企业集中管理方法.pptx
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
GPOs不跨域储存
单个SDOU上可能关联了多 个GPOs
一个GPO也可能和多个 SDOUs关联。
任何SDOUs可以和任何 GPOs关联，甚至跨域 (这样可能会非常慢)
可以通过对安全组的权限设 定(ACLs)来实现GPO的过滤
B2
哪一个是我的 策略?
RSoP
RSoP (Resultant Set of Group Policy )
➢ 将设定还原 ➢ GPO必须在同一个域
▪ 如果要实现跨域设定转移，可以使用导入或者拷贝
备份一个GPO
备份将保存如下设定 (于文件系统中)
➢ GPO中的策略设定 ➢ GPO上的访问控制列表(ACLs) ➢ 与WMI filter的关联 (不是filter本身) ➢ 设定报告
并不备份GPO与SDOUs之间的关联关系
➢ IE 设定 ➢ 软件安装 ➢ 脚本 ➢ 文件夹重定向 ➢ 远程系统安装 (RIS设定)
组策略管理的常见问题及解决
理解组策略使用环境的复杂性
Domain
A
Site A1 A2
OU’s
组策略不跨域继承
Domain
B
B1 B2
OU’s
B3
GPO’s
A1 A2 A3 A4
A5
GPO’s
B1
站点由子网组成，可能会垮 多个域。
模拟选项:
➢ What if 分析:
▪ 改变管理范围 ▪ 改变安全组的成员 ▪ 改变WMI Filter状态
➢ 关联站点 ➢ 慢速链接
➢ Loopback ➢ 在哪台域控制器上运行
RSoP 授权
默认权限:
➢ Logging mode – Local Admins ➢ Planning Mode – Domain or Enterprise Admins
▪ Shell, TS, IE, MSI, Windows Update, Messenger, Net Meeting, …
▪ Some Apps (i.e. Office 2000 / XP)
➢ 安全设定
▪ Security policies, account policies, restricted groups, services, local ACLs, Certificates, SW Restriction, IPSec
在 Windows .NET Server AD中 logging和 planning 模式均可授权.
如果对域和站点的RSoP进行授权，需要 Enterprise Admins身份。
demo
RSoP 工具
其他常见问题
其他常见问题
➢ 备份、恢复 ➢ 导入、导出 ➢ 报告功能 ➢ 搜索功能 ➢ 等等………….
组策略在企业中应用
管理模板 安全 IE维护 软件安装 脚本 文件夹重定向 第三方扩展
基于注册表的设定 本地，域以及网络等安全选项 管理IE设定 集中管理软件安装以及维护 开、关机脚本 登陆、注销脚本 将用户数据存放在网络上 组策略有很好的扩展性
组策略在企业中的应用(2)
组策略可以用于:
➢ 注册表设定 (WindowsXP中提供的设定数目超过700)
在Windows .NET Server RTM之后将提 供独立版本 (可通过Web下载)
系统需求:
➢ Windows .NET Server ➢ Windows XP专业版(SP1+ hotfix):
demo
GPMC 漫游
备份、恢复
备份:
➢ 将GPO设定保存在文件系统中 ➢ 和导出一样
恢复:
➢ Win2k 推出后，客户对于组策略的第一改进 要求
➢ 两种模式
▪ Logging Mode: 哪些策略已应用 ▪ Planning Mode: 哪些策略将应用
➢ 在Windows.NET AD中可以实现授权
RSoP 工具
Hale Waihona Puke Baidu RSoP 工具
➢ RSoP MMC snap-in
▪ 关于已应用策略的详细信息 ▪ 可以远程使用
结论：组策略很难管理 解决: GPMC
GPMC 概览
什么是 GPMC (group policy management console)?
➢ 管理组策略的新工具:
▪ 提供一组可编程对象用于管理组策略 ▪ 基于这些对象的MMC Snap-in
GPMC 设计目标
➢ 统一的组策略管理 ➢ 提供更好的用户界面 ➢ 解决组策略部署中的关键性问题 ➢ 允许通过脚本的方式来实现对组策略的操作
与备份GPO在同一个域 并不修改GPO与SDOUs之间的关联关系
导入与拷贝：概览
仅仅转移策略设定
不修改:
➢ 访问控制列表(ACLs) ➢ WMI Filter (获关联) ➢ SDOUs与GPO的关联关系
WIN311: 企业集中管理方法： 组策略的操作
王希 Microsoft MVP Windows & .NET Magazine (PRC)
日程
组策略在企业中的应用 组策略管理的常见问题及解决
➢ 理解组策略的复杂性 ➢ 组策略管理的常见问题及解决
组策略的最佳实践
➢ 组策略最佳实践：规划 ➢ 针对具体设定的最佳实践
管理备份
多个备份可以保存于文件系统中的同一位 置
➢ 多个GPOs ➢ 同一GPO的多个版本
每个备份可以通过以下方式标识:
➢ 名字，描述，域， 时间票,，GPO的GUID
可以通过GPMC查询
恢复
恢复GPO的所有属性
➢ GPO中的策略设定 ➢ GPO的访问控制列表 ➢ 与WMI filter的关联 (不是filter本身) ➢ 设定报告 ➢ 使用相同的GUID
➢ GPResult v2.0 命令行工具
▪ 可以远程使用
➢ “帮助与支持中心”的HTML 报告
▪ 可以保存、打印
Win2000 中不支持这些工具
RSoP Planning 模式
Windows .NET Server 提供RSoP的Planning模 式
➢ 允许模拟在AD中的某个用户或者某台计算机上的设定
GPMC 特性概览
管理组策略的全新UI 报告功能:
➢ 可用HTML方式查看GPO设定和RSoP数据 ➢ 提供对GPO设定只读访问
备份、恢复GPOs 导入、导出功能 搜索功能 与RSoP整合 所有操作均可通过脚本实现
➢ 注意: 对GPO中的设定不行
关于GPMC
可用于管理 Windows® 2000 或者 Windows .NET domains
单个SDOU上可能关联了多 个GPOs
一个GPO也可能和多个 SDOUs关联。
任何SDOUs可以和任何 GPOs关联，甚至跨域 (这样可能会非常慢)
可以通过对安全组的权限设 定(ACLs)来实现GPO的过滤
B2
哪一个是我的 策略?
RSoP
RSoP (Resultant Set of Group Policy )
➢ 将设定还原 ➢ GPO必须在同一个域
▪ 如果要实现跨域设定转移，可以使用导入或者拷贝
备份一个GPO
备份将保存如下设定 (于文件系统中)
➢ GPO中的策略设定 ➢ GPO上的访问控制列表(ACLs) ➢ 与WMI filter的关联 (不是filter本身) ➢ 设定报告
并不备份GPO与SDOUs之间的关联关系
➢ IE 设定 ➢ 软件安装 ➢ 脚本 ➢ 文件夹重定向 ➢ 远程系统安装 (RIS设定)
组策略管理的常见问题及解决
理解组策略使用环境的复杂性
Domain
A
Site A1 A2
OU’s
组策略不跨域继承
Domain
B
B1 B2
OU’s
B3
GPO’s
A1 A2 A3 A4
A5
GPO’s
B1
站点由子网组成，可能会垮 多个域。
模拟选项:
➢ What if 分析:
▪ 改变管理范围 ▪ 改变安全组的成员 ▪ 改变WMI Filter状态
➢ 关联站点 ➢ 慢速链接
➢ Loopback ➢ 在哪台域控制器上运行
RSoP 授权
默认权限:
➢ Logging mode – Local Admins ➢ Planning Mode – Domain or Enterprise Admins
▪ Shell, TS, IE, MSI, Windows Update, Messenger, Net Meeting, …
▪ Some Apps (i.e. Office 2000 / XP)
➢ 安全设定
▪ Security policies, account policies, restricted groups, services, local ACLs, Certificates, SW Restriction, IPSec
在 Windows .NET Server AD中 logging和 planning 模式均可授权.
如果对域和站点的RSoP进行授权，需要 Enterprise Admins身份。
demo
RSoP 工具
其他常见问题
其他常见问题
➢ 备份、恢复 ➢ 导入、导出 ➢ 报告功能 ➢ 搜索功能 ➢ 等等………….
组策略在企业中应用
管理模板 安全 IE维护 软件安装 脚本 文件夹重定向 第三方扩展
基于注册表的设定 本地，域以及网络等安全选项 管理IE设定 集中管理软件安装以及维护 开、关机脚本 登陆、注销脚本 将用户数据存放在网络上 组策略有很好的扩展性
组策略在企业中的应用(2)
组策略可以用于:
➢ 注册表设定 (WindowsXP中提供的设定数目超过700)
在Windows .NET Server RTM之后将提 供独立版本 (可通过Web下载)
系统需求:
➢ Windows .NET Server ➢ Windows XP专业版(SP1+ hotfix):
demo
GPMC 漫游
备份、恢复
备份:
➢ 将GPO设定保存在文件系统中 ➢ 和导出一样
恢复:
➢ Win2k 推出后，客户对于组策略的第一改进 要求
➢ 两种模式
▪ Logging Mode: 哪些策略已应用 ▪ Planning Mode: 哪些策略将应用
➢ 在Windows.NET AD中可以实现授权
RSoP 工具
Hale Waihona Puke Baidu RSoP 工具
➢ RSoP MMC snap-in
▪ 关于已应用策略的详细信息 ▪ 可以远程使用
结论：组策略很难管理 解决: GPMC
GPMC 概览
什么是 GPMC (group policy management console)?
➢ 管理组策略的新工具:
▪ 提供一组可编程对象用于管理组策略 ▪ 基于这些对象的MMC Snap-in
GPMC 设计目标
➢ 统一的组策略管理 ➢ 提供更好的用户界面 ➢ 解决组策略部署中的关键性问题 ➢ 允许通过脚本的方式来实现对组策略的操作
与备份GPO在同一个域 并不修改GPO与SDOUs之间的关联关系
导入与拷贝：概览
仅仅转移策略设定
不修改:
➢ 访问控制列表(ACLs) ➢ WMI Filter (获关联) ➢ SDOUs与GPO的关联关系
WIN311: 企业集中管理方法： 组策略的操作
王希 Microsoft MVP Windows & .NET Magazine (PRC)
日程
组策略在企业中的应用 组策略管理的常见问题及解决
➢ 理解组策略的复杂性 ➢ 组策略管理的常见问题及解决
组策略的最佳实践
➢ 组策略最佳实践：规划 ➢ 针对具体设定的最佳实践
管理备份
多个备份可以保存于文件系统中的同一位 置
➢ 多个GPOs ➢ 同一GPO的多个版本
每个备份可以通过以下方式标识:
➢ 名字，描述，域， 时间票,，GPO的GUID
可以通过GPMC查询
恢复
恢复GPO的所有属性
➢ GPO中的策略设定 ➢ GPO的访问控制列表 ➢ 与WMI filter的关联 (不是filter本身) ➢ 设定报告 ➢ 使用相同的GUID
➢ GPResult v2.0 命令行工具
▪ 可以远程使用
➢ “帮助与支持中心”的HTML 报告
▪ 可以保存、打印
Win2000 中不支持这些工具
RSoP Planning 模式
Windows .NET Server 提供RSoP的Planning模 式
➢ 允许模拟在AD中的某个用户或者某台计算机上的设定
GPMC 特性概览
管理组策略的全新UI 报告功能:
➢ 可用HTML方式查看GPO设定和RSoP数据 ➢ 提供对GPO设定只读访问
备份、恢复GPOs 导入、导出功能 搜索功能 与RSoP整合 所有操作均可通过脚本实现
➢ 注意: 对GPO中的设定不行
关于GPMC
可用于管理 Windows® 2000 或者 Windows .NET domains