计算机网络实用技术雷建军电子教案 第十二章 121.pptVIP

第12章 组策略 12.1 组策略概述 组策略是Windows 2000操作系统提供的一个关键性的更改和配置管理技术，可以针对站点、域或组织单位设置组策略，这些组策略的设置存储在域控制器的活动目录内。组策略包含两部分的设置： “计算机配置” “用户配置” 计算机配置 计算机配置：当计算机启动时，就会根据“计算机配置”的设置来确定计算机的环境。例如，若针对域lkb.edu.cn设置了组策略，则此组策略内的“计算机配置”设置就会被应用到该域内的所有计算机。 用户配置 用户配置：当用户登录时，就会根据“用户配置”的设置来确定用户的工作环境。例如，若针对域lkb.edu.cn设置了组策略，则此组策略内的“用户配置”就会被应用到此域内的所有用户账户。 12.1 组策略概述 不管是“计算机配置”或是“用户配置”，其组策略都包含以下三个方面的内容： （1）管理模板：包括Windows组件、网络、桌面以及任务栏和开始菜单等相关的策略。 （2）Windows设置：包括脚本、安全设置（账户策略和本地策略）等相关的策略。 （3）软件设置：包括软件安装策略，可以进行应用程序的指派与发布。 12.1 组策略概述 12.1.1 组策略对象 12.1.2 组策略的应用顺序与规则 12.1.1 组策略对象 所有的组策略都必须通过建立组策略对象（GPO）的方式设置。在“Active Directory用户和计算机”窗口中选择站点、域或组织单位，单击鼠标右键，在弹出的快捷菜单中选择“属性”→“组策略”命令，查看其GPO设置值。如图12-1所示。 12.1.1 组策略对象 当新建一个GPO时，将建立一个相对应的组策略模板文件夹，用于存储GPO的数据。其位于域控制器的%systemroot%\SYSVOL \sysvol文件夹内，它将自动地被复制到所有的域控制器中。如果建立了多个GPO，并且这些GPO内的设置有冲突时，则以排列在前面的GPO设置为优先。 1．一般用户默认的组策略 2．更改组策略 3．验证更改组策略的有效性 1．一般用户默认的组策略 由于Windows 2000默认只有特殊的用户账户（例如administrator）才能直接在域控制器上登录，而一般账户无法从域控制器上登录，除非他们被赋予“本地登录”的权限。其验证步骤如下： 在域控制器端，以administrator账户登录，添加一个用户账户“ls”；完成后，注销administrator，以“ls”用户账户登录，将出现登录失败的提示。 2．更改组策略 以下将介绍如何更改组策略。让域内的所有用户账户都可以从域控制器上登录，也就是更改“Default Domain Controllers Policy”设置，让“Domain Users”组内的所有成员都具备“在本地登录”的权利。其步骤如下： （1）在域控制器端，以administrator账户登录。在“Active Directory用户和计算机”窗口中，选中“Domain Controllers”，单击鼠标右键，再从弹出的快捷菜单中选择“属性”→“组策略”命令。 2．更改组策略 （2）出现如图12-1所示的对话框，选定“Default Domain Controllers Policy”项，然后单击“编辑”按钮。 2．更改组策略 （3）打开如图12-2所示的“组策略”窗口，依次选择“计算机配置”→“Windows设置”→“安全设置”→“本地策略”→“用户权利指派”，然后双击窗口右侧的“在本地登录”项。 2．更改组策略 （4）出现如图12-3所示的对话框，默认情况下只有Account Operators等组内的成员才有“在本地登录”的权限。单击“添加”按钮，选择“Domain Users”组以便让所有的域用户都具备“在本地登录”的权限。完成后单击“确定”按钮。 3．验证更改组策略的有效性 更改组策略后，并不立刻生效，域控制器的组策略更新时间，默认为5分钟；Windows 2000工作站、成员服务器的组策略更新时间，默认为90分钟。为了使更改后的组策略能够立刻生效，必须进入DOS命令窗口，运行“Secedit/Refresh machine_policy”（让“组策略”的“计算机配置”生效）或“Secedit/Refresh user_ policy”（让“组策略”的“用户配置”生效）命令，稍待片刻即可生效。 3．验证更改组策略的有效性 以下是验证更改“在本地登录”组策略的有效性的步骤： （1）在域控制器端，注销administrator账户，然后等待此组策略生效；或者执行“Secedit/Refresh machine_ policy”命令或