组策略 软件分发

组策略的作用和功能本页仅作为文档封面，使用时可以删除This document is for reference only-rar21year.March组策略的作用和功能1,组策略在windows域中的作用组策略是管理员为用户和计算机自定义并控制程序、网络资源及操作系统行为的主要工具。

通过使用组策略可以设置各种软件、计算机和用户策略。

例如，可使用“组策略”为网络用户分发软件、设定用户可以运行的程序、自定义“开始”菜单并简化“控制面板”。

此外，还可添加能在计算机上(在计算机启动或停止时，以及用户登录或注销时)自动运行的脚本，甚至可配置Internet Explorer。

组策略的优点是可以让系统管理员灵活控制Windows网络的客户端环境，更加方便地管理整个网络。

但伴随着灵活性而来的是复杂性。

如何熟悉、熟练应用组策略是系统管理员必须解决的一个问题。

如果能够正确、灵活地运用组策略，就能使Windows系统发挥出更加强大的功能，为个人用户和企业用户带来更大的利益。

策略则将系统重要的配置功能汇集成各种配置模块，供管理人员直接使用，从而达到方便管理计算机的目的。

组策略工具还可以打开网络上的计算机进行配置，甚至可以打开某个Active Directory对象并对它进行设置。

2,日常工作中，在windows单机模式下，组策略中有很多比较有用的功能，例如，本地安全策略。

本地安全策略是对登陆到计算机上的账号定义一些安全设置，在没有活动目录集中管理的情况下，本地管理员必须为计算机进行设置以确保其安全。

例如，限制用户如何设置密码、通过账户策略设置账户安全性、通过锁定账户策略避免他人登陆计算机、指派用户权限等。

这些安全设置分组管理，就组成了的本地安全策略！。

AD域中如何布置软件自动分发本篇文章介绍了如何使用组策略自动将程序分发到客户端计算机或用户。

您可以通过以下方法使用组策略分发计算机程序:? 分配软件您可以将程序分发分配到用户或计算机。

如果将程序分配给一个用户,在该用户登录到计算机时就会安装此程序。

在该用户第一次运行此程序时,安装过程最终完成。

如果将程序分配给一台计算机,在计算机启动时就会安装此程序,所有登录到该计算机上的用户都可以使用它。

在某一用户第一次运行此程序时,安装过程最终完成。

? 发布软件您可以将一个程序分发发布给用户。

当用户登录到计算机上时,发布的程序会显示在“添加或删除程序”对话框中,并且可以从这里安装。

注意:Windows Server 2003 组策略自动程序安装要求客户端计算机运行Microsoft Windows 2000 或更高版本。

创建分发点要发布或分配计算机程序,必须在发布服务器上创建一个分发点: 1. 以管理员身份登录到服务器计算机。

2. 创建一个共享网络文件夹,将您要分发的 Microsoft Windows 安装程序包(.msi 文件)放入此文件夹。

3. 对该共享设置权限以允许访问此分发程序包。

4. 将该程序包复制或安装到分发点。

例如,要分发 Microsoft Office XP,请运行管理员安装(setup.exe /a) 以将文件复制到分发点。

创建组策略对象要创建一个用以分发软件程序包的组策略对象 (GPO),请执行以下操作: 1. 启动“Active Directory 用户和计算机”管理单元,方法是:单击“开始”,指向“管理工具”,然后单击“Active Directory 用户和计算机”。

2. 在控制台树中,右键单击您的域,然后单击“属性”。

3. 单击“组策略”选项卡,然后单击“新建”。

4. 为此新策略键入名称(例如,Office XP 分发),然后按 Enter。

5. 单击“属性”,然后单击“安全”选项卡。

利用组策略软件分发利用GPO实现软件设置：。

准备软件（windows live messenge、Advanced Installer）。

准备windows live messenge安装程序包——.msi。

分发软件优点：易实现缺点：功能简单、兼容性差（只能分发winodows安装程序包——.msi，exe封装的程序安装包要用Advanced Installer重新封装成msi文件）一、 获取要分发的软件：1 安装Advanced Installer并运行，打开新建工程向导，按向导做选择“语言”、“重新包装安装”——>“确定”2、按向导提示，关掉真正运行的其它程序，下一步，下一步选中捕获新的安装3、指定要重新包装的源程序，并设置名称、版本等信息4、如图，选中新的系统捕获5、指定“安装捕获配置文件”保存路径，其它默认，下一步，“确定”：6、安装一遍源程序7、Advanced Installer会把源程序安装后系统的变化记下，“完成”，“导入”8、接下来设置重新封装后，msi文件构建及保存目录（这里指定的是D:\MSN）和文件名过程：9、完成，确定后D:\MSN下就有重新包装后的msi安装包了二、 创建软件分发点1、在用来存放分发软件的服务器上创建一共享文件夹E:\software，域用户有读取的权限就够了NTFS权限:三、 设置GPO:1、打开ADUC——（右击域）打开域属性——新建GPO，并打开该GPO编辑器，如下图所示2、创建分发程序包的策略分发方法有两种： i.指派（强制安装） ii.发布（可选安装）修改后GPO后，如果是在“计算机配置”里“指派”给计算机，客户机执行策略刷新命令gpupdate后重启时安装，所有用户在客户机上都可使用该软件；如果是在“用户配置”里“指派”或者“发布”给用户，用户在客户机执行策略刷新命令gpupdate后生效，“发布”的可以在【控制面板】|【添加/删除程序】|“添加程序”中选择安装，“指派”的软件则注销或重启后重新登录后，程序在【开始】菜单中，用户第一次使用该软件时安装。

自定义office 2003并分发之我们这里自定义office 2003，主要是针对outlook的自定义，具体步骤如下：1，首先是创建office的管理安装点，方法是进入office光盘有setup.exe文件的目录，运行setup.exe /a，然后就会进入创建管理安装点的步骤，当创建完成后，请共享这个文件夹，赋与everyone读取的权限即可。

2，下载并安装office 2003 resource kit（在微软网站首页搜索）3，运行office 2003 resource kit下的Custom Installation Wizard。

这时会打开运行向导，点击进入下一步，在“open the MSI file”窗口（第2屏），以UNC路径选中第1步共享文件夹下的PRO11.MSI文件包，如图2。

下一步选创建一个新的MST文件，然后一直“Next”，在第8屏时，选择“configure local installation source”，为了客户端安装时不必输入产品序列号，请在“product key”栏填入序列号，注意是连写，中间没有短横线。

并勾选“I accept the terms in the Licence Agreement”，如图3。

在第16屏时，我们添加一个命令，这个命令用来在D盘创建一个文件夹，这个文件夹用来保存用户的邮件，即PST文件的保存地。

在“Target”里输入命令，如果有参数的话，请填写在下面的“Arguments”栏。

其他选项这里保持默认，如图4。

NewProfile，并为它填写一个有意义的名字。

在18屏，选中“configure an Exchange server connection”，“User Name”栏填“%username%”，这是一个用户变量，即登录的域用户，“Exchange server”栏填Exchange服务器的计算机名，如图5：在19屏，增加一个帐户存储，点Add按钮，这里可以选择很多类型，比如POP3，我这里选择PST，即把所有邮件下载到本地一个单一的PST文档中，然后在下一个窗口中的“File”栏填入这个PST文件将要保存到的目录和文件名，这里填d:\cqmail\%username%.pst，即上面第16屏命令所创建的目录，并以登录者的用户名命名PST，这样当一台计算机有多个用户时也能区分。

自定义office 2003并分发之我们这里自定义office 2003，主要是针对outlook的自定义，具体步骤如下：1，首先是创建office的管理安装点，方法是进入office光盘有setup.exe文件的目录，运行setup.exe /a，然后就会进入创建管理安装点的步骤，当创建完成后，请共享这个文件夹，赋与everyone读取的权限即可。

2，下载并安装office 2003 resource kit（在微软网站首页搜索）3，运行office 2003 resource kit下的Custom Installation Wizard。

这时会打开运行向导，点击进入下一步，在“open the MSI file”窗口（第2屏），以UNC路径选中第1步共享文件夹下的PRO11.MSI文件包，如图2。

下一步选创建一个新的MST文件，然后一直“Next”，在第8屏时，选择“configure local installation source”，为了客户端安装时不必输入产品序列号，请在“product key”栏填入序列号，注意是连写，中间没有短横线。

并勾选“I accept the terms in the Licence Agreement”，如图3。

在第16屏时，我们添加一个命令，这个命令用来在D盘创建一个文件夹，这个文件夹用来保存用户的邮件，即PST文件的保存地。

在“Target”里输入命令，如果有参数的话，请填写在下面的“Arguments”栏。

其他选项这里保持默认，如图4。

NewProfile，并为它填写一个有意义的名字。

在18屏，选中“configure an Exchange server connection”，“User Name”栏填“%username%”，这是一个用户变量，即登录的域用户，“Exchange server”栏填Exchange服务器的计算机名，如图5：在19屏，增加一个帐户存储，点Add按钮，这里可以选择很多类型，比如POP3，我这里选择PST，即把所有邮件下载到本地一个单一的PST文档中，然后在下一个窗口中的“File”栏填入这个PST文件将要保存到的目录和文件名，这里填d:\cqmail\%username%.pst，即上面第16屏命令所创建的目录，并以登录者的用户名命名PST，这样当一台计算机有多个用户时也能区分。

域组策略批量分发软件（MSI方式）组策略批量发布软件，整体分为两个大步骤进行：1、封装EXE安装程序为MSI程序，使用Advanced Install软件完成。

2、在域组策略设置，完成软件批量分发的功能。

一将EXE封装成为MSI1.1 安装Advanced Install封装软件，可参考如下网址下载（版本为6.6）：/detail/songwenze/26856031.2 在一台电脑上默认安装该软件（注：PC或者虚拟机均可，但需保证该系统和要分发软件的虚拟机的系统版本一致）。

1.3安装完毕后，就开发封装软件，封装过程过程如下：1.3.1打开程序1.3.2打开菜单》新建工程》重新包装安装1.3.3开始程序安装前的系统快照1.3.4开始安装程序直到程序安装完成1.3.5开始程序安装后的系统快照进行比较1.3.6比较完成，开始导入到一个新的工程1.3.7点击“完成”，Advanced Installer 再次打开点击左侧列表进行你要生成的msi程序的修改，如安装参数，产品名称和公司名称最好填英文的，中文好像在软件一些地方不正常显示。

勾选“限定为基本用户界面…”可以使软件在域发布时不显示安装界面。

左侧列表其他的如“用户界面”>“翻译”可以选择软件的安装语言，包含多种方式选择。

1.3.8完成你需要的设置后，点击菜单栏的工程“构建”，就可以生成MSI程序，到域发布了。

二到域中组策略发布应用程序2.1 将MSI软件共享将刚刚打包好的MSI软件存放到一台服务器的文件夹下，并将这个文件夹共享，并记录他的UNC路径。

在这里，我们就假设该文件夹UNC路径为\\192.168.0.10\Install，后面我们会参考该路径。

2.2 设置组策略以域管理员账号登录到域控制器主机上。

点击开始-〉管理工具-〉组策略，进入到组策略编辑器。

找到LenovoVCCTaskUserGPO，点击鼠标右键，点编辑。

在“组策略编辑器”窗口，选择“User Configuration—Software Settings—Software installation”，在右面板上，点右键，选择New—Package，如下图：在“Open”对话框中，输入软件所在的位置，注意：这里的路径必须使用\\server\folder\setup.msi的方式，不能使用C:\path\setup.msi的方式，否则，安装的时候会找不到路径。

大家可能都遇到一个问题，我们大部分的工具软件都是通过*.exe的文件安装，厂商根本不提供相应的MSI的程序包，这样的话我们根本无法通过软件分发来完成软件的安装，那么我们应该怎么制作这种软件包呢，除了我后面准备介绍的WinINSTALL LE等工具来制作，其实对于这种安装文件来制作成可以分发的软件，还有更简便的方法，那就是可以建立扩展名为.ZAP的文件，将非-MSI的软件包部署给用户，但在部署.zap文件时请注意以下事项1.它只能发布给用户，无法指派给用户或计算机2.不具备自动修复等msi软件包才拥有的特性3.大部分安装过程需要用户介入4.用户必须具备安装软件的权限，例如可以本地的管理员一、制作ZAP的程序包我们以WINRAR为例大家做介绍1.在软件分发点共享路径下建立一个文件夹，将相关的安装文件拷贝到此路径2.用“记事本”建立一个扩展名为“ZAP”的文件，FriendlyName是指定显示名称，SetupCommand是用来指定Winrar运行文件的路径与文件名3.部署ZAP软件包以域管理员身份登录DC(域控制器)，然后依次点击“开始→程序→管理工具→Active Directory用户和计算机”菜单项，在相应的OU上面右击→属性，在“组策略”标签中点击“新建”按钮，并将新建的组策略对象命名为“软件分发，并单击下方的“编辑”按钮，在打开的“组策略编辑器”窗口中依次点击“用户配置→软件设置→软件安装”。

接着右键单击“软件安装”，并在弹出的菜单中选择“属性”。

在“软件安装属性”对话框中手工输入“\\算机名或IP地址\共享文件名\路径名”→选择ZAP的安装程序包→“打开”→出现“对话框”选择“发布”4.给用户安装软件的权限5.客户端安装以OU下的用户登录，打开“控制面板”→“添加/删除程序”→添加“新程序”→选择“添加”进行安装。

创建OU委派权限OU就是组织单位，能把用户、组、计算机和其他组织单位放入其中的活动目录容器，OU 在域控制器(DC)上创建，控制权限仅次于域OU和组账户都是活动目录对象，都是基于管理的目的创建OU中可以有用户账户、组账户、计算机、打印机、共享文夹及子OU等对象OU是活动目录中最小的管理单元OU是活动目录和企业中最重要的组件之一，它是活动目录和企业的实际环境联系的纽带1创建OU创建OU步骤以系统管理员身份登录域控制器，在开始菜单中依次单击“管理工具”→“Active Directory 用户和计算机”菜单项，打开“Active Directory用户和计算机”窗口。

在左窗格中用鼠标右键单击域名，并在弹出的快捷菜单中依次选择“新建”→“组织单位”命令2添加用户到OU中3给OU中的用户赋予权限4委派高级权限将用户添加入OU中然后。

然后选取一个用户委派权限管理OU中的成员/article/627.html分发软件包为Active Directory域中的计算机或用户安装各种应用软件是网络管理员的日常工作之一，而通过编辑组策略在Active Directory域中进行“软件部署”是迅速完成任务的理想方式。

在Active Directory域中实现软件部署主要取决于三个方面：Windows Installer、组策略和安装文件本身，并且既可以为域用户部署软件，也可以为域成员计算机部署软件。

MSI（Microsoft Software Installer，微软软件安装器）文件是Windows Installer能够部署的仅有的两种文件类型之一，Windows Installer是Microsoft企业制定的一种安装文件标准，采用这种标准的安装文件会采取一种所有组件彼此独立的方式进行打包。

用户可以对这种安装文件进行检查、精简，并可以决定将其安装在本地或是不安装。

1以系统管理员身份登录域控制器，打开“Active Directory 用户和计算机”窗口。

利用组策略来发布和指派软件1、分发具备的条件：A、用户端必须是Windows 2000以上的版本B、要加入域的计算机才受软件分发的影响C、分发的软件的格式一定是.msi扩展：软件WinInstall可以将EXE的文件转换成MSI的另外还有其它分发软件2、分发的步骤：A、建立软件分发点即建一个共享文件夹将Msi的文件解压到共享文件夹中B、建立组策略GPO组策略容器注意：默认程序包位置要用UNC路径共享的文件夹名C、发布软件方式有：发布和指派注意区别1、指派方式有两种：指派给计算机和指派给用户；1指派给计算机：计算机启动时软件会自动安装在计算机里；安装目录：Documents and setting\All User 2指派给用户：不会自动安装软件本身只安装软件相关部分信息,如快捷方式何时会自动安装1、开始运行此软件2、利用“文件启动”功能document activation2、发布方式：只有发布给用户,不能发布给计算机1、软件不会自动安装2、何时自动安装“控制面板”>>“添加或删除程序”>>“添加新程序”D、客户端安装注意：要有权限,是域的管理员可以安装,本地的管理员不行,或者设置策略来进行软件的安装下面就开始做实验：1、打开域控制器,我就用来举例.如图：1-11-12、新建一个组织,命名为“callcneter”,如图：1-21-23、点击“callcenter”属性,然后点击“组策略”选项卡,点击“新建”>>,创建一个“组策略对象链接”命名为“deng”如图：1-31-34、点击“编辑”,如图：1-41-45、点击用户配置软件设置软件安装,如图：1-51-56、点击“软件安装”属性,在“默认程序包位置”填写路径备注：路径格式：共享文件夹,例如：“”是10.10.1.3上的一个共享文件夹；然后点击“确定”如图：1-61-67、右键“软件安装”新建程序包,就会出现如图：1-71-78、注意：发布和指派的软件都要是.msi格式.我们几用卡巴斯基来举例吧,点击“杀毒软件”然后选中卡巴斯基,选中“已发布”,点击确定,如图：1-81-89、卡巴斯基已经发布成功.如图：1-91-910、右击“卡巴斯基反病毒个人版”属性,点击“部署‘选项卡,在这里可以选择”部署的类型“,发布和指派；“发布”是不可以在登陆时安装的,只有“指派”才可以登陆时安装备注：指派给用户默认在登陆是不安装.如图：1-101-1011、软件指派之后,部署状态已经变了.如图：1-111-1112、服务器端的设置已经好了.客户端也不需要什么设置,只要加入域,而且用这个“callcenter”组织的用户登陆的帐号,都可以应用到这组策略.。

【IT168 专稿】作为一名网管员，你是否经常会被一些软件安装的问题所困扰呢？比如说在网络环境下安装软件！面对网络环境下数量众多，需求各异的用户，硬件配置不同，用途也不同的计算机，几乎每天都有各种各样关于软件安装的需求，对于此你是否感到疲于奔命，无所适从呢？Windows 2000中的组策略软件部署就可以帮我们解决这个困扰，让这些令人烦恼的事情变的轻松起来，使我们广大的网管员朋友彻底的摆脱软件部署的烦恼，省心又省力！一、准备安装文件包实现组策略软件部署的第一步是获取以ZAP或MSI为扩展名的安装文件包。

MSI安装文件包是微软专门为软件部署而开发的。

这两个文件有些软件的安装程序会直接提供，有些软件的安装程序是不提供的。

对于不提供MSI文件的软件我们可以使用一个叫WinINSTALL LE的打包工具来创建，通过使用它可以将一些没有提供MSI文件的软件打包生成MSI文件以便于实现组策略软件布署。

WinINSTALLLE工具我们可以从Windows 2000安装光盘的\VALUEADD\3RDPARTY\MGMT目录下找到，但该软件实际使用的效果并不是很理想，推荐有条件的朋友使用它的升级版本WinINSTALL LE2003。

软件界面如图1。

可以在/下载获得。

图1（点击看大图）二、创建软件分发点实现组策略软件部署的第二步是必须在网络上创建一个软件分发点。

软件分发点就是包含MSI包文件的共享文件夹。

即在文件服务器上创建一个共享的文件夹，在这个文件夹的下面，再创建要部署软件的子目录，然后将MSI包文件及所有需要的安装源文件放于其中。

再给共享文件夹设置相应的权限，使用户具有只读的权限即可。

如果担心某些用户非法浏览分发点中的的内容，可以使用隐藏共享文件夹，即在共享名字后加$符号。

三、创建组策略对象实现组策略软件部署第三步是要创建相对应的组策略对象。

软件部署是依靠AD中的组策略来设置的，所以我们必须要创建一个用以分发软件程序包的组策略对象(GPO)，或者是修改一个已经存在的GPO并在其中添加软件部署的设置。