ActiveDirectory环境中使用组策略管理控制台

关于组策略管理控制台使用的逐步式指南该逐步式指南提供了在Active Directory 环境中使用组策略管理控制台(GPMC) 来支持组策略对象(GPO) 的一般性指导。

该指南并不提供GPO 实施指导。

本页内容简介概述安装和配置GPMC管理组策略对象GPO 备份、还原、复制以及导入GPO 建模简介逐步式指南Windows Server 2003 部署逐步式指南提供了很多常见操作系统配置的实际操作经验。

本指南首先介绍通过以下过程来建立通用网络结构：安装Windows Server 2003；配置Active Directory；安装Windows XP Professional 工作站并最后将此工作站添加到域中。

后续逐步式指南假定您已建立了此通用网络结构。

如果您不想遵循此通用网络结构，则需要在使用这些指南时进行适当的修改。

通用网络结构要求完成以下指南。

在配置通用网络结构后，可以使用任何其他的逐步式指南。

注意，某些逐步式指南除具备通用网络结构要求外，可能还需要满足额外的先决条件。

任何额外的要求都将列在特定的逐步式指南中。

Microsoft Virtual PC可以在物理实验室环境中或通过虚拟化技术（如Microsoft Virtual PC 2004 或Microsoft Virtual Server 2005）来实施Windows Server 2003 部署逐步式指南。

借助于虚拟机技术，客户可以同时在一台物理服务器上运行多个操作系统。

Virtual PC 2004 和Virtual Server 2005 就是为了在软件测试和开发、旧版应用程序迁移以及服务器整合方案中提高工作效率而设计的。

Windows Server 2003 部署逐步式指南假定所有配置都是在物理实验室环境中完成的，但大多数配置不经修改就可以应用于虚拟环境。

将这些逐步式指南中提供的概念应用于虚拟环境超出了本文的讨论范围。

重要说明此处作为例子提到的公司、组织、产品、域名、电子邮件地址、徽标、个人、地点和事件纯属虚构，决不意指，也不应由此臆测任何公司、组织、产品、域名、电子邮件地址、徽标、个人、地点或事件。

此通用基础结构是为在专用网络上使用而设计的。

此通用结构中使用的虚拟公司名称和域名系统(DNS) 名称并未注册以便在Internet 上使用。

您不应在公共网络或Internet 上使用此名称。

此通用结构的Active Directory 服务结构用于说明“Window s Server 2003 更改和配置管理”如何与Active Directory 配合使用。

不能将其作为任何组织进行Active Directory 配置的模型。

概述Microsoft 组策略管理控制台(GPMC) 是一个用于组策略管理的新工具，它通过改进易管理性和提高效率帮助管理员更经济有效地管理企业。

它包含一个新的Microsoft 管理控制台(MMC) 管理单元和一组可编程接口。

GPMC 提供单一位置来管理组策略核心内容，从而简化了组策略的管理。

它可以根据用户需要提供以下功能来满足最高的组策略部署要求。

过去，管理员需要使用几个Microsoft 工具来管理组策略，如“Active Directory 用户和计算机”、“Active Directory 站点和服务”以及“策略的结果集”管理单元。

GPMC 将这些工具中提供的现有组策略功能以及一些新功能集成到一个统一的控制台中。

GPMC 中内置了对多个域和林管理的支持，因此，管理员可以方便地管理整个企业中的组策略。

管理员可以完全控制在GPMC 中列出哪些林和域，因而可以只显示环境的相关部分。

注意：该逐步式指南只提供使用GPMC 来管理GPO 的指导，并不提供有关其配置的指导。

有关配置GPO 的信息，请参见。

先决条件安装和配置GPMC安装GPMCGPMC 安装是一个涉及运行Windows Installer (.MSI) 程序包的简单过程。

要下载最新版本，请参见Windows Server System 组策略管理站点，网址为：。

要安装组策略管理控制台，请按照以下步骤操作：在安装完成后，更新Active Directory 管理单元中站点、域和组织单位(OU) 属性页上显示的“组策略”选项卡以提供到GPMC 的直接链接。

由于所有组策略管理功能都是通过GPMC 提供的，因此，无法再使用先前在原始“组策略”选项卡上提供的功能。

要打开GPMC 管理单元，请按照以下步骤操作：为多个林配置GPMC您可以方便地将多个林添加到GPMC 控制台树中。

默认情况下，只有在某个林与运行GPMC 的用户林之间具有双向信任关系时，才能将其添加到GPMC 中。

您可以有选择地允许GPMC 使用仅单向信任关系或根本不使用信任关系。

通过突出显示树根目录中的“组策略管理”，从上下文菜单中选择“操作”，然后单击“添加林”，将另一个林添加到GPMC 中。

由于示例环境只包含单个林，因此，执行这些步骤超出了本逐步式指南的讨论范围。

注意：在添加不受信任的林时，将无法使用某些功能。

例如，不能使用“组策略建模”，并且无法打开“组策略对象编辑器”以编辑不受信任的林中的GPO。

不受信任的林方案主要用于支持跨林复制GPO。

同时管理多个域GPMC 支持同时管理多个域，并且每个域在控制台中是按林进行分组的。

默认情况下，GPMC 中只显示一个域。

在首先使用预配置的管理单元或自定义MMC 控制台启动GPMC 后，GPMC 将显示包含用于启动GPMC 的用户帐户的域。

通过添加和删除控制台中显示的域，您可以指定每个林中要使用GPMC 管理的域。

注意：即使您没有整个林的林信任关系，您也可添加外部信任域。

默认情况下，要添加的域和用户对象域之间必须具有双向信任关系。

也可以通过使用“查看”菜单中的“选项”对话框禁用GPMC 的信任检测功能，来添加具有单向信任关系的域。

要添加外部信任域，您必须先使用“添加林”对话框，从包含外部信任域的林中添加一个域。

在添加该林后，您可通过右键单击该林的“域”节点，然后单击“显示域”，在该受信任的林中添加任何域。

在GPMC 的每个可用域中，可使用相同的域控制器来完成该域中的所有操作。

这包括位于该域中的GPO、OU、安全主体以及WMI 筛选器上的所有操作。

另外，在从GPMC 中打开“组策略对象编辑器”时，它始终将GPMC 中的目标域控制器用于GPO 所在的域。

GPMC 允许您为每个域选择使用哪个域控制器。

您可以选择四个选项之一。

管理组策略对象查看域GPO在每个域中，GPMC 都提供了一个基于策略的Active Directory 视图以及与组策略关联的组件，如GPO、WMI 筛选器以及GPO 链接。

GPMC 中的视图与“Active Directory 用户和计算机”MMC 管理单元中的视图类似，它们都显示OU 分层结构。

然而，GPMC 与该管理单元不同之处在于，它不显示OU 中的用户、计算机和组，而显示链接到每个容器的GPO 以及链接到这些GPO 本身的GPO。

GPMC 中的每个域节点都显示以下项目。

要查看与特定容器关联的GPO，请按照以下步骤操作：要查看与特定域关联的所有GPO，请按照以下步骤操作：搜索GPO可以在林或域级别进行GPO 搜索。

通过使用单个或多个搜索参数，有助于在大量的GPO 中缩小搜索结果的范围。

要使用多个搜索参数在林中查找特定GPO，请按照以下步骤操作：确定GPO 的作用域只能通过正确地将GPO 应用于要管理的Active Directory 容器来实现组策略值。

确定哪些用户和计算机接收GPO 中的设置的过程称为“确定GPO 的作用域”。

确定GPO 作用域的过程基于三个因素。

要确定在以前搜索中找到的“Domain Password Policy”GPO 的作用域，请按照以下步骤操作：1. 在“搜索组策略对象”搜索结果窗格中，双击“Domain Password Policy”，然后单击“关闭”。

注意：在关闭“搜索组策略对象”对话框后，以前选择的GPO 在GPMC 中具有焦点。

此时将出现“GPO 作用域”页，如图5 所示。

图 5. 确定GPO 的作用域要检查GPO 将应用的策略，请按照以下步骤操作：GPO 策略继承和链接顺序特定容器的“组策略继承”选项卡显示从父容器继承的所有GPO（链接到站点上的GPO 除外）。

该选项卡中的“优先”列显示所有链接的总体优先级（这些链接将应用于该容器中的对象），并考虑“链接顺序”和每个链接的“强制”属性以及“阻止继承”。

要查看容器中的策略继承，请按照以下步骤操作：如果将多个GPO 链接到相同的容器，并且这些GPO 具有相同的设置，则必须有一个协调这些设置的机制。

这种行为是由链接顺序控制的。

链接顺序编号越小，优先级越高。

特定容器链接的相关信息显示在该容器的“链接的组策略对象”选项卡中。

该窗格显示是否强制进行链接，是否启用链接，GPO 状态，是否应用WMI 筛选器，其修改时间以及存储它的域容器。

委派了“将GPO 链接到容器”权限的管理员或用户可以使用以下方法更改链接顺序：突出显示GPO 链接，然后使用向上和向下箭头，在链接顺序列表中向上或向下移动链接。

要更改容器中的策略链接顺序，请按照以下步骤操作：GPO 备份、还原、复制以及导入备份GPOGPO 备份操作将GPO 中的数据复制到文件系统中。

备份功能还具有GPO 导出功能。

可使用GPO 备份将GPO 还原到已备份状态，或者将备份中的设置导入到另一个GPO 中。

GPO 备份操作将GPO 内部存储的所有信息保存到文件系统中。

其中包括以下内容：GPO 备份操作只保存在GPO 中存储的数据。

在GPO 外面存储的数据包括以下内容：在将备份还原到原始GPO 或导入新GPO 时，该数据不可用。

要备份“Domain Password Policy”GPO，请按照以下步骤操作：管理备份可以将多个相同或不同的GPO 备份存储在相同的文件系统位置中。

每个备份都使用唯一的备份ID 来标识。

可以使用GPMC 中的“管理备份”对话框或通过可编程接口来管理特定文件系统位置中的备份集合。

可通过右键单击特定域中的“域”节点或“组策略对象”节点来访问“管理备份”对话框。

在从“组策略对象”节点中打开“管理备份”时，就会自动对视图进行筛选，以便只显示该域的GPO 备份。

在从“域”节点中打开“管理备份”对话框时，将会显示所有备份（无论备份来自哪个域）。

要管理可用的GPO 备份，请按照以下步骤操作：从备份还原GPO 还原操作从备份数据中重新创建GPO。

可以在下列两种情况下使用还原操作：备份了GPO 但以后将其删除；或GPO 处于活动状态，并且您要回滚到先前的已知状态。