组策略一.pptVIP

组策略一 ●组策略可实现的功能与基本配置 ●帐户策略、用户指派权利? ●安全模板 ●本地组策略高级应用 组策略概述 组策略概述 使用组策略可以实现的功能 帐户策略的设定 本地策略的设定 脚本的设定 用户工作环境的定制 软件的安装与删除 限制软件的运行 文件夹的转移 其他系统设定 组策略模板 组策略模板GPT实现了一系列指令，在组策略编辑器“计算机配置”和“用户配置”文件夹下导入这些管理模板文件，以实现在组策略中配置相关选项的目的。.adm文件本身并不是部署到客户端操作系统的实际设置，它只是一种模板文件。.adm文件存储在两个位置：GPO内部和本地计算机上的 %windir%\inf文件夹中 (1)System.adm：默认安装在“组策略”中，用于系统设置 　 (2)Inetres.adm：默认安装在“组策略”中，用于Internet 　　Explorer(IE)策略设置。 　 (3)Wmplayer.adm：用于Windows Media Player设置。 　 (4)Conf.adm：用于NetMeeting设置。 (5)Wuau.adm：Windows Update设置模板文件。 组策略的应用时机 计算机配置：计算机开机时自动启用，域控制器默认每隔5分钟自动启用，非域控制器默认每隔90-120分钟自动启动，此外不论策略是否有变动系统每隔16小时自动启动一次。 用户配置：用户登录时自动启用，系统默认每隔90分钟自动启动，此外不论策略是否有变动系统每隔16小时自动启动一次。手动启动组策略的命令是：gpupdate /target:compute /force 组策略的处理顺序 组策略的配置是累加的。 应用的顺序：本地组策略对象→站点的组策略对象→域的组策略对象→组织单元的组策略对象。后面策略覆盖前面策略。 ★禁止使用【命令提示符】 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【系统】项，启用【阻止访问命令提示符】策略，并选择【也停用命令提示符脚本处理】项。 ★禁止更改显示属性 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【控制面板】|【显示】项，可根据需要启用【隐藏桌面选项卡】、【隐藏主题选项卡】、【隐藏保护程序选项卡】、【隐藏设置选项卡】等策略，来隐藏相关属性的选项卡，用户将无法再对桌面属性进行更改。 ★禁用注册表编辑器 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【系统】项，启用【阻止访问注册表编辑工具】策略，禁止用户启动注册表编辑器。 使用组策略配置用户环境 所谓组策略，就是基于组的策略。它以Windows中的一个MMC管理单元的形式存在，可以帮助系统管理员针对整个计算机或是特定用户来设置多种配置，包括桌面配置和安全配置。譬如，可以为特定用户或用户组定制可用的程序、桌面上的内容，以及“开始”菜单选项等，也可以在整个计算机范围内创建特殊的桌面配置。简而言之，组策略是Windows中的一套系统更改和配置管理工具的集合。 组策略是管理员为计算机和用户定义的，是用来控制应用程序、系统设置和管理模板的一种机制。简单地说，组策略就是介于控制面板和注册表之间的一种修改系统、设置程序的工具。 其实简单地说，组策略设置就是在修改注册表中的配置。组策略高于注册表，当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。 方法1：单击【开始】|【运行】命令，输入gpedit.msc，单击【确定】按钮，打开当前计算机的组策略。 方法2：单击【开始】|【运行】命令，输入MMC，单击【确定】按钮，打开 Microsoft 管理控制台，添加【组策略对象编辑器】，选择所需的组策略对象，打开要编辑的组策略对象。 启动组策略的方法 组策略界面 组策略主界面共分为左右两个窗格，左边窗格中的【“本地计算机”策略】由【计算机配置】和【用户配置】两个子项构成，右边窗格中是针对左边某一配置可以设置的具体策略 组策略对象 组策略的基本单元是组策略对象GPO,它是一组设置的组合。有两种类型的组策略对象：本地组策略对象和非本地组策略对象，即基于Active Directory的GPO和本地GPO。组策略作用范围：由它们所链接的站点、域或组织单元启用。 1.计算机配置 计算机配置包括所有与计算机相关的策略设置，它们用来指定操作系统行为、桌面行为、安全设置、计算机开机与关机脚本、指定的计算机应用选项以及应用设置。 2.用户配置 用户配置包括所有与用户相关的策略设置，它们用来指定操作系统行为、桌面设置、安全设置、指定和发布的应用选项