20、组策略部署、故障排除及Windows安全管理指南

组策略部署、故障排除及Windows安全管理指南

1. 组策略部署注意事项

在组织中部署组策略（GP）时，需要考虑多个方面，以确保其有效且高效地运行。以下是一些关键的部署建议：
- 保持默认域策略清晰 ：默认域策略GPO仅用于全域、所有计算机的设置，避免在此策略中添加特殊例外或自定义设置。否则，使用继承阻止和安全组过滤来限制设置范围时，会导致故障排除变得异常困难。建议为不同的容器创建单独的GPO，这样即使更改被GPO的某些属性阻止，影响范围也不会过于广泛。
- 创建多个小GPO ：相较于少数大型GPO，创建多个小型GPO更为可取。虽然处理时间可能会稍有增加，但小型GPO的作用范围更容易在特定计算机上识别，因为它们仅影响少数对象。
- 使用清晰的命名结构 ：为GPO构建清晰且具有描述性的命名结构。例如，避免使用像“Office”这样模糊的名称，因为不清楚它是定义通过IntelliMirror接收Microsoft Office的用户，还是包含办公室计算机的安全设置。同时，要将这些信息记录在安全的地方。
- 智能设计目录结构 ：
- 创建单独的组织单位（OU）来容纳执行相似角色的对象，并为网络中不同类型的用户创建不同的OU。
- 通过逻辑的目录结构，将客户端工作站与服务器计算机分开，区分普通用户、高级用户和管理员。
- 尽量创建较浅的Active Directory结构，以减少应用于嵌套OU的多层策略。
- 考虑到可能存在的特殊情况，如某些客户端可能充当服务器，某些服务器可能充当客户端，需要为这