正确掌握组策略对象（GPO）优先级

Group Policy 是 Microsoft Windows Server Active Directory 中包含的配置管理技术。如果你需要对 Windows 和 Windows Server 的设置进行细粒度控制，Group Policy 就是首选方案。但由于每个 Group Policy object（GPO）都可能为用户和计算机提供数百项设置，而且多个可能存在冲突的 GPO 可能被链接到特定的 Active Directory 站点、域或组织单位（OU），因此 Group Policy 很快就会变得复杂。

在本文中，我们将说明如何确定组策略优先级（Group Policy precedence）。这样你就能正确应用 Group Policy，并确保所需的安全策略得到强制执行。

本地策略

在开始讨论组策略（它使系统管理员能够集中管理 Windows 设置）之前，先了解所有 Windows 设备都具有本地策略这一点很有价值。本地策略始终会被组策略对象中的设置所覆盖。因此，通常情况下，本地策略仅应用于为未加入 Active Directory 域 的设备配置设置。

Active Directory 组策略

组策略对象在应用到计算机和用户之前，需要先链接到 Active Directory 站点、域或 OU。GPO 会应用到它所链接的对象以及该对象的所有子对象。例如，链接到某个站点的 GPO 也会应用到该站点的各个域和 OU 中的对象。链接到组织单位的 GPO 将应用到该 OU 中的所有对象以及任何子 OU。

要查看或编辑 GPO，请使用服务器管理器（Server Manager）工具（Tools）菜单中的 Group Policy Management 控制台（GPMC）。组策略对象设置的组织方式与本地策略相同，但还有一个额外类别“Group Policy Preferences（组策略首选项）”，可提供更多设置，让管理员能够自定义用户的环境。

将组策略应用到网站

如果将 GPO 链接到某个站点，那么该 GPO 的设置将应用到该站点中的所有对象；据说这些对象落入该 GPO 的管理范围。给定站点可以链接多个 GPO，而且这些 GPO 可能存在相互冲突的设置。在这种情况下，你需要了解将应用哪些设置。例如，如果在两个或更多个都已链接到某个站点的 GPO 中，对同一设置的配置不同，那么哪个 GPO 会优先生效？答案是 Link Order（链接顺序）编号最小的 GPO。Link Order 编号用于显示组策略的优先级，并决定组策略的处理顺序。

要查看某个站点中 GPO 的 Link Order（链接顺序）编号，请打开 GPMC 并展开你的 Active Directory 域。然后执行以下步骤：

步骤 #1。右键单击 Sites ，然后单击 Show Sites…

第 2 步。在“显示站点”(Show Sites) 对话框中，勾选要在 GPMC 中查看的站点，然后单击 OK。

第 3 步。在 GPMC 中展开“Sites”。你将看到在 Active Directory 中配置的所有站点。默认站点叫作 Default-First-Site-Name，不过也可以对其进行重命名。

第 4 步。单击其中一个站点。

图 1。检查链接顺序。

第 5 步。在 Linked Group Policy Objects 选项卡下，你将看到与该站点关联的 GPO 列表。可能没有任何已关联的 GPO。如果有已关联的 GPO，你会看到它们的 Link Order 编号，用于表示优先级顺序。编号越大，GPO 的优先级越低。例如，Link Order 编号为 2 的 GPO 中的设置始终优先于 Link Order 编号为 3 的 GPO 中的设置。

步骤 #6。要更改 GPO 的链接顺序（Link Order）编号，请单击该 GPO，然后使用左侧的上下箭头将其移动到列表中的所需位置。

将 Group Policy 应用于域和组织单位

GPO 可以像链接到站点一样链接到域和 OU。默认域策略默认会链接到每个域。链接到组织单位（OU）的 GPO 优先级最高，其次是链接到域的 GPO。链接到站点的 GPO 始终具有最低的优先级。

要了解哪些 GPO 链接到域或 OU，请在 GPMC 中单击相应的域或 OU，然后选择 Linked Group Policy Objects 选项卡。要获得更广泛的视图，请选择 Group Policy Inheritance 选项卡，它还会显示链接到父域和 OU 的 GPO。优先级编号较小的 GPO 会在最后处理，并且会优先于优先级编号较大的 GPO。

图 2. 检查与域或 OU 关联的 GPO 的优先级。

请不要忘记：与站点关联的 GPO 也会应用到该站点的子对象，并作为处理顺序的一部分进行应用。不过，与站点关联的 GPO 不会显示在“组策略继承（Group Policy Inheritance）”选项卡中，因为 GPMC 不知道在特定时间点内，哪些用户和计算机对象位于某个 AD 站点中。