组策略系列之二：组策略的加载过程

Posted 2020-07-08 shell56

http://jary3000.blog.51cto.com/610705/121770

 

 

上期我们学习了组策略的功能和管理工具，那么对于组策略来说，到底有几部分组成呢？域用户在客户端登录，组策略是如何加载的呢？

一、组策略对象的存储：（GPC+GPT）
    我们通过GPMC.msc新建一个组策略后，其实是建了一个GPO（组策略对象），那我们平时所说的其实就是GPO。
    那我们可以在哪些容器上链接GPO呢？我们只能在LSDOU这几个容器上链接GPO。即Local、Site、Domain、OU（组织单位），有关这些基本的概念，各位可以在本站去找。我以前讲过。
    如下图所示：是一个新建并链接GPO的例子。

取一个名字，如a,再次单击，选编辑，即打开了一个叫“组策略编辑器”的东西，你就可以对“计算机配置”和“用户配置”项进行相应的设置了。

    我要说的这个GPO，其实是由GPC（组策略容器）和GPT（组策略模板）组成的。具体二者的作用以及存储地在哪呢，见下图：


那我们查看一下吧，对于GPO如下图所示：


查看GPC，需要打开ADUC后，选择“查看”---高级功能后，可以展开如下所示：


查看GPT需要打开如下共享共享，在这里有对应的GPT，打开如图所选的这个，能看到有关具体的配置文件夹。


二、组策略的加载过程：
    我们知道了GPO的组成后，下面我们来看一下，一个用户或计算机是如何加载具体的GPT的呢？
其实不管用户或计算机总会属于一个容器，如OU或域，如果用户属于域，那么在它登录到域的过程中，它要检查该域（容器）的属性值中gplink的内容，看该容器链接了几个GPO，如下图所示：


知道链接了哪几个GPO后，就会去找这几个GPO，具体的找的顺序一般按LSDOU的顺序去找，后面我会再介绍这块内容。通过GPLink的属性值我们知道具体应用的GPO了，我们就在如下图所示，右击该GPO的GPC的属性，找versionnumber值，该用户会把自己versionnumber和它作比较，如果这里的新，就会通过找该GPC的属性中的gPCFileSysPath属性值来应用具体的GPT的设置。如下面两个图所示：




    当然是应用计算机配置还是用户配置，还是要看具体的配置。如果该用户所在的容器链接的有GPO，并且在其GPT里有相应的“用户配置”，就会应用该用户配置;如果用户登录的计算机所在的容器链接的有GPO，并且在其GPT里有相应的“计算机配置”，就会应用该计算机配置。二者全部应用也有可能，即同时加载用户配置和计算机配置。

    我想通过这个过程，各位应该明白了GPO的加载的原理了。今天的学习就到这里了。下次课我们来学习一下，用户或计算机应用GPO的前提条件。

本文出自 “千山岛主之微软技术空间站” 博客，请务必保留此出处http://jary3000.blog.51cto.com/610705/121770