服务器 Gind.cn

服务器问题集锦,包括 Linux(Ubuntu, Centos,Debian等)和Windows Server服务器

如何阻止单个GPO的inheritance/应用程序?

由于近期勒索软件爆发(Cryptolocker / Cryptowall /等)产生的工作量,最近我的任务是实施软件限制策略来阻止临时目录中的程序执行。 这通常工作得不错,但是当我们需要安装软件的时候,我们遇到了问题,因为这些软件限制策略阻止安装者访问机器的临时目录。 我们的Active Directory层次结构基本上是按照我们的物理站点的行来组织的,我们的AD对象inheritance了几个来自域根和它们的特定站点OU的GPO。 因此,我没有select在域根目录下创build阻止的策略OU(因为不inheritance特定于站点的组策略设置会导致计算机出现严重问题,而且远程用户也不够熟练,无法解决这些问题),或者将组策略对象更靠近子OU(因为这将涉及几百个我不愿意做的脱链和重链操作),或者在每个阻塞inheritance的情况下创build一个子OU(因为我会拥有在这种情况下做几百个连接操作)。 也就是说,我需要暂时停止软件限制策略GPO的应用,以便我们可以不时地安装软件。 我试图通过在每个站点创build一个子OU来解决这个问题,并且连接了一个反向的软件限制策略,认为反向策略的更高优先级将会覆盖inheritance的策略,但是这根本不起作用 – 一个RSOP显示电脑获得免费的disallow和unrestricted规则, disallow规则在这种情况下获胜。 因此,考虑到这一切(无法重新链接所有的GPO,不能创build简单的inheritance阻止的OU,而具有更高优先级的GPO似乎不能解决我的问题),我可以做些什么来[暂时]阻止inheritance的软件限制GPO的应用程序? 假定Server 2008 R2 FL域/林中的Windows 7客户端。