windows 2003 实现组策略
在win2003域组策略中实现映射网络驱动器
在域组策略中实现映射网络驱动器一、把下面代码复制到记事本中，并保存文件名为“logon.vbs”Set WshNetwork = WScript.CreateObject("work")set wshshell=WScript.CreateObject("WScript.shell")WScript.sleep 3000WshNetwork.MapNetworkDrive "z:","\\X.X.X.X\XXXX"二、在AD用户和计算机中的域名上右击，选择属性。
三、在弹出的窗口中选择组策略选项卡——点击编辑按钮——在跳出的默认域策略窗口中选择用户配置——Windows设置——脚本（登陆/注销）——登陆属性——点击显示文件按钮，把logon.vbs复制到弹出的文件夹中——点击添加按钮——点击浏览按钮把刚才复制的logon.vbs脚本文件添加进去——点击确定按钮。
添加共享打印机Set WshNetwork = WScript.CreateObject("work") Wshnetwork.addWindowsPrinterConnection "\\pc-hp1020"Wshnetwork.SetDefaultpritner "\\pc-hp1020"自动映射网络驱动器:Set WshNetwork = WScript.CreateObject("work") WshNetwrok.RemoveNetworkDrive "z"WshNetwork.MapNetworkDrive "z:","\\X.X.X.X\XXXX"@echo offcolor f2mode con cols=71 lines=10echo **********************************************************************echo ********将添加网络驱动器到本地倒数第一个可用盘符(一般为Z：)***********echo **********************************************************************echo@echo offnet use * \\Server\share P@ssw0rd /user:Domain\sharer /PERSISTENT:nonet use x: \\servername\sharename /y删除用：net use x: /dnet usr z: \\192.168.2.1\mcse passwoed /user:username可以通过下面的方法来实现：1、首先在域中建立一个文件服务器，然后在该文件服务器上创建一个共享文件夹，然后为每个域账号设置不同的NTFS权限和共享权限，比如账号A只有查看的权限，账号B拥有写的权限；2、在客户端client1上使用域账号A登录，右键点击我的电脑，选择映射网络驱动器，指定驱动器的名称，然后点击浏览，查找文件服务器和共享文件夹，请选中登录时重新连接。
(Windows 2003教案)第6章 实现组策略
第6章实现组策略本章概述本章节主要是和大家介绍了实现组策略的知识和技能。
通过本章节的学习，我们可以了解Microsoft® Windows® Server 2003 环境中组策略的用途和功能，以及如何使用和管理组策略对象（GPO，Group Policy Object）。
教学目标●掌握使用本地组策略对象的方法。
●掌握在域上实现组策略对象的方法。
●掌握管理组策略部署的技能。
教学重点●组策略是进行Windows Server 2003管理的最常用的方法，学习好组策略才能真正的发挥Windows Server 2003的功效，掌握本地组策略和域上组策略非常重要。
●组策略制定好了，最重要的是能部署到每一个需要被管理的机器和用户上，所以光有一个好的策略是没用的，掌握好部署的技能也非常重要。
教学难点●组策略的内容对于整个Windows Server 2003的管理来说，是重点也同样是难点。
所以对于本章节的内容，都需要耐心讲解。
先修知识建议学时课堂教学（2课时）+实验教学（1课时）教学过程总结经过本章的学习，我们了解了下列的知识和内容：●掌握使用本地组策略对象的方法。
●掌握在域上实现组策略对象的方法。
●掌握管理组策略的部署的技能。
在第7章中，我们将学习使用组策略管理用户环境的知识，了解如何使用Windows Server 2003进行实现使用组策略管理用户环境。
随堂练习1．你是活动目录域的管理员。
网络中只有一个域，所有域服务器安装Windows Server 2003系统。
所有3500个用户账户保存在默认用户容器中。
所有用户的部门属性都已经设置好。
你现在需要将所有部门属性设置为Sales的账户放在Sales OU中。
由于时间紧急，你希望自动完成添加过程。
你应当执行哪两个步骤？A.使用适当的命令参数运行dsmod命令B.使用适当的命令参数运行dsget命令C.使用适当的命令参数运行dsquery命令D.使用适当的命令参数运行dsmove命令E.使用适当的命令参数运行dsrm命令F.使用适当的命令参数运行find命令答案：C，D分析：使用Dsmove命令行工具可以重命名和移动活动目录中的对象。
win2003server组策略设计方案 -回复
win2003server组策略设计方案-回复Win2003Server组策略设计方案引言组策略是Windows操作系统中一种非常强大的管理工具，它可以通过统一的方式集中管理网络中的计算机和用户。
在Win2003Server中，组策略可以应用于域中所有计算机和用户，通过定义和配置适当的组策略对象（GPO），管理员可以实现对不同用户、计算机和组织单元（OU）的灵活控制。
本文将详细介绍Win2003Server组策略设计方案，并提供一步一步的指导。
一、环境设计在开始组策略设计之前，我们需要考虑和了解现有的环境和需求。
以下是一些需要考虑的方面：1.1 网络拓扑了解网络拓扑对组策略设计非常重要。
网络拓扑可以包括域林的结构、域的数量和位置、域之间的信任关系等。
1.2 用户需求根据不同用户的角色和需求，我们可以对他们应用不同的组策略。
例如，可以设置某些用户只能使用特定的应用程序，而其他用户则可以使用更多的应用程序。
1.3 安全需求了解安全需求可以让我们根据实际需要设计合适的组策略。
例如，对于具有更高权限的管理员账户，可以设置更严格的安全策略，如密码复杂度要求和账户锁定策略。
二、设计和配置组策略在了解环境和需求之后，我们可以开始设计和配置组策略。
以下是一些重要的步骤和注意事项。
2.1 基于角色和需求的策略设计根据用户角色和需求，我们可以将用户分组，并为每个组应用适当的组策略。
例如，可以创建一个"销售"组，为该组用户应用一组与销售相关的策略，如设置销售软件的访问权限和设置销售人员的桌面背景。
2.2 配置组策略可以通过组策略管理工具（GPMC）来配置组策略。
打开GPMC，展开"域"节点，右键单击"组策略对象"，并选择"新建"。
根据需要，可以创建多个组策略对象，并将它们链接到相应的域、OU或站点。
2.3 设置组策略设置对于每个组策略对象，可以设置多个组策略设置。
[计算机]WindowsServer2003教学 第十二章使用组策略
![[计算机]WindowsServer2003教学 第十二章使用组策略](https://img.taocdn.com/s3/m/97491a153186bceb18e8bb55.png)
h
1
本章内容
组策略简介 用组策略配置用户环境和安全 用组策略管理软件
h
2
什么是组策略
组策略对象是基于活动目录的对象，策略的设置信息存储在 组策略对象中。活动目录中，利用目录服务中的组策略可以 在企业环境中集中管理用户和计算机
使用组策略可以保证用户使用的计算机的工作环境受到组策 略的限制，商务规则和安全需求满足企业要求
3.应用的顺序是：本地策略、站点、域、父组织单位、 子组织单位
4.启动脚本依次运行h7来自组策略应用的过程 （续）
5.用户执行CTRL-ALT-DEL登录。 6.Windows Server 2003验证用户后，载入有组策略控
制的用户配置文件。
7.Windows Server 2003获得用户的按次序的GPO对 象列表。这个GPO对象的列表由下面的因素决定： 计算机是否是域的成员，如果是域的成员，组策略会 服从活动目录中的组策略
是否启动了回环执行
用户在活动目录中的位置
是否组策略已经变化了
h
8
组策略应用的过程 （续）
8.Windows Server 2003应用用户策略，根据GPO列 表中的设置对用户进行配置。应用的顺序是：本地策略、 站点、域、父组织单位、子组织单位。在应用策略的过 程中没有任何用户界面。
9.运行用户登录脚本。 10.操作系统用户界面提示组策略应用。
路径规则（包括注册表路径规则）。软件或程序由其 文件路径或注册表路径标识。
Internet区域规则。软件或程序由被IE浏览器指定的 区域标识，区域规则仅应用于Windows安装包。
h
17
案例：配置软件限制策略
h
18
Windows2003组策略配置、应用与管理
第10章组策略配置、应用与管理10.1 组策略基础组策略是Active Directory（活动目录）服务中允许管理员针对用户和计算机进行配置的基础架构。
它与注册表的功能类似，但其设置组织形式更加直观，更加便于操作、配置与管理。
它将系统重要的配置功能汇集成各种配置模块，供用户直接使用，从而达到方便管理计算机的目的。
10.1.1 组策略结构组策略设置主要包括：用户计算机环境（如"开始"菜单、桌面快捷项、控制面板选项、可用程序等）、计算机和用户的本地或网络访问权利，以及其他安全控制策略（如组策略中的各种安全选项、IP安全策略等）。
可以用组策略定义用户和计算机组的配置，如可以为基于注册表的策略、安全、软件安装、脚本、文件夹重定向、远程安装服务以及IE的维护指定策略设置。
创建的组策略设置包含在组策略对象（GPO）中，通过将GPO与所选的Active Directory系统容器--站点、域和组织单位相关联，实现组策略设置的具体应用。
还可以将GPO策略设置应用于Active Directory容器中的具体用户和计算机。
组策略可基于活动目录中的用户和计算机账户两种对象分别进行配置，所以在GPO中的组策略设置项中包括"计算机配置"和"用户配置"两大部分（如图10-1所示），这就是组策略的基本结构。
而且可以看到，在这两大部分中，有许多设置项是相同的，如都有"软件设置"、"Windows设置"和"管理模板"等这几部分，而且在这些部分中，又有许多相同的子设置选项。
我们知道，"计算机配置"是针对计算机对象而言的，"用户配置"是针对用户对象而言的，而用户配置又是通过计算机来应用的，这就存在一个可能两者的相同选项设置不一致、有冲突的问题，这时又该应用哪个设置呢？根据组策略规定，当两者的配置有冲突时，最终以计算机策略为依据。
WindowsServer2003中组策略应用
WindowsServer2003中组策略应用作为一个网络治理员，我们期望有一种方便的、灵活的方法能够操纵整个公司的职员的用户桌面环境，能够给用户安装他们所需要的软件而不用您亲自一台一台地去安装。
在Windows Server 2003中提供了这种方便灵活地实现方法——组策略。
专门是在域模式的情形下，应用组策略能够提供更加方便灵活的功能。
18.1创建和配置组策略18.1.1 组策略简介组策略设置定义了系统治理员需要治理的用户桌面环境的各种组件，例如，用户可用的程序、用户桌面上显现的程序以及〝开始〞菜单项选择项。
要为特定用户组创建专门的桌面配置，请使用组策略对象编辑器。
您指定的组策略设置包含在组策略对象中，而组策略对象又与选定的Active Directory 对象〔即站点、域或组织单位〕相关联。
组策略不仅应用于用户和客户端运算机，还应用于成员服务器、域操纵器以及治理范畴内的任何其他Microsoft Windows 2003 运算机。
默认情形下，应用于域的组策略会阻碍域中的所有运算机和用户。
〝Active Directory 用户和运算机〞还提供内置的〝Domain Controllers〞组织单位。
假如将域操纵器帐户储存在那儿，那么能够使用组策略对象〝Default Domain Controllers Policy〞将域操纵器与其他运算机分开治理。
组策略包括阻碍用户的〝用户配置〞策略设置和阻碍运算机的〝运算机配置〞策略设置。
使用组策略可执行以下任务：●通过〝治理模板〞治理基于注册表的策略。
组策略创建了一个包含注册表设置的文件，这些注册表设置写入注册表数据库的〝User〞或〝Local Machine〞部分。
登录到给定工作站或服务器的用户的特定用户配置文件写在注册表的HKEY_CURRENT_USER (HKCU) 下，而运算机特定设置写在HKEY_LOCAL_MACHINE (HKLM) 下。
Windows Server 2003 中的组策略功能集
了解组策略功能集分步指南本分步指南简要介绍―组策略‖，并说明如何使用―组策略‖管理单元来指定用户和计算机组的策略设置。
本页内容简介概述组策略和Microsoft 管理控制台附录其他资源简介逐步式指南Microsoft Windows Server 2003 部署分步指南提供了很多常见操作系统配置的实际操作经验。
本指南首先介绍通过以下过程来建立通用网络结构：安装Windows Server 2003；配置Active Directory®；安装Windows XP Professional 工作站并最终将此工作站添加到域中。
后续分步指南假定您已建立了此通用网络结构。
如果您不想遵循此通用网络结构，则需要在使用这些指南时进行适当的修改。
通用网络结构要求完成以下指南。
•第一部分：将Windows Server 2003 安装为域控制器•第二部分：安装Windows XP Professional 工作站并将其连接到域在配置通用网络结构后，可以使用任何其他分步指南。
注意，某些分步指南除具备通用网络结构要求外，可能还需要满足额外的先决条件。
任何额外的要求都将列在特定的分步指南中。
Microsoft Virtual PC可以在物理实验室环境中或通过虚拟化技术（如Microsoft Virtual PC 2004 或Microsoft Virtual Server 2005）来实施Windows Server 2003 部署分步指南。
借助于虚拟机技术，客户可以同时在一台物理服务器上运行多个操作系统。
Virtual PC 2004 和Virtual Server 2005 就是为了在软件测试和开发、旧版应用程序迁移以及服务器整合方案中提高操作效率而设计的。
Windows Server 2003 部署分步指南假定所有配置都是在物理实验室环境中完成的，但大多数配置不经修改就可以应用于虚拟环境。
这些分步指南中提供的概念在虚拟环境中的应用不在本文的讨论范围之内。
WINDOWS2003安全策略设置
WINDOWS2003安全策略设置在windows2003下进行安全策略设置，是很有必要的，可以阻挡大部分初级黑客的入侵和破坏。
一．本地安全策略设置开始菜单—>管理工具—>本地安全策略本地策略——>审核策略审核策略更改成功失败审核登录事件成功失败审核对象访问失败审核过程跟踪失败审核目录服务访问失败审核特权使用失败审核系统事件成功失败审核账户登录事件成功失败审核账户管理成功失败我的电脑-右键-管理-事件查看器-右边的每一个事件鼠标右键-属性调整日至文件大小：1048576KB=1G 覆盖时间超过30天的事件帐户策略——>帐户锁定策略设置为3次无效登陆本地策略——>用户权限分配关闭系统：只有Administrators组、其它全部删除。
通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组用户权利分配：将“从网络访问此计算机”中只保留(Administrators)、使用还要保留Aspnet账户。
(ASPNET)、启动IIS进程账户(IUSR)、(IWAM)(Everyone) (Administrators)(ASPNET)(IUSR)(IW AM)(Everyone)本地策略——>安全选项交互式登陆：不显示上次的用户名启用网络访问：不允许SAM帐户和共享的匿名枚举启用网络访问：不允许为网络身份验证储存凭证启用网络访问：可匿名访问的共享全部删除网络访问：可匿名访问的命名通道全部删除网络访问：可远程访问的注册表路径全部删除网络访问：可远程访问的注册表路径和子路径全部删除帐户：重命名来宾帐户重命名一个帐户（例如Gu2#edst@1）请找到c盘的这些文件，把安全性设置只有特定的管理员有完全操作权限下列这些文件只允许Administrators和SYSTEM访问net.exenet1.execmd.exeftp.exetftp.exetelnet.exenetstat.exeregedit.exeat.exeattrib.execacls.exe另外将系统盘C:\WINDOWS\system32下cmd.exe、、ftp.exe转移到其他目录或更名快捷方式：在搜索框里输入"net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","at.exe","attrib.exe","cacls.ex e","","c.exe"点击搜索然后全选右键属性安全磁盘权限磁盘（C、D、E、F盘全部）Administrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件C:\WINDOWSAdministrators和SYSTEM完全控制权限Users （用户默认权限不作修改“读取和运行、列出文件夹目录、读取”）<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制<不是继承的>只有子文件夹及文件C:\Program FilesAdministrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制权限<不是继承的>只有子文件夹及文件Users读取和运行<不是继承的>该文件夹，子文件夹及文件C:\Documents and SettingsAdministrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件C:\Documents and Settings\All UsersAdministrators和SYSTEM 完全控制权限<不是继承的>该文件夹，子文件夹及文件Users组的权限仅仅限制于读取和运行，绝对不能加上写入权限（默认为“读取和运行、列出文件夹目录、读取”）C:\Documents and Settings\All Users\Application DataAdministrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制<不是继承的>只有子文件夹及文件Users读取和运行<不是继承的>该文件夹，子文件夹及文件Users写入<不是继承的>该文件夹及子文件夹两个并列权限同用户组需要在高级里分开添加，分开列权限Users读取和运行的权限：选择2345项和倒数第3项Users写入的权限：选择6789项C:\Program Files\Microsoft SQL Server\MSSQL(程序部分默认装在C：盘)D:\Program Files\Microsoft SQL Server\MSSQL(本人的在D盘)Administrators完全控制权限<不是继承的>该文件夹，子文件夹及文件D:\Program Files\Microsoft SQL Server (数据库部分装在D：盘的情况) Administrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制权限<不是继承的>只有子文件夹及文件C:\Program Files\Internet Explorer\iexplore.exeAdministrators完全控制权限<不是继承的>该文件夹，子文件夹及文件C:\Program Files\Serv-U (如果装了Serv-U服务器的话)D:\Program Files\Serv-U (本人的在D盘)这里常是提权入侵的一个比较大的漏洞点一定要按这个方法设置目录名字根据Serv-U版本也可能是C:\Program Files\\Serv-UAdministrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制权限<不是继承的>只有子文件夹及文件删除c:\inetpub目录如果服务器上有.NET网站运行，aspnet_client文件夹的权限设置为Administrators、SYSTEM<完全控制><不是继承的><该文件夹，子文件夹及文件>Users <读取><不是继承的><该文件夹，子文件夹及文件>最后：C\WINDOWS\TEMP设置添加Everyone的读写属性，NetWork Service完全控制属性。
WINDOWS_SERVER_2003使用组策略管理用户环境
当前域环境：在单域中有一些用户、组、计算机帐户，还有三个组织单位（OU），其中财务部还有一个子组织单位“资产管理”，每一个组织单位都有一个委派管理员，左侧有一些要实现的组策略对象（GPO）,本例中域控制器名：jame，域中另一台计算机名：Glasgow。
下面各例用于学习GPO对象的创建、链接、它的冲突解决，继承、阻止继承、强制以及在工作环境中怎样使用组策略来管理域。
（以下各例都在组策略管理工具中完成，在上一课已经安装了GPMC.MSI这个组策略管理工具）一、强制实现域中所有用户使用统一桌面背景。
1. 实现这一策略如下图：先建立一个统一桌面背景的GPO，把它链接到域，并设置这个GPO 为强制。
2. 准备一张图片，放在一个只读共享文件夹中，并确认在网上邻居中可定位它的UNC路径。
图片的UNC路径是：\\Jame\公用共享\背景.jpg。
3. 打开：开始→管理工具→组策略管理，再展开林→域→Nwtraders.msft→组策略对象，在右侧“内容”中右击，选“新建”。
4. 取一个组策略名5. 对新建的GPO右击选“编辑”，进入组策略对象的编辑。
6. 展开用户配置→管理模板→桌面→Active Desktop，首先启用“启用Active Desktop”用于支持Jpg和HTML格式为桌面背景。
在右侧窗口，双击“Active Desktop墙纸”并如下设置。
（不要使用图片的本地路径，这样会使网络中其他计算机不能访问，而要使用UNC路径）7. 把“统一背景”这个GPO链接到域：对域右击，选“链接现有GPO”。
对统一背景GPO右击，设置“强制”，使此GPO的组策略继承是强制继承，不能被阻止继承。
8. 用域用户Kaka登陆域测试一下，背景已经有图片，表示部署成功。
二、除了域管理员和委派管理员外所有域用户禁用控制面板。
1. 本例实现的GPO链接示意图2. 展开“组策略对象”在右侧如上例一样建立一个新的GPO。
对“禁用控制面板”GPO进行编辑。
组策略以及来宾用户权限的设置
组策略以及来宾用户权限的设置组策略以及来宾用户权限的设置组策略以及来宾用户权限的设置我都是用组策略来实现这个目的的具体用法如下（简单的）Windows 2000/XP/2003 组策略控制台如果是Windows 2000/XP/2003 系统，那么系统默认已经安装了组策略程序，在“开始”菜单中，单击“运行”命令项，输入gpedit.msc 并确定，即可运行程序。
使用上面的方法，打开的组策略对象就是当前的计算机，而如果需要配置其他的计算机组策略对象的话，则需要将组策略作为独立的控制台管理程序来打开，具体步骤如下：1）打开Microsoft 管理控制台（可在“开始”菜单的“运行”对话框中直接输入MMC并回车，运行控制台程序）。
2）在“文件”菜单上，单击“添加/删除管理单元”。
3）在“独立”选项卡上，单击“添加”。
4）在“可用的独立管理单元”对话框中，单击“组策略”，然后单击“添加”。
5）在“选择组策略对象”对话框中，单击“本地计算机”编辑本地计算机对象，或通过单击“浏览”查找所需的组策略对象。
6）单击“完成”，单击“关闭”，然后单击“确定”。
组策略管理单元即打开要编辑的组策略对象。
对于不包含域的计算机系统来说，在上面第5 步的界面中，只有“计算机”标签，而没有其他标签项目。
通过上面的方法，我们就可以使用Windows 2000/XP/2003 组策略系统强大的网络配置功能，让管理员的工作更轻松和高效。
在上面我们介绍了Windows 9X下的策略编辑器配置项目有“选中、清除、变灰”三种状态，Windows 2000/XP/2003 组策略管理控制台同样也有三种状态，只不过名字变了。
它们分别是：已启用、未配置、已禁用。
四、“桌面”设置Windows的桌面就像我们的办公桌一样，需要经常进行整理和清洁，而组策略就如同我们的贴身秘书，让桌面管理工作变得易如反掌。
下面就让我们来看看几个实用的配置实例：位置：“组策略控制台→用户配置→管理模板→桌面”1．隐藏桌面的系统图标（Windows2000/XP/2003）虽然通过修改注册表的方式可以实现隐藏桌面上的系统图标的功能，但这样比较麻烦，也有一定的风险。
利用Windows server 2003组策略部署软件
ＯＩ Ｔ论坛Ｏ
Ｓ ＩＮ Ｅ＆Ｔ Ｃ Ｏ Ｏ ＹＩＦ Ｒ ＴＯ ＣＥ Ｃ Ｅ ＨＮ Ｌ Ｇ Ｏ ＭＡ Ｉ Ｎ Ｎ
２０ ０ ９年
第３ １期
利用 Ｗｉ ｏ ｓｅｖｒ ０３ ｎ ｗ ｒｅ ２０ 组策略部署软件 ｄ ｓ
刘飞 李 伟
鹤壁 ４ ８３ ） ５ ０ ０ （ 壁 职 业 技 术 学 院 电子 信 息 工 程 系 河 南 鹤
３． 配 和 发布 程序 包 分
３１ 配程 序 包 ．分 要 将 一 个 程 序 分 配 给 一 台 计 算 机 或 分 配 给 正 在 登 录 到 一 个 工 作
组 的 计 算 机或 用户 强 加 一 套 统 一 的 标 准 ， 括 菜 单启 动 项 、 件 设 置 ， 站 的 用 户 ， 作 步 骤 如 下 ： 包 软 操 这 样 计 算 机 或 者 用 户 可 以有 相 同 的菜 单 、相 同 的快 捷 方 式 等 各 种 配 ３１１ 动 “ ｔ ｅＤ ｒｃ ｒ 用 户 和 计 算 机 ” 理 单 元 ， 法 是 ： ．．启 Ａｃ ｖ ｉ ｔｙ ｉ ｅｏ 管 方 单
【 键 词 】 策略 ； 件 部 署 ； 配 软 件 ； 布软 件 关 组 软 分 发
组 策 略 与 注册 表 是 密 不 可 分 的 。 册 表 是 Ｗｉｄｗ 系 列 操 作 系 统 注 ｎｏｓ ２３ 击 “ 策 略 ” 项 卡 ． ．单 组 选 然后 单 击 “ 建 ” 新 。 中保存 系统 、 件 配 置 的数 据 库 ， 着 Ｗｉｄ ｗ 功 能 的 不 断 强 大 ， 册 软 随 ｎｏ ｓ 注 ２４为 此 新 策 略 键 人 名 称 ， ． 然后 按 Ｅ ｔ 。 ｎｅ ｒ 表 里 的 配 置 项 目也 越 来 越 多 。 Ｗｉｄｗ ｎ ｏ ｓ的 很 多 配 置 都 可 以 自定 义 设 ２５单 击 “ 性 ” 然 后 单 击 “ 全 ” 项 卡 。 ． 属 ， 安 选 置 ， 这 些 配置 发 布 在 注 册 表 各 个 角 落 。如 果 手 工 配 置 ， 常烦 杂 。而 但 非 ２６对 于不 希 望 应 用 该 策 略 的 安全 组 ．请 单 击 以 清 除与 其 对 应 的 ． 组 策 略 则将 系统 重 要 的配 置 功 能 汇 集 成 各 种 配 置模 块 ， 管 理 人 员 直 “ 用 组 策 略 ” 供 应 复选 框 接 使 用 ， 而达 到方 便 管 理 计 算 机 的 目的 。 从 ２７对 于希 望 应 用 该 策 略 的组 ． 击 以选 中 与 它们 对 应 的 “ 用 组 ． 单 应 可 以说 ， 策 略就 是 修 改 注 册 表 中 的 配 置 。 组 策 略 使 用 更 完 善 的 策 略 ” 组 复选 框 。 管 理 组 织 方 法 ， 以对 各 种 对 象 中 的设 置 进 行 管 理 和 配 置 ， 比 手 工 可 远 ２８完 成 后 ， 击 “ 定 ” ． 单 确 。
Win2003环境下域建立和组策略配置有感
视频：/jpkc/site-network/4JiYeMian/page4/4.4.htmWindows 2000 Server安装完成后，其强大的服务和管理功能还要通过相应的安装或设置后才能发挥作用。
安装完成后的Windows 2000 Server 提供了“配置服务器”向导来帮助我们完成所有服务功能的设置过程。
活动目录是Windows 2000 Server进行安全管理的重要服务功能，使用默认方式安装的Windows 2000 Server是一个独立服务器，安装活动目录便可将其升级为域控制器。
域控制器的配置视频1.以系统管理元 Administrator身份启动登录系统。
2.单击“开始─程序─管理工具─配置服务器”菜单项。
出现 Windows 2000 配置服务器画面，单击左窗口的“Active Directory”选项，在右窗口中便出现有关Active Directoy的介绍和提示，如图4-2所示。
单击后面的“启动Active Directoy向导”，出现“欢迎使用Active Directoy 安装向导”画面。
图 4-2 Windows 2000配置服务器对话框3.单击“下一步”按钮，弹出“域控制器类型”对话框。
其中的两个选项为：•新域的域控制器：选择本项可以建立一个新的网域，该服务器作为新域的域控制器。
•现有域的额外域控制器：选本项将在已有网域内建立一个平等的域控制器，但会删除所有原本机账户。
4.选中“新域的域控制器”项后，单击下一步按钮。
弹出“创建目录树或子域对话框”。
5.选中“创建一个新的域目录树”项后，单击下一步按钮。
弹出“创建或加入目录林”对话框。
如图 4-3所示。
图 4-3创建或加入目录林对话框6.选中“创建新的域目录林”项后，单击下一步按钮。
弹出“新的域名”对话框。
如图 4-4所示。
图 4-4 新域名对话框7.输入新的域名，如：“ ”，单击“下一步”，弹出“NetBIOS域名”对话框。
第10章 Windows server 2003组策略
10.1.1组策略的概念
3．组策略功能类型 软件部署：软件部署包括“应用程序分配”和“应用程序发行” 两部分内容。“应用程序分配”指把应用软件提供给桌面，当 计算机或用户根据组策略安装后就不能修改或删除应用程序； “应用程序发行”指将应用软件提供给用户或计算机，允许它 们选择安装。 软件策略：软件策略是最常用的配置设置。这些选项定义了用 户的工作环境。例如，用户的“开始”菜单、屏保程序或用户 配置文件的设置，包括操作系统组件和注册表设置。 文件夹管理：文件夹管理允许组策略系统管理员添加文件、文 件夹和快捷方式到用户桌面。例如，可以根据安全组成员的身 份把网络应用程序提供给用户。 脚本：脚本能够用于在某些时间自动运行批处理文件的进程， 如启动和关机、登录和注销、映射网络驱动器、映射网络打印 机等。 安全：安全策略设置用于定义目录树、域、网络和本地计算机 的安全配置。它们能够用于设置账户策略。例如，密码的使用 期、网络安全策略和账户锁定策略等。
10.3.1指派应用程序
10.3.1指派应用程序
10.3.1指派应用程序
10.3.2发布应用程序
和指派软件不同，发布一个软件时计算机并 无该软件的快捷方式，用户需要用“控制面 板”中的“添加或者删除应用程序”来安装 软件。发布应用程序只用于用户配置，在组 策略中发布的程序是否被用户安装，取决于 用户。
每一计算机上的本地策略都是 只能有一个，因此只能编辑本 地策略而不能创建本地策略， 而域上或组织单元级别上可以 有多个组策略，我们可以在一 个域上或组织单元上同时应用 多个组策略
10.2.1创建组策略
10.2.2链接已有的GPO
10.2.2链接已有的GPO
10.2.2链接已有的GPO
10.2.3委托GPO管理控制
window2003实验手册——6组策略
教学时刻第五周2021-3-18教学课时3教案序号12-14教学目标1、掌握如何建立和治理OU2、学会在win2003中应用组策略教学过程：一、OU〔组织单元〕的治理1、OU的概念域是最小的治理单位，在活动名目中，域一般对应公司，而OU那么对应于公司中的部门。
OU是活动名目中的容器，能够在OU中建立用户、组等其他对象，也能够在OU中建立OU。
2、建立OU及子对象〔1〕注重图标。
〔2〕建立步骤：在需要创立的空白处右击，选择“新建〞——“组织单元〞，在对话框内输进OU名称即可。
〔3〕在OU中能够放用户、组、打印机、共享文件夹、子OU等。
实验一：OU的治理1、在test下中新建“教师〞和“学生〞两个OU，再在“教师〞OU下新建“一般教师〞OU。
2、“教师〞OU中包括t1，t2账户，“学生〞OU中包括s1，s2账户，“一般教师〞OU中包括c1，c2账户。
二、组策略概述1、组策略的概念〔1〕组策略是一种在用户或计算机集合上强制使用一些配置的方法，使用组策略能够给同组的计算机或者用户强加一套统一的标准，包括治理模板设置、Windows设置、软件设置。
〔2〕组策略配置包含在一个组策略对象〔GPO〕中，该对象又与选定的活动名目效劳容器〔如站点、域、组织单元OU等〕相关联，可不能碍事没有参加域的计算机和用户。
〔3〕组策略配置类型有：计算机配置和用户配置。
〔4〕组策略分为：本地平安策略和活动名目的组策略。
本地平安策略适用于本地用户和组，我们所讲的是活动名目的组策略，活动名目安装好以后就自动建立了两个组策略〔域操纵器平安策略和域平安策略〕。
2、组策略的应用顺序〔1〕本地组策略〔2〕域组策略〔3〕域操纵器组策略〔4〕组织单元组策略三、组策略对象的治理我们能够通过ActiveDirectory用户和计算机建立链接到域和OU的策略，ActiveDirectory站点和效劳建立链接到站点的策略。
1、创立组策略步骤：右击-属性-“组策略〞选项卡-“新建〞按钮2、设置组策略步骤：右击-属性-“组策略〞选项卡-“编辑〞按钮3、用组策略治理用户工作环境实验二：1、教师OU的所有用户的IE扫瞄器的代理效劳器的地址都自动设置为192.168.0.1，端口号设置为8080。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
第四章：实现组策略
主要内容：
✧在域中实现组策略
✧修改组策略的继承
✧通过组策略来设置脚本
✧配置文件来重定向
✧确定应用组策略
第一节：在域中实现组策略
1、什么是组策略
定义：是对域中一组计算机或用户各种设置的集合。
包括：桌面设置、软件设置、安全设置组策略可以设置在三种对象上，这三对象分别是：站点、域、OU。
组策略可以被继承。
2、创建管理管理组策略的工具：两种管理工具分别是：
✧Install group plicy management console (GPMC):该工具可管理组策略的备份、存储、
生成报表等。
默认时集成了所有组策略功能。
只不过它是一个下载工具。
你可以到
微软的网站去下载。
✧活动目录的管理工具：活动目录的用户和计算机可以管理域中的用户和计算机。
活
动目录的站和服务可以管理域的站点。
3、如何创建组策略：演示组策略设置的过程。
4、组策略生效的时间：
✧对用户的设置的策略：在用户注销或登录时生效
✧对计算机设置和策略：计算机在重启时会生效。
第二节：修改组策略的继承
1、如何解决组策略冲突
组策略是可以被继承的，当在域中不同的组策略对象上设置组策略时，就有可以发生冲突。
如何解决这种冲突呢？系统会按照子容器优先的策略进行设置。
2、阻止组策略的继承：默认时子容器是继承父容器的组策略，但如果子容器不想继承父容
器策略时，我们可以设置阻止继承。
见操作
3、如何强制组策略的实施：这种策略可保证公司完全统一。
见操作
4、组策略的过滤设置：在用户所在的OU上，右键盘：属性：安全：选择要过滤的用户：
应用组策略上：拒绝。
第三节：通过组策略来设置脚本
1、什么是组策略设置脚本
什么是脚本：就是一些可执行程序。
如：.bat .exe 和windows server 2003所支持的各种脚本语言。
通过使用脚本可完成一些组策略本身所不能完成一些功能。
比如：为用户在环境变量，为用户在桌面设置快捷方式等。
组策略实现脚的类型：
✧启动脚本：在计算机启动时执行的脚本
✧关机脚本：计算机关闭时执行的脚本
✧登录脚本：用户在登录时执行的脚本
✧注销脚本：用户在注销时执行的脚本
例如：set objnetwork = wscript.createobject(“work”) Objnetwork.mapnetworkdrive”k:”,”\\computername\sharename\name”如何使用组策略来指派脚本:操作演示。