Windows网络服务器配置与管理-提高篇 第6章 使用组策略管理用户环境和软
合集下载
Windows组策略管理
windows组策略管理
目录
• 组策略简介 • 组策略基础知识 • 组策略的配置 • 组策略的管理 • 组策略的疑难解答
01
组策略简介
组策略的定义
组策略（Group Policy）是Windows操作系统中的一项重要 功能，它通过一些预设的规则和设置，可以对计算机上的各 种配置进行集中管理和控制。
组策略的配置示例
禁用自动播放功能
在组策略编辑器中，依次展开“计算机配置”→“管理模板 ”→“系统”→“自动播放”，在右侧窗格中禁用“为所有 可用的自动播放设备关闭自动播放”选项。
配置打印机权限
在组策略编辑器中，依次展开“计算机配置”→“管理模板 ”→“控制面板”→“打印机”，在右侧窗格中配置打印机 权限，设置特定用户或用户组对打印机的访问权限。
05
组策略的疑难解答
组策略常见问题
问题1
如何在Windows系统中打开组策略？
问题2
如何在组策略中修改计算机或用户配置 ？
问题3
如何通过组策略控制应用程序的配置？
问题4
组策略有哪些常见问题及如何解决？
组策略故障排除
方法1
方法2
使用“gpedit”命令排除组策略故障
使用注册表编辑器排除组策略故障
设置不同的规则和配置。
安全可靠
03
组策略的配置是具有安全可靠性的，一旦设置完毕，除非经过
管理员的修改，否则不能轻易改变。
02
组策略基础知识
组策略的组成
组策略对象（GPO）
组策略的基础单元，用于定义特定的配置设置。
域
定义网络中安全性和身份验证的边界。
组织单位（OU）
将用户和计算机组织到逻辑组中，以便更好地管理GPO。
目录
• 组策略简介 • 组策略基础知识 • 组策略的配置 • 组策略的管理 • 组策略的疑难解答
01
组策略简介
组策略的定义
组策略（Group Policy）是Windows操作系统中的一项重要 功能，它通过一些预设的规则和设置，可以对计算机上的各 种配置进行集中管理和控制。
组策略的配置示例
禁用自动播放功能
在组策略编辑器中，依次展开“计算机配置”→“管理模板 ”→“系统”→“自动播放”，在右侧窗格中禁用“为所有 可用的自动播放设备关闭自动播放”选项。
配置打印机权限
在组策略编辑器中，依次展开“计算机配置”→“管理模板 ”→“控制面板”→“打印机”，在右侧窗格中配置打印机 权限，设置特定用户或用户组对打印机的访问权限。
05
组策略的疑难解答
组策略常见问题
问题1
如何在Windows系统中打开组策略？
问题2
如何在组策略中修改计算机或用户配置 ？
问题3
如何通过组策略控制应用程序的配置？
问题4
组策略有哪些常见问题及如何解决？
组策略故障排除
方法1
方法2
使用“gpedit”命令排除组策略故障
使用注册表编辑器排除组策略故障
设置不同的规则和配置。
安全可靠
03
组策略的配置是具有安全可靠性的，一旦设置完毕，除非经过
管理员的修改，否则不能轻易改变。
02
组策略基础知识
组策略的组成
组策略对象（GPO）
组策略的基础单元，用于定义特定的配置设置。
域
定义网络中安全性和身份验证的边界。
组织单位（OU）
将用户和计算机组织到逻辑组中，以便更好地管理GPO。
提升Windows系统安全性的组策略设置
组策略在Windows系统中的作用
01
02
03
集中化管理
组策略允许管理员从中央 位置管理网络上的计算机 ，减少了单独配置每台计 算机的需求。
自定义设置
通过组策略，可以定制软 件安装、系统配置、安全 设置等，以满足特定组织 的需求。
安全增强
组策略可以用于实施安全 策略，如软件限制、注册 表限制、安全桌面等，从 而提高系统的安全性。
访问控制列表（ACL）
限制不必要的访问
01
通过ACL，可以限制特定用户或组对关键文件、文件夹或注册
表的访问。
配置文件和注册表权限
02
通过精细控制文件和注册表的权限，可以防止未授权修改，提
高系统稳定性。
审核对象访问
03
启用ACL的审核功能，可以追踪对特定资源的使用情况，及时
发现异常行为。
04
软件限制策略
密码策略
总结词
密码策略用于规范和强制用户设置符合安全要求的密码，提 高密码的安全性。
详细描述
通过设置密码策略，可以要求用户定期更换密码，并限制密 码的复杂性和长度。同时，可以启用密码历史记录功能，防 止用户重复使用相同的密码。
账户过期策略
总结词
账户过期策略用于自动注销过期的账 户，确保账户的安全性。
强制安全启动
启用强制安全启动后，计算机将始终 使用安全启动模式，即使在用户禁用 该功能的情况下也是如此。
安全选项配置
账户锁定策略
通过设置账户锁定策略，可以防止未经授权的用户多次尝试登录到计算机。
密码策略
设置密码策略可以要求用户定期更改密码，并限制密码的复杂性和长度。
防火墙配置
入站规则
配置入站规则可以允许或拒绝来自外部 网络的连接请求，从而提高计算机的安 全性。
网络服务器配置与管理—WindowsServer2012R2教学大纲
《网络服务器配置与管理》教学大纲学时：54代码：适用专业：制定：审核：批准：一、课程的地位、性质和任务网络服务器在计算机网络中具有核心的地位，企业或组织机构组建自己的服务器来运行各种网络应用业务，需要更多掌握网络服务器的部署、配置和管理，并能解决实际网络应用问题的应用型人才。
本课程的开设旨在培养此类人才，使学生能够熟练地部署、配置和管理各类网络服务器。
通过本课程的学习，学生应该熟悉Windows服务器操作系统的基本操作，掌握网络服务器部署、配置与管理的技术方法。
通过在教学过程中的规范要求，培养学生分析和解决实际问题的能力，强化学生的职业道德意识、职业素养意识和创新意识。
本课程要达到的能力目标如下。
（1）培养学生网络服务器规划和部署实施的能力（2）培养学生Windows服务器配置管理和运维的能力（3）培养学生发现问题、分析问题和解决问题的能力（4）培养良好的文化修养、职业道德、服务意识和敬业精神（5）培养团队合作和协调沟通能力二、课程教学基本要求理论上，要求学生掌握Windows服务器操作系统的基础知识，了解各类网络服务器的基本概念和基本原理，以及应用场景。
技能上，要求学生能掌握各类网络服务器的规划、部署、配置与管理。
要求在教学过程中合理安排理论课时和实验课时，让学生有充分的时间动手实践，练习课程中学到的服务器配置管理方法。
三、课程的内容四、课时分配表五、实验项目及基本要求实验课按教材每章实操的内容安排。
六、考核办法1．考试采用统一命题，包括笔试和上机考试，考试时间分别为120分钟。
课程成绩=（笔试成绩+上机考试成绩）/2。
2．本大纲各部分所规定基本要求、知识点及知识点下的知识细目，都属于考核的内容。
考试命题覆盖到各部分，并适当突出重点部分，加大重点内容的覆盖密度。
3．试题的难度可分为易、较易、较难和难四个等级，试卷试题难度的分数比例一般为2:3:3:2。
4．试题主要题型有：填空、选择题、多选、简答及综合应用等。
提升windows系统安全性的组策略设置
06
安全加固建议
使用强密码并定期更换密码
总结词
强密码是保护Windows系统安全性的重要措施之一，应定期更换密码，以降低被破解的风险。
详细描述
强密码应包含大写字母、小写字母、数字和特殊字符，且长度至少为8位。建议使用密码管理工具来生成和保存 复杂的密码。定期更换密码可减少被破解的时间，一般建议每3个月更换一次密码。
组策略在系统安全中的作用
配置安全审计
01
通过配置安全审计，可以记录系统中发生的安全事件，以便及
时发现并应对潜在的安全威胁。
禁用不必要的网络协议
02
禁用不必要的网络协议可以减少系统的漏洞，提高系统的安全
性。
配置防火墙规则
03
通过配置防火墙规则，可以限制网络流量，防止恶意软件通过
网络进行传播。
02
账户策略
设定锁定帐户的时间长度，防止暴力破解。
复位帐户锁定计数器
在达到帐户锁定阈值后，可以复位计数器，重新解锁帐户。
审核策略
审核登录事件
对登录事件进行审核，以便在发生异常登录时进行审计。
审核账户管理事件
对账户管理事件进行审核，以便在发生异常账户操作时进行审计。
审核目录服务访问事件
对访问目录服务的事件进行审核，以便在发生异常访问时进行审计 。
网络访问保护（NAP）
通过强制执行安全策略，限制不符合安全标准的计算机的互联网访问，以减少 网络威胁。
网络安全保护
对网络连接进行加密和安全认证，以保护数据传输过程中的隐私和完整性。
安全审计策略
日志审计
对系统活动进行详细记录和审计，以便于追踪和调查潜在的 安全事件。
安全事件响应
及时响应和处理安全事件，以防止其对系统造成进一步的损 害。
WINDOWS服务器的配置与管理
图9-3
NTFS权限与活动目录
取消“允许将来自父项的 继承权限传播给该对象和所 有子对象。包括那些在此明 确定义的项目（A）。”选 项，系统将弹出“安全”对 话框，如图9-4所示。若单 击“复制”按钮，可将上级 文件夹的权限复制过来，并 使权限可以重新修改；若单 击“删除”按钮，可删除对 Everyone组的授权。此处单 击“复制”按钮。
返回
NTFS权限与活动目录
一、NTFS权限的基本概念
NTFS即NT File System（NT 文件系统），它是微软公司 基于Windows NT内核的操作系统特有的一种文件系统格式， 相对于传统的FAT和FAT32文件系统， NTFS文件系统通 过NTFS权限提供文件和文件夹级的安全访问控制。通过 NTFS权限可控制用户对某个NTFS文件或文件夹所能执行 的操作，并且可以跟踪用户对文件所执行的所有操作。
图9-10
NTFS权限与活动目录
2．NTFS权限的基本原则 （1）权限最大化
用户对于某个对象的NTFS权限追求最大化原则，所有可获得 权限的加总是其最后权限。 （2）拒绝权最大 在NTFS权限设置中，一个用户对某个对象的权限是其所有权 限的总和，但是如果存在拒绝权限，则拒绝权限将覆盖其他 的相应权限。
图9-9
NTFS权限与活动目录
⑩如果希望让某个用户获得该 文件夹的所有权，则选择“所 有者”选项卡，如图9-10所示， 该选项卡的“目前该项目的所 有者”栏中显示出了目前该文 件夹的所有者，在“将所有者 更改为”列表框中选择要获得 所有权的用户，单击“应用” 按钮，则可将该文件夹的所有 者替换为选定的用户。单击 “确定”按钮。
⑤选择几个重要的保 存路径。
在图9-20中，单击 “下一步”按钮，在出 现的“数据库和日志文 件文件夹”界面中为活 动目录数据库和日志选 择合适的保存位置，如 图9-21所示。
NTFS权限与活动目录
取消“允许将来自父项的 继承权限传播给该对象和所 有子对象。包括那些在此明 确定义的项目（A）。”选 项，系统将弹出“安全”对 话框，如图9-4所示。若单 击“复制”按钮，可将上级 文件夹的权限复制过来，并 使权限可以重新修改；若单 击“删除”按钮，可删除对 Everyone组的授权。此处单 击“复制”按钮。
返回
NTFS权限与活动目录
一、NTFS权限的基本概念
NTFS即NT File System（NT 文件系统），它是微软公司 基于Windows NT内核的操作系统特有的一种文件系统格式， 相对于传统的FAT和FAT32文件系统， NTFS文件系统通 过NTFS权限提供文件和文件夹级的安全访问控制。通过 NTFS权限可控制用户对某个NTFS文件或文件夹所能执行 的操作，并且可以跟踪用户对文件所执行的所有操作。
图9-10
NTFS权限与活动目录
2．NTFS权限的基本原则 （1）权限最大化
用户对于某个对象的NTFS权限追求最大化原则，所有可获得 权限的加总是其最后权限。 （2）拒绝权最大 在NTFS权限设置中，一个用户对某个对象的权限是其所有权 限的总和，但是如果存在拒绝权限，则拒绝权限将覆盖其他 的相应权限。
图9-9
NTFS权限与活动目录
⑩如果希望让某个用户获得该 文件夹的所有权，则选择“所 有者”选项卡，如图9-10所示， 该选项卡的“目前该项目的所 有者”栏中显示出了目前该文 件夹的所有者，在“将所有者 更改为”列表框中选择要获得 所有权的用户，单击“应用” 按钮，则可将该文件夹的所有 者替换为选定的用户。单击 “确定”按钮。
⑤选择几个重要的保 存路径。
在图9-20中，单击 “下一步”按钮，在出 现的“数据库和日志文 件文件夹”界面中为活 动目录数据库和日志选 择合适的保存位置，如 图9-21所示。
Windows操作系统组策略应用全攻略
创建组策略对象
VS
在组策略编辑器右侧的窗格中，可以选择相应的策略进行编辑。例如，可以设置计算机配置或用户配置的策略，包括Windows设置、安全设置、用户权限分配等。
导入脚本
可以在组策略编辑器中导入脚本来自动化设置策略。脚本文件通常以`.bat`或`.ps1`格式存在，可以在编辑器中选择“文件”菜单下的“导入”命令，选择脚本文件并点击“打开”即可导入。
网络通讯设置
04
组策略的故障分析与排除
确定故障范围
要明确故障的具体范围，例如是特定用户、计算机或网络范围内的故障。
组策略的故障识别
了解故障症状
要了解并记录有关故障的具体表现和症状，包括是否出现错误消息、功能失效或性能下降等。
检查应用程序和服务
检查是否安装了可能干扰组策略的应用程序或服务，并禁用它们以进行故障排除。
THANK YOU.
谢谢您的观看
组策略的优点和限制
02
组策略的创建与编辑
打开“组策略”编辑器
在Windows操作系统中，按下“Win键”+“R”键打开“运行”对话框，输入“gpedit.msc”并点击“确定”打开组策略编辑器。
创建新的组策略对象
在组策略编辑器左侧的树形视图中，右键点击“计算机配置”或“用户配置”，选择“新建策略”，输入策略名称后点击“确定”即可创建新的组策略对象。
在Windows操作系统中，组策略是管理员进行配置和管理的强大工具，可在计算机或特定用户上设置各种配置，包括软件设置、安全性和网络设置等。
组策略基本概念
组策略是Windows操作系统中的一种机制，管理员可以使用它来定义计算机或特定用户的各种配置。
组策略基本操作
组策略的基本操作包括创建、编辑、删除、导出和导入等。
利用组策略进行系统设置与调整上网设置
制定组策略部署计划
在部署组策略之前，需要制定详细的部署计 划。
分发组策略配置
通过组策略管理控制台，可以将组策略配置 分发到目标计算机或用户。
THANKS
谢谢您的观看
规则配置
根据需要配置防火墙规则，以便允许或拒绝特 定的网络流量。
监控日志
定期查看防火墙日志，以便及时发现和解决潜在的安全威胁。
隐私保护措施
清除浏览器缓存
定期清除浏览器缓存和临时文件，以保护个人隐私和数据安全。
禁用不必要的插件
禁用或删除不必要的浏览器插件，以减少个人信息泄露的风险。
使用加密通信
确保在使用互联网服务时使用加密通信协议，如HTTPS，以保护数 据传输的安全性。
详细描述
打开组策略编辑器，定位至“计算机配置策 略管理模板Windows组件Internet Explorer”，然后双击相应的策略进行配置 。例如，要禁止更改主页，可以启用“禁止 更改主页”策略。
03
上网设置
代理服务器设置
总结词
代理服务器设置允许用户通过代理服务器进行网络连接，以实现网络访问的匿名性和安 全性。
屏幕保护程序设置
总结词
通过组策略可以设置屏幕保护程序的运行方式、等待时间等参数，以保护计算机屏幕。
详细描述
打开组策略编辑器，定位至“计算机配置策略管理模板控制面板个性化”，然后双击“屏幕保护程序”进行配置 。例如，要设置屏幕保护程序的等待时间，可以启用“设置等待时间”策略，并输入所需的分钟数。
文件夹选项设置
详细描述
通过组策略编辑器，可以配置代理服务器设置，包括代理服务器地址、端口号以及是否 启用代理等。这些设置将应用于计算机或用户组，确保网络连接通过代理服务器进行。
Windows网络服务器配置与管理.ppt
▪ 广域网（WAN：Wide Area Network）：分布在不同城市、 国家或洲的网络。广域网的覆盖范围通常在几十到几千公 里。由于广域网中数据传输距离远，线路铺设费用高，因 此采用的技术和局域网有很大的差别，传输速率也比较低。
▪ 2、按ቤተ መጻሕፍቲ ባይዱ作模式划分
▪ 对等网模式：资源分布式存放，资源的管理也是分布进行的。 简单的说，就是自己管理自己。适用于家庭或小型办公室等 计算机数量少的网络。Windows中，可以用工作组来实现 对等网。
▪ 适用场合：局域网、广域网。
❖ 1．2．2 环型结构
▪ 这种结构中的传输媒体从一个端用户到另一个端用户，直到将所有 的端用户连成环型。数据在环路中沿着一个方向在各个节点间传输， 信息从一个节点传到另一个节点。这种结构显而易见消除了端用户 通信时对中心系统的依赖性。
▪ 环行结构的特点是：每个端用户都与两个相临的端用户相连，因而 存在着点到点链路，但总是以单向方式操作，于是便有上游端用户 和下游端用户之称；信息流在网中是沿着固定方向流动的，两个节 点仅有一条道路，故简化了路径选择的控制；控制软件简单；由于 信息源在环路中是串行地穿过各个节点，当环中节点过多时，势必 影响信息传输速率，使网络的响应时间延长；环路是封闭的，不便 于扩充；可靠性低，一个节点故障，将会造成全网瘫痪；维护难， 对分支节点故障定位较难。
Windows Server 2003网络服务器 配置与管理
基础篇
本课程的主要内容
❖ 计算机网络基础理论和基础知识 ❖Windows Server 2003系统管理 ❖ 网络服务配置与管理
内容简介
❖ 第1章 计算机网络基础知识 ❖ 第2章 TCP/IP协议及常用网络命令 ❖ 第3章 安装Windows Server 2003 ❖ 第4章 本地用户和组的管理 ❖ 第5章 磁盘管理 ❖ 第6章 文件系统管理 ❖ 第7章 域和活动目录 ❖ 第8章 配置和管理DNS服务器 ❖ 第9章 管理和配置DHCP服务器 ❖ 第10章 配置和管理Internet信息服务 ❖ 第11章 配置和管理打印服务器 ❖ 第12章 远程管理与终端服务 ❖ 第13章 备份与灾难恢复 ❖ 第14章 网络管理与维护简介
▪ 2、按ቤተ መጻሕፍቲ ባይዱ作模式划分
▪ 对等网模式：资源分布式存放，资源的管理也是分布进行的。 简单的说，就是自己管理自己。适用于家庭或小型办公室等 计算机数量少的网络。Windows中，可以用工作组来实现 对等网。
▪ 适用场合：局域网、广域网。
❖ 1．2．2 环型结构
▪ 这种结构中的传输媒体从一个端用户到另一个端用户，直到将所有 的端用户连成环型。数据在环路中沿着一个方向在各个节点间传输， 信息从一个节点传到另一个节点。这种结构显而易见消除了端用户 通信时对中心系统的依赖性。
▪ 环行结构的特点是：每个端用户都与两个相临的端用户相连，因而 存在着点到点链路，但总是以单向方式操作，于是便有上游端用户 和下游端用户之称；信息流在网中是沿着固定方向流动的，两个节 点仅有一条道路，故简化了路径选择的控制；控制软件简单；由于 信息源在环路中是串行地穿过各个节点，当环中节点过多时，势必 影响信息传输速率，使网络的响应时间延长；环路是封闭的，不便 于扩充；可靠性低，一个节点故障，将会造成全网瘫痪；维护难， 对分支节点故障定位较难。
Windows Server 2003网络服务器 配置与管理
基础篇
本课程的主要内容
❖ 计算机网络基础理论和基础知识 ❖Windows Server 2003系统管理 ❖ 网络服务配置与管理
内容简介
❖ 第1章 计算机网络基础知识 ❖ 第2章 TCP/IP协议及常用网络命令 ❖ 第3章 安装Windows Server 2003 ❖ 第4章 本地用户和组的管理 ❖ 第5章 磁盘管理 ❖ 第6章 文件系统管理 ❖ 第7章 域和活动目录 ❖ 第8章 配置和管理DNS服务器 ❖ 第9章 管理和配置DHCP服务器 ❖ 第10章 配置和管理Internet信息服务 ❖ 第11章 配置和管理打印服务器 ❖ 第12章 远程管理与终端服务 ❖ 第13章 备份与灾难恢复 ❖ 第14章 网络管理与维护简介
Windows网络操作系统配置与管理单元六任务4：配置文件屏蔽
◦ 设设置例置外路径文件屏蔽例外
◦ 配置从屏蔽中排出的文件组
三、演示：创工作建情景文： 件屏蔽
你是时讯公司网络管理员，公司要求禁止将某些类型 的文件存放到公司的文件服务器上，你需要对test 文件夹进 行文件屏蔽，当向该文件夹存入可执行文件.bat时，将被禁 止写入，并发出告警信息。
实验任务： 1. 配置文件屏蔽模板 2.配置为某个磁盘或文件夹设置文件屏蔽 3.测试
二、知识原理 2.1 文件屏蔽的工作原理 2.2 文件屏蔽模板 2.3 文件屏蔽设置 2.4 文件屏蔽例外
三、演示：配置文件屏蔽 四、小结
一、课程导入
◦ 公司出于安全考虑，希望禁止将某些类型的文件存放到公司的共享文件 夹，当有用户将这类文件写到该文件夹时，将被禁止写入，并发出告警 信息。如何实现以上功能？
2.2 文件屏蔽模板
文件屏蔽模板可以定义：
• 要阻止的文件组 • 要执行的屏蔽类型 • 要生成的通知
文件组
◦ 管理员可以将文件类型定义到组中 ◦ 例如：Office文件组包括*.docx文件和 *.xlsx文件。
屏蔽类型
◦ 主动屏蔽：不允许用户保存指定的文件类型
◦ 被动屏蔽：允许保存这些文件，但是这种活动被记入日志用以提供监控 和报表功能。
五、小结
学习完本章后，将能够： ◦ 了解文件屏蔽的工作原理 ◦ 掌握文件屏蔽模板的配置 ◦ 掌握文件屏蔽的配置 ◦ 掌握文件屏蔽例外的配置
单元十：配置与管理DNS服务器
单元十一：配置与管理Web服务 器
单元十二：配置与管理ADCS
单元十三：配置路由与远程访问
单元十四：配置网络策略服务和 网络访务2 任务3 任务4
磁盘管理 安装FSRM角色 配置磁盘配额 配置文件屏蔽
《Windows Server 2012网络服务器配置与管理》课程标准
《Windows Server 2012网络服务器配置与管理》课程标准一、课程性质与任务本课程是计算机网络技术专业的一门专业主干课程。
通过该门课程的学习，使学生能够初步了解网络环境中基本概念、名词以及相关术语。
掌握网络操作系统Windows Server 2012的基本原理、主要功能;掌握网络操作系统的相关服务的特点和原理;重点掌握网络操作系统中各种服务的设计思想、配置过程、使用方法和故障的诊断与维护的方法。
本课程也是网络管理员执业资格考试的重要内容，在整个课程体系中具有重要的作用。
本课程的主要任务是培养具备运行、管理和维护基于Windows网络操作系统的技能人才，通过该课程的学习，提高学生的综合素质，增强学生实际操作能力，使学生获得网络管理的能力，能胜任网络管理员的职责。
二、课程教学目标（一）知识目标1.会安装和配置Windows Server 2012以及部署客户机；2.会对Windows Server 2012环境进行网络配置；3.会部署Windows Server 2012网络，实现工作组之间的资源共享；4.会配置适当的权限和策略来保障Windows网络安全；5.会配置和管理Windows Server 2012的各种服务；6.会在Windows Server 2012网络环境中配置Internet 访问；7.会对Windows Server 2012 域环境下的办公网络的组建与维护。
（二）能力目标1.会安装和维护服务器系统软件和应用软件；2.会搭建与配置网络；3.会管理用户权限；4.能负责各种Windows网络服务器的建设、管理、日常运行维护，保证所有系统持续处于良好的工作状态；5.会解决排除各种软硬件故障。
（三）职业素养目标1.能遵守国家关于网络管理的相关法律法规；2.能具备网管的岗位素养；3.能形成网络技术应用能力及创新、创业能力；4.形成良好的职业行为习惯；5.提高学生集体荣誉感和责任感。
Windows系统组策略应用技巧
可以通过组策略配置计算机电源管理 选项，包括屏幕保护程序、电源方案
等，提高计算机ห้องสมุดไป่ตู้能效果。
03
组策略应用技巧
管理用户账户
创建新的用户账户
01
通过控制面板或命令行创建新的用户账户，并设置密码和权限
。
禁用或删除不必要的用户账户
02
禁用或删除不必要的用户账户，以减少系统的安全风险和管理
负担。
限制用户账户的登录时间
根据系统检测到的软件使用情况，智能推荐需要 的软件安装，提高工作效率。
实现批量操作
批量删除文件
可以批量删除不需要的文件，节省存储空间 ，提高系统运行速度。
批量重命名文件
通过组策略可以实现对文件名的批量重命名 ，极大提高工作效率。
批量修改文件属性
根据需要可以批量修改文件的属性，如只读 、隐藏等，提高文件管理效率。
优化系统性能（续）
关闭无用服务
通过组策略可以关闭无用的系统服务，减少系统资源占用，提高 系统性能。
优化磁盘读写速度
通过组策略可以优化磁盘读写速度，提高文件访问速度。
禁止不必要的窗口
可以禁止不必要的系统窗口弹出，减少系统资源占用，提高系统响 应速度。
THANK YOU
通过组策略禁用不必要的网络共享，可以减 少病毒通过网络传播的风险。
限制不必要的端口
通过组策略限制不必要的端口，可以防止病 毒通过这些端口入侵系统。
强制执行安全设置
通过组策略强制执行安全设置，可以确保系 统的安全性和稳定性。
加强系统安全
禁用不必要的服务
通过组策略禁用不必要的服务，可以减少系统资源占用，提高系统 性能和安全性。
限制不必要的程序运行
等，提高计算机ห้องสมุดไป่ตู้能效果。
03
组策略应用技巧
管理用户账户
创建新的用户账户
01
通过控制面板或命令行创建新的用户账户，并设置密码和权限
。
禁用或删除不必要的用户账户
02
禁用或删除不必要的用户账户，以减少系统的安全风险和管理
负担。
限制用户账户的登录时间
根据系统检测到的软件使用情况，智能推荐需要 的软件安装，提高工作效率。
实现批量操作
批量删除文件
可以批量删除不需要的文件，节省存储空间 ，提高系统运行速度。
批量重命名文件
通过组策略可以实现对文件名的批量重命名 ，极大提高工作效率。
批量修改文件属性
根据需要可以批量修改文件的属性，如只读 、隐藏等，提高文件管理效率。
优化系统性能（续）
关闭无用服务
通过组策略可以关闭无用的系统服务，减少系统资源占用，提高 系统性能。
优化磁盘读写速度
通过组策略可以优化磁盘读写速度，提高文件访问速度。
禁止不必要的窗口
可以禁止不必要的系统窗口弹出，减少系统资源占用，提高系统响 应速度。
THANK YOU
通过组策略禁用不必要的网络共享，可以减 少病毒通过网络传播的风险。
限制不必要的端口
通过组策略限制不必要的端口，可以防止病 毒通过这些端口入侵系统。
强制执行安全设置
通过组策略强制执行安全设置，可以确保系 统的安全性和稳定性。
加强系统安全
禁用不必要的服务
通过组策略禁用不必要的服务，可以减少系统资源占用，提高系统 性能和安全性。
限制不必要的程序运行
利用组策略进行系统设置与调整上网设置
利用组策略进行系统设置与调整 上网设置
xx年xx月xx日
目录
• 组策略概述 • 利用组策略进行系统设置 • 组策略进行上网设置 • 利用组策略进行安全设置 • 利用组策略进行高级设置
01
组策略概述
组策略的定义与作用
组策略（Group Policy）是一种基 于域的网络安全管理工具，用于管 理和控制Windows操作系统中用户 和计算机的配置和行为。
通过组策略可以配置网络连接的属性，例如IP地址、子 网掩码、网关等，确保网络连接的正常使用。
配置DNS解析
通过组策略可以配置DNS解析的属性，例如首选DNS 服务器、备用DNS服务器等，以确保域名解析的准确 性。
设置IE浏览器安全和隐私
IE浏览器安全设置
通过组策略可以设置IE浏览器的安全设置，例如禁用或启用 ActiveX控件、Java Applets和插件等，以增强浏览器安全性 。
件夹的安全性。
禁用或启用网络共享功能
禁用或启用网络共享
通过组策略可以禁用或启用网络共享功能 ，以确保计算机中的重要数据不被其他用 户访问或修改。
VS
设置共享权限
通过组策略可以设置共享文件夹的权限， 例如读取、写入、执行等，以确保共享文 件夹的安全性。
04
利用组策略进行安全设置配置Windows DFra bibliotekfender防病毒
设置系统服务和启动选项
服务管理
通过组策略配置服务的启动、停止和禁用选项，以满足特定的系统需求。
登录和注销选项
设置用户登录和注销的方式，以及登录时需要运行的脚本或应用程序。
禁用或启用注册表编辑器
禁用注册表编辑器
为了防止用户或程序误操作导致系统不稳定 或崩溃，可以通过组策略禁用注册表编辑器 。
xx年xx月xx日
目录
• 组策略概述 • 利用组策略进行系统设置 • 组策略进行上网设置 • 利用组策略进行安全设置 • 利用组策略进行高级设置
01
组策略概述
组策略的定义与作用
组策略（Group Policy）是一种基 于域的网络安全管理工具，用于管 理和控制Windows操作系统中用户 和计算机的配置和行为。
通过组策略可以配置网络连接的属性，例如IP地址、子 网掩码、网关等，确保网络连接的正常使用。
配置DNS解析
通过组策略可以配置DNS解析的属性，例如首选DNS 服务器、备用DNS服务器等，以确保域名解析的准确 性。
设置IE浏览器安全和隐私
IE浏览器安全设置
通过组策略可以设置IE浏览器的安全设置，例如禁用或启用 ActiveX控件、Java Applets和插件等，以增强浏览器安全性 。
件夹的安全性。
禁用或启用网络共享功能
禁用或启用网络共享
通过组策略可以禁用或启用网络共享功能 ，以确保计算机中的重要数据不被其他用 户访问或修改。
VS
设置共享权限
通过组策略可以设置共享文件夹的权限， 例如读取、写入、执行等，以确保共享文 件夹的安全性。
04
利用组策略进行安全设置配置Windows DFra bibliotekfender防病毒
设置系统服务和启动选项
服务管理
通过组策略配置服务的启动、停止和禁用选项，以满足特定的系统需求。
登录和注销选项
设置用户登录和注销的方式，以及登录时需要运行的脚本或应用程序。
禁用或启用注册表编辑器
禁用注册表编辑器
为了防止用户或程序误操作导致系统不稳定 或崩溃，可以通过组策略禁用注册表编辑器 。
Windows网络操作系统配置与管理单元六任务1：磁盘管理
动态 4094 MB 联机
新卷 (G)
100 MB NTFS 状态良好
3994 MB 未分配
3994 MB 未分配
剩余空间包含在一个 逻辑卷中
跨区卷
4. 带区卷
磁盘 1
动态
4094 MB 联机
新卷 (G) 100 MB NTFS 状态良好
磁盘 2
动态 4094 MB 联机
新卷 (G) 100 MB NTFS 状态良好
工作任务
任务1 任务2 任务3 任务4
磁盘管理 安装FSRM角色 配置磁盘配额 配置文件屏蔽
单元六 配置与管理存储系统
任务1 任务2 任务3 任务4
磁盘管理 安装FSRM角色 配置磁盘配额 配置文件屏蔽
任务1 磁盘管理
一、课程导入 二、知识原理
2.1 磁盘管理工具 2.2 基本磁盘 2.3 动态磁盘 2.4 动态磁盘转换 2.5 动态磁盘卷 2.6 动态磁盘卷的综合比较 三、演示：创建动态磁盘卷 四、小结
3994 MB 未分配
3994 MB 未分配
空余空间合并到一个 逻辑卷
数据交替写到磁盘 64 KB 单元
64 KB
64 KB
64 KB
带区卷
带区卷
◦ 带区卷与跨区卷相似，但使用特殊格式向每个带上的分区平均地写入数 据。
◦ 至少需要两块磁盘 ◦ 最多支持32块磁盘 ◦ 将数据分成64KB的”块“ ◦ 提高性能 ◦ 无法容错
单元十：配置与管理DNS服务器
单元十一：配置与管理Web服务 器
单元十二：配置与管理ADCS
单元十三：配置路由与远程访问
单元十四：配置网络策略服务和 网络访问保护
单元六 配置与管理存储系统
工作背景
新卷 (G)
100 MB NTFS 状态良好
3994 MB 未分配
3994 MB 未分配
剩余空间包含在一个 逻辑卷中
跨区卷
4. 带区卷
磁盘 1
动态
4094 MB 联机
新卷 (G) 100 MB NTFS 状态良好
磁盘 2
动态 4094 MB 联机
新卷 (G) 100 MB NTFS 状态良好
工作任务
任务1 任务2 任务3 任务4
磁盘管理 安装FSRM角色 配置磁盘配额 配置文件屏蔽
单元六 配置与管理存储系统
任务1 任务2 任务3 任务4
磁盘管理 安装FSRM角色 配置磁盘配额 配置文件屏蔽
任务1 磁盘管理
一、课程导入 二、知识原理
2.1 磁盘管理工具 2.2 基本磁盘 2.3 动态磁盘 2.4 动态磁盘转换 2.5 动态磁盘卷 2.6 动态磁盘卷的综合比较 三、演示：创建动态磁盘卷 四、小结
3994 MB 未分配
3994 MB 未分配
空余空间合并到一个 逻辑卷
数据交替写到磁盘 64 KB 单元
64 KB
64 KB
64 KB
带区卷
带区卷
◦ 带区卷与跨区卷相似，但使用特殊格式向每个带上的分区平均地写入数 据。
◦ 至少需要两块磁盘 ◦ 最多支持32块磁盘 ◦ 将数据分成64KB的”块“ ◦ 提高性能 ◦ 无法容错
单元十：配置与管理DNS服务器
单元十一：配置与管理Web服务 器
单元十二：配置与管理ADCS
单元十三：配置路由与远程访问
单元十四：配置网络策略服务和 网络访问保护
单元六 配置与管理存储系统
工作背景
模块六组策略的管理和应用.
图6-3
三、组策略的管理和应用
• 然后点“编辑”，即打开“组策略编辑器”。
图6-4
三、组策略的管理和应用
• 在组策略编辑器的计算机配置里，点【软件设置】前“+”号展开， 选择【软件安装】后在右边空白处右击，如图6-5所示，在弹出菜 单里选择【新建】→【程序包】。
图6-5
三、组策略的管理和应用
• 点开“程序包”后会出来让你选择程序包位置的窗口，如图6-6所 示，程序包文件是MSI后缀的文件，MSI文件是Windows Installer的数据包，它实际上是一个数据库，包含安装一种产品 所需要的信息和在很多安装情形下安装（和卸载）程序所需的 指令和数据。可以应用工具自己创建自己的MSI程序包，创建 MSI程序包的工具一般在系统安装盘里有。
一、组策略概述
• 所谓策略（Policy），是Windows中的一种自动配置桌面设置的 机制。所谓组策略（Group Policy），顾名思义，就是基于组的 策略。它以Windows中的一个MMC管理单元的形式存在，可以 帮助系统管理员针对整个计算机或是特定用户来设置多种配置 ，包括桌面配置和安全配置。譬如，可以为特定用户或用户组 定制可用的程序、桌面上的内容，以及“开始”菜单选项等，也 可以在整个计算机范围内创建特殊的桌面配置。简而言之，组 策略是Windows中的一套系统更改和配置管理工具的集合。简 单点说，组策略就是修改注册表中的配置。当然，组策略使用 自己更完善的管理组织方法，可以对各种对象中的设置进行管 理和配置，远比手工修改注册表方便、灵活，功能也更加强大 。
二、组策略编辑器及组策略基本功能
•
组策略功能具有强大的功能，一般常用组策略来实现软件分发、IE维 护、软件限制、脱机文件、安全设置、漫游配置文件、文件夹重定向 、基于注册表的设置、计算机和用户脚本等。接下来重点以组策略实 现软件分发和组策略实现软件限制以包安全为例讲述组策略的具体应 用。
利用组策略进行系统设置与调整上网设置
启用自动更新功能，确保计算机 系统及时获取最新的更新和补丁 程序。
配置防火墙规则，限制不必要的 网络流量，提高计算机系统的安 全性能。
根据需要配置自动播放功能，以 方便用户在插入外部存储设备时 自动打开相关内容。
用户配置
用户权限分配
根据用户角色和需求，分配相应的权限，限制不必 要的操作和访问。
密码策略
优化文件和文件夹设置
通过组策略配置，可以优化文件和文件夹设置，提高系统性能和安全性。
调整上网设置
自动获取IP地址
通过组策略配置，可以让系统自动获取IP地 址，无需手动设置，方便使用。
自动获取DNS服务器地址
通过组策略配置，可以让系统自动获取DNS服务器 地址，无需手动设置，方便使用。
配置代理服务器
03
上网设置
代理服务器设置
总结词
代理服务器是一种网络连接方式，可以帮 助客户端通过代理服务器连接到目标服务 器。
详细描述
通过组策略可以设置代理服务器的地址和 端口，以便让客户端使用代理服务器进行 上网。
拨号连接设置
总结词
拨号连接是指通过电话线路或其他网络连接方式，与远程计算机或网络建立临时连接。
Windows 7
Windows 7是Windows系列操 作系统中的一个版本，它适用于 家庭和企业用户。
Windows 8/8.1
Windows 8/8.1是Windows系 列操作系统中的两个新版本，它 们适用于家庭和企业用户。
02
系统设置
计算机配置
自动更新
01
02
03
防火墙设置
自动播放设置
详细描述
通过组策略可以设置拨号连接的相关参数，如用户名、密码、接入号码等，以便让客户端使用拨号连 接上网。
使用组策略管理域用户
使用组策略管理域用户组策略管理域用户是一种集中管理域内用户的方式，通过组策略可以为用户设定一系列的管理规则和权限，以实现对用户的统一管理。
组策略是Windows操作系统提供的一种重要的管理员工具，可以通过它实现对域内用户的权限控制、安全策略、桌面环境以及部署应用等管理操作。
本文将详细介绍如何使用组策略管理域用户。
组策略的核心概念是“组策略对象（GPO）”。
GPO是一组策略设置的集合，可以设置用户配置和计算机配置两部分。
用户配置适用于用户登录到域时，计算机配置适用于计算机启动时。
创建GPO后，可以将其链接到域、OU或站点，并通过权限和过滤设置来控制策略的应用范围。
接下来，我们将详细介绍如何使用组策略管理域用户的权限控制、安全策略、桌面环境和应用部署等方面。
此外，组策略还可以用于管理用户的桌面环境。
在GPO中，可以设置用户的桌面壁纸、屏幕保护程序、桌面图标等。
此外，还可以设置用户的开始菜单、任务栏等。
最后，组策略还可以用于应用部署。
在GPO中，可以设置应用程序的安装和卸载规则，以实现对用户的应用程序管理。
例如，可以通过GPO将一些应用程序自动安装在用户的计算机上，并实现对应用程序的自动升级和卸载。
在使用组策略管理域用户时，还需要注意以下几点。
首先，要合理规划和设计组策略，以满足实际需求。
例如，可以根据不同用户群体的需求，创建不同的GPO，并将其链接到不同的OU或站点。
其次，要及时更新和维护组策略，以保证其有效性和安全性。
例如，要根据实际情况定期检查和更新密码策略、安全策略等。
最后，要合理设置组策略的应用范围和权限，以保护域内用户的安全和隐私。
总之，组策略是一种重要的管理员工具，可以通过它实现对域用户的统一管理。
通过组策略，可以进行权限控制、安全策略、桌面环境和应用部署等管理操作。
在使用组策略管理域用户时，需要合理规划、及时更新和维护，并合理设置其应用范围和权限。
希望本文对您理解和使用组策略管理域用户有所帮助。
组策略
使用组策略管理用户环境
图7-12 隐藏桌面上的“网上邻居”图标
使用组策略管理用户环境
2．退出时不保存桌面设置 退出时不保存桌面设置的策略可以防止用户保存 对桌面的某些更改，如果启用这个策略，用户仍然可 以对桌面做更改，但有些更改，如图标的位置、任务 栏的位置及大小，在用户注销后都无法保存，不过任
按钮，弹出一个“显示内容”对话框，在此单击“添加” 按钮来添加允许运行的应用程序即可，如图7-2所示。
使用组策略管理用户环境
图4-20 限制使用应用程序
使用组策略管理用户环境
3.删除和阻止访问“关机”命令 该设置可以防止用户关闭或重新启动 计算机。当
计算机启动以后，如果你不希望这个用户再进行“关 机”操作，那么可将组策略控制台右侧窗格中的“删 除开始菜单上的 “删除和阻止访问‘关机’命令” 策 略启用。 这个设置会从开始菜单删除“关机”选项，并禁 用“Windows 任务管理器”对话框按“Ctrl+Alt+Del” 会出现这个对话框中的“关机”选项 。
使用组策略管理用户环境
7-1 防止从“我的电脑”访问驱动器项
使用组策略管理用户环境
2．限制使用应用程序
如果你的计算机设置了多个用户，但有些程序不希
望其他用户随意运行，也能在组策略中设置。
打开“组策略控制台→用户配置→管理模板→系统” 中的“只运行许可的Windows应用程序”并启用此策略，
然后点击下面的“允许的应用程序列表”中的“显示”
使用组策略管理用户环境
4.隐藏我的电脑中指定的驱动器 此设置可以从“我的电脑”和“Windows 资源管 理器”上删除代表所选硬件驱动器的图标。并且驱动 器号代表的所有驱动器不出现在标准的打开对话框上。
计算机网络管理6
计算机网络管理技术
6.1 组策略概述
6.1.1 组策略的功能 6.1.2 组策略的应用 6.1.3 组策略应用中的一些概念
计算机网络管理技术
6.1.3 组策略应用中的一些概念 虽然组策略中涉及的内容较广、概念较多，但由于组策略仅 仅是一种网络管理手段和方式，所以本节的重点不是强调理论， 而是讲清常用的一些概念，为实际操作提供必要的帮助。 1． 计算机配置和用户配置 组策略中包含“计算机配置”和“用户配置”两部分。其中， 计算机配置用于当启动计算机时，系统就会根据已设置的计算机 配置内容来配置计算机的环境。例如，如果针对域配 置了组策略，那么该组策略内的计算机配置就会被应用到此域内 的所有计算机上。
计算机网络管理技术
四是“计算机配置”优先。如果组策略内的“计算机配置” 与“用户配置”发生冲突时，一般情况下是以“计算机配置”优 先。 除以上的继承和累加规则外，在实际应用中还有一些例外。 例如，可以利用“阻止策略继承”使子容器不再继承由父容器传 递下来的所有GPO配置。另外，还可以利用“禁止替代”强制子 容器必须继承（不准覆盖）父容器GPO内的组策略设定等。组策 略的这些功能，读者可参阅相关的技术文档。
计算机网络管理技术
8． 计算机和用户脚本 脚本（script）是使用一种特定的描述性语言、依据一定的 格式编写的可执行文件，又称作“宏”或“批处理文件”。脚本 通常可以由应用程序临时调用并执行。在组策略管理中，脚本一 方面弥补了系统提供的策略的不足，另一方面可以将计算机和用 户的脚本文件以组策略的形式分发到客户端，从而实现对客户端 的管理。 以上总结了组策略的主要操作功能，由此可以看出组策略在 网络管理中发挥着十分重要的作用。但鉴于篇幅和环境所限，本 章不可能将以上的功能全部通过实验展现出来。在本章随后的实 验操作中仅介绍组策略的其中几种应用，供读者参考。组策略的 更多的功能和应用还需要通过实践不断探索和体会。
windows系统的组策略配置详解
组策略组策略是管理员为计算机和用户定义的，用来控制应用程序、系统设置和管理模板的一种机制。
通俗一点说，是介于控制面板和注册表之间的一种修改系统、设置程序的工具。
微软自Windows NT 4.0开始便采用了组策略这一机制，经过Windows 2000发展到Windows XP已相当完善。
利用组策略可以修改Windows 的桌面、开始菜单、登录方式、组件、网络及IE浏览器等许多设置。
平时像一些常用的系统、外观、网络设置等我们可通过控制面板修改，但大家对此肯定都有不满意，因为通过控制面板能修改的东西太少；水平稍高点的用户进而使用修改注册表的方法来设置，但注册表涉及内容又太多，修改起来也不方便。
组策略正好介于二者之间，涉及的内容比控制面板中的多，安全性和控制面板一样非常高，而条理性、可操作性则比注册表强。
本文主要介绍Windows XP Professional本地组策略的应用。
本地计算机组策略主要可进行两个方面的配置：计算机配置和用户配置。
其下所有设置项的配置都将保存到注册表的相关项目中。
其中计算机配置保存到注册表的HKEY_LOCAL_MACHINE子树中，用户配置保存到HKEY_CURRENT_USER。
一、访问组策略有两种方法可以访问组策略：一是通过gpedit.msc命令直接进入组策略窗口；二是打开控制台，将组策略添加进去。
1. 输入gpedit.msc命令访问选择“开始”→“运行”，在弹出窗口中输入“gpedit.msc”，回车后进入组策略窗口（图1）。
组策略窗口的结构和资源管理器相似，左边是树型目录结构，由“计算机配置”、“用户配置”两大节点组成。
这两个节点下分别都有“软件设置”、“Windows 设置”和“管理模板”三个节点，节点下面还有更多的节点和设置。
此时点击右边窗口中的节点或设置，便会出现关于此节点或设置的适用平台和作用描述。
“计算机配置”、“用户配置”两大节点下的子节点和设置有很多是相同的，那么我们该改哪一处？“计算机配置”节点中的设置应用到整个计算机策略，在此处修改后的设置将应用到计算机中的所有用户。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
管理模板设置的类型
设置类型
Windows 组件 系统
控制
控制用户可以使用哪些 Windows 2003 组件，如 MMC 设置登录和注销处理；组策略设置、刷新间隔、磁 盘配额、环回处理 设置网络连接、拨号处理、网络共享访问
可作用于
网络
打印机 开始菜单 & 任务栏 桌面
设置打印机对象的 AD 发布、WEB 打印等选项
管理用户环境介绍（续）
主要任务 • 实现统一的配置 • 限制用户使用系统的功能 • 无论用户在何处登录，确保始终能够得到 他们的工作环境 • 限制用户能使用的工具 • 提供用户工作环境的保护
6.2 管理模板介绍
• 管理模板 • 计算机应用管理模板的方式
6.2.1管理模板
• 管理模板是一组组策略和注册表设置的集 合 • 管理模板能够修改以下注册
第6章 使用组策略管理用户环境和软件
• • • • • • • • • • • • 管理用户环境介绍 管理模板介绍 在组策略中使用管理模板 用组策略指派脚本 使用组策略进行用户文件夹重定向 使用组策略确保用户环境安全 管理软件部署介绍 Windows Installer 服务 部署软件 配置软件部署 维护部署的软件 删除部署的软件
6.1 管理用户环境介绍
注册表
HKEY_LOCAL_MACHINE HKEY_CURRENT_USER
我的文档
管理模板设置
脚本设置
用户文件夹 重定向
安全设置 管理用户环境
• 管理用户环境是控制用户登录网络后能做 的事情 • 使用组策略设置来管理用户环境 • 定义了组策略容器内的用户和计算机将接 受指定的用户环境
限制用户访问控制面板中的显示器设置
禁止和移除 Windows Update 禁止更改开始菜单和任务栏
禁止和移除关机命令
设置锁定用户访问网络资源
使用组策略设置锁定用户访问网络资源
隐藏桌面上“网上邻居”图标
移除映射网络盘符和断开网络盘 符菜单
移除 IE 中的“选项”设置菜单
锁定用户能访问的管理工具和应用程序
• 在三项设置项中选择一个
在桌面上隐藏我的网络
忽略该项设置 (默认)
策略
说明
包含着这个策略的说明
在桌面上隐藏我的网络 没有设置
或
应用该项设置
启用 禁用
或
拒绝该项设置
在不同的 GPOS 上对同一模板属性设置不同的值， 将产生冲突
6.3 用组策略指派脚本
• 组策略脚本设置 • 脚本处理过程 • 指派组策略脚本
锁定用户能访问的管理工具和应用程序
移除开始菜单中的“搜索”
移除开始菜单中的“运行”命令 禁止任务管理器
只允许使用某些 Windows 程序
移除菜单中的“文档” 禁止改变开始菜单和任务栏 隐藏程序组中的常用项
组策略的环回处理
• 组策略的环回处理是指用户登录计算机时， 应用用户策略的方式 • 组策略的环回处理模式
复制脚本到当前的 GPT
显示文件 确定 取消 应用
6.4 使用组策略进行用户文件夹重定向
• 什么是文件夹重定向 • 选择重定向的文件夹 • 实现文件夹重定向
6.4.1 什么是文件夹重定向
重定向个人文件夹
我的文档
我的文档
文档存储在服务器上，但 用户感觉存储在本地
文件夹重定向优点 • 无论用户在哪台计 算机上登录都能存 取 • 数据集中存放便于 管理和备份 • 网络流量是有限的 （仅在访问文件时 产生） • 不会在使用的客户 计算机上留下文件
– HKEY_LOCAL_MACHINE （计算机设置） – HKEY_CURRENT_USER （用户设置）
• 当组策略连接的对象不可用，那么组策略 的注册表设置将去除，代之以注册表的默 认值 • Windows 2003 计算机在不发生冲突的前 提下，同时应用组策略的注册表设置和本 地计算机的注册表设置
6.3.1 组策略脚本设置
开机/关机 计算机
脚本
计算机设置 开机/关机
用户 登录/注销
用户设置 登录/注销
• 组策略脚本设置允许
–在组策略中设置开机、关机、登录、注销四种脚本 –并提供脚本的集中管理
6.3.2 脚本处理过程
• Windows 2000 自上向下执行多个脚本
当用户开机和登录 a. 执行开机脚本 b. 执行登录脚本
当用户注销和关机 a. 执行注销脚本 b. 执行关机脚本
6.3.3 指派组策略脚本
登录属性 脚本 登录脚本设置 [AUCKLAND.contoso.msft]
名字
Development.vbs
参数
上移 下移
Information Services.vbs
向 GPO 添加脚本
添加 编辑 删除
按此键查看存储在组策略对象中的脚本文件
设置用户可以访问的项目、用户的定制权利 控制用户的活动桌面，如控制图表的显示以及用户 的 MY DOCUMENT 文件夹 控制用户对于控制面板的访问权限
控制面板
设置锁定用户桌面
使用组策略设置锁定用户桌面
隐藏桌面的所有图标 退出时不保存设置 隐藏我的电脑的指定驱动器 移除开始菜单中的“运行”命令
6.2.2 计算机应用管理模板的方式Regisຫໍສະໝຸດ ry.pol 文件包含模板的设置和值
Registry .pol
GPO 列表
Registry .pol
HKCU
1 4 2 3
Sysvol
Registry Registry .pol .pol
HKLM
GPT
客户计算机启动，接受包含相应计算机设置的 GPO 列表
客户计算机连接到域控制器的 SYSVOL 目录，然后再找到每个 GPO 的对应目录中的 REGISTRY.POL 文件 客户计算机将相应的值写入注册表 （HKLM 和 HKCU） 登录对话框 （计算机设置） 或桌面（用户设置）出现
6.2.3 在组策略中使用管理模板
• • • • • • 管理模板设置的类型 设置锁定用户桌面 设置锁定用户访问网络资源 锁定用户能访问的管理工具和应用程序 组策略的环回处理 实现管理模板
–环回替换
用户策略采用计算机策略所在的 GPOS 中的用户策略设置，
而不采用用户所处的 OU 所连接的 GPOS 中的用户策略
–环回合并
用户先执行自己所处的 OU 所连接的 GPOS 中的用户策略， 然后采用计算机策略所在的 GPOS 中的用户策略设置。这样， 计算机的 GPOS 中的用户策略优先
6.2.4 实现管理模板