Active Directory中不存在“全局策略”和“局部策略”的官方概念，实际生效取决于GPO链接位置（林、域、OU、站点）、处理顺序（站点→域→OU）、继承控制、Enforced设置、安全筛选等机制共同作用。

active directory 中没有“全局策略”和“局部策略”的官方术语，真正起作用的是组策略对象（gpo）的链接位置、作用域和处理顺序，以及继承、阻止继承、强制（enforced）和筛选等机制共同决定最终生效的设置。

组策略的作用范围由链接位置决定

GPO本身不自带“全局”或“局部”属性，它的影响范围完全取决于它被链接到哪里：

• 链接到林根域：影响整个林中所有域（需配合适当权限和筛选）
• 链接到某个域：默认影响该域下所有用户和计算机（除非被OU策略覆盖）
• 链接到特定OU：只影响该OU及其子OU中的对象（受继承控制）
• 链接到站点：影响该物理站点内所有已加入域的计算机（常用于网络相关策略，如软件更新位置）

策略实际生效靠“处理顺序 + 冲突解决规则”

当多个GPO同时适用于一个用户或计算机时，系统按固定顺序处理，并用明确规则解决冲突：

• 处理顺序为：站点 → 域 → OU（从上到下，逐级深入）
• 同一层级多个GPO按链接顺序（GPMC中拖拽排序）依次应用，后链接的优先级更高
• 若某GPO设为Enforced（已启用强制），它会覆盖同级或下级非强制GPO的相同设置
• Block Inheritance（阻止继承）可切断上级GPO向下传递，但无法阻止Enforced策略
• 安全筛选或WMI筛选可让GPO只对符合条件的对象生效，实现逻辑上的“局部化”

计算机配置与用户配置的优先级关系

这不是“覆盖”，而是作用对象不同 + 执行时机不同：

• 计算机配置在系统启动时应用，影响整台机器（如防火墙规则、驱动安装）
• 用户配置在用户登录时应用，影响当前会话（如桌面背景、映射驱动器）
• 当两者设置同一项（如禁用CMD），计算机配置设置会覆盖用户配置——这是设计行为，不是bug

常见误用与建议

很多管理员把“链接到域”的GPO当作“全局策略”，把“链接到OU”的当作“局部策略”，这种理解容易导致管理混乱：

• 避免在域级别直接配置大量用户策略，应通过OU分层管理（如按部门、角色、地理位置建OU）
• 慎用Block Inheritance，优先用安全筛选+恰当的OU结构替代
• Enforced要少用，仅在必须确保某策略不可绕过时启用（如合规性密码策略）
• 使用GPMC中的“组策略建模”和“组策略结果”工具验证实际生效效果，不要凭经验猜测