Precedencia forzada de GPO

¿Cuál es la precedencia para los GPO Enforeced? Realmente no puedo encontrar ningún artículo de MS que dé una respuesta refinada.

Mi comprensión actual es la siguiente:

Digamos que tenemos 5 GPO's - GPO1 hasta GP05. Usaré una pregunta de examen para poner en contexto.

GPO    Linked to   Enforced
GP01 - contoso.com - No
GP02 - contoso.com - Yes
GP03 -    Site 1   - Yes
GP04 -     OU1     - No
GP05 -     OU1     - Yes

Ahora, según tengo entendido, se aplicarían en este orden, desde el primero en aplicar hasta el último en aplicar (por lo tanto, el que tiene más prioridad).

GP01 -> GP04 -> GP05 -> GP02 -> GP03 (meaning 3 has the final say on any duplicates)

¿Estoy correcto en mi entendimiento? ¡Muchas gracias!

Escribí sobre esto aquí: http://myotherpcisacloud.com/post/2012/08/14/GPO-Application-Precedence-Just-Because-You-Can-Edition.aspx

TL; DR: el GPO superior o principal que también se aplica, ganará.

De Microsoft:

Puede especificar que la configuración en un enlace de GPO debe tener prioridad sobre la configuración de cualquier objeto secundario configurando ese enlace en Forzado. Los enlaces GPO que se aplican no se pueden bloquear desde el contenedor principal. Sin la aplicación anterior, la configuración de los enlaces de GPO en el nivel superior (principal) se sobrescribe por la configuración de los GPO vinculados a las unidades organizativas secundarias, si los GPO contienen configuraciones en conflicto. Con la aplicación, el enlace GPO primario siempre tiene prioridad. De forma predeterminada, los enlaces de GPO no se aplican.

EDITAR:

Vea aquí también: GPO proporciona un valor inesperado

Allí establece específicamente:

La configuración Enforce es una propiedad del enlace entre un contenedor de Active Directory y un GPO. Se utiliza para forzar ese GPO a todos los objetos de Active Directory dentro de un contenedor, sin importar cuán profundamente estén anidados. La configuración dentro de un GPO que se aplica anula otras configuraciones que prevalecerían porque se aplican más adelante. Si hay configuraciones conflictivas en los GPO que se aplican en dos niveles de la jerarquía, prevalece la configuración que se aplica más lejos del cliente. Esta es una inversión de la regla habitual , en la que prevalecería la configuración del GPO vinculado más cercano.

Ryan (y yo: P) respondimos la pregunta sobre cómo se manejan 2 o más GPO forzados, pero quería aclarar que si bien los GPO3 vinculados al sitio "ganarán", la secuencia de OP de cómo se aplican no es correcta.

El OP dice:

Ahora, según tengo entendido, se aplicarían en este orden, desde el primero en aplicar hasta el último en aplicar (por lo tanto, el que tiene más prioridad).

GP01 -> GP04 -> GP05 -> GP02 -> GP03 (meaning 3 has the final say on any duplicates)

Recordando eso:

En lo que respecta a la secuencia en sí misma (incluida la aplicación, pero específicamente el orden de secuencia que se observan los GPO al procesar):

GPO3 (con cualquiera de sus configuraciones impuestas y teniendo prioridad de aquí en adelante)

->

GPO1 o GPO2 (según el orden de enlace en el nivel de dominio de estos 2, con GPO2 que se aplica excepto cuando la configuración de GPO3 se anula porque GPO3 se aplica a nivel de sitio)

->

GPO4 o GPO5 (según el orden de enlace en el nivel de unidad organizativa de estos 2, con GPO5 que se aplica excepto si la configuración de GPO2 o GPO3 prevalece)