windows_2008_组策略管理.docVIP

Windows2008组策略管理 目 录 Windows2008组策略管理 1 一、 导读 1 二、 组策略概述 2 三、 组策略基础架构 2 1 计算机配置部分 3 2 用户配置部分 5 四、 本地组策略和域组策略 6 1. 本地组策略 6 2. 域组策略 7 五、 组策略的管理和维护 8 1. 创建组策略 8 2. 链接组策略 10 3 组策略应用顺序 11 4 组策略的阻止和强制继承 12 5 组策略备份 13 六、 组策略应用场景举例 15 1. 应用组策略设置用户工作环境 15 2. 应用组策略配置高级安全Windows防火墙 22 3. 应用组策略实现软件部署 26 4. 应用组策略实现QoS带宽管理 30 七、 组策略管理控制台使用进阶 36 1. 使用策略结果分析策略应用情况 36 2. 使用组策略建模模拟策略应用结果 39 八、 参考资料 43 导读 组策略的构成 组策略的生效规则及顺序 组策略在实际管理环境中的应用举例 检查策略结果 组策略概述 在Windows Server 2008和Windows Vista的环境中,组策略在功能特性都有了不少的扩大与加强。目前已有了超过5000个设置，拥有更多的管理能力。使组策略来简化IT环境管理，已成为用户必须了解的技术。 实际上组策略是一种让管理员集中计算机和用户的手段或方法。组策略适用于众多方面的配置，如软件、安全性、IE、注册表等等。在活动目录中利用组策略可以在站点、域、OU等对象上进行配置，以管理其中的计算机和用户对象，可以说组策略是活动目录的一个非常大的功能体现。 通过此章的学习，将让您更擅长、高效的管理组策略的设计、实施、应用和排错。 组策略基础架构 如图所示组策略分为两大部分：计算机配置和用户配置。每一个部分都有自己的独立性，因为他们配置的对象类型不同。计算机帐户部分控制计算机帐户，同样用户配置部分控制用户帐户。其中有部分配置在计算机部分拥有在用户部分也有同样的配置，他们是不会跨越执行的。假设某个配置选项你希望计算机帐户启用、用户帐户也启用，那么就必须在计算机配置和用户配置部分都进行设置。总之计算机配置下的设置仅对计算机对象生效，用户配置下的设置仅对用户对象生效。 计算机配置部分 展开计算机配置部分你会看到如图 有三个主要的部分: 软件设置 这一部分相对简单,它可以让你实现MSI、ZAP等软件部署分发。 Windows设置 这一部分更复杂一些，包含很多子项，如图 子项都提供很多选择，账户策略能够对用户账户密码等进行管理控制；本地策略则提供了更多的控制如审核、用户权利、以及安全设置。特别是安全设置包括了超过75个的策略配置项。还有其它的地一些设置，如防火墙设置、无线网络设置、PKI设置、软件限制等等。 管理模板 这一部分使设置项最多的，包含各式各样的对计算机的配置。如图 这里有五个主要的配置管理方向，Windows组件、打印机、控制面板、网络、系统。其中包含了超过1250个设置选项，涵盖了一台计算的非常多的配置管理信息。 用户配置部分 用户配置部分类似于计算机配置，主要不同在于这一部分配置的目标是用户账户的，而相对于用户账户而言会有更多对用户使用上的控制。如图所示 这一部分同样也包含三大部分 软件设置 我们可以通过在这里配置实现针对用户进行软件部署分发。 Windows设置 这一部分就与计算机配置里的Windows设置有了很多的不同，如图 可以看到其中多了“远程安装服务”“”、“文件夹重定向”、“IE维护”等，而在安全设置中只有“公钥策略”和“软件限制”“。 管理模板 在这一部分展开后，你会发现比起计算机配置里的管理模板这里有更多的配置，如图： 用户部分的管理模板可以用来管理控制用户配置文件，而用户配置文件是可以影响用户对计算机使用体验，所以这里面出现了““开始菜单”“、”桌面“、”“任务栏”、“共享文件夹”等配置。 本地组策略和域组策略 本地组策略 Windows 2000、windows xp、windows vista、windows 2003、windows 2008等等计算机都有且只有一份本地组策略。本地组策略的设置都存储在各个计算机内部，不论该计算机是否属于某个域。本地组策略包含的设置要少于非本地组策略的设置，像在“安全设置”上就没有域组策略那么多的配置，也不支持“文件夹重定向”和“软件安装”这些功能。 在任意一台非域控制器的计算机上编辑管理本地组策略步骤如下： 1）在开始菜单中运行，输入MMC 2）在MMC控制台点击“文件”“，再点击“添加删除管理单元” 3）在列表中选择“组策略对象编辑器”，并点击添加 4）在向导界面上默认出现“本地计算机策略“，点击完成，点击确定 5）展开“本地计算机策略“，展开”计算机配置“、”用户配置“