Свяжите объект групповой политики с подразделением или группой безопасности. Кто победит?

Вот сценарий: Объект групповой политики связан с OU, чтобы включить, например, настройку UAC. Однако, поскольку есть определенные системы, требующие отключения UAC, существует объект групповой политики, который отключает эти настройки. Этот объект групповой политики связан с группой безопасности. Эти системы являются членами определенной группы безопасности и по-прежнему будут размещены в OU с «включенными» настройками GPO для UAC.

Так какой GPO является победителем?

Согласно моим тестам, GPO, привязанный к OU перед группой безопасности, всегда выигрывает. Есть ли решение этой проблемы?

Пока ваш объект групповой политики не связан с какой-либо OU, он не будет иметь никакого эффекта.

В вашем случае вы можете сделать следующее:

Свяжите оба, Disabling-GPO и Enabling-GPO, с одним и тем же OU. В Delegation of Enabling-GPO разрешить rad/apply, например, пользователям, прошедшим проверку подлинности. В Delegation of Disbaling-GPO разрешить чтение/применение только к вашей группе безопасности. Следите за порядком ссылок, так как Disabling-GPO должен иметь меньшее число (Prescendence).

Что происходит с этим для члена группы безопасности: сначала будет применяться Enable-GPO, а затем Disabled-GPO, оставляя настройку отключенной.

Если ваша настройка, например, является разделом реестра в настройках, вы также можете использовать таргетинг на уровне элементов по группе безопасности.