ADDS架构-第03部分OU、组策略规划及部署.pptVIP

将组策略应用于新用户和计算机帐户 默认情况下，新用户和计算机帐户是在 CN=Users 和 CN=Computers 容器中创建的。 Redirusr.exe（用于用户帐户）和 Redircomp.exe（用于计算机帐户）是 Windows Server?2008 附带提供的两个工具。可以使用这些工具更改新用户和计算机帐户的默认创建位置，以便更轻松地为新创建的用户和计算机对象直接指定 GPO 作用域 第三十页，共三十四页。 组策略和 Sysvol GPO 中的策略设置信息存储在以下两个位置：Active Directory 和域控制器的 Sysvol 文件夹。Active Directory 容器称为组策略容器；Sysvol 文件夹中包含组策略模板。 组策略容器包含用于将 GPO 部署到域、OU 和站点的属性。组策略容器还包含组策略模板的路径，该模板存储了大多数组策略设置。 第三十一页，共三十四页。 管理模板 组策略中提供大量的设定使管理员可以通过一次设定,管理多台计算机或者多个用户 组策略中很大一部分设定实际上是改的注册表 管理模板(.ADM)文件定义了组策略如何修改注册表 所有基于注册表的组策略设定存为registry.pol ,放在sysvol中 第三十二页，共三十四页。 组策略首选项 组策略首选项是 Windows Server?2008 操作系统中的新增功能，包括 20 多个新的组策略扩展，扩大了组策略对象 (GPO) 中可配置设置的范围。这些新的扩展位于组策略管理控制台 (GPMC) 的“组策略管理编辑器”窗口中的新首选项下面。新组策略首选项扩展的示例包括文件夹选项、映射驱动器、打印机、计划任务、服务以及「开始」菜单设置 要求在客户端计算机上安装客户端扩展 (CSE) 集 第三十三页，共三十四页。 内容总结 第03部分。组织单位（OrganizationalUnit）是从Windows 2000之后才出现的对象,在AD域的逻辑架构中担任重要的角色。在Windows NT的时代,域（Domain）是组织和管理网络的最小单位。倘若不同的部门有不同的安全需求与管理方式,往往因此得将整个公司划分成多个域。用户、计算机、组、打印机、共享文件夹。联络人、组织单位、InetOrgPerson、MSMQ路由别名。一个用户可以隶属于多个组,但是只能隶属于一个组织单位。如何规划组织单位的架构,是一个颇有挑战性的课题。委派的对象：委派给谁。组策略容器还包含组策略模板的路径，该模板存储了大多数组策略设置。组策略首选项 第三十四页，共三十四页。 重点： 掌握常见组策略的管理方法； 注意： 如果配置组策略中出现问题需要考虑的一个方面就是组件之间的依存关系； 例如，“组策略软件安装”依赖于组策略，而组策略又依赖于 Active Directory，Active Directory 依赖于网络服务的正确配置； 在修复某一组件出现的问题时，检查其所依赖的组件、服务和资源是否正常工作通常会有帮助； 事件日志对于跟踪由于依存关系而产生的问题非常有用。 你可以同过使用组策略对像（GPO）来实现组策略。WINDOWS 2003 在与GPO关联的容器上实现组策略。 GPO存储在两个不同的地方： 1．??? 组策略容器（GPC）GPC是AD中的一个对像，用于存储组策略的 属性和版本信息。因为GPC存储在AD中，所以客户计算机可以 通过它找到则策略模板（GPT），而DC可以通过访问它获得版本 信息。 ? DC使用版本信息来确保自己拥有最新的GPO，否则就发生DC的 同步复制。 注：打开AD用户和计算机视图上的“高级特征”选项。 域-----SYSTTEM----POLICIES ? 2. 组策略模板（GPT）GPT是DC上的共享SYSVOL目录中的一个目 ??????????? 录层次。当你创建GPO时，WINDOWS 2003自动创建相应的GPT。 ??????????? GPT包含所有的组策略设置和信息，包括管理模板、安全、软件安 ??????????? 装、脚本合目录重定向。客户计算机连结到SYSVOL目录来取得设 ??????????? 置。 GPT用全球唯一标识（GUID）命名。用于唯一标识GPC中的GPO。 该路径在DC的SYSTEMROOT\SYSVOL\SYSVOL中。 重点： 掌握打开组策略对象编辑器的方法； 注意： 可以通过 gpedit.msc 打开组策略对象编辑器； 课堂提问： 本地组策略对象存储位置？ Systemroot\Sys