1、避免修改默认的组策略：
（1）Default Domain Policy
（2）Default Domain Controllers policy
例外：
（1）帐号策略应该只在Default Domain policy上设置，不要在域级别上的任何其他组策略上使用。
（2）域控制器的用户权利应该只在Default Domain controllers policy上设置。
2、避免在域控制器上安装自动修改安全策略的应用程序
3、确保所有域控制器接受一致的组策略
（1）不要针对具体的域控制器过滤组策略
（2）所有域控制器应该保留在Domain controllers OU内
OU设计考虑要素
1、先考虑组策略可能带来的问题再规划OU的设计
2、用户和计算机对象
（1） 不要将用户和计算机对象放在同一OU内
（2） 定义用户和计算机的角色再创建和角色对应的OU
3、用户帐号必须在父OU上有读权限才能在子OU上获取组策略
文件夹重定向：
1、让系统为每个用户自动创建文件夹以避免设置错误的ACL；
2、如要删除重定向，使用“重定向到本地用户配置文件”选项；
3、使用EFS，加密本地缓存，而不是服务器上的文件夹。
确保计算机帐号能访问：
1、软件分发点（针对计算机帐号设置的应用程序）
2、启动/关机脚本
SYSVOL
1、不要对SYSVOL中的策略文件夹更改；
2、不要调整SYSVOL文件夹上的ACLs
3、只能通过管理工具管理SYSVOL和活动目录（如：GPEdit,GPMC,AD Users and Computers）
备份
1、规律地备份GPO（GPMC包含样本脚本）
2、确保GPO备份文件夹是安全的
性能
1、每个 用户/计算机 对象应用的组策略越少越好
2、禁用GPO中未使用的用户或计算机部分（例GPO是针对用户设置的，那就就应该禁用计算机设置）
3、保守使用WMI过滤器
4、尽量避免跨域GPO链接