AD域組策略優(yōu)先級(jí)

1、組策略處理和優(yōu)先級(jí)此主題尚未評(píng)級(jí) - 評(píng)價(jià)此主題 組策略處理和優(yōu)先級(jí)應(yīng)用于某個(gè)用戶（或計(jì)算機(jī)）的組策略對(duì)象 (GPO 并非全部具有相同的優(yōu)先級(jí)。以后應(yīng)用的設(shè)置可以覆蓋以前應(yīng)用的設(shè)置。處理設(shè)置的順序本節(jié)提供有關(guān)用戶和計(jì)算機(jī)組策略設(shè)置處理順序的詳細(xì)信息。有關(guān)策略設(shè)置處理適合計(jì)算機(jī)啟動(dòng)和用戶登錄框架的位置的信息，請(qǐng)參閱以下主題啟動(dòng)和登錄中的第 3 步和第 8 步。組策略設(shè)置是按下列順序進(jìn)行處理的：1. 本地組策略對(duì)象 每臺(tái)計(jì)算機(jī)都只有一個(gè)在本地存儲(chǔ)的組策略對(duì)象。對(duì)于計(jì)算機(jī)或用戶策略處理，都會(huì)處理該內(nèi)容。 2. 站點(diǎn) 接下來(lái)要處理任何已經(jīng)鏈接到計(jì)算機(jī)所屬站點(diǎn)的 GPO。處理的順序是由管理員在組策略管理

2、控制臺(tái) (GPMC 中該站點(diǎn)的“鏈接的組策略對(duì)象”選項(xiàng)卡內(nèi)指定的?！版溄禹樞颉弊畹偷?GPO 最后處理，因此具有最高的優(yōu)先級(jí)。3. 域 多個(gè)域鏈接 GPO 的處理順序是由管理員在 GPMC 中該域的“鏈接的組策略對(duì)象”選項(xiàng)卡內(nèi)指定的?！版溄禹樞颉弊畹偷?GPO 最后處理，因此具有最高的優(yōu)先級(jí)。4. 組織單位 鏈接到 Active Directory 層次結(jié)構(gòu)中最高層組織單位的 GPO 最先處理，然后是鏈接到其子組織單位的 GPO，依此類推。最后處理的是鏈接到包含該用戶或計(jì)算機(jī)的組織單位的 GPO。 在 Active Directory 層次結(jié)構(gòu)的每一級(jí)組織單位中，可以鏈接一個(gè)、多個(gè)或不鏈接 G

3、PO。如果一個(gè)組織單位鏈接了幾個(gè) GPO，它們的處理順序則由管理員在 GPMC 中該組織單位的“鏈接的組策略對(duì)象”選項(xiàng)卡內(nèi)指定?！版溄禹樞颉弊畹偷?GPO 最后處理，因此具有最高的優(yōu)先級(jí)。該順序意味著首先會(huì)處理本地 GPO，最后處理鏈接到計(jì)算機(jī)或用戶直接所屬的組織單位的 GPO，它會(huì)覆蓋以前 GPO 中與之沖突的設(shè)置。（如果不存在沖突，則只是將以前的設(shè)置和以后的設(shè)置進(jìn)行結(jié)合。）設(shè)置默認(rèn)處理順序的例外設(shè)置的默認(rèn)處理順序受下列例外情況的影響： GPO 鏈接可以“強(qiáng)制”，也可以“禁用”，或者同時(shí)設(shè)置兩者。默認(rèn)情況下，GPO 鏈接既不強(qiáng)制也不禁用。 GPO 可以禁用其用戶設(shè)置、禁用其計(jì)算機(jī)設(shè)置，也可以

4、禁用所有設(shè)置。默認(rèn)情況下，GPO 上的用戶設(shè)置和計(jì)算機(jī)設(shè)置都不禁用。 組織單位或域可以設(shè)置成“阻止繼承”。默認(rèn)情況下，不設(shè)置成“阻止繼承”。有關(guān)默認(rèn)行為的上述修改的信息，請(qǐng)參閱管理組策略繼承。 作為工作組成員的計(jì)算機(jī)僅處理本地組策略對(duì)象。 可以啟用環(huán)回。有關(guān)環(huán)回的信息，請(qǐng)參閱在合并或替換時(shí)啟用環(huán)回處理。啟動(dòng)和登錄下面的序列顯示了計(jì)算機(jī)啟動(dòng)和用戶登錄時(shí)計(jì)算機(jī)策略和用戶策略的應(yīng)用順序：1. 網(wǎng)絡(luò)啟動(dòng)。遠(yuǎn)程過(guò)程調(diào)用系統(tǒng)服務(wù) (RPCSS 和多重通用命名約定提供程序 (MUP 啟動(dòng)。（Windows XP Professional 是該規(guī)則的一個(gè)例外。默認(rèn)情況下，在 Windows 

5、;XP Professional 中組策略處理不會(huì)等待網(wǎng)絡(luò)啟動(dòng)。該默認(rèn)行為可通過(guò)策略設(shè)置進(jìn)行更改。）2. 獲取用于該計(jì)算機(jī)的 GPO 順序列表。該列表可能取決于下列因素： 計(jì)算機(jī)是否屬于域，并因此通過(guò) Active Directory 受組策略的控制。 計(jì)算機(jī)在 Active Directory 中的位置。 組策略對(duì)象列表是否已經(jīng)更改。如果 GPO 列表沒(méi)有更改，則不進(jìn)行任何處理?？梢允褂貌呗栽O(shè)置更改該行為。 管理員設(shè)置的任何強(qiáng)制/阻止。管理員可以將策略設(shè)置為一個(gè)總是會(huì)應(yīng)用的更高級(jí)別，這個(gè)過(guò)程稱為強(qiáng)制，以前稱為禁止替代。另外，管理員還可以設(shè)置一個(gè)容器來(lái)阻止更高級(jí)別的任何策略的應(yīng)用。注意：管理員

6、設(shè)置為強(qiáng)制的更高級(jí)別的策略將繼續(xù)應(yīng)用，即使設(shè)置了以上級(jí)別的阻止也是如此。3. 計(jì)算機(jī)策略得以應(yīng)用。這些都是收集的列表中“計(jì)算機(jī)配置”下的設(shè)置。GPO 是按照下列順序應(yīng)用的：本地、站點(diǎn)、域、組織單位、子組織單位等。在處理計(jì)算機(jī)策略時(shí)，不出現(xiàn)任何通知?？梢酝ㄟ^(guò)策略打開(kāi)詳細(xì)日志記錄，以顯示處理計(jì)算機(jī)策略的通知。 有關(guān)在應(yīng)用用戶或計(jì)算機(jī)策略時(shí)處理設(shè)置的順序的詳細(xì)信息，請(qǐng)參閱本主題中的處理設(shè)置的順序。4. 啟動(dòng)腳本運(yùn)行。默認(rèn)情況下這是隱藏而且是同步進(jìn)行的；每個(gè)腳本在下一個(gè)腳本開(kāi)始執(zhí)行之前要么必須完成，要么做超時(shí)處理。默認(rèn)的超時(shí)時(shí)間為 600 秒?？梢允褂脦讉€(gè)策略設(shè)置更改該行為。 注意 任何版本的 Win

7、dows XP Professional 都提供了“快速登錄優(yōu)化”功能。默認(rèn)情況下，使用這些操作系統(tǒng)的計(jì)算機(jī)在引導(dǎo)時(shí)不會(huì)等待網(wǎng)絡(luò)啟動(dòng)。登錄之后，一旦網(wǎng)絡(luò)可用，策略將立即在后臺(tái)進(jìn)行處理。這就意味著在登錄和啟動(dòng)時(shí)，計(jì)算機(jī)將繼續(xù)使用以前的策略設(shè)置。因此，對(duì)于只能在引導(dǎo)或登錄時(shí)應(yīng)用的設(shè)置（如軟件安裝和文件夾重定向），用戶可以在對(duì) GPO 進(jìn)行初始更改之后為多次登錄請(qǐng)求這樣的設(shè)置。該策略由“計(jì)算機(jī)配置管理模板系統(tǒng)登錄計(jì)算機(jī)啟動(dòng)或登錄時(shí)總是等待網(wǎng)絡(luò)”中的設(shè)置控制。該功能在 Windows 2000 或 Windows Server 2003 版本中不可用。1. 用戶按 Ctrl-Alt-Del

8、登錄。2. 用戶通過(guò)驗(yàn)證后，加載用戶配置文件；這是由當(dāng)前生效的策略設(shè)置控制的。3. 獲取用于該用戶的 GPO 順序列表。該列表可能取決于下列因素： 用戶是否屬于域，并因此通過(guò) Active Directory 受組策略的控制。 是否啟用了環(huán)回，以及環(huán)回策略設(shè)置的狀態(tài)（“合并”還是“替換”）。 用戶在 Active Directory 中的位置。 管理員設(shè)置的任何強(qiáng)制/阻止。管理員可以將策略設(shè)置為一個(gè)總是會(huì)應(yīng)用的更高級(jí)別，這個(gè)過(guò)程稱為強(qiáng)制，以前稱為禁止替代。另外，管理員還可以設(shè)置一個(gè)容器來(lái)阻止更高級(jí)別的任何策略的應(yīng)用。注意：管理員設(shè)置為強(qiáng)制的更高級(jí)別的策略將繼續(xù)應(yīng)用，即使設(shè)置了以上級(jí)別的阻止也是

9、如此。4. 用戶策略已被應(yīng)用。這些都是收集的列表中“用戶配置”下的設(shè)置。GPO 是按照下列順序處理的：本地、站點(diǎn)、域、組織單位、子組織單位等。在處理用戶策略時(shí)，不出現(xiàn)任何通知。（可以通過(guò)策略打開(kāi)通知。） 有關(guān)在應(yīng)用用戶或計(jì)算機(jī)策略時(shí)處理設(shè)置的順序的詳細(xì)信息，請(qǐng)參閱本主題中的處理設(shè)置的順序。5. 登錄腳本運(yùn)行。與 Windows NT 4.0 腳本不同，基于組策略的登錄腳本在默認(rèn)情況下是隱藏并且異步運(yùn)行的。最后，在常規(guī)窗口中運(yùn)行用戶對(duì)象腳本。還有一個(gè)登錄超時(shí)腳本。6. 出現(xiàn)由組策略預(yù)定義的操作系統(tǒng)用戶界面。要點(diǎn) 在遷移過(guò)程中有三種特殊情況值得考慮： 如果計(jì)算機(jī)帳戶對(duì)象在 Windows NT 4.0 域中而用戶帳戶對(duì)象在 Active Directory 中，則用戶登錄時(shí)僅處理用于計(jì)算機(jī)（而非用戶）的系統(tǒng)策略。然后再處理用戶（而非計(jì)算機(jī)）組策略。 如果計(jì)算機(jī)帳戶對(duì)象在 Active Directory 中而用戶帳戶對(duì)象在 Windows NT 4.0 域中，則計(jì)算機(jī)啟動(dòng)時(shí)處理計(jì)算機(jī)（而非用戶）組策略。用戶登錄時(shí)，處理用戶（而非計(jì)算機(jī)）系統(tǒng)策略。 如果計(jì)算機(jī)的計(jì)算機(jī)帳戶和用戶帳戶都是 Wi