作为本地管理员，我可以使用本地组策略覆盖域组策略吗？

Question

我正在尝试配置一些特殊情况的笔记本电脑。我想创建一个本地访客帐户。这很好，但是当我尝试创建它时，我提示我的访客密码不符合复杂性要求。

我尝试编辑本地安全策略以更改复杂性，但这是灰色的。是否可以使用本地覆盖域策略？

是的，我知道我可以选择更长的密码，但这不是重点。我想知道如何覆盖域策略，以防将来需要。

Answer 1

如果您具有本地管理员访问权限，总有办法绕过中央策略 - 至少您可以在本地对注册表进行更改并破解安全设置，以便组策略代理无法更新它们 - 但它不是' t 最好的方法。我承认 10 年前就这样做了……但真的……不要。在很多情况下，会有意想不到的结果。

看到这个的TechNet文章。政策申请的顺序是有效的：

较晚的策略将覆盖较早的策略。

最好的办法是创建一个计算机组并使用该组从密码复杂性策略中排除您的自定义计算机，或者组合一个将覆盖这些默认值的新策略，过滤为仅适用于该组。

@hkkhkhhk - 这不是一个“愚蠢”的设计。域管理员总是胜过本地管理员。这就是重点。 (12认同)
谢谢你。信息量很大。不过那是非常愚蠢的。本地管理员应该像 Linux root 一样拥有对该特定本地机器的完全控制权。 (4认同)
@hkkhkhhk - 即使是 Linux 中的 root 也有限制。:) 如果您使用的是像 Puppet 或 Chef 这样的集中管理产品，他们会不断推出他们的策略并恢复本地 root 帐户所做的更改，就像组策略一样。设计是有意的——它迫使人们使用可扩展的方法。 (2认同)

Answer 2

我通过创建一个脚本来解决这个问题，该脚本覆盖了我在注册表中不需要的策略（您可以在批处理脚本中使用“REG”命令）。可以将此脚本设置为使用任务计划程序运行，在组策略客户端完成应用策略后立即使用“发生事件”作为触发器。

我发现的最佳事件触发器是日志：Microsoft-Windows-GroupPolicy/Operational，来源：GroupPolicy 和事件 ID：8004，但您可以检查事件查看器日志以了解其他一些可能性。