主页 / server / 问题 / 773568
Accepted
BlueCompute
Asked: 2016-04-29 04:29:08 +0800 CST

将 GPO 脚本存储在 Netlogon 或策略文件夹中？

  • 772

\\DOMAIN\Netlogon将登录脚本集中存储在默认情况下放置的策略文件夹中或策略文件夹中是最佳做法吗？\\DOMAIN\SysVol\DOMAIN\Policies\{DE22B6FB-315E-4C55-BF06-A7709913CD9E}\User\Scripts\Logon?

选择一个位置而不是另一个位置有什么影响（如果有的话）？

我倾向于将它们全部保存在 Netlogon 中，以便于访问/查看...

windows group-policy active-directory netlogon

3 个回答

  1. Best Answer

    用户登录脚本的默认位置是 NETLOGON 共享，默认情况下，该共享在您的林中的所有 DC 上复制，并且物理上位于：

    %SystemRoot%\SYSVOL\sysvol\<domain DNS name>\scripts.

    或者

    %SystemRoot%\SYSVOL_DFSR\sysvol\<domain DNS name>\scripts（对于基于 DFS 的 FRS，因为这是从 Server 2012R2+ 推荐的）

    如果您设置用户登录脚本（ADUC > 用户 > 属性 > 登录 > 登录脚本 > hello.cmd），它会从 NETLOGON 执行。

    “官方”最佳做法是：

    • 如果您通过 GPO 设置它们，请将它们与 GPO 一起存储。
    • 如果您将其设置为 AD 中的用户属性，请将它们存储在 NETLOGON 中。
    • 8

  2. 这两个位置都在域控制器之间同步，因此对我来说这只是个人的选择。

    我个人的看法是，在超过一定数量的 GPO 之后，将所有内容都放在 netlogon 中可能很难管理。（例如，当您删除 GPO 时，脚本不会被删除）

    • 3

  3. 不确定这是“最佳实践”，但我看过一些博客文章推荐这个，我更喜欢它：

    我们有一个文件共享，其中包含 GPO 的所有支持文件，包括脚本。这些脚本都被检查到版本控制中。

    文件共享是用 DFS 设置的，所以它是 \domain.com\DFS\GPO-Files

    脚本位于子目录 \domain.com\DFS\GPO-Files\Scripts

    在 GPO 中，您调用脚本“powershell.exe”并为您执行的参数 -File PathToScript。

    我喜欢这种方法，因为 GPO 文件和脚本位于众所周知的位置，而不是隐藏在具有 GUID 名称的文件夹中。

    它还允许对 powershell.exe 的调用方式进行更多控制，例如 ExecutionPolicy。

    • 1

相关问题