1、l 介紹組策略l 組策略結(jié)構(gòu)l 處理組策略對象l 組策略設置是如何應用在活動目錄l 修改組策略的繼承性l 組策略的委派管理控制l 監(jiān)控和解決組策略沖突l 最佳方案組策略是Win2008操作系統(tǒng)提供的一種重要的配置管理技術，用來批量控制計算機和用戶的環(huán)境，包括控制應用程序、系統(tǒng)設置和管理模板的一種機制。在AD域環(huán)境中，通過組策略可以對計算機和用戶組進行高效集中化的管理。組策略是AD域環(huán)境最有吸引力的基礎架構(gòu)應用之一，正確高效組策略應用可以最大化提高工作效率，節(jié)約大量時間和精力。但如果部署了不正確的組策略，排錯過程往往會使人抓狂。通過使用組策略,可以: 1.設置集中的和分散的管理 2.確保用戶有適

2、合完成他們工作的環(huán)境 3.降低控制用戶和計算機環(huán)境的總費用,因此要減少用戶需要的技術支持的級別和由于用戶的錯誤操作帶來的損失 4.推行公司策略,包括商業(yè)準則,目標和保密需要SiteDomainOUWindows 2008 Applies ContinuallyUsersComputersAdministrator Sets Group Policy OnceGroup Policyl 組策略設置的類型l 組策略的目標l 針對計算機和用戶的組策略設置l 組策略目標和活動目錄容器AdministrativeTemplates基于注冊的設定應用設置和桌面環(huán)境的設置Security配置本地的計算機、域

3、以及網(wǎng)絡安全性設置的設置Software Installation軟件安裝、升級、卸載的集中化管理的設置Scripts運行特定的命令時的設置值，如關機、退出登錄Internet Explorer Maintenance管理和定制計算機的IE設置Folder Redirection在網(wǎng)絡服務器上存儲用戶個性化文件夾的設置(重定向)GPO的設置將對站點、域或組織單位的用戶和計算機產(chǎn)生影響 1.管理員可將GPO和多個站點、域以及組織單位連接 2.也可將多個GPO和單個站點、域以及組織單位連接管理員不能將GPO和默認的活動目錄容器計算機、用戶和Binltin相連，因為他們不是OUSiteDomainO

4、UOUOUOU GPOOU GPOSite GPODomain GPO計算機的組策略設置 1.指的是操作系統(tǒng)行為、桌面行為、安全性設置等等 2.計算機相關的組策略應用在操作系統(tǒng)初始化和周期性更新循環(huán)過程中。 3.通常計算機組策略在和用戶組策略沖突時有優(yōu)先權(quán)。 用戶的組策略設置 1.用戶的組策略設置指定特定的操作系統(tǒng)行為. 2.用戶相關的組策略應用在用戶登錄計算機和周期性更新循環(huán)過程中。UsersComputers包含組策略設置存儲于兩個不同位置組管理對象（GPO）存儲在域控的sysvol共享中 存儲組策略設置的地方：包括：管理模板、腳本、軟件安裝、文件夾重定向等設置組策略模板（GPT）存儲在活

5、動目錄數(shù)據(jù)庫提供版本信息、狀態(tài)信息和相關屬性信息組策略容器（GPC）l 創(chuàng)建已連接的組策略目標l 創(chuàng)建未連接的組策略目標l 連接已存在的組策略目標組策略首選項的特點：l 只有域內(nèi)的組策略可以設置首選項l 首選項設置非強制，用戶可以更改l 首選項可以針對單一設置項目進行過濾l 首選項優(yōu)先級低于策略設置l 客戶端需安裝客戶端擴展集（CSE）l 策略設置實戰(zhàn)演練：計算機配置l 策略設置實戰(zhàn)演練：用戶配置l 首選項設置實戰(zhàn)演練1l 首選項設置實戰(zhàn)演練2l 一般的繼承與處理規(guī)則l 特殊的處理規(guī)則l 特殊的處理設置l 指定管理組策略目標的域控制器l 更改組策略的應用間隔時間 有高到底，層層應用，低級的覆蓋

6、有高到底，層層應用，低級的覆蓋高級的高級的SiteDomainOU 子容器從母容器繼承子容器從母容器繼承GPO設置值設置值ComputersUsersPayrollDomainDomain GPOl 策略是積累的，如果策略之間沒有沖突將全部應用l 如果策略之間存在沖突，將采用最新的設置l 計算機的設置，高于用戶的設置來自母容器的GPO設置和來自子容器的GPO設置沖突。子容器的設置后執(zhí)行并發(fā)揮作用。連接到同一容器上的不同的GPO的設置發(fā)生沖突時。在容器屬性對話框中GPO列表中最高位置的GPO的設置后執(zhí)行并發(fā)揮作用。nGPO1 確認收藏夾出現(xiàn)在開始菜單確認收藏夾出現(xiàn)在開始菜單中中 nGPO2 an

7、d GPO3 要求要求11位字符的密位字符的密碼并將碼并將Update icon移除開始菜單移除開始菜單nGPO4 從開始菜單移除收藏夾并讓從開始菜單移除收藏夾并讓update icon出現(xiàn)出現(xiàn)What are the resultant Group Policy settings for the OU? OUSiteDomainGPO1GPO2GPO3GPO4l 阻止繼承策略l 強制繼承策略l 篩選組策略設置l 課堂討論：改變組策略的繼承性阻止繼承 1.阻止所有的GPO繼承到子容器 2.應用配置為不重寫的連接阻止繼承將無效 3.阻止組策略設置將允許活動目錄有唯一的組策略設置GPOs Sale

8、sProductionDomainNo GPO settings apply1.將不顧其它的GPO的設置而發(fā)揮作用 2.在活動目錄的較高層次連接GPO以保證能對多個OU起作用 3.必須保證強制重要的GPOSalesProductionDomainDomain GPO settings applyConflicting GPO SettingsNo Override GPO Settings篩選組策略設置 1.明確的拒絕申請對于包含OU管理員在內(nèi)的安全組的組策略許可 2.刪除驗證的用戶DomainSalesMengphKimyoGroupDeny Apply Group PolicyAllow

9、Read and Apply Group PolicySettings That Are Neededn在域中的所有計算機上必須安裝防病毒程在域中的所有計算機上必須安裝防病毒程序序n除工資部門的用戶外所有域里的計算機必除工資部門的用戶外所有域里的計算機必須安裝微軟的須安裝微軟的office套件套件n除工資部門的管理員計算機外，工資部門除工資部門的管理員計算機外，工資部門的所有計算機都必須安裝系列商用財務應的所有計算機都必須安裝系列商用財務應用程序用程序如何設置你的如何設置你的 GPOs?PayrollSalesCTraining在計算機啟動的時候，將決定哪個計算機的GPO設置被應用在用戶登錄的

10、時候，將決定哪個用戶的GPO設置被應用Computer startsUser logs onn Computer settings appliedn Startup scripts runn User settings appliedn Logon scripts runl 強制處理GPOl 慢速鏈接的GPO處理l 環(huán)回處理模式l 禁用GPO語法: GPUpdate /Target:Computer | User /Force/Target:Computer | User 指定只有用戶或計算機策設置已被刷新。在默認情況下，用戶和計算機策略設置都被刷新。/Force 重新運用所有策略設置。在默認

11、情況下，只有已經(jīng)改變了的策略設置被應用。l 組策略能接收慢速連接l 組策略使用一種運算法則來確定連接是否為慢速連接l 默認設置如果=500k,為慢速連接客戶端擴展客戶端擴展慢速連接慢速連接基于注冊的設置基于注冊的設置打開打開(不能關閉不能關閉)IE界面設置界面設置關閉關閉軟件安裝設置軟件安裝設置關閉關閉文件夾重定向設置文件夾重定向設置關閉關閉命令設置命令設置關閉關閉EFS覆蓋設置覆蓋設置關閉關閉磁盤配額設置磁盤配額設置關閉關閉安全性和加密文件系統(tǒng)覆蓋設置安全性和加密文件系統(tǒng)覆蓋設置關閉關閉IP安全性設置安全性設置打開打開(不能關閉不能關閉)當創(chuàng)建一個新的GPO或編輯一個已存在的GPO時，默認的

12、操作在承擔PDC主控的域控制器上執(zhí)行選擇域控制器的選項 1.操作主控遵循PDC的競爭原則。 2.使用活動目錄插件形式。 3.使用任何可能的域控制器。指定域控制器方式 1.使用在組策略快照中的查看菜單下的DC選項 2.在組策略設置中指定使用什么域控制器Windows 管理規(guī)范過濾使管理員可以基于配置，角色或其他標準決定是否在指定計算機或用戶上應用一個組策略對象l 拷貝GPOl 備份GPOl 還原GPOl 導入GPOl 組策略結(jié)果集管理模板設置修改控制用戶環(huán)境的注冊設置設置在注冊子目錄樹下修改注冊設置 1.計算機設置HKEY_LOCAL_MACHINE 2.用戶設置HKEY_CURRENT_USE

13、R如果GPO不再使用，將刪除組策略Win2008將同時實現(xiàn)組策略和本地預設注冊設置，除非兩者之間存在沖突GPO List計算機啟動時，它重新獲得包含計算機配置的計算機啟動時，它重新獲得包含計算機配置的GPO設置和執(zhí)行順序設置和執(zhí)行順序計算機連接計算機連接到指定到指定域控的域控的sysvol文件夾和確定文件夾和確定Registry.pol文件位置文件位置SysvolRegistry.polRegistry.polGPT客戶機把客戶機把Registry.pol文件中的注冊設置值寫到適當?shù)淖幽夸洏湎挛募械淖栽O置值寫到適當?shù)淖幽夸洏湎翿egistry.polHKCURegistry.polHKLM

14、 在注冊設置實施以后，將顯示桌面在注冊設置實施以后，將顯示桌面注冊設置的值包含在注冊設置的值包含在Registry.pol文件夾中文件夾中管理模板設置類型禁閉桌面的設置禁閉用戶訪問網(wǎng)絡資源的設置禁閉用戶訪問管理工具和應用程序的設置組策略中的回環(huán)處理模式設置實現(xiàn)管理模板WindowsComponents用戶何以訪問的Win2008及其工具和組件部分，包括控制用戶對MMC 的訪問System登錄、退出過程，組策略，更新區(qū)間，啟用磁盤限額和實現(xiàn)回環(huán)處理Network網(wǎng)絡連接和撥號連接的屬性，包括共用網(wǎng)絡訪問Printers打印機設置，可以是打印機自動公布在活動目錄中，并使基于網(wǎng)絡的打印機無效Star

15、t Menu &Taskbar用戶可以從開始菜單中訪問的功能部件Desktop活動桌面。通過隱藏某些桌面圖標并控制用戶對My Documents文件夾的使用，可以控制用戶對網(wǎng)絡的訪問Control Panel控制面板上的一些應用程序。包括限制對添加/刪除程序，顯示和打印機的使用l隱藏桌面上的所有圖標隱藏桌面上的所有圖標l在退出時不會保存設置在退出時不會保存設置l隱藏我的電腦下具體指定的驅(qū)動器隱藏我的電腦下具體指定的驅(qū)動器 l從開始菜單中刪除從開始菜單中刪除“RUN”菜單菜單 l禁止用戶運行控制面板中的顯示功能禁止用戶運行控制面板中的顯示功能l刪除刪除Windows Update 菜單菜

16、單l使工具欄和開始菜單設置的修改無效使工具欄和開始菜單設置的修改無效l使關閉命令無效或刪除該命令使關閉命令無效或刪除該命令l隱藏隱藏My Network Places 圖標圖標l刪除刪除“Map Network Drive” 和和 “Disconnect Network Drive” l工具菜單：禁用工具菜單：禁用Internet選項選項l從開始菜單刪除從開始菜單刪除“Search”菜單菜單 l從開始菜單刪除從開始菜單刪除“Run”菜單菜單l禁用任務管理器禁用任務管理器l只運行允許的只運行允許的Windows應用程序應用程序 l在開始菜單刪除在開始菜單刪除 Documents 菜單菜單l禁用對

17、工具欄和開始菜單設置的修改禁用對工具欄和開始菜單設置的修改l隱藏開始菜單中的普通程序組隱藏開始菜單中的普通程序組 未配置 Windows2008 忽略該設置，不產(chǎn)生對計算機產(chǎn)生任何變化啟用Windows2008實現(xiàn)該設置，并把引起的變化添加到合適的Registry.pol文件中禁用Windows2008防止實現(xiàn)該設置，并把引起的變化添加到合適的Registry.pol文件中OrOr啟用啟用禁用禁用未配置未配置(默認默認)In this practice, you will edit Group Policy settings組策略腳本設置允許你：執(zhí)行不能通過其它組策略設置配置任務的腳本運行預先

18、已經(jīng)存在的用來管理用戶環(huán)境的腳本，直到建立其它組策略設置來代替這些腳本執(zhí)行的任務Scripts計算機設置用戶設置計算機用戶In this practice, you will use Group Policy to assign scripts什么是文件夾重定向選擇需要重定向的文件夾把文件夾重定向到服務器位置重定向文件夾的優(yōu)點：不管用戶從哪個計算機上登錄都可以訪問到文件夾文件夾的數(shù)據(jù)文件夾中的數(shù)據(jù)集中存儲減少網(wǎng)絡通信量重定向文件夾上的文件，與漫游用 戶配置文件中的文件不一樣，不在用戶登錄的計算機上拷貝和保存Documents Are Stored on the Server but Appear to Be Stored LocallyMyDocumentsMyDocumentsMy Documents 用戶存儲個人數(shù)據(jù)的預設位置Start Menu開始菜單中的文件夾和快捷方式Desktop包含用戶放置在桌面上的所有快捷方式Applicatio