Есть вопрос (АК 8).
Группы у меня вложенные, и обычно у ниже стоящих есть не большие изменения по сравнению с исходной идеей, либо на верху надо небольшой кусок настроек сделать одинаковый для всех.
1. Вообщем где (на верхнем уровне или на нижнем) и как настраивается что наследовать, а что использовать свое?
2. Наследование идет динамическое или статическое? (т.е. на верху поменял и на нижних уровнях на ПК все как надо изменилось, или политики наследуют от вышестоящих в момент создания политики)
Простой пример: всем запретить флешки, но сделать подгруппу ниже, где их и разрешить. И надо время от времени менять доверенное ПО (политика для которого должна быть на самом верхнем уровне).

В каких случаях ниже стоящая задача "отменяет" вышестоящую. Например, для ниже стоящей группы изменить только задачу обновления или проверки при запуске.

В настройке политики пункт дополнительно

Нашел, НО
Наследованием политики управляют замочки, находящиеся в родительской политике.
Что не позволяет делать следующие:
1. В дочерней политике нельзя менять параметры на свое усмотрение, например: есть две дочернии, в первой надо настроить файловый, во второй вэб, следовательно в родительской надо снять замочки с обеих задач, и соответствено, в первой не будет наследования для вэб, а во второй для файлового.
2. В родительской группе (и в промежуточных) нельзя держать ПК, так как в политике для разрешения изменения в ниже стоящих надо снять замочки, а на применения политик на ПК управляют закрытые замочки.

Я правильно понял?

Иерархия и наследование плохо реализуемое, так как один элемент (замочки) управляют совершено разными вещами (ПК и политиками) и одновременно.

Можно свое видение?
Политика должна быть контейнером (как группа), а в нее добавляются как объекты отдельные элементы настройки.
либо комбинация традиционной политики и "блочной", т.е. в ниже стоящую группу добавляешь тот элемент политики, который тебе надо изменить.
например, просто добавить модуль настройки "контроля доступа"