组建域模式的局域网

局域网技术第4章组建域模式的局域网张蒲生主编

pszhang@126.com2007年8月中国科技网学习任务掌握活动目录的安装、配置与管理的方法。理解域结构和域控制器的功能，能够进行域管理，以及将客户端加入到域中并访问域中的资源。学会管理域模式局域网中的用户和计算机。第4章组建工作组模式的局域网中国科技网目录4.1活动目录的基本知识

4.1.1活动目录概述

4.1.2安装活动目录服务4.2域管理与服务配置

4.2.1域的管理

4.2.2配置活动目录信任

4.2.3客户机登录Windows域的方法

4.2.4域中资源的访问和控制方法

4.2.5域模式的局域网配置实训4.3活动目录的服务管理

4.3.1用户和计算机账户管理

4.3.2组和组织单位的管理

4.3.3域模式的局域网中用户管理的实训中国科技网4.1.1活动目录概述1．活动目录的由来MSDOS下的“目录”、“路径”和Windows系统下“文件夹”所能代表的仅是这个目录下所有文件的存放位置和所有文件总的大小，并不能得出其他有关信息，它的属性也就相对固定了，是静态的。Microsoft公司从Windows2000Server开始引入活动目录的概念。这个目录是活动的，所以它是动态的，它是一种包含服务功能的目录，它可以做到“由此及彼”的联想及映射。活动目录包括两个方面：目录和与目录相关的服务。中国科技网活动目录的主要功能（1）利用活动目录服务可以集中组织、管理和控制用户及其对网络资源的访问。（2）活动目录集成了各种技术服务和应用，如域名服务、动态主机配置服务和WWW服务等。此外，活动目录还集成了许多当今流行的数据库访问技术和编程技术，如组件对象模型、动态链接库和网络化多媒体对象技术等。（3）当用户和应用程序进行信息访问时，活动目录提供信息储存库及相应的服务。客户向活动目录服务器发送查询请求时，需要DNS服务来定位活动目录服务器。4.1.1活动目录概述中国科技网2．引入活动目录的意义

□

信息安全性大大增强

□

基于策略的管理，使系统的管理更加明朗

□

具有很强的可扩展性

□

具有很强的可伸缩性

□

与DNS集成紧密

□

具有灵活的查询4.1.1活动目录的概述中国科技网4.1.1活动目录概述3．工作组模式和域模式（1）两种基本模式使用Windows系统来组建局域网有两种基本的模式：工作组模式和域模式。（2）工作组模式和域模式的差别如果说工作组是“免费的旅店”，那么域就是“星级的宾馆”。工作组可以随便出出进进，而域则需要严格控制。中国科技网4.1.2安装活动目录服务1.安装前的准备工作首先是必须有安装活动目录的管理员权限，否则无法安装。在安装活动目录之前，要确保系统盘为NTFS分区。2.安装活动目录的步骤活动目录的安装操作步骤请参见教材95-97页。中国科技网4.1.2安装活动目录服务中国科技网3．检验安装结果（1）检查DNS文件的SRV记录用文本编辑器打开%SystemRoot%/system32/config/中的Netlogon.dns文件，查看LDAP服务记录。（2）验证SRV记录在命令提示行下，输入NSLOOKUP；然后输入settype=srv；_ldap_。如果返回了服务器名和IP地址，说明SRV记录工作正常。4.1.2安装活动目录服务中国科技网4.2.1域的管理4.2.2配置活动目录信任4.2.3客户机登录Windows域的方法4.2.4域中资源的访问和控制方法4.2.5域模式的局域网配置实训4.2域管理与服务配置中国科技网4.2.1域的管理1．设置域控制器属性（1）选择“开始”→“程序”→“管理工具”→“ActiveDirectory用户与计算机”菜单，打开“ActiveDirectory用户与计算机”管理窗口。（2）在控制台目录树中，双击展开域节点，单击“DomainControllers”子节点。（3）在详细资料窗格中，右击要设置属性的域控制器，从弹出的快捷菜单中选择“属性”选项，打开该控制器的“属性”对话框。中国科技网4.2.1域的管理1．设置域控制器属性（4）在“常规”选项卡的“描述”文本框中输入对域控制器的一般描述。如果不希望域控制器的可受信任用来作为委派，可禁用“信任计算机作为委派”复选框。（5）选择“操作系统”选项卡，在该选项卡中，显示出操作系统的名称、版本以及ServicePack，管理员只能查看并不能修改这些内容。（6）选择“隶属于”选项卡，要添加组，单击“添加”，打开“选择组”对话框为域控制器选择一个要添加的组；要删除某个已经添加的组，在“成员属于”列表框选择该组，然后单击“删除”即可。中国科技网4.2.1域的管理1．设置域控制器属性（7）当管理员为域控制器添加多个组时，还可为域控制器设置一个主要组。要设置主要组，在“隶属于”列表框中选择要设置的主要组，一般为DomainControllers，也可为CertPublishers，然后单击“设置主要组”即可。（8）选择“位置”选项卡，可以设置域控制器的位置。（9）选择“管理者”选项卡，要更改域控制器的管理者，可单击“更改”，打开“选择用户或联系人”对话框，选择新的管理人即可。要删除管理者，可单击“清除”来删除；要查看和修改管理者属性，可单击“查看”，打开该管理者属性对话框来进行操作。（10）域控制器设置完毕，单击“确定”保存设置。中国科技网4.2.1域的管理2．查找域控制器目录内容（1）在“ActiveDirectory用户和计算机”窗口的控制台目录树中，右击域节点，在弹出的快捷菜单中选择“查找”命令，打开“查找用户联系人及组”对话框。（2）在“查找”下拉列表框中可以选择要查找的目录内容，包括“用户、联系人及组”、“计算机”、“打印机”、“共享文件夹”、“组织单位”、“自定义搜索”等。例如，在列表中选择“计算机”，在“范围”下拉列表框中选择查找范围，如整个目录。（3）在“计算机”选项卡中，设置查找条件。例如，在“计算机”文本框中输入要查找的计算机名，在“所有者”文本框中输入计算机的用户名，在“作用”下拉列表框中选择计算机在网络中作用。中国科技网4.2.1域的管理2．查找域控制器目录内容（4）单击“高级”选项卡，要设置高级查找条件，单击“字段”按钮，从弹出的快捷菜单中选择设置条件的选项，然后在“条件”下拉列表框和“值”文本框中设置查询条件。（5）高级条件设置好之后，单击“添加”按钮，将条件添加到下面的文本框中。如果要继续添加高级条件，可按照上面步骤继续添加。（6）所有查找条件设置完毕，单击“开始查找”按钮即开始查找，并将查找结果列出。中国科技网4.2.1域的管理3．连接到其他域在一个多域的网络中，用户经常需要将当前域连接到其他域，这样可使当前域中的用户和计算机访问其他域中的资源，也可将当前域控制器的部分操作主机功能传送给其他域控制器，甚至可将当前域控制器更改为其他域中的域控制器。要连接到网络中其他域时，可在控制台目录树中，右击“Active

Directory用户和计算机”根节点，从弹出的快捷菜单中选择“连接到域”命令，打开“连接到域”对话框，在“域”文本框中输入要连接的域的名称；或者单击“浏览”按钮，打开“浏览域”对话框选择要连接的域，单击“确定”按钮即可建立连接。中国科技网4.2.1域的管理4．重命名域和域控制器使用WindowsServer2003安装光盘上的工具Rendom.exe来重命名域。5．更改域控制器要更改域控制器时，可在控制台目录树中，右击“ActiveDirectory用户和计算机”根节点，从弹出的快捷菜单中选择“连接到域控制器”，打开“连接到域控制器”对话框。在“输入另一个域控制器的名称”文本框中输入要连接的域控制器；或者从域控制器列表中选择一个要连接的域控制器。如果在域中没有列出其他可用的域控制器，可选择“任何可写的域控制器”选项，系统会根据网络连接情况自动选择可用的域控制器。要连接的域控制器选定之后，单击“确定”完成连接。中国科技网4.2.1域的管理6．提升域功能级别根据网络的实际需要，可以提升域功能级别，具体步骤如下。（1）运行“管理工具”→“ActiveDirectory域和信任关系”管理应用程序。（2）右击想要管理的域的“域节点”，然后单击“提升域功能级别”。（3）在更改域模式窗口中，可以在“选一个可用的域功能级别”的下拉菜单中选择一种模式。中国科技网4.2.2配置活动目录信任1．创建明确的域信任（1）运行“管理工具”→“ActiveDirectory域和信任关系”管理应用程序。（2）在控制台树中，鼠标右键单击要管理的域节点，然后单击“属性”。（3）单击“信任”选项卡。（4）根据需要，单击“新建信任”，打开“新建信任向导”窗口，与一个Windows域建立信任则输入这个域的名称。单击“下一步”，打开的窗口会询问信任方向，WindowsServer2003中活动目录信任的方向有单向的内向信任、单向的外向信任、双向信任。这里选择“双向”。中国科技网4.2.2配置活动目录信任1．创建明确的域信任（5）单击“下一步”，窗口询问创建信任关系域的范围，选择“只是这个域”。（6）单击“下一步”，选择“全域性身份验证”；单击“下一步”打开“信任密码”窗口，输入密码。（7）单击“下一步”，给出我们所配置的信息，在以后的步骤中使用默认设置，最后单击“完成”，完成配置。注意：密码必须是信任域和被信任域双方都接受的。中国科技网4.2.2配置活动目录信任2．验证信任关系（1）运行“管理工具”→“ActiveDirectory域和信任关系”管理应用程序。（2）在控制台树中，鼠标右键单击要验证的信任关系所涉及的一个域，然后单击“属性”对话框。（3）单击“信任”选项卡，在“受此域信任的域”或“信任此域的域”中，单击要验证的信任关系，然后单击“属性”。（4）单击“验证”即可。中国科技网4.2.2配置活动目录信任3．撤销信任关系（1）运行“管理工具”→“ActiveDirectory域和信任关系”管理应用程序。（2）在控制台树中，鼠标右键单击要撤销的信任关系所涉及的一个域节点，然后单击“属性”对话框。（3）单击“信任”选项卡，在“受此域信任的域”或“信任此域的域”中，单击要撤销的信任关系，然后单击“删除”即可。（4）对于此信任关系中涉及的其他域，重复该过程。中国科技网4.2.3客户机登录Windows域的方法1．服务器端设置要把局域网中客户端的计算机加入域，必须要由网络管理员进行相应的设置。以系统管理员身份在已经设置好活动目录的服务器上登录，选择“开始”→“程序”→“管理工具”→“ActiveDirectory用户和计算机”，之后在程序界面中右击“Computers”，在弹出的快捷菜单中单击“新建”按钮，然后选择“计算机”选项，之后填入想要加入域的计算机名即可。中国科技网4.2.3客户机登录Windows域的方法2．客户端设置①启动Windows2000professional，以本地管理员身份登录到计算机。首先将客户机TCP/IP配置中所配的DNS服务器，指向域控制器所用的DNS服务器。然后右击“我的电脑”，在弹出的快捷菜单中选择“系统特性”选项，出现“系统特性”对话框。选择“网络标识”选项卡，然后单击“属性”。②在“标识更改”对话框中，输入当前计算机的名称和将要加入的域名称，假如域控制器所在的域是，则在“隶属于域”下填入gdqy，单击“确定”。中国科技网4.2.3客户机登录Windows域的方法中国科技网4.2.3客户机登录Windows域的方法2．客户端设置③随后会出现账户名称和密码输入的对话框，输入拥有加入域权限的用户账户的名称和密码，然后单击“确定”。④最后将会弹出对话框“欢迎加入域”。单击“确定”，提示需要重新启动计算机才能完成加入到域中的全部操作。单击“确定”，重新启动计算机。⑤客户端计算机重新启动之后，在提示用户登录的对话框中单击“选项”，在“登录到”下拉列表中选择需要登录的域，在“用户名”文本框中输入用户账户，在“密码”文本框中输入密码。单击“确定”，就可以以域用户账户的身份登录到域模式的局域网中，并访问域中网络资源了。中国科技网4.2.3客户机登录Windows域的方法注意事项①这里的域用户账号和密码，必须是网络管理员为用户建的那个账号和密码，而不是由本机用户自己创建的账号和密码。如果没有将计算机加入到域中，或者登录的域名、用户名、密码有一项不正确，都会出现错误信息。②当要将客户端加入到域中的时候，要保证客户端能够通过DNS服务器找到活动目录域控制器，否则客户机不能加入到域中。也就是说，要将客户机的IP的网络号设置得与DNS服务器和域控制器的相同；同时，首选或备用DNS服务器地址值设置为活动目录中的DNS服务器地址。中国科技网4.2.4域中资源的访问和控制方法1．资源发布与查找（1）发布共享文件夹和共享打印机发布共享文件夹的步骤：单击“开始”→“控制面板”→“管理工具”→打开“ActiveDirectory用户和计算机”管理应用程序；在控制台树中，双击“域节点”；右击想在其中添加共享文件夹的文件夹，指向“新建”并选择“共享文件夹”选项，出现共享文件夹对话框；键入文件夹的名称和网络路径；单击“确定”完成操作。发布共享打印机的步骤：单击“开始”→“控制面板”→“管理工具”→打开“ActiveDirectory用户和计算机”管理应用程序；在控制台树中，双击“域节点”；在控制台树中，右击想在其中发布打印机的文件夹，指向“新建”并单击“打印机”；出现设置共享打印机路径对话框；键入网络路径，单击“确定”完成操作。中国科技网4.2.4域中资源的访问和控制方法（2）资源查找①单击“开始”→“控制面板”→“管理工具”→“Active

Directory域和信任关系”管理应用程序。②在控制台树中，右击“域节点”，然后单击“查找”，出现查找对话框。③在“查找”中单击“自定义搜索”。④单击“字段”，选择要搜索的对象种类，然后单击要为其指定搜索值的对象的属性。⑤在“条件”中单击搜索的条件。⑥在“值”中键入要应用搜索条件的属性值。⑦单击“添加”，将该搜索条件添加至自定义搜索。⑧重复④至⑦，直到添加完所需的全部搜索条件为止。⑨单击“开始查找”。中国科技网4.2.4域中资源的访问和控制方法2．分布式文件系统分布式文件系统的技术思路是用户本身并不需要知道哪些服务器资源是真正存在的，他们只要简单地通过一个特殊的共享就可以访问到文件系统，而且还可以访问到他们所需要的所有数据，无论这些数据是集中存储在本地还是分散存储在许多不同的服务器中。使用DFS，系统管理员可以使用户方便地访问和管理物理上分布在网络各处的文件。通过DFS，可以使分布在多个服务器上的文件如同位于网络上的一个位置一样显示在用户面前。用户在访问文件时不再需要知道和指定它们的实际物理位置。中国科技网4.2.4域中资源的访问和控制方法（1）创建DFS根目录“根目录”就是DFS层级结构的最顶层。一个根目录中包含多个共享文件夹。要在服务器中创建根目录，单击“开始”→“运行”→“管理工具”→“分布式文件系统”→右击“分布式文件系统”，然后从快捷菜单中选择“新建根目录”选项，Windows载入新建根目录安装向导，连续单击“下一步”通过向导即可创建DFS根目录。为了确认根目录是有效的，可以右击它，然后在快捷菜单中选择“检查状态”命令。正确的状态应该显示为“联机”。中国科技网4.2.4域中资源的访问和控制方法（2）添加DFS链接打开DFS管理控制台，右击所创建的DFS根目录图标，在弹出菜单中选择“新建链接”，打开“新建链接”对话框，在“链接名称”输入框中输入在DFS中显示的共享名。在“目标路径”输入框中输入一个符合通用命名标准（UNC）的路径或者用“浏览”来指定与该链接关联的共享文件夹。完成后单击“确定”，即可将这个共享文件夹添加到DFS中。重复以上建立链接的方法可以把网络中多个主机多个共享文件夹组织到DFS中来，这样用户只要访问DFS根目录就能访问其中的所有共享文件夹了。中国科技网4.2.4域中资源的访问和控制方法（3）访问DFS①打开“网上邻居”，浏览并打开服务器（DFS根目录所在计算机），会看到服务器上所有的共享文件夹。打开DFS共享文件夹，可以看到创建DFS时添加的共享文件夹。②使用“映射网络驱动器”的方法，将DFS根目录文件夹映射为网络驱动器。③用户使用浏览器访问DFS目录，可以在浏览器地址栏中输入DFS根目录共享文件夹的路径，格式为“\\计算机名\共享文件夹名”，就能直接访问DFS目录了。④打开“开始”菜单，在运行对话框中输入DFS根目录共享文件夹的路径，单击“确定”即可。中国科技网1．实训目的通过实训，理解活动目录的概念，能够在WindowsServer2003操作系统下实际安装、配置活动目录，提供局域网内的活动目录服务。2．实训设备和条件采用硬件设备时，两台主机通过交叉双绞线相连，或者两台主机与交换机相连。采用虚拟机环境时，将两台虚拟机连接在虚拟交换机Vmnet2之上，并设为同一个网段。3．实训内容与步骤实训的具体内容与操作步骤请参见教材109页。4.2.5域模式的局域网配置实训中国科技网4.2.5域模式的局域网配置实训中国科技网4.3.1用户和计算机账户管理4.3.2组和组织单位的管理4.3.3域模式的局域网中用户管理的实训4.3活动目录的服务管理中国科技网4.3.1用户和计算机账户管理1．用户和计算机账户简介账号可以用于验证计算机或用户的身份、允许访问域中资源和审核用户或计算机账号的活动。（1）用户账户用户账户分为两类：全局用户账户和本地用户账户。（2）计算机账户每一个运行Windows的计算机在加入到域时都需要一个计算机账号，就像用户账号一样，被用来验证和审核计算机的登录过程和访问域资源。中国科技网4.3.1用户和计算机账户管理2．创建用户和计算机账户①“ActiveDirectory用户和计算机”控制台目录树中，展开域节点。②如果要创建用户账户，可右击要添加用户的组织单位或容器，从弹出的快捷菜单中选择“新建”→“用户”，打开新建对象-用户的对话框。在“姓”和“名”文本框中分别输入姓和名，并在“用户登录名”文本框中输入用户登录时使用的名字。③单击“下一步”，打开密码设置的对话框。在“密码”和“确认密码”文本框中输入要为用户设置的密码。如果希望用户下次登录时更改密码，可选择“用户下次登录时须更改密码”，否则选择“用户不能更改密码”。如果希望密码永远不过期，可选择“密码永不过期”。如果暂不启用该用户账户，可选择“账户已禁用”，单击“下一步”即可完成创建。创建计算机账户方法同上，只需在上述第②步中选择“计算机”，在弹出的对话框中输入该计算机的名称，单击“确定”即可。中国科技网4.3.1用户和计算机账户管理3．删除用户和计算机账户在控制台目录树中，展开域节点，单击要删除的用户或者计算机。在详细资料窗格中，右击要删除的用户或者计算机，从弹出的快捷菜单中选择“删除”选项，出现信息确认框后，单击“是”即可删除该用户或者计算机。4．停用用户和计算机账户在控制台目录树中，展开域节点，单击要停用的用户账户或者计算机。在详细资料窗格中，右击要停用的用户或者计算机账户，从弹出的快捷菜单中选择“停用账户”选项，出现信息确认框后，单击“是”即可停用被选用户或者计算机账户。中国科技网4.3.1用户和计算机账户管理5．移动用户和计算机账户在控制台目录树中，展开域节点，单击要移动用户或者计算机账户。在详细资料窗格中，右击要移动的用户账户，从弹出的快捷菜单中选择“移动”选项，打开“移动”对话框，在“将对象移动到容器”对话框中双击域节点，展开该节点，单击移动的目标组织单位，然后单击“确定”即可完成移动。中国科技网4.3.1用户和计算机账户管理6．为用户和计算机账户添加组要为用户账户添加组，可在控制台目录树中，展开域节点，单击要加入组的用户所在的组织单位或容器。在详细资料窗口中，右键单击该用户账户，从弹出的快捷菜单中选择“添加到组”选项，打开“为用户添加组”对话框。可以直接输入组对象的名称，也可以打开“高级”选项卡进行查找。然后在组列表框中选择一个要添加的组，单击“确定”即可为用户添加组。要为计算机账户添加组时，可在控制台目录树中，展开域节点，单击“计算机”或者要加入组的计算机所在的组织单位及容器。在详细资料窗口中，右键单击该计算机账户，从弹出的快捷菜单中选择“属性”选项，打开该计算机的属性对话框。然后单击“成员属于”标签，打开“隶属于”选项卡，单击“添加”，打开“选择组”对话框选择要加入的组，单击“确定”完成添加。中国科技网4.3.1用户和计算机账户管理7．重设用户密码在控制台目录树中，展开域节点，然后单击包含要重新设置密码的用户的组织单位或容器。在详细资料窗口中，右键单击该用户账户，从弹出的快捷菜单中选择“重设密码”选项，打开“重设密码”对话框，在“新密码”和“确认密码”文本框中输入要设置的新密码。如果允许用户更改密码，可选择“用户下次登录时须更改密码”复选框。单击“确定”保存设置，同时系统会打开确认信息框，单击“确定”可完成设置。8．管理客户计算机在控制台目录树中，展开域节点，然后单击要管理的计算机所在的组织单位。右键单击该计算机，从弹出的快捷菜单中选择“管理”选项，打开该计算机的计算机管理窗口。在该窗口中，管理员可以对连接的计算机进行系统工具、存储、服务器应用程序和服务等方面的管理。中国科技网4.3.2组和组织单位的管理1．创建新组和组织单位要创建新组，可在控制台目录树中，展开域节点，右击要进行组创建的组织单位或容器。从弹出的快捷菜单中选择“新建”→“组”选项，打开对话框，在“组名”文本框中输入要创建的组名。在“组作用域”选项区域中，选择“本地域”或“全局域”单选来确定组的作用域，在多域环境下就要利用全局组的跨多域功能；在“组类型”选项区域中，通过“安全组”或“通讯组”单选来选择组类型。单击“确定”即完成组的创建。要添加组织单位，可在控制台目录树中，展开域节点，右键单击域节点或者可添加组织单位的文件夹节点。从弹出的快捷菜单中选择“新建”→“组织单位”选项，在打开的对话框的“名称”文本框中输入新创建组织单位的名称，单击“确定”即可。中国科技网4.3.2组和组织单位的管理中国科技网4.3.2组和组织单位的管理2．删除组和组织单位在控制台目录树中，展开域节点。单击要删除的组或组织单位所在的组织单位，详细资料窗格中会列出该组织单位的内容。然后右键单击要删除的组或组织单位，选择快捷菜单中“删除”选项，这时系统会打开信息确认框，单击“是”即完成组或组织单位的删除。中国科技网4.3.2组和组织单位的管理3．委派控制组或组织单位（1）在“ActiveDirectory用户与计算机”窗口的控制台目录树中，双击展开域节点。（2）右击要委派控制的组织单位或组节点，例如Users，从弹出的快捷菜单中选择“委派控制”选项，进入“控制委派向导”窗口，单击“下一步”。（3）在打开的“用户和组”对话框中，单击“添加”，打开“选择用户、计算机或组”对话框。可以直接输入一个或多个要委派控制的用户或组，也可单击“高级”选项卡进行查找，从列表中选择一个或多个要委派控制的用户或组。（4）选择之后单击“确定”，则在创建组的“输入对象名来选择”文本框中会出现所选对象，单击“确定”。中国科技网4.3.2组和组织单位的管理3．委派控制组或组织单位（5）在打开的窗口中单击“下一步”，打开选择用户和组的“要委派的任务”对话框。可以选择要委派的常见任务，这里选择“创建自定义任务去委派”选项。（6）单击“下一步”，打开定义要委派控制任务对话框，指定委派任务范围。如果要委派的对象为整个文件夹，可选择“这个文件夹”，如果要委派的对象只是文件夹中的对象，可选择“文件夹中的对象”，并在“对象类型”列表框中通过复选框来选择对象。（7）单击“下一步”，打开“权限”对话框，通过选择“要委派的权限”复选框来选择要委派的权限，例如选择“读取”、“创建所有子对象”等复选框设置相应权限。中国科技网4.3.2组和组织单位的管理4．设置组织单位属性（1）在控制台目录树中，右键单击要设置属性的组织单位，从弹出的快捷菜单中选择“属性”选项，打开该组织单位的属性对话框。（2）在“常规”选项卡中，可以设置“描述”、“省/自治区”、“县市”、“街道”和“邮政编码”等计算机和用户常规信息。（3）选择“管理者”选项卡，单击“更改”，打开“选择用户或联系人”对话框选择一个用户或联系人作为管理者；管理者更改之后，单击“属性”，可打开所更改的管理者的属性对话框，管理员可对管理者的属性进行修改，如果要清除管理者，单击“清除”即可。中国科技网4.3.2组和组织单位的管理4．设置组织单位属性（4）单击“组策略”选项卡。要新建一个组策略对象，单击“新建”，在“组策略对象链接”列表框中会出现一个新的组策略对象，在其名称文本框中为新策略输入一个有意义的名称。组策略设置影响计算机或用户账户，并且可应用于站点、域或组织单位。它可用于配置安全选项、管理应用程序、管理桌面外观、指派脚本并将文件夹从本地计算机重新定向到网络位置。（5）单击“编辑”，会打开“组策略编辑器”窗口。在该窗口中，管理员可对创建的组策略进行编辑，包括计算机配置和用户配置两个方面。可以对计算机配置中的“登录”策略进行编辑，例如登录时是否显示欢迎界面，启动和登录是否等待网络等性质进行设置。编辑完毕，关闭窗口。（6）要设置某个组策略对象的属性，在组策略对象链接列表中选择对象，单击“属性”，打开该对象属性对话框，进行“常规”、“链接”和“安全”方面的设置。中国科技网4.3.2组和组织单位的管理4．设置组织单位属性（7）在列表中，不同位置的组策略对象具有不同的优先级，较高位置的组策略对象比较低位置的组策略对象优先级高。所以，管理员可以改变组策略对象在列表中的位置来决定组策略对象的应用级别。要改变某个组策略对象在列表中的位置，选择该对象，单击“向上”或“向下”即可上移或下移该对象。如果要删除某个组策略对象，在列表中选择该对象，然后单击“删除”即可。（8）用户要配置某个组策略对象的选项，在组策略链接列表中选择“策略1”对象，单击“选项”，打开该组策略对象的选项对话框。在“链接选项”选项区域中，选择“禁止替代”复选框，可防止其他组策略对象替代这个组对象中的策略集；启用“已禁用”复选框，可暂时禁用该策略，需要启用时，禁用“已禁用”复选框即可。然后单击“确定”返回到组策略选项卡。（9）如果要防止组策略被下一级组织单位所继承，可启用“阻止策略继承”复选框。最后单击“关闭”保存属性设置。中国科技网4.3.2组和组织单位的管理5．设置组属性（1）在控制台目录树中，单击要设置属性的组所在的组织单位或容器。在详