分布式系统 第22章 组策略.pdf

下载 第22章 组 策 略 组策略是Windows 2000 操作系统中提供的一种重要的更新和配置管理技术。系统管理员使 用组策略来为计算机和用户组管理桌面配置指定的选项。组策略很灵活，它包括如下的一些选 项：基于注册表的策略设置、安全设置、软件安装、脚本、计算机启动与关闭、用户登录和注 销，文件重定向等。 Windows 2000 包括几百种可以配置的组策略设置。组策略设置允许企业管 理员通过增强和控制用户桌面来减少总的开销。 资源大全中的相关信息 ? 有关活动目录的更多信息，请参阅本书第一部分。 ? 有关更新和配置管理的更多信息，请参阅本书第 2 1章。 ? 有关访问控制的更多信息，请参阅本书第 1 2章。 ? 有关组策略备份的更多信息，请参阅本书第 9章。 ? 有关软件安装插件的更多信息，请参阅本书第 2 3章。 22.1 组策略概述 组策略只允许用户一次性地规定自己的环境，在这之后，依赖操作系统来强制实施。 组策略对象不是用户配置文件。用户配置文件是用来进行用户环境设置的，它允许用户进 行更改，如：桌面设置、 N T U s e r. d a t 文件中的注册表配置、用户配置文件目录、 My Documents 以及F a v o r i t e s等。而组策略是由系统管理员管理和维护的，系统管理员使用 M M C主机管理工具 来对用户组和计算机组设置策略。 缺省情况下，组策略能够从站点、域、最后到组织单元继承而来。应用组策略对象（把它 们链接到它们的目标上）的顺序和级别决定了用户或计算机实际能收到的组策略设置。另外， 组策略能够在站点、域、组织单元这些级别上被阻塞；组策略还能够基于组策略对象强制实施。 这可以通过将组策略对象链接到它们的目标上，然后将链接设置为非覆盖方式来实现。 缺省情况下，组策略影响站点、域、或组织单元中所有用户和计算机，而不影响站点、域、 或组织单元中的其他对象。 注意 特别要指出的是，组策略不影响安全组。 但是，读者可以使用安全组来过滤组策略，也就是改变它的范围。这可以通过调整组策略 对象上的Apply Group Policy 和Read Permissions来实现，这方面的内容将在本章后面进行介绍。 注意 活动目录中的安全组的位置与组策略无关。 1. Windows NT 4.0与Windows 2000 的策略比较 Windows NT 4.0 引入了系统策略编辑器（ P o l e d i t . e x e ），它是一个工具，允许指定存储在 第2 2章 组 策 略计计 743 下载 Windows NT 注册表中的用户和计算机设置。通过使用系统策略编辑器，可以控制用户网络环境， 并为运行Windows NT Workstation 4.0或Windows NT Server 4.0 的所有计算机强制系统配置设置。 系统策略设置为注册表设置，用来定义桌面环境中不同组件的行为。 在Windows 2000 中，可以通过使用组策略插件为特定的用户和计算机组创建特殊的桌面配 置。对于Windows 2000 客户，组策略插件几乎能完全代替系统策略编辑器。它允许为大型的、 可以嵌套的、甚至交替的计算机组和用户组管理桌面配置。非本地的组策略对象通过链接一定 数量的目标来发挥作用，这些目标可以为活动目录中的站点、域或者组织单元。 2. Windows NT 4.0 、Windows 95 、Windows 98 中的系统策略 用系统策略编辑器指定的系统策略设置具有下列特点： ? 被应用到域。 ? 能够在安全组中被用户成员进一步控制。 ? 不安全，用户能够通过注册表编辑器（ R e g e d i t . e x e ）进行改动。 ? 在用户配置文件中有持久性，有时超出常规时间。当用 Windows NT 4.0 系统策略进行注 册表设置后，该设置将保留直到指定设置被推翻或者用户编辑注册表。 ? 被限制基于注册表设置来强制管理桌面的行为。 注意 Wi