组策略与组策略管理.docxVIP

第1章组策略与组策略管理 教学提示：组策略是Windows server 2003系统中功能最为强大的基础技 术，也是在实际中应用最广泛的技术；网络管理人员最得力的助手。通过组策略 可以很方便地对系统进行管理，尤其是在域模式下组策略的功能更加如虎添翼。 教学目标：本章目的是学习组策略的基本操作；熟练运用组策略来实现域 模式下多计算机软件分发任务。熟练使用组策略对系统进行安全加固的方法。 1.1组策略概述 1.1.1 何谓组策略 所谓策略(Policy),是Windows中的一种自动配置桌面设置的机制。所谓组策略(Group Policy),顾名思义，就是基于组的策略。它以Windows中的一个MMC管理单元的形式存在, 可以帮助系统管理员针对幣个汁算机或是特定用八來设置多种配置，包括桌而配置和安全配 置。譬如,可以为特定用户或用户组定制可用的程序、桌面上的内容,以及“开始”菜单选 项等，也可以在整个计算机范围内创婕特殊的桌而配置。简而言之，组策略是Windows中的 一套系统更改和配置筲理工具的集合。简单点说，组策略就是修改注册表中的配置。当然, 组策略使用口己更完善的管理组织方法，可以对各种对彖中的设置进行管理和配置，远比手 工修改注册表方便、灵活，功能也更加强大。 1丄2 组策略编辑器及组策略基本功能 您只需单击选择【开始】一【运行】命令，在【运行】对话框的【打开】栏中输 入“gpedit.msc”,然后单击“确定”按扭即可启动windows2003组策略编辑器。(注：这 个“纽策略”程序位于“C:\WINNT\SYSTEM32”中，文件名为“gpedit.msc”。) 图13-1组策略编辑器窗口 在打开的组策略窗口中(如组策略图所示)，可以发现左侧窗格中是以树状结构 给出的控制对象，右侧窗格中则是针对左边某一配置可以设置的具体策略。另外，您或许已经注意到，左侧窗格中的【木地计算机】策略是由【计算机配置】和【用户配 置】两大子键构成，并且这两者中的部分项目是重复的，如两者下而都含有【软件设 置】、［Windows设置】等。那么在不同子键下进行相同项目的设置有何区别呢？这 里的【计算机配置】是对整个计算机中的系统配置进行设置的，它对当前计算机中所 有用户的运行坏境都起作用；而【用户配置】则是对当前用户的系统配置进行设置的， 它仅对当前川户起作川。例如，二者都提供了“停用自动播放”功能的设置，如果是在 【计算机配置】中选择了该功能，那么所有川户的光盘自动运行功能都会失效；如果 是在【川户配置】中选择了此项功能，那么仅仅是该川户的光盘自动运行功能失效， 其他川户则不受影响。设置时需注意这一点。 组策略功能具有强人的功能，一般常川组策略来实现软件分发、IE维护、软件限 制、脱机文件、安全设置、漫游配置文件、文件夹垂定向、基于注册表的设置、计算 机和用户脚本等。接下来重点以组策略实现软件分发和组策略实现软件限制以包安全 为例讲述组策略的具休应用。 1.2组策略实现软件分发 在域模式下，通过组策略来实现软件分发非常方便快捷，在开始菜单里选择【程 序】f【管理工具】［Active Directory用户和计算机】,打开［Active Directory 用户和计算机】。 -^^Active Directory 用P -^^Active Directory 用P和计算机 形 文件g)操作@)查看(V)窗口址)帮助@) Active Directory用户和计算机 O保存的查询 自?零 Active Directory用户和计算机 O保存的查询 自?零 田???缸］Builtin doitok. com 田?Q Computers 田应］Domain Con trolle 田_| ForeignSecurityPrincipal 田???鉉］Users doitok. com 5个对象 名称 I类型 I描述 IBuiltin builtinDomain HCornp ut ers 容器 Default containwr ￡o.?? ^IDomain Con. .组织单位 Default contginer ￡o.?? _JForei gnSec. ?容器 Default containwr ￡o.?? □ Users 容器 Default contginer ￡o.?? 图13?2活动目录用户和计算机窗口 可在此选择整个域或者某组织单元，右击选择【属性】，在【组策略】页中，点 【新建】组策略，命名为“软件分发”。 tok. cob 屋性 常规I管理者组策略丨 哉 doitok的当前组策略对象犍接 列表中较高位置的组策略对象具有最高的忧先权o 由 bi eml 19de43au3. doitok. com 列表中较高位置的组策略对象具