По умолчанию политики пользователя применяются после политик компьютера. Но может возникнуть ситуация, когда встречаются политики, воздействующие на один и тот же параметр. В случае такого конфликта, политики пользователя берут верх. Однако такое поведение не всегда приемлемо. Включение Loopback Processing (режим обратной обработки) позволяет выйти из этой ситуации:

n  при установленной опции Merge (слияние) происходит объединение двух одинаковых для конфигурации компьютера и пользователя политик: в случае, если политика для компьютера не определена, а для пользователя задана, выигрывает пользовательская политика; в случае же, если политики конфликтуют – выигрывает политика компьютера;

n  при установленной опции Replace (замена) пользовательские политики не обрабатываются.

Наследование и порядок применения групповых политик в иерархии службы каталогов

Главная формула применения объектов GPO в доменах Active Directory такова – LSDOU, что означает следующий порядок применения (последние имеют наивысший приоритет):

n  локальные политики компьютера (Local Policies);

n  групповые политики уровня сайта (Site);

n  групповые политики уровня домена (Domain);

n  групповые политики уровня организационного подразделения (Organizational Unit).

Однако, зная о том, что иерархия службы каталогов может иметь приличную вложенность OU друг в друга, можно продолжить это правило: групповые политики OU уровня 2, уровня 3 и т. д.

Существует несколько способов, чтобы переопределить такой порядок применения ГП (все параметры можно задать в свойствах целевого контейнера на вкладке Group Policy либо в системном реестре):

n  включить блокирование наследования групповой политики с более высокого уровня (опция «Block Inheritance»);

n  запретить перекрытие политик более высоких уровней политиками нижестоящих уровней (опция «No Override»);

n  отключение применения групповой политики на заданном уровне иерархии (опция «Disabled»);

n  использование списков контроля доступа (ACL) и инструментария WMI.

Напомню, что при включенном перекрытии групповых политик блокирование наследования не обрабатывается.