Windows 2000 安全性設定工具與群組原則深度解析

一、Windows 2000 安全性原則架構

Windows 2000 使用群組原則進行安全性管理。群組原則具有繼承性與累積性，影響 Active Directory 容器中所有電腦。透過群組原則物件（GPO）管理，GPO 附加於站台、網域或組織單位（OU）的階層結構中。

GPO 套用順序遵循 LSDOU：

1. 本機
2. 站台
3. 網域
4. OU

後套用的原則優先級高於先套用者。若電腦屬於某網域，網域與本機原則衝突時以網域原則為準；若電腦離開網域，則套用本機群組原則。

電腦加入實作 Active Directory 的網域時會處理本機 GPO，即使勾選「封鎖原則繼承」，本機 GPO 仍會被處理。

二、帳號原則與網域控制站

• 預設網域 GPO 可定義整個網域的帳號原則（密碼、帳號鎖定、Kerberos 原則）。
• 預設網域控制站 GPO 定義網域控制站（DC）設定，其優先級高於預設網域 GPO。因此在網域 GPO 設定的使用者權限（如「將工作站加入網域」）不會影響 DC。

三、強制原則與繼承封鎖

可在特定 GPO 啟用「強制」選項，防止較低層級容器（如 OU）覆寫該原則。例如在網域層級強制 GPO，則該原則將套用至所有 OU，OU 無法覆寫。

四、帳號原則的特殊處理

• 所有 DC 皆從網域節點配置的 GPO 取得帳號原則，不論 DC 電腦物件位置，確保網域帳號原則一致。
• 非 DC 電腦依正常 GPO 階層取得本機帳號原則。預設成員工作站與伺服器強制執行本機帳號的網域 GPO 設定，但若存在較低範圍的 GPO 覆寫，則以較低範圍為準。

五、本機安全性原則

用於單獨電腦或將特定安全性設定套用至網域成員。在 Active Directory 環境中，本機安全性原則優先級最低。

開啟本機安全性原則

1. 以系統管理員登入。
2. Windows 2000 Professional 預設不顯示「管理工具」。啟用方式：「開始 → 設定 → 工作列與開始功能表 → 進階 → 開始功能表設定 → 顯示管理工具」。
3. 「開始 → 程式集 → 管理工具 → 本機安全性原則」。

圖 1：本機安全性設定主控台