我可以使用本地组策略作为本地管理员覆盖域组策略吗？

我正在尝试提供一些特殊情况的笔记本电脑。我想创建一个本地访客帐户。很好，但是当我尝试创建它时，我提示我的访客密码不符合复杂性要求。

我尝试编辑本地安全策略以更改复杂性，但这是灰色的。是否可以用本地替代域策略？

是的，我知道我可以选择更长的密码，但这不是重点。我想知道如何在以后需要的时候改写域策略。

如果您具有本地管理员访问权限，总有种方法可以破解中央策略-至少您可以在本地对注册表进行更改并破解安全设置，以便组策略代理无法对其进行更新-但这不是。最好的方法。我承认十年前会这样做。但是实际上。在许多情况下，都有无法预料的结果。

请参阅此technet文章。政策申请的顺序实际上是：

1. 本地
2. 现场
3. 域
4. OU

以后的策略将覆盖以前的策略。

最好的选择是建立一个计算机组，并使用该组将您的自定义计算机从密码复杂性策略中排除，或者组装一个新的策略以覆盖这些默认值，并对其进行过滤以仅适用于该组。

我通过创建一个脚本来覆盖注册表中不需要的策略来解决此问题（可以在批处理脚本中使用“ REG”命令）。可以通过使用“事件发生”作为触发器，在组策略客户端完成策略应用后立即将其设置为使用任务计划程序运行。

我发现的最佳事件触发器是“日志：Microsoft-Windows-GroupPolicy / Operational”，“源：GroupPolicy”和“事件ID：8004”，但是您可以检查事件查看器日志以了解其他可能性。

使用Windows 10企业版的潜在解决方案。我尚未在域环境中对其进行测试。我在本地对其进行了测试，但无法c:\gpupdate /force完全正常工作。如果我正确地理解了机制，我想这会打断基础组件，从而保证用户的100％成功率。我使用的工具可让我使用TrustedInstaller / System授权运行二进制文件。Sordum PowerRun就我而言。我使用这些提升的权限运行的二进制文件是“ services.msc”。然后，我停止了（如果已启动）并被禁用Group Policy Client（服务名称：）gpsvc。在这一点上c:\gpupdate /force不再起作用。我没有加入域，但是禁用的启动类型在重新启动后仍然存在。因此，想法是，您还原/更改/覆盖/从域控制器继承的任何组策略，gpsvc在另一台自动gpupdate点火器启动之前进行服务。这大部分是我的理论，但我喜欢这种解决方案（如果可行），因为我主观上认为它具有很高的可信度。“嗯..一定是公羊变坏了，flippin位之类的东西”

编辑：gpsvc确实找到了一个怪癖，如果禁用了防火墙，防火墙会自行关闭：|

将其从域中删除...对计算机执行任何操作，然后重新添加。在大多数情况下，这取决于您的GPO的设置方式。无论哪种方式，我都会由IA黑手党管理它，并获得书面形式的说明，说明您所做的一切都得到了授权。特别是在大多数情况下，考虑到系统管理员的安全隐患可能会导致立即终止。