Windows网络服务器配置与管理-提高篇 第5章 实现组策略.pptVIP

第5章 实现组策略 介绍组策略 组策略结构 使用组策略 在 Active Directory 中实现组策略设定 修改组策略继承 GPO 实现的策略 组策略的委托管理控制 组策略的监视错误诊断 最佳实践 5.1 介绍组策略 集中式的网络策略以及分级的 OU 策略 通过组策略为用户设定统一的工作环境 通过控制用户和计算机环境，降低总拥有成本 强制性地实现企业的策略 5.2 组策略结构 组策略设置的类型 组策略对象 计算机和用户的组策略 组策略对象和 Active Directory 容器 5.2.1 组策略设置的类型 5.2.2 组策略对象 5.2.3 计算机和用户的组策略 计算机策略 操作系统行为、桌面行为、安全设定、计算机启动和关闭脚本、计算机指派应用程序选项和应用程序设定 计算机策略的实现在操作系统初始化或定期更新时 用户策略 操作系统行为、桌面行为、安全设定、指派和发布应用程序的选项和应用程序设定、目录的重定向、用户登录、注销脚本 用户策略的实现是在登录或定期更新时 5.2.4 组策略对象和 Active Directory 容器 如果你在站点、域、OU上实现组策略，那么必须将这些容器和适当的 GPO 连接起来 可以在一个 Active Directory 的容器上连接多个 GPO 可以将一个 GPO 连接到多个 Active Directory 容器上 在 Active Directory 中的默认容器上不能连接 GPOS 5.3 使用组策略 创建连接的组策略对象 创建无连接的组策略对象 连接一个已存在的组策略对象 指定一个域控制器来管理组策略对象 5.3.1 创建连接的组策略对象 创建并连接 AD 容器 使用“Active Directory用户和计算机”创建连接到域、组织单位的组策略对象 使用“Active Directory站点和服务”创建连接到站点的组策略对象 创建无连接的组策略对象 5.3.2 连接一个已存在的组策略对象 5.3.3 指定一个域控制器来管理组策略对象 默认情况下，PDC 模拟器的 DC 将管理组策略的创建和修改 可以指定一台 DC 管理组策略对象 指定一个域控制器来管理组策略对象（续） 指定一个域控制器来管理组策略对象 5.4 在 Active Directory 中实现组策略设定 组策略继承 组策略的处理方式 控制组策略的处理过程 组策略和慢速连接 解决组策略之间的冲突 课堂讨论 组策略的实现 5.4.1 组策略继承 子容器继承父容器的组策略设置 组策略继承 例外情况： 本地GPO 禁止替代 阻止继承 环回 替代环回 合并环回 5.4.2 组策略的处理方式 GETGPOLIST 的 WIN32 函数决定启动时计算机执行哪些计算机相关的设置，以及登录时执行哪些用户相关的设置 组策略的处理方式 组策略设置顺序 修改GPO顺序 指定阻止继承 设置禁止替代 启用环回 5.4.3 控制组策略的处理过程 同步和异步处理 默认情况下，组策略的处理是同步的 可以将组策略的处理改为异步方式 控制组策略的处理过程（续） 设置组策略刷新间隔 默认 Windows 2000 成员服务器和 Professional 计算机 90 分钟刷新一次策略 默认域控制器 5 分钟刷新一次策略 控制组策略的处理过程（续） 处理无变化的策略设置 可以设置客户端扩展（DLL ）每一次刷新时将所有的组策略设置再执行一次 组策略和慢速连接 组策略能够检测链路的速度是否太慢，从而决定是否要优化组策略的应用 这种检测是建立在 500 Kbps 的比较上的，系统用一个特定的算法来判定线路的状况 如果系统认为线路过慢，那么将采取优化措施 5.4.4 解决组策略之间的冲突 没有冲突，那么所有的 GPOS 都要应用 如果父系的 GPOS 和子系 GPOS 有冲突，以子系为准 一个容器上有多个 GPOS，以优先级为准 计算机的设置覆盖用户的设置 课堂讨论 组策略的实现 课堂讨论 组策略的实现（续） 5.5 修改组策略继承 启用阻止策略继承 启用禁止替代 过滤组策略设置 5.5.1 启用阻止策略继承 阻止策略继承 可以阻止从父系的组策略继承设置 不能挑选阻止特定的组策略 如果父系上的组策略设置“禁止替代”， 则不生效 5.5.2 启用禁止替代 禁止替代 覆盖阻止策略继承 建议在 AD 的高层设置 同级的多个组策略设置了防止替代，以优先级高的为准 层次高的防止替代有效 用于强制推行企业策略 5.5.3 过滤组策略设置 5.6 GPO 实现的策略 分层 GPO 和单 GPO 设计的比较 职能角色和小组设计的关系 带有集中或分散控制的OU委派