Как чему правильнее применять групповые политики?

Question

[Zanuda28]

У меня организация разбита на подразделения в которых пользователи и компьютеры. Я применяю групповые политики к подразделениям. Во многих мануалах групповые политики применяют к группам безопасности, а в них уже добавляют пользователей и компьютеры. Вопрос, к чему правильнее применять или нет разницы?

Answer 1

[Роман Безруков]

Групповые политики применяются на сайт Active Directory, домен или подразделение (Organizational Unit) в структуре AD.
Дальше, при необходимости, с помощью Security Filtering и WMI-фильтров область применения групповой политики ограничивается группами безопасности, компьютерами, пользователями и т.д.

Answer 2

[Alexey Dmitriev]

Компьютерные политики правильнее применять к компьютерам, пользовательские - к пользователям. Только так они работают (исключая включение loopback - но loopback - это очень плохо).
Не важно, если у вас подразделения содержат и тех и других.
Любая фильтрация в GPO, кроме Item-level Targeting - это плохо, использование групп безопасности в качестве фильтров GPO - очень плохо.