Windows群組原則的優先權

Windows Group Policy processing and precedence



簡介

Windows可以從很多地方建立Group Policy (後稱GP)
當多個GP對同一台電腦設定規則時，要如何知道那個GP優先權最高 ?

Windows採取的衝突原則

Windows 採用 Last writer win
即後面寫入的原則，會覆蓋前面的原則
也就是越早執行原則，優先權越低




目錄

Group Policy
GP的執行順序
相同層級的執行順序
電腦原則和使用者原則
優先權順序圖例
優先權順序例子



Group Policy

GP的主要用途是設定電腦或使用者可以使用的功能或權限
最常用到的地方就是AD的環境中，幫大量的電腦設定原則
而最常使用設定介面不外乎一個是 Local 的GP，另一個是網域上的GP
網域上使用GP的地方有Site、Domain、OU，每一個地方都可以套用好幾個GP
我們常常在網域上套用好幾個GP，本機也有一個GP，到底這些GP是如何比較出誰先誰後呢



GP的執行順序

Local-Site-Domain-OU(subOU-subsubOU…)
最早執行的GP是本機的群組原則，其次是Site，再來是Domain，最後是OU
OU的架構屬階層式，其中父OU會先執行，然後才是底下的子OU
因此執行順序是
L -> S -> D -> OU -> subOU -> subsubOU …..  (subOU就是子OU)

優先權剛好與執行順序相反，優先權是
subsubOU -> subOU -> OU -> D -> S -> L



相同層級的執行順序

如果在同一個Domain(site或OU)上建立多筆GP，執行順序又會是如何 ?

(圖中顯示的Precedence就是執行順序，越上面越先被執行)

我們可以在 Link Group Policy Objects 修改執行順序
在序列中，越上面的越早執行，也就代表優先權越低
其原理同樣適用於Site、Domain、OU


電腦原則和使用者原則

一個原則裡面又分成電腦原則和使用者原則
電腦原則和使用者原則之間有些原則是相同的，而有些是不同的
相同的部分，其優先權是電腦 > 使用者
也就是電腦原則優先於使用者原則





優先權順序圖例

從下圖可以知道GP的優先權順序(越下面越高)
圖中越上面的原則越早被執行

優先權順序例子

 一開始原則設定為，X = 5 , Y = 4 , Z = 3
經過Domain的原則後，原則變為 X = 5 , Y = 1 , Z = 1
再經過名稱為Taipei的OU套用原則，原則變為 X = 5 , Y = 2 , Z = 1
最後子OU sales套用，原則變為 X = 5 , Y= 2 , Z = 7



留言

發佈留言

此網誌的熱門文章

WPA_supplicant的設定方式

wpa_supplicant設定檔大致分成三個區塊，這邊的例子主要介紹網路設定區塊 1. 全域設定 (Global configuration) 2. 驗證設定區塊 (credential block) 3. 網路設定區塊 (network block) 全域設定 這裡的設定會套用到全部的「網路設定區塊」 驗證設定 專門設定802.11u的相關驗證設定 網路設定 要連線到AP的相關設定，也是最主要的設定 採用的是由上到下，第一個符合就使用的規則 也可以用priority修改優先使用的順序 無線網路的一些基本說明 驗證方式 目前常用的驗證方式有 兩種 : WPA和WPA2(RSN) 一般WPA會配合TKIP加密 而WPA2會配合AES(CCMP)加密 有些高級的AP可以混搭使用，如WPA2使用TKIP加密 輸入密碼的方式 分兩種 PSK : AP預先打好一組密碼，使用者要連線就要輸入相同的密碼。 有些AP會稱為「個人」(Personal) EAP : 密碼自動產生。使用者需要經過認證(如輸入帳號和密碼)才能加入AP。 有些AP會稱為「企業」(Enterprise) 注 : 全域設定要有這兩行，最好是放在最上面 ctrl_interface=/var/run/wpa_supplicant #讓supplicant可以建立行程pid update_config=1 #讓wpa_cli程式可以更新控制wpa_supplicant 常見的例子 想直接設定的人可以看底下的常用例子 例子1 使用 WPA/TKIP ，密碼是用PSK的方式 network={ ssid="你的SSID名稱，限英文" proto=WPA                     #要用WPA或WPA2 key_mgmt=WPA-PSK    #要用PSK或EAP pairwise=TKIP                #要用AES(CCMP)或TKIP加密 group=TKIP                    #廣播和群播在用的加密 psk=無線網路的密碼          #psk的密碼，如果用key_mgmt=WPA-PSK，就必須要有 }
閱讀更多

DOS指令 -- SET和變數

DOS指令 -- SET變數 Dos的SET功能很強大也很困擾，這邊說一下筆者會用到的SET功能和變數 在Dos中，set用來建立變數和指定變數的值 在批次檔中使用set指令的時候，建議使用 setlocal/endlocal 如 : setlocal set a=1 set b=2 endlocal 如果有用到IF或FOR，可以使用參數enableextensions enabledelayedexpansion 如 : setlocal enableextensions enabledelayedexpansion for /L %%a in (1,1,3) do ( set a=!a!+%%a ) echo %a% endlocal 實際的使用方式可以參考 --這裡-- SET的基本功能 指定變數 set aaa=World!! set bbb=100 set後面加上的文字是變數， "=" 後面的任何文字就是這個變數的值 如果輸入的是數字，SET會自動判斷。如果數字的第一個字是 0 會被判定為8進位，如 : 07 注意 : =符號的前後不要空白，會被判定為文字 變數四則運算 set /a aaa=5+6  aaa=11 set /a x=5%%2        //在set /?裡面是寫一個%，如果是在批次檔內要用兩個% x=1 set /a bbb=2*(5+2) bbb=14 set ccc=4 set /a ccc*=5       //這個等於 ccc=%ccc%*5 ccc=20 set x=5 set y=2 set /a x-=%y%-1 x=4 在set後面加上 /a ，就可以進行運算相對應的符號有 + 加號，- 減號， / 除號， * 乘號 %% 為除完後的餘數 ( )內的運算會優先執行，就跟真實環境的四則運算一樣 如果要自己對自己運算(如第三個例子)，可以把運算符號放在 = 的前面 第四個例子比較特別，會先把=號右邊算完，才會進行 -=的運算 讓使用者自行填入變數 set /p x=請填入生日: echo %x% 輸出: 請填入生日: 1234  <--1234是筆者填入的數字
閱讀更多

Nginx server 和 location 優先順序

Nginx是一個輕量形的 WEB 伺服器，功能很強大。 其中 server 和 location 可以有很多種的設定方式，也因此需要有個機制去選擇出到底該用哪一個。 這篇文章會說明 Nginx 選擇 server 和 location 的方法。 Server 當設定檔中有多個 server (...) 區塊，Nginx會怎麼選擇呢? server的選擇相對比較簡單，在開始之前，要先了解Nginx怎麼編譯 Server 裡面的 listen 。 預設的 listen 通常是 : listen 80 default_server; 但是一個完整的描述方法因該是: listen IP:PORT; 而缺少的部分(不管是缺少IP還是Port號)Nginx會自動使用預設值補齊。 補齊的方式如下 缺少IP 如 listen 80;，Nginx會自動補0.0.0.0，變成 : listen 0.0.0.0:80; 缺少Port 如 listen 10.1.1.1;，Nginx會自動補80 Port號，變成 : listen 10.1.1.1:80; 兩個都缺 也就是沒有使用 listen ，nginx會自動補上 listen 0.0.0.0:80; 知道自動補齊的方法後，就可以開始討論選擇server的順序。 首先 Nginx會先檢查 IP:Port 的匹配。 選擇順序為 listen 有指定IP (如 10.1.1.1) listen 無指定或使用0.0.0.0 第二 比對 server_name 當第一個IP:Port匹配檢查完後，發現有多個符合的結果，才會繼續比對。 選擇順序為 1. 完整比對到server_name，如 server_name www.example.com; 2. server_name前面有 * 符號，如 server_name *.example.com; 3. server_name後面有 * 符號，如 server_name www.*; 4. server_name是正規表示法，如 server_name ~www.example[1-3].com; 5. 全部的server_name都不匹配，此時Nginx會使用 listen 後面有 defa
閱讀更多