GPO 是 AD 环境中的核心管理技术，用于集中管理和配置域内计算机与用户的工作环境。GPO是组策略的载体，包含一组策略设置。一、GPO的组成与存储GPO由两个部分组成GPC(Group Policy Container)，组策略容器存储在Active Directory 数据库中，位于：CN=Policies, CN=System, DC=com每个GPO在AD中有唯一的GUID，容器路径为：CN={GPO-GUID}, CN=Policies, CN=System, DC=域, DC=comGPC中保存GPO的版本号、状态（启用/关闭）、安全筛选信息、WMI筛选器关联等元数据。GPT(Group Policy Template)，组策略模板存储在域控制器的SYSVOL共享中路径：\\域\SYSVOL\域\Policies\{GPO-GUID}GPT中包含实际的策略设置文件\Machine\registry.pol #计算机配置的注册表策略\User\registry.pol #用户配置的注册表策略\Machine\Scripts #计算机启动/关机脚本二、GPO的复制机制GPC复制通过AD复制（多主主机复制）在域控制器之间同步。每个DC都保存一份GPC副本。复制延迟取决于AD站点和复制拓扑。GPT复制SYSVOL使用DFSR（从Windows Server 2008开始）或 FRS（旧系统）在域控制器之间复制。SYSVOL默认共享路径为\\域\SYSVOL， GPT的内容会被复制到所有DC的SYSVOL中。需要注意的点： GPC和GPT的复制是分离的。三、组策略的应用顺序（LSDOU）组策略客户端在应用策略时遵从的顺序：本地组策略（Local GPO）站点级GPO（Site）域级GPO（Domain）组织单位GPO（OU）顺序：L-S-D-OU如果遇到冲突：后应用的设置覆盖先应用的设置，如果多个GPO对同一策略设置不同，最后应用的GPO生效。四、继承、阻止继承、强制继承：子OU默认继承父OU、域和本地的GPO设置阻止继承：在OU上可以设置“阻止继承”，阻止来自父OU、域和站点的GPO应用到该OU及其子OU。但是阻止继承不影响标记为强制的GPO。强制/强制实施：在GPO链接上可以设置“强制”。被强制的GPO优先级最高，即使子OU设置了阻止继承，强制的GPO仍会应用；如果与未被强制的GPO冲突，强制的GPO生效。
GPO 是 AD 环境中的核心管理技术，用于集中管理和配置域内计算机与用户的工作环境。GPO是组策略的载体，包含一组策略设置。
一、GPO的组成与存储
GPO由两个部分组成
二、GPO的复制机制
GPC复制
GPT复制
需要注意的点： GPC和GPT的复制是分离的。
三、组策略的应用顺序（LSDOU）
组策略客户端在应用策略时遵从的顺序：
顺序：L-S-D-OU
如果遇到冲突：后应用的设置覆盖先应用的设置，如果多个GPO对同一策略设置不同，最后应用的GPO生效。
四、继承、阻止继承、强制
继承：子OU默认继承父OU、域和本地的GPO设置
阻止继承：在OU上可以设置“阻止继承”，阻止来自父OU、域和站点的GPO应用到该OU及其子OU。但是阻止继承不影响标记为强制的GPO。
强制/强制实施：在GPO链接上可以设置“强制”。被强制的GPO优先级最高，即使子OU设置了阻止继承，强制的GPO仍会应用；如果与未被强制的GPO冲突，强制的GPO生效。