📅 更新日期：2025年2月26日‌
‌🔖 适用版本：Windows Server 2025 | Windows 11 23H2‌

Windows AD组策略完整实战文档 | 企业级安全配置指南
🌐 ‌一、AD组策略核心概念‌
1.1 核心价值
markdown
Copy Code
🔹 ‌集中化管理‌：通过域控服务器批量管理终端设备与用户权限
🔹 ‌自动化运维‌：策略触发脚本、软件部署、安全加固等操作
🔹 ‌逻辑分层控制‌：基于OU（组织单位）实现“集团-分公司-部门”级联策略

1.2 策略生效逻辑
graph TD
A[本地策略] --> B[站点策略]
B --> C[域策略]
C --> D[OU策略]
D --> E[子OU策略]
style A fill:#f9f,stroke:#333
style E fill:#ccf,stroke:#f66

⚙️ ‌二、组策略配置全流程‌

2.1 工具启动与基础操作

打开组策略管理控制台

Win + R → 输入 gpmc.msc → 管理员身份运行

• ‌创建GPO‌：右键目标OU → 新建GPO → 命名规范示例：SecPolicy_ITDept_V3
• ‌链接策略‌：拖拽GPO到目标OU，优先级从高到低：‌子OU > 父OU > 域‌

2.2 高频配置路径速查表
‌

🔥 ‌三、企业级经典场景实战‌
3.1 场景1：封堵数据泄露风险（USB禁用）

1. ‌路径‌：计算机配置→管理模板→系统→可移动存储访问
2. ‌关键配置‌：
   • ✅ 启用 ‌“所有可移动存储类: 拒绝所有权限”‌
   • ✅ 设置 ‌“CD和DVD: 拒绝写入权限”‌
3. ‌生效范围‌：绑定到含研发部的OU，并通过安全组过滤（如SG_研发部_PC）

3.2 场景2：强制终端安全基线

密码策略配置示例

密码最短长度: 12
密码必须符合复杂性要求: 启用
账户锁定阈值: 5次无效登录
锁定时间: 30分钟

3.3 场景3：统一部署办公软件

使用组策略部署MSI安装包

1. 计算机配置→策略→软件安装→新建数据包
2. 选择网络共享路径：\FileServer\Apps\Office2025.msi
3. 分配模式：已分配（强制安装）

🛡️ ‌四、高级安全加固技巧‌
4.1 防御策略篡改（权限控制）

1. 右键GPO → 属性 → 安全 → 移除Authenticated Users的==‌应用策略‌==权限
2. 添加特定安全组（如SG_GPOAdmins）并授予 ‌“读取+应用”‌ 权限

4.2 环回处理模式（特殊场景）

• ‌路径‌：计算机配置→管理模板→系统→组策略→配置用户组策略环回处理模式
• ‌适用场景‌：机房终端需强制统一配置，忽略用户策略（如实验室/公共终端）

4.3 策略备份与恢复

PowerShell命令（域控制器执行）

Backup-GPO -Name “SecPolicy_Finance” -Path “D:\GPOBackup” # 备份
Restore-GPO -Name “SecPolicy_Finance” -Path “D:\GPOBackup” # 恢复

🚨 ‌五、故障排查速查手册‌
5.1 策略未生效原因排查

• 检查客户端是否加入域
• 执行gpupdate /force强制刷新策略

• 检查OU链接顺序（子OU策略覆盖父OU）
  ! 使用gpresult /h report.html分析策略应用结果

5.2 网络端口要求

• ‌必需开放端口‌：
  • TCP 135（RPC端点映射）
  • TCP 445（SMB文件共享）
  • UDP 123（NTP时间同步）

📜 ‌六、微软官方推荐规范‌
‌策略分离原则‌：每个功能模块使用独立GPO（如安全策略、软件部署策略分开）
‌版本控制‌：通过AGPM（高级组策略管理工具）实现策略修改审计
‌性能优化‌：禁用未使用的策略节点（如仅配置计算机策略时禁用用户配置）

‌🔔 附：紧急恢复指南‌
若策略导致大规模故障，立即执行：

Get-GPO -Name “ProblemPolicy” | Restore-GPO -Path “\BackupServer\GPOBackup”