群組原理 是 Windows 系統管理的核心利器，本質是對登錄表 關鍵配置項 的集中化、介面化管理。本系列將從原理、版本演進、管理模板結構、主控台操作四大面向，帶您掌握從 Windows 2000 到 2003 的群組原理完整知識體系。
一、 什麼是群組原理？
（一）核心價值：登錄表的「介面化」與「集中化」
Windows 所有系統與應用程式設定最終都寫在登錄表。但登錄表鍵值分散、命名晦澀、手工修改極易出錯。群組原理將數千個關鍵設定封裝為具備語意的「原理項目」，管理員透過圖形介面勾選「啟用/停用/未配置」，即可批量套用至本機、遠端電腦或 Active Directory 容器（站台/網域/OU），實現：
- **標準化**：同一基線配置一鍵部署百台電腦。
- **版本控管**：原理物件 (GPO) 可備份、匯入、比較差異。
- **彈性範圍**：針對電腦配置（機器層級）與使用者配置（用戶層級）分離管理。
（二）系統原理 → 群組原理：版本演進脈絡
| 特性 | 系統原理 (Windows NT/9x) | 群組原理 (Windows 2000/XP/2003) |
|---|
| 儲存格式 | .POL 檔 (預設 Config.pol) | GPO 物件儲於 SYSVOL + AD，客戶端以登錄表為目標 |
| 套用機制 | 用戶登入時重寫登錄表 | 背景輪詢 (預設 90 分鐘) + 登入/啟動時套用，支援「原理結果設定」 (RSoP) 模擬 |
| 管理模板 | 單一 .adm (admin.adm)，同一時間僅能載入一個 | 多 .adm 可同時載入，預載 4 套 (system.adm, inetres.adm, wmplayer.adm, conf.adm) |
| 範圍 | 本機、遠端電腦登錄表 | 本機、遠端電腦、AD 站台/網域/OU，支援繼承、封鎖、強制 |
| 工具 | 系統原理編輯器 (poledit.exe) | 群組原理物件編輯器 (gpedit.msc / GPMC.msc) |
本質上兩者皆為「修改登錄表」，但群組原理在機制、範圍、工具鏈上實現質變。
二、 管理模板 詳細剖析
.adm 檔為純文字檔，定義原理項目的註冊表路徑、值類型、可選選項、說明文字。Windows 2000/XP/2003 系統資料夾 %SystemRoot%\Inf 預載四套：
- system.adm：核心系統設定（控制台、桌面、網路、安全性、啟動/關機等）。
- inetres.adm：Internet Explorer 原理（首頁、安全性區域、連線、程式等）。
- wmplayer.adm：Windows Media Player 設定（隱私、播放、網路、授權）。
- conf.adm：NetMeeting 設定。
三、 主控台載入/移除模板實操
Windows 2000/XP/2003 (支援多模板並存)
- 執行
gpedit.msc (本機) 或 GPMC 編輯目標 GPO。
- 展開「電腦配置」或「使用者配置」→ 右鍵「系統管理範本」→「新增/移除範本」。
- 點「新增」→ 選擇 .adm 檔 →「開啟」。
- 返回主介面，展開「本機電腦原理 → 使用者配置 → 系統管理範本」即見新增分類與項目。
圖 1：新增/移除範本對話框
Windows 9x (單模板模式)
- 原理編輯器「檔案」→「關閉」關閉當前範本。
- 「選項」→「範本」→「開啟範本」選擇 .adm 檔。
圖 2：Windows 9x 範本對話框
四、 實戰建議
- 建立公司標準基線 GPO，僅包含安全性、桌面鎖定、網路設定等通用項目。
- 依部門/職能建立子 OU 連結差異化 GPO（如財務部禁用 USB、研發部允許開發工具）。
- 善用
gpupdate /force、gpresult /h report.html、RSoP.msc 進行驗證與疑難排解。
- 自訂 .adm 封裝業務應用設定（如 ERP 伺服器位址、防毒軟體排程），納入標準部署流程。
下集將深入實戰：任務列/開始選單鎖定、IE 進階配置、軟體限制原理、腳本部署等高頻場景。
