EP09. Active Directory 与 Group Policy 复习问答

这篇是 Section 8（Active Directory 与 Group Policy）的复习问答，涵盖这一整段学到的核心概念——面试被问到类似问题时，可以照着这几条思路简短回答，不用照抄整段背下来。

重点内容

Q1. 什么是 Active Directory，它是用来做什么的？

Active Directory 是微软的一套目录服务，用来集中存放和管理网络环境里的数据、用户账户和其他资源。企业环境里，AD 用来实现集中管理——统一管理账户和权限，让用户能够访问网络上的各种资源，而不用每台电脑各自维护一套独立的账户系统。

Q2. Active Directory 基础架构包含哪些组件，各自的作用是什么？

• 域控制器（Domain Controller）——存放和管理 AD 数据库的服务器，负责处理网络里设备/用户的身份验证与授权请求。
• Active Directory 数据库——存放整个网络环境数据的中心仓库，包含用户账户、计算机和其他资源的信息。
• DNS（Domain Name System）——把人类看得懂的域名对应到 IP 地址，帮助用户和设备在网络上找到对应资源，AD 高度依赖 DNS 才能正常运作。
• Group Policy（组策略）——AD 的一项功能，让管理员能对域内的用户和设备设定统一策略，控制资源访问权限。

Q3. Active Directory 如何实现域环境下资源和用户账户的集中管理？

所有关于网络的数据和信息都存放在一个中心数据库里，网络里的每台电脑都能访问到——管理员因此能在单一位置建立和管理用户账户、设定策略、控制资源访问，而不用在每台电脑上各自单独处理这些工作。

Q4. 解释一下 Group Policy 的概念，以及它在 Active Directory 里是怎么被使用的？

Group Policy 是 Active Directory 的一项功能，让管理员能为域内的用户和设备设置策略，控制他们能访问哪些资源。通常用来配置用户和设备的各种设置——比如安全设置、桌面背景、软件安装（呼应 EP08 实际操作过的几个场景）。这些策略透过 组策略对象（GPO，Group Policy Objects） 实现，GPO 里包含实际会套用到用户/设备上的具体策略内容。

Q5. Group Policy 怎么用来管理和保护域环境里的用户账户和资源？

管理员可以透过 Group Policy 设定策略，控制用户和设备如何访问、使用资源。举例：设置密码策略、控制对特定资源的访问权限，以及强制执行安全设置（比如防火墙规则、防毒软件配置）——这些呼应了 EP06 讲的密码/账户锁定策略，以及 EP08 实际操作过的控制面板/命令提示字元限制。

Q6. 举一个 Active Directory 和 Group Policy 在实际企业场景中的应用例子？

企业里，Active Directory 可能用来存放和管理用户账户及群组；Group Policy 则用来为用户和设备设定策略，比如密码策略、安全设置。Group Policy 也可能用来控制对特定资源（比如文件服务器、应用程式）的访问权限，以及管理用户设备上软件的安装与配置——这正是 EP05-EP08 这几篇实际动手做过的完整流程缩影。

Q7. 配置和管理 Active Directory 基础架构与 Group Policy 有哪些最佳实践？

• 确保 Active Directory 基础架构的设计和配置符合组织实际需求（不要照抄别家公司的架构，要贴合自己公司的部门/权限结构）。
• 定期检视并更新 Group Policy 设置，确认这些策略仍然是必要的、也仍然适合当前组织的情况——策略不是设完就一劳永逸，公司架构变了、策略也要跟着调整。
• 持续监控整体环境的运作状况，而不是设完策略就当作结束。

Sources

Udemy（课程 transcript）：

1. IT Support Technical Skills Bootcamp — Section 8, Lecture 80（Active Directory 与 Group Policy 复习问答）