策略大體上分為4類，即本地策略，域策略，站點策略，ou策略，他們的作用順序：local policy——〉site policy——〉domain policy——〉ou policy
本地安全策略是本地策略的一部分，在開機的時后就會被執(zhí)行，無論你是否處于工作組模式還是域模式.
域安全策略是domain policy的一部分，domain policy的作用范圍是整個域，因此一臺計算機只要處于域模式，就會采用域策略
site的策略一般只在site之間有慢速連接的時候才會使用它，所以微軟沒有內(nèi)置站點策略，需要管理員手工設(shè)置.
DC安全策略是OU策略的一種，ou策略僅作用在ou下,因為dc安全策略是作用在domain controller這個ou上，所以把他們稱作dc安全策略，而domain controller這個ou下默認(rèn)存儲的就是域內(nèi)的所有dc，因此dc安全策略僅作用在dc之上，當(dāng)然，如果你手工將一個計算機賬號移入dc ou，則那臺計算機也會執(zhí)行dc安全策略。
也就是說，一臺處于工作組模式的計算機只會執(zhí)行本地安全策略，而dc則至少要執(zhí)行本地安全策略，域安全策略，域控制器安全策略三個策略，換言之，處于域模式的計算機要執(zhí)行多條策略，那么就要有相應(yīng)的措施保證策略不沖突。默認(rèn)情況下，當(dāng)多條策略之間不產(chǎn)生沖突的時候，多條策略之間是merge的關(guān)系，即和并執(zhí)行；但當(dāng)產(chǎn)生沖突的時候，后執(zhí)行的策略會替代先執(zhí)行的策略。也就是說無論在何種情況下，ou設(shè)置的策略都會生效
一條策略又可以分為計算機策略和用戶策略，計算機策略作用在計算機上，用戶策略作用在用戶對象上，當(dāng)同一條策略的計算機策略和用戶策略產(chǎn)生沖突的時候，以計算機策略為準(zhǔn),那么接下來又會有問題，一個用戶a屬于sales ou，而一個計算機賬號b屬于marketing ou，并且在這兩個ou上分別設(shè)定有ou的策略，那么這個時候，如果用戶a到b上進行登陸會出現(xiàn)什么樣的情況呢。默認(rèn)情況下，用戶a身上作用的是sales ou user policy而計算機b上作用的則是marketing ou computer policy，這顯然是管理員不希望看到的情況，因為這樣存在安全的隱患，在這種情況下用戶策略有可能蓋過計算機策略。所以此時又提出了另外一個概念，loopback模式，loopback模式又劃分為兩類，第一重視replace，即強制用戶a采用marketing ou users policy，忽略a所在ou的sales ou users policy，另一種是采用merge模式，即將marketing ou users policy 和 sales ou users policy和并執(zhí)行，當(dāng)產(chǎn)生沖突的時候以marketing ou policy 為準(zhǔn)，通過這種方式，保證了用戶策略不會蓋過計算機策略，從而避免了安全隱患
此外，策略還有繼承和阻擋等設(shè)置~~~~~~~~~~
一個Windows Server 2003的域網(wǎng)絡(luò):
域策略上設(shè)定了密碼復(fù)雜性要求，而本地為了方便，不希望設(shè)定復(fù)雜密碼。
有一臺成員服務(wù)器加入域中，這時注銷域賬號，改用本機管理員帳戶號登錄，卻發(fā)現(xiàn)本機管理員竟然也受域策略的限制（不能設(shè)置如“111111”這樣的簡單密碼，本地的組策略中的所有更改密碼策略的選項打開都是灰色的），請問，這是為什么？
立即給分！
這個問題第1個回答：
據(jù)我所知， 域策略可以覆蓋本地策略組的安全設(shè)置，所以即使你在加入域之前做好了本地的安全策略了，一旦你加入域，則表示你接受了域本身的策略，其實就是一個包含的關(guān)系， 域策略包含本地策略。
