定義群組原則物件

Windows 作業系統的群組原則功能提供了一個基礎設施，讓管理員能集中定義設定，並部署到組織內的電腦。

Contoso 的 IT 人員可以透過 GPO 設定來定義、強制執行並更新整個設定。 透過使用 GPO 設定，他們可以將一套設定套用到整個站點或組織內的網域，或將焦點縮小到代表某部門的單一組織單位。

什麼是群組原則？

組策略是 Windows作系統中的架構，其元件位於 AD DS、域控制器上，以及每個 Windows Server 和用戶端上。 您可以使用這些元件來管理 AD DS 網域中的設定。 你可以在群組政策物件（GPO）中定義群組政策設定。 GPO 是一個物件，其中包含對使用者或電腦的一個或多個組態設定套用的一個或多個原則設定。

群組原則是功能強大的系統管理工具。 您可以使用 GPO 將各種設定推送給大量的使用者和電腦。 因為您可以將這些設定套用到不同層級，從本機電腦到網域，因此也可以精確地指定這些設定。 您主要會使用群組原則來設定不希望使用者自行執行的設定。 此外，您可以使用組策略，將組織單位（OU） 或整個組織中所有電腦上的桌面環境標準化。 您也可以使用組策略來提供其他安全性、設定某些進階系統設定，以及後續示範單元中討論的其他用途。

什麼是 GPO？

群組政策物件（GPO）是一組群組政策設定的集合。 個別原則設定會定義特定的設定，例如防止使用者存取登錄編輯工具的原則設定。 如果您定義該原則設定，然後將其套用到使用者身上，則該使用者將無法執行 Regedit.exe 之類的工具。

某些設定會影響使用者，也就是使用者組態設定或使用者原則，而某些設定則會影響電腦，也就是電腦組態設定或電腦原則。

群組原則會管理各種原則設定，而且群組原則架構是可擴充的。 幾乎任何可設定的設定都可以使用群組原則來管理。

若要定義原則設定：

1. 在 [組策略管理編輯器] 中，找出原則設定，然後選取 Enter。 原則設定 [屬性 ] 對話框隨即出現。
2. 將原則狀態變更為 [已啟用] 或 [已停用]。 大部分的原則設定都可以有三種狀態：[未設定]、[已啟用] 和 [已停用]。
3. 如有必要，請設定其他值，並在完成時選取 [確定]。

GPO 儲存群組原則設定。 在新 GPO 中，每個原則設定都會預設為 [未設定]。 當您啟用或停用原則設定時，Windows Server 會對套用 GPO 的使用者和電腦進行變更。

若要在網域中建立新的 GPO：

1. 在 [組策略管理] 中，以滑鼠右鍵按兩下或存取 組策略物件 容器的作功能表，然後選取[ 新增]。
2. 若要修改 GPO 中的組態設定，請以滑鼠右鍵按一下或存取 GPO 的捷徑功能表，然後選取 [編輯]。 這會開啟群組原則管理編輯器的嵌入式管理單元。

群組原則管理編輯器會以組織過的階層顯示 GPO 中所有可用的原則設定，階層開頭會區分為電腦設定和使用者設定：電腦設定節點和使用者設定節點。

GPO 會顯示在名為「群組原則物件」的容器中。 階層的下兩個層級是名為原則和喜好設定的節點。 在階層中逐層瀏覽時，群組原則管理編輯器會顯示稱為節點或原則設定群組的資料夾。 原則設定會位於資料夾內。

電腦設定與使用者設定

在每個 GPO 頂端，設定會被劃分為兩個節點。 此區分是 GPO 中最重要的結構區分，因為它決定了各設定所影響的事項：

• 電腦設定 包含適用於電腦的設定，無論哪位使用者登入皆適用。 這些設定定義了作業系統行為、安全設定、啟動與關機腳本，以及系統範圍的應用程式設定。 例如密碼與帳號鎖定要求、服務啟動行為，以及控制每位裝置使用者 Windows 元件的設定。
• 使用者配置 包含適用於使用者的設定，無論使用者登入哪台電腦。 這些設定定義桌面環境，例如開始選單的外觀、登出與登出腳本、資料夾重定向，以及使用者可存取的工具和 控制台 項目的限制。

許多設定只會出現在兩個節點中的一個，因為它們只對電腦或使用者相關。 有些設定會同時出現在兩個節點，這時每個實例會自行設定自己的目標。

原則和喜好設定

在 電腦組態 與 使用者組態 節點中，設定又分為兩個節點——政策 與 偏好設定，兩者行為不同：

• 政策 包含由群組政策強制執行的管理設定。 使用者通常無法更改受管理的設定，當 GPO 不再適用時，設定會回復到先前的值。 大多數原則設定會寫入到登錄表的受保護區域。
• 偏好設定 包含設定，建立使用者可後續更改的初始設定。 偏好設定不會被強制執行，且預設情況下，當 GPO 不再適用時，偏好設定不會被移除。 偏好項目也支援項目層級目標鎖定，該項目僅在符合特定條件（如特定作業系統、安全群組或電腦名稱）時適用。

兩者的實際差異在於強制執行、持久性，以及客戶端如何撰寫設定。 政策為managed：用戶端將這些政策寫入四個保留且受限的登錄檔金鑰（政策分支於 HKEY_LOCAL_MACHINE 和 HKEY_CURRENT_USER），合規的 Windows 應用程式會讀取這些金鑰並停用相應介面，使使用者無法覆寫該值。 由於政策存在於保留空間，每次群組政策刷新時都會被移除並重寫，當 GPO 脫離範圍——例如被刪除、解除連結或過濾離目標時——該值會消失，設定會回復預設值。 這種重新整理和還原行為正是為什麼原則非常適合用於需要鎖定並持續強制執行的設定。 相較之下，偏好設定是 非受管理的：用戶端會將它們寫入使用者或管理員手動設定的相同登錄檔和檔案系統位置，因此設定看起來與手動設定的設定相同，且控制偏好設定的介面仍完全可用。 因此，偏好設定會「刺青」這個設定——即使 GPO 不再適用，這個設定仍會持續存在，除非你明確選擇 「套用一次且不再重新套用 」或 「移除此項目」選項，當該項目不再套用 時。 偏好設定帶來政策所缺乏的彈性，包括細緻條件應用的項目層級目標設定、每個項目可執行多個動作（建立、替換、更新與刪除），以及配置完全沒有政策設定的功能，例如映射磁碟、捷徑、排程任務及本地群組成員。 一般來說，當你需要某項設定是強制性的，且會自動還原時，請使用原則；當你需要提供合理的初始設定，而使用者之後仍可調整，或該設定僅套用於部分電腦或使用者時，請使用偏好設定。

政策節點

政策節點包含三個子資料夾，分別位於電腦設定與使用者設定中：

• 軟體設定 中包含 軟體安裝 擴充功能，您可以用它來部署應用程式到電腦或使用者。
• Windows 設定 儲存用來設定作業系統的設定。 常見項目包括腳本（電腦啟動與關機、使用者登出與登出）、安全設定（例如帳號政策、本地政策及Windows Defender防火牆）、名稱解決政策，以及部署印表機。 在 使用者設定中，此資料夾也包含資料夾 重定向。
• Administrative Templates 包含數百個基於登錄檔的設定，組織於資料夾中，如 控制台、Network、System、Printers，以及 Windows Components。 這個資料夾中的每個設定對應一個特定的登錄檔值，用來控制 Windows 或應用程式的行為。

偏好節點

偏好節點將偏好項目組織成相關群組：

• Windows 設定 包含磁碟地圖、Environment、Files、Folders、登錄檔，以及 Shortcuts。
• 控制台 設定 包含 資料來源、裝置、本地使用者與群組、電源選項、印表機、排程任務， 以及服務。

個別政策設定的結構

單一原則設定是 GPO 中最細微的元素，但每個設定都不只是單純的開／關切換。 當你打開一個設定時，它的 屬性 對話框會顯示幾個元素：

• 設定狀態——未設定、啟用或停用。
• 啟用此設定後可用的其他選項或數值。 例如，啟用最小密碼長度政策需要你指定字元數。
• 說明文字窗格，用來說明設定的作用及其選項彼此如何互動。
• 支援可識別作業系統版本及符合該設定之應用程式的資訊。 未達標的目標會忽略設定。

由於大多數政策設定是以登錄檔為基礎，啟用或停用設定會讓用戶端將對應的值寫入登錄檔。 當設定回到 「未設定」時，群組原則會移除該值，設定也會回復預設值。

什麼是入門 GPO？

您可以使用入門 GPO 作為範本，透過此範本在群組原則管理主控台中建立其他 GPO。 入門 GPO 只有系統管理範本設定。 您可以使用入門 GPO 作為在您網域中建立新 GPO 的起點。 入門 GPO 可能已經有符合您環境最佳做法的特定設定。 您可以將入門 GPO 匯出到 Cabinet (.cab) 檔案，或從中匯入，讓分發到其他環境變得輕鬆又有效率。

Microsoft 包含適用於 Windows 用戶端作業系統的預先設定入門 GPO。 這些入門 GPO 具有系統管理範本設定，可反映 Microsoft 針對用戶端環境設定而建議的最佳做法。