下载文档原格式
图文并茂2003域控制器教程(辅域控)应广大网友要求-图文并茂2003域控制器教程乎之欲出-有更新经过一段时间的调试`2003域控制器可以说是大功告成啦``大家也知道工作组模式问题多多`经常出现什么访问不到啦`找不到网络路径啦`烦死人了`现在只要采用域控制`这些问题会少很多很多``域控制服务器教程把一台成员服务器提升为域控制器(一) 目前很多公司的网络中的PC数量均超过10台:按照微软的说法，一般网络中的PC 数目低于10台，则建议建议采对等网的工作模式，而如果超过10台，则建议采用域的管理模式，因为域可以提供一种集中式的管理，这相比于对等网的分散管理有非常多的好处，那么如何把一台成员服务器提升为域控?今天就来说说吧``如有不对的地方希望大家说出来一起进步：服务器采用Windows2003Server为例，客户端以XP为例（专业版，home版的不支持）。
域控制器名字：serverIP：192。
168。
88。
119子网掩码：255。
255。
255。
0网关：192。
168。
88。
159（当然，这些可以根据具体需要设置）DNS：192。
168。
88。
119(因为我要把这台机器配置成DNS服务器，升级成DC以后首选DNS 变成127。
0。
0。
1不用怕`这是正常的)由于Windows Server 2003在默认的安装过程中DNS是不被安装的，所以我们需要手动去添加，添加方法如下:“开始—设置—控制面板—添加删除程序”，然后再点击“添:加/删除Windows组件”，则可以看到如下画面向下拖动右边的滚动条，找到“网络服务”，选中:按此在新窗口浏览图片默认情况下所有的网络服务都会被添加，可以点击下面的“详细信息”进行自定义安装，由于在这里只需要DNS，所以把其它的全都去掉了，以后需要的时候再安装:按此在新窗口浏览图片然后就是点“确定”，一直点“下一步”就可以完成整个DNS的安装。
在整个安装过程中请保证Windows Server 2003安装光盘位于光驱中，否则会出现找不到文件的提示，那就需要手动定位了。
［技巧］gpedｉt.mｓｃ组策略应用大全gpedit.mscﻫ组策略应用全攻略ﻫ一、什么是组策略ﻫ（一)组策略有什么用？说到组策略,就不得不提注册表。
注册表是Windows系统中保存系统、应用软件配置的数据库,随着Wiｎdoｗs功能的越来越丰富，注册表里的配置项目也越来越多。
很多配置都是可以自定义设置的，但这些配置发布在注册表的各个角落，如果是手工配置,可想是多么困难和烦杂。
而组策略则将系统重要的配置功能汇集成各种配置模块，供管理人员直接使用,从而达到方便管理计算机的目的。
ﻫ简单点说，组策略就是修改注册表中的配置。
当然,组策略使用自己更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活,功能也更加强大。
(二)组策略的版本ﻫ大部分Wiｎdｏws 9X/NT用户可能听过“系统策略”的概念，而我们现在大部分听到的则是“组策略”这个名字。
其实组策略是系统策略的更高级扩展，它是由Wｉndows 9X／NT的“系统策略”发展而来的,具有更多的管理模板和更灵活的设置对象及更多的功能，目前主要应用于Ｗiｎｄows 2０0０/XP/２0０３系统。
早期系统策略的运行机制是通过策略管理模板,定义特定的．ＰOＬ(通常是Confｉg．ｐol）文件。
当用户登录的时候，它会重写注册表中的设置值。
当然,系统策略编辑器也支持对当前注册表的修改，另外也支持连接网络计算机并对其注册表进行设置。
而组策略及其工具，则是对当前注册表进行直接修改。
显然,Wｉndows 2000/ＸP/２003系统的网络功能是其最大的特色之处，其网络功能自然是不可少的,因此组策略工具还可以打开网络上的计算机进行配置,甚至可以打开某个ActivｅDiｒｅctｏry 对象(即站点、域或组织单位）并对它进行设置。
这是以前“系统策略编辑器”工具无法做到的。
无论是系统策略还是组策略，它们的基本原理都是修改注册表中相应的配置项目,从而达到配置计算机的目的，只是它们的一些运行机制发生了变化和扩展而已。
Windows2003域控基本策略对于运行Microsoft Active Directory目录服务的Microsoft Windows Server 2003计算机，域控制器服务器是在任何环境下都应当确保其安全性的重要角色。
对于依赖域控制器完成身份验证、组策略、以及一个中央LDAP（轻量级目录访问协议）目录的客户机、服务器以及应用软件而言，IT环境中域控制器的任何损失或信息泄密都可能是灾难性的。
由于其重要性，域控制器应当总是被安置在物理上安全的地点，仅允许有资格的管理人员访问。
当域控制器必须安置在不太安全的地方时，例如分支办公室，应当调整相关的安全性设置以限制来自物理访问威胁的潜在损害。
域控制器基线策略与本指南后面将要介绍的其他服务器角色策略不同，域控制器服务器的组策略是一种基线策略，与第三章“创建成员服务器基线”所定义的成员服务器基线策略（MSBP）属于同一类。
域控制器基线策略（DCBP）与域控制器组织单位（OU）密切相连，并且优先于缺省的域控制器策略。
包括在DCBP中的设置将增强任何环境下域控制器的总体安全性。
大多数DCBP是MSBP的直接拷贝。
由于DCBP建立在MSBP基础之上，读者应当仔细复习第三章“创建成员服务器基线”，以便充分理解同样包括在DCBP中的许多设置。
本章仅仅讨论那些没有包括在MSBP中的DCBP设置。
域控制器模板专门设计用来满足本指南所定义三种环境的安全需要。
下表显示了包括在本指南中的域控制器.inf 文件以及这些环境相互之间的关系。
例如，文件Enterprise Client –Domain Controller.inf是企业客户机环境下的安全性模板。
表 4.1: 域控制器基线安全性模板注意：将一个配置不正确的组策略对象链接到Domain Controllers OU（域控制器组织单位）可能会严重阻碍域的正常操作。
在导入这些安全性模板时应当十分小心，在将GPO到链接到Domain Controllers OU之前，应该确认导入的所有设置都是正确的。
第四章：实现组策略主要内容：✧在域中实现组策略✧修改组策略的继承✧通过组策略来设置脚本✧配置文件来重定向✧确定应用组策略第一节：在域中实现组策略1、什么是组策略定义：是对域中一组计算机或用户各种设置的集合。
包括：桌面设置、软件设置、安全设置组策略可以设置在三种对象上，这三对象分别是：站点、域、OU。
组策略可以被继承。
2、创建管理管理组策略的工具：两种管理工具分别是：✧Install group plicy management console (GPMC):该工具可管理组策略的备份、存储、生成报表等。
默认时集成了所有组策略功能。
只不过它是一个下载工具。
你可以到微软的网站去下载。
✧活动目录的管理工具：活动目录的用户和计算机可以管理域中的用户和计算机。
活动目录的站和服务可以管理域的站点。
3、如何创建组策略：演示组策略设置的过程。
4、组策略生效的时间：✧对用户的设置的策略：在用户注销或登录时生效✧对计算机设置和策略：计算机在重启时会生效。
第二节：修改组策略的继承1、如何解决组策略冲突组策略是可以被继承的，当在域中不同的组策略对象上设置组策略时，就有可以发生冲突。
如何解决这种冲突呢？系统会按照子容器优先的策略进行设置。
2、阻止组策略的继承：默认时子容器是继承父容器的组策略，但如果子容器不想继承父容器策略时，我们可以设置阻止继承。
见操作3、如何强制组策略的实施：这种策略可保证公司完全统一。
见操作4、组策略的过滤设置：在用户所在的OU上，右键盘：属性：安全：选择要过滤的用户：应用组策略上：拒绝。
第三节：通过组策略来设置脚本1、什么是组策略设置脚本什么是脚本：就是一些可执行程序。
如：.bat .exe 和windows server 2003所支持的各种脚本语言。
通过使用脚本可完成一些组策略本身所不能完成一些功能。
比如：为用户在环境变量，为用户在桌面设置快捷方式等。
组策略实现脚的类型：✧启动脚本：在计算机启动时执行的脚本✧关机脚本：计算机关闭时执行的脚本✧登录脚本：用户在登录时执行的脚本✧注销脚本：用户在注销时执行的脚本例如：set objnetwork = wscript.createobject(“work”) Objnetwork.mapnetworkdrive”k:”,”\\computername\sharename\name”如何使用组策略来指派脚本:操作演示。
在域组策略中实现映射网络驱动器一、把下面代码复制到记事本中，并保存文件名为“logon.vbs”Set WshNetwork = WScript.CreateObject("work")set wshshell=WScript.CreateObject("WScript.shell")WScript.sleep 3000WshNetwork.MapNetworkDrive "z:","\\X.X.X.X\XXXX"二、在AD用户和计算机中的域名上右击，选择属性。
三、在弹出的窗口中选择组策略选项卡——点击编辑按钮——在跳出的默认域策略窗口中选择用户配置——Windows设置——脚本（登陆/注销）——登陆属性——点击显示文件按钮，把logon.vbs复制到弹出的文件夹中——点击添加按钮——点击浏览按钮把刚才复制的logon.vbs脚本文件添加进去——点击确定按钮。
添加共享打印机Set WshNetwork = WScript.CreateObject("work") Wshnetwork.addWindowsPrinterConnection "\\pc-hp1020"Wshnetwork.SetDefaultpritner "\\pc-hp1020"自动映射网络驱动器:Set WshNetwork = WScript.CreateObject("work") WshNetwrok.RemoveNetworkDrive "z"WshNetwork.MapNetworkDrive "z:","\\X.X.X.X\XXXX"@echo offcolor f2mode con cols=71 lines=10echo **********************************************************************echo ********将添加网络驱动器到本地倒数第一个可用盘符(一般为Z：)***********echo **********************************************************************echo@echo offnet use * \\Server\share P@ssw0rd /user:Domain\sharer /PERSISTENT:nonet use x: \\servername\sharename /y删除用：net use x: /dnet usr z: \\192.168.2.1\mcse passwoed /user:username可以通过下面的方法来实现：1、首先在域中建立一个文件服务器，然后在该文件服务器上创建一个共享文件夹，然后为每个域账号设置不同的NTFS权限和共享权限，比如账号A只有查看的权限，账号B拥有写的权限；2、在客户端client1上使用域账号A登录，右键点击我的电脑，选择映射网络驱动器，指定驱动器的名称，然后点击浏览，查找文件服务器和共享文件夹，请选中登录时重新连接。
windows 2003 域密码策略设置在域控制器上的开始菜单中打开“运行”，输入DSA.MSC后回车，即打开活动目录的用户和计算机管理控制台。
在域节点右键，进入属性，打开组策略选项卡，在里边找到Default Domain policy这个GPO选中他，点击下面的编辑，现在就会打开组策略编辑器，在这个组策略编辑器中找到一下路径：计算机配置-WINDOWS设置-安全设置-帐户策略-密码策略。
在这个路径下找到“密码必须符合复杂性要求”设置为禁用，“密码长度最小值”设置为0。
这样你就可以创建空密码的用户帐户了（当然在这里你也可以为你的域设置你自己需要的密码策略），完成了以上设置后并没有完，还有最后一步，就是在开始菜单的运行中输入“GPUPDATE /FORCE”这个命令。
另：1、如何在WIN2003中添加用户？每次添加用户时总是提示我不符合密码策略，怎么办？问：如何在WIN2003中添加用户？我将公司的主域服务器改成win2003，但是win2003却不让我添加用户，每次添加用户是总是提示我不符合密码策略，怎么办？答：对于2003域，默认域的安全策略与2000域不同。
要求域用户的口令必须符合复杂性要求，且密码最小长度为7。
口令的复杂性包括三条：一是大写字母、小写字母、数字、符号四种中必须有3种，二是密码最小长度为6，三是口令中不得包括全部或部分用户名。
当然也可以重新设默认域的安全策略来解决。
操作如下：开始/程序/管理工具/域安全策略/帐户策略/密码策略：密码必须符合复杂性要求：由“已启用”改为“已禁用”；密码长度最小值：由“7个字符”改为“0个字符”。
使此策略修改生效有如下方法：1、等待系统自动刷新组策略，约5分钟~15分钟2、重启域控制器（若是修改的用户策略，注销即可）3、使用gpupdate命令。
（推荐使用这个）说明：2000中使用的刷新组策略命令secedit /refreshpolicy machine(或user)_policy /enforce 命令在03中已由gpupdate取代。
教学时刻第五周2021-3-18教学课时3教案序号12-14教学目标1、掌握如何建立和治理OU2、学会在win2003中应用组策略教学过程：一、OU〔组织单元〕的治理1、OU的概念域是最小的治理单位，在活动名目中，域一般对应公司，而OU那么对应于公司中的部门。
OU是活动名目中的容器，能够在OU中建立用户、组等其他对象，也能够在OU中建立OU。
2、建立OU及子对象〔1〕注重图标。
〔2〕建立步骤：在需要创立的空白处右击，选择“新建〞——“组织单元〞，在对话框内输进OU名称即可。
〔3〕在OU中能够放用户、组、打印机、共享文件夹、子OU等。
实验一：OU的治理1、在test下中新建“教师〞和“学生〞两个OU，再在“教师〞OU下新建“一般教师〞OU。
2、“教师〞OU中包括t1，t2账户，“学生〞OU中包括s1，s2账户，“一般教师〞OU中包括c1，c2账户。
二、组策略概述1、组策略的概念〔1〕组策略是一种在用户或计算机集合上强制使用一些配置的方法，使用组策略能够给同组的计算机或者用户强加一套统一的标准，包括治理模板设置、Windows设置、软件设置。
〔2〕组策略配置包含在一个组策略对象〔GPO〕中，该对象又与选定的活动名目效劳容器〔如站点、域、组织单元OU等〕相关联，可不能碍事没有参加域的计算机和用户。
〔3〕组策略配置类型有：计算机配置和用户配置。
〔4〕组策略分为：本地平安策略和活动名目的组策略。
本地平安策略适用于本地用户和组，我们所讲的是活动名目的组策略，活动名目安装好以后就自动建立了两个组策略〔域操纵器平安策略和域平安策略〕。
2、组策略的应用顺序〔1〕本地组策略〔2〕域组策略〔3〕域操纵器组策略〔4〕组织单元组策略三、组策略对象的治理我们能够通过ActiveDirectory用户和计算机建立链接到域和OU的策略，ActiveDirectory站点和效劳建立链接到站点的策略。
1、创立组策略步骤：右击-属性-“组策略〞选项卡-“新建〞按钮2、设置组策略步骤：右击-属性-“组策略〞选项卡-“编辑〞按钮3、用组策略治理用户工作环境实验二：1、教师OU的所有用户的IE扫瞄器的代理效劳器的地址都自动设置为192.168.0.1，端口号设置为8080。
组策略以及来宾用户权限的设置我都是用组策略来实现这个目的的具体用法如下（简单的）Windows 2000/XP/2003 组策略控制台如果是Windows 2000/XP/2003 系统，那么系统默认已经安装了组策略程序，在“开始”菜单中，单击“运行”命令项，输入gpedit.msc 并确定，即可运行程序。
使用上面的方法，打开的组策略对象就是当前的计算机，而如果需要配置其他的计算机组策略对象的话，则需要将组策略作为独立的控制台管理程序来打开，具体步骤如下：1）打开Microsoft 管理控制台（可在“开始”菜单的“运行”对话框中直接输入MMC 并回车，运行控制台程序）。
2）在“文件”菜单上，单击“添加/删除管理单元”。
3）在“独立”选项卡上，单击“添加”。
4）在“可用的独立管理单元”对话框中，单击“组策略”，然后单击“添加”。
5）在“选择组策略对象”对话框中，单击“本地计算机”编辑本地计算机对象，或通过单击“浏览”查找所需的组策略对象。
6）单击“完成”，单击“关闭”，然后单击“确定”。
组策略管理单元即打开要编辑的组策略对象。
对于不包含域的计算机系统来说，在上面第5 步的界面中，只有“计算机”标签，而没有其他标签项目。
通过上面的方法，我们就可以使用Windows 2000/XP/2003 组策略系统强大的网络配置功能，让管理员的工作更轻松和高效。
在上面我们介绍了Windows 9X下的策略编辑器配置项目有“选中、清除、变灰”三种状态，Windows 2000/XP/2003 组策略管理控制台同样也有三种状态，只不过名字变了。
它们分别是：已启用、未配置、已禁用。
四、“桌面”设置Windows的桌面就像我们的办公桌一样，需要经常进行整理和清洁，而组策略就如同我们的贴身秘书，让桌面管理工作变得易如反掌。
下面就让我们来看看几个实用的配置实例：位置：“组策略控制台→用户配置→管理模板→桌面”1．隐藏桌面的系统图标（Windows 2000/XP/2003）虽然通过修改注册表的方式可以实现隐藏桌面上的系统图标的功能，但这样比较麻烦，也有一定的风险。
域网络构建教程（4）组策略
古人云：运筹帷幄之中，决胜千里之外。
这大概就是用兵的最高境界了吧！作为一个生于和平年代的网络管理人员，这辈子带兵是没戏了。
不过在域环境的帮助下，这个决胜千里的最高境界努力一下倒是可以体会体会的。
所借助的神兵利器就是——组策略。
实际上组策略的设置工具在我们常用的 XP 系统上一直存在，通过在运行栏中输入 gpedit.msc 就可以启动本地计算机的组策略编辑器。
截图如下：
马马虎虎的讲我们可以把组策略编辑器看作是微软提供的一个图形化的注册表编辑器，所见即所得一直都是微软的看家本领啊。
有了域环境之后，通过使用相关管理工具在域控制器上设置组策略就可以实现对所有加入域中的用户和计算机的管理与控制。
在实际使用中，我感觉这种管理与控制几乎覆盖了使用中的方方面面，反正现在我只要在域控制器上动动手指头，就可以让全校的网络环境产生天翻地覆的变化——比如让所有人都无法使用计算机。
理论上这是完全可以实现的，有兴趣的可以在看完本文后自己实践一下（后果自负
哈）。
闲话少说，书归正传。
按前文所讲我们已经具备了使用组策略统一管控用户和计算机的域环境。
现在在域控制器上打开组策略编辑器，注意这里不能使用gpedit.msc（那是编辑本机策略的），而要打开“开始——程序——管理工具——Active Directory 用户和计算机”。
截图如下：
在打开的窗口中选择你的域名，并在其上右击选择属性，然后在弹出的属性对话框中选择组
策略。
现在你就会看到默认域策略——Default Domain Policy，截图如下：
单击编辑按钮就可以打开组策略编辑器。
更改其中的选项就会对所有加入域中的用户和计算机产生影响。
这是因为计算机启动以及用户登录时都会查询域控制器并使用这里的组策略设置。
不过建议大家一般不要改动默认域策略——Default Domain Policy，这样便于我们随时恢复到系统默认的设置。
呵呵，留条出迷宫的路，是所有操作前的必修课。
默认的不让动，那我们怎么编辑组策略呢？答案就是通过组织单位上次我们在建立用户和计算机时就已经新建了两个组织单位——全部用户和全部计算机，注意组织单位将是一个我们经常使用的划分方式，组策略可以按层次模式很好的在其上运行，这样也便于对今后一定会日趋复杂的组策略进行有效的管理。
注意这里我提到了层次模式，组策略是可以按层次逐级继承的。
这不但可以使策略设置简洁明了，出了问题还便于排查错误。
为了演示这种层次模式，我新建一个名为“用户和计算机”的组织单位，并将原来的两个组
织单位移入其中。
截图如下：
现在打开“用户和计算机”组织单位的属性对话框，并进入组策略编辑界面，新建一个作用于该组织单位的组策略对象并命名为——通用策略（当然你也可以其别的名字）。
截图如下：
下面让我们与组策略近距离亲密接触一下。
别害怕只是接触一下，看看我们都可以对最终用户施放那些魔法和大招。
进入编辑模式，截图如下：
组策略分为两大部分：计算机配置和用户配置，这也是为什么我建立两个组织单位分别放置用户和计算机，这样设置起来比较清楚。
当然你要想难得糊涂，放一起我也不拦着。
配置给计算机还是用户有什么区别呢？首先计算机配置应用于计算机（看起来象废话哈），因此对所有使用计算机的用户都起作用；其次计算机配置所使用的权限是系统级的（这里的权限是指的配置被应用到计算机上时用到的权限），就是说Administrator 账户能做的它都能做（这句不理解没关系，记住它接着往下看）。
而用户配置是针对我们在域控制器上建立的用户，就是说不管用户使用哪台计算机它都产生作用。
已经被绕蒙了的同志听我通俗的说一下：计算机配置跟着机器走，谁用都这样；用户配置跟着人走，用谁都这样。
再不懂那啥……别难为自己换个活干干吧！呵呵！以后再看到这两部分中有重复的就明白是怎么回事了吧！当然还要注意设置的时候，尽量不要引起使用中的冲突。
虽然重复的配置项大多都在描述中说明了冲突的配置项哪一部分会最终起作用，但是让傻实在的计算机玩自相矛盾，恐怕会在
使用中出怪毛病。
一、计算机配置
1、软件设置这里面就一个项目——软件安装，
而且没有描述，因为要完全搞定这个问题足可以
写篇文章了，还不一定能给你整明白了。
这里我只说明重要的几点内容如下：设置软件安装的属性对话框。
使用本机或网络共享的UNC 路径设置软件安装包的位
置，以免每次添加软件包都要查找。
安装用户界面选项设为基本就可以实现透明安装，用户
不会见到任何提示或设置窗口。
截图如下：
右击软件安装，选择新建——程序包即可。
当然你要先把软件安装包放到上面设置的路径下才行。
包的格式必须是MSI 的，这是最困难和复杂的部分，这种包大多需要自己做，我发过制作五笔安装包的帖子，自己找找看吧。
如果使用EXE 的文件需要写一个以“.zap”结尾的特殊格式的文本文件（网上有，自己搜），而且EXE 安装包还要支持静默模式，否则会弹出
设置对话框，那你就等着接用户的电话吧。
XP 的计算机需要启动两次才能够安装软件包，因为默认有登录优化设置。
这里安装的软件包只在客户机上运行一次，而且可以供任何一个使用此计算机的用户使用。
后面用户配置里还有一个软件安装，那里安装的就不一样了。
注意，实践证明：如果在网络路径上存放安装包，要放到速度较快的服务器上，不然会出现找得到装不上的怪毛病。
2、Windows 设置（项目太多只说常用的）
项目：脚本（启动/关机）
此项目中可以放置Windows 系统能够运行的一切文件。
我一般使用批处理或vbs 脚本，不要太复杂否则会拖慢系统启动速度。
合理有效的使用这一功能，发挥你的想象，只有想不到没有做不到哦。
举个简单的例子——自动添加网络打印机。
使用记事本输入代码如下并保存为
vbs 脚本
On Error Resume Next
Set WshNetwork = WScript.CreateObject("work")
'Add the network printer 1 & 2
WshNetwork.AddwindowsPrinterConnection "\\printerserver\printer1"
WshNetwork.AddwindowsPrinterConnection "\\printerserver\printer2"
'Default printer1
WshNetwork.SetDefaultPrinter "\\printerserver\printer1"
注意：\\printerserver\printer1、\\printerserver\printer2 这种东东要换成你的打印
机共享路径。
放置方法如图所示：
这样，用户不需要做任何设置就可以直接打印了。
启动里的脚本是在开机时执行，关机里的脚本是在关机时执行，其他设置方法都一样。
项目：安全设置账户策略设置对密码长度及格式的要求以及输错密码后账户的锁定状态。
每个选项打开后都有解释，建议认真阅读后再进行设置。
对于不同安全级别的用户和计算机要区别对待。
一刀切的结果要么是服务器很快被攻破，要么是电脑超菜的BOOS 怒气冲冲的质问你为什么打不开自己的计算机。
这就是为什么要逐级建立组织单位，按层级模式设置组策略。
一般原则是保障关键设备账户的安全（比如服务器和域管理员），保证对普通用户的简单友好（空密码都是允许的）。
本地策略的本地指的是组织单位里的计算机账户所代表的机器。
在这里甚至可以监控用户对文件的建立、删除等操作，审核对象访问就可以了，不过对于操作频繁的位置开启审核会产生大量的日志文件。
如果你一年半载的也不看
回日志的话，只开如图的几个就可以了。
截图
如下：
用户权限分配中，我常用的是网络访问和本地登录（指坐在机器面前使用），注意拒绝优先于允许，同时设置允许不起作用。
还有一个要说明的是域中添加工作站，默认每个域用户可以添加10 个计算机账户，即把10 台计算机加入域。
安全要求不高的地方可以让用户自己做（偷个懒呵呵），控制欲较高的就设置自己一个（如果自己不是域管理员，要记着加上域管
理员账户）。
安全选项如图所示：。
