”－安全选项卡“中并将“读取”与“应用组策略”两个权限修改为“拒绝”。则此GPO不应用到特定的用户或计算机

9.       强制GPO：通过设置“计算机配置”－“管理模板”－“系统”－“组策略”－“软件安装策略处理”

10.   慢速链接的GPO处理：“计算机配置”－“管理模板”－“系统”－“组策略”－“组策略慢速链接探测”可以设定多少链接速度被为慢速。在慢速链接时除了“安全策略处理”与“登录策略处理”必须应用外，都可以修改。

11.   假设“服务器”OU中的计算机应用“服务器GPO”组策略并启用“环回处理模式”，则不论用户帐户是位于何处应用哪个组策略，只要用户是利用“服务器”OU的计算机登录，用户的工作环境将改由“服务器GPO”内的“用户配置”来决定。环回处理模式分为两种模式：1）替代模式：直接改由“服务器”内的“用户配置”来决定用户的环境，而忽略掉用户所应用的其他组策略中的“用户配置”2）合并模式：先处理用户所应用的其他组策略中的“用户配置”，再处理“服务器GPO”内的“用户配置”，若两者有冲突，则以“服务器GPO”内的“用户配置”为优先。设置的方式为：“计算机配置”－“管理模板”－“系统”－“组策略”－“用户组策略环回处理模式”

12.   对域用户来说，整个域只可以有一个帐户策略，而且必须通过默认的Default Domain Policy GPO来配置，这个策略会被应用到域内的所有用户帐户。

13.   文件夹重定向设置：以“我的文档”为例，授予用户对“我的文档”的独占权限，若勾选此选项，就只有用户自己和系统对导向后的新文件夹具有完全控制的权限，包括系统管理员在内的其他用户都没有任何权限，如果没有勾选此项，该文件夹将继承父文件夹的权限

14.   组策略的委派管理：1）链接GPO到站点、域或OU的委派系统默认Domain Admins或Enterprise Admins组内的用户可以将GPO链接到站点、域或OU。一般用户只要对站点、域或OU的gPLink或gPOptions这两个属性的读取与写入权限，就可以将GPo链接到站点、域或OU。2）添加GPO的委派只要用户是属于Domain Admins、Enterprise Admins或Group Policy Creator Owners组的用户，就拥有添加GPO的权限。3）编辑GPO的委派只要用户属于Domain Admins或Enterprise Admins组的用户，就拥有修改GPO的权限

15.   软件部署的后缀名为zap或msp，或是将其他类型的软件包装成msi程序

16.   软件部署分为“指派”与“发布”两种方式

17.   软件部署“指派”方式：1）将软件指派给用户：则用户在域内任何一台计算机登录时，这个软件都会被“通告”（在开始程序与桌面存放快捷方式）给该用户，但只有用户双击了快捷方式或利用“文件启用”（指关联，举例说明假设这个被“通告”的程序是Microsoft Excel则用户登录时，他的计算机会自动将扩展名为XLS的文件与Microsoft Excle关联在一起）两种方式系统就会自动安装程序。2）将软件指派给计算机：计算机启动时，这个软件就会自动安装在这些计算机里，而且是安装到公用程序组内，也就是安装到Documents and Setting\All Users文件夹内，任何用户登录后都可以使用此软件

18.   软件部署“发布”方式：该软件不会自动安装到用户的计算机内，用户需要通过以下两种方式来安装1）“开始”－“控制面板”－“添加或删除程序”－添加程序2）利用“文件启动”功能

19.   zap格式发布只能够发布给用户，无法指派给用户或计算机，不具备自动修复、大部分安装过程需要用户介入，用户发生具备安装软件的权限

20.   Windows Installer Package的安装是通过“Windows Installer服务”来安装，而“Windows Installer服务”有安装软件的权限

21.   zap格式：以copyWriter 2.02安装为例copyWriter

22.   改变部署设置：右击部署的软件－“属性”－选择“部署”标签后就可以改变以下的设置：1）部署类型 选择“已发布”或“已指派”2）通过文件扩展名激活自动安装该应用程序 此处是可以让用户拥有“文件启动”的功能3）当这个应用程序不再处于管理的范围内时，将其卸载4）不要在“添加/删除程序”控制面板中显示这个程序包