下载文档原格式
域控中组策略基本设置
在Windows域控制器中，组策略是一种非常重要的工具，用于管理网络中的计算机和用户。
组策略允许系统管理员在网络上部署、管理和强制执行特定设置，以确保网络安全性和一致性。
下面将详细介绍域控制器中组策略的基本设置。
1.创建和链接组策略：
-打开“组策略管理”控制台，右键单击“域”节点，选择“创建一个或多个GPO，并将其链接到此处”
-输入策略名称，点击“确定”创建策略
-右键单击域或OU（组织单位），选择“链接已存在的GPO”
-选择需要链接的策略，点击“确定”
2.应用组策略：
-应用到特定的OU：选择需要应用策略的OU，右键单击，选择“应用组策略”
- 更新组策略：使用命令行工具gpupdate /force强制更新策略
3.用户配置：
4.计算机配置：
5.安全设置：
6.软件安装：
7.文件共享：
8.IE设置：
9.桌面配置：
10.AUDIT策略：
值得注意的是，组策略设置在域控制器上只对处于该域中的计算机和用户生效。
通过组策略，管理员可以集中管理网络中的资源和安全策略，并确保网络中的计算机和用户的行为符合组织的政策和要求。
完成以上设置后，管理员需定期检查组策略的运行情况，保证其有效性和及时性。
域用户常用组策略设置组策略是指在Windows操作系统中，通过集中管理策略和设置来控制域用户和计算机的行为。
以下是一些常用的组策略设置，适用于Windows Server上的域环境。
1.密码策略密码策略设置用于控制用户密码的复杂度和安全性。
可以设置密码的最短长度、密码的复杂性要求，如必须包含大写字母、小写字母、数字和特殊字符等。
还可以设置密码的最长有效期和密码历史记录的保留个数，以防止用户频繁更改密码。
2.账户锁定策略账户锁定策略设置用于控制在一定的失败尝试次数后锁定用户账户。
该策略可以防止恶意攻击者通过暴力破解密码的方式获取用户账户的权限。
可以设置失败尝试次数和锁定时间。
3.用户访问控制策略用户访问控制策略用于控制用户对不同资源的访问权限。
例如，可以设置用户只能访问特定的文件夹、只能访问特定的应用程序等。
可以根据组织的需求进行灵活的设置，以满足不同用户角色和职责的需要。
4.审计策略审计策略用于记录用户和计算机的操作日志。
可以设置哪些操作需要被审计，如登录、文件访问、对象的创建和删除等。
审计策略可以帮助管理员跟踪和分析系统的安全事件，及时发现和应对潜在的安全威胁。
5.软件安装策略软件安装策略用于集中管理和部署软件应用程序。
可以通过组策略将软件程序推送到目标计算机上，或者限制一些用户或计算机无法安装特定的软件。
这样可以确保组织中的计算机都拥有统一的软件环境，便于管理和维护。
6.桌面设置策略桌面设置策略用于控制用户的桌面环境和用户界面。
可以限制用户是否可以更改桌面背景、屏幕保护程序、系统主题等。
还可以限制用户是否可以访问控制面板、开始菜单等系统设置。
这样可以加强计算机的安全性，并减少用户误操作或恶意行为造成的影响。
7. Internet Explorer设置策略Internet Explorer设置策略用于控制Internet Explorer的行为和配置。
可以设置浏览器的安全级别、对特定网站启用或禁用特定功能，如ActiveX控件、Java脚本等。
gpedit.msc（组策略）gpedit.msc(组策略):使⽤系统管理员的帐号登陆进⼊系统，打开“开始”-“运⾏”，在运⾏输⼊框中输⼊“gpedit.msc”，进⼊“组策略”.说到组策略，就不得不提注册表。
注册表是Windows系统中保存系统、应⽤软件配置的数据库，随着Windows功能的越来越丰富，注册表⾥的配置项⽬也越来越多。
很多配置都是可以⾃定义设置的，但这些配置发布在注册表的各个⾓落，如果是⼿⼯配置，可想是多么困难和烦杂。
⽽组策略则将系统重要的配置功能汇集成各种配置模块，供管理⼈员直接使⽤，从⽽达到⽅便管理计算机的⽬的。
简单点说，组策略就是修改注册表中的配置。
当然，组策略使⽤⾃⼰更完善的管理组织⽅法，可以对各种对象中的设置进⾏管理和配置，远⽐⼿⼯修改注册表⽅便、灵活，功能也更加强⼤。
各功能现如⼀介绍:计算机配置-windows设置-安全设置中包括“帐户策略”和“本地策略”两个⽅⾯，⽽其中的“帐户策略”⼜包括：密码策略、帐户锁定策略和Kerberos策略三个⽅⾯；另外的“本地策略”也包括：审核策略、⽤户权限分配和安全选项三部分。
下⾯分别予以介绍。
⼀、密码策略的设置 ⼀、密码策略的设置 密码策略作⽤于域帐户或本地帐户，其中就包含以下⼏个⽅⾯： 强制密码历史 密码最长使⽤期限 密码最短使⽤期限 密码长度最⼩值 密码必须符合复杂性要求 ⽤可还原的加密来存储密码 以上各项的配置⽅法均需根据当前⽤户帐户类型来选择。
默认情况下，成员计算机的配置与其域控制器的配置相同。
下⾯分别根据⼏种不同⽤户类型介绍相应的密码策略配置⽅法。
1. 对于本地计算机 对于本地计算机的⽤户帐户，其密码策略设置是在“本地安全设置”管理⼯个中进⾏的。
下⾯是具体的配置⽅法。
第1步，执⾏〖开始〗→〖管理⼯具〗→〖本地安全策略〗菜单操作，打开如图所⽰的“本地安全设置”界⾯。
对于本地计算机中⽤户“帐户和本地策略”都查在此管理⼯具中进⾏配置的。
组策略的配置与管理一、组策略的概念及作用组策略是Windows操作系统中的一种重要管理工具，它可以对计算机或用户进行一系列的配置和管理。
通过组策略，管理员可以对网络中的计算机和用户进行统一的管理，从而提高网络安全性、降低维护成本和提高工作效率。
二、组策略的配置与管理方法1. 打开组策略编辑器在Windows操作系统中，打开组策略编辑器有两种方法：一种是在运行窗口中输入“gpedit.msc”命令；另一种是在控制面板中选择“管理工具”->“本地安全策略”。
2. 配置计算机配置和用户配置在组策略编辑器中，有两个主要选项：计算机配置和用户配置。
管理员可以根据需要分别对这两个选项进行配置。
其中，计算机配置包括Windows设置、安全设置、软件设置等；用户配置包括Windows设置、安全设置、脚本设置等。
3. 配置组策略对象管理员可以选择要应用某个组策略的对象。
例如，可以选择应用某个组策略到特定的计算机或用户上。
4. 配置组策略规则在每个选项卡下面都有很多不同的规则可供管理员进行配置。
例如，在“Windows设置”->“安全设置”中，管理员可以配置密码策略、账户锁定策略等。
5. 配置组策略优先级如果不同的组策略规则之间存在冲突，那么就需要根据优先级来确定哪个规则会被应用。
管理员可以在组策略编辑器中为不同的规则设置优先级。
三、常见的组策略配置和管理案例1. 禁用USB存储设备在计算机配置中，选择“Windows设置”->“安全设置”->“本地策略”->“安全选项”，找到“可移动存储访问控制”，将其禁用即可禁止使用USB存储设备。
2. 配置密码策略在计算机配置中，选择“Windows设置”->“安全设置”->“账户策略”->“密码策略”，可以对密码长度、是否启用复杂性要求等进行配置。
3. 禁止用户更改壁纸在用户配置中，选择“管理模板”->“控制面板”->“个性化”，找到“阻止改变桌面背景”，将其启用即可禁止用户更改壁纸。
组策略（gpedit.msc）完全使用手册组策略（gpedit.msc）完全使用手册组策略（gpedit.msc）完全使用手册对于大部分计算机用户来说，管理计算机基本上是借助某些第三方工具，甚至是自己手工修改注册表来实现。
其实Windows XP组策略已经把这些功能集于一体，通过组策略及相关工具完全可以实现我们所需要的功能。
一、组策略基础1.什么是组策略注册表是Windows系统中保存系统软件和应用软件配置的数据库，而随着Windows功能越来越丰富，注册表里的配置项目也越来越多，很多配置都可以自定义设置，但这些配置分布在注册表的各个角落，如果是手工配置，可以想像是多么困难和烦杂。
而组策略则将系统重要的配置功能汇集成各种配置模块，供用户直接使用，从而达到方便管理计算机的目的。
其实简单地说，组策略设置就是在修改注册表中的配置。
当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。
2.组策略的版本对于Windows 9X/NT用户来说，都知道“系统策略”的概念，其实组策略就是系统策略的高级扩展，它是自Windows9X/NT的“系统策略”发展而来的，具有更多的管理模板、更灵活的设置对象及更多的功能，目前主要应用于Windows2000/XP/2003操作系统中。
早期系统策略的运行机制是通过策略管理模板，定义特定的POL(通常是Config.pol)文件。
当用户登录时，它会重写注册表中的设置值。
当然，系统策略编辑器也支持对当前注册表的修改，另外也支持连接网络计算机并对其注册表进行设置。
而组策略及其工具，则是对当前注册表进行直接修改。
显然，Windows2000/XP/2003系统的网络功能是其最大的特色之处，所以其网络功能自然是不可少的，因此组策略工具还可以打开网络上的计算机进行配置，甚至可以打开某个ActiveDirectory(活动目录)对象(即站点、域或组织单位)并对其进行设置。
组策略的创建和管理
2) 链接已有的GPO
3)设置组策略
4) 删除GPO链接
5)指派应用程序
可以将一个软件通过组策略指派给用户或者计算机，这样当用户登录时，软件会被通告给用户，但是软件并没有真正安装在该计算机，而只是安装了与软件有关的部分信息，当用户运行软件的快捷方式或者双击和该软件的文档时，该软件才会被自动安装。
如下图：
6)发布应用程序
和指派软件不同，发布一个软件时计算机并无该软件的快捷方式，用户需要用“控制面板”中的“添加或者删除应用程序”来安装软件。
发布应用程序只用于用户配置，在组策略中发布的程序是否被用户安装，取决于用户。
如下图：
知识点
学习情景二Windows Server 2003操作系统管理基本手段
子情境2.3组策略的创建和管理
2.3组策略概述
2.3.1组策略的概念
“组策略”中的“组”和我们在以前介绍的用户组并没有什么直接关系，不要把组策略理解为是针对用户组所配置的策略。
组策略是一种在用户或计算机集合上强制使用一些配置的方法，组策定义了用户的桌面环境等多种设置。
使用组策略可以给同组的计算机或者用户强加一套统一的标准，包括菜单启动项、软件设置，这样计算机或者用户可以有相同的菜单、相同的快捷方式等等各种配置。
1.组策略对象（GPO）
系统已经有两个内建GPO，分别是：
Default Domain Policy 此策略已被连接到域，因此该策略将影响域内所有计算机和用户。
Default Domain Controller Policy此策略已被连接到Domain Controller OU，因此该策略将影响域控制器组织单元内的所有计算机和用户
2．组策略配置类型
应用组策略时存在两种配置选项：计算机配置和用户配置。
计算机配置：用于管理控制计算机特定项目的策略。
包括桌面外观、安全设置、操作系统下运行、文件部署、应用程序分配和计算机启动和关机脚本运行。
这些配置应用到特定的计算机上，当该计算机启动后，自动应用设置的组策略。
用户配置：用于管理控制更多用户特定项目的管理策略。
包括应用程序配置、桌面配置、应用程序分配和计算机启动和关机脚本运行等。
当用户登录到计算机时，就会应用用户配置组策略。
3．组策略功能类型
软件部署：软件部署包括“应用程序分配”和“应用程序发行”两部分内容。
“应用程序分配”指把应用软件提供给桌面，当计算机或用户根据组策略安装后就不能修改或删除应用程序；“应用程序发行”指将应用软件提供给用户或计算机，允许它们选择安装。
软件策略：软件策略是最常用的配置设置。
这些选项定义了用户的工作环境。
例如，用户的“开始”菜单、屏保程序或用户配置文件的设置，包括操作系统组件和注册表设置。
文件夹管理：文件夹管理允许组策略系统管理员添加文件、文件夹和快捷方式到用户桌面。
例如，可以根据安全组成员的身份把网络应用程序提供给用户。
脚本：脚本能够用于在某些时间自动运行批处理文件的进程，如启动和关机、登录和注销、映射网络驱动器、映射网络打印机等。
安全：安全策略设置用于定义目录树、域、网络和本地计算机的安全配置。
它们能够用于设置账户策略。
例如，密码的使用期、网络安全策略和账户锁定策略等。
4.组策略的应用时机
组策略计算机配置的启动时机是：计算机开机时
自动启动；如果用户不重新开机，系统会每隔一
段时间自动启动；或手工启动。
组策略用户配置的启动时间是：用户登录时自动
启动；系统即使用户不注销、登录，系统默认每
隔90~120钟自动启动；手工启动。
2.3.2组策略的应用顺序
组策略的应用顺序如下：
（1）本地组策略
（2）域组策略
（3）域控制器策略
（4）组织单元组策略
默认情况下，这些策略不一致时，后应用的策略将覆盖以前的策略。
但是，如果这些设置对象不一致，前后的策略都是有效策略。
组策略可以继承，也可以阻止策略继承。
2.3.3 Windows Server 2003组策略的特点
组策略管理控制台（GPMC）
策略结果集（Rsop）
新策略设置
跨域林支持
用户数据设置和管理的增强
组策略通过Web视图整合到组策略对象编辑器中
软件限制策略
组策略对象的管理
2.3.4创建组策略
每一计算机上的本地策略都是只能有一个，因此只能编辑本地策略而不能创建本地策略，而域上或组织单元级别上可以有多个组策略，我们可以在一个域上或组织单元上同时应用多个组策略
2.3.5链接已有的GPO
2.3.6委托GPO管理控制
2.3.7设置组策略
未配置：表示该设置不会更改注册表。
已启用：表示该配置应用到该GPO的用户和计算机。
已禁用：表示注册表将指示策略不会应用到隶属于该GPO的用户和计算机。
2.3.8删除GPO链接
2.3.9组策略的应用
2.3.10指派应用程序
可以将一个软件通过组策略指派给用户或者计算机，这样当用户登录时，软件会被通告给用户，但是软件并没有真正安装在该计算机，而只是安装了与软件有关的部分信息，当用户运行软件的快捷方式或者双击和该软件的文档时，该软件才会被自动安装。
2.3.11发布应用程序
和指派软件不同，发布一个软件时计算机并无该软件的快捷方式，用户需要用“控制面板”中的“添加或者删除应用程序”来安装软件。
发布应用程序只用于用户配置，在组策略中发布的程序是否被用户安装，取决于用户。
2.3.12配置桌面
2．设置最近打开文档记录
不想让人知道自己浏览过哪些网页和打开过哪些
文件。
3．设置系统关机
每次关闭Windows Server 2003系统时，总会出
现关机原因提示框，关闭关机原因提示窗口 . 2.3.4使用脚本
所谓的脚本就是一段类似Visual Basic Script或者Java Script的一段程序或命令。
脚本用于管理用户环境，Windows Server 2003提供了脚本用于计算机的启动、关机和用户的登录和注销。
2.3.5文件夹重定向
在组策略中系统管理员可以重定向的文件夹有：应用程序、桌面、我的文档、开始菜单如果用户要保存数据到我的文档时，数据不再保存到本机而是网络位置。
这样做好处是：用户登录到域中任何计算机，他的文档会很容易获得。
2.3.6安全设置
1. 账户策略
2 本地策略
这里的“本地策略”和本地安全策略是不一样
的，本地安全策略是本地组策略的安全设置这部
分。
这里的“本地策略”是组策略中的安全设置
的小一部分（如图10－32的“计算机配置”→
“Windows设置” →“安全设置”），也就是说本
地组策略中包括本地安全策略，而本地安全策略
包含这里所说的“本地策略”。
当然域组策略也
包含了“本地策略”。
审核策略决定哪些安全事件记录到计算机的安全
日志中，可以审核成功和失败事件，例如：审核对
象访问是审核用户访问文件、文件夹、打印机的事
件
用户权利指派决定哪个用户或组有登录或任务特
权，例如我们指定哪些用户可以关闭系统。
安全选项用以启动或禁用计算机的安全设置，例
如：Administrator和Guest的账户名、软驱和光
盘的访问、驱动程序的安装以及登录提示等。
3．事件日志
4．受限制的组
受限制的组是用以控制组的成员，防止有人增加
某个组的成员。
5．系统服务
系统服务策略项用于为计算机上运行的服务配置
安全设置和启动设置。
6．注册表
注册表策略项用以指定用户或组访问注册表的权
限 .
7．文件系统
文件系统允许你在策略级别上设置文件系统对象
（NTFS目录和文件）的权限。
2.3.13 安全模板
安全模式实际上是保存有组策略中的安全设置的一个文件，可以把它当成一个样板应用到组策略中，则组策略中的安全设置就和模板中的安全设置一样。
把所有的安全设置存放在文件中方便于使用和管理，这样可以把安全设置进行备份或者复制到别的计算机上。
可以把安全模板导入到组策略中
也可以导出本地安全策略或者当前的有效安全策略到一个安全模板中，以实现安全设置的备份（常常在改变安全策略前进行这项工作）。
《服务器配置与应用》精品课11。
