常用AD组策略设置

常用AD组策略设置
利用Windows活动目录(AD)组策略，可以比较方便的对域中所有Windows客户端的桌面、屏幕保护、本地管理员密码、可信站点等等诸多元素，进行统一设置。

根据需要，有些组策略可以在整个域里实施，有的可以在域内不同的组织单位(OU)中单独实施。

相应的操作也就是在域或OU的属性页中，增加、编辑和应用组策略。

下面是实际操作演示：
⏹AD域控制器：Windows Server 2003/2008
⏹以域管理员权限运行“Active Directory 用户和计算机”
1. 设置屏保程序
打开“”域下组织单位“北京”的属性(如下图)：
可看到已经启用了一个名为“bjboshi”的组策略，选中它，点击“编辑”按钮，进入组策略对象编辑器。

在“计算机配置”－“Windows设置”－“脚本”中，打开“启动”的属性(如下图)，增加一个名为setscr.bat的脚本。

脚本存放路径为域控制器的
C:\Windows\SYSVOL\sysvol\\Policies\{5F158A23-FFAA-4469-BAED-FE6D46963630}\Ma chine\Scripts\Startup
该setscr.bat脚本的内容是：
copy bssec.scr c:\windows\system32
即每次系统启动时，将域控制器上的屏保文件bssec.scr复制到客户端电脑的c:\windows\system32路径下。

作用就是分发和同步所有客户端电脑的屏保文件。

下面进行关于客户端屏保的策略设置。

打开“”域的属性(如下图)：
可看到已经启用了一个名为“Default Domain Policy”的组策略，选中它，点击“编辑”按钮，进入组策略对象编辑器。

在“用户配置”－“管理模板”－“控制面板”－“显示”，启用右侧的“屏幕保护程序”，启用“可执行的屏幕保护程序的名称”，填入屏幕保护文件名：bssec.scr，(如下图)：
同时启用右侧的“密码保护屏幕保护程序”，设置屏保超时(如下图)：
屏保设置完毕。

2. 设置本地管理员密码
打开“”域下组织单位“北京”的属性(如下图)：
可看到已经启用了一个名为“bjboshi”的组策略，选中它，点击“编辑”按钮，进入组策略对象编辑器。

在“计算机配置”－“Windows设置”－“脚本”，打开“启动”的属性(如下图)，增加一个名为mod_lap.vbs的脚本。

脚本存放路径为域控制器的
C:\Windows\SYSVOL\sysvol\\Policies\{5F158A23-FFAA-4469-BAED-FE6D46963630}\Ma chine\Scripts\Startup
该mod_lap.vbs脚本的内容是：
strComputer = "."
Set objUser = GetObject("WinNT://" & strComputer & "/Administrator,user")
objUser.SetPassword "XXYYZZ"
objUser.SetInfo
强制修改本地管理员密码的另一种方法，是新建一个批处理文件admin.bat，内容为：
net user administrator XXYYZZ
这两种方法都可以把administrator的密码更改成XXYYZZ
修改管理员密码设置完毕。

3. 设置Office Communicator标签URL
编辑“Default Domain Policy”的组策略，在“计算机配置”－“管理模板”－“Microsoft Office Communicator 策略设置”－“Microsoft Office Communicator 功能策略”中，启用“标签URL”，填入：http://bs/oc/xml/octab.xml，如下图：
启用“自定义显示状态URL”，填入：http://bs/oc/xml/octab.xml，如下图：
Office Communicator标签URL设置完毕。

4. 设置可信站点
编辑“Default Domain Policy”的组策略，在“计算机配置”－“管理模板”－“Windows 组件”－“Internet Exploer”－“Internet 控制面板”－“安全页”中，启用“站点到分配域列表”，如下图所示。

再点击“显示”：
可以添加或删除已有站点列表：
Internet Explorer 包含4个安装区域，编号1至4，这些号码用于策略设置将站点与区域关联。

他们包括：
(1) Intranet 区域
(2) 受信任的区域
(3) Internet 区域
(4) 受限制的区域
在“输入要添加的项目的名称”一栏，填写站点域名(FQDN，也可以是IP地址形式)：
“值”一栏填写相关的区域号，如上所述，受信任的区域号是2。

站点名称中同时可以包括协议。

如上面的
则此设置只生效于HTTP协议，其他协议不受影响。

也可以不包括协议，如下：
仅输入了，那么该站点的所有协议都受影响，包括HTTP、HTTPS、FTP等。

为了防止策略冲突，在域名之后不要输入结尾斜杠“/”或URL路径，如/或/boshi。

这两种输入设置，效果是相同的，将导致冲突。

可信站点设置完毕。

5. 其他
组策略的设置非常庞大，比如还可以设置软件安装运行限制策略：
把需要限制安装和运行的软件，加入软件限制策略中，为每一个软件命名，并加入其主程序文件的哈希散列值，用于识别该文件。

不过这种限制方法有一定的不足，如果要限制的软件很多、同一软件的版本很多，就要维护很大的列表。

而且一旦主程序文件的散列值变化，限制就失效了。

现在也有不少能改变文件散列值的工具。

6. 结束
组策略的生效一般要通过客户端系统重启，或者使用命令gpupdate /force 强制刷新一下。

还可以使用GPResult.exe命令行工具，验证特定用户或计算机的各种策略设置的有效性。