Windows Server 2003 組策略與安全模板實戰應用指南

組策略核心概念

組策略對象 (GPO) 可鏈接到站點、域、組織單位 (OU)，實現集中化配置。默認繼承自父容器，處理順序：本地 → 站點 → 域 → OU (由上至下)，同級別多個 GPO 從列表底部向上處理，後處理者優先。

關鍵繼承控制選項

• 強制 (No Override)：單個 GPO 級別，防止被子容器覆蓋。
• 阻止策略繼承 (Block Inheritance)：容器 (OU/域) 級別，阻斷父級 GPO。若與「強制」衝突，「強制」生效。

應用組策略到 OU/域

1. 打開「Active Directory 用戶和計算機」。
2. 右鍵目標 OU/域→屬性→「組策略」選項卡。
3. 點擊「新建」命名 (如「域安全基線」)。
4. 編輯 GPO：計算機配置 → Windows 設置 → 安全設置。
5. 右鍵「安全設置」→「導入策略」→選擇預製安全模板 (.inf) 如 hisecws.inf (高安全工作站) 或自定義模板。

添加用戶權限指派 (示例：允許服務帳戶「作為服務登錄」)

1. 編輯 GPO → 計算機配置 → Windows 設置 → 安全設置 → 本地策略 → 用戶權限指派。
2. 雙擊「作為服務登錄」→添加用戶/組→確定。

立即生效

客戶端執行 gpupdate /force，或等待默認 90 分鐘隨機刷新間隔。

最佳實踐建議

• 使用「結果式組策略 (RSoP)」預覽生效結果。
• 安全模板分級：基線 → 功能 → 專項，層層疊加。
• 變更前備份 GPO (GPMC 右鍵→備份)。