服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 域控制器的本地安全策略来自哪里？
Intereting Posts
客户的DNS难题 尽pipe运行了YCBS基准testing，但Google云端API仪表板并不显示访问权限 Exchange 2010中邮箱的已使用空间 检测不能从父级inheritance权限的文件夹 本书学习如何pipe理一个debian盒？ Tripwire帮助必需 Exchange 2003传入电子邮件附件具有不正确的大小 存储64000多个文件，并在一个文件夹（ext3） 亚马逊AWS定价（网站/服务器） 将服务器迁移到SAN – 要注意什么？ 命令MSSQL数据库备份？ Nginx的catch-allconfiguration文件 caching+ Web服务器在同一台机器上？ Squid透明代理仅用于传出通信 帮助与Apache虚拟主机conf

域控制器的本地安全策略来自哪里？

在组策略中，我们Deny logon through Remote Desktop为“ Domain Computers组启用“ Deny logon through Remote Desktop的Deny logon through Remote Desktop设置。 我推荐了一个属于这个组的成员的计算机作为一个域控制器。 升级之后，电脑当然不再是Domain Computers组的成员，而是：

  1. Deny logon through Remote Desktop设置的Deny logon through Remote Desktop仍然有效
  2. 该设置未在组策略结果中列出

我最终发现你可以编辑Local Security Policy MMC中的设置，但现在我很担心，因为：

  1. 由于本地安全策略中的设置没有Define these policy settings框，您无法轻易确定该值是否已从默认值更改
  2. 远程审计很困难，因为这些设置不会显示在组策略结果中

有没有人知道这种行为的任何解决方法？ 如果没有可用的，是否有一个简单的方法来审计这些设置？

域控制器有自己的本地安全策略，就像常规域成员一样。 组策略也将优先于/重写本地安全策略，就像在常规域成员上一样。

正如您目睹的那样，即使在GPO不再适用于计算机之后，仍然有许多组策略设置能够“纹身”，或者在系统的本地安全策略上留下标记。 在GPO不再适用之后，不对组织系统纹身的组策略通常会修改Windowsregistry中特殊“策略”子项下的设置。 大多数集团政策performance良好，遵循这一模式，但不是全部。

在域环境中pipe理configuration设置的第一个显而易见的解决scheme是，如果您关心某个设置，请将其设置为“组策略”，以便覆盖任何本地策略设置。

另一种可能的解决scheme是使用安全configuration和分析工具（mmcpipe理单元）创build和应用安全模板。我没有看到通过组策略简单定义基准configuration设置的优势，但这是工具如果要将一致的模板应用于许多机器的本地安全策略，请使用此选项。

大多数pipe理员只会将具有已知良好安全configuration的计算机升级为域控制器，因此您的问题不是很常见的问题。

对于审计，运行gpresult /h policy.html将生成一个HTML报告，列出所有有效的策略设置，包括合并组策略和本地策略。 所以如果一台计算机有一个修改过的本地策略设置， 并且没有组策略覆盖它，它就会出现在那里：

Gpresult的

来自TechNet ：

通过本地策略或组策略对象应用的所有设置都存储在您的计算机上的本地数据库中。 每当安全设置被修改时，计算机将安全设置值保存到本地数据库，该数据库保留已经应用于计算机的所有设置的历史logging。 如果一个策略首先定义一个安全设置，然后不再定义该设置，那么该设置将采用数据库中以前的值。 如果数据库中不存在以前的值，则该设置不会恢复为任何内容，并保持原样。 这种行为有时被称为“纹身”。