概覽:
整體化與功能化 GPO
如何處理組策略條目
當(dāng) GP 改變時會發(fā)生什么情況
我經(jīng)常會被問及“從性能方面考慮，是配置少量較大的 GPO 好還是配置大量較小的 GPO 好”這一問題，本文將集中討論此問題以及其他與組策略設(shè)計和性能相關(guān)的問題。同時還會涉及大量常見問題。
我可以先告訴你答案：“視情況而定?！彪m然這個答案可能有點含糊其詞，但我的目標(biāo)是闡明組策略的處理機制，這樣無論您是正準(zhǔn)備開始配置組策略，還是準(zhǔn)備優(yōu)化眾多現(xiàn)有的 GPO 環(huán)境，都可以對組策略設(shè)計做出正確的決策。
整體化與功能化 GPO
讓我們首先介紹一下實現(xiàn) GPO 的不同方法。術(shù)語“整體化”和“功能化”是針對您的設(shè)計方式而言的。整體化 GPO 包含許多不同方面的設(shè)置。例如，整體化 GPO 可能包含來自“管理模板”、“Internet Explorer 維護(hù)”以及“軟件安裝策略”（所有這些都在單個的 GPO 中）的設(shè)置。相反，功能化 GPO 通常只包含一個方面。例如，功能化 GPO 可能只進(jìn)行“軟件安裝”或只進(jìn)行強制的“安全”設(shè)置。我甚至還見過有的功能化 GPO 只包含一項策略設(shè)置！當(dāng)然這可能只是極端情況。圖 1 顯示了各種方法的部分優(yōu)點和缺點。
Figure 1 比較整體化與功能化 GPO
問題 整體化 GPO 功能化 GPO
委派/隔離 困難，因為各個 GPO 可能包含來自多個區(qū)域的設(shè)置，而您只能在 GPO 級別而不是設(shè)置級別進(jìn)行委派。 簡單，因為每個 GPO 只包含單一的策略區(qū)域，您可以將軟件安裝 GPO 委派給部署管理員，而將安全 GPO 委派給安全官員，諸如此類。
可管理性和復(fù)雜性 管理起來可能會比較簡單容易，因為每個 GPO 都在單獨的位置中包含所有設(shè)置。 可能會比較困難，因為 GPO 越多則意味著需要查找更多的位置來跟蹤問題，而且在確定給定用戶或計算機的策略結(jié)果集時會非常復(fù)雜。
性能 可能會較慢，因為對于給定的客戶端側(cè)擴展而言，如果一個 GPO 發(fā)生變化，則所有擴展都需要針對范圍內(nèi)的所有 GPO 加以運行。 取決于使用的 GPO 數(shù)量以及更改頻率。在動態(tài)環(huán)境中，性能可能會稍好于整體化 GPO。
您可以可看到，對于“哪種方法（整體化還是功能化）在所有情況下都最適合”這樣的問題并沒有絕對肯定的回答。在您的環(huán)境中，可能兩者都需要。例如，在為整個域創(chuàng)建安全策略時，可能功能化方法更適合一些。在一個單獨的 GPO 中僅包含安全設(shè)置可便于將該 GPO 的控制權(quán)委派給安全管理員，而其他人均無法對其執(zhí)行操作。同樣道理，如果將 GP 管理委派給 OU 管理員，然后為每個 OU 建立一個整體化 GPO，這將為這些管理員提供一個單一位置，使其能夠在其中管理其所有策略設(shè)置。這可以降低其復(fù)雜性，并使您能夠調(diào)節(jié)為給定 OU 的用戶和計算機所創(chuàng)建的 GPO 的數(shù)量。
這些高級別設(shè)計決策將如何影響組策略處理的性能，如何才能做出明智的 GP 設(shè)計決策以最大程度地減小對性能產(chǎn)生的影響？要想最大程度地提高組策略基礎(chǔ)結(jié)構(gòu)的性能，首先要了解組策略處理過程的工作原理。
了解組策略處理過程
組策略處理是一組復(fù)雜的交互過程，其中涉及 Windows? 和 Active Directory? 基礎(chǔ)結(jié)構(gòu)的許多方面。從較高的層次來看，組策略處理過程分為兩個部分。第一部分稱為“核心”或“組策略基礎(chǔ)結(jié)構(gòu)”處理過程。在這一階段，Windows 組策略客戶端向其最近的域控制器進(jìn)行查詢以確定 DC 的鏈接速度是多少、在 Active Directory 層次結(jié)構(gòu)中處于什么位置（即客戶端是哪個站點、域和 OU 的成員），以及哪些 GPO 適用于該計算機或當(dāng)前登錄的用戶。（特別要注意，在此上下文環(huán)境中，客戶端可以是加入到 Active Directory 域的服務(wù)器或工作站。）GPO 列表創(chuàng)建完畢后，即開始執(zhí)行下一階段 — 客戶端擴展 (CSE) 處理過程。在 CSE 階段，各個注冊的 CSE 都會對那些已在其區(qū)域內(nèi)實現(xiàn)了設(shè)置的 GPO 的列表進(jìn)行處理。例如，注冊表或管理模板 CSE 始終會先運行并處理應(yīng)用到給定計算機或用戶的所有 GPO，以及已在內(nèi)部實現(xiàn)了注冊策略的 GPO。
下面的列表詳細(xì)說明了組策略處理循環(huán)的執(zhí)行步驟，包括客戶端和域控制器之間的網(wǎng)絡(luò)交互。務(wù)必要記住，組策略既應(yīng)用到計算機也應(yīng)用到用戶。因此，對于每次策略處理（例如在組策略的后臺刷新期間），在給定系統(tǒng)的計算機和當(dāng)前登錄用戶帳戶中都會重復(fù)執(zhí)行下面列舉的循環(huán) I，因為它們所應(yīng)用的策略集可能互不相同。當(dāng)出現(xiàn)這種情況時，Windows 實際上為計算機和用戶都會執(zhí)行此處理循環(huán)，而各個循環(huán)都在組策略引擎進(jìn)程內(nèi)的不同線程中運行。（Windows 2000、Windows XP 和 Windows Server? 2003 的 Winlogon 進(jìn)程，以及 Windows Vista? 和 Windows Server 2008 中的“組策略客戶端”服務(wù)。）
GP 的處理過程分為 6 個步驟：
客戶端對其站點內(nèi)的域控制器執(zhí)行“Internet 控制消息協(xié)議”(ICMP) 慢速鏈接檢測以確定鏈接速度。在 Windows Vista 中，已不再使用 ICMP 進(jìn)行慢速鏈接檢測，取而代之的是“網(wǎng)絡(luò)位置感知”(NLA) 服務(wù)。
客戶端從其本地注冊表中讀取 CSE 狀態(tài)信息，以確定哪些 GPO 是最后處理的。
客戶端使用 LDAP 在它于 Active Directory 層次結(jié)構(gòu)中所處的位置內(nèi)（首先在 OU 級別（包括所有嵌套的 OU），然后在域中，最后在 Active Directory 站點級別）搜索各個容器對象在 Active Directory 中的 gpLink 屬性。然后，根據(jù)這一搜索結(jié)果，它將建立一個必須進(jìn)行處理評估的 GPO 的列表。
每個 GPO 將隨后在 Active Directory 中進(jìn)行搜索以確定該客戶端（用戶或計算機）是否具有必需的處理權(quán)限。同時還將評估其版本號、在 SYSVOL 中 GPO 的“組策略模板”(GPT) 部分的路徑以及在該 GPO 中實現(xiàn)了哪些 CSE。
然后，客戶端使用“服務(wù)器消息塊”(SMB) 協(xié)議讀取 GPT 的內(nèi)容，并從 gpt.ini 文件中獲取 GPO 的版本號?！敖M策略容器”(GPC) 和 GPT 中的版本號是用來確定自上個處理循環(huán)以來 GPO 是否被更改過的一個依據(jù)。
各個 CSE 都按照在 HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions 中的注冊順序運行，并且如果 GPO 自上個處理循環(huán)以來曾被更改過（在核心處理過程期間確定），則會對實現(xiàn)該 CSE 的 GPO 進(jìn)行處理。各個 CSE 還將在每次刷新期間把“用戶策略結(jié)果集”(RSOP) 數(shù)據(jù)記錄到“Windows 管理規(guī)范”(WMI) 中。
讓我們仔細(xì)分析一下此過程并看一看它如何影響性能。首先要明確的是前臺和后臺處理有所不同。前臺處理過程發(fā)生在計算機的系統(tǒng)重新啟動期間以及用戶的用戶登錄期間。默認(rèn)情況下，工作站和成員服務(wù)器的后臺刷新頻率為 90 分鐘加上 30 分鐘以內(nèi)的一個隨機值。域控制器上的后臺刷新頻率默認(rèn)為 5 分鐘。在 Windows Vista 中，您還可以使用基于 NLA 的刷新，它們實質(zhì)上是屬于后臺刷新事件，如果由于對域控制器的訪問權(quán)限不足而導(dǎo)致組策略處理過程失敗（例如當(dāng)后臺刷新間隔到期時客戶端剛好離線），則會觸發(fā)這些事件。這些區(qū)別為什么非常重要？主要是因為某些 CSE（例如“軟件安裝”以及“文件夾重定向”CSE）在后臺刷新期間不會運行。同樣，登錄/注銷或啟動/關(guān)機腳本在后臺刷新期間也不會運行。
類似地，在此過程的步驟 1 中，我曾提到過慢速鏈接檢測過程。在 Windows Vista 之前的系統(tǒng)中，此過程必須通過客戶端使用 ICMP 對域控制器執(zhí)行 ping 操作來確定其可用性和鏈接速度。如果計算得出的鏈接速度低于某個閾值（默認(rèn)是 500Kb/s），則認(rèn)為鏈接過慢，這時，某些 CSE（例如“軟件安裝”、“文件夾重定向”以及“Internet Explorer 維護(hù)”）將不會運行。所有這些條件都可能會對性能以及預(yù)期策略交付產(chǎn)生影響。
對性能會產(chǎn)生很大影響的策略處理循環(huán)或許是確定應(yīng)用到計算機或用戶的 GPO 是否已發(fā)生更改的邏輯。組策略引擎有一個內(nèi)置的優(yōu)化原則，即如果自上次 GP 被處理以來計算機或用戶未發(fā)生任何變化，則不進(jìn)行處理。這顯然會對客戶端處理策略所用的時間產(chǎn)生巨大的影響，特別是當(dāng)您的 GP 環(huán)境處于近乎靜態(tài)的情況下時。讓我們來進(jìn)一步了解一下發(fā)生改變的原因。
組策略何時發(fā)生改變
那么到底是什么原因?qū)е陆M策略處理過程發(fā)生改變呢？原因有多種，但最明顯的是如果對 GPO 進(jìn)行了改動，則處理該 GPO 的客戶端會檢測到此改變并因此將重新處理該 GPO?？蛻舳巳绾沃?GPO 已更改？它是根據(jù) GPO 的版本號和客戶端內(nèi)部的版本號計算得到的。
GPO 由兩部分組成：存儲在 Active Directory 中的 GPC（在各個域的 CN=Policies、CN=System 容器內(nèi)），以及存儲在 SYSVOL 中 "Policies" 文件夾內(nèi)的 GPT。GPO 的各個部分都包含一個版本號。對于 GPC，此版本號存儲在 GPC 對象的 versionNumber 屬性中。對于 GPT，它存儲在給定 GPT 的根目錄下的 gpt.ini 文件中?？蛻舳诉€會在其注冊表內(nèi)保留已處理的 GPO 的版本號記錄（包括對每臺計算機和每位用戶的記錄）。對于各客戶端的計算機，此版本信息位于 HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\History 中；對于用戶，此信息位于 HKLM\Software\Microsoft\Windows\Currentversion\Group Policy\<用戶的 SID> 中。
當(dāng)組策略處理過程開始時，其中一部分工作是檢查計算機或用戶所屬的所有 GPO 的版本號，然后將其與注冊表中找到的在上次循環(huán)中處理過的版本號進(jìn)行比較。如果當(dāng)前 GPO 的版本號有任何不同（注意，只要有不同之處即可，無論是差別很大還是只有細(xì)微差別），則在當(dāng)前處理循環(huán)中都會處理這些 GPO。否則將不會對其進(jìn)行處理，除非滿足其他某個更改條件。這里所說的其他更改條件包括：
應(yīng)用到用戶或計算機的 GPO 列表發(fā)生改變（添加或刪除了 GPO）
用戶或計算機的安全組成員身份發(fā)生改變
關(guān)聯(lián)到 GPO 的 WMI 篩選器發(fā)生改變（添加或刪除了 WMI 篩選器）
如果滿足上述任一更改條件，客戶端都將在該循環(huán)中重新處理策略。但此過程中有些細(xì)微差別需要引起注意，因為它們可能對性能產(chǎn)生重大影響。對于給定的 CSE，如果 10 個 GPO 中有 1 個發(fā)生了改變，則必須對該 CSE 中的所有 GPO 進(jìn)行處理。請記住，過程處理是以各個 CSE 為基礎(chǔ)進(jìn)行的。但是，CSE 必須以控制流程時使用的優(yōu)先順序來處理策略（首先是本地 GPO，其次是站點鏈接的 GPO，接下來是域鏈接的 GPO，然后是 OU 鏈接的 GPO）。根據(jù)這一要求，我們假定對某個用戶應(yīng)用 10 個 GPO，其中每個都鏈接到 Active Directory 層次結(jié)構(gòu)的不同級別。此外還假定這 10 個 GPO 每個都實現(xiàn)了某些管理模板策略設(shè)置?，F(xiàn)在，管理員將介入并更改某個鏈接到域的 GPO — 添加一個新的管理模板策略設(shè)置。隨后計算機或用戶開始處理策略并發(fā)現(xiàn)所更改的 GPO 的版本號大于上次處理的版本號，因此需要再次處理該 GPO。但是，為了維持 GP 處理過程的優(yōu)先順序，必須先處理應(yīng)用到所有 GPO 的全部管理模板設(shè)置。所以說，對一個 GPO 的輕微改動就可能會對該客戶端造成重大的性能影響。
比較整體化 GPO 與功能化 GPO 的性能
到目前為止我們已經(jīng)探討了處理循環(huán)以及對組策略環(huán)境的更改將對處理過程產(chǎn)生哪些影響，接下來讓我們回過頭來看一看對整體化與功能化 GPO 性能比較的討論，以及這兩種方法如何影響性能。
鑒于組策略的版本檢查方式，整體化 GPO 可能會面臨潛在的性能問題。雖然導(dǎo)致這種情況出現(xiàn)的原因錯綜復(fù)雜，但它們都與這一事實有關(guān)：即在組策略處理過程中，并沒有對各個 CSE 進(jìn)行版本檢查。讓我們假定某個用戶有三個適用的 GPO。每個 GPO 都是整體化 GPO，其中實現(xiàn)了多個策略區(qū)域。例如，假定各個 GPO 都實現(xiàn)了管理模板策略、軟件安裝策略以及文件夾重定向策略?，F(xiàn)在，我們假定管理員對其中一個 GPO 中的管理模板策略進(jìn)行了更改。這次更改使版本號增加。隨后用戶介入并處理組策略。管理員模板 CSE 啟動并檢查到其中一個 GPO 發(fā)生了變化，這樣它將再次處理這三個 GPO。
當(dāng)“軟件安裝”和“文件夾重定向”CSE 運行時，它們也對 GPO 版本號進(jìn)行了檢查并注意到其中一個 GPO 已變?yōu)樾掳姹尽５捎谠摪姹咎枱o法告訴它們在該 GPO 中哪個策略區(qū)域發(fā)生了改變，所以為了以防萬一，它們不得不重新處理全部三個 GPO。這樣做的結(jié)果就使得在整體化 GPO 實現(xiàn)中，對其中一個策略區(qū)域進(jìn)行更改可能會導(dǎo)致不得不在其他區(qū)域中執(zhí)行處理過程。
當(dāng)然，在軟件安裝或文件夾重定向策略中，這些 CSE 實際上可能并不執(zhí)行任何工作，例如，如果某個應(yīng)用程序已經(jīng)安裝完畢，則不會再次進(jìn)行安裝。但我們要指出的是這種行為可能會發(fā)生在任何 CSE 中，因此在設(shè)計整體化 GPO 時，必須將這一點考慮在內(nèi)。如果某個策略區(qū)域經(jīng)常發(fā)生變化，則可能需要考慮將實現(xiàn)該策略區(qū)域的 GPO 與其他策略區(qū)域分隔開。
從功能化 GPO 的角度看，這更側(cè)重于性能方面的考慮。如果每個用戶或計算機有多個 GPO（因為對給定的一組策略設(shè)置，功能化方法通常包含多個 GPO），則意味著在組策略處理過程的核心階段，組策略引擎需要花費更多的時間來枚舉這些 GPO。但是，正如我們將在下一節(jié)中看到的一樣，這種方法可能并不會對性能造成太大的影響。
度量組策略性能
最后，為了更準(zhǔn)確地確定組策略基礎(chǔ)結(jié)構(gòu)的性能，您需要能夠度量組策略在真實環(huán)境中的性能。建?；蝾A(yù)測組策略性能幾乎是不可能的，因為大量的因素都可能會對既定處理循環(huán)產(chǎn)生影響。因此，根據(jù)經(jīng)驗進(jìn)行度量是確定 GP 處理性能是否存在問題的最佳方式。導(dǎo)致性能低下的原因是什么？只要組策略處理過程影響到用戶的系統(tǒng)體驗，即可視為性能低下?？赡苊總€組織的觀點不盡相同，但關(guān)鍵是要知道確實存在這種問題。
那么，如何來度量給定組策略處理循環(huán)的持續(xù)時間呢？同樣，這個問題也不是三言兩語就能回答的。如果您運行的是 Windows Vista 或 Windows Server 2008，那么您可以充分利用新的“事件查看器工作日志”。事件查看器中的組策略工作日志位于 Applications and Services Logs\Microsoft\Windows\Group Policy\Operational 下，它提供了組策略處理循環(huán)中各個步驟的詳細(xì)說明，包括各個處理階段所用的時間（請參閱圖 2）。
圖 2 顯示策略處理時間的組策略操作日志事件 (單擊該圖像獲得較大視圖)
但是，如果您不在 Windows Vista 或 Windows Server 2008 環(huán)境中工作，那么度量策略處理時間的機制將不會如此直接。這時您可以選擇啟用 verbose userenv logging（請參閱 Microsoft 支持文章
support.microsoft.com/kb/221833）并查看該文件內(nèi)針對給定處理循環(huán)的時間戳，或使用客戶端注冊表中保存的值來指出策略處理的起止時間。對于計算機，這些值存儲在以下位置：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion Group Policy\State\Machine\Extension-List {00000000-0000-0000-0000-000000000000}
對于用戶，這些值存儲在以下位置：
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion Group Policy\State\<SID of User>\Extension-List {00000000-0000-0000-0000-000000000000}
這些值以 FILETIME 格式存儲，必須轉(zhuǎn)換為正常的日期和時間。您也可以使用我編寫的免費 GPTime.exe 實用工具（在 gpoguy.com/tools.htm#GP_Time_Utility 中提供）得到相同的信息。
如果您沒有 Windows Vista 或 Windows Server 2008 環(huán)境，但卻可以訪問 userenv 日志，那么您仍可以獲得有關(guān)每個策略處理循環(huán)需要花費多長時間的有價值信息。例如，圖 3 是 userenv 日志的一個片斷，它顯示了組策略處理過程核心階段的部分信息。
圖 3 userenv 日志的片斷 (單擊該圖像獲得較大視圖)
請注意，日志文件的每一行都包括一個時間戳。組策略處理循環(huán)核心部分的開頭內(nèi)容類似于 "ProcessGPOs:Starting user Group Policy (Background) processing ..."處理循環(huán)的 CSE 部分的開頭內(nèi)容類似于"ProcessGPOs:Processing extension Registry."您可以使用此日志和其中的時間戳來確定策略循環(huán)的各個部分所花費的時間。
有關(guān)性能問題的一般意見
在詳細(xì)查看 userenv 日志文件后，您會發(fā)現(xiàn)一些模式，盡管無法預(yù)計策略處理過程需要花費的時間，但您可以就給定處理循環(huán)中時間的花費環(huán)節(jié)提供一些一般性意見。例如，在策略處理事件期間，當(dāng)進(jìn)行策略更改并因此導(dǎo)致 CSE 需要做一些額外工作時，花費在 GP 處理過程核心部分的時間通常要遠(yuǎn)少于花費在 CSE 部分的時間。
對于大多數(shù)策略區(qū)域來說情況均是如此，因為大多數(shù) CSE 都需要執(zhí)行比處理過程的核心部分運行起來更耗時的任務(wù)，其中最耗時的操作是查詢 Active Directory 和 SYSVOL。例如，核心處理過程所花費的時間與運行 Microsoft? Office 安裝程序的“軟件安裝”CSE 所花費的時間就不具有可比性。但是，對于那些自上個循環(huán)以來未發(fā)生任何變化的正常后臺刷新，處理循環(huán)的核心部分與 CSE 部分所用的時間基本相同。但注冊表策略處理是一個例外，除非給定用戶或計算機有成百上千條注冊表策略設(shè)置，否則其實際處理速度會相當(dāng)快。
此外，禁用計算機端或用戶端未使用的 GPO 對策略處理性能幾乎沒有影響。如果某個策略端從未使用過，則唯一的開銷就是查詢 Active Directory 對此進(jìn)行確認(rèn)，并且還必須執(zhí)行一個查詢來查看禁用的選項，該查詢與確定是否已為該 GPO 端實現(xiàn) CSE 時使用的查詢相同。禁用一端后所產(chǎn)生的效果可以忽略不計。
優(yōu)化 GP 性能的設(shè)計建議
至此我們已經(jīng)討論了組策略處理過程性能的許多方面，以下將給出一些對性能有直接影響的設(shè)計建議。按四個要點對這些建議進(jìn)行了總結(jié)。
如果經(jīng)常要對 GPO 進(jìn)行更改，則請記住前面所講的效果（對一個 CSE 所做的更改可能會影響所有 CSE 的處理過程）。因此，以注冊表策略為例，如果打算經(jīng)常對其進(jìn)行更改的話，最好將注冊表策略加入功能化 GPO（只處理注冊表策略的 GPO），以便在進(jìn)行更改時與其他 CSE 處理過程隔離開。
在考慮究竟多少 GPO 才算是數(shù)量過多時，要認(rèn)識到策略處理過程只發(fā)生在更改期間，某些“開銷大”的 CSE（例如軟件安裝、文件夾重定向、處理大量注冊表策略或?qū)Υ笮臀募蜃员砟夸浽O(shè)置許可權(quán)限）會占用大部分時間。在核心處理過程期間向 Active Directory 查詢 GPO 列表所花費的時間在處理循環(huán)中通常只占最少的部分。因此，與只應(yīng)用 5 個 GPO 但卻定期運行開銷很大的 CSE 所花費的時間相比，對給定用戶應(yīng)用 30 個 GPO 但只偶爾進(jìn)行少量的注冊表策略更改所花費的時間可能要少，因為對于前者而言 GPO 會頻繁發(fā)生變化。
應(yīng)避免采取會明顯降低組策略處理性能的行為。例如，您可以設(shè)置策略來強制執(zhí)行 CSE 過程，即使 GPO 尚未發(fā)生改變（在 Computer Configuration\Administrative Templates\System\Group Policy 下設(shè)置）。但如果這樣做，在每個循環(huán)期間策略處理過程所花費的時間都會變長。
請記住，要根據(jù)情況決定是否禁用 Windows XP 和 Windows Vista 中的“快速登錄優(yōu)化”（通過在 Computer Configuration\Administrative Templates\System\Logon\Always wait for the network at computer startup and user logon 中啟用該策略來設(shè)置）。啟用此策略后，前臺處理過程將從異步切換到同步。這意味著計算機和用戶策略必須在用戶獲得計算機和桌面的控制權(quán)之前運行完畢。但是這樣也有好處，因為它可以解決“軟件安裝”和“文件夾重定向”策略需要重新啟動或登錄兩次或更多次才能生效的問題。
總結(jié)
盡管組策略處理性能不算是精密科學(xué)，但您也可以在設(shè)計過程中引入一些深入的技術(shù)來緩解性能問題。
了解處理循環(huán)的工作方式以及時間的花費環(huán)節(jié)有助于您對性能問題進(jìn)行跟蹤。使用 Windows Vista 或 Windows Server 2008 的工作日志（對于 Windows 的早期版本，需使用 userenv 日志）獲取有關(guān)處理循環(huán)的指導(dǎo)性信息。要記住 CSE 處理過程的特點以及被 CSE 視為策略更改的條件。還要記住，在變化莫測的動態(tài)環(huán)境中，功能化 GPO 可能要比整體化 GPO 更適用。但最根本之處在于組策略是一種旨在幫助您更好地管理 Windows 環(huán)境的技術(shù)。非常重要的一點是要根據(jù)您的業(yè)務(wù)需求來確定組策略設(shè)計，而不是反其道而行之。記住本文所討論的一些性能行為可幫助您實現(xiàn)該目標(biāo)。
Darren Mar-Elia是 Microsoft 組策略 MVP，他創(chuàng)建了流行的組策略站點 —
[url]www.gpoguy.com[/url]，并且參與撰寫了《Microsoft Windows Group Policy Guide》（Microsoft Windows 組策略指南）（Microsoft Press，2005）。他還是 SDM Software, Inc. 的 CTO 和創(chuàng)始人。您可以通過發(fā)送電子郵件到
Darren@gpoguy.com 與他聯(lián)系。
? 2008 Microsoft Corporation 與 CMP Media, LLC.保留所有權(quán)利；不得對全文或部分內(nèi)容進(jìn)行復(fù)制.
本文出自 51CTO.COM技術(shù)博客
