群晖当域控怎么配组策略？装个RSAT就搞定
场景
几十台Windows电脑的企业，用群晖Directory Server把NAS架成域控制器，账号密码统一管起来了。接下来老板要求：密码必须复杂、输错锁定、办公电脑统一映射网盘、桌面壁纸锁死。前两条在DSM里点几下就行，后两条在NAS界面上找不到——因为完整组策略得用Windows自家的管理工具RSAT来配。
先分清两类策略
Directory Server自带的「域策略」页面（套件主界面左侧）管两类默认策略：密码策略和账户锁定策略，域级别的账号安全靠它俩兜底。
其余的组策略——文件夹重定向、网络驱动器映射、桌面与安全管控等——要在加入域的Windows电脑上，通过远程服务器管理工具（RSAT）里的组策略管理器来配置。
顺带澄清一个易混点：Synology Directory Server是Active Directory Server套件的升级版，和早年那款改名的LDAP Server不是同一个东西，别装错了。
安装RSAT
Windows 10（1809及以上）和Windows 11：
- 打开 开始 > 设置 > 应用 > 可选功能；
- 点「查看功能」（Win10显示为「添加功能」）；
- 搜索RSAT，勾选需要的工具，比如「RSAT:组策略管理工具」「RSAT:DNS服务器工具」，安装即可。
更早的Windows版本：
- 到微软下载中心下载对应系统版本的RSAT安装包，各版本安装文件是分开的；
- 运行安装向导，完成后到 控制面板 > 程序 > 打开或关闭Windows功能，勾选「远程服务器管理工具」。
使用前提与注意点
- 执行配置的电脑必须已加入域，并且用域管理员身份登录；
- 装好后在 控制面板 > 管理工具（或开始菜单搜索）里打开「组策略管理」，编辑默认域策略即可下发设置；
- 群晖域策略页面依赖RSAT里的Default Domain Policy这条策略，编辑时别删除它，删了那个页面就失效了；
- RSAT里能配哪些选项取决于装它的那台Windows版本，旧系统上的RSAT选项未必齐全，建议用Win10以上的机器做管理机。
中小企业常用的几类下发项，供参考：统一配置文件与文档夹重定向（配合漫游配置文件，见我们上一篇教程）；登录脚本或驱动器映射，让各部门开机自动挂自己的网盘；安全基线如屏保锁定、密码屏保恢复、禁用可移动存储；软件限制策略，挡住来历不明的安装包。这些都在组策略管理器里逐条配置，改完后在客户端执行gpupdate /force即可立即生效，不用等下次开机。
写在最后
NAS当域控，硬件成本和管理门槛都友好，很适合几十台规模的中小企业。群晖Directory Server组网与组策略下发，贵州诚鑫致达科技有现成的实施方案，需要陪跑可以搜「诚鑫致达」。