为什么我们不能将GPO链接到AD容器？

为什么我们不能将GPO链接到AD容器？

主要是因为容器对象缺less将组策略对象链接到所需的gpLink和gpOptions属性。 Active Directory使用LDAP数据库，并且在该LDAP数据库中有不同种类的对象和inheritance层次结构，以便某些对象可以从它们上面的父对象inheritance属性。 有些对象具有某些属性，有些则不具有。 例如，用户对象和计算机对象都从同一个更高级别的对象（称为userinheritance。 （混淆吧？）计算机本质上是一种特殊types的用户。

容器用于分割和组织networking，并且考虑到特定的用途和限制。

不明白你在说什么。

这是我们为什么不能将GPO链接到容器并仅链接到OU的唯一原因？

看到上面的第一个问题。

容器和OU之间还有什么区别吗？

您不能将GPO链接到容器，并且通常不应尝试删除或删除容器。 容器和OU是两种不同（但相似）的对象类别。 一般来说，当您安装AD或AD集成应用程序时，系统会放置容器，一般情况下不应该没有很好的理由。 另一方面，pipe理员可以随心所欲地播放你的内容。 您可以创build，移动和删除OU，并以对组织有意义的任何方式对用户和计算机进行分类。 此外，通常会将某些systemFlags分配给禁止移动或删除它们的容器。