GPO - Ordem de Aplicação

 Neste artigo conheceremos a ordem de aplicação das GPOs no Windows Server 2003.

 Existe uma ordem na qual as GPOs são aplicadas, caso mais de uma GPO seja aplicada em um mesmo objeto (computador ou usuário). Por exemplo, quando o usuário fizer o logon no domínio, será aplicada a GPO padrão do domínio, e todas as outras GPOs que estiverem configuradas para aquele usuário.

A ordem de aplicação das GPOs é a seguinte:

•      GPO Local. Conforme dissemos anteriormente, no Windows 2000, XP, Vista, 2003 e 2008 existem a diretivas locais, a qual é aplicada somente no computador onde ela foi configurada. Essa diretiva é a primeira a ser aplicada no computador.

•     GPO associada com o Site no qual o computador está localizado. Apenas para lembrar, os sites são utilizados para identificar instalações físicas da empresa, como por exemplo, uma filial. O Windows Server 2003 identifica a qual site pertence um computador através da identificação de rede do computador. Essa é a segunda GPO a ser aplicada.

• GPO do domínio. após serem aplicadas as GPOs locais e as GPOs associadas ao site, serão aplicadas as GPOs associadas com o domínio.

• GPO definida nas unidades organizacionais. E por último são aplicadas as GPOs associadas com as unidades organizacionais. Imagine a seguinte estrutura de OU: SP -> Contabilidade. Nesse caso, temos a OU Contabilidade dentro da OU SP. Primeiro será aplicada a GPO associada com a OU SP e depois será aplicada a GPO associada com a OU Contabilidade.

Por padrão, as diretivas que são aplicadas por último possuem precedência sobre as políticas que já foram aplicadas. Por exemplo, o usuário está fazendo o logon no domínio. É então aplicada a GPO padrão do domínio. Logo após, será aplicada a GPO que está associada com a unidade organizacional onde está a conta do usuário. Caso haja algum conflito de configurações, prevalecerá a configuração da GPO associada com a unidade organizacional, pois foi aplicada por último. Conforme veremos mais adiante, você poderá alterar esse comportamento, definindo que uma GPO específica na pode ser sobrescrita por nenhuma outra GPO.

Imagine o seguinte cenário: na GPO do domínio foi definido que o usuário não pode ter acesso ao Painel de Controle. Porém, na GPO associada com a unidade organizacional foi definido que o usuário poderá ter acesso ao Painel de Controle. Qual será a configuração efetiva para o usuário?

O usuário poderá acessar o Painel de Controle normalmente, uma vez que a última GPO que foi aplicada libera esse acesso, no caso, a GPO associada com a unidade organizacional.

Fonte: http://www.fabianosantana.com.br/windows-server-2003/450-aplicacao