组策略培训课程.pptxVIP

组策略;主要内容;8.1 组 策 略 概 述; 组策略可以针对站点、域和组织单位设置。这些组策略的数据存储在活动目录内（域控制器“%systemroot%\SYSVOL\sysvol\域名\Policies”目录下）。;8.1.1 组策略简介; 用户配置：当用户登录时，就会根据“用户配置”的内容来设置用户的工作环境。针对站点、域或组织单位设置组策略，则此组策略会被应用到站点、域或组织单位内的所有用户。; 本地组策略: 它是针对每一台Windows 2000 Serve所进行的设置。本地组策略数据存储在本地计算机的“%systemroot%\system32\GroupPolicy” 目录内，只针对本地计算机和本地用户。;8.1.2 组策略的应用顺序与规则 如果在本地计算机、站点、域和组织单位内分别设置了组策略，则这些组策略的应用顺序为： 本地组策略（即本地安全策略，存储在本地计算机内）； 站点的组策略； 域的组策略； 组织单位的组策略（后3项的数据存储在活动目录内）。; 具体的应用规则说明如下: （1）如果在父容器内建立了一个组策略，但是并未在子容器建立组策略，则子容器会继承在父容器内所建立的组策略。 （2）如果另外在子容器内建立了组策略，在默认情况下子容器的组策略则要取代父容器的组策略。;（3）如果父容器未被设置组策略，则子容器不会继承父容器的组策略。 （4）如果父容器设置了组策略，但是子容器内的组策略并未设置，则子容器会继承父容器的组策略。; 存在这样一些机制：用户可以强制继承或阻止组策略对象影响用户组和计算机组，这可以通过“禁止替代”和“阻止策略继承”的设置来实现。 特别要指出的是，组策略不影响安全组。但是可以使用安全组来过滤组策略，也就是改变它的范围。;8.1.3 组策略的继承 一、阻止组策略继承 在子容器组策略内，可以通过“阻止策略继承”复选框来设置不要继承由父容器传递的组策略设置，也就是直接以子容器的组策略为其设置。;二、强迫继承策略 在父容器的组策略内，可以通过“禁止替代”复选框来强迫子容器必须继承由父容器传送的组策略设置，而不管子容器的组策略内是否设置了“阻止策略继承”，即“强迫继承”策略的???先级要高于“阻止策略的继承”。;8.1.4 组策略和AD ; 访问本地GPO的方法: MS-DOS命令窗口：gpedit.msc MMC控制台中选择GPO插件;8.2 组策略对象 ;二、利用“Active Directory用户和计算机”设置组策略;8.2.1 更改组策略 在默认情况下，只有某些组内的用户账户（如administrators组内的账户）才可以在域控制器上登录，而一般用户无法在域控制器上登录。 ;8.2.2 测试“在本地登录”策略是否正常 策略设置好后，并不是立即生效，因为针对域所设置的策略，此域内的计算机（包括域控制器）往往并不会立即读取到此策略。为了使设置的组策略能够在某台计算机上生效，必须利用以下3种方式之一来达到目的。;8.2.2 测试“在本地登录”策略是否正常;图8-3 打开组策略;测试组策略的效果;8.3 管理模板策略的设置;8.3.1 建立组织单位与用户账户;图8-4 新建对象;8.3.2 设置与测试组策略的替代功能; 然后再在“School”子组织单位中建立一个新的GPO，利用“Lili”登录来验证在子容器中设置的组策略是否替代了父容器中的组策略。;一、设置“Beijing”组织单位的“GPO” 二、测试组策略的应用 三、测试组策略在子组织单位中的应用 四、设置School的组策略 五、测试School子组织单位组策略的应用 ;8.3.3 拒绝继承组策略 在子组织单位的GPO内，若有些策略被设置为“未被配置”，则子组织单位内的这些设置将继承父组织单位内的设置。但是却可以在子组织单位的GPO内，通过“阻止策略继承”复选框，将子组织单位的GPO设置为不要继承父组织单位的设置。;8.3.4 强迫继承组策略 用户可以在父组织单位内，设置强迫其所有的子组织单位必须继承父组织单位的GPO设置。那就是父组织单位的“禁止替代”功能。通过GPO的“选项”按钮打开如图8-5所示的对话框，进行设置。;图8-5 继承组策略;8.4 账户策略的设置;二、设置账户策略的步骤 开始?程序?管理工具?Active Directory用户和计算机 在域或组织单位?右键属性?组策略?选定GPO?编辑;图8-6 账户策略;8.4.1 密码策略 密码策略包含多个与用户账户的密码有关的选项，如图8-7所示：;8.4.2 账户锁定策略 单击图8-7窗口中的“账户锁定策略”，显示如图