下载文档原格式
WindowsXP的系统漏洞及组策略设置系统漏洞通常是由于系统开发过程中程序设计不严谨或者由于某些功能自身而留下的，包括身份认证、访问控制、服务漏洞等多个方面。
系统上已知的漏洞被称为“通用漏洞披露”(CVEs)，它是由MITRE组织汇编整理的漏洞信息。
漏洞使系统非常危险，它可以使攻击者或病毒很容易取得系统最高权限，然后可以对系统进行各种破坏，让用户无法上网，甚至对一些分区进行格式化操作，盗取用户的各种账号密码等。
利用从网上下载的公开代码对未打补丁的系统进行攻击，成功率可以达到80%；稍作技术改进之后，攻击成功率接近百分之百。
可以把WindowsXP操作系统漏洞大致分为两种类型：一类是由于系统设计的缺陷产生的漏洞。
他们是源于系统设计的复杂性而出现的疏忽和缺陷。
这种漏洞在被微软发现并发布补丁之前，极有可能被不法分子所利用，对别人的计算机进行恶意攻击，甚至制作出危害极大且短时间内难以抵挡的恶性计算机病毒。
例如UPnP （Universal Plug and Play，通用即插即用软件）的漏洞问题，UPnP服务可以导致著名的“缓冲区溢出”漏洞，由于UPnP服务运行在系统的上下文，攻击者如果利用漏洞成功，可以完全控制主机。
更为严重的是SSDP服务器程序同样也监听广播和多播接口，所以攻击者可以同时攻击多个机器而不需要知道单个主机的IP地址。
这种系统设计漏洞的存在，往往会令用户在不觉中就已经受到攻击和侵害。
对于一般用户来说，这种类型的漏洞是最难以防范的，因为在漏洞被公布之前，他们根本难以知情，更不要说防范。
另一种可以称为功能性漏洞。
WindowsXP在易用性、多功能，尤其是网络共享和远程帮助等方面下了很大功夫，但是，很多的功能在方便用户的同时，也留下了可以被入侵者利用的漏洞和后门。
著名的IPC＄攻击就是网络共享功能留下漏洞的例子，Windows XP在默认安装后允许任何用户通过空用户连接（IPC＄）得到系统所有账号和共享列表，这本来是为了方便局域网用户共享资源和文件的，但是任何一个远程用户都可以利用这个空的连接得到你的用户列表。
组策略部署Windows XP SP2
刘安
【期刊名称】《网管员世界》
【年(卷),期】2006(000)009
【摘要】Windows XP Services Pack 2（SP2）引入了一种新的防火墙，可以更好地抵挡恶意用户或者恶意软件的攻击。
如果您在Active Directory目录服务环境中管理计算机，可以使用“组策略”的“软件安装和维护”功能在目标计算机上部署Windows XPSP2。
下面介绍如何使用“Windows安装程序”和“组策略”在Windows 2000 Server或Windows Server 2003 Active Directory域中的目标计算机上安装SP2。
【总页数】2页(P94-95)
【作者】刘安
【作者单位】贵州
【正文语种】中文
【中图分类】TP316.7
【相关文献】
1.用网管的眼光重新体验Windows XP SP2：Windows XP SP2使用体验 [J], 顾静;曾东红
2.用网管的眼光重新体验Windows XP SP2：Windows XP SP2安装体验 [J], 朱青亮
3.SP2我们真的需要？——挑战SP2极限，手动更新Windows XP HotFix——
Windows XP秋令进补三步走 [J], 杨裕民
4.重装上阵——Windows XP SP2部署在即！——集中部署与防御 [J], RandyFranklinSmith;贾笑明
5.Windows XP SP2发布倒计时——Windows XP SP2不只是一个防火墙 [J], MarkMinasi;刘海蜀
因版权原因，仅展示原文概要，查看原文内容请购买。
gpedit.msc（组策略）gpedit.msc(组策略):使⽤系统管理员的帐号登陆进⼊系统，打开“开始”-“运⾏”，在运⾏输⼊框中输⼊“gpedit.msc”，进⼊“组策略”.说到组策略，就不得不提注册表。
注册表是Windows系统中保存系统、应⽤软件配置的数据库，随着Windows功能的越来越丰富，注册表⾥的配置项⽬也越来越多。
很多配置都是可以⾃定义设置的，但这些配置发布在注册表的各个⾓落，如果是⼿⼯配置，可想是多么困难和烦杂。
⽽组策略则将系统重要的配置功能汇集成各种配置模块，供管理⼈员直接使⽤，从⽽达到⽅便管理计算机的⽬的。
简单点说，组策略就是修改注册表中的配置。
当然，组策略使⽤⾃⼰更完善的管理组织⽅法，可以对各种对象中的设置进⾏管理和配置，远⽐⼿⼯修改注册表⽅便、灵活，功能也更加强⼤。
各功能现如⼀介绍:计算机配置-windows设置-安全设置中包括“帐户策略”和“本地策略”两个⽅⾯，⽽其中的“帐户策略”⼜包括：密码策略、帐户锁定策略和Kerberos策略三个⽅⾯；另外的“本地策略”也包括：审核策略、⽤户权限分配和安全选项三部分。
下⾯分别予以介绍。
⼀、密码策略的设置 ⼀、密码策略的设置 密码策略作⽤于域帐户或本地帐户，其中就包含以下⼏个⽅⾯： 强制密码历史 密码最长使⽤期限 密码最短使⽤期限 密码长度最⼩值 密码必须符合复杂性要求 ⽤可还原的加密来存储密码 以上各项的配置⽅法均需根据当前⽤户帐户类型来选择。
默认情况下，成员计算机的配置与其域控制器的配置相同。
下⾯分别根据⼏种不同⽤户类型介绍相应的密码策略配置⽅法。
1. 对于本地计算机 对于本地计算机的⽤户帐户，其密码策略设置是在“本地安全设置”管理⼯个中进⾏的。
下⾯是具体的配置⽅法。
第1步，执⾏〖开始〗→〖管理⼯具〗→〖本地安全策略〗菜单操作，打开如图所⽰的“本地安全设置”界⾯。
对于本地计算机中⽤户“帐户和本地策略”都查在此管理⼯具中进⾏配置的。
在很多中小企业的网络环境中，网管通常为客户机分配静态IP地址，然后针对不同的IP地址设置相应的权限。
正是由于不同的IP地址具有不同的权限，所以企业中常有人通过修改IP地址来获取某种权限。
这种行为是不正当的，还会引发IP地址冲突等问题，因此常常困扰着网管。
用一种合适的方法限制用户修改IP地址是解决这一问题的良方。
通常用的方法是给用户user权限，不给管理员权限，可达到目的，也可采用下面的方法，注册表法和组策略方法。
Windows 2000server里的组策略无法完善的实现禁止用户修改IP(客户端为Win2000Professional时生效,但对客户端为XP系统时就不生效了).但Windows2000 Server可以使用组策略及脚本停用Netcfgx.dll，Netshell.dll和Netman.dll三个动态库文件来现实此功能.在Windows 2000/XP中存在Netcfgx.dll，Netshell.dll和Netman.dll三个动态库文件，它们实际上是系统控件，在Windows 2000/XP的安装过程中会自动注册这些控件。
这三个控件和Windows 2000/XP的网络功能紧密相关。
当修改IP地址时，就需要用到这三个控件。
因此，只要将上述三个控件卸载，就可以屏蔽网络连接窗口，这样无论是双击桌面上的网上邻居图标，还是在控制面板中双击“网络连接”项，都无法正常进入网络连接窗口，也就无法在本地连接属性窗口中修改IP地址了。
在“开始/运行”中输入“Cmd.exe”，确认后打开CMD窗口，在其中分别执行“Regsvr32 /u Netcfgx.dll”、“Regsvr32 /u Netshell.dll”、“Regsvr32 /u Netman.dll”命令，就可以将上述控件从系统中卸载。
当然，如果以后需要修改IP地址的话，可以上述控件逐一注册即可。
注册的方法很简单，只要将上述命令中的“/u”参数去掉，就可以执行注册操作了。
XP出现局域网访问无权限问题的完整解决方案1:打开受访者的GUEST帐户2:在"开始"-- ”运行”里输入”GPEDIT．MSC＜打开组策略＞3：依次展开”WINDOWS设置”－”本地策略”－”用户指派权利” 在窗口右边栏里找到”拒绝从网络访问这能计算机”后，双击打开，把里面的GUEST帐户删除4：依次展开”WINDOWS设置”－”本地策略”－”安全选项” 在右边栏里找到”网络访问：本地帐户的共享和安全模式”双击打开，把它改成”经典：本地用户自己的身份验证”5：依次展开”WINDOW S设置”－”本地策略”－”安全选项” 在右边栏里找到”帐户：使用空白密码的本地用户只允许进行控制台登录”并把它设置为”禁用” 依次展开”WINDOWS设置”－”本地策略”－”安全选项” 在右边栏里找到”网络访问：本地帐户的共享和安全模式”双击打开，把它改成”仅来宾” 这样就可以解决局域网络不能互访的问题局域网内未能互访的问题诊断一、用户权限设置错误由于Windows 2000/XP具有完备的用户管理体系，因此仅仅按照常规的共享方式并不能直接访问这些文件，反倒会出现用户连接窗口，必须要输入正确的用户名和密码才能够顺利建立连接。
对于这种情况，我们须要对用户组进行适当的设置，下面就以最为常用的Guest用户为例介绍一下具体的实现方法。
第一步：在控制面板中双击"计算机管理"图标，并且在弹出窗口中依次进入"本地用户和组→用户"菜单，此时可以在窗口右部查看到当前系统中存在的所有用户。
第二步：双击"Guest"用户，并且从弹出的属性窗口中去除"账号已停用"复选框，确认保存之后即可启用系统附带的Guest账户。
激活了Guest账户之后，其他用户只要在网上邻居中双击当前共享的文件夹就能够以此用户身份对文件进行操作了。
不过由于Guest账户是Windows系统附带的，也就是说任何人都能够通过这种方式访问你所共享的文件，如果某些重要的共享资源仅仅提供给特定的用户访问，就须要为他们设置单独的用户权限了。
组策略以及来宾用户权限的设置我都是用组策略来实现这个目的的具体用法如下（简单的）Windows 2000/XP/2003 组策略控制台如果是Windows 2000/XP/2003 系统，那么系统默认已经安装了组策略程序，在“开始”菜单中，单击“运行”命令项，输入gpedit.msc 并确定，即可运行程序。
使用上面的方法，打开的组策略对象就是当前的计算机，而如果需要配置其他的计算机组策略对象的话，则需要将组策略作为独立的控制台管理程序来打开，具体步骤如下：1）打开Microsoft 管理控制台（可在“开始”菜单的“运行”对话框中直接输入MMC 并回车，运行控制台程序）。
2）在“文件”菜单上，单击“添加/删除管理单元”。
3）在“独立”选项卡上，单击“添加”。
4）在“可用的独立管理单元”对话框中，单击“组策略”，然后单击“添加”。
5）在“选择组策略对象”对话框中，单击“本地计算机”编辑本地计算机对象，或通过单击“浏览”查找所需的组策略对象。
6）单击“完成”，单击“关闭”，然后单击“确定”。
组策略管理单元即打开要编辑的组策略对象。
对于不包含域的计算机系统来说，在上面第5 步的界面中，只有“计算机”标签，而没有其他标签项目。
通过上面的方法，我们就可以使用Windows 2000/XP/2003 组策略系统强大的网络配置功能，让管理员的工作更轻松和高效。
在上面我们介绍了Windows 9X下的策略编辑器配置项目有“选中、清除、变灰”三种状态，Windows 2000/XP/2003 组策略管理控制台同样也有三种状态，只不过名字变了。
它们分别是：已启用、未配置、已禁用。
四、“桌面”设置Windows的桌面就像我们的办公桌一样，需要经常进行整理和清洁，而组策略就如同我们的贴身秘书，让桌面管理工作变得易如反掌。
下面就让我们来看看几个实用的配置实例：位置：“组策略控制台→用户配置→管理模板→桌面”1．隐藏桌面的系统图标（Windows 2000/XP/2003）虽然通过修改注册表的方式可以实现隐藏桌面上的系统图标的功能，但这样比较麻烦，也有一定的风险。
解决Win XP系统网络不能互访问题(2010-03-17 12:27:01)转载标签：分类：computatorxp局域网连接访问教育解决Win XP系统网络不能互访问题由WINXP各类修正版、美化版等非官方版本基本上都对网络进行了限制，以加强网络安全。
但是副作用就是局域网内无法访问到该机器，一般显示权限不够，或要求用户名和密码。
首先，这里不考虑物理联接和其它问题，只谈及策略问题。
此外，请安装相应的协议并正确的设置IP地址，同时尽量把计算机设置在一个工作组内且具有相同网段的IP地址。
1.检查guest账户是否开启XP默认情况下不开启guest账户，因此些为了其他人能浏览你的计算机，请启用guest账户。
同时，为了安全请为guest设置密码或相应的权限。
当然，也可以为每一台机器设置一个用户名和密码以便计算机之间的互相访问。
2.检查是否拒绝Guest用户从网络访问本机当你开启了guest账户却还是根本不能访问时，请检查设置是否为拒绝guest从网络访问计算机，因为XP默认是不允许guest从网络登录的，所以即使开了guest也一样不能访问。
在开启了系统Guest用户的情况下解除对Guest账号的限制，点击“开始→运行”，在“运行”对话框中输入“GPEDIT.MSC”，打开组策略编辑器，依次选择“计算机配置→Windows设置→安全设置→本地策略→用户权利指派”，双击“拒绝从网络访问这台计算机”策略，删除里面的“GUEST”账号。
这样其他用户就能够用Guest账号通过网络访问使用Windows XP系统的计算机了。
3.改网络访问模式XP默认是把从网络登录的所有用户都按来宾账户处理的，因此即使管理员从网络登录也只具有来宾的权限，若遇到不能访问的情况，请尝试更改网络的访问模式。
打开组策略编辑器，依次选择“计算机配置→Windows设置→安全设置→本地策略→安全选项”，双击“网络访问:本地账号的共享和安全模式”策略，将默认设置“仅来宾—本地用户以来宾身份验证”，更改为“经典:本地用户以自己的身份验证”。
windows XP的组策略控制台如何打开????在运行中输入GPEDIT.MSC点确定就可以了。
1．隐藏“我的电脑”中指定的驱动器（Windows XP/2003）此组策略可以从“我的电脑”和“Windows 资源管理器”上删除代表所选硬件驱动器的图标。
并且驱动器号代表的所有驱动器不出现在标准的打开对话框上。
打开“组策略控制台→用户配置→管理模板→Windows组件→Windows资源管理器”中的“隐藏‘我的电脑’中的这些指定的驱动器”并启用此策略，并在下面列表框中选择一个驱动器或几个驱动器。
提示：这项策略只删除驱动器图标。
用户仍可通过使用其它方式继续访问驱动器的内容。
同时这项策略不会防止用户使用程序访问这些驱动器或其内容。
并且也不会防止用户使用磁盘管理即插即用来查看并更改驱动器特性。
2．防止从“我的电脑”访问驱动器（Windows 2000/XP/2003）此策略让用户无法查看在“我的电脑”或“Windows 资源管理器”中所选驱动器的内容。
同时它也禁止使用运行对话框、镜像网络驱动器对话框或Dir命令查看在这些驱动器上的目录。
打开“组策略控制台→用户配置→管理模板→Windows组件→Windows资源管理器”中的“防止从‘我的电脑’访问驱动器”并启用此策略，并在下面列表框中选择一个驱动器或几个驱动器。
提示：这些代表指定驱动器的图标仍旧会出现在“我的电脑”中，但是如果用户双击图标，会出现一条消息解释设置防止这一操作。
同时这些设置不会防止用户使用其它程序访问本地和网络驱动器。
并且不防止他们使用磁盘管理即插即用查看和更改驱动器特性。
3．禁止使用命令提示符（Windows 2000/XP/2003）在Windows 2000/XP/2003下，我们可以运行cmd.exe进入命令提示符状态，并可以继续运行一些DOS命令和其他命令行程序。
出于对安全的考虑，有些系统应该屏蔽此功能。
打开“组策略控制台→用户配置→管理模板→系统”中的“阻止访问命令提示符”并启用此策略，并在下面列表框中选择是否“也停用命令提示符脚本处理”，这个设置还决定批处理文件.cmd和.bat是否可以在计算机上运行。
WindowsXP组策略修改系统及⽹络配置使⽤Windows XP 组策略修改系统配置组策略是管理员为计算机和⽤户定义的，⽤来控制应⽤程序、系统设置和管理模板的⼀种机制。
通俗⼀点说，是介于控制⾯板和注册表之间的⼀种修改系统、设置程序的⼯具。
微软⾃Windows NT 4.0开始便采⽤了组策略这⼀机制，经过Windows 2000发展到Windows XP已相当完善。
利⽤组策略可以修改Windows的桌⾯、开始菜单、登录⽅式、组件、⽹络及IE浏览器等许多设置。
平时像⼀些常⽤的系统、外观、⽹络设置等我们可通过控制⾯板修改，但⼤家对此肯定都有不满意，因为通过控制⾯板能修改的东西太少；⽔平稍⾼点的⽤户进⽽使⽤修改注册表的⽅法来设置，但注册表涉及内容⼜太多，修改起来也不⽅便。
组策略正好介于⼆者之间，涉及的内容⽐控制⾯板中的多，安全性和控制⾯板⼀样⾮常⾼，⽽条理性、可操作性则⽐注册表强。
本⽂主要介绍Windows XP Professional本地组策略的应⽤。
本地计算机组策略主要可进⾏两个⽅⾯的配置：计算机配置和⽤户配置。
其下所有设置项的配置都将保存到注册表的相关项⽬中。
其中计算机配置保存到注册表的HKEY_LOCAL_MACHINE ⼦树中，⽤户配置保存到HKEY_CURRENT_USER。
⼀、访问组策略有两种⽅法可以访问组策略：⼀是通过gpedit.msc命令直接进⼊组策略窗⼝；⼆是打开控制台，将组策略添加进去。
1. 输⼊gpedit.msc命令访问选择“开始”→“运⾏”，在弹出窗⼝中输⼊“gpedit.msc”，回车后进⼊组策略窗⼝。
组策略窗⼝的结构和资源管理器相似，左边是树型⽬录结构，由“计算机配置”、“⽤户配置”两⼤节点组成。
这两个节点下分别都有“软件设置”、“Windows设置”和“管理模板”三个节点，节点下⾯还有更多的节点和设置。
此时点击右边窗⼝中的节点或设置，便会出现关于此节点或设置的适⽤平台和作⽤描述。
使用Windows XP 组策略修改系统配置组策略是管理员为计算机和用户定义的，用来控制应用程序、系统设置和管理模板的一种机制。
通俗一点说，是介于控制面板和注册表之间的一种修改系统、设置程序的工具。
微软自Windows NT 4.0开始便采用了组策略这一机制，经过Windows 2000发展到Windows XP已相当完善。
利用组策略可以修改Windows的桌面、开始菜单、登录方式、组件、网络及IE浏览器等许多设置。
平时像一些常用的系统、外观、网络设置等我们可通过控制面板修改，但大家对此肯定都有不满意，因为通过控制面板能修改的东西太少；水平稍高点的用户进而使用修改注册表的方法来设置，但注册表涉及内容又太多，修改起来也不方便。
组策略正好介于二者之间，涉及的内容比控制面板中的多，安全性和控制面板一样非常高，而条理性、可操作性则比注册表强。
本文主要介绍Windows XP Professional本地组策略的应用。
本地计算机组策略主要可进行两个方面的配置：计算机配置和用户配置。
其下所有设置项的配置都将保存到注册表的相关项目中。
其中计算机配置保存到注册表的HKEY_LOCAL_MACHINE子树中，用户配置保存到HKEY_CURRENT_USER。
一、访问组策略有两种方法可以访问组策略：一是通过gpedit.msc命令直接进入组策略窗口；二是打开控制台，将组策略添加进去。
1. 输入gpedit.msc命令访问选择“开始”→“运行”，在弹出窗口中输入“gpedit.msc”，回车后进入组策略窗口。
组策略窗口的结构和资源管理器相似，左边是树型目录结构，由“计算机配置”、“用户配置”两大节点组成。
这两个节点下分别都有“软件设置”、“Windows设置”和“管理模板”三个节点，节点下面还有更多的节点和设置。
此时点击右边窗口中的节点或设置，便会出现关于此节点或设置的适用平台和作用描述。
“计算机配置”、“用户配置”两大节点下的子节点和设置有很多是相同的，那么我们该改哪一处？“计算机配置”节点中的设置应用到整个计算机策略，在此处修改后的设置将应用到计算机中的所有用户。
“用户配置”节点中的设置一般只应用到当前用户，如果你用别的用户名登录计算机，设置就不会管用了。
但一般情况下建议在“用户配置”节点下修改，本文也将主要讲解“用户配置”节点的各项设置的修改，附带讲解“计算机配置”节点下的一些设置。
其中“管理模板”设置最多、应用最广，因此也是本文的重中之重。
2. 通过控制台访问组策略单击“开始”→“运行”，输入“mmc”，回车后进入控制台窗口。
单击控制台窗口的“文件”→“添加/删除管理单元”，在弹出窗口单击“添加”，之后选择“组策略”并单击“添加”，在下一步的“选择组策略对象”对话框中选择对象。
由于我们组策略对象就是“本地计算机”，因此不用更改，如果是网络上的另一台计算机，那么单击“浏览”选择此计算机即可。
另外，如果你希望保存组策略控制台，并希望能够选择通过命令行在控制台中打开组策略对象，请选中“当从命令行开始时，允许更改‘组策略管理单元’的焦点”复选框。
最后添加进来的组策略。
二、任务栏和“开始”菜单项目设置本节点允许你为开始菜单、任务栏和通知区域添加、删除或禁用某一功能项目。
依次展开“用户配置”→“管理模板”→“任务栏和‘开始’菜单”，在右边窗口便能看到“任务栏和‘开始’菜单”节点下的具体设置，其状态都处在“未被配置”。
1. 给“开始”菜单减肥Windows XP的“开始”菜单的菜单项很多，可通过组策略将不需要的删除掉。
以删除开始菜单中的“我的文档”图标为例看看其具体操作方法：在右边窗口中双击“从‘开始’菜单上删除‘我的文档’图标”项，在弹出对话框的“设置”标签中点选“已启用”，然后单击“确定”，这样在“开始”菜单中“我的文档”图标将会隐藏。
2. 防止隐私泄漏在开始菜单中有一个“我最近的文档”菜单项，别人可通过此菜单访问你最近打开的文档，为安全起见，可删除此菜单项，并设置不保存最近打开的文档记录。
双击“不要保留最近打开文档的记录”、“退出时清除最近打开的文档记录”、“从‘开始’菜单上删除‘文档’菜单”3项，在弹出对话框中点选“已启动”并确定即可。
3. 禁止随意修改任务栏和“开始”菜单为保护自己好不容易设置好的任务栏和“开始”菜单，可双击启用下列各设置。
“阻止更改‘任务栏和‘开始’菜单’设置”：即从“开始”菜单的“设置”菜单项中删除“任务栏和‘开始’菜单”项目，这个设置也可阻止用户打开“任务栏属性”对话框。
“阻止访问任务栏的上下文菜单”（上下文菜单即单击右键弹出的快捷菜单）：当鼠标右键单击任务栏及任务栏上项目时隐藏菜单，例如“开始”按钮、时钟和任务栏按钮，但不能禁止用户在其他地方更改。
“锁定任务栏”：启用此设置，可阻止用户移动任务栏或调整任务栏的大小，但自动隐藏和其他任务栏选项仍然在“任务栏属性”中可用。
4. 去掉Windows XP“开始”菜单中的图形化设置Windows XP的“开始”菜单增添了许多图形化设置，其实可在组策略中将这些功能关闭。
“关闭个性化菜单”：Windows XP会自动将最近使用的菜单项移动到开始菜单顶部，并且隐藏最近没有使用的菜单项，以此实现个性化菜单，启用此设置将关闭个性化菜单。
“强制典型菜单”：启用此设置，开始菜单就以Windows 2000样式显示典型的开始菜单，并且显示标准桌面图标。
5. 禁止“注销”和“关机”进行三维动画设计和视频处理的朋友经常会为导出一个大型动画、视频文件而花几个小时，这时如果有人重新启动电脑或注销用户，那么前面所做的工作就会白白浪费，因此有必要禁止“开始”菜单中的“注销”、“关机”菜单项。
你只需双击启用“删除‘开始’菜单上的‘注销’”和“删除和阻止访问‘关机’命令”两项即可。
后一设置不仅将从“开始”菜单中删除“关闭计算机”项，而且还会禁用“Windows 任务管理器”对话框中的“关机”选项。
三、桌面项目设置在“组策略”的左窗口依次展开“用户配置”→“管理模板”→“桌面”节点，便能看到有关桌面的所有设置。
此节点主要作用在于管理用户使用桌面的权利和隐藏桌面图标。
1. 隐藏不必要的桌面图标桌面上的一些快捷方式我们可以轻而易举地删除，但要删除“我的电脑”、“回收站”、“网上邻居”等默认图标，就需要依靠“组策略”了。
例如要删除“我的文档”，只需在“删除桌面上的‘我的文档’图标”一项中设置即可。
2. 禁止对桌面的改动利用组策略可达到禁止别人改动桌面某些设置的目的。
“禁止用户更改‘我的文档’路径”项可防止用户更改“我的文档”文件夹的路径。
“禁止添加、拖、放和关闭任务栏的工具栏”项可阻止用户从桌面上添加或删除任务栏。
双击启用“退出时不保存设置”后，用户将不能保存对桌面的更改。
最后，双击启用“隐藏和禁用桌面上的所有项目”设置项，将从桌面上删除图标、快捷方式以及其他默认的和用户定义的所有项目，连桌面右键菜单都将被禁止。
3. 启用或禁止活动桌面利用“Active Desktop”项，可根据自己的需要设置活动桌面的各种属性。
“启用活动桌面”项可启用活动桌面并防止用户禁用它。
“活动桌面墙纸”项可指定在所有用户的桌面上显示的桌面墙纸。
而启用“不允许更改”项便可防止用户更改活动桌面配置。
四、隐藏或禁止控制面板项目这里讲到的控制面板项目设置是指配置控制面板程序的各项设置，主要用于隐藏或禁止控制面板项目。
在组策略左边窗口依次展开“用户配置”→“管理模板”→“控制面板”项，便可看到“控制面板”节点下面的所有设置和子节点。
1. 隐藏或禁止“添加/删除程序”项展开“添加/删除程序”项：双击启用“删除‘添加/删除程序’程序”设置项后，控制面板中的“添加/删除程序”项将被删除。
此外在“添加或删除程序”对话框中共有3个页面：“更改或删除程序”、“添加新程序”以及“添加/删除Windows组件”；而当你进入“添加新程序”页面时，会发现有3个选项：“从CD-ROM或软盘添加程序”、“从Microsoft添加程序”以及“从网络中添加程序”，如果你想这些具体页面或选项隐藏，可直接在组策略“添加/删除程序”项中将相应隐藏功能启用。
2. 隐藏或禁止“显示”项展开“显示”项，发现这一项和上一项一样，可隐藏“显示属性”对话框中的选项卡。
这里就不细讲了，例如双击启用“隐藏‘桌面’选项卡”后，“显示窗口”中将不再出现“桌面”项。
此外，在这里用户还可启用“删除控制面板中的‘显示’”，这样在控制面板中双击打开“显示”项时，就会弹出一个对话框提示你：系统管理员禁止使用“显示”控制面板。
3. 其他依次展开“显示”→“桌面主题”项，双击启用“删除主题选项”、“阻止选择窗口和按钮式样”、“禁止选择字体大小”项后，可阻止他人更改主题、窗口和按钮式样、字体。
展开“打印机”项，双击启用“阻止添加打印机”或“阻止删除打印机”可防止别的用户添加或删除打印机。
最后，直接在“控制面板”一项下启用“禁止访问控制面板”，控制面板将无法启动。
五、系统项目设置这一项在“用户配置”→“管理模板”→“系统”中设置。
组策略中对系统的设置涉及到登录、电源管理、组策略、脚本等很多项目，下面把和我们联系紧密的部分清理出来分类列举如下：1. 登录时不显示欢迎屏幕界面Windows 2000和Windows XP系统登录时默认情况下都有欢迎屏幕，虽然漂亮但也麻烦且延长登录时间，通过组策略便可将其除去。
双击启用“系统”节点下的“登录时不显示欢迎屏幕”，则每次用户登录时欢迎屏幕将隐藏。
2. 禁用注册表编辑器为防止他人修改注册表，可在组策略中禁止访问注册表编辑器。
双击启用“系统”节点下的“阻止访问注册表编辑器”项后，用户试图启动注册表编辑器时，系统将提示：注册编辑已被管理员停用。
另外，如果你的注册表编辑器被锁死，也可双击此设置，在弹出对话框的“设置”标签中点选“未被配置”项，这样你的注册表便解锁了。
如果要防止用户使用其他注册表编辑工具打开注册表，请双击启用“只运行许可的Windows应用程序”。
3. 关闭系统自动播放功能一旦你将光盘插入光驱中，Windows XP就会开始读取光驱，并启动相关的应用程序。
这样虽然给我们的工作带来了便利，在某些时候也带来了不少麻烦。
在“系统”节点下有一项为“关闭自动播放”设置项，双击其并在弹出对话框的“设置”标签中点选“已启用”，在“关闭自动播放”框中选择“CD-ROM启动器”或“所有驱动器”项即可。
注意：此设置不阻止自动播放音乐CD。
4. 关闭Windows自动更新每当用户连接到Internet，Windows XP就会搜索用户计算机上的可用更新，根据配置的具体情况，在下载的组件准备好安装时或在下载之前，给用户以提示。
