群組策略 (GPO) 是 Windows 域環境管理的核心引擎，但配置不當極易導致策略衝突、生效異常、安全基線失效。Jonathan Hassell 提出以「安全觀念」設計 GPO 架構，本文提煉三大核心原則並提供落地執行框架。

三大核心設計原則

1. 本地編輯策略，定義管理邊界（而非地理邊界）

痛點：AD 預設按地理/組織單元 (OU) 結構鋪設 GPO，但業務需求常跨越地理邊界（如：全公司筆記本需 IPsec、全體中層需定制瀏覽器）。

對策：

• 先梳理業務角色與安全需求矩陣（角色 × 所需限制/配置）
• 定義管理邊界：如「所有筆記本電腦」、「財務部工作站」、「DMZ 伺服器」
• 為每個管理邊界創建專用 GPO，通過安全篩選 (Security Filtering) + WMI 篩選 精準投放，而非依賴 OU 結構
• 範例：GPO_Laptop_IPsec → 安全篩選「Domain Laptops」群組 → WMI 篩選 SELECT * FROM Win32_ComputerSystem WHERE PCSystemType = 2 (筆記本)

2. 在管理邊界內配置統一需求策略，合併同類項目

痛點：分散的 GPO 導致「誰修改了什麼」「為什麼這裡生效那裡不生效」難以排查。

對策：

• 識別共性安全基線：如「登入失敗 3 次鎖定 30 分鐘」、「禁用控制面板」、「強制螢幕保護程式密碼」
• 將共性基線封裝為基礎 GPO (如 GPO_Baseline_Security)，鏈接到域根/站點，所有物件繼承
• 差異化需求封裝為增量 GPO (如 GPO_Finance_Extra、GPO_DMZ_Server)，通過安全篩選精準疊加
• 嚴禁在多個 GPO 中重複配置同一設置（除非刻意覆蓋並有文檔說明）

3. 配置組織單元 (OU) 反映任務/功能相似性，而非單純組織架構

痛點：傳統 OU 按部門/地點劃分，導致「同功能不同部門」電腦分散在不同 OU，策略部署碎片化。

對策：

• 建立功能導向 OU 結構：
  Domain
├─ Workstations
│ ├─ Laptops (EFS 強制、離線文件、BitLocker)
│ ├─ Desktops (標準基線)
│ └─ Kiosks (嚴格鎖定、自動登入、寫入過濾器)
├─ Servers
│ ├─ Domain_Controllers (最高基線、審計全開)
│ ├─ App_Servers (應用白名單、特定端口)
│ └─ DMZ_Servers (單向防火牆、無域信任)
└─ Management (堡壘機、管理工作站、監控伺服器)
• 每個功能 OU 鏈接對應基線 GPO + 增量 GPO
• 使用GPO 建模精靈 (GPMC → Group Policy Modeling) 模擬生效結果，上線前驗證

GPO 生命週期管理最佳實踐

階段	關鍵動作	工具/產出
設計	需求矩陣 → 基線/增量 GPO 清單 → OU 結構圖 → 安全篩選/WMI 規則表	Excel/Visio、GPO 文檔模板
開發	測試環境逐個配置 → 截圖/導出 HTML 報告 (gpresult /h) → 同儕評審	GPMC、PowerShell (New-GPO, Set-GPRegistryValue)
測試	模擬攻擊 (紅隊) 驗證基線有效性 → GPO 建模驗證目標對象生效 → 性能影響評估	MITRE ATT&CK 映射、GPMC Modeling
部署	分環境灰度 (測試→預發→生產) → 變更管理審批 → 回滾方案就緒	AGPM (Advanced GP Management)、SCCM/Intune
運維	定期 gpupdate /force 抽檢 → RSOP (gpresult /r) 審計 → 年度基線複核 → 異常告警 (Event ID 5379/5380)	SIEM 關聯 GPO 事件、PowerShell 合規掃描

常見反模式與修正

• ❌ 萬能 Default Domain Policy：塞入所有設置 → ✅ 拆分為 Baseline + 功能 GPO，DDP 僅保密碼/鎖定/審計核心項
• ❌ OU 深層嵌套 + 強制執行：導致繼承混亂 → ✅ 扁平化 OU + 安全篩選 + WMI 篩選
• ❌ 用戶/計算機配置混用：徽標部署到計算機配置 → ✅ 嚴格區分：用戶配置跟隨身份，計算機配置跟隨設備
• ❌ 無文檔、無變更記錄 → ✅ 每個 GPO Description 填寫：目的、負責人、創建日期、關聯風險、回滾步驟

工具鏈推薦

• GPMC (Group Policy Management Console)：核心管理界面
• AGPM：版本控制、簽核流程、離線編輯
• PowerShell GPO 模組：Get-GPO、Get-GPOReport、Import-GPO、Set-GPInheritance 自動化
• Policy Analyzer / Security Compliance Toolkit：基線對比、差距分析、合規報告
• BloodHound / PingCastle：AD 權限視覺化、GPO 攻擊面分析 (如 GPO 修改權限濫用)

群組策略的強大在於「集中管控」，其危險也在於「一錯全盤錯」。以安全思維為設計起點，將業務需求轉化為最小權限基線，通過管理邊界、功能 OU、基線+增量 GPO三層架構落地，配合版本控制、建模驗證、灰度發布、持續審計，才能讓 GPO 成為安全資產而非負債。