第4章 组策略

1、组策略V 1.98By:zjike内容内容容器与组织单位组策略概论组策略实例组策略的处理规则利用组策略管理用户环境组策略的委派管理容器与组织单位容器容器可以含其他对象，如：用户、计算机也可以包含其他容器组织单位（组织单位（OU）OU容器组策略功能组策略概论组策略的功能组策略的功能能控制与管理网络上与减轻网络管理的负担降低网络管理成本组策略组策略组策略包含两部分计算机配置计算机配置用户配置用户配置组策略组策略计算机的组策略设置: 指定操作系统的行为,桌面的行为, 安全性设置,计算机的启动、关机脚本,计算机的应用程序设置用户的组策略设置: 指定操作系统的行为,桌面的行为, 安全性设置,用户的登录、

2、注销脚本,分配和发布应用程序,文件夹的重定向组策略的功能组策略的功能组策略是通过“组策略对象”（GPO）来设定的组策略对象可以链接到Site(终端) ,Domain(域) 和OU(组织单元)上 管理员可以将一个GPO和多个SDOU链接 也可以将多个GPO与一个Site、Domain、OU链接不能将GPO与计算机、用户、AD默认的容器链接内建GPO默认域策略默认域控制器策略GPO的内容的内容Group Policy Objectn存放在活动目录数据库中 n提供GPO属性和版本信息 Group Policy Container (GPC)n存储在DC活动目录的 页面文件 Sysvol 文件夹中n存

3、储GPO的配置值和相关文件 Group Policy Template (GPT)组策略容器组策略模板组策略的应用时机组策略的应用时机计算机配置的启用时间: 计算机开机时自动启用 每隔一段时间自动启用 域控制器：默认每隔5分钟自动启用 非域控制器：默认每隔90120分钟自动启用 无论策略配置是否有变动，系统仍会每隔16小时自动启用一次 手动启用： gpupdate /target:computer /force组策略的应用时机组策略的应用时机用户配置的启用时间: 用户登录时自动启用 即使用户 注销、登录，系统默认每隔90120分钟自动启用 无论策略配置值是否有变动，系统仍会16小时自动启用一次

4、 手动启用： gpupdate /target:user /force组策略实例实例演示实例演示1：普通用户在普通用户在DC上登录上登录在在的域控制器中创建一个名为的域控制器中创建一个名为Einsun的的OU在该在该OU中创建一个用户叫中创建一个用户叫Tom让让Tom能够在能够在DC上正常登录上正常登录实例演示实例演示2：配置开始菜单配置开始菜单在在的域控制器中创建一个名为的域控制器中创建一个名为Einsun的的OU在该在该OU中创建一个用户叫中创建一个用户叫TomTom在域中任何一台在域中任何一台PC登录，都不能使用开始菜单里的登录，都不能使用开始菜单里的“运行运行”菜菜单单组策略的处理规则

5、默认的域控制器策略默认的域控制器策略Default Domain Controller Policy: 此设定的值会被应用到的所有用户与计算机实例演示实例演示3：Domain Controllers OU在在Domain Controllers OU的的GPO中，禁止用户使用菜单中的中，禁止用户使用菜单中的“搜索搜索”功能功能OU名为名为“市场部市场部”的的Tom用户登录察看是否可以使用菜单中的用户登录察看是否可以使用菜单中的“搜搜索索”功能功能将将Tom用户移动到用户移动到Domain Controllers OU中，并登录察看是否可以使中，并登录察看是否可以使用菜单中的用菜单中的“搜索搜索

6、”功能功能组策略的继承组策略的继承ComputersUsersPayrollDomainDomain GPO组策略的配置是有父容器的GPO设置和子容器的GPO设置冲突，同一个容器上的不同GPO的设置发生冲突，优先顺序优先顺序SiteDomainOU当域、站点与OU之间的GPO发生冲突时，实例演示实例演示4：GPO应用优先顺序实验应用优先顺序实验在在DC的的GPO中，禁止用户使用中，禁止用户使用“关机关机”菜单菜单OU名为名为“市场部市场部”的的Tom用户登录察看是否可以使用用户登录察看是否可以使用“关机关机”菜单菜单在在OU名为名为“市场部市场部”的的GPO中，允许用户使用中，允许用户使用“关

7、机关机”菜单菜单Tom用户登录察看是否可以使用用户登录察看是否可以使用“关机关机”菜单菜单特殊情况特殊情况计算机配置计算机配置用户配置用户配置阻止策略继承阻止策略继承实例演示实例演示5：阻止策略继承阻止策略继承在在DC的的GPO中，禁止用户访问中，禁止用户访问C盘盘OU名为名为“市场部市场部”内的内的Tom用户登录察看是否可以访问用户登录察看是否可以访问C盘盘在在OU名为名为“市场部市场部”的的GPO中，选择中，选择“阻止策略继承阻止策略继承”Tom用户再次登录察看是否可以访问用户再次登录察看是否可以访问C盘盘强制策略继承强制策略继承实例演示实例演示6：强制策略继承强制策略继承在在DC的的GP

8、O中，禁止用户访问中，禁止用户访问C盘盘在在OU名为名为“市场部市场部”的的GPO中，选择中，选择“阻止策略继承阻止策略继承”在在DC的的GPO中，选择中，选择“禁止替代禁止替代”选项选项Tom用户再次登录察看是否可以访问用户再次登录察看是否可以访问C盘盘禁用禁用GPO禁用禁用GPO实例演示实例演示7：思考思考在名为在名为“市场部市场部”的的OU中，用户中，用户Tom和和Jim的策的策略配置是否一定会是相同的？略配置是否一定会是相同的？过滤组策略配置过滤组策略配置环回处理模式环回处理模式环回处理模式环回处理模式环回处理模式环回处理模式利用组策略来管理用户环境利用组策略来管理用户环境利用组策略来

9、管理用户环境账户策略用户权限分配策略安全选项策略登录、注销、启动、关机脚本文件夹重定向账户策略账户策略对域用户来说，整个域只可以有一个账户策略账户策略 密码策略 账户锁定策略用户权限分配策略用户权限分配策略用户权限分配策略用户权限分配策略安全选项策略安全选项策略登录、注销、启动、关机脚本登录、注销、启动、关机脚本文件夹重定向文件夹重定向文件夹重定向文件夹重定向我的文档我的文档我的文档域控制器TOMTOMTOM？文件夹重定向文件夹重定向我的文档我的文档我的文档域控制器TOMTOMTOMTOM的文档组策略的委派管理委派管理委派管理委派管理委派管理域控制器TOMJIMMichaelAdmin，我部门

10、来了，我部门来了一位新员工，请给他一位新员工，请给他加一个账号加一个账号Admin，我部门的，我部门的“云龙云龙”离职了，请把离职了，请把他的账号删除他的账号删除Admin，我部门的，我部门的“成刚成刚”休长假回来了，休长假回来了，请恢复他的账号请恢复他的账号AdminAdmin，!#$%&*.Admin，!#$%&*.Admin，!#$%&*.Admin，!#$%&*.Admin，!#$%&*.Admin，!#$%&*.思考：如果你刚接手管理某个公如果你刚接手管理某个公司的域环境，你怎么熟悉司的域环境，你怎么熟悉他的策略配置情况？他的策略配置情

11、况？附：GPMC（组策略管理控制台） 2008-11 ZJIKE PPT实实 验验实验实验1：隐藏隐藏C盘盘管理员为了防止管理员为了防止“市场部市场部”的员工损坏的员工损坏C盘系统文件，想让市场部的员盘系统文件，想让市场部的员工无论哪一台计算机上登录时都看不到工无论哪一台计算机上登录时都看不到C盘，并且也不能用其它方式访盘，并且也不能用其它方式访问到问到C盘里的内容盘里的内容你该怎么来实现？你该怎么来实现？经验值增加：经验值增加：3点点实验实验2：隐藏隐藏“设置设置”选项卡选项卡最近发现有些员工不小心修改了显卡分辨率，导致屏幕显示太小或太模最近发现有些员工不小心修改了显卡分辨率，导致屏幕显示太

12、小或太模糊，常常让你去帮助他们恢复。糊，常常让你去帮助他们恢复。如何才能防止用户随意更改显示设置呢？如何才能防止用户随意更改显示设置呢？完成这个要求完成这个要求经验值增加：经验值增加：3点点实验实验3：更改更改IE选项选项将用户将用户Tom的的IE浏览器工具栏更改为只有浏览器工具栏更改为只有“后退后退”、“前进前进”和和“刷新刷新”三个按钮三个按钮将用户将用户Tom的的IE浏览器浏览器“收藏夹收藏夹”功能关闭功能关闭经验值增加：经验值增加：3点点实验实验4：隐藏右键菜单隐藏右键菜单利用组策略，让利用组策略，让Tom用户不使用鼠标右键菜单用户不使用鼠标右键菜单桌面右键菜单、任务栏右键菜单都不能打

13、开桌面右键菜单、任务栏右键菜单都不能打开经验值增加：经验值增加：4点点实验实验5：更改桌面墙纸更改桌面墙纸利用组策略将利用组策略将Tom用户的桌面墙纸更改为用户的桌面墙纸更改为“魔兽争霸魔兽争霸”图片图片利用组策略将利用组策略将Jim用户的桌面墙纸更改为用户的桌面墙纸更改为“张学友张学友”图片图片经验值增加：经验值增加：5点点实验实验6：更改账户策略更改账户策略利用利用GPO配置名为配置名为Einsun的的OU，使该，使该OU内用户的密码最小长度为内用户的密码最小长度为10，并且取消密码复杂性要求并且取消密码复杂性要求经验值增加：经验值增加：4点点实验实验7：登录、注销脚本登录、注销脚本利用利

14、用GPO配置名为配置名为Einsun的的OU，使该，使该OU内的用户在登录和注销时，内的用户在登录和注销时，运行不同的脚本文件运行不同的脚本文件经验值增加：经验值增加：4点点实验实验8：实现实现“我的文档我的文档”重定向重定向利用利用GPO配置名为配置名为Einsun的的OU，使该，使该OU内的内的TOM用户实现在不同计用户实现在不同计算机登录时，其算机登录时，其“我的文档我的文档”内的文件都是一样的内的文件都是一样的经验值增加：经验值增加：5点点实验实验9：委派管理委派管理利用利用GPO配置名为配置名为Einsun的的OU，使该，使该OU内的内的TOM用户（隶属于默认用户（隶属于默认的的“D

15、omain Users”组）具有在该组）具有在该OU内创建、删除用户的能力内创建、删除用户的能力并要求说明，如何再取消并要求说明，如何再取消TOM的创建、删除用户的能力的创建、删除用户的能力经验值增加：经验值增加：5点点附加实验附加实验1：随着公司部门的增加，需要更高效的管理活动目录组策略，请将组策略随着公司部门的增加，需要更高效的管理活动目录组策略，请将组策略管理工具升级到高版本（管理工具升级到高版本（GPMC）经验值增加：经验值增加：1点点附加实验附加实验2：公司有公司有100多台计算机作为客户机，操作系统有多台计算机作为客户机，操作系统有XP和和2003为了更有效的利用每台客户机的系统资

16、源，管理员需要对每一台客户机为了更有效的利用每台客户机的系统资源，管理员需要对每一台客户机进行后台服务优化工作（即：禁用不必要的服务）进行后台服务优化工作（即：禁用不必要的服务）请通过组策略对所有客户机禁用以下几个服务：请通过组策略对所有客户机禁用以下几个服务：Error Reporting ServiceHelp and SupportShell Hardware Detection经验值增加：经验值增加：1点点附加实验附加实验3：为了方便员工访问常用网页，请利用组策略将以下网址添加到所有用户为了方便员工访问常用网页，请利用组策略将以下网址添加到所有用户的的IE收藏夹中收藏夹中百度百度腾讯腾

17、讯谷歌谷歌并将并将设置为设置为IE主页网址，且用户不能修改主页网址，且用户不能修改经验值增加：经验值增加：1点点附加实验附加实验4：为了让员工不浪费硬盘空间，现管理员要让所有员工登录后所有磁盘的为了让员工不浪费硬盘空间，现管理员要让所有员工登录后所有磁盘的可使用空间为可使用空间为100MB经验值增加：经验值增加：1点点附加实验附加实验5：D盘为公司员工公共文件储存区，请通过策略让所有员工在登录计算机盘为公司员工公共文件储存区，请通过策略让所有员工在登录计算机后可以直接在后可以直接在D盘下存放文件（即：不需要先创建文件夹）盘下存放文件（即：不需要先创建文件夹）经验值增加：经验值增加：1点点课后作业课后作业作业作业2请你谈一谈请你谈一谈Windows域环境中组的分类有哪些？与域环境中组的分类有哪些？与Windows工作组环境中的组有什么不同的地方？域环境中的工作组环境中的组有什么不同的地方？域环境中的各个组各自有什么特点各个组各自有什么特点?组策略中包含哪两部分？系统内建有两条组策略对象（组策略中包含哪两部分？系统内建有两条组策略对象（GPO）分别是哪几条？刷新组策略配置信息的