单击确定以修改域上的HKLM \ Software \ Policies和HKCU \ SOFTWARE \ Policies?

背景:

我有一个域(2003年function级)与Windows XP和Windows 7客户端的混合。 我们一直在使用组策略来pipe理我们的工作站。

现在,我需要根据一些复杂的逻辑来应用不同的GPO 策略不是首选项)。 我可能能够创build多个GPO并执行安全/ WMI过滤,但会变得混乱。 脚本将是一个更清洁的方法(特别是PowerShell)。

我想做的事:

我想使用启动脚本来启用GPO策略。 看来我的login脚本可以编辑HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies和HKEY_CURRENT_USER \ SOFTWARE \ Policies的内容。 这些registry项是有据可查的 ,设置它们是非常简单的。 我已经看到很多人在网上做这个事情,但是我想在做这件事之前确定这是一个理智的想法。

个人电脑仍然会join到这个领域,而且还会有一些GPO出现(至less是默认域策略)。 所以,与现行政策的冲突是可能的。 我期待以下将会发生:

  • 如果GPO中的策略项目是“未configuration”,则不存在冲突。 我的启动脚本中的registry值将被写入,策略将生效。
  • 如果政策项目在GPO中设置为已禁用/已启用,则会与我的脚本冲突。 脚本可能在启动时“获胜”,但在后台刷新时会被覆盖。

那么,我的理解是否正确? 这是一件好事吗?

    你的理解是正确的。

    当你的公司达到你需要引入一个专用的Windows系统pipe理员的大小时,他们会对你这样做感到不高兴。

    我无法想象你的逻辑如此复杂,以至于无法通过组策略中的内置function来解决。 安全组筛选,WMI筛选(性能价格比较高但灵活)以及组策略首选项中的项目级别定位都为表提供了大量的灵活性。 坚持库存操作系统function意味着您可以从微软和合格的第三方获得支持。 告诉我们更多关于你的逻辑需求,如果你是如此倾向。

    从function的angular度来看,你扔掉很多。 前几个项目包括后台刷新,站点感知,SYSVOL冗余以及库存操作系统pipe理,日志logging和报告工具。 我相信还有很多我没有想到的。

    从可维护性的angular度来看:当你自己的事情发生了,而且打破了,你就可以保持这两件事。 当你离开公司的时候,你会把他们看作是一个简单而自我logging的东西,让他们“看上去很干燥”,但对下一个人来说,会呈现某种程度的学习曲线(尤其是如果你的逻辑太复杂 )。

    对你的评论发言重新:版本控制 – 我认为你可以使用Powershell cmdlet Get-GPOReport来相当容易地“版本化和区分”组策略对象设置,它可以输出包含GPO设置的XML文件。

    您的理解是正确的,但是当计算机启动时,如果发生冲突和优先级设置,可能会导致脚本更改无法正常工作(例如,启动脚本首先运行的GPO,然后又有另一个GPO修改值)

    GPObuild模为您提供了configuration的一个单一视图。 当你拿出一些设置的时候,在客户端做一个RSOP只会告诉你一半的故事。 如果支持工作站的人员不知道您正在插入这些密钥,这会影响计算机,那么故障排除将会更加困难。