我看到的方式，如果我有一个GPO，并希望应用它，我有两个选项：
例如：如果我有一个名为Administration的OU，其中包含具有相同名称的安全组，并且有4个用户是安全组的成员，并且我希望将GPO应用于这4个用户，则可以：
我对么？
是一个更好的select; 如果是，请解释如何。 谢谢
在大的环境中，将GPO链接到域的顶级是很less见的。 这是由于潜在的影响。 这也会增加需要为仅过滤GPO的机器/用户处理的GPO数量。
如果可能的话，应该在OU级完成。 即使在较小的环境中，您也会发现大多数GPO都链接到OU与整个域。
如果您有一个强化的pipe理跳转服务器，可以在其中执行大多数pipe理活动，则可以将GPO链接到该服务器驻留的OU，并指定将环回处理应用于login到该服务器的帐户。
实施安全的pipe理主机
http://technet.microsoft.com/en-us/library/dn487449.aspx