Windows Server 環境中，「安全性原則」與「群組原則」層級繁多、優先順序複雜。本文系統整理兩者分類、套用順序、衝突處理與包含關係，助管理員精準掌控原則生效邏輯。
分類對照
| 安全性原則 | 群組原則 |
|---|
| 本機安全性原則 | 本機群組原則 |
| 網域安全性原則 | 網域群組原則 |
| 網域控制站安全性原則 | 網域控制站群組原則 |
套用優先順序（後者覆蓋前者）
安全性原則
- 本機安全性原則
- 網域安全性原則
- 網域控制站安全性原則 （最高，僅對 DC 生效）
衝突時：網域 > 本機；DC 原則 > 網域原則。
群組原則 (LSDOU)
- Local：本機群組原則
- Site：網站群組原則
- Domain：網域群組原則
- OU：組織單位 (OU) 群組原則 （最高）
最後套用的 OU 原則會覆蓋前面所有設定。
關鍵關係與規則
- 包含關係：安全性原則 包含於 群組原則中（群組原則 = 安全性原則 + 其他管理設定）。
- DC 無本機安全性原則：網域控制站只有本機群組原則，無本機安全性原則。
- 網域群組原則強制覆蓋：設定網域群組原則後，本機群組原則所有選項強制灰階不可用。
- 雙向同步：修改安全性原則 → 對應群組原則同步變更；修改群組原則 → 對應安全性原則同步變更。
- 電腦設定優先：群組原則中「電腦設定」與「使用者設定」衝突時，以電腦設定為準。
管理建議
- 統一透過群組原則管理中心 (GPMC) 部署原則，避免本機手動修改造成不一致。
- 善用「原則結果設定」 (RSoP) 模擬與診斷實際生效設定。
- DC 專屬原則僅連結至 Domain Controllers OU，避免誤影響成員伺服器/用戶端。
掌握原則層級與優先序，是 Windows Server 環境穩定、合規管理的基石。
