为什么 Windows Server 2012 R2 组策略安全筛选器需要计算机？答案

【问题标题】：Why does Windows Server 2012 R2 group policy security filter require a computer?为什么 Windows Server 2012 R2 组策略安全筛选器需要计算机？
【发布时间】：2016-06-25 16:14:32
【问题描述】：

我有以下活动目录：

我的域名
--- 电脑
------ 服务器
------ 工作站
--------- 我的工作站
--- 安全组
------ MySecurityGroup（成员：MyUser，...）
--- 用户
------ 标准
--------- 我的用户
------ 管理员

我创建了一个 GPO 并将其链接到用户 OU。 GPO 仅包含用户设置。

然后，我从 GPO 安全过滤器中删除了经过身份验证的用户并添加了 MySecurityGroup。

很遗憾，Windows 7 Pro 在 MyUser 登录 MyWorkstation 时不会应用组策略。

如果我将 MyWorkstation 添加到 GPO 安全过滤器，Windows 7 会应用组策略。

为什么需要将 MyWorkstation 添加到安全过滤器？组策略未链接到包含 MyWorkstation 的 OU，因此通过 MyWorkstation 过滤应该没有意义。

【问题讨论】：

这是新的行为，在KB3163622 中描述。您的计算机无法将组策略应用于用户，因为它无法读取 GPO 中的信息。推荐的解决方案是授予域计算机组读取权限（通过委派选项卡）。
谢谢！我相信微软已经改变了一些东西，但无法找到信息。 KB3163622 的链接提供了信息！

标签： windows-7 windows-server-2012-r2 group-policy

【解决方案1】：

Harry Johnston 在对原始问题的评论中提供的答案是，Microsoft 通过 2016 年 6 月 14 日发布的组策略安全更新 (MS16-072) 更改了组策略功能。

详情请见KB3163622。

接下来，您需要在组策略安全过滤器中包含域计算机以及您的过滤器项目。

【讨论】：