Могу ли я разместить группу безопасности внутри подразделения?
Если я помещаю определенных пользователей в OU, GPO, применяемые к OU, работают нормально. Если я помещаю группу безопасности (содержащую пользователей) в подразделение, объекты групповой политики не работают.
Если я не могу (как я полагаю), как я могу добавить много пользователей в OU?
Ура!
Мне неясно, чего вы пытаетесь достичь, но вы не можете применить групповую политику к группам безопасности (несмотря на название). Групповую политику можно фильтровать на основе членства в группе безопасности, но сами GPO применяются к компьютерам и пользователям. При этом ваш GPO должен быть связан с OU, в котором существуют пользовательские объекты.
Вы можете поместить группу безопасности внутри OU, но это не приведет к применению связанных GPO к пользователям и компьютерам внутри этой группы безопасности. Объекты групповой политики применяются только к пользователям и компьютерам, находящимся непосредственно в иерархии OU-Domain-Site.
Одна из причин, по которой вы могли бы хотеть определить местонахождение группы безопасности под OU означало бы делегировать управление всем OU, включая содержащиеся в нем группы безопасности.
Вы можете применять GPO к группам безопасности. Часть GPO, относящаяся к конфигурации компьютера, будет применяться к объектам компьютеров непосредственно под OU. Конфигурация пользователя будет применяться к объектам пользователя непосредственно под связанным подразделением.
Если вам нужно применить GPO к группе пользователей, не основанной на структуре вашего подразделения, вы можете сделать это с помощью фильтрации безопасности, но это НЕ РЕКОМЕНДУЕТСЯ. Фильтрация безопасности снижает эффективность групповой политики.