在 Active Directory 域環境中，群組原則 (Group Policy) 是實現大規模 Windows 客戶端安全基線強化、軟體部署、桌面標準化的核心引擎。本文系統梳理 GPO 架構、優先序、關鍵安全設定區域，並對比本地策略、域控制器策略與域策略的適用場景，提供可落地的配置清單。

群組原則核心架構與運作機制

GPO 兩大配置節點

• 電腦設定：套用於電腦物件，啟動時處理，影響所有登入用戶 (如安全選項、防火牆規則、啟動腳本、服務設定)。
• 用戶設定：套用於用戶物件，登入時處理，隨用戶漫遊 (如桌面重導向、IE 設定、應用程式鎖定、登入腳本)。

GPO 儲存與複寫

• GPC (Group Policy Container)：儲存於 AD 資料庫 (CN=Policies,CN=System,DC=domain)，含 GPO 屬性、版本、連結資訊。
• GPT (Group Policy Template)：儲存於 Sysvol 共享 (\\domain\SYSVOL\domain\Policies\{GUID})，含登錄檔 (.pol)、腳本、MSI、ADMX/ADML 範本、資料夾重導向設定等實際資料。

域控制器間透過 FRS/DFS-R 複寫 Sysvol，透過 AD 複寫同步 GPC，版本號 (User/Computer Version) 決定客戶端是否重新下載應用。

連結層級與優先序 (LSDOU)

GPO 可連結至四個層級，處理順序由低到高 (後處理者勝出)：

1. Local (本地電腦) — 僅影響單機，優先序最低。
2. Site (站點) — 針對實體網路拓撲 (如分公司) 套用通用設定。
3. Domain (域) — 企業級基線安全策略 (密碼、稽核、鎖定等)。
4. OU (組織單位) — 部門/職能/角色專屬設定，優先序最高，最靈活。

例外：強制 可阻止子層級覆寫；封鎖繼承 可阻止父層級 GPO 向下傳遞 (但無法阻止強制 GPO)。

三大策略類型比較與衝突規則

策略類型	範圍	適用場景	衝突勝出規則
本地安全策略 (secpol.msc)	單一電腦	工作群組環境、未加域伺服器、本地覆寫測試	域環境中，域策略 > 本地策略
域控制器預設策略 (Default Domain Controllers Policy)	所有 DC (連結於 Domain Controllers OU)	DC 專屬安全基線 (審核、使用者權限指派、Kerberos 設定)	DC 專用設定衝突時，DC 策略 > 域策略
域預設策略 (Default Domain Policy)	全域所有電腦/用戶 (連結於 Domain 根節點)	企業級密碼策略、帳號鎖定、Kerberos 原則	被 OU 連結 GPO 覆寫 (除非強制)
自訂 GPO (連結於 OU/站點/域)	特定 OU/站點/域	部門專屬應用設定、資安基線分層、軟體部署	依 LSDOU 順序，OU 級最高；同級按連結順序 (Link Order 1 最高)

GPMC (Group Policy Management Console) 最佳實務

• 使用 GPMC (Win Server 2008+ 內建，2003 需另裝) 取代舊版 gpedit.msc/gpmc.msc，支援離線編輯、備份/還原、匯入/匯出、結果模擬 (RSOP)、報表產生。
• 建立「基線 GPO」 (唯讀、僅連結 Domain/OU，不直接編輯) + 「差異 GPO」 (各部門覆寫)，降低耦合與衝突風險。
• 啟用 Group Policy Preferences (GPP) 處理非強制性設定 (捷徑、映射磁碟、登錄檔、INI 檔、本地用戶/群組)，提供「套用一次」或「持續套用」彈性。
• 使用 WMI 篩選 精準鎖定目標 (如僅套用於 Win10 21H2+、筆電、特定軟體版本)。
• 定期執行 gpresult /h gpreport.html (客戶端) 或 GPMC「群組原則結果精靈」 (伺服器端) 驗證生效情況 (RSoP)。

關鍵安全設定區域清單 (Computer Configuration → Policies → Windows Settings → Security Settings)

區域	關鍵設定項目	建議值/說明
帳戶原則 → 密碼原則	強制密碼歷程記錄	24 次
	最大密碼使用期限	60-90 天 (配合複雜度可延長)
	最小密碼長度 / 複雜度	14 字元 / 啟用 (需含大小寫、數字、符號)
帳戶原則 → 帳戶鎖定原則	帳戶鎖定閾值	5-10 次失敗嘗試
	鎖定計數器重設時間	15-30 分鐘
	帳戶鎖定時間	15-30 分鐘 (或需管理員解鎖)
本地原則 → 安全性選項	網路存取：不允許 SAM 帳戶和共用的匿名列舉	已啟用
	網路存取：允許匿名 SID/名稱轉換	已停用
	互動式登入：不顯示最後的用戶名	已啟用
	使用者帳戶控制：所有管理員以 Admin Approval Mode 執行	已啟用 (UAC 不可關閉)
Windows 防火牆 → 進階安全性	輸入/輸出/連線安全性規則	預設阻擋輸入，僅允許業務必要埠；啟用連線安全性規則 (IPsec) 保護管理/資料流量
軟體限制原則 / AppLocker	執行規則 (路徑/雜湊/發行者/區域)	啟用 AppLocker (Enterprise/Edition) 僅允許簽名/受信路徑執行，阻擋勒索軟體/未授權程式

進階應用場景

• 軟體部署：指派 (電腦啟動安裝) / 發佈 (用戶自行安裝) MSI 套件，支援升級、修補、移除。
• 資料夾重導向：桌面、文件、收藏夾、AppData 重導向至檔案伺服器，配合離線檔案與備份，實現資料集中化與漫遊。
• BitLocker 磁碟加密：透過 GPO 強制啟用、備份復原金鑰至 AD、設定加密演算法 (XTS-AES 256)。
• USB/可移動裝置管控：裝置安裝限制 (GUID 白名單)、BitLocker To Go 強制加密。
• EFS 加密檔案系統 + 資料復原代理人 (DRA)：解決員工離職導致加密檔案無法存取，DRA 憑證由域管集中管理。

群組原則不是「設定後就不管」的靜態配置，而是需要持續的版本控制 (Git 管理 GPO 備份)、變更諮詢委員會 (CAB) 審核、分階段部署 (測試 OU → 試點 OU → 全域)、異常回滾預案與合規稽核 (SCAP/OVAL/SCCM 基線對比) 的動態治理體系。唯有將 GPO 納入 DevSecOps 流程，才能在保障安全與業務敏捷之間取得最佳平衡。