【問題】群組原則 GPO 使用問題

**fireflybug** · 2007-10-17, 10:47 AM

請問各位大大：

群組原則 GPO 只能在 OU下作連結作用，而對OU內有作用的，只有類型是使用者或是電腦的，才會有作用，然而對OU內的群組，是沒有作用的，這是我剛剛測試後的結果。

不知道這樣正確嗎?

問題來了，如果使用者a 在業務部OU，使用者b 在行政部OU，我只想讓使用者a與b套用GPO的情況下，其他業務部與行政部的人不想套用，該怎麼處理?

之前天真的做法，另外開個OU，在OU下開個群組，將這兩位加入群組，想說這樣就可針對這個群組作GPO的動作，結果不行>_<

**nyker** · 2007-10-17, 11:31 AM

由於GPO的最小套用單位為OU，因此請將該自訂的GPO連結至使用者所屬OU上，並在該GPO的安全性上將不需套用的人或群組移除(系統帳號請勿移除)，如此應該就能符合您所要的結果！

PS:對於不需套用的群組請勿使用"拒絕"避免A、B兩位使用者無法套用GPO

**fireflybug** · 2007-10-17, 01:30 PM

作者：nyker

由於GPO的最小套用單位為OU，因此請將該自訂的GPO連結至使用者所屬OU上，並在該GPO的安全性上將不需套用的人或群組移除(系統帳號請勿移除)，如此應該就能符合您所要的結果！

PS:對於不需套用的群組請勿使用"拒絕"避免A、B兩位使用者無法套用GPO

單一USER的設法雖然比到USER電腦前設定還好一些，但是一個一個設定，也會暈倒......

使用者是唯一的，也就是同一個使用者不能同時存在於兩個以上的OU內....A使用者不能同時在業務部OU與行政部OU出現....如果可以，那只要新增個OU把需要的人在複製進來就可解決。

雖然GPO套用OU後，可對GPO的安全性設定排除不套用的使用者，但是還是很麻煩.....

還是覺得，GPO只能對使用者或是電腦有作用，無法針對群組作設定，是一大遺憾.....不然會更靈活。