本文介绍 Dcgpofix.exe 工具为域重新创建默认组策略对象（GPO），最好仅在灾难恢复方案中使用此工具。
适用于： 所有受支持的 Windows Server 版本原始 KB 数： 833783
Dcpromo 操作根据该服务器上的现有安全设置以增量方式修改域的安全性。 因此，运行 Dcpromo 后，默认域控制器策略中的最后一组安全设置取决于 Dcpromo 操作和运行 Dcpromo 之前存在的系统的安全状态。 在运行 Dcpromo 之前，系统的安全状态可以通过多种机制进行修改。 例如，安装某些服务器应用程序时，可能会对授予本地用户帐户（例如SUPPORT_388945a0帐户）的用户权限进行更改。
原因
在运行 Dcpromo 之前，Dcgpofix 工具不知道安全设置的状态。 因此，Dcgpofix 工具无法将安全设置准确返回原始状态。 相反，Dcgpofix 工具会重新创建两个默认 GPO，并根据仅在 Dcpromo 期间执行的操作创建设置。
如果你安装了 Windows Server，并且运行 Dcpromo 之前不会对操作系统进行任何安全更改，则由 Dcgpofix 创建的重新创建的默认域控制器策略与运行 Dcpromo 后的默认域控制器策略几乎相同。 但是，在这种情况下，默认域控制器策略中的设置将存在一些差异。
解决方法
对于默认域策略和默认域控制器策略以及其他 GPO 的常规备份和还原，建议使用组策略管理控制台（GPMC）创建这些 GPO 的常规备份。 然后，可以将 GPMC 与这些备份结合使用，以还原这些 GPO 中包含的确切安全设置。
如果处于灾难恢复方案中，并且没有默认域策略或默认域控制器策略的任何备份版本，则可以考虑使用 Dcgpofix 工具。 如果使用 Dcgpofix 工具，建议在运行它后立即查看这些 GPO 中的安全设置，并手动调整安全设置以满足你的要求。 不会计划发布修补程序，因为我们建议使用 GPMC 来备份和还原环境中的所有 GPO。 Dcgpofix 工具是一种灾难恢复工具，它将仅将环境还原到功能状态。 最好不要将其用作使用 GPMC 的备份策略的替代方法。 最好仅在默认域策略和默认域控制器策略的 GPO 备份不存在时使用 Dcgpofix 工具。
详细信息
下表列出了运行 Dcgpofix 工具后默认域控制器策略中安全设置的差异，以及运行 Dcpromo 后新安装的 Windows Server 上的设置。 建议在运行 Dcgpofix 工具后调整这些安全设置，使其符合环境中的要求。
| 在默认域控制器策略中设置 | 在全新安装的 Windows Server 上运行 DCPromo 后的值 | 运行 DCGPOFIX 后的值 |
|---|---|---|
| 审核设置 | ||
| 审核帐户管理 | 成功 | 无审核 |
| 审核目录服务访问 | 成功 | 无审核 |
| 审核策略更改 | 成功 | 无审核 |
| 审核系统事件 | 成功 | 无审核 |
| 用户权限 | ||
| 创建全局对象 | 未定义 | 服务、管理员 |
| 拒绝从网络访问计算机 | SUPPORT_388945a0 | （空） |
| 拒绝本地登录 | SUPPORT_388945a0 | （空） |
| 在身份验证后模拟客户端 | 未定义 | 服务、管理员 |
| 加载和卸载设备驱动程序 | Administrators、Print Operators | 管理员 |
| 作为批处理作业登录 | 本地服务，SUPPORT_388945a0 | （空） |
| 作为服务登录 | 网络服务 | （空） |
| 关闭系统 | 管理员、备份操作员、服务器操作员、打印操作员 | 帐户操作员、管理员、备份操作员、服务器操作员、打印操作员 |
运行 Dcgpofix 工具后，以下设置将更改：
- AuditAccountManage
- AuditDSAccess
- AuditPolicyChange
- AuditSystemEvents
- SeCreateGlobalPrivilege
- SeImpersonatePrivilege
- SeLoadDriverPrivilege
- SeShutdownPrivilege
根据配置选项，以下设置也可能更改以下内容：
- SeBatchLogonRight（仅本地服务，而不是SUPPORT_388945a0帐户）
- SeServiceLogonRight