iT邦幫忙

0

在AD中設定子OU的群組原則

esun006 4 年前12486 瀏覽

AD中的OU情形如下圖

把所有自訂的使用者(Domain User)及群組拉到User OU.
再把群組拉到所屬的OU去套用自訂群組原則, 如下圖

但此情形只有Join Y的群組原則有作用, 子OU所屬的群組原則則無作用
改把使用者拉進所屬OU, 群組原則才有生效.
請問這樣的作法, 微軟就是這麼規範, 還是有其他理由???(或是我做錯?)
如果只能這樣作, 群組就顯得很雞肋...

AD新手先謝謝大家解答.

10
ctipde
iT邦高手 1 級 ‧ 4 年前

在OU右鍵有一個禁止繼承的選項,勾選後此OU將不會繼承上層OU的群組原則,是否是因為勾選禁止繼承才無法套用上層的群組原則?

因為不太了解版大的意思,只能從字面上判斷...
1.版大希望群組原則Join-S能夠套用到Test的OU,而台北設計會自動套用Join-S?
Ans:將禁止繼承拿掉即可
2.版大希望台北OU在加入到Join-V的群組原則後,會自動也套用Join-S?
Ans:請將OU視為層級,當第一層有套用原則後將往下自動套用到第二層..第三層
3.在Test有PC-A和USER-1卻不能套用Join-Y群組原則,只能把USER-1放到台北OU才會套用原則?
Ans:待測試過再補上

esun006 iT邦新手 5 級 ‧ 4 年前 檢舉

抱歉描述不全, Join Y: GPO確實是要全體套用, 而子OU的GPO只要該OU有作用.
問題在於一開始子OU內的成員只指定到使用者的"群組"(Group), 而非使用者(User account), 使用者全放在Users OU內.
試著把User account加入子OU內, 才有套用到該OU的GPO, 所以才覺得奇怪???

8
msit
iT邦高手 1 級 ‧ 4 年前

看您的層級,主TEST的OU套用了 Join Y GPO,以下的OU當然是該GPO有作用
如果子OU需要個別的GPO,在子OU項目再行聯結GPO是合理的
因為那是繼承與GPO套用順序的設定標準,
例如:
如果子OU有一個MIS OU,您要他超越Join Y的GPO,回復到Default Domain Policy,則就是在該MIS OU重新連結 Default Domain Policy
如此您去看該MIS OU的GPO層級,會是如此

1.Default Domain Policy
2.Join Y
3.Default Domain Policy
這樣的繼承與層級,才能有效的管理,有些基礎管理透過相同的GPO,特殊管理才透過個別的GPO。

看更多先前的回應...收起先前的回應...
esun006 iT邦新手 5 級 ‧ 4 年前 檢舉

抱歉問題沒說清楚, 問題就如回應ctipde一樣.
從GPO執行順序來看也是正確如我想要的, 只是子OU加群組(Group)就無作用到該子OU的GPO, 子OU加入使用者就可以有效???

msit iT邦高手 1 級 ‧ 4 年前 檢舉

Users的圖案並非OU,如何套用GPO,人當然是要加入確認為OU的物件中才能套用到GPO層級。

msit iT邦高手 1 級 ‧ 4 年前 檢舉

msit提到:
Users的圖案並非OU

看到您上層有一個Users非OU
內層也一個Users為OU
不確定您的user在哪一個裡面,如果是非OU的那個,必然無法套用GPO

esun006 iT邦新手 5 級 ‧ 4 年前 檢舉

我建立了一個跟Users Container同名叫Users的OU, 放在TEST OU底下.
所有的自建帳號及群組是拉到Users OU, 再分別拉群組到所屬OU(如台北、台中、高雄等..)去套用各別的GPO. 當然Join Y GPO是要套用所有人這是確定有效.
但子OU對應的確無效, 改成將帳號拉到子OU才有套用到該GPO.
怪就怪在拉群組到所屬OU, 對應的GPO無效這點上???

msit iT邦高手 1 級 ‧ 4 年前 檢舉

還是不是很了解您的成員物件在哪些項目下,
但是如果是已經在OU下,例如"總務人事會計"該OU,要套用Join V該GPO,那就在"總務人事會計"上面按下右鍵-->連結現有GPO選擇Join V,之後,讓GPO同步,應該就OK

6
花輪
iT邦大師 1 級 ‧ 4 年前

請版大先確認:
TEST OU 下有一 USERS 的 OU <-- 這是真的 OU

DOMAIN 下也有一 USERS,這是 CONTAINER <-- 這是容器,不是 OU,她只能套 DOMAIN LEVEL 的 GPO,CONTRAINER 是不能新增自己的 GPO 的!

除上述以外,我看不懂版大要的是什麼!

L > S > D > OU 是什麼,版大知道嗎? 建議先弄清楚,子 OU 的 GPO 當然只對該 OU 下的物件有效,不屬於該 OU 的物件是不會受該 GPO 影響的!

esun006 iT邦新手 5 級 ‧ 4 年前 檢舉

我建立了一個跟Users Container同名叫Users的OU, 放在TEST OU底下.
所有的自建帳號及群組是拉到Users OU, 再分別拉群組到所屬OU(如台北、台中、高雄等..)去套用各別的GPO. 當然Join Y GPO是要套用所有人這是確定有效.
但子OU對應的確無效, 改成將帳號拉到子OU才有套用到該GPO.
怪就怪在拉群組到所屬OU, 對應的GPO無效這點上???

我要發表回答

立即登入回答