利用组策略部署软件与限制软件运行相关知识

利用组策略部署软件与限制软件运行
6.1.4 自动修复软件
被发布或分配的软件可以具备自动修复的功能（视 软件而定），也就是客户端在安装完成后，若此软件程 序内有关键性的文件损毁、遗失或不小心被用户删除则 在用户执行此软件时，系统会自动检测到此不正常现象 ，并重新安装这些文件。
利用组策略部署软件与限制软件运行
利用组策略部署软件与限制软件运行
6.1.1 将软件分配给用户
将一个软件通过组策略分配给域用户后，用户在任何 一台域成员计算机登录时，这个软件会被通告( advertised) 给该用户，但此软件并没有被安装，而只是安装了与这个 软件有关的部分信息而已，例如可能会在开始窗口或开始 菜单中自动建立该软件的快捷方式（需视该软件是否支持 此功能而定）。
可以利用网络区域规则来允许或拒绝用户运行位于某 个区域内的程序，这些区域包含本地计算机、Internet、 本地Intranet、可信站点与受限站点。
除了本地计算机与Internet之外，您可以设置其他3 个区域内所包含的计算机或网站：【打开网页浏览器 Internet Explorer→按下Alt键→单击工具菜单 →lnternet选项→单击图6-1中的安全选项卡→选择要设 置的区域后单击“站点”按钮】。
6.1.5 删除软件
Windows Server 2012( R2)具备Active Directory 回收站功能，它让系统管理员不需要进入目录服务还原模 式，就可以快速恢复被删除的对象。
利用组策略部署软件与限制软件运行
6.2 软件限制策略概述
在5.3.2节中介绍过如何利用文件名来限制用户可以 或不可以运行特定的应用程序，然而若用户有权修改文 件名，就可以突破此限制，此时我们仍然可以通过本章 的软件限制策略进行控制。此策略的安全等级分为下面3 种。
项目目标
• 软件部署概述 • 将软件发布给用户 • 将软件分配给用户或计算机 • 启用软件限制策略
利用组策略部署软件与限制软件运行
6.1 软件部署概述
可以通过组策略将软件部署给域用户与计算机也 就是域用户登录或成员计算机启动时会自动安装或 很容易安装被部署的软件，而软件部署分为分配（ assign）与发布（publish）两种。一般来说，这些 软件必须是Windows Installer Package（也被称为 MSI应用程序），也就是其内包含扩展名为.msi的安 装文件。
系统默认的安全级别是所有程序都不受限，即 只要用户对要运行的程序文件拥有适当访问权限， 他就可以运行此程序。不过您可以通过哈希规则、 证书规则、路径规则与网络区域规则来建立例外的 安全级别，以便拒绝用户运行所指定的程序。
利用组策略部署软件与限制软件运行
6.2.1 哈希规则
哈希( hash)是根据程序的文件内容所算出来的字符 串，不同程序有着不同的哈希值，所以系统可用它来识 别应用程序。在您为某个程序建立哈希规则，并利用它 限制用户不允许运行此程序时，系统就会为该程序建立 一个哈希值。而当用户要运行此程序时，其Windows系统 就会比较自行算出来的哈希值是否与软件限制策略中的 哈希值相同，若相同，表示它就是被限制的程序，因此 会被拒绝运行。
可以通过路径规则来允许或拒绝用户运行位于某个文件 夹内的程序。由于是根据路径来识别程序，故若程序被移 动到其他文件夹，此程序将不会再受到路径规则的约束。
除了文件夹路径外，您也可以通过注册表路径来限制 ，例如开放用户可以运行在注册表中所指定的文件夹内 的程序。
利用组策略部署软件与限制软件运行
6.2.4 网络区域规则
利用组策略部署软件与限制软件运行
➢ 不受限：所有登录的用户都可以运行特定的程序（只要 用户拥有适当的访问权限，例如NTFS权限）。
➢ 不允许：无论用户对程序文件的访问权限为何，都不 允许运行。
➢ 基本用户：允许以普通用户的权限（分配给users组的 权限）来运行程序。
利用组策略部署软件与限制软件运行
利用组策略部署软件与限制软件运行
用户通过单击该软件在开始窗口（或开始菜单） 中的快捷方式后，就可以安装此软件。
用户也可以通过控制面板来安装此软件，以 Windows 8.1客户端来说，其安装方法为【开始菜单 →控制面板→单击程序处获得程序】。
利用组策略部署软件与限制软件运行
6.1.2 将软件分配给计算机
利用组策略部署软件与限制软件运行
图6-1 Internet选项
利用组策略部署软件与限制软件运行 6.2.5 规则的优先级
可能会针对同一个程序设定不同的软件限制规则，而这 些规则的优先级由高到低为：哈希规则、证书规则、路径 规则、网络区域规则。
活动目录项目教程
项目6 利用组策略部署软件与限制软件运行
杨云 编著
利用组策略部署软件与限制软件运行
项目背景
• 我们可以通过AD DS组策略来为企业内部用户 与计算机部署（deploy）软件，也就是自动为 这些用户与计算机安装、维护与删除软件。同 时还可以为软件的运行制订限制策略。
利用组策略部署软件与限制软件运行
利用组策略部署软件与限制软件运行 6.2.2 证书规则
软件发行公司可以利用证书（certificate）来签署 其所开发的程序，而软件限制策略可以通过此证书来辨 识程序，也就是说您可以建立证书规则来识别利用此证 书所签署的程序，以便允许或拒绝用户运行此程序。
利用组策略部署软件与限制软件运行
6.2.4 路径规则
当您将一个软件通过组策略分配给域成员计算 机后，这些计算机启动时就会自动安装这个软件（ 完整或部分安装，视软件而定），而且任何用户登 录都可以使用此软件。用户登录后，就可以通过桌 面或开始窗口（或开始菜单）中的快捷方式来使用 此软件。
利用组策略部署软件与限制软件运行
6.1.3 将软件发布给用户
当将一个软件通过组策略发布给域用户后，此软件并 不会自动被安装到用户的计算机内，不过用ws 8.1客户端来说，其安 装方法为【开始菜单→控制面板→单击程序处获得程序】 。