GPMC攻略.docVIP

GPMC—完全控制网络中的组策略 组策略概述 相信“组策略”（GP）这个名词已经为广大的Windows用户所知晓。 Microsoft在Windows NT 4.0中早就有了基于策略的管理—策略编辑器—一个深受NT管理员欢迎的实用程序，但这个并不为大多数用户所掌握并加以应用。为此，Microsoft在Windows 2000中不但彻底更新了目录服务，而且推出了与这个目录完全集成的策略管理—组策略对象（GPO）。随着Windows 2000的深入应用，组策略的应用也随之遍地开花，影响力远远超过了它的前身。可以说，组策略配置的正确与否将与您整个网络息息相关—虽然您可以完全放弃他，然而，作为一种手段，组策略的成功应用将起到事半功倍的效果。 GPMC的起源 当然，并不是每个人都成功了。每个人随着组策略的深入应用，对这些组策略的管理成了他们最大的负担，而部分用户根本无法预料他所配置的组策略会产生什么样的后果，很多时候结果大大出乎他们的意料。在Microsoft新闻组里，恐怕最著名的组策略问题就是“本地策略不允许您交互式登录”。GPMC—Group Policy Management Console就是Microsoft在汲取遍布全球的合作伙伴及大量客户反馈的基础上酝酿而成的。 GPMC由一个全新MMC管理单元及一整套脚本化的接口组成，提供了集中的组策略管理方案，可以大大减少不正确的组策略可能导致的网络问题并简化组策略相关的安全问题，解决组策略部署中的难点，减轻了IT管理员们在实施组策略时所肩负的沉重包袱。 细看GPMC 在我结束这篇文章之时，GPMC还仅仅是一个Beta 2版本，Microsoft仍然在不断地对它进行完善，以增强它的稳定性和易用性。GPMC仅仅是Microsoft提供给广大用户的一个实用软件包，并不隶属于Microsoft的Server或者Application产品。下载后的GPMC安装程序只有4M左右，真可谓小巧而实用。需要注意的是，GPMC仅能安装在带有SP1的Windows XP或者Windows Server 2003 Build 3602以后版本的计算机上，虽然它不支持安装在Windows 2000的计算机上，但您仍然可以使用它管理一个Windows 2000域中的组策略（但在支持的功能上有一定差别）。您在一台管理域的计算机上安装GPMC之后，在管理工具中会添加“Group Policy Management”（GPM）菜单项。当您试图使用活动目录用户与计算机管理单元编辑一个组策略时，系统将自动要求您打开GPMC来管理组策略，如图1所示： 图1：GPMC自动禁用原有的组策略编辑方法 GPMC除了实现一般的组策略管理任务，如创建，删除，修改外，还提供了复制，导入，备份，恢复功能。更值得一提的是，GPMC中的组策略报告功能对组策略在计算机上的生效状况提供了详细的说明。 首次打开GPM，仅显示为一个空白的MMC界面。首先，我们来浏览一下GPMC左边面板中提供的功能。右击“Group Policy Management”，从关联菜单中单击“Add Forest…”，输入一个现有的Windows 2000或Windows 2003域名。GPM自动连接相应的域控制器并显示当前域的组织单元层次，这个层次与您在活动目录用户与计算机管理单元中看到的是一模一样的。左面板中除了显示活动目录中组织单元层次外，还有四个特别引人注意的名称：Default Domain Policy，Group Policy Objects，Group Policy Results，Group Policy Modeling。我们分别来看一下这四项功能。估计很多读者从字面意思就可以意会到他们的功能。 Default Domain Policy。每当您创建一个Windows 2000域之后，系统自动产生两个默认的组策略对象：Default Domain Policy与Default Domain Controllers Policy（这个组策略显示在Domain Controllers容器里）。如果您连接了多个域，在这里会显示出多个域的默认的域组策略。从右边面板中，您可以查看这个域组策略的设置，添加或者删除管理策略的被委托的用户。图2显示的是一个典型的Default Domain Policy视图。 图2：Default Domain Policy视图 Group Policy Objects。这个对象包括当前选定域的所有组策略对象。在这里您可以完成组策略的添加，备份，恢复，重命名，删除，导入等一系列重要功能。单击任何一个组策略名称，都将在右面板中显示一个与图2类似的视图。注意，当您单击这个对象中的Default Domain Policy或者Default