组策略首选项中的三种筛选方式：安全筛选，WMI筛选，项目级定位

妖狐艹你老母 2023-10-07 08:14 20阅读 0赞

**问题：**如果我们需要微调GP应用程序以仅将OU中的对象子集作为目标，该怎么办？我们是否需要重新设计整个OU概念？

**答：**不一定，默认情况下，组策略会带来两种可用于调整GP应用范围的工具：安全过滤和项目级定位。

**安全性筛选**：这只是调整组策略对象上一部分目标的权限（目标=策略范围内的用户和计算机）。用户和计算机需要对对象具有“读取”和“应用组策略”权限，才能成功应用GPO。如果我们有一个“ LockDown” GP将桌面限制到最小，并且将其应用于“ ManufacturingOU”，则该OU中的所有对象都会受到影响。要将LockDown-GP仅应用于多个目标，我们可以创建一个Active Directory组，将目标对象放入该组中，然后在GP的“ Scope”选项卡中修改安全过滤设置，如屏幕快照所示：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70][]

我们从“安全过滤”选项卡中删除“授权用户”，并向我们的安全组添加目标。另一种方法将涉及“委派”选项卡。它列出了对GPO的正确权限。单击那里的“高级”按钮，打开您可能对NTFS权限熟悉的访问控制编辑器：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 1][]

您可以看到锁定组具有“读取”和“应用组策略”权限。使用ACL编辑器，您甚至可以采用另一种方式：将“已认证的用户”保留在允许的组和用户列表中，并拒绝特定的组“读取”和“应用组策略”权限，以防止他们应用GPO。

**WMI****筛选**：您可以通过在GPO上应用WMI筛选器来进一步筛选策略范围。WMI筛选器在执行有问题的GPO之前运行。如果过滤器评估为“ TRUE”，则将应用GPO，否则将忽略该GPO。一个典型的用例是用于不同操作系统的GPO。右键单击GPMC中的“ WMI筛选器”节点，然后使用WQL语法创建一个新的WMI筛选器。针对Windows Vista的示例为：

*SELECT Version, ProductType FROM Win32\_OperatingSystem WHERE Version >= ‘6.0′ AND ProductType = ‘1′* .

之后，打开有问题的GPO的“范围”选项卡，然后在“ WMI筛选器”部分中选择Vista-WMI筛选器。GPO将仅应用于Vista计算机，然后过滤器将其评估为“ true”，仅适用于这些计算机。显然，您需要知道如何创建WQL查询。Scriptomatic是将WQL查询放在一起的一个巨大帮助

![20200116114046792.jpeg][]

现在，有了“组策略首选项”，还有另一种方法可以过滤目标上的策略。称为“ **项目级定位** ”。顾名思义，您现在可以为在GP偏好设置中配置的每个设置定义过滤器。您没有看错：对于每种设置。安全筛选和WMI筛选用于按GPO筛选–项级别的目标是按设置进行的。这样一来，您就可以配置一个具有多个GP首选项的GPO，但仅根据过滤器及其评估应用其中的一部分。您将在哪里添加这些过滤器？检查GPP的“公用”选项卡：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 2][]

您需要勾选“项目级定位”复选框以启用该按钮。打开“定位…”后，您将看到以下编辑器：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 3][]

我已经为您打开“新建项目”菜单，因此您可以看到GPP中可以过滤的所有选项。没错，您可以过滤GPP项（在具有其他GPP和GP设置的GPO中）仅在以下情况下适用：例如……用户位于*安全组* “帮助台”中，并且*计算机名称*为“ XP-00233”，是在上午8点到下午5点之间（*时间范围*），并且用户处于*终端会话上*，在Windows XP（作为*操作系统）*上具有特定的会话名称，并且在系统分区上具有20GB的可用*磁盘空间*。好吧，从理论上讲，您可以。如果这确实有用，则取决于您。

项目级定位编辑器使您可以根据屏幕快照中显示的“新项目”条件形成过滤器。您可以使用布尔逻辑（“与”，“或”，“不”）来组合过滤器，以实现复杂的逻辑：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 4][]

在可以在文本框中输入字符串的任何地方，都可以按F3键以获得GPP可以理解的已知[环境变量][Link 1]的列表。这样可以更轻松地（例如）创建文件匹配规则，因为您可以使用本地系统将其转换为实际路径的“ CommonAppDir”，“ CommonStartUpDir”或“ ProgramFilesDir”变量。

考虑一下您可以在单个GPO中使用的配置，并针对已定义的不同设置进行项目级定位\-仅需一秒钟：

\-在一个GPO中创建多个GPP映射的驱动器，并根据组成员身份应用它们（比编写脚本更容易！）

\-根据其时间（工作时间与非工作时间！）将不同的GPP应用于目标。

\-根据用户的站点或IP地址创建和部署不同的打印机/快捷方式/文件

\-在特定时间范围内的给定日期应用GPP。

\-根据用户的语言复制文件。

现在你怎么说？值得一看吧？

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/202001161140393.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 1]: https://img-blog.csdnimg.cn/20200116114046783.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[20200116114046792.jpeg]: https://img-blog.csdnimg.cn/20200116114046792.jpeg
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 2]: https://img-blog.csdnimg.cn/20200116114046810.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 3]: https://img-blog.csdnimg.cn/20200116114046830.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI_size_16_color_FFFFFF_t_70 4]: https://img-blog.csdnimg.cn/20200116114046868.jpeg?x-oss-process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2FsbHdheTI=,size_16,color_FFFFFF,t_70
[Link 1]: https://docs.microsoft.com/en-us/archive/blogs/grouppolicy/environment-variables-in-gp-preferences