Windows 8组策略
组策略完全使用手册
组策略完全使用手册对于大部分计算机用户来说,管理计算机基本上是借助某些第三方工具,甚至是自己手工修改注册表来实现;其实Windows XP组策略已经把这些功能集于一体,通过组策略及相关工具完全可以实现我们所需要的功能;一、组策略基础1.什么是组策略注册表是Windows系统中保存系统软件和应用软件配置的数据库,而随着Windows功能越来越丰富,注册表里的配置项目也越来越多,很多配置都可以自定义设置,但这些配置分布在注册表的各个角落,如果是手工配置,可以想像是多么困难和烦杂;而组策略则将系统重要的配置功能汇集成各种配置模块,供用户直接使用,从而达到方便管理计算机的目的;其实简单地说,组策略设置就是在修改注册表中的配置;当然,组策略使用了更完善的管理组织方法,可以对各种对象中的设置进行管理和配置,远比手工修改注册表方便、灵活,功能也更加强大;2.组策略的版本对于Windows 9X/NT用户来说,都知道“系统策略”的概念,其实组策略就是系统策略的高级扩展,它是自Windows9X/NT的“系统策略”发展而来的,具有更多的管理模板、更灵活的设置对象及更多的功能,目前主要应用于Windows2000/XP/2003操作系统中;早期系统策略的运行机制是通过策略管理模板,定义特定的POL通常是文件;当用户登录时,它会重写注册表中的设置值;当然,系统策略编辑器也支持对当前注册表的修改,另外也支持连接网络计算机并对其注册表进行设置;而组策略及其工具,则是对当前注册表进行直接修改;显然,Windows2000/XP/2003系统的网络功能是其最大的特色之处,所以其网络功能自然是不可少的,因此组策略工具还可以打开网络上的计算机进行配置,甚至可以打开某个ActiveDirectory活动目录对象即站点、域或组织单位并对其进行设置;这是以前“系统策略编辑器”工具无法做到的;当然,无论是“系统策略”还是“组策略”,它们的基本原理都是修改注册表中相应的配置项目,从而达到配置计算机的目的,只是它们的一些运行机制发生了变化和扩展而已;3.在WindowsXP中运行组策略在Windows2000/XP/2003系统中,系统默认已经安装了组策略程序,在“开始”菜单中,单击“运行”选项,在打开的对话框中输入“”并确定,即可运行组策略;如图1所示;使用上面的方法,打开的组策略对象是当前的计算机,而如果需要配置其他的计算机组策略对象,则需要将组策略作为独立的MMC管理单元打开：1打开Microsoft管理控制台可在“开始”菜单的“运行”对话框中直接输入“MMC”并确定;2单击“文件→添加/删除管理单元”菜单命令,在打开的对话框中单击“添加”按钮;3在“可用的独立管理单元”对话框中,单击“组策略”选项,然后单击“添加”按钮;4在“选择组策略对象”对话框中,单击“本地计算机”选项编辑本地计算机对象,或通过单击“浏览”查找所需的组策略对象;5单击“完成”按钮,组策略管理单元即打开要编辑的组策略对象;6在左窗格中定位需要更改的选项的位置,在右窗格中右键单击需要更改的具体选项,单击“属性”命令,即可打开其属性对话框,从中选择“已启用”、“未配置”、“已禁用”选项即可对计算机策略进行管理;4.组策略中的管理模板在Windows2000/XP/2003中包含几个ADM文件;这些文件是文本文件,被称为“管理模板”,它们为组策略管理单元的控制树中“管理模板”文件夹下的项目提供策略信息;在Windows2000/XP/2003中,默认的管理模板位于系统文件夹的INF文件夹中,包含了默认安装下的4个模板文件,分别为：1：默认安装在“组策略”中,用于系统设置;2：默认安装在“组策略”中,用于InternetExplorerIE策略设置;3：用于Windows MediaPlayer设置;4：用于NetMeeting设置;在策略管理控制台中,可以多次添加“策略模板”,下面让我们来看看具体操作：首先运行“组策略”程序,然后选择“计算机配置”或者“用户配置”下的“管理模板”,单击鼠标右键,选择“添加/删除模板”命令,然后在打开的对话框中单击“添加”按钮,在打开的对话框中选择相应的ADM 文件;单击“打开”按钮,则在系统策略编辑器中打开选定的脚本文件,并等待用户执行;返回到“组策略”编辑器主界面后,依次打开目录“本地计算机策略→用户配置→管理模板”选项,再单击相应的目录树,就会看到我们新添加的管理模板所产生的配置项目了;注意：下面的操作均在WindowsXP中进行;二、个性化我的电脑1.删除“开始”菜单中的“文档”菜单项在多人使用的计算机中,有的用户不希望其他用户看到自己曾经编辑过的文档或其他信息;因此,为了删除用于记录历史文档的“文档”菜单项,我们可以通过修改组策略来实现;位置：\用户配置\管理模板\任务栏和“开始”菜单\启用此设置,则系统保存“文档”快捷方式,但不在“文档”菜单中显示它们;如果以后禁用此设置或把它设置为未配置,则启用设置之前及其生效之时保存的“文档”快捷方式会出现在“文档”菜单项中;如图2所示;注意：此设置不会阻止Windows程序在最近打开的文档中显示快捷方式;另外,你也可以设置在退出系统时自动清除最近打开的文档的历史记录;位置：\用户配置\管理模板\任务栏和“开始”菜单\如果禁用该策略设置,系统就会在用户退出时删除快捷方式;因此,用户登录时,“开始”菜单上的文档菜单总是空的;如果禁用或不配置此设置,系统将保留文档快捷方式,并且用户登录时的文档菜单看起来与用户退出系统时完全相同;注意：系统在\DocumentsandSettings\\Recent文件夹中的用户配置文件中保存文档快捷方式;2.删除“开始”菜单中的“运行”菜单项在“开始”菜单中有“运行”菜单项,可以输入程序名称来启动程序;我们可以将“运行”菜单项从“开始”菜单中删除;位置：\用户配置\管理模板\任务栏和“开始”菜单\如果启用该设置,发生如下更改：1“运行”命令从“开始”菜单中删除;2新建任务运行命令从任务管理器删除;3阻止用户在IE地址栏中输入下列项：UNC路径：\\＜server＞\＜share＞;访问本地驱动器：例如,C:;访问本地文件夹：例如,\temp＞;同时,使用WIN+R组合键将无法显示“运行”对话框;如果禁用或不配置此设置,用户可以访问“开始”菜单和任务管理器的“运行”命令,以及使用IE地址栏;注意：这个策略只影响指定的界面;不会防止用户使用其他方法运行程序;3.给“开始”菜单减肥如果觉得Windows的“开始”菜单太臃肿,你完全可以通过组策略设置将不需要的菜单项从“开始”菜单中删除;位置：\用户配置\管理模板\任务栏和“开始”菜单\在组策略右侧窗格中,提供“从‘开始’菜单删除用户文件夹”、“删除到‘WindowsUpdate’的访问和链接”、从‘开始’菜单删除公用程序组、从‘开始’菜单中删除“我的文档”图标等配置项目;你只要将不需要的菜单项所对应的策略启用即可;4.隐藏和禁用桌面上的所有项目该策略可以从桌面上删除图标、快捷方式和其他默认的和用户定义的项目;位置：\用户配置\管理模板\桌面\该策略删除图标和快捷方式不防止用户用另一种方法启动程序或打开图标和快捷方式所代表的项目; 5.退出时不保存用户设置该策略用于防止用户保存对桌面的某些更改;位置：\用户配置\管理模板\桌面\如果你启用这个设置,用户可以对桌面做某些更改,但有些更改,比如图标和打开窗口的位置、任务栏的位置及大小在用户注销后都无法保存;6.启用/禁用“活动桌面”ActiveDesktop活动桌面是Windows 98及以后版本或安装了IE的系统中自带的高级功能,它最大的特点是可以设置各种图片格式的墙纸,甚至可以将网页作为墙纸显示;但出于对安全和性能的考虑,有时候我们需要禁用这一功能并且防止用户启用它;位置：\用户配置\管理模板\桌面\ActiveDesktop提示：如果同时启用“启用Active Desktop”设置和“禁用Active Desktop”设置,“禁用Active Desktop”设置会被忽略;如果“禁用Active Desktop和Web视图”设置在“用户配置\管理模板\Windows 组件\Windows资源管理器”被启用,ActiveDesktop就会被禁用,并且这两个策略都会被忽略;7.从“我的电脑”中删除共享文档当Windows用户在一个工作组中,一个“共享文档”图标会以Windows资源管理器的Web视图出现在“其他位置”和“在这台计算机上存储的其他文件”中;使用此设置,你可选择不显示这些项目;位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置,“共享文档”文件夹将不会以Web视图方式显示或在“我的电脑”中出现;如果禁用或不配置此设置,当用户是“工作组”的一部分时,“共享文档”文件夹将会以Web视图方式显示或在“我的电脑”中出现;8.不要将已删除的文件移到“回收站”当Windows资源管理器中的一个文件或文件夹被删除时,该文件或文件夹的副本会被放在“回收站”里;使用此策略,你能改变此行为;位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置,使用Windows资源管理器删除的文件或文件夹不会被放在“回收站”里,因此被永久删除;如果禁用或不配置此设置,使用Windows资源管理器删除的文件或文件夹会被放在“回收站”里;三、利用组策略进行系统设置1.登录时不显示欢迎屏幕为了加快计算机启动的速度,我们完全可以通过组策略设置在每次用户登录时将WindowsXP欢迎屏幕隐藏;位置：\用户配置\管理模板\系统\要显示欢迎屏幕,请依次单击“开始→程序→附件→系统工具”选项,然后单击“开始”选项;要在不指定设置的情况下不显示欢迎屏幕,请在欢迎屏幕上的复选框中清除“在开始显示这个屏幕”选项;注意：这项设置出现在“计算机配置”和“用户配置”文件夹中;如果配置这项设置,“计算机配置”中的设置比“用户配置”中的设置优先;2.配置驱动程序查找位置默认情况下,Windows将从本地安装、软盘驱动器、光盘驱动器、WindowsUpdate等位置搜索驱动程序;此设置配置查找到新硬件时Windows将要搜索驱动程序的位置;位置：\用户配置\管理模板\系统\如果启用此设置,你可以通过检查位置名称的相关复选框,删除这三个位置中的任何位置;如果禁用或不配置此设置,Windows将从本地安装、软盘驱动器、光盘驱动器和WindowsUpdate等位置中搜索驱动程序;3.关闭自动播放一旦你将媒体插入驱动器,自动运行就开始从驱动器中读取;这会造成程序的设置文件和在音频媒体上的音乐立即开始;该策略将关闭自动运行功能;位置：\用户配置\管理模板\系统\如果你启动这项设置,你还可以在CD-ROM驱动器禁用自动运行或在所有驱动器上禁用自动运行;注意：这个设置出现在“计算机配置”和“用户配置”两个文件夹中;如果两个设置都配置,“计算机配置”中的设置比“用户配置”中的设置优先;另外,此设置不阻止自动播放音乐CD;4.只运行许可的Windows应用程序该策略可以限制用户可以运行的Windows程序;位置：\用户配置\管理模板\系统\如果你启用这个设置,用户只能运行你加入“允许运行的应用程序列表”中的程序;这个设置只能防止用户从Windows资源管理器启动程序;无法防止用户用其他方式启动程序,例如任务管理器;如果用户可以访问命令提示符窗口,这个设置无法防止用户从命令窗口启动不允许在Windows资源管理器中运行的程序;注意：要创建允许的文件列表,请单击“显示”按钮,在打开的对话框中单击“添加”按钮,然后输入应用程序的执行文件名称例如,、、;如图3所示;5.删除任务管理器当我们同时按下Ctrl+Alt+Del组合键将显示“Windows任务管理器”对话框;任务管理器可以让用户启动或终止程序、监视计算机性能、查看及监视计算机上所有运行中的程序包含系统服务、搜索程序的执行文件名、更改程序运行的优先顺序;在这里,我们可以通过组策略删除任务管理器;位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\如果该设置被启用,并且用户试图启动任务管理器,系统会显示消息,解释是一个策略禁止了这个操作;6.删除改变“密码”选项该策略可以防止用户通过任务管理器更改系统密码;位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\这个设置停用Windows安全设置对话框上的“更改密码”按钮;但是,用户在得到系统提示时依旧可以更改密码;管理员要求新密码和密码作废时,系统会提示用户输入新密码;7.不允许运行WindowsMessengerWindows XP自带有聊天工具Windows Messenger,但是,我们也有可能在系统中安装MSNMessenger;该策略允许你禁用Windows Messenger;位置：\用户配置\管理模板\Windows组件\Windows Messenger如果启用该策略,WindowsMessenger将不会运行;如果禁止或不配置该策略,WindowsMessenger可以被使用;注意：如果启用这个策略,远程协助无法使用WindowsMessenger;另外,这个策略也会出现在“计算机配置”中;如果两个设置都配置,“计算机配置”中的设置比“用户配置”中的设置优先;8.关闭系统还原功能系统还原是WindowsXP/2003中集成的强大功能,它在系统运行的同时,备份被更改的文件和数据,如果出现问题,系统还原使用户能够在不丢失个人数据文件的情况下,将计算机还原到以前的状态;默认情况下,系统还原处于打开状态; 但这一功能付出的代价也是相当大的,系统性能会明显下降,磁盘空间也会被占用很多;对于配置不高的计算机来说,强烈建议关闭此功能;位置：\计算机配置\管理模板\系统\系统还原\关闭系统还原启用此设置后即可关闭系统还原功能,并且不能访问“系统还原向导”和“配置界面”;四、利用组策略调整上网设置1.禁用导入和导出收藏夹禁止用户使用“导入/导出向导”菜单项导入或导出收藏夹链接;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“导入/导出向导”菜单项将无法导入/导出收藏夹链接和Cookie;如果禁用该功能或不对其进行配置,则用户可以通过单击“文件”菜单上的“导入和导出”菜单项,然后运行“导入/导出向导”,导入/导出IE中的收藏夹;注意：如果启用该策略,用户仍然可以查看“导入/导出向导”,但当用户单击“完成”按钮时,将出现说明该功能已被禁用的提示信息;2.禁用更改“高级”选项卡的设置禁止用户更改“Internet选项”对话框中“高级”选项卡上的设置;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,则用户无法更改高级Internet设置,如安全、多媒体和打印;用户无法选中“高级”选项卡上的复选框,也不能清除这些复选框的复选标记;如果禁用该策略或不对其进行配置,则用户可以选择或清除“高级”选项卡上的设置;如果设置了位于\用户配置\管理模板\Windows组件\InternetExplorer\Internet控制面板中的“禁用高级页”策略,则无需设置该策略,因为“禁用高级页”策略将删除界面上的“高级”选项卡;3.对拨号连接使用“自动检测”属性自动检测在浏览器第一次启动时使用DHCP动态主机配置协议或DNS服务器来自定义浏览器;该策略指定自动检测用于用户的拨号设置的配置; 位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该设置,自动检测将配置用户的拨号设置;如果禁用该配置或不配置,自动检测不会配置用户的拨号设置,除非用户指定;4.禁用Internet连接向导禁止用户运行Internet连接向导;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“Internet选项”对话框中“连接”选项卡上的“建立连接”按钮将变灰;用户也无法通过单击桌面上的“连接到Internet”图标或单击“开始→程序→附件→通讯”,然后单击“Internet连接向导”运行Internet连接向导;如果禁用该策略或不对其进行配置,则用户可以通过运行Internet连接向导,更改连接设置;注意：该策略与位于＼用户配置＼管理模板＼Windows组件＼InternetExplorer＼Internet控制面板中的“禁用连接页”策略有相似之处,后者将删除界面上的“连接”选项卡;从界面上删除“连接”选项卡并不会妨碍用户从桌面或“开始”菜单中运行Internet连接向导;5.禁用表单的自动完成功能禁止IE自动完成表单,如填写用户以前在网页中输入过的姓名或密码;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“表单”复选框将变灰;单击“Internet选项”对话框中“内容”选项卡上的“自动完成”按钮,即可出现“表单”复选框;如果禁用该策略或不对其进行配置,则用户可以启用表单的自动完成功能;位于\用户配置\管理模板\Windows组件\InternetExplorer\Internet控制面板中的“禁用内容页”策略的优先级高于该策略;如果启用了“禁用内容页”策略,该策略将被忽略,因为“禁用内容页”策略将删除“控制面板”中“InternetExplorer属性”对话框中的“内容”选项卡;注意：如果用户已开始使用启用了表单自动完成功能的浏览器后,再启用该策略,则不会清除用户已经使用表单自动完成功能在表单中所填写的内容;6.配置媒体浏览栏属性媒体浏览器栏播放来自Internet的音乐和视频内容,该策略允许管理员启用和禁用媒体浏览器栏和设置默认自动播放;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果禁用媒体浏览器栏,用户无法显示媒体浏览器栏;自动播放功能也被禁用;当用户在IE中单击一个链接,系统中的默认媒体客户端将播放内容;如果启用媒体浏览器栏或不配置,用户可以显示和隐藏媒体浏览器栏;管理员也可以打开和关闭自动播放功能;该设置只在媒体浏览器栏启用时应用;如果选择,媒体浏览器栏将在用户单击媒体链接时自动显示和播放媒体内容;如果不选择,系统上的默认媒体客户端将播放内容;7.禁用右键快捷菜单禁止在用户使用IE过程中单击鼠标右键时出现快捷菜单;位置：\用户配置\管理模板\Windows组件\InternetExplorer\浏览器菜单如果启用该策略,在用户指向网页,然后单击鼠标右键时将不出现快捷菜单;如果禁用该策略或不对其进行配置,则用户可以使用快捷菜单;8.自定义IE标题栏我们可以利用组策略自定义出现在IE和OE标题栏中的文本;无论软件包中是否有OE或者用户计算机上已经安装了OE,都将更新OE标题栏;位置：\用户配置\管理模板\Windows设置\InternetExplorer维护\浏览器用户界面\浏览器标题请在打开的对话框中选中“自定义标题栏”选项,然后在“标题栏文本”框中键入希望的文本;注意：在选择某个位图时,要确保颜色与文本的对比度;这为用户确保了更高程度的可读性;9.自定义IE工具按钮我们可以利用该策略个性化出现在IE中的工具栏,给你一定的灵活性和设计机会;可以使用的元素包括用于标准工具栏按钮例如“搜索”和“历史”的工具栏背景和图标外观;位置：＼用户配置＼管理模板＼Windows设置＼InternetExplorer维护＼浏览器用户界面＼浏览器工具栏自定义在打开的对话框中单击“添加”按钮,然后在打开的对话框中在“工具栏标题必需”框中,键入用户鼠标悬停在工具栏按钮上时出现的文本;必须指定该按钮的标题或标签;建议的最大长度是10个字符;在“工具栏操作作为脚本文件或可执行文件,必需”框中,键入脚本文件或可执行文件的名称,或者单击“浏览”按钮查找文件;必须指定用户单击工具栏按钮时运行的脚本文件或可执行文件;在“工具栏颜色图标必需”框中,键入表示按钮为活动状态的文件的名称,或者单击“浏览”按钮查找该文件;必须指定出现在工具栏上的按钮的彩色图标;图标由活动和非活动状态的20×20像素的图像组成;在“工具栏灰度图标必需”框中,键入出现在黑白监视器上的工具栏的灰度图标文件名和位置,或者单击“浏览”按钮查找文件;必须指定显示在工具栏上按钮的灰度图标;选中“默认情况下,该按钮应显示在工具栏上”复选框来显示默认情况下用户浏览器中的工具栏按钮;五、利用组策略设置优化网络环境1.禁止访问网络连接组件的属性“本地连接属性”对话框包括连接时使用的网络组件列表;要查看或更改组件属性,请单击组件名称,然后单击组件列表下面的“属性”按钮,如图4所示;该策略确定用户是否可以更改由网络连接使用的组件属性,它确定是否启用用于网络连接组件的“属性”按钮;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就会为管理员禁用“属性”按钮;无论“为管理员启用网络连接设置”设置启用与否,用户都不可以访问连接组件;如果禁用或不配置“为管理员启用网络连接设置”;如果禁用或不配置此设置,将为用户启用“属性”按钮;2.禁用TCP/IP高级配置确定用户是否可以配置TCP/IP设置;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就对所有用户包括管理员禁用“Internet协议TCP/IP属性”对话框上的“高级”按钮;因此,用户不能打开“高级TCP/IP设置”对话框并修改IP设置例如,DNS 和WINS服务器信息;如果禁用此设置,则启用“高级”按钮,并且所有用户均可打开“高级TCP/IP设置”对话框;注意：此设置会由禁止访问连接属性或连接组件属性的设置取代;如果将这些策略设置为拒绝访问连接属性对话框或用于连接组件的“属性”按钮,用户就无法访问用于TCP/IP配置的“高级”按钮;不管此设置如何,非管理员用户均不具有访问用于网络连接的TCP/IP高级配置的权限;在用户退出系统之前,将此设置从“启用”更改为“未配置”不会启用“高级”按钮;3.禁止添加或删除用于网络连接或远程访问连接的组件“安装”按钮可打开用来添加网络组件的对话框;单击“卸载”按钮可删除组件列表中的选定组件;“安装”和“卸载”按钮出现在用于连接的“属性”对话框之中;这些按钮位于“常规”选项卡和“网络”选项卡上;该策略确定管理员是否可以添加和删除用于网络连接或远程访问连接的网络组件;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就会禁用用于连接组件的“安装”和“卸载”按钮,并且不允许用户访问“Windows组件向导”中的网络组件;如果禁用或不配置此设置,就会启用用于“网络连接”文件夹中连接组件的“安装”和“卸载”按钮;同样地,用户可以访问“Windows组件向导”中的网络组件;4.禁止访问网络连接的属性右键单击“网上邻居”图标,在打开的快捷菜单中可以看到“属性”菜单项,用于打开网络连接属性对话框,该策略确定用户是否可以更改网络连接的属性;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就对所有用户禁用“属性”菜单项,而且用户不能打开“连接属性”对话框;如果禁用或不配置此设置,右键单击“网上邻居”的图标时,就会出现“属性”菜单项;同样地,当用户选择此连接时,就会启用“文件”菜单上的“属性”菜单项;注意：此设置优先于操作“局域连接属性”对话框内的功能的可用性设置;如果启用此设置,用户将不可使用网络连接的属性对话框内的任何功能;5.更改所有用户远程访问连接的属性该策略用于确定用户是否可以查看和更改对计算机所有用户可用的远程访问连接的属性;此设置确定是否启用“属性”菜单项,以及远程访问连接属性对话框是否对用户可用;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置,任何用户右键单击用来进行远程访问连接的图标时,就会出现“属性”菜单项;同样地,当任何用户选择连接时,“文件”菜单上就出现“属性”;如果禁用此设置并启用“为管理员启用网络连接设置”设置,就会禁用“属性”菜单项,并且用户包括管理员无法打开远程访问连接对话框;如果不配置此设置,则只有管理员才可以更改所有用户远程访问连接的属性;注意：此设置优先于操作远程访问连接属性对话框内的功能的可用性设置;如果禁用此设置,则用户不可使用用于远程访问连接的属性对话框内的任何功能;再谈组策略--Windows组策略应用全攻略一、什么是组策略一组策略有什么用说到组策略,就不得不提注册表;注册表是Windows系统中保存系统、应用软件配置的数。
WINDOWS组策略的修改
3. 关闭系统自动播放功能
• 一旦你将光盘插入光驱中，Windows XP就会开 始读取光驱，并启动相关的应用程序。这样虽 然给我们的工作带来了便利，在某些时候也带 来了不少麻烦。在“系统”节点下有一项为 “关闭自动播放”设置项，双击其并在弹出对 话框的“设置”标签中点选“已启用”，在 “关闭自动播放”框中选择“CD-ROM启动器” 或“所有驱动器”项即可。 注意：此设置不阻 止自动播放音乐CD。
五、系统项目设置
• 这一项在“用户配置”→“管理模 板”→“系统”中设置。组策略中对系 统的设置涉及到登录、电源管理、组策 略、脚本等很多项目，下面把和我们联 系紧密的部分清理出来分类列举如下：
1. 登录时不显示欢迎屏幕界面
• Windows 2000和Windows XP系统登录时 默认情况下都有欢迎屏幕，虽然漂亮但 也麻烦且延长登录时间，通过组策略便 可将其除去。双击启用“系统”节点下 的“登录时不显示欢迎屏幕”，则每次 用户登录时欢迎屏幕将隐藏。
2. 通过控制台访问组策略
• 单击“开始”→“运行”，输入“mmc”，回车后进入 控制台窗口。 • 单击控制台窗口的“文件”→“添加/删除管理单元”， 在弹出窗口单击“添加”，之后选择“组策略”并单 击“添加”，在下一步的“选择组策略对象”对话框 中选择对象。 • 由于我们组策略对象就是“本地计算机”，因此不用 更改，如果是网络上的另一台计算机，那么单击“浏 览”选择此计算机即可。 • 另外，如果你希望保存组策略控制台，并希望能够选 择通过命令行在控制台中打开组策略对象，请选中 “当从命令行开始时，允许更改‘组策略管理单元’ 的焦点”复选框。最后添加进来的组策略。
5. 禁止“注销”和“关机”
• 运行三维动画设计和视频处理的朋友经常会为 导出一个大型动画、视频文件而花几个小时， 这时如果有人重新启动电脑或注销用户，那么 前面所做的工作就会白白浪费，因此有必要禁 止“开始”菜单中的“注销”、“关机”菜单 项。你只需双击启用“删除‘开始’菜单上的 ‘注销’”和“删除和阻止访问‘关机’命令” 两项即可。后一设置不仅将从“开始”菜单中 删除“关闭计算机”项，而且还会禁用 “Windows 任务管理器”对话框中的“关机” 选项。
Win8运行命令
Win8运行命令:程序和功能取消了开始菜单的Win8让人感觉很不习惯，这才发现原来开始菜单可以做这么多事。
不过Win8中的一些快捷键还沿用了Windows一直以来的习惯，比如按下Windows + R打开“运行”对话框。
在这里我们可以通过命令来打开各种应用程序或系统设置，不过这需要你有超强的记忆力，能把Win8中所有的运行命令都记住。
以下这108条运行命令都是大家经常会用到的，看看你能记住多少？Win8系统108个运行命令你能记住多少?1.appwiz.cpl：程序和功能（程序卸载）打开程序和功能（程序卸载）窗口2.calc：启动计算器3.certmgr.msc：证书管理实用程序证书管理实用程序4.charmap：启动字符映射表5.chkdsk.exe：Chkdsk磁盘检查（管理员身份运行命令提示符）6.cleanmgr：打开磁盘清理工具7.cliconfg：SQL SERVER 客户端网络实用工具SQL SERVER 客户端网络实用工具Win8运行命令:计算机管理8.cmstp：连接管理器配置文件安装程序9.cmd.exe：CMD命令提示符打开CMD命令提示符10.自动关机命令Shutdown -s -t 600：表示600秒后自动关机shutdown -a ：可取消定时关机Shutdown -r -t 600：表示600秒后自动重启rundll32 user32.dll，LockWorkStation：表示锁定计算机11.colorcpl：颜色管理，配置显示器和打印机等中的色彩pMgmtLauncher：计算机管理打开计算机管理pmgmt.msc：计算机管理14.credwiz：备份或还原储存的用户名和密码备份或还原储存的用户名和密码Win8运行命令:设备管理器exp.msc：打开系统组件服务16.dcomcnfg：打开系统组件服务17.control：控制面版打开控制面版18.Dccw：显示颜色校准19.devmgmt.msc：设备管理器打开设备管理器20.desk.cpl：屏幕分辨率打开屏幕分辨率设置Win8运行命令:磁盘管理21.dfrgui：优化驱动器22.dialer：电话拨号程序23.diskmgmt.msc：磁盘管理打开磁盘管理24.dvdplay：DVD播放器25.dxdiag：检查DirectX信息检查DirectX信息26.eudcedit：造字程序27.eventvwr：事件查看器28.explorer：打开资源管理器29.Firewall.cpl：Windows防火墙Windows防火墙Win8运行命令:Internet属性30.FXSCOVER：传真封面编辑器31.fsmgmt.msc：共享文件夹管理器32.gpedit.msc：组策略组策略33.hdwwiz.cpl：设备管理器34.inetcpl.cpl：Internet属性Internet属性35.intl.cpl：区域36.iexpress：木马捆绑工具，系统自带37.joy.cpl：游戏控制器Win8运行命令:画图工具38.logoff：注销命令39.lusrmgr.msc：本地用户和组40.lpksetup：语言包安装/删除向导，安装向导会提示下载语言包41.lusrmgr.msc：本机用户和组42.main.cpl：鼠标属性43.mmsys.cpl：声音声音设置44.magnify：放大镜实用程序放大镜实用程序45.mem.exe：显示内存使用情况（如果直接运行无效，可以先管理员身份运行命令提示符，在命令提示符里输入mem.exe>d：a.txt 即可打开d盘查看a.txt，里面的就是内存使用情况了。
提升windows系统安全性的组策略设置
06
安全加固建议
使用强密码并定期更换密码
总结词
强密码是保护Windows系统安全性的重要措施之一，应定期更换密码，以降低被破解的风险。
详细描述
强密码应包含大写字母、小写字母、数字和特殊字符，且长度至少为8位。建议使用密码管理工具来生成和保存 复杂的密码。定期更换密码可减少被破解的时间，一般建议每3个月更换一次密码。
组策略在系统安全中的作用
配置安全审计
01
通过配置安全审计，可以记录系统中发生的安全事件，以便及
时发现并应对潜在的安全威胁。
禁用不必要的网络协议
02
禁用不必要的网络协议可以减少系统的漏洞，提高系统的安全
性。
配置防火墙规则
03
通过配置防火墙规则，可以限制网络流量，防止恶意软件通过
网络进行传播。
02
账户策略
设定锁定帐户的时间长度，防止暴力破解。
复位帐户锁定计数器
在达到帐户锁定阈值后，可以复位计数器，重新解锁帐户。
审核策略
审核登录事件
对登录事件进行审核，以便在发生异常登录时进行审计。
审核账户管理事件
对账户管理事件进行审核，以便在发生异常账户操作时进行审计。
审核目录服务访问事件
对访问目录服务的事件进行审核，以便在发生异常访问时进行审计 。
网络访问保护（NAP）
通过强制执行安全策略，限制不符合安全标准的计算机的互联网访问，以减少 网络威胁。
网络安全保护
对网络连接进行加密和安全认证，以保护数据传输过程中的隐私和完整性。
安全审计策略
日志审计
对系统活动进行详细记录和审计，以便于追踪和调查潜在的 安全事件。
安全事件响应
及时响应和处理安全事件，以防止其对系统造成进一步的损 害。
组策略与安全设置
组策略与安全设置系统管理员可以通过组策略的强大功能，来充分管理网络用户与计算机的工作环境，从而减轻网络管理的负担。
组策略概述组策略是一个能够让系统管理员充分管理用户工作环境的功能，通过它来确保用户拥有应有的工作环境，也通过他来限制用户。
因此，不但可以让用户拥有适当的环境，也可以减轻系统管理员的管理负担。
组策略包含计算机配置与用户配置两部分。
计算机配置仅对计算机环境产生影响，而用户设置只对用户环境有影响。
可以通过以下两个方法来设置组策略。
●本地计算机策略:可以用来设置单一计算机的策略，这个策略内的计算机配置只会背应用到这台计算机，而用户设置会被应用到在此计算机登陆的所有用户。
●域的组策略:在域内可以针对站点，域或组织单位来设置组策略，其中，域组策略内的设置会被应用到域内的所有计算机与用户，而组织单位的组策略会被应用到该组织单位内的所有计算机与用户。
对添加域的计算机来说，如果其本地计算机策略的设置与域或组织单位的组策略设置发生冲突，则以域或组织单位组策略的设置优先，也就是此时本地计算机策略的设置值无效。
本地计算机策略实例演示以下利用未加入域的计算机来练习本地计算机策略，以免受到域策略的干扰，造成本地计算机策略的设置无效，因而影响到验证实验结果。
计算机配置实例演示当我们要将Windows Server2012 计算机关机时，系统会要求我们提供关机的理由，以下实例完成后，系统就不会在要求你说明关机理由了。
开始运行中输入gpedit.msc-计算机配置-管理模板-系统-显示“关闭事件跟踪程序“-单击已禁用以后关机或重启计算机时，系统都不会再询问了。
注：请不要随意更改计算机配置，以免更改可能影响系统正常运行的设置值。
用户配置实例演示以下通过本地计算机策略来限制用户工作环境：删除客户端浏览器IE内Internet选项的安全和连接标签。
也就是经过以下设置后，浏览器内的安全和连接标签消失了。
用户配置-管理模板-windows组件-IE-ie控制面板-禁用连接页和禁用安全页设置为启用，此设置会立即应用到所有用户。
Windows server 2008 R2 用组策略隐藏指定磁盘驱动器(盘符)
Windows server 2008 R2 用组策略隐藏指定磁盘驱动器（盘符）1.我们通过修改C:\Windows\PolicyDefinitions\WindowsExplorer.admx这个文件来达到在Windows server 2008中隐藏指定盘符的功能.(编辑这个文件可以用记事本或者是notepad++)2.首先找到C:\Windows\PolicyDefinitions目录下的WindowsExplorer.admx和C:\Windows\PolicyDefinitions\zh-CN目录下的WindowsExplorer.adml两个文件，分别复制到桌面作为备份。
3.在WindowsExplorer.admx文件中查找字段NoDrives,添加相应的字符串可以设置隐藏指定的磁盘驱动器;查找字段NoViewOnDrive,并修改相应的字段,可以设置拒绝从Windows资源管理器访问某个磁盘驱动器.下面以设置隐藏指定的磁盘驱动器为例:(下列黑体字我测试时设置的"只显示Z,其他盘符不显示.")<policy name="NoDrives" class="User" displayName="$(string.NoDrives)"explainText="$(string.NoDrives_Help)" presentation="$(presentation.NoDrives)"key="Software\Microsoft\Windows\CurrentVersion\Policies\Explorer"><parentCategory ref="windows:WindowsExplorer" /><supportedOn ref="windows:SUPPORTED_Win2k" /><elements><enum id="NoDrivesDropdown" valueName="NoDrives" required="true"><item displayName="$(string.ABOnly)"><value><decimal value="3" /></value></item><item displayName="$(string.COnly)"><value><decimal value="4" /></value></item><item displayName="$(string.DOnly)"><value><decimal value="8" /></value></item><item displayName="$(string.ABConly)"><value><decimal value="7" /></value></item><item displayName="$(string.ABCDOnly)"><value><decimal value="15" /></value></item><item displayName="$(string.ALLDrives)"><value><decimal value="67108863" /></value></item><item displayName="$(string.RestNoDrives)"><value><decimal value="0" /></value></item><item displayName="$(string.Zonly)"><value><decimal value="33554431" /></value></item></enum></elements></policy>…… ……（此处省略若干代码）<policy name="NoViewOnDrive" class="User" displayName="$(string.NoViewOnDrive)" explainText="$(string.NoViewOnDrive_Help)"presentation="$(presentation.NoViewOnDrive)"key="Software\Microsoft\Windows\CurrentVersion\Policies\Explorer"><parentCategory ref="windows:WindowsExplorer" /><supportedOn ref="windows:SUPPORTED_Win2k" /><elements><enum id="NoDrivesDropdown" valueName="NoViewOnDrive" required="true"><item displayName="$(string.ABOnly)"><value><decimal value="3" /></value></item><item displayName="$(string.COnly)"><value><decimal value="4" /></value></item><item displayName="$(string.DOnly)"><value><decimal value="8" /></value></item><item displayName="$(string.ABConly)"><value><decimal value="7" /></value></item><item displayName="$(string.ABCDOnly)"><value><decimal value="15" /></value></item><item displayName="$(string.ALLDrives)"><value><decimal value="67108863" /></value></item><item displayName="$(string.RestNoDrives)"><value><decimal value="0" /></value></item><item displayName="$(string.Zonly)"><value><decimal value="33554431" /></value></item></enum></elements></policy>红色字体为增加的代码，总共2处。
提升Windows系统安全性的组策略设置
04
防火墙和安全软件
防火墙的作用和功能
防火墙的作用
防火墙是网络安全的第一道防线，它能够控制进出网络的数据包，阻止未经 授权的网络连接和通信。
防火墙的功能
防火墙具有过滤和拦截功能，可以防止恶意软件、病毒和其他安全威胁的入 侵。同时，它还可以监控网络流量，发现并报告异常行为。
如何配置防火墙？
1 2
1. 点击“开始”菜单，在搜索栏中输入“UAC”，并 点击“更改用户账户控制设置”。
关闭UAC
2. 在弹出的窗口中，将滑块向左滑动到最低（建议设 置为“从不通知”），然后点击“确定”。
UAC的优缺点
优点
1. 提高系统安全性：通过限制应用程序和用户 帐户的权限，UAC有助于防止恶意软件对系统 进行更改。问题。来自02提升系统安全性
禁用不必要的服务
禁用无用的Windows服务
禁用不需要的Windows服务，例如，关闭远程注册表服务、远程Shell服务 等，以减少系统漏洞。
禁用不必要的应用程序服务
禁用不必要的第三方应用程序服务，以减少系统资源占用和潜在的安全风险 。
限制不必要的端口
关闭不必要的TCP/IP端口
使用Windows的系统还原功能
启用系统保护
默认情况下，Windows的系统保护功能是关闭的。您需要手动启用它来保护您的系统。
配置磁盘空间使用
系统保护会使用额外的磁盘空间来保存系统文件和注册表设置。您可以通过更改磁盘空间使用设置来 配置系统保护。
THANKS
感谢观看
通过修改注册表或使用防火墙软件，将不需要的TCP/IP端口关闭，以减少系统面临的风险。
限制远程访问端口
对于需要远程访问的端口，应限制访问范围，仅允许必要的IP地址访问。
Windows系统组策略应用技巧
等，提高计算机ห้องสมุดไป่ตู้能效果。
03
组策略应用技巧
管理用户账户
创建新的用户账户
01
通过控制面板或命令行创建新的用户账户，并设置密码和权限
。
禁用或删除不必要的用户账户
02
禁用或删除不必要的用户账户，以减少系统的安全风险和管理
负担。
限制用户账户的登录时间
根据系统检测到的软件使用情况，智能推荐需要 的软件安装，提高工作效率。
实现批量操作
批量删除文件
可以批量删除不需要的文件，节省存储空间 ，提高系统运行速度。
批量重命名文件
通过组策略可以实现对文件名的批量重命名 ，极大提高工作效率。
批量修改文件属性
根据需要可以批量修改文件的属性，如只读 、隐藏等，提高文件管理效率。
优化系统性能（续）
关闭无用服务
通过组策略可以关闭无用的系统服务，减少系统资源占用，提高 系统性能。
优化磁盘读写速度
通过组策略可以优化磁盘读写速度，提高文件访问速度。
禁止不必要的窗口
可以禁止不必要的系统窗口弹出，减少系统资源占用，提高系统响 应速度。
THANK YOU
通过组策略禁用不必要的网络共享，可以减 少病毒通过网络传播的风险。
限制不必要的端口
通过组策略限制不必要的端口，可以防止病 毒通过这些端口入侵系统。
强制执行安全设置
通过组策略强制执行安全设置，可以确保系 统的安全性和稳定性。
加强系统安全
禁用不必要的服务
通过组策略禁用不必要的服务，可以减少系统资源占用，提高系统 性能和安全性。
限制不必要的程序运行
WindowsServer2008配置系统安全策略
WindowsServer2008配置系统安全策略下⾯学习Windows Server 2008配置系统安全策略在⼯作组中的计算机本地安全策略有⽤户策略，密码策略，密码过期默认42天服务账户设置成永不过期，帐户锁定策略，本地策略，审核策略，计算机记录哪些安全事件最后在域环境中使⽤组策略配置计算机安全。
1.在⼯作组中的安全策略，打开本地安全策略。
2.打开本地安全策略之后选择密码策略，可以看到有很多的策略，先看第⼀个密码复杂性要求。
3.打开密码必须符合复杂性要求，默认是打开的，我们在设置密码的时候，不能设置纯数字或者纯字母，必须要有数字加⼤⼩写。
4.密码长度最⼩值，这个是设置密码最低⼩于⼏位数，默认是0，这⾥修改为6位，在设置密码的时候必须满⾜6位，包括数字字母⼤⼩写或者特殊符号。
5.密码最短使⽤期限，默认是0天这⾥设置为30天，在30天不会提⽰你修改密码，必须要使⽤30天才能改密码。
6.密码最长使⽤期限，默认是42天，这⾥修改为60天超过60天之后会提⽰让你修改密码。
7.强制密码历史，这个选项是你修改密码时不能⼀样，默认是0，这⾥设置为3次，修改3次密码之后才能修改回第⼀次使⽤的密码。
8.打开账户锁定策略，账户锁定值默认是0次，可以设置5次超过5次就会把这个账户锁定，为了防⽌别⼈⼊侵你的电脑，等待半个⼩时之后就会⾃动解锁，或者联系管理员⾃动解锁。
9.账号锁定时间，默认是30分钟⾃动解锁，也可以⾃⼰修改，这⾥修改为3分钟⾃动解锁。
10.现在lisi这个⽤户输错五次密码，就算输⼊正确的密码，提⽰账户已锁定，⽆法登录。
11.打开服务器管理器，选择本地⽤户和组，可以查看lisi这个⽤户，输错5次密码之后账户已锁定，管理员可以⼿动把这个勾去掉，然后确定就能登⼊了，或者lisi这个⽤户等待3分钟之后账户会⾃动解锁。
12.打开本地策略，选择审核登录事件，默认是⽆审核，这⾥我勾选成功跟失败，然后确定。
13.打开事件查看器，选择安全把⾥⾯的事件先全部删除，然后使⽤lisi远程登录到这台计算机。
组策略设置系列之“安全选项”
VS
软件限制策略基于软件发布者的数字 签名进行验证，确保软件来源可靠并 经过授权。通过阻止未签名的软件或 来自不受信任的发布者的软件，可以 降低系统面临的安全风险。
软件限制策略的配置步骤
打开组策略编辑器（gpedit.msc），定 位到“计算机配置”或“用户配置”下 的“策略”文件夹。
配置完成后，保存并退出组策略编辑器 。
配置密码策略
在组策略编辑器中，可以配置密 码策略的相关设置，如密码长度 、密码复杂性和密码过期时间等 。这些设置可以根据组织的需求 进行调整，以达到更好的安全性 。
密码策略的适用场景
密码策略适用于需要提高账户安 全性的场景，例如企业网络、学 校网络或政府机构等。通过实施 密码策略，可以降低密码破解的 风险，保护用户的个人信息和计 算机资源。
组策略在Windows系统中的作用
安全配置
通过组策略可以设置各种安全选项， 如账户策略、本地策略、公钥策略等 ，以增强系统的安全性。
脚本配置
组策略可以配置启动脚本和关机脚本 ，以实现自动化任务。
01
02
软件安装与卸载
管理员可以利用组策略来部署和卸载 软件，实现软件的统一分发和管理。
03
桌面配置
组策略可以定制用户桌面的外观和行 为，如桌面背景、图标、开始菜单等 。
密码策略
通过设置密码策略，可以控制账户密 码的复杂性和长度，以及密码过期和
重置的规则。
账户锁定策略
账户锁定策略可以防止暴力破解和恶 意攻击，通过设置账户登录失败次数
和锁定时间来保护账户安全。
本地策略详解
本地策略概述
01
Hale Waihona Puke 本地策略是指针对本地计算机的安全设置和管理规则
Windows操作系统组策略应用全攻略
Windows操作系统组策略应用全攻略一、什么是组策略一组策略有什么用说到组策略,就不得不提注册表.注册表是Windows系统中保存系统、应用软件配置的数据库,随着Windows功能的越来越丰富,注册表里的配置项目也越来越多.很多配置都是可以自定义设置的,但这些配置发布在注册表的各个角落,如果是手工配置,可想是多么困难和烦杂.而组策略则将系统重要的配置功能汇集成各种配置模块,供管理人员直接使用,从而达到方便管理计算机的目的.简单点说,组策略就是修改注册表中的配置.当然,组策略使用自己更完善的管理组织方法,可以对各种对象中的设置进行管理和配置,远比手工修改注册表方便、灵活,功能也更加强大.二组策略的版本大部分Windows 9X/NT用户可能听过“系统策略”的概念,而我们现在大部分听到的则是“组策略”这个名字.其实组策略是系统策略的更高级扩展,它是由Windows 9X/NT 的“系统策略”发展而来的,具有更多的管理模板和更灵活的设置对象及更多的功能,目前主要应用于Windows2000/XP/2003系统.早期系统策略的运行机制是通过策略管理模板,定义特定的.POL通常是文件.当用户登录的时候,它会重写注册表中的设置值.当然,系统策略编辑器也支持对当前注册表的修改,另外也支持连接网络计算机并对其注册表进行设置.而组策略及其工具,则是对当前注册表进行直接修改.显然,Windows 2000/XP/2003系统的网络功能是其最大的特色之处,其网络功能自然是不可少的,因此组策略工具还可以打开网络上的计算机进行配置,甚至可以打开某个Active Directory 对象即站点、域或组织单位并对它进行设置.这是以前“系统策略编辑器”工具无法做到的.无论是系统策略还是组策略,它们的基本原理都是修改注册表中相应的配置项目,从而达到配置计算机的目的,只是它们的一些运行机制发生了变化和扩展而已.二、组策略中的管理模板在Windows 2000/XP/2003目录中包含了几个 .adm 文件.这些文件是文本文件,称为“管理模板”,它们为组策略管理模板项目提供策略信息.在Windows 9X系统中,默认的管理模板即保存在策略编辑器同一个文件夹中.而在Windows 2000/XP/2003的系统文件夹的inf文件夹中,包含了默认安装下的4个模板文件,分别为：1：默认情况下安装在“组策略”中,用于系统设置.2：默认情况下安装在“组策略”中;用于Internet Explorer策略设置.3：用于Windows Media Player 设置.4：用于NetMeeting 设置.在Windows 2000/XP/2003的组策略控制台中,可以多次添加“策略模板”,而在Windows 9X下,则只允许当前打开一个策略模板.下面介绍使用策略模板的方法.首先在Windows 2000/XP/2003组策略控制台中使用如下：首先运行“组策略”程序,然后选择“计算机配置”或者“用户配置”下的“管理模板”,按下鼠标右键,在弹出的菜单中选择“添加/删除模板”,则弹出如图1所示的对话框.图 1然后单击“添加”按钮,在弹出的对话框中选择相应的.adm文件.单击“打开”按钮,则在系统策略编辑器中打开选定的脚本文件,并等待用户执行.返回到“组策略”编辑器主界面后,依次打开目录“本地计算机策略→用户配置→管理模板”,再点击相应的目录树,就会看到我们新添加的管理模板所产生的配置项目了为了便于本文后面的实例大家能一起动手操作,建议添加除默认模板文件的其它模板文件.再来看Windows 9X下的组策略编辑器.首先在组策略编辑器中的“文件”菜单中选择“关闭”,以便将当前脚本关闭,然后再在“选项”菜单中选择“模板”,则弹出如图2所示的对话框.图 2然后单击“打开模板”按钮,在弹出的对话框中选择相应的.adm文件并单击“打开”按钮,则在编辑器中打开选定的脚本文件并等待用户执行.三、运行组策略一Windows 2000/XP/2003组策略控制台如果是Windows 2000/XP/2003系统,那么系统默认已经安装了组策略程序,在“开始”菜单中,单击“运行”命令项,输入并确定,即可运行程序界面如图4所示.图 4使用上面的方法,打开的组策略对象就是当前的计算机,而如果需要配置其他的计算机组策略对象的话,则需要将组策略作为独立的控制台管理程序来打开,具体步骤如下：1打开 Microsoft 管理控制台可在“开始”菜单的“运行”对话框中直接输入MMC并回车,运行控制台程序.2在“文件”菜单上,单击“添加/删除管理单元”.3在“独立”选项卡上,单击“添加”.4在“可用的独立管理单元”对话框中,单击“组策略”,然后单击“添加”.5在“选择组策略对象”对话框中,单击“本地计算机”编辑本地计算机对象,或通过单击“浏览”查找所需的组策略对象.6单击“完成”,单击“关闭”,然后单击“确定”.组策略管理单元即打开要编辑的组策略对象.对于不包含域的计算机系统来说,在上面第5步的界面中,只有“计算机”标签,而没有其他标签项目.通过上面的方法,我们就可以使用Windows2000/XP/2003组策略系统强大的网络配置功能,让管理员的工作更轻松和高效.Windows 2000/XP/2003组策略管理控制台具有“选中、清除、变灰”三种状态三种状态,它们分别是：已启用、未配置、已禁用.四、“桌面”设置Windows的桌面就像我们的办公桌一样,需要经常进行整理和清洁,而组策略就如同我们的贴身秘书,让桌面管理工作变得易如反掌.下面就让我们来看看几个实用的配置实例：位置：“组策略控制台→用户配置→管理模板→桌面”1.隐藏桌面的系统图标Windows 2000/XP/2003虽然通过修改注册表的方式可以实现隐藏桌面上的系统图标的功能,但这样比较麻烦,也有一定的风险.而采用组策略配置的方法,可以方便快捷地达到此目的.比如要隐藏桌面上的“网上邻居”和“Internet Explorer”图标,只要在右侧窗格中将“隐藏桌面上‘网上邻居’图标”和“隐藏桌面上的Internet Explorer图标”两个策略选项启用即可如图5;如果隐藏桌面上的所有图标,只要将“隐藏和禁用桌面上的所有项目”启用即可;当启用了“删除桌面上的‘我的文档’图标”和“删除桌面上的‘我的电脑’图标”两个选项以后,“我的电脑”和“我的文档”图标将从你的电脑桌面上消失;同样如果要让“回收站”图标消失,只须将“从桌面删除回收站”策略项启用即可.图 52.退出时不保存桌面设置Windows 2000/XP/2003此策略可以防止用户保存对桌面的某些更改.如果你启用这个策略,用户仍然可以对桌面做更改,但有些更改,如图标的位置、任务栏的位置及大小,在用户注销后都无法保存,不过任务栏上的快捷方式总可以被保存.在右侧窗格中将“退出时不保存设置”这个策略选项启用即可.3.屏蔽“清理桌面向导”功能Windows XP/2003“清理桌面向导”会每隔 60 天自动在用户的电脑上运行,以清除那些用户不经常使用或者从不使用的桌面图标.如果启用此策略设置,则可以屏蔽“清理桌面向导”,如果你禁用或不配置此设置,“清理桌面向导”会按照默认设置每隔60天运行一次.打开右侧窗格中的“删除清理桌面向导”,根据需要设置策略选项即可.4.启用/禁用“活动桌面”Windows 2000/XP/2003“活动桌面”是Windows 98及以后版本或安装了IE 的系统中自带的高级功能,最大的特点是可以设置各种图片格式的墙纸,甚至可以将网页作为墙纸显示.但出于对安全和性能的考虑,有时候我们需要禁用这一功能并且禁止用户启用它,通过策略设置可以轻松达到这一要求.具体操作方法：打开右侧窗格中的“禁用活动桌面”并启用此策略.提示：如果同时启用“启用Active Desktop”设置和“禁用Active Desktop”设置,则“禁用 Active Desktop”设置会被忽略.如果“禁用 Active Desktop 和Web 视图”设置在“用户配置→管理模板→Windows组件→Windows资源管理器”中被启用,Active Desktop 就会被禁用,并且这两个策略都会被忽略.以上介绍了几个桌面的组策略配置项目,在“组策略控制台→用户配置→管理模板→桌面”下还有其他若干组策略配置项目,读者可根据需要进行配置,这里不再赘述.五、个性化“任务栏”和“开始”菜单在图6所示窗口的右侧,显示了“任务栏”和“开始”菜单的有关组策略配置项目.下面我们来看具体的实例：图 6位置：“组策略控制台→用户配置→管理模板→任务栏和开始菜单”1.给“开始”菜单减肥Windows 2000/XP/2003如果觉得Windows的“开始”菜单太臃肿的话,可以将不需要的菜单项从“开始”菜单中删除.在组策略右侧窗格中,提供了“从开始菜单删除用户文件夹”、“删除到‘Windows Update’的访问和链接”、“从开始菜单删除公用程序组”、“从开始菜单中删除‘我的文档’图标”等多种组策略配置项目.你只要将不需要的菜单项所对应的策略启用即可.2.保护好“任务栏”和“开始”菜单Windows2000/XP/2003如果你不想随意让他人更改“任务栏”和“开始”菜单的设置,你只要将组策略控制台右侧窗格中的“阻止更改‘任务栏和开始菜单’设置”和“阻止访问任务栏的上下文菜单”两个策略项启用即可.这样,当你用鼠标右键单击任务栏并单击“属性”时,系统会出现一个错误消息图7,且当鼠标右键单击任务栏及任务栏上的项目时,例如“开始”按钮、时钟和“任务栏”按钮,弹出菜单会隐藏.图 73.禁止“注销”和“关机”Windows 2000/XP/2003当计算机启动以后,如果你不希望这个用户再进行“关机”和“注销”操作,那么可将组策略控制台右侧窗格中的“删除开始菜单上的‘注销’”和“删除和阻止访问‘关机’命令”两个策略启用.这个设置会从开始菜单删除“关机”选项,并禁用“Windows 任务管理器”对话框。
windows 备份还原组策略
windows 备份还原组策略
在Windows操作系统中，可以使用组策略来配置备份和还原相关的设置。
下面是一些常见的Windows备份和还原组策略：
1. 启用系统状态备份：
组策略路径：计算机配置-> 管理模板-> 系统-> 备份
设置选项：启用"允许备份系统状态"选项
2. 配置备份位置：
组策略路径：计算机配置-> 管理模板-> Windows组件-> 文件资源管理器-> 通用文件夹设置选项：配置"备份位置"选项，指定备份文件保存的位置
3. 配置备份计划：
组策略路径：计算机配置-> 管理模板-> Windows组件-> Backup -> 任务计划程序
设置选项：配置"备份计划"选项，指定备份任务的计划时间和频率
4. 配置还原设置：
组策略路径：计算机配置-> 管理模板-> Windows组件-> Backup -> 还原
设置选项：配置"允许还原文件"选项，指定是否允许用户还原备份文件
请注意，以上仅是一些常见的备份和还原组策略示例，具体的组策略选项可能会因不同的Windows版本而有所变化。
要配置这些组策略，您需要具有管理员权限并使用组策略编辑器（gpedit.msc）来访问和修改这些设置。
1。
提升windows系统安全性的组策略设置
设置应用程序黑名单
禁止运行恶意程序
通过设置应用程序黑名单，可以禁止恶意程 序的运行，从而避免系统受到攻击。
限制运行未知来源的程序
对于未知来源的程序，应该限制其运行，以 避免病毒或木马的感染。
限制不必要的程序运行
限制运行不必要的程序
对于不必要的程序，应该限制其运行，以避免资源的浪 费和系统的负担。
提升windows系统安全性的组策略设置
$number {01} 汇报人：
日期:
目录
• 组策略基础 • 提升账户安全 • 文件安全与访问控制 • 网络与网络安全 • 软件安全与控制 • 安全审计与日志记录
01
组策略基础
什么是组策略？
• 组策略（Group Policy）是Windows系统中一套核心的策略管理工具，它用于配置和调整计算机 的配置参数、用户权限、软件安装等，以提升系统的安全性和性能。
使用安全审计工具
可以使用Windows内置的安全 审计工具或第三方工具进行事件
分析。
分析登录事件
通过分析登录事件可以发现异常 登录和暴力破解等行为。
分析文件访问事件
通过分析文件访问事件可以发现 未经授权的文件访问和修改。
分析网络连接事件
通过分析网络连接事件可以发现 未经授权的网络连接和数据传输
。
THANKS
限制访问危险的文件和目录
对于一些可能包含敏感信息的文件和目录，应该限制其 访问权限，以避免数据泄露。
06
安全审计与日志记录
启用审核策略和事件日志记录
1 2
启用账户登录事件
记录账户登录和注销事件，以便于后续审计。
启用文件访问事件
记录文件被访问和修改的事件，以便于监控敏感 文件。
提升Windows系统安全性的组策略设置
账户策略可以用来管理系统的账 户权限和访问控制，例如设置管 理员账户、guest账户等，以及为 每个账户设置不同的权限级别。
04 审核策略
审核策略可以用来记录系统中的所 有操作，包括登录、注销、文件访 问等，以便于管理员追踪和分析恶 意行为。
安全日志和事件查看器
安全日志
安全日志是Windows系统中记录安全事件的一种方式，可以记录系统中的登录、 注销、权限更改等事件，以便于管理员进行审计和分析。
存储设备加密
存储设备加密是指对存储设备中的数据进行加密，例如U盘、 移动硬盘等。通过加密存储设备中的数据，可以防止未经授 权的访问和使用。
05
安全备份和恢复策略
定期备份重要数据
1 2
启用定期备份
在Windows系统中，可以使用内置的备份工具 或第三方备份软件，定期备份重要数据。
备份频率
建议至少每周备份一次数据，以确保数据的完 整性和可恢复性。
限制不受信任的软件
对于来源不明的软件或执行可疑操作的软件 ，可以将其标记为不受信任，并阻止其运行
和安装知名品牌的防病毒软件，并定期更新病毒库和恶意软件 数据库。
配置防病毒软件设置
配置防病毒软件以自动检测和清除恶意软件，并对文件、邮 件和网络流量进行实时监控和防护。
3
备份位置
应选择一个可靠的数据存储位置，如本地硬盘 、外部硬盘或云存储，以避免数据丢失。
还原备份数据
在数据丢失或受到恶意软件攻击后， 可以使用备份数据进行还原，以恢复 重要数据和文件。
备份数据的可恢复性：确保备份数据 是完整和可靠的，以便在需要时可以 成功还原。
还原过程：根据备份频率和备份位置 ，选择适当的还原方式，如全量还原 、增量还原或差异还原。
windows2008组策略安全配置
关于windows2008 的组策略设置开始---运行----gpedit.msc---组策略----计算机配置---- Windows设置----安全设置---组策略设置：在用户权利指派下，从通过网络访问此计算机中删除Power Users和Backup Operators;启用不允许匿名访问SAM帐号和共享;启用不允许为网络验证存储凭据或Passport;从文件共享中删除允许匿名登录的DFS$和COMCFG;启用交互登录：不显示上次的用户名;启用在下一次密码变更时不存储LANMAN哈希值;禁止IIS匿名用户在本地登录;3.本地安全策略设置:开始菜单—>管理工具—>本地安全策略A、本地策略——>审核策略审核策略更改成功失败审核登录事件成功失败审核对象访问失败审核过程跟踪无审核审核目录服务访问失败审核特权使用失败审核系统事件成功失败审核账户登录事件成功失败审核账户管理成功失败注：在设置审核登陆事件时选择记失败，这样在事件查看器里的安全日志就会记录登陆失败的信息。
B、本地策略——>用户权限分配关闭系统：只有Administrators组、其它全部删除。
通过终端服务拒绝登陆：加入Guests、User组（备注不要加入User组以后无法远程登录。
）通过终端服务允许登陆：只加入Administrators组，其他全部删除C、本地策略——>安全选项交互式登陆：不显示上次的用户名启用网络访问：不允许SAM帐户和共享的匿名枚举启用网络访问：不允许为网络身份验证储存凭证启用网络访问：可匿名访问的共享全部删除网络访问：可匿名访问的命全部删除网络访问：可远程访问的注册表路径全部删除网络访问：可远程访问的注册表路径和子路径全部删除帐户：重命名来宾帐户重命名一个帐户帐户：重命名系统管理员帐户重命名一个帐户防火墙安全设置：计算机配置----管理模板----网络---网络连接----windows防火墙----标准配置文件---windows防火墙保护所有网络连接---- 启动Tsconfig.msc 右键RDP—TCP 属性安全层SSL （TLS.0）加密级别高（带网络认证安全连接）关于目录权限设置：1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。
win8.1怎么添加组策略
win8.1怎么添加组策略组策略(Group Policy)是Microsoft Windows系统管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。
通过使用组策略可以设置各种软件、计算机和用户策略。
那么win8.1怎么添加组策略呢?小编带来了win8.1添加组策略的具体操作过程，下面大家跟着店铺一起来学习一下吧。
win8.1添加组策略方法首先声明一下：本篇文章只针对win8.1中文版系统的用户(本系统天生缺陷：无组策略)在开始菜单打开“运行”，或者快捷键"win+r"调出运行，输入“GPEDIT.MSC”，会出现如图所示的错误提示：如果有遇到这个问题的朋友，请不要去网上搜解决办法了，所有的方法我都寻找过了，win8.1中文版就是没有组策略!但是我们可以确定的是win8.1的专业版和企业版绝对是有组策略的!那么我们何不将系统更改为专业版或者企业版的呢?但是如我前面所说，我的正版win8.1中文版系统不要了吗?再者，我没有专业版和企业版的产品密钥怎么办呢?这个都不是难事儿，随便一搜就有很多!这里不用你搜了，我贡献出我自己所用的密钥吧：00261-50000-00000-AA734。
右键我的电脑，选择“属性”，在打开的窗口右侧上方选择“获取新版本的windows的更多功能”，在弹出窗口中输入产品密钥，点击下一步，这里要等待大概5分钟左右，然后系统会自动重启一到两次(我的是启动了两次)，根据个人机器而定，千万要耐心等待。
Windows重启更新完毕之后，会弹出“升级成功”的提示框，直接点击关闭即可。
如图：此时，再次在运行中输入“GPEDIT.MSC”命令时可以成功打开组策略的窗口了!哇，终于大功告成!无比happy啊。
经过上述步骤，我们虽然成功的解决了RT所示的问题，但是另一个问题又来了。
在Windows升级为专业版之后，查看我的电脑属性可以看到“产品尚未激活”，而且在桌面右下角会有水印文字“win8.1 professional……”。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Windows8组策略
在Windows8RTM9200版本中，较Win7新增加了127个组策略选项，其中有25个组策略比较常用，列举如下：
一、账户同步设置
（1）不同步
说明：阻止微软服务器与此电脑进行双向同步（不上传，不下载）。
这将关闭并禁用电脑设置中的“同步你的设置”页上的“同步你的设置”切换开关。
（2）不同步个性化
说明：阻止“个性化”设置同步至微软服务器，不下载个性化设置。
这将关闭并禁用电脑设置中的“同步你的设置”页上的“个性化”组。
（3）不同步浏览器设置
说明：阻止“浏览器”组与PC之间的双向同步。
这会关闭和禁用PC设置的“同步你的设置”页面中的“浏览器”组。
“浏览器”组包含设置和历史记录与收藏夹等信息。
（4）不同步密码
说明：阻止“密码”组与此电脑进行双向同步。
这将关闭并禁用电脑设置中的“同步你的设置”页上的“密码”组。
（5）不同步其他Windows设置
说明：阻止“其他Windows设置”组与此电脑进行双向同步。
这将关闭并禁用电脑设置中的“同步你的设置”页上的“其他Windows设置”组。
（6）不同步应用设置
说明：阻止“应用设置”组与此电脑进行双向同步。
这将关闭并禁用电脑设置中的“同步你的设置”页上的“应用设置”组。
（7）不同步桌面个性化
说明：阻止“桌面个性化”组与此电脑进行双向同步。
这将关闭并禁用电脑设置中的“同步你的设置”页上的“桌面个性化”组。
二、通知显示设置
（1）不显示“仅本地访问”网络图标
说明：即使连接到网络的用户仅可本地访问，系统任务栏也会显示Internet访问图标
（2）不显示“安装了新应用程序”通知说明：将不会显示通知
（3）不显示“密码显示”按钮
说明：如果启用此策略设置，则用户在密码输入文本框中键入密码后，不会显示“密码显示”按钮。
（4）不显示“显示密码”按钮
说明：在IE10中，如果你启用此策略设置，则所有密码字段都将隐藏“显示密码”按钮。
用户和开发人员将无法依赖于以任何Web表单或Web应用程序显示的“显示密码”按钮。
（5）不显示锁屏
说明：如果启用此策略设置，则对于不需要按Ctrl+Alt+Del就能登录的用户，其电脑在锁定后会显示用户选择的磁贴界面。
（6）以功能区最小化的显示方式启动文件资源管理器
说明：如果启用此策略设置，用户第一次打开文件资源管理器以及每次打开新窗口时功能区的显示方式均为最小化。
（7）阻止更改锁屏图像
说明：阻止用户在计算机处于锁定状态时更改显示的背景图像。
（8）关闭所有通知
说明：如果启用此策略设置，则应用程序和系统功能无法在“开始”屏幕中更新其磁贴和磁贴锁屏提醒。
三、安全设置
（1）关闭Windows定位程序
说明：如果启用此策略设置，则将关闭“Windows定位程序”功能，并且此计算机上的所有程序都将无法使用“Windows定位程序”功能
（2）关闭图片密码登录
说明：如果启用此策略设置，则用户无法设置或使用图片密码登录。
（3）关闭应用商店应用程序
说明：如果启用此设置，则拒绝访问应用商店应用程序。
（4）启用PIN登录
说明：如果禁用或不配置此策略设置，则用户无法设置和使用PIN。
（5）设置用户主文件夹
说明：如果启用此策略设置，则用户的主文件夹将配置为指定的本地或网络位置，即可以把“C:\Users\xxx”默认文件位置改变。
（6）允许安装所有受信任的应用程序
说明：如果启用此策略设置，则可以安装任何受信任的应用程序包。
受信任的应用程序包是使用可成功由本地计算机验证的证书链签名的应用程序包。
除了包含来源于Windows应用商店的应用程序包，还包含由企业签名的业务范围应用程序包。
（越狱新思路~）
（7）允许应用商店在Windows To Go工作区上安装应用
说明：如果启用此设置，则允许在Windows To Go工作区上访问应用商店应用程序。
（8）阻止用户从“开始”中卸载应用程序
说明：如果启用此设置，则用户无法从“开始”中卸载应用程序。