除非用户在 OU 中，否则不会应用组策略

Question

我已经像这样设置了我的 WS2k8 R2 AD：

OU“OU1”包含一个名为“GROUP1”的安全组。我已将一些组策略应用于“OU1”。强制执行组策略。

我的用户位于默认的“用户”OU 中。用户是组“GROUP1”的成员。

问题是 GP 没有应用于用户。

如果我在“OU1”OU 中创建用户，则会按应有的方式应用这些策略。

非常感谢，詹姆斯

Answer 1

组策略不适用于这样的组。它应用于它所应用的 OU 内的计算机或用户对象。

如果您希望组策略仅应用于特定组，则需要将组策略附加到整个用户 OU，然后使用组策略过滤将其限制为您需要的用户组。

Answer 2

那是因为组策略是基于用户对象所在的位置而不是用户所在的任何组来应用的。这是组策略对象更令人困惑的方面之一。名字里写的是group，显然应该适用于group吧？不，至少在没有额外工作的情况下不会。为了将 GPO 应用于用户，必须在用户到域根目录的路径中的 OU 上设置它。

要设置它以便组成员资格实际上强制 GPO 应用程序，有一个过程：

http://technet.microsoft.com/en-us/library/cc786636%28WS.10%29.aspx

这有点不同，因为您必须将其应用于每个人，但您将其设置为只有特定组的成员才能实际执行它。因此，您将它设置在您用户的 OU 上，并且只有已配置组的成员才能获得它。