Windows Server 2003 群組原則與安全性範本進階應用：從建立基線到自動化部署

Windows Server 2003 群組原則 (GPO) 與安全性範本 (.inf) 是企業環境標準化、自動化安全設定的核心工具。本文系統說明 GPO 應用層級、繼承與封鎖、安全性範本匯入/分析/套用全流程，並提供 MMC 安全性設定與分析嵌入式管理單元操作指南。

一、群組原則應用層級與順序 (LSDOU)

GPO 套用順序：**本機 → 網站 → 網域 → 組織單位 (OU)**，後者覆蓋前者 (Last Writer Wins)。同一容器可連結多個 GPO，處理順序為**清單由下往上**，順位越高 (越靠上) 優先權越大。

二、將 GPO 連結至網域/OU

1. 開啟「Active Directory 使用者與電腦」。
2. 右鍵目標網域或 OU →「內容」→「群組原則」索引標籤。
3. 「新建」→ 命名 (如「Domain Baseline Policy」)。
4. 「編輯」進入「群組原則物件編輯器」。
5. 設定完成後，可在「選項」勾選「無法覆寫」 (Enforced) 防止子 OU 封鎖繼承覆蓋；子 OU 可勾選「封鎖原則繼承」拒絕上層 GPO (但 Enforced GPO 仍生效)。

三、透過 GPO 設定「使用者權利指派」

1. 編輯目標 GPO →「電腦設定」→「Windows 設定」→「安全性設定」→「本地原則」→「使用者權利指派」。
2. 右鍵目標權利 (如「以服務身分登入」、「備份檔案與目錄」) →「內容」。
3. 勾選「定義這些原則設定」→「新增使用者或群組」→ 選擇安全性群組 (如 DOMAIN\BackupOperators)。
4. 確定層層關閉。

四、將安全性範本匯入 GPO

1. 編輯 GPO →「電腦設定」→「Windows 設定」→ 右鍵「安全性設定」→「匯入原則」。
2. 瀏覽至 %SystemRoot%\Security\Templates 或自訂路徑，選取 .inf 檔 (如 hisecdc.inf 高安全性網域控制站範本)。
3. 開啟後，範本內所有設定 (帳戶原則、稽核、登錄值、檔案系統/登錄 ACL、服務啟動類型) 將寫入 GPO。

五、使用「安全性設定與分析」獨立分析/套用範本

適用無網域環境、單機快速基線化：

1. 執行 mmc →「檔案」→「新增/移除管理單元」→「新增」→「安全性設定與分析」。
2. 右鍵「安全性設定與分析」→「開啟資料庫」→ 輸入資料庫名稱 (如 Baseline)。
3. 「匯入範本」→ 選取 .inf 檔 → 開啟。
4. **分析**：右鍵 →「立即分析電腦」→ 接受預設錯誤日誌路徑 → 展開節點比較「基線 vs 目前設定」 (紅旗=不符、綠勾=符合)。
5. **套用**：右鍵 →「立即設定電腦」→ 接受日誌路徑 → 系統依範本修改本機設定。

六、常用內建安全性範本對照

七、自動化部署建議

• 建立不同角色基線 GPO：Baseline-DC、Baseline-FileServer、Baseline-IIS、Baseline-Client。
• 使用 gpupdate /force 或排程工作 (每 90 分鐘背景重新整理) 確保套用。
• 透過 gpresult /h report.html (客戶端) 或 rsop.msc (模擬) 驗證實際生效設定 (RSoP)。
• 變更管理：修改 GPO 前先備份 (gpmc.msc 右鍵 GPO →「備份」)，測試無誤再釋出。

掌握 GPO 與安全性範本整合運用，即可建立可稽核、可重現、可擴充的企業級安全基線管理體系。