Windows Server 2022活动目录管理实践( 第2版 微课版)-课件项目19 通过组策略限制计算机无法使用系统的部分功能.pptx

项目19通过组策略限制计算机无法使用系统的部分功能

组策略组策略结构计算机用户的策略设置组策略对象和活动目录容器组策略的继承性和应用顺序目录

组策略

组策略的基本概念组策略是一组策略的集合，通过这组策略，管理员可以加强通过活动目录数据库在站点域或组织单位中配置用户计算机的能力。它提供了操作系统、应用程序和活动目录中用户设置的集中化管理和配置。

组策略的组成部分组策略对象（GPO）GPO是组策略的核心，包含所有策略设置，并由唯一标识符GUID在系统中识别。组策略容器（GPC）GPC存储GPO属性与版本于活动目录，客户端从中获取GPO元信息和配置路径。

组策略模板（GPT）GPT存储GPO设置值和相关文件，包含计算机和用户策略配置，位于域控制器共享卷中。

组策略结构介绍jan16公司基于活动目录管理用户和计算机，公司域管理员需要管理1000多个用户和500多台计算机。域管理员在日常管理和维护中通常需要做大量的工作，举例如下：（1）在公司的所有客户机上部署安装一个公司内部生产系统的软件。（2）在所有的计算机都强制安装最新的微软补丁。（3）禁止生产部用户使用QQ软件。（4）允许在财务部的计算机上安装“管家婆”财务管理软件。

组策略结构介绍在域的日常管理与维护中，类似的工作还有很多。对于软件安装，假设每台计算机需要花10分钟，如果域管理员需要对每台计算机都进行单独安装与部署，那么500台计算机需要花费约85个小时；对于限制特定用户使用QQ软件，则需要做更多的工作。例如，卸载其固定电脑的QQ软件，监控这些用户在使用其他计算机时的应用环境，等等。其实，很多应用都是重复性的，具有可复制性，如果能选择对象（用户和计算机）进行批量的自动化操作，则可以大幅度提高域管理员的工作效率。活动目录提供了一种允许对活动目录容器内的用户和计算机进行重复性配置的工作方法，这个方法就是组策略。

组策略结构介绍组策略一旦定义了用户的工作环境，就可以依赖WindowsServer2022操作系统连续推行定义好的组策略设置。此外，还可以将组策略与活动目录容器（站点、域和组织单位）链接起来，如图所示，组策略会对这些容器中的所有用户和计算机的工作环境进行统一部署和设置。活动目录中的容器和组策略

组策略结构介绍通过组策略，可以实现以下功能。通过在站点或域级别为整个组织设置组策略来集中管理，或者在组织单元的级别为每个部门部署组策略来分散管理。确保用户有适合他们完成工作的环境。可以确保用户通过组策略设置控制注册表的应用和系统设置，修改计算机和用户环境的脚本、自动软件安装以及本地计算机、域和网络的安全设置，还可以控制用户数据文件的存储位置。

组策略结构介绍通过组策略，可以实现以下功能。降低控制用户和计算机环境的总费用，从而减少用户需要的技术支持级别和由于用户错误而引起的生产损失。例如，通过组策略可以阻止用户对系统设置做出让计算机无法正常工作的修改，还可以阻止用户安装他们不需要的软件。推行公司策略，包括商业准则、目标和保密需求。例如，可以确保所有用户的保密需求和公司保密需求保持一致，或者所有用户执行同一套软件安装需求。

组策略结构

组策略结构组策略的结构在管理用户和计算机方面具有灵活性。WindowsServer2022可以将组策略组织成不同的形式，使其变得简单，如图所示。组策略结构

组策略结构可以通过组策略配置，定义能够对用户和计算机产生影响的组策略。可以配置的组策略类型有以下几种。（1）软件设置/软件安装：包括软件安装、升级、卸载的集中化管理的设置。可以让应用程序自动在客户机上进行安装、升级和卸载，也可以发布应用程序，使其出现在“控制面板”窗口中的“添加/删除程序”中，从而为用户提供获得可安装应用程序的集中场所。组策略结构

组策略结构（2）管理模板：基于注册表的设置、桌面环境的设置等。这些设置包括用户可以获得访问的操作系统的组件和应用程序、控制面板选项的访问权限及用户脱机文件的控制等。例如，如果客户机需要推送特定的操作，但是组策略并未提供相关选项，则可以先将一台客户机需要修改的注册表项导出，然后通过组策略推送下去。组策略结构

组策略结构（3）安全性：本地计算机、域及网络的安全性设置，这些设置包括控制用户访问的网络、建立统计和审计制度及控制用户的权限，如可以设置用户在锁定之前登录失败的最多次数。（4）脚本：设置Windows开机、关机，以及用户登录、注销时运行的脚本，可以指定脚本允许批处理、控制多个脚本、决定脚本运行的顺序。（5）IE界面：管理和定制基于Windows计算机的Internet浏览器设置。组策略结构

组策略结构（6）文件夹重定向：在网络服务器上存储用户配置文件的文件夹设置。这些设置会在配置文件中创建一个和网络共享文件夹的链接，但文件在本地显示。用户可以在域