在 Active Directory 中，组织单位（OU）是管理用户、计算机等对象的核心逻辑容器；通过启用 ADUC 高级功能后，在父容器（如域名）右键新建 OU，可设置名称、防误删保护，并推荐配置描述与安全委派，完成后支持 GPO 链接和对象移动。在 Active Directory 中，组织单位（OU）是管理用户、计算机、组等对象的核心逻辑容器。使用“Active Directory 用户和计算机”（ADUC）创建 OU 是最常用、最直观的方式，适合日常管理场景。
确认已启用高级功能
默认情况下，ADUC 的某些操作（如查看安全选项、编辑高级属性）被隐藏。要确保完整功能可用：
– 打开 ADUC（可通过 dsa.msc 运行命令启动）；
– 点击顶部菜单栏的 查看 → 高级功能，勾选启用。
选择父容器并新建 OU
OU 必须建在某个父容器下（如域名、已有 OU 或内置容器）。注意：不能直接建在“用户”“计算机”等泛型容器内（它们不支持 GPO 链接或委派）：
– 在左侧域树中，右键点击目标父位置（例如你的域名 bread-makers.nz 或某个已有 OU）；
– 选择 新建 → 组织单位；
– 在弹出窗口中输入名称，如 Bake Department；
– 可选：勾选“保护对象免受意外删除”，防止误删；
– 点击 确定 完成创建。
为 OU 添加描述与安全委派（可选但推荐）
创建后建议立即配置基础信息和权限，便于后续维护：
– 右键新 OU → 属性；
– 在 常规 选项卡中填写描述（例如：“烘焙部门员工及设备账户”），有助于识别用途；
– 切换到 安全 选项卡，点击 高级 → 添加，可将特定管理员或组（如 Bake-Admins）赋予该 OU 的完全控制或自定义权限；
– 注意：若未启用“高级功能”，安全选项卡不会显示“高级”按钮。
验证与后续操作
创建完成后，OU 会出现在左侧树形结构中，图标为文件夹样式（区别于泛型容器的圆柱图标）：
– 可在其下继续新建子 OU（如 Oven Operators）、用户、组或计算机；
– 可右键该 OU → 属性 → 组策略 选项卡，链接 GPO 实现批量策略应用；
– 若需移动已有对象（如用户）到该 OU，直接拖放或右键对象 → 移动 即可。
