管理组策略ppt课件.ppt

1 第五章管理组策略 2 学习要求及能力目的 组策略用来在用户或计算机集合上强制设置一些配置 这在多台计算机需要统一的工作界面时很有实用意义 组策略为管理员提供了进一步控制和集中管理用户工作环境 实现软件部署以及安全性管理 掌握组策略的管理与配置方法掌握利用组策略管理资源与对象掌握域安全策略及域控制器安全策略的配置管理方法 3 组策略 组策略是从Windows2000开始有的一个新特点 组策略用来在用户或计算机集合上强制设置一些配置 这在多台计算机需要统一的工作界面时很有实用意义 例如用户的桌面环境 计算机启动 关机所执行的脚本文件 用户登录 注销所执行的脚本文件等 WindowsServer2003系统赋予组策略更新的功能和特性 通过组策略可以更容易管理网络上的资源 4 1 组策略简介 组策略是一组配置设置 是组策略管理员应用于活动目录存储中的一个或多个对象 利用它组策略管理员可以为用户提供一个完全总装的桌面环境 这个环境包括定制的 开始 菜单 自动安装的应用程序和对文件 文件夹和WindowsServer2003系统设置的限制访问 5 1 组策略的组件 1 组策略对象组策略对象 GPO GroupPolicyObject 是组策略的载体 要想实现组策略管埋 必须创建组策略对象 在活动目录中可以把组策略对象应用于特定的目标 如站点 域和OU以实现组策略管理的目的 组策略对象的内容存储在GPC和GPT中 在对这些对象设置组策略时有以下特点 一个GPO可以与多个站点 域和OU相链接 这样当需要对不同的对象执行相同策略管理时可以减轻管理员的工作负担 每个站点 域和OU也可以应用多个GPO 6 2 组策略容器组策略容器 GPC GroupPolicyContainer 是包含GPO状态和版本信息的活动目录对象 存储在活动目录中 计算机使用GPC来定位组策略模板 而且域控制器可以通过访问GPC来获得GPO的版本信息 如果一台域控制器没有最新的GPO版本信息 那么就会引发为了获得最新GPO版本信息的活动目录复制 7 3 组策略模板组策略模板 GPT GroupPolicyTemplate 存储在域控制器上的SYSVOL共享文件夹中 用来提供所有的组策略设置和信息 包括管理模板 安全性 软件安装 脚本 文件夹重定向设置等 当创建一个GPO时 WindowsServer2003创建相应的GPT 客户端计算机能够接受组策略的配置就是因为它们和DC的SYSVOL文件夹链接 获得并应用这些设置 8 2 组策略的配置类型 每个组策略的配置类型都包括两部分内容 计算机配置和用户配置 图5 1组策略编辑器窗口 9 1 计算机的组策略配置在计算机的组策略配置中可以指定操作系统的行为 桌面行为 安全性设置 计算机的启动和关机命令 计算机赋予的应用程序选项以及应用程序设置 在计算机启动时会应用计算机的组策略设置 2 组策略的配置类型 10 2 用户的组策略配置在用户的组策略配置中可以指定操作系统行为 桌面行为 安全性设置 赋予的和公布的应用程序选项 应用程序设置 文件夹的重定向选项以及用户登录和退出登录的命令等 当用户登录计算机时会应用与该用户相关的组策略设置 注意 当同一个组策略的计算机配置和用户配置发生冲突时 计算机的组策略配置优先 11 3 组策略的功能类型 1 软件设置影响用户可以访问的应用程序 应用程序自动安装的策略有两种方法实现 指派应用程序 组策略直接在用户计算机上安装或升级应用程序 或为用户提供应用程序的连接 指派的应用程序用户无法删除 发布应用程序 组策略管理员通过活动目录服务发布应用程序 应用程序出现在用户的控制面板的 添加 删除程序 的安装组件列表中 用户可以卸载这些应用程序 12 2 脚本组策略管理员可以设定脚本和批处理文件在指定时间运行 如在系统启动 关闭 用户登录或注销时 脚本可以自动执行重复性任务 如映射网络驱动器 3 安全设置组策略管理员可以限制用户访问文件和文件夹 配置账户限制 如在WindowsServer2003锁定用户账户之前允许用户输入多少次错误的口令 设置本地策略 如用户权力和审计 控制服务操作 限制注册表和事件日志文件的访问 设置公钥访问和配置IPSec策略 13 4 管理模板包括基于注册表的组策略 可以利用它来强制注册表设置 控制桌面的外观和状态 包括操作系统组件和应用程序 5 远程安装服务 RIS 当运行用户安装向导时 控制显示给用户的RIS安装选项 6 文件夹重定向可以重定向WindowsServer2003指定的文件夹从用户配置文件缺省位置到另一个网络位置 从而对这些文件夹集中管理 14 2 组策略对象的管理 2 在图5 2中除 新建 按钮以外的其他各按钮作用如下 添加 把已经存在的一个组策略对象链接到站点 域或者组织单位上 编辑 打开组策略对象编辑器来对组策略对象进行编辑 选项 进行组策略对象的替代控制 1 创建组策略 新建 图5 2域属性 组策略 选项卡 案例1 创建域的组策略 15 删除 断掉组策略对象的链接或删除一个组策略对象 向上 向下 修改组策略对象应用在同一活动目录对象上的优先级 属性 对选中的组策略对象进行有关属性参数的设置 图5 2中 阻止策略继承 单选项是用于防止父容器定义的策略在自身传递 案例2 验证组策略的继承性 16 3 委托GPO管理控制在创建GPO以后 要确定哪些用户和组对GPO拥有访问权限 默认的GPO权限如下所示 CREATOROWNER组 拥有特别的权限 AuthrnticatedUsers组 拥有读 拥应用组策略和特别的权限 DomainAdmins组 拥有读 写 创建所有子对象 删除所有子对象 特别的权限 SYSTEM组 拥有读 写 创建所有子对象 删除所有子对象 特别的权限 17 案例3 实现委托 使某用户对组策略有访问权限 18 4 设置组策略 在创建了组策略对象以后 还需要对组策略对象进行配置 配置组策略对象的步骤如下 1 打开活动目录 右击域名 单击 属性 选择 组策略 标签 2 选择组策略 单击 编辑 按钮 打开组策略编辑器 19 3 组策略的应用 1 指派应用程序可以将一个软件通过组策略指派给用户或者计算机 这样当用户登录时 软件会被通告给用户 但是软件并没有真正安装在该计算机上 而只是安装了与软件有关的部分信息 当用户运行软件的快捷方式或者双击该软件的文档时 该软件才会被自动安装 软件指派应用程序既可以用于计算机配置 也可用于用户配置 20 2 发布应用程序和指派软件不同 发布一个软件时计算机并无该软件的快捷方式 用户需要用 控制面板 添加或者删除应用程序 选项来安装软件 发布应用程序只用于用户配置 在组策略中发布的程序是否被用户安装 取决于用户 21 指派或发布应用程序 案例4 指派或发布应用程序 以用户配置为例 22 配置组策略 案例5 设置 本地计算机 组策略 1 设置开始菜单2 设置最近打开文档记录3 设置系统关机 23 配置组策略 24 配置组策略 25 对组策略进行设置 注意组策略的执行顺序 26 配置组策略 使用脚本文件夹重定向安全设置安全模板 27 域安全策略及域控制器安全策略 域安全策略 1 密码策略2 账户锁定策略 域安全策略的设置影响到域中的每一台计算机 当非域控制器的某台计算机的 本地安全策略 设置与 域安全策略 设置冲突时 以域安全策略为准进行应用 28 域控制器安全策略 域控制器安全策略 是对域控制器设置的安全策略 当它与 域安全策略 存在冲突时 以 域控制器安全策略 为准进行应用 29 一 练习1 填空题 1 是一种在用户或计算机集合上强制使用一些配置的方法 2 组策略配置包含在 中 该对象又与选定的活动目录服务容器相关联 不会影响没有加入域的计算机和用户 3 组策略配置类型有 和 4 组策略的功能类型有 5 账户策略部分包括3个子部分 即 和 6 打开组策略编辑器的命令是 本章作业 30 2 简答题 1 什么叫组策略 组策略的作用是什么 2 组策略的创建位置有哪些 在不同位置创建的组策略的执行顺序是什么 二 实训1 在下创建 学生 OU 对象有a1 a2和student 学生 OU委派给a1账户有读取用户信息的权限 新建 学生 OU的组策略 名称为 防止学生修改程序