组策略管理控制台.docVIP

组策略管理控制台 组策略管理控制台，与Windows 2000上传统的组策略编辑器截然不同，由一个全新的MMC管理单元及一整套脚本化的接口组成，提供了集中的组策略管理方案，可以大大减少不正确的组策略可能导致的网络问题并简化组策略相关的安全问题，解决组策略部署中的难点，减轻了IT管理员们在实施组策略时所承担的沉重包袱。 目录 组策略概述 GPMC的起源 主要功能 最佳实践 组策略概述 　　相信组策略(Group Policy)这个名词已经为广大的Windows用户所知晓。微软在Windows NT 4.0中早就有了基于策略的管理--策略编辑器--一个深受NT管理员欢迎的实用程序，但它个并不为大多数用户所掌握并加以应用。为此，微软在Windows 2000中不但彻底更新了目录服务，而且推出了与这个目录完全集成的策略管理--组策略对象(GPO)。随着Windows 2000的深入应用，组策略的应用也随之遍地开花，影响力远远超过了它的前身。可以说，组策略配置的正确与否将与您整个网络息息相关--虽然您可以完全放弃它，然而，作为一种手段，组策略的成功应用将起到事半功倍的效果。 GPMC的起源 　　当然，并不是每个人都成功了。随着组策略的深入应用，对这些组策略的管理成了用户最大的负担，而部分用户根本无法预料他所配置的组策略会产生什么样的后果，很多时候结果大大出乎他们的意料。在微软新闻组里，恐怕最著名的组策略问题就是本地策略不允许您交互式登录。GPMC(Group Policy Management Console，组策略管理控制台)就是微软在汲取遍布全球的合作伙伴及大量客户反馈的基础上酝酿而成的。 　　GPMC由一个全新MMC管理单元及一整套脚本化的接口组成，提供了集中的组策略管理方案，可以大大减少不正确的组策略可能导致的网络问题并简化组策略相关的安全问题，解决组策略部署中的难点，减轻了IT管理员们在实施组策略时所承担的沉重包袱。 主要功能 　　在我撰写这篇文章之时，GPMC还仅仅是一个Beta 2版本，微软仍然在不断地对它进行完善，以增强它的稳定性和易用性。GPMC仅仅是微软提供给广大用户的一个实用软件包，并不隶属于微软的Server或者Application产品。下载后的GPMC安装程序只有4MB左右，真可谓小巧而实用。需要注意的是，GPMC仅能安装在带有SP1的Windows XP或者Windows Server 2003 Build 3602以后版本的计算机上，虽然它不支持安装在Windows 2000的计算机上，但您仍然可以使用它管理一个Windows 2000域中的组策略(但在支持的功能上有一定差别)。您在一台管理域的计算机上安装GPMC之后，在管理工具中会添加Group Policy Management(GPM)菜单项。当您试图使用活动目录用户与计算机管理单元编辑一个组策略时，系统将自动要求您打开GPMC来管理组策略，如图1所示。 　　GPMC除了实现一般的组策略管理任务，如创建、删除、修改外，还提供了复制、导入、备份、恢复功能。更值得一提的是，GPMC中的组策略报告功能对组策略在计算机上的生效状况提供了详细的说明。 　　首次打开GPM，仅显示为一个空白的MMC界面。首先，我们来浏览一下GPMC左边面板中提供的功能。右击Group Policy Management，从关联菜单中单击Add Forest…，输入一个现有的Windows 2000或Windows 2003域名。GPM自动连接相应的域控制器并显示当前域的组织单元层次，这个层次与您在活动目录用户和计算机管理单元中看到的一模一样。左面板中除了显示活动目录中组织单元层次外，还有4个特别引人注意的名称：Default Domain Policy、Group Policy Objects、Group Policy Results、Group Policy Modeling。我们分别来看一下这4项功能。估计很多读者从字面意思就可以意会到他们的功能。 　　Default Domain Policy。每当您创建一个Windows 2000域之后，系统自动产生两个默认的组策略对象：Default Domain Policy与Default Domain Controllers Policy(这个组策略显示在Domain Controllers容器里)。如果您连接了多个域，在这里会显示出多个域默认的域组策略。从右边面板中，您可以查看这个域组策略的设置，添加或者删除管理策略被委托的用户。图2显示的是一个典型的Default Domain Policy视图。 　　Group Policy Objects。这个对象包括当前选定域的所有组策略对象。在这里您可以完成组