某地區(qū)活動(dòng)擴(kuò)展及戰(zhàn)略管理知識(shí)

第四章組策略Windows2003AD管理學(xué)習(xí)目標(biāo)在完成本章的學(xué)習(xí)后，您將能夠：共同組策略集中管理網(wǎng)絡(luò)

課程安排組策略結(jié)構(gòu)組策略創(chuàng)建管理利用組策略管理用戶桌面利用組策略發(fā)布軟件介紹組策略

通過(guò)使用組策略，可以:可以進(jìn)行集中化或分散式策略確保用戶有適合完成他們工作的環(huán)境降低控制用戶和計(jì)算機(jī)環(huán)境的總費(fèi)用推行公司策略組策略結(jié)構(gòu)組策略設(shè)置的類型組策略的目標(biāo)針對(duì)計(jì)算機(jī)和用戶的組策略設(shè)置組策略目標(biāo)和活動(dòng)目錄容器組策略設(shè)置的類型組策略對(duì)象組策略對(duì)象包含組策略的設(shè)置組件被存儲(chǔ)在兩個(gè)不同的場(chǎng)所組策略容器被定位在活動(dòng)目錄中提供域控制器所需的版本信息組策略模版域控制器上到GPT的的路徑是：systemroot\SYSVOL\sysvol運(yùn)行Windows2000的客戶機(jī)獲得或應(yīng)用的組策略設(shè)置計(jì)算機(jī)和用戶的組策略設(shè)置計(jì)算機(jī)的組策略設(shè)置:計(jì)算機(jī)的組策略設(shè)置指定操作系統(tǒng)行為，桌面行為，安全性設(shè)置，計(jì)算機(jī)的啟動(dòng)和關(guān)機(jī)命令，計(jì)算機(jī)賦予的應(yīng)用程序選項(xiàng)以及應(yīng)用程序設(shè)置計(jì)算機(jī)相關(guān)的組策略應(yīng)用在操作系統(tǒng)初始化和周期性更新循環(huán)過(guò)程中用戶的組策略設(shè)置:用戶的組策略設(shè)置指定特定的操作系統(tǒng)行為，桌面行為，安全性設(shè)置，賦予的和公布的應(yīng)用程序選項(xiàng)，應(yīng)用程序設(shè)置，文件夾得重定向選項(xiàng)以及用戶登錄和退出登錄命令用戶相關(guān)的組策略應(yīng)用在用戶登錄計(jì)算機(jī)和周期性更新循環(huán)的過(guò)程中組策略對(duì)象和活動(dòng)目錄容器在將GPO和站點(diǎn)，域或組織單元鏈接后。GPO的設(shè)置將應(yīng)用在站點(diǎn)，域或組織單元的用戶和計(jì)算機(jī)上可以將GPO和多個(gè)站點(diǎn)，域以及組織單元鏈接也可以將多個(gè)GPOs和單個(gè)站點(diǎn)，域以及組織單元鏈接管理員不能將GPOs和默認(rèn)的活動(dòng)目錄容器——計(jì)算機(jī)，用戶和builtin相連處理組策略對(duì)象創(chuàng)建已連接的組策略目標(biāo)創(chuàng)建未連接的組策略目標(biāo)連接一已存在的組策略目標(biāo)指定管理組策略目標(biāo)的域控制器創(chuàng)建已連連接的組組策略目目標(biāo)為了把組組策略應(yīng)應(yīng)用到容容器上,首先要?jiǎng)?chuàng)創(chuàng)建連接接到容器器的GPO:使用“ActiveDirectoryUsersandComputers””創(chuàng)建連接接到域和和OU的GPO使用“ActiveDirectorySitesandServices”創(chuàng)建連接接到站點(diǎn)點(diǎn)的GPO創(chuàng)建未連連接的組組策略目目標(biāo)連接一已已存在的的組策略略目標(biāo)指定管理理組策略略目標(biāo)的的域控制制器當(dāng)創(chuàng)建一一新的GPO或編輯一一已存在在的GPO時(shí)，默認(rèn)認(rèn)的，具具有PDC操作主控控的域控控制器將將執(zhí)行該該操作制定管理理GPO的域控制制器的可可選項(xiàng)包包括:操作主控控遵循PDC競(jìng)爭(zhēng)原則則使用活動(dòng)動(dòng)目錄插插件的形形式使用任何何可能得得域控制制器制定管理理GPO的域控制制器:使用在組組策略快快照中的的查看菜菜單下的的DC選項(xiàng)命令令在組策略略設(shè)置中中指定使使用什么么域控制制器如何在活活動(dòng)目錄錄中應(yīng)用用組策略略設(shè)置組策略是是如何處處理的控制組策策略的處處理組策略和和慢速網(wǎng)網(wǎng)絡(luò)連接接解決組策策略間的的沖突組策略生生效時(shí)機(jī)機(jī)計(jì)算機(jī)啟啟動(dòng)計(jì)算機(jī)設(shè)設(shè)置應(yīng)用用啟動(dòng)腳本本運(yùn)行用戶登錄錄用戶設(shè)置置生效登錄腳本本應(yīng)用控制組策策略的處處理同步和異異步處理理默認(rèn)的組組策略處處理是同同步的可以通過(guò)過(guò)使用組組策略設(shè)設(shè)置將默默認(rèn)的行行為改為為異步在特定的的時(shí)間間間隔內(nèi)刷刷新組策策略:域環(huán)境中中的非域域控制器器計(jì)算機(jī)機(jī)每隔90分鐘就會(huì)會(huì)刷新策策略，有有隨機(jī)的的延遲。。域控制器器每5分鐘刷新新一次未發(fā)生變變更的組組策略設(shè)設(shè)置的處處理可以配置置每一個(gè)個(gè)客戶端端擴(kuò)展用用于處理理所有可可用的組組策略設(shè)設(shè)置組策略和和慢速網(wǎng)網(wǎng)絡(luò)連接接組策略能能夠接受受慢速連連接組策略使使用一種種運(yùn)算法法則來(lái)確確定連接接是否為為慢速組策略給給客戶端端擴(kuò)展設(shè)設(shè)定標(biāo)志志指出是是慢速連連接解決組策策略間的的沖突除非組策策略設(shè)置置沖突，，否則所所有的組組策略設(shè)設(shè)置都將將被執(zhí)行行如果發(fā)生生沖突，，默認(rèn)的的是執(zhí)行行最新的的設(shè)置來(lái)自父容容器的GPO設(shè)置和來(lái)來(lái)自子容容器的GPO設(shè)置沖突突時(shí)，子子容器的的設(shè)置后后執(zhí)行并并發(fā)揮作作用當(dāng)連接到到同一容容器上的的不同的的GPO的設(shè)置發(fā)發(fā)生沖突突時(shí)，在在容器屬屬性對(duì)話話框中GPO列表中最最高位置置的GPO的設(shè)置后后執(zhí)行并并發(fā)揮作作用當(dāng)用戶設(shè)設(shè)置和計(jì)計(jì)算機(jī)設(shè)設(shè)置發(fā)生生沖突時(shí)時(shí)，忽略略用戶設(shè)設(shè)置而執(zhí)執(zhí)行計(jì)算算機(jī)設(shè)置置課堂討論論：如何何執(zhí)行組組策略設(shè)設(shè)置GPO1確保“Favorites”出現(xiàn)在“start”菜單中的組策略設(shè)置GPO2andGPO3要求輸入一個(gè)至少含有11個(gè)字符的密碼的組策略設(shè)置和從開(kāi)始菜單中移去windows更新圖標(biāo)的組策略設(shè)置GPO4從開(kāi)始菜單中移去“Favorites”圖標(biāo)并添加“WindowsUpdate”圖標(biāo)在OU中用戶對(duì)象的最終組策略設(shè)置是什么?OUSiteDomainGPO1GPO2GPO3GPO4課堂討論論：如何何執(zhí)行組組策略設(shè)設(shè)置在OU中用戶對(duì)象的最終組策略設(shè)置是什么?用戶密碼至少11個(gè)子符長(zhǎng)Windows更新圖標(biāo)在“start”菜單中出現(xiàn)“Favorites”不出現(xiàn)在“start”菜單中OUSiteDomainGPO1GPO2GPO3GPO4修改組策策略的應(yīng)應(yīng)用選項(xiàng)項(xiàng)允許阻止止繼承允許不重重寫(xiě)篩選組策策略設(shè)置置課堂討論論：改變變組策略略的繼承承性組策略的的繼承性性Windows2003按按照一定定的順序序應(yīng)用GPO設(shè)設(shè)置子容器繼繼承父容容器的GPO設(shè)設(shè)置允許阻止止繼承阻止繼承承:阻止子容容器從所所有父容容器處繼繼承任一一個(gè)GPO無(wú)法選擇擇阻止哪哪個(gè)GPO不能阻止止不重寫(xiě)寫(xiě)選項(xiàng)使用“禁禁止替代代”選項(xiàng)項(xiàng)禁止替代代選項(xiàng)：：可以優(yōu)先先于拒絕絕繼承和和下層的的策略沖沖突而生生效應(yīng)當(dāng)在活活動(dòng)目錄錄服務(wù)數(shù)數(shù)型結(jié)構(gòu)構(gòu)的上層層應(yīng)用到它它鏈接的的范圍內(nèi)內(nèi)的用來(lái)強(qiáng)化化公司的的管理策策略篩選組策策略設(shè)置置篩選組策策略設(shè)置置:明確拒絕申請(qǐng)請(qǐng)對(duì)組策略的的許可忽略一驗(yàn)證過(guò)過(guò)的申請(qǐng)組策策略許可課堂討論：改變組策略的的繼承性確定網(wǎng)絡(luò)中具備以下條件：在域中的所有計(jì)算上安裝防病毒程序除了工資部門(mén)的用戶外所有域中的計(jì)算機(jī)必須安裝微軟的辦公套件除了工資部門(mén)的管理員的計(jì)算機(jī)外工資部門(mén)的所有計(jì)算機(jī)都必須安裝系列商務(wù)說(shuō)明應(yīng)用程序如何配置GPO來(lái)滿足上述條件?PayrollSalesCTraining課堂討論：改改變組策略的的繼承性如何配置GPO來(lái)滿足上述條件?創(chuàng)建一連接到域的安裝防病毒程序的GPO，將該連接設(shè)置為不重寫(xiě)創(chuàng)建可連接另一個(gè)域的GPO來(lái)安裝辦公套件在工資部門(mén)，允許阻止繼承創(chuàng)建和連接到工資部門(mén)的GPO在客戶機(jī)上來(lái)安裝說(shuō)明應(yīng)用程序修改GPO的DACL使得工資管理員使用的計(jì)算機(jī)說(shuō)明拒絕申請(qǐng)組策略許可PayrollSalesNTraining委派組策略的的管理控制允許一用戶管管理一站點(diǎn)，，域或OU的組策略連接接，通過(guò)如下下方式:賦予用戶站點(diǎn)點(diǎn)，域或OU的GPOPtions屬性的讀寫(xiě)權(quán)權(quán)限使用委派控制制向?qū)г试S用戶或小小組創(chuàng)建GPO，通過(guò)如下方方式:將用戶或小組組添加到組策策略創(chuàng)建擁有有者小組允許用戶編輯輯GPO，通過(guò)以下方方式:賦予用戶該GPO的讀寫(xiě)權(quán)限將用戶標(biāo)注為為域管理員，，企業(yè)管理員員或GPO創(chuàng)建擁有者小小組通過(guò)使用GPO屬性對(duì)話框中中的安全性表表來(lái)保證用戶戶訪問(wèn)GPO監(jiān)控組策略通過(guò)以下方法法可以監(jiān)控組組策略:啟用事件日志志的診斷記錄錄使組策略在事事件薄中產(chǎn)生生具體事件啟用詳細(xì)記錄錄詳細(xì)記錄將記記錄所有的變變更和應(yīng)用到到本地計(jì)算機(jī)機(jī)和登錄計(jì)算算機(jī)的用戶設(shè)設(shè)置詳細(xì)記錄將添添加詳細(xì)記錄錄的注冊(cè)關(guān)鍵鍵詞最佳實(shí)踐限制使用阻止止，不重寫(xiě)，，篩選GPO限制限制影響任一一計(jì)算機(jī)或用用戶的GPO數(shù)目在單個(gè)GPO中與設(shè)置相關(guān)關(guān)的組把對(duì)GPO的管理控制權(quán)權(quán)委派給其他他一個(gè)或兩個(gè)個(gè)用戶避免把GPO連接到包含多多個(gè)域的站點(diǎn)點(diǎn)上在執(zhí)行GPO之前要進(jìn)行計(jì)計(jì)劃和測(cè)試管理用戶環(huán)境境簡(jiǎn)介管理用戶環(huán)境境控制用戶有有哪些權(quán)利使用組策略設(shè)設(shè)置來(lái)控制用用戶環(huán)境通過(guò)在容器上上應(yīng)用組策略略來(lái)立即為新新用戶或計(jì)算算機(jī)指定用戶戶環(huán)境集中配置和管管理用戶環(huán)境境加強(qiáng)標(biāo)準(zhǔn)配置置確保用戶有他他們自己的桌桌面和個(gè)人數(shù)數(shù)據(jù)組裝用戶桌面面確保用戶環(huán)境境安全什么是管理模模版管理模版設(shè)置置修改控制用用戶環(huán)境的注注冊(cè)設(shè)置設(shè)置在注冊(cè)子子目錄樹(shù)下修修改注冊(cè)設(shè)置置計(jì)算機(jī)設(shè)置HKEY_LOCAL_MACHINE用戶設(shè)置HKEY_CURRENT_USER如果GPO不再使用，將將刪除組策略略Windows2003將同時(shí)實(shí)現(xiàn)組組策略和本地地預(yù)設(shè)注冊(cè)設(shè)設(shè)置，除非兩兩者之間存在在著沖突計(jì)算機(jī)如何實(shí)實(shí)現(xiàn)管理模版版設(shè)置當(dāng)客戶計(jì)算機(jī)啟動(dòng)的時(shí)候，他重新獲得GPO列表并應(yīng)用，使用戶登錄客戶計(jì)算機(jī)連接到驗(yàn)證DC的SYSVOL文件夾上，然后確定Registry.pol文件的位置客戶計(jì)算機(jī)把Registry.pol文件中的注冊(cè)設(shè)置和設(shè)置值寫(xiě)到適當(dāng)?shù)淖幽夸洏?shù)下(HKLMandHKCU)在注冊(cè)設(shè)置實(shí)實(shí)施后，將出出現(xiàn)登錄對(duì)話話框或顯示桌桌面管理模版設(shè)置置類型設(shè)置類型控制可使用者Windows

組件用戶何以訪問(wèn)的Windows2003及其工具和組件部分，包括控制用戶對(duì)MMC的訪問(wèn)系統(tǒng)登錄，退出過(guò)程。利用系統(tǒng)設(shè)置，可以管理組策略，更新區(qū)間，啟用磁盤(pán)限額和實(shí)現(xiàn)回環(huán)處理等網(wǎng)絡(luò)網(wǎng)絡(luò)連接和撥號(hào)連接的屬性打印機(jī)打印機(jī)設(shè)置，可以是打印機(jī)自動(dòng)公布在活動(dòng)目錄中，并使基于網(wǎng)絡(luò)的的打印無(wú)效開(kāi)始菜單和工具欄用戶可以從開(kāi)始菜單中訪問(wèn)的功能部件。可以把開(kāi)始菜單設(shè)置為只讀方式，這樣可以防止用戶修改。桌面活動(dòng)桌面。通過(guò)隱藏某些桌面圖標(biāo)并控制用戶對(duì)文件夾的使用，可以控制用戶對(duì)網(wǎng)絡(luò)的訪問(wèn)控制面板控制面板上的一些應(yīng)用程序。包括限制對(duì)添加/刪除程序，顯示和打印機(jī)的使用禁閉桌面的設(shè)設(shè)置隱藏桌面上所所有的圖標(biāo)在退出時(shí)不保保存設(shè)置隱藏我的電腦腦下具體指定定的驅(qū)動(dòng)器從開(kāi)始菜單中中刪除“run”菜單禁止用戶運(yùn)行行控制面板中中的顯示功能能使與“WindowsUpdate”的連接無(wú)效并并刪除這種連連接使工具欄和開(kāi)開(kāi)始菜單設(shè)置置的修改無(wú)效效使關(guān)閉命令無(wú)無(wú)效或刪除改改命令利用組策略設(shè)設(shè)置禁閉桌面面環(huán)境禁閉用戶訪問(wèn)問(wèn)網(wǎng)絡(luò)資源的的設(shè)置隱藏桌面上““MyNetworkPlaces”圖標(biāo)刪除“MapNetworkDrive”和

“DisconnectNetworkDrive”工具菜單:禁用internet選項(xiàng)利用組策略禁禁閉用戶訪問(wèn)問(wèn)網(wǎng)絡(luò)資源的的設(shè)置禁閉用戶訪問(wèn)問(wèn)管理工具和和應(yīng)用程序的的設(shè)置從開(kāi)始菜單中刪除“Search”菜單從開(kāi)始菜單中刪除“Run”菜單禁用任務(wù)管理器只運(yùn)行允許的Windows應(yīng)用程序從開(kāi)始菜單中刪除“Documents”菜單禁用對(duì)工具欄和開(kāi)始菜單設(shè)置的修改隱藏開(kāi)始菜單中普通程序組利用組策略禁閉用戶訪問(wèn)管理工具和應(yīng)用程序的設(shè)置組策略中的回回環(huán)處理模式式設(shè)置可以把用戶管管理模版設(shè)置置應(yīng)用到計(jì)算算機(jī)上對(duì)于指定具體體任務(wù)的計(jì)算算機(jī)是非常有有用的可以被設(shè)置為為替換模式或或合并模式在組策略中分分配腳本組策略腳本設(shè)設(shè)置允許你:組策略腳本設(shè)設(shè)置可以集中中配置腳本，，在計(jì)算機(jī)啟啟動(dòng)，關(guān)閉，，用戶登錄，，退出時(shí)自動(dòng)動(dòng)運(yùn)行管理和配置用用戶環(huán)境當(dāng)用戶啟動(dòng)計(jì)計(jì)算機(jī)，進(jìn)行行登錄時(shí):a.Startupscriptsrunb.Logonscriptsrun當(dāng)用戶退出，，關(guān)閉計(jì)算機(jī)機(jī)時(shí):a.Logoffscriptsrunb.ShutdownscriptsrunWindows2003按從上到下的的順序處理腳腳本用組策略實(shí)現(xiàn)現(xiàn)腳本設(shè)置的的過(guò)程利用組策略重重定向文件夾夾不管用戶從什什么客戶機(jī)上上登錄，都可可以訪問(wèn)文件件夾中的數(shù)據(jù)據(jù)文件夾中的數(shù)數(shù)據(jù)集中存儲(chǔ)儲(chǔ)，因此文件件夾中的文件件將更便于管管理和備份減少網(wǎng)絡(luò)通信信，網(wǎng)絡(luò)通信信只在用戶訪訪問(wèn)文件時(shí)才才出現(xiàn)文件不在客戶戶計(jì)算機(jī)上保保存選擇需要重定定向的文件夾夾文件夾內(nèi)容重定向到服務(wù)器的原因我的文檔

用戶個(gè)人的數(shù)據(jù)開(kāi)始菜單開(kāi)始菜單中的文件夾和快捷方式桌面桌面上所有的文件，文件夾和快捷方式應(yīng)用程序數(shù)據(jù)由應(yīng)用程序存儲(chǔ)的具體用戶的數(shù)據(jù)用戶可以從任何計(jì)算機(jī)上訪問(wèn)數(shù)據(jù)，這些數(shù)據(jù)可以集中地管理和備份用戶“start”菜單是標(biāo)準(zhǔn)化的用戶具有相同的桌面，不管用戶從什么計(jì)算機(jī)上登錄應(yīng)用程序使用相同的具體用戶的數(shù)據(jù)，不管用戶從什么計(jì)算機(jī)上登錄把文件夾重定定向到服務(wù)器器位置介紹軟件布置置的管理刪除刪除軟件維護(hù)軟件的安裝或重新部署布置安裝軟件預(yù)備獲取windows安裝程序包文件Windows安裝程程序Windows安裝程序服務(wù)Windows安裝程序服務(wù)是一個(gè)使軟件安裝和配置過(guò)程完全自動(dòng)化的客戶端服務(wù)Windows安裝程序服務(wù)也可以修改或修補(bǔ)已經(jīng)安裝的應(yīng)用程序Windows安裝程序包Windows安裝程序包包含安裝或卸載一個(gè)應(yīng)用程序的windows安裝程序服務(wù)所需的所有信息一個(gè)軟件包包含一個(gè)Windows安裝程序，或.msi文件和安裝或卸載軟件所需的任何外部文件一個(gè).msi包文件也包含有關(guān)軟件及其本身的概要信息包含產(chǎn)品文件或產(chǎn)品文件所在安裝位值的參考使用Windows安裝技術(shù)的好處包括：有彈性的應(yīng)用程序干凈的刪除布置軟件軟件布置創(chuàng)建一個(gè)軟件件分布點(diǎn)分配軟件發(fā)布軟件使用組策略布布置軟件包設(shè)置軟件安裝裝默認(rèn)值軟件布置任務(wù)創(chuàng)建或修改GPO獲取一個(gè)Windows安裝程序包文件將軟件包文件和任何相關(guān)的安裝文件放到一個(gè)軟件分布點(diǎn)上配置GPO以布置應(yīng)用程序創(chuàng)建一個(gè)軟件件分布點(diǎn)創(chuàng)建一個(gè)軟件分布點(diǎn):創(chuàng)建一個(gè)共享文件夾在共享文件夾中創(chuàng)建相應(yīng)的應(yīng)用程序文件夾把Windows安裝程序包和可執(zhí)行應(yīng)用程序拷貝到相應(yīng)的文件夾中為共享文件夾設(shè)置相應(yīng)的權(quán)限當(dāng)創(chuàng)建軟件分布點(diǎn)時(shí)，請(qǐng)采用以下方針:在存放.msi包的軟件分布點(diǎn)創(chuàng)建以應(yīng)用程序命名的文件夾，并將.msi包文件及所有所需文件放入該文件夾使用隱藏的共享文件夾使用Dfs來(lái)為所有發(fā)布的應(yīng)用程序提供一單一共享點(diǎn)Read

Permissions分配軟件Start將軟件分配給用戶用戶在下一次激活應(yīng)用程序時(shí)，應(yīng)用程序?qū)⒆詣?dòng)被安裝將軟件分配給計(jì)算機(jī)計(jì)算機(jī)在下一次啟動(dòng)時(shí)，軟件被自動(dòng)安裝軟件分布點(diǎn)發(fā)布軟件?使用文檔激活當(dāng)用戶雙擊一個(gè)未知類型文件時(shí)應(yīng)用程序?qū)⒈蛔詣?dòng)安裝使用“Add/RemovePrograms”用戶可以打開(kāi)控制面板中的“Add/RemovePrograms”來(lái)顯示可用的應(yīng)用程序組。然后選擇所需的應(yīng)用程序進(jìn)行安裝軟件分布點(diǎn)使用組策略布布置軟件包發(fā)布軟件創(chuàng)建或修改一個(gè)GPO并把它連接到相應(yīng)的容器內(nèi)來(lái)分配和發(fā)布軟件選擇要發(fā)布的軟件包選擇發(fā)布方法:發(fā)布,分配,或者配置軟件包屬性配置軟件包的屬性布置類型布置選項(xiàng)安裝選項(xiàng)設(shè)置軟件安裝裝默認(rèn)值使用軟件修改改NorthAmericaGPOEnglishDictionaryParisGPOFrenchDictionaryBonnGPOGermanDictionarySingleInstanceonServer創(chuàng)建軟件類別別Add/RemoveProgramsAddProgramsfromCD-ROMorFloppyToaddanewprogramfromafloppydiskorCD-ROMdrive,clickCDorFloppy.AddProgramsfromtheInternetToaddnewfeatures,programs,andsystemupdatesfromMicrosoftWindowsUpdate,clickInternet.AddProgramsfromyourCorporateNetwork:Category:MicrosoftOffice2000PremiumEditionClickhereformoreinformation.Toaddthisprogramtoyourcomputer,clickAdd.CDorFloppyInternetCloseAllAllAccountingSoftwareDesktopPublishingExpenseReportsInte