组策略管理难点之应用控制

　　在域环境中，组策略为我们网络管理员提供了一个很好的网络管理平台，大大提高了我们网路管理的效率与安全性。不过，组策略强调的是一个统一的安全管理策略。为了达到这个目标，光用组策略还是不行的，需要一些组策略应用的控制手段，才能够达到这个目标。下面，笔者就为大家说说在域控制器的组策略管理平台中，提供了哪些组策略的管理工具，以及这些工具在什么时候使用可以达到事半功倍的效果。

　　一、 强制使用组策略

　　我们在配置组策略的时候，往往具有共性与个性的区别。如一些共性的设置，我们希望企业内部不分老幼都必须遵守。如我们可以通过组策略实现当主机加入到域中时必须自动安装杀毒软件的客户端并自动升级;如我们还可以通过组策略限制用户端修改IP地址等等。这些对于企业网络来说，是一些共性的内容。我们虽然在分组的时候，按部分分组，分了销售部门OU、采购部么OU等等，但是，这些共性的内容我们希望这些OU都遵守。

　　但是，在上篇文章中，笔者也谈到了一些例外。如对于“禁止用户修改IP地址”这个组策略，若在下面的子OU中，若没有对这个组策略配置过，则其会继承这个组策略。但是，若其配置过这个组策略，把这个策略配置成“允许用户修改IP地址”，则一般情况下，这个配置值就会覆盖上级传递下来参数。这是我们不希望看到的。

　　遇到这种情况我们该如何呢?在域控制器的组策略应用中，提供了一个“强制策略继承”的选项。若我们在配置组策略的过程中，选中这个选型的话，则无论下面的容器是否对这个组策略配置过，域控制器会强制的让子OU继承父OU的选项。官方资料时这么定义强制策略继承的，强制策略继承是指可以在父容器中通过组策略的“禁止替代”选项强制子容器必须继承(不准覆盖)此组策略内的组策略设定，而不论子容器是否设置了阻止策略继承。

　　通过这个定义，我们可以明白以下几点内容。

　　一是这个“禁止替代”选项，是针对具体的组策略而言的，而不是应用在OU上的所有组策略。如现在有个父OU叫管理人员，在这个OU上我们配置了5个组策略。然后，若网络管理员认为其中的两个组策略比较具有共性，需要下面的所有人员都遵守，如此的话，就可以把这两个组策略设置为“禁止替代”。则下面的子OU只有这两个组策略不能覆盖，另外的三个组策略仍然可以通过更改子OU的配置而实现覆盖。

　　二是“禁止替代”选项对于“阻止策略继承”也仍然有效。也就是说，我们在子OU中，设置了“阻止策略继承”选项，组策略仍然以子OU的配置值为准，即使没有配置，也才用默认的值，而不采用父OU的组策略配置。但是，我们若在父OU的某个组策略中，选中了“禁止替代”的值，则域控制器在组策略应用的时候，就会忽略子OU中的“阻止策略继承”选项，而直接把父OU的组策略配置传递给子OU。当然，这也是针对特定的组策略而言，而不是指应用在父OU上的所有组策略。