Windows 2000 群組原則管理完整教學：GPO 架構、安全性設定與實戰部署

群組原則 (Group Policy) 是 Windows 2000 企業級管理核心，透過 GPO (群組原則物件) 將使用者/電腦設定集中部署至站台、網域、OU。本文系統說明 GPO 架構、安全性設定分類、安全性範本與實戰部署流程。

GPO 兩大類型

• 非本地 GPO：儲存於網域控制站，需 Active Directory 環境。套用至關聯站台/網域/OU 的使用者與電腦。
• 本地 GPO：儲存於各電腦，每台僅一個。設定為非本地 GPO 子集。衝突時非本地 GPO 優先；不衝突則疊加套用。

群組原則運作機制

• 電腦啟動時套用電腦設定；使用者登入時套用使用者設定。
• 定期背景重新整理 (預設 90 分鐘隨機偏移 0-30 分鐘)。
• 與 AD 使用者/電腦、MMC 管理單元整合。子 OU 繼承父 OU 設定，可再覆寫。
• 可連結多個 GPO 至同一容器，依連結順序處理 (編號越小優先級越高)。

安全性設定節點完整分類

GPO 編輯器 → 「電腦設定/使用者設定 → Windows 設定 → 安全性設定」

安全性範本 (.inf) 快速部署

• 預設範本：setup security.inf (預設)、hisecws.inf (高安全工作站)、hisecdc.inf (高安全網域控制站) 等。
• 匯入 GPO：右鍵 GPO → 「匯入原則」選取 .inf 檔。
• 本地測試：secedit /configure /db local.sdb /cfg hisecws.inf。

實戰部署流程

1. 網域控制站安裝 AD：dcpromo 或「設定伺服器 → Active Directory」嚮導，建立首棵網域樹，DNS 網域名稱依 ISP 或內部命名。
2. 開啟 GPO 管理主控台：「Active Directory 使用者與電腦」→ 網域根節點右鍵 → 「內容 → 群組原則」。
3. 建立/編輯 GPO：
   — 隱藏上次登入帳號：電腦設定 → 安全性設定 → 本地原則 → 安全性選項 → 「互動式登入：不顯示上次使用者名稱」→ 啟用。
   — 強制桌面背景：使用者設定 → 系統管理範本 → 桌面 → 桌面 → 「桌面背景」→ 啟用指定圖片路徑。
4. 連結 GPO 至目標 OU，設定連結順序，驗證客戶端 gpupdate /force 生效。

綜合防禦

帳號安全 + 群組原則安全 + NTFS 資料夾權限 = 多層次纖深防禦，同時可透過軟體限制原則防範病毒/惡意程式執行。