使用组策略实现统一桌面
用组策略统一部署Bginfo软件
用组策略统一部署Bginfo软件(显示计算机信息到桌面)下面来说说如何在企业内部使用组策略统一部署Bginfo的：1.下面是主程序的界面图中间蓝色部分就是显示项，左边的设置项是可以更改的，比如改成中文;<>内的不可修改，fields下面就是显示设置的可选项2.清空蓝色区域，在fields中选择要在工作站桌面上显示的内容，我选择的是Host Name和IP Address，并将字体大小，颜色等设置完毕3.另存当前的配置文件”File”->”Save as”这里保存为bginfo.bgi4.建立两个批处理，内容如下：copyfile.bat-------------------------------------------------------------------------@echo offcopy %logonserver%\netlogon\bginfo.exe %systemroot%\bginfo.exebginfo.bat---------------------------------------------------------------------------@echo offbginfo.exe %logonserver%\netlogon\bginfo.bgi /nolicprompt /timer:05.把bginfo.exe、bginfo.bgi、bginfo.bat、copyfile.bat文件，拷贝到%logonserver%\netlogon目录下。
6.通过组策略管理器（GPMC），编辑或新建的一个组策略（OU组织单位），在"计算机配置"选择"windows设置"，"脚本（启动／关机）"，在"启动"中添加copyfile.bat文件(把bginfo.exe、bginfo.bgi、bginfo.bat、copyfile.bat文件复制到“显示文件”按钮点开的文件夹内，按添加把copyfile.bat文件选中);7.在计算机配置中选择 "windows设置"，"安全设置"，右键点击"文件系统"，选择"添加文件"，在打开的窗口中输入“%systemroot%bginfo.exe”，并将上两项的user权限改为可读写。
组策略完全使用手册
组策略完全使用手册对于大部分计算机用户来说,管理计算机基本上是借助某些第三方工具,甚至是自己手工修改注册表来实现;其实Windows XP组策略已经把这些功能集于一体,通过组策略及相关工具完全可以实现我们所需要的功能;一、组策略基础1.什么是组策略注册表是Windows系统中保存系统软件和应用软件配置的数据库,而随着Windows功能越来越丰富,注册表里的配置项目也越来越多,很多配置都可以自定义设置,但这些配置分布在注册表的各个角落,如果是手工配置,可以想像是多么困难和烦杂;而组策略则将系统重要的配置功能汇集成各种配置模块,供用户直接使用,从而达到方便管理计算机的目的;其实简单地说,组策略设置就是在修改注册表中的配置;当然,组策略使用了更完善的管理组织方法,可以对各种对象中的设置进行管理和配置,远比手工修改注册表方便、灵活,功能也更加强大;2.组策略的版本对于Windows 9X/NT用户来说,都知道“系统策略”的概念,其实组策略就是系统策略的高级扩展,它是自Windows9X/NT的“系统策略”发展而来的,具有更多的管理模板、更灵活的设置对象及更多的功能,目前主要应用于Windows2000/XP/2003操作系统中;早期系统策略的运行机制是通过策略管理模板,定义特定的POL通常是文件;当用户登录时,它会重写注册表中的设置值;当然,系统策略编辑器也支持对当前注册表的修改,另外也支持连接网络计算机并对其注册表进行设置;而组策略及其工具,则是对当前注册表进行直接修改;显然,Windows2000/XP/2003系统的网络功能是其最大的特色之处,所以其网络功能自然是不可少的,因此组策略工具还可以打开网络上的计算机进行配置,甚至可以打开某个ActiveDirectory活动目录对象即站点、域或组织单位并对其进行设置;这是以前“系统策略编辑器”工具无法做到的;当然,无论是“系统策略”还是“组策略”,它们的基本原理都是修改注册表中相应的配置项目,从而达到配置计算机的目的,只是它们的一些运行机制发生了变化和扩展而已;3.在WindowsXP中运行组策略在Windows2000/XP/2003系统中,系统默认已经安装了组策略程序,在“开始”菜单中,单击“运行”选项,在打开的对话框中输入“”并确定,即可运行组策略;如图1所示;使用上面的方法,打开的组策略对象是当前的计算机,而如果需要配置其他的计算机组策略对象,则需要将组策略作为独立的MMC管理单元打开：1打开Microsoft管理控制台可在“开始”菜单的“运行”对话框中直接输入“MMC”并确定;2单击“文件→添加/删除管理单元”菜单命令,在打开的对话框中单击“添加”按钮;3在“可用的独立管理单元”对话框中,单击“组策略”选项,然后单击“添加”按钮;4在“选择组策略对象”对话框中,单击“本地计算机”选项编辑本地计算机对象,或通过单击“浏览”查找所需的组策略对象;5单击“完成”按钮,组策略管理单元即打开要编辑的组策略对象;6在左窗格中定位需要更改的选项的位置,在右窗格中右键单击需要更改的具体选项,单击“属性”命令,即可打开其属性对话框,从中选择“已启用”、“未配置”、“已禁用”选项即可对计算机策略进行管理;4.组策略中的管理模板在Windows2000/XP/2003中包含几个ADM文件;这些文件是文本文件,被称为“管理模板”,它们为组策略管理单元的控制树中“管理模板”文件夹下的项目提供策略信息;在Windows2000/XP/2003中,默认的管理模板位于系统文件夹的INF文件夹中,包含了默认安装下的4个模板文件,分别为：1：默认安装在“组策略”中,用于系统设置;2：默认安装在“组策略”中,用于InternetExplorerIE策略设置;3：用于Windows MediaPlayer设置;4：用于NetMeeting设置;在策略管理控制台中,可以多次添加“策略模板”,下面让我们来看看具体操作：首先运行“组策略”程序,然后选择“计算机配置”或者“用户配置”下的“管理模板”,单击鼠标右键,选择“添加/删除模板”命令,然后在打开的对话框中单击“添加”按钮,在打开的对话框中选择相应的ADM 文件;单击“打开”按钮,则在系统策略编辑器中打开选定的脚本文件,并等待用户执行;返回到“组策略”编辑器主界面后,依次打开目录“本地计算机策略→用户配置→管理模板”选项,再单击相应的目录树,就会看到我们新添加的管理模板所产生的配置项目了;注意：下面的操作均在WindowsXP中进行;二、个性化我的电脑1.删除“开始”菜单中的“文档”菜单项在多人使用的计算机中,有的用户不希望其他用户看到自己曾经编辑过的文档或其他信息;因此,为了删除用于记录历史文档的“文档”菜单项,我们可以通过修改组策略来实现;位置：\用户配置\管理模板\任务栏和“开始”菜单\启用此设置,则系统保存“文档”快捷方式,但不在“文档”菜单中显示它们;如果以后禁用此设置或把它设置为未配置,则启用设置之前及其生效之时保存的“文档”快捷方式会出现在“文档”菜单项中;如图2所示;注意：此设置不会阻止Windows程序在最近打开的文档中显示快捷方式;另外,你也可以设置在退出系统时自动清除最近打开的文档的历史记录;位置：\用户配置\管理模板\任务栏和“开始”菜单\如果禁用该策略设置,系统就会在用户退出时删除快捷方式;因此,用户登录时,“开始”菜单上的文档菜单总是空的;如果禁用或不配置此设置,系统将保留文档快捷方式,并且用户登录时的文档菜单看起来与用户退出系统时完全相同;注意：系统在\DocumentsandSettings\\Recent文件夹中的用户配置文件中保存文档快捷方式;2.删除“开始”菜单中的“运行”菜单项在“开始”菜单中有“运行”菜单项,可以输入程序名称来启动程序;我们可以将“运行”菜单项从“开始”菜单中删除;位置：\用户配置\管理模板\任务栏和“开始”菜单\如果启用该设置,发生如下更改：1“运行”命令从“开始”菜单中删除;2新建任务运行命令从任务管理器删除;3阻止用户在IE地址栏中输入下列项：UNC路径：\\＜server＞\＜share＞;访问本地驱动器：例如,C:;访问本地文件夹：例如,\temp＞;同时,使用WIN+R组合键将无法显示“运行”对话框;如果禁用或不配置此设置,用户可以访问“开始”菜单和任务管理器的“运行”命令,以及使用IE地址栏;注意：这个策略只影响指定的界面;不会防止用户使用其他方法运行程序;3.给“开始”菜单减肥如果觉得Windows的“开始”菜单太臃肿,你完全可以通过组策略设置将不需要的菜单项从“开始”菜单中删除;位置：\用户配置\管理模板\任务栏和“开始”菜单\在组策略右侧窗格中,提供“从‘开始’菜单删除用户文件夹”、“删除到‘WindowsUpdate’的访问和链接”、从‘开始’菜单删除公用程序组、从‘开始’菜单中删除“我的文档”图标等配置项目;你只要将不需要的菜单项所对应的策略启用即可;4.隐藏和禁用桌面上的所有项目该策略可以从桌面上删除图标、快捷方式和其他默认的和用户定义的项目;位置：\用户配置\管理模板\桌面\该策略删除图标和快捷方式不防止用户用另一种方法启动程序或打开图标和快捷方式所代表的项目; 5.退出时不保存用户设置该策略用于防止用户保存对桌面的某些更改;位置：\用户配置\管理模板\桌面\如果你启用这个设置,用户可以对桌面做某些更改,但有些更改,比如图标和打开窗口的位置、任务栏的位置及大小在用户注销后都无法保存;6.启用/禁用“活动桌面”ActiveDesktop活动桌面是Windows 98及以后版本或安装了IE的系统中自带的高级功能,它最大的特点是可以设置各种图片格式的墙纸,甚至可以将网页作为墙纸显示;但出于对安全和性能的考虑,有时候我们需要禁用这一功能并且防止用户启用它;位置：\用户配置\管理模板\桌面\ActiveDesktop提示：如果同时启用“启用Active Desktop”设置和“禁用Active Desktop”设置,“禁用Active Desktop”设置会被忽略;如果“禁用Active Desktop和Web视图”设置在“用户配置\管理模板\Windows 组件\Windows资源管理器”被启用,ActiveDesktop就会被禁用,并且这两个策略都会被忽略;7.从“我的电脑”中删除共享文档当Windows用户在一个工作组中,一个“共享文档”图标会以Windows资源管理器的Web视图出现在“其他位置”和“在这台计算机上存储的其他文件”中;使用此设置,你可选择不显示这些项目;位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置,“共享文档”文件夹将不会以Web视图方式显示或在“我的电脑”中出现;如果禁用或不配置此设置,当用户是“工作组”的一部分时,“共享文档”文件夹将会以Web视图方式显示或在“我的电脑”中出现;8.不要将已删除的文件移到“回收站”当Windows资源管理器中的一个文件或文件夹被删除时,该文件或文件夹的副本会被放在“回收站”里;使用此策略,你能改变此行为;位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置,使用Windows资源管理器删除的文件或文件夹不会被放在“回收站”里,因此被永久删除;如果禁用或不配置此设置,使用Windows资源管理器删除的文件或文件夹会被放在“回收站”里;三、利用组策略进行系统设置1.登录时不显示欢迎屏幕为了加快计算机启动的速度,我们完全可以通过组策略设置在每次用户登录时将WindowsXP欢迎屏幕隐藏;位置：\用户配置\管理模板\系统\要显示欢迎屏幕,请依次单击“开始→程序→附件→系统工具”选项,然后单击“开始”选项;要在不指定设置的情况下不显示欢迎屏幕,请在欢迎屏幕上的复选框中清除“在开始显示这个屏幕”选项;注意：这项设置出现在“计算机配置”和“用户配置”文件夹中;如果配置这项设置,“计算机配置”中的设置比“用户配置”中的设置优先;2.配置驱动程序查找位置默认情况下,Windows将从本地安装、软盘驱动器、光盘驱动器、WindowsUpdate等位置搜索驱动程序;此设置配置查找到新硬件时Windows将要搜索驱动程序的位置;位置：\用户配置\管理模板\系统\如果启用此设置,你可以通过检查位置名称的相关复选框,删除这三个位置中的任何位置;如果禁用或不配置此设置,Windows将从本地安装、软盘驱动器、光盘驱动器和WindowsUpdate等位置中搜索驱动程序;3.关闭自动播放一旦你将媒体插入驱动器,自动运行就开始从驱动器中读取;这会造成程序的设置文件和在音频媒体上的音乐立即开始;该策略将关闭自动运行功能;位置：\用户配置\管理模板\系统\如果你启动这项设置,你还可以在CD-ROM驱动器禁用自动运行或在所有驱动器上禁用自动运行;注意：这个设置出现在“计算机配置”和“用户配置”两个文件夹中;如果两个设置都配置,“计算机配置”中的设置比“用户配置”中的设置优先;另外,此设置不阻止自动播放音乐CD;4.只运行许可的Windows应用程序该策略可以限制用户可以运行的Windows程序;位置：\用户配置\管理模板\系统\如果你启用这个设置,用户只能运行你加入“允许运行的应用程序列表”中的程序;这个设置只能防止用户从Windows资源管理器启动程序;无法防止用户用其他方式启动程序,例如任务管理器;如果用户可以访问命令提示符窗口,这个设置无法防止用户从命令窗口启动不允许在Windows资源管理器中运行的程序;注意：要创建允许的文件列表,请单击“显示”按钮,在打开的对话框中单击“添加”按钮,然后输入应用程序的执行文件名称例如,、、;如图3所示;5.删除任务管理器当我们同时按下Ctrl+Alt+Del组合键将显示“Windows任务管理器”对话框;任务管理器可以让用户启动或终止程序、监视计算机性能、查看及监视计算机上所有运行中的程序包含系统服务、搜索程序的执行文件名、更改程序运行的优先顺序;在这里,我们可以通过组策略删除任务管理器;位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\如果该设置被启用,并且用户试图启动任务管理器,系统会显示消息,解释是一个策略禁止了这个操作;6.删除改变“密码”选项该策略可以防止用户通过任务管理器更改系统密码;位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\这个设置停用Windows安全设置对话框上的“更改密码”按钮;但是,用户在得到系统提示时依旧可以更改密码;管理员要求新密码和密码作废时,系统会提示用户输入新密码;7.不允许运行WindowsMessengerWindows XP自带有聊天工具Windows Messenger,但是,我们也有可能在系统中安装MSNMessenger;该策略允许你禁用Windows Messenger;位置：\用户配置\管理模板\Windows组件\Windows Messenger如果启用该策略,WindowsMessenger将不会运行;如果禁止或不配置该策略,WindowsMessenger可以被使用;注意：如果启用这个策略,远程协助无法使用WindowsMessenger;另外,这个策略也会出现在“计算机配置”中;如果两个设置都配置,“计算机配置”中的设置比“用户配置”中的设置优先;8.关闭系统还原功能系统还原是WindowsXP/2003中集成的强大功能,它在系统运行的同时,备份被更改的文件和数据,如果出现问题,系统还原使用户能够在不丢失个人数据文件的情况下,将计算机还原到以前的状态;默认情况下,系统还原处于打开状态; 但这一功能付出的代价也是相当大的,系统性能会明显下降,磁盘空间也会被占用很多;对于配置不高的计算机来说,强烈建议关闭此功能;位置：\计算机配置\管理模板\系统\系统还原\关闭系统还原启用此设置后即可关闭系统还原功能,并且不能访问“系统还原向导”和“配置界面”;四、利用组策略调整上网设置1.禁用导入和导出收藏夹禁止用户使用“导入/导出向导”菜单项导入或导出收藏夹链接;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“导入/导出向导”菜单项将无法导入/导出收藏夹链接和Cookie;如果禁用该功能或不对其进行配置,则用户可以通过单击“文件”菜单上的“导入和导出”菜单项,然后运行“导入/导出向导”,导入/导出IE中的收藏夹;注意：如果启用该策略,用户仍然可以查看“导入/导出向导”,但当用户单击“完成”按钮时,将出现说明该功能已被禁用的提示信息;2.禁用更改“高级”选项卡的设置禁止用户更改“Internet选项”对话框中“高级”选项卡上的设置;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,则用户无法更改高级Internet设置,如安全、多媒体和打印;用户无法选中“高级”选项卡上的复选框,也不能清除这些复选框的复选标记;如果禁用该策略或不对其进行配置,则用户可以选择或清除“高级”选项卡上的设置;如果设置了位于\用户配置\管理模板\Windows组件\InternetExplorer\Internet控制面板中的“禁用高级页”策略,则无需设置该策略,因为“禁用高级页”策略将删除界面上的“高级”选项卡;3.对拨号连接使用“自动检测”属性自动检测在浏览器第一次启动时使用DHCP动态主机配置协议或DNS服务器来自定义浏览器;该策略指定自动检测用于用户的拨号设置的配置; 位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该设置,自动检测将配置用户的拨号设置;如果禁用该配置或不配置,自动检测不会配置用户的拨号设置,除非用户指定;4.禁用Internet连接向导禁止用户运行Internet连接向导;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“Internet选项”对话框中“连接”选项卡上的“建立连接”按钮将变灰;用户也无法通过单击桌面上的“连接到Internet”图标或单击“开始→程序→附件→通讯”,然后单击“Internet连接向导”运行Internet连接向导;如果禁用该策略或不对其进行配置,则用户可以通过运行Internet连接向导,更改连接设置;注意：该策略与位于＼用户配置＼管理模板＼Windows组件＼InternetExplorer＼Internet控制面板中的“禁用连接页”策略有相似之处,后者将删除界面上的“连接”选项卡;从界面上删除“连接”选项卡并不会妨碍用户从桌面或“开始”菜单中运行Internet连接向导;5.禁用表单的自动完成功能禁止IE自动完成表单,如填写用户以前在网页中输入过的姓名或密码;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“表单”复选框将变灰;单击“Internet选项”对话框中“内容”选项卡上的“自动完成”按钮,即可出现“表单”复选框;如果禁用该策略或不对其进行配置,则用户可以启用表单的自动完成功能;位于\用户配置\管理模板\Windows组件\InternetExplorer\Internet控制面板中的“禁用内容页”策略的优先级高于该策略;如果启用了“禁用内容页”策略,该策略将被忽略,因为“禁用内容页”策略将删除“控制面板”中“InternetExplorer属性”对话框中的“内容”选项卡;注意：如果用户已开始使用启用了表单自动完成功能的浏览器后,再启用该策略,则不会清除用户已经使用表单自动完成功能在表单中所填写的内容;6.配置媒体浏览栏属性媒体浏览器栏播放来自Internet的音乐和视频内容,该策略允许管理员启用和禁用媒体浏览器栏和设置默认自动播放;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果禁用媒体浏览器栏,用户无法显示媒体浏览器栏;自动播放功能也被禁用;当用户在IE中单击一个链接,系统中的默认媒体客户端将播放内容;如果启用媒体浏览器栏或不配置,用户可以显示和隐藏媒体浏览器栏;管理员也可以打开和关闭自动播放功能;该设置只在媒体浏览器栏启用时应用;如果选择,媒体浏览器栏将在用户单击媒体链接时自动显示和播放媒体内容;如果不选择,系统上的默认媒体客户端将播放内容;7.禁用右键快捷菜单禁止在用户使用IE过程中单击鼠标右键时出现快捷菜单;位置：\用户配置\管理模板\Windows组件\InternetExplorer\浏览器菜单如果启用该策略,在用户指向网页,然后单击鼠标右键时将不出现快捷菜单;如果禁用该策略或不对其进行配置,则用户可以使用快捷菜单;8.自定义IE标题栏我们可以利用组策略自定义出现在IE和OE标题栏中的文本;无论软件包中是否有OE或者用户计算机上已经安装了OE,都将更新OE标题栏;位置：\用户配置\管理模板\Windows设置\InternetExplorer维护\浏览器用户界面\浏览器标题请在打开的对话框中选中“自定义标题栏”选项,然后在“标题栏文本”框中键入希望的文本;注意：在选择某个位图时,要确保颜色与文本的对比度;这为用户确保了更高程度的可读性;9.自定义IE工具按钮我们可以利用该策略个性化出现在IE中的工具栏,给你一定的灵活性和设计机会;可以使用的元素包括用于标准工具栏按钮例如“搜索”和“历史”的工具栏背景和图标外观;位置：＼用户配置＼管理模板＼Windows设置＼InternetExplorer维护＼浏览器用户界面＼浏览器工具栏自定义在打开的对话框中单击“添加”按钮,然后在打开的对话框中在“工具栏标题必需”框中,键入用户鼠标悬停在工具栏按钮上时出现的文本;必须指定该按钮的标题或标签;建议的最大长度是10个字符;在“工具栏操作作为脚本文件或可执行文件,必需”框中,键入脚本文件或可执行文件的名称,或者单击“浏览”按钮查找文件;必须指定用户单击工具栏按钮时运行的脚本文件或可执行文件;在“工具栏颜色图标必需”框中,键入表示按钮为活动状态的文件的名称,或者单击“浏览”按钮查找该文件;必须指定出现在工具栏上的按钮的彩色图标;图标由活动和非活动状态的20×20像素的图像组成;在“工具栏灰度图标必需”框中,键入出现在黑白监视器上的工具栏的灰度图标文件名和位置,或者单击“浏览”按钮查找文件;必须指定显示在工具栏上按钮的灰度图标;选中“默认情况下,该按钮应显示在工具栏上”复选框来显示默认情况下用户浏览器中的工具栏按钮;五、利用组策略设置优化网络环境1.禁止访问网络连接组件的属性“本地连接属性”对话框包括连接时使用的网络组件列表;要查看或更改组件属性,请单击组件名称,然后单击组件列表下面的“属性”按钮,如图4所示;该策略确定用户是否可以更改由网络连接使用的组件属性,它确定是否启用用于网络连接组件的“属性”按钮;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就会为管理员禁用“属性”按钮;无论“为管理员启用网络连接设置”设置启用与否,用户都不可以访问连接组件;如果禁用或不配置“为管理员启用网络连接设置”;如果禁用或不配置此设置,将为用户启用“属性”按钮;2.禁用TCP/IP高级配置确定用户是否可以配置TCP/IP设置;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就对所有用户包括管理员禁用“Internet协议TCP/IP属性”对话框上的“高级”按钮;因此,用户不能打开“高级TCP/IP设置”对话框并修改IP设置例如,DNS 和WINS服务器信息;如果禁用此设置,则启用“高级”按钮,并且所有用户均可打开“高级TCP/IP设置”对话框;注意：此设置会由禁止访问连接属性或连接组件属性的设置取代;如果将这些策略设置为拒绝访问连接属性对话框或用于连接组件的“属性”按钮,用户就无法访问用于TCP/IP配置的“高级”按钮;不管此设置如何,非管理员用户均不具有访问用于网络连接的TCP/IP高级配置的权限;在用户退出系统之前,将此设置从“启用”更改为“未配置”不会启用“高级”按钮;3.禁止添加或删除用于网络连接或远程访问连接的组件“安装”按钮可打开用来添加网络组件的对话框;单击“卸载”按钮可删除组件列表中的选定组件;“安装”和“卸载”按钮出现在用于连接的“属性”对话框之中;这些按钮位于“常规”选项卡和“网络”选项卡上;该策略确定管理员是否可以添加和删除用于网络连接或远程访问连接的网络组件;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就会禁用用于连接组件的“安装”和“卸载”按钮,并且不允许用户访问“Windows组件向导”中的网络组件;如果禁用或不配置此设置,就会启用用于“网络连接”文件夹中连接组件的“安装”和“卸载”按钮;同样地,用户可以访问“Windows组件向导”中的网络组件;4.禁止访问网络连接的属性右键单击“网上邻居”图标,在打开的快捷菜单中可以看到“属性”菜单项,用于打开网络连接属性对话框,该策略确定用户是否可以更改网络连接的属性;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就对所有用户禁用“属性”菜单项,而且用户不能打开“连接属性”对话框;如果禁用或不配置此设置,右键单击“网上邻居”的图标时,就会出现“属性”菜单项;同样地,当用户选择此连接时,就会启用“文件”菜单上的“属性”菜单项;注意：此设置优先于操作“局域连接属性”对话框内的功能的可用性设置;如果启用此设置,用户将不可使用网络连接的属性对话框内的任何功能;5.更改所有用户远程访问连接的属性该策略用于确定用户是否可以查看和更改对计算机所有用户可用的远程访问连接的属性;此设置确定是否启用“属性”菜单项,以及远程访问连接属性对话框是否对用户可用;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置,任何用户右键单击用来进行远程访问连接的图标时,就会出现“属性”菜单项;同样地,当任何用户选择连接时,“文件”菜单上就出现“属性”;如果禁用此设置并启用“为管理员启用网络连接设置”设置,就会禁用“属性”菜单项,并且用户包括管理员无法打开远程访问连接对话框;如果不配置此设置,则只有管理员才可以更改所有用户远程访问连接的属性;注意：此设置优先于操作远程访问连接属性对话框内的功能的可用性设置;如果禁用此设置,则用户不可使用用于远程访问连接的属性对话框内的任何功能;再谈组策略--Windows组策略应用全攻略一、什么是组策略一组策略有什么用说到组策略,就不得不提注册表;注册表是Windows系统中保存系统、应用软件配置的数。
组策略在企业网络管理中的应用
制定针对性解决方案
通过组策略实现设备配置的标准化和自动化，确保所有 设备符合企业安全规范；
利用组策略进行故障排查和定位，快速响应网络故障， 提高运维效率；
制定统一的安全策略，包括访问控制、防火墙规则、病 毒防护等，提高网络安全性；
通过组策略优化网络性能，提高网络传输效率和稳定性。
实施效果评估及总结
优化软件分发与更新流程
软件统一分发
01
通过组策略，企业可以实现软件的统一分发和安装，确保所有
用户及时获得所需的软件和应用。
自动更新与补丁管理
02
组策略支持自动更新和补丁管理功能，确保系统和应用程序始
终保持最新状态，降低安全漏洞的风险。
简化软件管理流程
03
组策略可以自动化软件分发、安装和更新过程，减少管理员的
组策略在企业网络管理 中的应用
contents
目录
• 组策略概述 • 企业网络管理需求分析 • 组策略在企业网络管理中的应用实践 • 组策略部署及优化方法 • 案例分析：某大型企业网络管理实践 • 未来展望与挑战
组策略概述
01
定义与功能
定义
组策略（Group Policy）是微软 Windows操作系统中提供的一种集中 化管理和配置用户工作环境的技术。
手工操作，提高软件管理效率。
完善远程桌面服务支持
远程桌面访问控制
通过组策略，企业可以控制远程桌面的访问权限和会话设置，确 保远程访问的安全性。
远程桌面性能优化
组策略可以对远程桌面的性能进行优化，如调整网络连接参数、启 用硬件加速等，提高远程桌面的响应速度和用户体验。
简化远程桌面管理流程
通过组策略自动化远程桌面的配置和管理，企业可以简化管理流程， 减少管理员的工作量。
域用户常用组策略设置
域用户常用组策略设置组策略是指在Windows操作系统中，通过集中管理策略和设置来控制域用户和计算机的行为。
以下是一些常用的组策略设置，适用于Windows Server上的域环境。
1.密码策略密码策略设置用于控制用户密码的复杂度和安全性。
可以设置密码的最短长度、密码的复杂性要求，如必须包含大写字母、小写字母、数字和特殊字符等。
还可以设置密码的最长有效期和密码历史记录的保留个数，以防止用户频繁更改密码。
2.账户锁定策略账户锁定策略设置用于控制在一定的失败尝试次数后锁定用户账户。
该策略可以防止恶意攻击者通过暴力破解密码的方式获取用户账户的权限。
可以设置失败尝试次数和锁定时间。
3.用户访问控制策略用户访问控制策略用于控制用户对不同资源的访问权限。
例如，可以设置用户只能访问特定的文件夹、只能访问特定的应用程序等。
可以根据组织的需求进行灵活的设置，以满足不同用户角色和职责的需要。
4.审计策略审计策略用于记录用户和计算机的操作日志。
可以设置哪些操作需要被审计，如登录、文件访问、对象的创建和删除等。
审计策略可以帮助管理员跟踪和分析系统的安全事件，及时发现和应对潜在的安全威胁。
5.软件安装策略软件安装策略用于集中管理和部署软件应用程序。
可以通过组策略将软件程序推送到目标计算机上，或者限制一些用户或计算机无法安装特定的软件。
这样可以确保组织中的计算机都拥有统一的软件环境，便于管理和维护。
6.桌面设置策略桌面设置策略用于控制用户的桌面环境和用户界面。
可以限制用户是否可以更改桌面背景、屏幕保护程序、系统主题等。
还可以限制用户是否可以访问控制面板、开始菜单等系统设置。
这样可以加强计算机的安全性，并减少用户误操作或恶意行为造成的影响。
7. Internet Explorer设置策略Internet Explorer设置策略用于控制Internet Explorer的行为和配置。
可以设置浏览器的安全级别、对特定网站启用或禁用特定功能，如ActiveX控件、Java脚本等。
如何实现AD组策略实现统一桌面和屏保
如何实现AD组策略实现统一桌面和屏保使用 AD 组策略实现统一桌面组策略实现统一桌面和屏保和屏保在企业中为了实现企业形象的统一性, 会要求在企业所有计算机上实现标准的桌面化配置环境。
那么要怎么实现呢?桌面部署桌面部署如下如下如下::1、在域控上建立存放背景图片的文件夹,将其设置为共享文件夹如:share;2、在开始—运行中 gpedit.msc 命令进入组策略编辑器,将“用户配置用户配置用户配置------管理模板管理模板管理模板------桌面桌面 ----Active DesktopActive DesktopActive Desktop” ” 中的“ “ 启用 Active Desktop Active Desktop 选项选项选项” ” 设置为已启用;3、并双击“用户配置用户配置用户配置------管理模板管理模板管理模板------桌面桌面桌面------Active DesktopActive DesktopActive Desktop” ” 中的 Active Active Desktop Desktop Desktop 墙纸墙纸墙纸选项,将其设置为已启用。
4、在墙纸名称路径框中输入存放桌面背景文件的完整路径。
如:\\\server server\\share share\\文件名文件名。
在墙纸样式中任意选择一项,按确定;屏保部署屏保部署过程过程过程::在开始—运行中 gpedit.msc 命令进入组策略编辑器,展开“ “ 用户配置用户配置” ” ---->>“ 管理模板” ---->>“ 控制面板控制面板” ” ---->>“ 显示显示” ”,在右边面板上双击以下策略项并进行设置:a. a. 将将“ 屏幕保护屏幕保护程序程序程序” ” 以及以及“ 可执行屏幕保护可执行屏幕保护程序的名称程序的名称程序的名称” ” 设置为设置为“ 已启用启用” ”b. 在“ 可执行屏幕保护程序的名称” 属性中设置路径为 \\DC服务器名称或者 IP\netlogon\test.scr如 :\\192.168.150.254192.168.150.254\\netlogonnetlogon\\test.scr5、在开始在开始------运行中输入运行中输入 Gpupdate Gpupdate /force /force命令命令, , 刷新组策略刷新组策略。
组策略设置--统一桌面背景
如何利用组策略统一配置用户桌面
1，打开AD界面：
2，右击苏州龙杰-属性-组策略-打开：
3，点击---组策略对像，右击组策略对象—新建—输入自定义名称-完成：
4，照到你新建好的组策略右击—编辑（跳出如下画面）：
5，点击用户配置—管理模版—桌面—Active Desktop
（路径可以设置，但必须是网络共享的路径），点击确定。
7，在右边找到启动Active Desktop,双击打开，选择已启用，点击确定。
GPO，找到你刚才建好的组策略对象，点击确定。
：
9，右击你建好的组策略对象,将强制勾选上：
10，点击开始-运行-输入gpupdate /force，选择N（如果选择Y，大家都会注销。
）
10，在本机电脑点击-开始-运行-输入gpupdate /force 选择Y注销电脑重新登录即可。
组策略命令
组策略命令在企业级 应用中的实际部署与 执行
• 企业级应用中，组策略命令的部署和执行通常包括以下几个步骤： • 设计组策略管理架构，确定域控制器和组策略管理服务器的部 署位置 • 在域控制器上创建和编辑GPO，设置相应的策略和偏好设置 • 将GPO链接到相应的用户和计算机，应用GPO中的设置 • 监控GPO的应用情况，确保设置正确生效 • 定期备份GPO，以防数据丢失
注意事项：
• 在编辑GPO时，建议先创建一个副本，以免影响现有设置 • 在删除GPO之前，请确保GPO中无重要设置，以免误删 • 定期检查GPO的应用情况，确保设置正确生效
05
组策略命令在企业级应用中的案例分析
企业级组策略管理架 构设计
• 企业级组策略管理架构通常包括： • 一个或多个域控制器，用于存储和管理GPO • 一个或多个组策略管理服务器，用于管理和应用GPO • 一个或多个客户端计算机，受GPO控制的计算机
应用组策略对象(GPO)到用户和计算机
应用组策略对象到用户的命令示例：
应用组策略对象到计算机的命令示例：
04
组策略命令的疑难解答与技巧
组策略命令执行失败的常见原因与解决方法
执行失败的原因可能有：
• 命令行参数错误：检查参数的格式和取值是否正确 • 权限不足：确保以管理员身份运行命令行工具 • 域控制器不可用：检查域控制器是否正常运行 • 网络连接问题：检查网络连接是否正常
组策略命令的主要功能包括：
• 创建、编辑和删除组策略对象 （GPO） • 设置组策略偏好设置 • 应用组策略对象（GPO）到用户和 计算机 • 监控组策略的应用情况 • 优化组策略的性能和安全性
组策略作用范围
组策略作用范围组策略是Windows操作系统中的一项重要功能，它可以用来管理计算机和用户的配置。
通过组策略，系统管理员可以集中管理计算机网络中的各种设置，包括安全设置、网络设置、软件安装等。
组策略的作用范围是指它所能影响到的对象的范围，包括计算机对象和用户对象。
一、计算机对象的作用范围计算机对象是指在Windows域中的计算机账户。
通过组策略，可以对计算机对象进行一系列的配置和管理。
计算机对象的作用范围主要包括以下几个方面：1. 安全设置：组策略可以用来配置计算机的安全设置，包括密码策略、用户权限、防火墙设置等。
管理员可以通过组策略确保计算机的安全性，防止未经授权的访问和操作。
2. 网络设置：组策略可以用来配置计算机的网络设置，包括IP地址、DNS服务器、代理服务器等。
管理员可以通过组策略统一管理计算机的网络配置，提高网络的稳定性和安全性。
3. 软件安装：组策略可以用来配置计算机的软件安装策略，包括安装、卸载和更新软件。
管理员可以通过组策略控制计算机上的软件安装，确保计算机上的软件版本统一和安全。
4. 系统配置：组策略可以用来配置计算机的系统设置，包括桌面背景、屏幕保护程序、电源管理等。
管理员可以通过组策略统一配置计算机的系统设置，提供用户体验和工作效率。
二、用户对象的作用范围用户对象是指在Windows域中的用户账户。
通过组策略，可以对用户对象进行一系列的配置和管理。
用户对象的作用范围主要包括以下几个方面：1. 安全设置：组策略可以用来配置用户的安全设置，包括密码策略、访问权限、账户锁定策略等。
管理员可以通过组策略确保用户账户的安全性，防止未经授权的访问和操作。
2. 桌面设置：组策略可以用来配置用户的桌面设置，包括桌面背景、屏幕保护程序、桌面图标等。
管理员可以通过组策略统一配置用户的桌面设置，提供统一的用户体验。
3. 软件安装：组策略可以用来配置用户的软件安装策略，包括安装、卸载和更新软件。
管理员可以通过组策略控制用户账户上的软件安装，确保软件版本统一和安全。
Windows 2008 用AD组策略在桌面显示用户信息
在Windows server 2008 DC上利用Bginfo部署组策略，实现客户端显示IP,计算机名等到用户桌面。
用AD组策略-----部署Bginfo软件，桌面显示用户端信息！在现实的IT治理中，发现N多的用户不知道如何查看自己的计算机名和登陆帐户,做远程技术支持时需要这些信息，花个十来分钟教用户查看计算机名，IP地址，登录帐户，把治理员累得要死，碰到一些计算机盲用户跟他解释半天还是不会，那治理员就要吐血了.这款软件可以从微软官方下载，最新版本是V4.16下载地址：/en-us/sysinternals/bb897557以下操作全是在DC上完成。
1、打开bginfo软件，设置好要在客户端显示那些信息，及放在桌面的位置2、另存为一个文件，这里我保存为ABinbev. bgi是默认的扩展名；3、下面是保存后的画面；4、把bginfo这个文件夹放到DC默认共享文件夹netlogon下。
并设置bginfo这个文件夹的权限，保证通过验证的用户能读取和运行这个软件5、单击“高级”选项，确保权限继承到该文件夹下面所有的子文件6、新建一个"文本文档“，命名为logon.bat的记事本。
在文件里输入以下内容；cmd /ccd\@echo off\\172.31.193.51\netlogon\bginfo\bginfo.exe /nolicprompt\\172.31.193.51\netlogon\bginfo\ABinbev.bgi /timer:00*//172.31.193.51是我的域控制器的IP地址/*网络上很多文档都是这么写的cmd /c@echo off%logonserver%\netlogon\bginfo\bginfo.exe /nolicprompt/i%logonserver%\netlogon\bginfo\ABinbev.bgi/timer:00但是我按照网络上广为流传的这段代码的话，却遇到下面这个错误。
组策略应用—屏幕保护
本篇通过简单的设置帮助系统管理员达到统一域内客户端屏幕保护程序的目的。
这是上周刚刚设置过的一个组策略应用，公司某客户是天津本地的大型国有企业，拥有5个域控制器近百台服务器和几千台客户机。
平时维护管理工作主要通过AD进行（这种规模的环境AD管理优势相当明显），最近为了迎接即将举行的北京奥运会决定对其企业内部的网络环境进行整体加固。
文章里介绍的是其中关于Windows平台域策略加固的一部分即强制客户端的屏保程序并且统一屏保中设置的内容，觉得还比较有意思，经过简单修改后分享出来。
设置域策略老话，因为测试偷懒使用默认域策略，实际环境慎用，出问题后果严重组策略中屏幕保护设置的位置首先隐藏客户端的屏幕保护程序启动客户端的屏幕保护程序指定客户端使用屏幕保护程序，为了方便测试我使用的系统自带屏保，即ssmarque.scr它是系统中字幕屏保对应的程序，位置在sysytem32目录下，使用第三方屏保可以复制到这个位置启用密码保护屏幕保护程序钟设置等待时间定制屏保内容使用组策略可以定义上面几个内容，但是对具体的内容，如文字格式文字内容等无能为力，这里我决定使用用户脚本执行注册表导入客户端的方法达到目的首先在本机按要求做好修改在注册表中找到相关位置确认相关键值将此键值导出为.reg文件打开导出的文件，内容如下，当然不怕麻烦也可以自己写将导出的文件上传到域控制器的netlogon共享目录中备用设置域策略脚本编辑脚本的内容，其实很简单，调用注测表编辑器以静默方式导入注册表文件覆盖本地键值将其加载到启动脚本中，点击显示文件上传批处理文件上传完毕点击浏览就能找到刚才上传的文件了客户端屏幕保护程序的选项没有了，想修改只能去注册表里找，而且重新注销后覆盖本地设置。
域环境下通过组策略实现客户端定时自动锁屏且统一屏幕保护程序
在一些大型公司企业中，IT管理员为了统一管理公司内的办公电脑，再根据网络安全相关制度要求，防止个人资料泄密等原因，会通过AD域组策略设置屏幕保护时间。
，在唤醒电脑时，需要输入登陆用户密码。
1、点击服务器任务栏左下角的开始，再点击管理工具
2、组策略管理右击default domain policy策略（或者新建GPO），在选择编辑
3、选择用户配置策略管理模板控制面板个性化
4、开启启用屏幕保护程序
5、启用带密码的屏幕保护程序
码才可以解锁。
7、开启强制使用特定的屏幕保护程序
说明：
1、屏幕保护程序，可以到网站上自行下载喜欢的样式
2、屏幕保护程序在本地存放路径为C:\Windows\System32
新一下组策略
否正确。
统一Windows桌面配置提高企业工作效率-电脑资料
统一Windows桌面配置提高企业工作效率-电脑资料在日常工作中，企业用户可能希望自己使用企业内部任何一台电脑，都能够有自己所熟悉的工作环境，。
也就是说，因为工作需要(如因为开会需要动用会议室的临时电脑)，企业员工使用不同的电脑登录时，在员工面前呈现的就是用户自己的桌面、共享文件夹等员工自己的工作环境。
换句话说，员工利用不同的电脑，只要员工的用户名相同，则其就应该采用同一个配置文件。
要实现这个目的并不是天方夜谭。
Windows操作系统提供了一种叫做“漫游用户配置”文件的策略，来实现这个目的。
一、三个配置文件的差异分析。
在微软的操作系统中，其默认提供了三种配置文件，分别为本地用户配置文件、漫游用户配置文件、强制用户配置文件等等。
这三个配置文件各有各的用途。
作为微软的系统工程师，要了解这三个配置文件的特点以及差异，然后根据企业的实际需求选择合适的配置文件。
当用户第一次登录到操组系统的时候，系统便会为用自动创建一个“本地用户配置文件”。
也就说，操作系统会把用户桌面、网络文件夹等配置保存在本地用户配置文件中，以供下次登录的时候使用。
不过本地用户配置文件它是随着计算机不同而不同的，换一句话说，每个用户在不同的计算机内(即使用户名相同)各有其不同的本地用户配置文件。
故这个配置文件不能够满足上面的需求。
强制用户配置文件是系统管理员预先配置好的，用户登录后对用户生效的配置文件。
当员工登录后虽然可以根据需要调整桌面设置，但是当用户注销时，这些改变并不会保存到强制用户配置文件内。
也就是说，使用强制用户配置文件后，员工每次登录操作系统时都是使用固定不变的桌面设置，其后续做的调整都会丢失。
为此这个配置文件也不能够满足上述的需求。
如果系统管理员希望域用户无论到域内的任何一台计算机上登录时，系统所采用的都是这个用户自己的工作环境，既能够使用相同的配置文件以便拥有相同的桌面设置时，就需要采用存储在服务器上的漫游用户配置文件。
WINDOWS_SERVER_2003使用组策略管理用户环境
当前域环境：在单域中有一些用户、组、计算机帐户，还有三个组织单位（OU），其中财务部还有一个子组织单位“资产管理”，每一个组织单位都有一个委派管理员，左侧有一些要实现的组策略对象（GPO）,本例中域控制器名：jame，域中另一台计算机名：Glasgow。
下面各例用于学习GPO对象的创建、链接、它的冲突解决，继承、阻止继承、强制以及在工作环境中怎样使用组策略来管理域。
（以下各例都在组策略管理工具中完成，在上一课已经安装了GPMC.MSI这个组策略管理工具）一、强制实现域中所有用户使用统一桌面背景。
1. 实现这一策略如下图：先建立一个统一桌面背景的GPO，把它链接到域，并设置这个GPO 为强制。
2. 准备一张图片，放在一个只读共享文件夹中，并确认在网上邻居中可定位它的UNC路径。
图片的UNC路径是：\\Jame\公用共享\背景.jpg。
3. 打开：开始→管理工具→组策略管理，再展开林→域→Nwtraders.msft→组策略对象，在右侧“内容”中右击，选“新建”。
4. 取一个组策略名5. 对新建的GPO右击选“编辑”，进入组策略对象的编辑。
6. 展开用户配置→管理模板→桌面→Active Desktop，首先启用“启用Active Desktop”用于支持Jpg和HTML格式为桌面背景。
在右侧窗口，双击“Active Desktop墙纸”并如下设置。
（不要使用图片的本地路径，这样会使网络中其他计算机不能访问，而要使用UNC路径）7. 把“统一背景”这个GPO链接到域：对域右击，选“链接现有GPO”。
对统一背景GPO右击，设置“强制”，使此GPO的组策略继承是强制继承，不能被阻止继承。
8. 用域用户Kaka登陆域测试一下，背景已经有图片，表示部署成功。
二、除了域管理员和委派管理员外所有域用户禁用控制面板。
1. 本例实现的GPO链接示意图2. 展开“组策略对象”在右侧如上例一样建立一个新的GPO。
对“禁用控制面板”GPO进行编辑。
WinRAD组策略统一域用户桌面背景要点
我们先了解下组策略知识：1、组策略中包含两部分：1 计算机配置：针对计算机的配置，只在计算机上生效。
计算机启动的时候应用，在出现登录界面前。
2 用户配置：针对用户的配置，只在所有用户帐户上生效。
用户登录后应用。
2、根据应用范围将组策略分为三类：1 域的组策略：设置对于整个域都生效。
在“AD用户和计算机”中，右击域名-〉属性-〉组策略。
2 OU的组策略：设置对于这个的OU生效。
在“AD用户和计算机”中，右击OU名-〉属性-〉组策略。
3 站点的组策略：设置对于这个站点生效。
在“AD站点和服务”中，右击站点名-〉属性-〉组策略。
注意：“运行”中键入gpedit.msc，启动的是本地组策略，我们要的是“域组策略”！所以必须右击“AD用户和计算机”中才能进入。
3、组策略的执行顺序：1 站点-〉域-〉组织单元（OU）2 计算机配置-〉用户配置4、组策略的冲突：1 在不同组策略中的同一项目的设置相反，就是组策略冲突。
如：在站点组策略中，“隐藏桌面上的网上邻居图标”设置为“启用”，而域的组策略上设置的是“禁用”。
再如：在域的组策略中“密码长度”设置为“7”，而OU的组策略中设置的是“6”。
2 冲突的结果：后执行的是结果。
5、组策略中的设置内容：1 软件安装：自动安装应用软件。
计算机配置和用户配置下都有。
准备工作：软件的源安装文件，在安装文件中要有.msi为后缀的可执行文件。
将软件的源安装文件放到一个共享文件夹中。
（网络路径）A、已发行：由用户决定是否安装。
如果软件包是已发行方式，用户登录后，系统会在添加/删除程序-〉添加新程序中显示已发行的软件包。
在计算机配置中不能实现。
B、已指派：强制性安装，自动安装。
2 WINDOWS设置：A、计算机配置：脚本（启动和关机），安全设置。
B、用户配置：IE维护，脚本（登录和注销），安全设置（密钥），远程安装服务（为客户机安装WIN2000 PRO），文件夹重定向（把用户的一些重要文件夹重定向到文件服务器中）。
Windows Server 2012实现多个用户远程桌面登陆(简单)
Windows server 2012中设置远程桌面连接数1、Win+R打开“运行”，在运行中输入gpedit.msc，打开本地组策略编辑器。
2、在本地组策略编辑器中，选择管理模版→Windows组件→远程桌面服务
3、双击打开远程桌面服务，在列表中选择“远程桌面会话主机”
4、双击打开远程桌面会话主机，在列表中选择“连接”
5、双击打开连接，在列表中右键单击“将远程桌面服务用户限制到单独的远程桌面服务会
话”，在右键菜单中选择“编辑”：
在编辑界面中，选择“已禁用”，禁用“将远程桌面服务用户限制到单独的远程桌面服务会话”。
6、windows server 2012默认一个用户同时进行两个会话，如果想进行更多的会话，需要在
同级目录中（即连接中）编辑“限制连接的数量”，选择“已启用”，然后在“运行的RD 最大连接数”中，输入连接数据即可，此处将连接数修改为3，修改完成后点击确定。
如下图所示：。
利用组策略进行系统设置与调整上网设置
03
上网设置
浏览器设置
浏览器首页设置
通过组策略设置浏览器首页为特定网页，方便用户快速访问常用 网站。
禁用浏览器插件
为了提高浏览器的安全性和运行效率，可以通过组策略禁用不需 要的浏览器插件。
自动填写表单
设置浏览器自动填写表单功能，节省用户手动输入的时间和精力 。
网络防火墙设置
01
防火墙开启与关闭
详细描述
组策略的优点在于其集中管理功能，允许管理员从中央位置管理和配置多台计算机的设置。此外，组策略还提供 了高效配置方式，可以快速部署和更新系统设置。最重要的是，组策略提供了安全可靠的机制，可以限制用户和 计算机的行为，确保系统的安全稳定运行。
02
系统设置
桌面设置
桌面背景
通过组策略设置桌面背景图片、颜色和屏幕保护 程序，提升用户视觉体验。
设置、安全设置等。
组策略模板
创建组策略模板
通过组策略编辑器，可以创建自定义的组策略 模板，以便快速部署到其他计算机或用户。
编辑组策略模板
在模板中，可以定义各种策略设置，包括软件 安装、系统设置、安全设置等。
应用组策略模板
将创建的组策略模板应用到目标计算机或用户，以实现统一的系统设置和上网 配置。
组策略部署与测试
图标显示
自定义系统图标，如计算机、网络、用户文件夹 等，以符合企业形象或用户个人喜好。
屏幕分辨率
根据用户需求和显示设备性能，调整屏幕分辨率 以优化显示效果。
开始菜单设置
开始菜单布局
01
自定义开始菜单中应用程序的显示方式，如添加、删除、重命
名等。
电源按钮
02
设置关机、重启、睡眠等电源按钮的功能，以满足企业或用户
为域内计算机设置统一主页
技术文档
文档编号
日期
2015.11.8
问题类型
为域内计算机设置统一主页
操作平台
windows
知识点
整理人
李杨
问题描述
为域内计算机设置统一主页并不允许域内用户修改
判断思路
首先打开作为域控的计算机的组策略管理器，在用户配置下展开策略—windows设置—Internet Explorer维护—URL，单击打开URL，然后选择“重要的URL”双击打开，打开之后勾选上第一项“自定义主页”在下面的空白处输入想要定义的主页，如，输入完成后点击最下面的确定按钮就可以了。完成以上设置之后在域控中打开运行，在运行中输入gpupdate/force命令，强制刷新域控对客户端的策略，并重启客户端计算机就可以实现对域内计算机的主页设置，当再次打开客决问题的办法总是伴随着问题的出现而产生，尽管做了以上两重设置，但对于极个别的人来讲主页还是可以被改变的，再次在客户端改变主页的话就要用到计算机内的注册表了，如果想彻底的不让用户改变管理员的设置的主页的话，那就直接再次将注册表编辑工具禁用掉就可以了，具体方法跟以上的第二重设置方法类似，就是在组策略管理“管理模版”下的“系统”服务中有一个“阻止访问注册表编辑工，那么客户端的浏览器主页将不会在被任何人改动，彻底的“死掉”。
AD域用户常用组策略设置
AD域用户常用组策略设置在Active Directory（AD）域环境中，组策略是用于管理和配置用户和计算机的集中策略工具。
组策略允许管理员通过在域中创建和应用组策略对象（GPOs）来定义用户和计算机的设置。
以下是AD域用户常用的组策略设置：1.密码策略：通过密码策略，管理员可以设置密码的复杂性要求、密码过期时间以及密码历史保留的数量。
这有助于增加密码的安全性。
2.帐户锁定策略：通过帐户锁定策略，管理员可以配置登录失败尝试的次数和锁定持续时间。
这有助于防止恶意用户通过暴力破解密码来获取访问权限。
3.账户密码策略：管理员可以配置密码重置和更改密码的要求。
这包括要求用户更改密码的频率、提供密码重置选项和密码复杂性要求。
4. 安全选项：管理员可以配置安全选项，包括启用或禁用自动管理员登录、禁用Guest帐户、强制使用加密方式进行网络通信等。
5.审核策略：通过审核策略，管理员可以配置要审计的事件类型以及要记录的日志信息。
这有助于保护系统免受安全威胁并进行安全审计。
6.应用程序控制：管理员可以配置允许或拒绝运行的应用程序列表，以帮助防止使用未经授权的应用程序。
7.注册表设置：管理员可以配置注册表设置，以控制计算机上注册表项的访问权限和配置。
8.文件和文件夹权限：管理员可以使用组策略设置来定义共享文件和文件夹的权限，确保只有经过授权的用户可以访问和修改文件。
9.桌面设置：管理员可以通过组策略设置来配置桌面背景、屏幕保护程序、任务栏、桌面图标等，以统一组织内工作站的外观和体验。
10.网络设置：管理员可以使用组策略设置来配置网络接口卡、防火墙、代理服务器等网络设置，以保护网络安全并优化网络性能。
11.程序安装和升级：管理员可以使用组策略设置来自动安装和升级特定的应用程序，以减轻用户手动操作的负担。
12.远程桌面设置：管理员可以配置远程桌面访问权限，限制哪些用户可以远程访问计算机。
13. Internet Explorer设置：管理员可以使用组策略设置来配置Internet Explorer的安全性、高级选项和首选项，以确保一致的浏览器体验。
使用组策略实现统一桌面
在企业中为了实现企业形象的统一性，会要求在企业所有计算机上实现标准的桌面化配置环境。那么要怎么实现呢？详细过程如下：（在做好了上面所说的用户配置文件的漫游后，不需要再做桌面墙纸的漫游。）
1、在域控上建立存放背景图片的文件夹，将其设置为共享文件夹；
2、在开始—运行中GPedit.msc命令进入组策略编辑器，并双击用户配置--管理模板--桌面--Active Desktop中的Active Desktop 墙纸选项，将其设置为已启用。
3、在墙纸名称路径框中输入存放桌面背景文件的完整路径。如：\\server\share\文件名。在墙纸式中任意选择一项，按确定；
4、将用户配置--管理模板--桌面--Active Desktop中的启用Active Desktop 选项设置为已启用；
5、在开始--运行中输入GPupdate命令，刷新组策略。这时候域当中所有用户的桌面背景全部为统一图片。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2、在开始—运行中GPedit.msc命令进入组策略编辑器，并双击用户配置--管理模板--桌面-纸选项，将其设置为已启用。
3、在墙纸名称路径框中输入存放桌面背景文件的完整路径。如：\\server\share\文件名。在墙纸样式中任意选择一项，按确定；
4、将用户配置--管理模板--桌面--Active Desktop中的启用Active Desktop 选项设置为已启用；
5、在开始--运行中输入GPupdate命令，刷新组策略。
这时候域当中所有用户的桌面背景全部为统一图片。
使用组策略实现统一桌面
在企业中为了实现企业形象的统一性，会要求在企业所有计算机上实现标准的桌面化配置环境。那么要怎么实现呢？详细过程如下：
3、在墙纸名称路径框中输入存放桌面背景文件的完整路径。如：[url=file://\\server\share\]\\server\share\[/url]文件名。在墙纸样式中任意选择一项，按确定；
4、将用户配置--管理模板--桌面--Active Desktop中的启用Active Desktop 选项设置为已启用；
3、设置用户要用的桌面背景，退出系统；
4、使用同一用户名在域当中的其他机器上登录，会发现在上一台计算机上设置的墙纸在这台机器上也出现了。
这时我们在打开域控制器上的漫游配置文件，你会发现Local Setting文件夹又回来了，而ntuser.ini配置文件的内容变成了ExclusionList=Temporary Internet Files;History;Temp;，到这时候我们对桌面墙纸的漫游配置就大功告成了！
创建漫游用户配置文件过程有两个步骤：创建测试用户配置文件，然后将测试用户配置文件复制到网络服务器。
步骤一：在此过程中，您会为漫游用户创建一个测试配置文件：1. 创建一个充当测试用户帐户的用户帐户。例如，创建一个名为 Sales Profile 的帐户。 2. 以测试用户帐户登录。这会在本地计算机的 C:\Winnt\Documents and Settings\用户名文件夹中自动创建用户配置文件。 3. 配置桌面环境，包括外观、快捷方式和开始菜单选项。 4. 注销，然后以管理员身份登录。
[General]
ExclusionList=Local Settings;Temporary Internet Files;History;Temp;
原来，在Windows漫游配置文件的默认情况下，Local Setting文件夹是被排除的，而在这个文件当中存放的就是我们桌面墙纸的信息。
那我们要怎样将这个文件夹找回来呢？下面就介绍下如何使用注册表恢复桌面墙纸的漫游：
漫游用户配置文件全攻略
2007-03-09 23:14:48
标签：配置
漫游用户配置文件方法
漫游用户配置文件的作用是无论用户登录到哪台基于 Microsoft Windows NT 的计算机上，漫游用户配置文件都为用户提供相同的工作环境。这样就可以避免因为换了机器而丢失以前的作用环境而不爽了，也不会降低工作质量。
1、使用需要漫游的用户名登录域当中的任何一台计算机（包括域控），运行—Regedit打开注册表；
2、找到注册表中的
[HKEY_CURRENT_USER\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon]项，并修改ExcludeProfileDirs键值，将数值数据中的Local Setting删除，退出注册表；
（在做好了上面所说的用户配置文件的漫游后，不需要再做桌面墙纸的漫游。）
1、在域控上建立存放背景图片的文件夹，将其设置为共享文件夹；
2、在开始—运行中GPedit.msc命令进入组策略编辑器，并双击用户配置--管理模板--桌面--Active Desktop中的Active Desktop 墙纸选项，将其设置为已启用。
实现桌面墙纸的漫游方法
学会如何漫游配置文件后，大家会发现，桌面墙纸是不会与漫游配置文件一同漫游的，这是为什么呢？
我们来对比一下本地配置文件和漫游后的配置文件。在本地配置文件中有一个Local Settings文件夹，在漫游配置文件中我们是找不到它的，但是漫游配置文件中却多出了个叫做ntuser.ini的配置文件。我们使用文本方式打开它，会看到这样一段话：
5、在开始--运行中输入GPupdate命令，刷新组策略。
这时候域当中所有用户的桌面背景全部为统一图片。
“注册表”法，请按照下面步骤进行注册表编辑操作： 1、点击『开始』 2、点击“运行”并键入"regedit"（不包括双引号）后确定 3、在“注册表编辑器”中依次展开 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ 在该注册表项下建立名为 System 的项（如在Policies分支下已有System项，则无须此步骤） 在 System 项下建立名为 Wallpaper 和 WallpaperStyle 的两个“字串符值” 对于字串符值定义的解释： Wallpaper 有两个可以定义的值： 空 或 某图片具体路径位置及文件名（路径可以允许设为本地路径或 UNC 路径） 如果 Wallpaper 字串符值为空，则桌面背景固定为添加该字串符值前所设的图片，且在“显示属性”中的“桌面”选项卡中的“背景”框中呈不可操作状。并且在“资源管理器”中浏览图片时，右键.jpg、.bmp图片文件中的上下文菜单的“设为桌面背景”操作将无效。但是该法有一缺点，使用第三方工具如ACDSee依旧可以更改桌面背景。 （注：此项比“组策略”法中的"阻止更改桌面"策略略强，能使得上下文菜单中的“设为桌面背景”无效） 如果 Wallpaper 字串符值设置为某图片或Html文件的路径及文件名（如F:\abc.jpg或F:\abc.html），那么桌面背景将强制更改为该值中所指定的图片文件或Html文件（F:\abc.jpg或F:\abc.html），且在“显示属性”中的“桌面”选项卡中的“背景”框中仍然呈不可操作状，并且第三方工具的桌面背景设置将无效。但是该法也有一缺点：桌面上的图标将消失“阴影”特效，很是难看。 WallpaperStyle 有三个可以定义的值： 0＝居中 1＝平铺 2＝拉伸 当 WallpaperStyle 设置为上述三个值（数字）中的一个，那么将强制“显示属性”中的“桌面”选项卡中的“位置”下拉菜单为对应值效果，并同样呈不可操作状。 更多信息： · 在上述的注册表项(System 项）中建立名为 NoDispBackgroundPage 的 DWORD 值，且定义键值为 1 （有效，相反设为0为无效），则“显示属性”中将没有“桌面”选项卡。（此项对应“组策略”中的 "本地计算机"策略/用户配置/管理模板/控制面板/显示 中的 隐藏“桌面”选项卡 策略） ·在下面注册表项中新建名为 ActiveDesktop 的项 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\ 并在 ActiveDesktop 项中建立名为 NoChangingWallPaper 的DWORD值，定义键值为1（有效，相反设为0为无效），则“显示属性”中的“桌面”选项卡下的“背景”、“浏览”和“位置”下拉菜单呈不可操作状（此键值对应“组策略”的 "本地计算机"策略/用户配置/管理模板/控制面板/显示 列表下的"阻止更改墙纸"策略）。图片文件的上下文菜单中的“设为桌面背景”和第三方工具均可更改桌面背景。
注意：在您创建的网络文件夹中，如果这是一个强制用户配置文件，则将 Ntuser.dat 文件重命名为 Ntuser.man。
使用组策略实现统一桌面
在企业中为了实现企业形象的统一性，会要求在企业所有计算机上实现标准的桌面化配置环境。那么要怎么实现呢？详细过程如下：
（在做好了上面所说的用户配置文件的漫游后，不需要再做桌面墙纸的漫游。）
步骤二：最后复制测试配置文件，在此过程中，您会将测试配置文件复制到网络服务器：1. 在网络驱动器上创建一个要在其中存储网络配置文件的文件夹。（为共享文件夹，在共享权限中设置为完全控制）例如：\\server_name\Profiles\user_name 2. 在"控制面板"中，双击系统，然后单击用户配置文件选项卡。在"储存在本机上的配置文件"下，单击要复制的配置文件，然后单击复制到。 3. 在将配置文件复制到对话框中，键入该文件夹的网络路径。在"允许使用"下，单击更改。 4. 添加相应的用户，然后单击确定。6. 在"域用户管理器"中，双击该用户帐户，然后在用户属性对话框中，单击配置文件。 7. 在用户配置文件路径框中，键入网络配置文件所在文件夹的 UNC 路径。例如：\\server_name\Profiles\user_name。