組策略-基礎(chǔ)篇課件

組策略（基礎(chǔ)篇）組策略（基礎(chǔ)篇）1學(xué)習(xí)目標(biāo)懂得組策略如何簡化管理windows2003網(wǎng)絡(luò)；了解在windows2003網(wǎng)絡(luò)中組策略的結(jié)構(gòu)；了解組策略各項(xiàng)的功能；掌握組策略對(duì)象的創(chuàng)建；掌握組策略對(duì)象的生效規(guī)則。學(xué)習(xí)目標(biāo)懂得組策略如何簡化管理windows2003網(wǎng)絡(luò)；2內(nèi)容介紹組策略概念組策略的內(nèi)容結(jié)構(gòu)在活動(dòng)目錄中設(shè)置組策略組策略的生效規(guī)則內(nèi)容介紹組策略概念3重、難點(diǎn)分析重點(diǎn)：組策略的功能組策略的結(jié)構(gòu)組策略對(duì)象的創(chuàng)建組策略的生效難點(diǎn)：組策略對(duì)象的存儲(chǔ)結(jié)構(gòu)組策略對(duì)象的創(chuàng)建組策略的生效重、難點(diǎn)分析重點(diǎn)：4組策略(GroupPolicy)是一個(gè)管理用戶工作環(huán)境的技術(shù),通過它可以確保用戶擁有所需的工作環(huán)境,也可以通過它來限制用戶,這不僅讓用戶擁有適當(dāng)?shù)沫h(huán)境,也減輕了系統(tǒng)管理員的管理負(fù)擔(dān).任務(wù)一組策略概述組策略(GroupPolicy)是一個(gè)管理用戶工作環(huán)境的技5使用組策略可以做到：站點(diǎn)/域級(jí)別的集中管理，OU級(jí)別分散的管理控制用戶的系統(tǒng)軟件環(huán)境通過控制用戶和計(jì)算機(jī)環(huán)境，降低管理成本任務(wù)一組策略介紹2003就能連接使用這些設(shè)置管理員使用組策略配置設(shè)置后站點(diǎn)域OU組策略用戶計(jì)算機(jī)使用組策略可以做到：任務(wù)一組策略介紹2003就能連接使6組策略的功能展示帳戶策略的設(shè)定:例如設(shè)定用戶密碼的長度、密碼使用期限、帳戶鎖定策略等。本地策略的設(shè)置：例如審核策略的設(shè)置、用戶權(quán)限的指派、安全性的設(shè)置。腳本（scripts）的設(shè)置：例如登錄/注銷、啟動(dòng)/關(guān)機(jī)腳本的設(shè)置。用戶工作環(huán)境的設(shè)置：例如隱藏用戶桌面上所有圖標(biāo)，刪除“開始”菜單中的“運(yùn)行”/“搜索”/“關(guān)機(jī)”等功能，添加“注銷”功能等。軟件的安裝與刪除:用戶登錄或計(jì)算機(jī)啟動(dòng)時(shí)，自動(dòng)為用戶安裝應(yīng)用軟件、自動(dòng)修復(fù)應(yīng)用軟件或自動(dòng)刪除應(yīng)用軟件。限制軟件的運(yùn)行:通過各種不同軟件限制的規(guī)則，來限制域用戶只能運(yùn)行某些軟件。文件夾重定向:例如改變“我的文檔”、“開始菜單”等文件夾的存儲(chǔ)位置。其他系統(tǒng)設(shè)置組策略的功能展示帳戶策略的設(shè)定:例如設(shè)定用戶密碼的長度、密碼7用戶組策略設(shè)置:用戶登錄時(shí)，系統(tǒng)根據(jù)此內(nèi)容來配置用戶的工作環(huán)境。桌面環(huán)境設(shè)置軟件設(shè)置Windows設(shè)置安全設(shè)置計(jì)算機(jī)策略設(shè)置:啟動(dòng)計(jì)算機(jī)時(shí)，系統(tǒng)就會(huì)根據(jù)此內(nèi)容來配置計(jì)算機(jī)的環(huán)境。桌面環(huán)境設(shè)置軟件設(shè)置Windows設(shè)置安全設(shè)置組策略的組成用戶組策略設(shè)置:用戶登錄時(shí)，系統(tǒng)根據(jù)此內(nèi)容來配置用戶的工作環(huán)8組策略的配置選項(xiàng)計(jì)算機(jī)配置：當(dāng)啟動(dòng)計(jì)算機(jī)時(shí)，系統(tǒng)就會(huì)根據(jù)“計(jì)算機(jī)配置”的內(nèi)容來配置計(jì)算機(jī)的環(huán)境。用戶配置：當(dāng)用戶登錄時(shí)，系統(tǒng)就會(huì)根據(jù)“用戶配置”來配置用戶的工作環(huán)境。注：除了可以針對(duì)站點(diǎn)、域、OU來設(shè)定組策略之外，還可以針對(duì)每一臺(tái)計(jì)算機(jī)配置“本地計(jì)算機(jī)策略”，這個(gè)策略只會(huì)應(yīng)用到本地計(jì)算機(jī)以及在此計(jì)算機(jī)登錄的所有用戶。組策略的配置選項(xiàng)計(jì)算機(jī)配置：當(dāng)啟動(dòng)計(jì)算機(jī)時(shí)，系統(tǒng)就會(huì)根據(jù)“計(jì)9組策略基本規(guī)則組策略只能夠管理計(jì)算機(jī)與用戶，不可以管理打印機(jī)、共享文件夾等其它對(duì)象。組策略不能應(yīng)用到組，只可以應(yīng)用到站點(diǎn)、域控制器或者組織單位（Site、Domain、OU）等容器上。組策略不會(huì)影響未加入域的計(jì)算機(jī)和用戶，對(duì)于這些計(jì)算機(jī)和用戶，應(yīng)該使用本地安全策略來管理。組策略基本規(guī)則組策略只能夠管理計(jì)算機(jī)與用戶，不可以管理打印機(jī)10組策略是通過“組策略對(duì)象（GroupPolicyObject,GPO）”來設(shè)定的，只要將GPO鏈接到指定的站點(diǎn)、域或OU等容器上，該GPO內(nèi)的設(shè)定值就會(huì)影響到該站點(diǎn)、域或OU內(nèi)的所有用戶和計(jì)算機(jī)。內(nèi)建的GPO：系統(tǒng)已經(jīng)有兩個(gè)內(nèi)建的GPO，分別是：DefaultDomainPloicy

此GPO已經(jīng)被鏈接到域，因此它的設(shè)定值會(huì)被應(yīng)用到整個(gè)域內(nèi)的所有用戶和計(jì)算機(jī)。DefaultDomainControllerPloicy

此GPO已經(jīng)被鏈接到DomainControllerOU，因此它的設(shè)定值會(huì)被應(yīng)用到域控制器組織單位內(nèi)的所有用戶和計(jì)算機(jī)，即默認(rèn)只有域控制器。任務(wù)二組策略對(duì)象（GroupPolicyObject）組策略是通過“組策略對(duì)象（GroupPolicyObje11GPO包含組策略設(shè)置內(nèi)容存儲(chǔ)在兩個(gè)場所存儲(chǔ)在活動(dòng)目錄數(shù)據(jù)庫內(nèi)記載此GPO的屬性與版本等數(shù)據(jù)查看GPC：AD用戶和計(jì)算機(jī)--查看--高級(jí)--選擇域--展開System容器--Policies位于DC%systemroot%\SYSVOL\Sysvol\域名稱\Policies文件夾內(nèi),以GUID為文件夾名存儲(chǔ)GPO的配置值與相關(guān)文件的文件夾組策略容器GPC組策略模板GPT組策略所有配置信息GPO內(nèi)容被分為GPC和GPT兩部分：GPO的內(nèi)容GPO包含組策略設(shè)置存儲(chǔ)在活動(dòng)目錄數(shù)據(jù)庫內(nèi)位于DC%syst12創(chuàng)建連接的組策略對(duì)象創(chuàng)建連接的GPO連接的GPO的名字創(chuàng)建連接的組策略對(duì)象創(chuàng)建連接的GPO連接的GPO的名字13

默認(rèn)：連接到域/OU—域/企業(yè)管理員組連接到站點(diǎn)—企業(yè)管理員組GroupPolicyCreatorOwners組可創(chuàng)建和修改GPO，但不能建立連接。新建的GPO沒有任何設(shè)置創(chuàng)建連接的組策略對(duì)象默認(rèn)：創(chuàng)建連接的組策略對(duì)象14當(dāng)修改了站點(diǎn)、域或OU的GPO配置值后，并不是立刻就有效，而是必須等它們被應(yīng)用到用戶或計(jì)算機(jī)后才有效。計(jì)算機(jī)配置的啟用時(shí)間計(jì)算機(jī)開機(jī)時(shí)自動(dòng)啟用即使不重新開機(jī)，系統(tǒng)仍然會(huì)每隔一段時(shí)間自動(dòng)啟用：域控制器默認(rèn)每隔5分鐘自動(dòng)啟用非域控制器默認(rèn)每隔90~120分鐘自動(dòng)啟用不論策略配置值是否有變動(dòng)，系統(tǒng)仍然會(huì)每隔16小時(shí)自動(dòng)啟用一次手動(dòng)啟用：gpupdate/darget:computer/force可從事件查看器內(nèi)查看“SceCli”事件來檢查是否已經(jīng)啟用成功。任務(wù)三組策略的生效應(yīng)用當(dāng)修改了站點(diǎn)、域或OU的GPO配置值后，并不是立刻就有效，而15用戶配置的啟用時(shí)間用戶登錄時(shí)自動(dòng)啟用。即使用戶不注銷、登錄，系統(tǒng)默認(rèn)每隔90~120分鐘自動(dòng)啟用。而且會(huì)每隔16小時(shí)自動(dòng)啟用一次。手動(dòng)啟用：gpupdate/darget:user/force用戶配置的啟用時(shí)間16組策略實(shí)例在繼續(xù)組策略高級(jí)功能之前，為了加深印象，下面關(guān)于計(jì)算機(jī)和用戶的兩個(gè)實(shí)例：實(shí)例1：計(jì)算機(jī)配置由于系統(tǒng)默認(rèn)只有某些組內(nèi)（administrators）的用戶才有權(quán)限在扮演域控制器的計(jì)算機(jī)上登陸，因此一般用戶登陸時(shí)會(huì)提示“此系統(tǒng)的本地策略不允許您交互登陸”讓所有的域用戶都能登陸，修改“DefaultDomainControllerPloicy”中的“允許本地登陸”的權(quán)限。組策略實(shí)例在繼續(xù)組策略高級(jí)功能之前，為了加深印象，下面關(guān)于計(jì)17組策略實(shí)例實(shí)例2：用戶配置利用“用戶配置”讓某OU容器內(nèi)的用戶登陸后在“開始”菜單內(nèi)沒有“運(yùn)行”選項(xiàng)。選擇此OU—屬性—組策略—新建—用戶配置—管理模板—任務(wù)欄和[開始]菜單—從[開始]菜單中刪除‘運(yùn)行’菜單組策略實(shí)例實(shí)例2：用戶配置18總結(jié)組策略的介紹組策略的結(jié)構(gòu)組策略對(duì)象的內(nèi)容組策略的生效時(shí)間總結(jié)組策略的介紹19組策略（基礎(chǔ)篇）組策略（基礎(chǔ)篇）20學(xué)習(xí)目標(biāo)懂得組策略如何簡化管理windows2003網(wǎng)絡(luò)；了解在windows2003網(wǎng)絡(luò)中組策略的結(jié)構(gòu)；了解組策略各項(xiàng)的功能；掌握組策略對(duì)象的創(chuàng)建；掌握組策略對(duì)象的生效規(guī)則。學(xué)習(xí)目標(biāo)懂得組策略如何簡化管理windows2003網(wǎng)絡(luò)；21內(nèi)容介紹組策略概念組策略的內(nèi)容結(jié)構(gòu)在活動(dòng)目錄中設(shè)置組策略組策略的生效規(guī)則內(nèi)容介紹組策略概念22重、難點(diǎn)分析重點(diǎn)：組策略的功能組策略的結(jié)構(gòu)組策略對(duì)象的創(chuàng)建組策略的生效難點(diǎn)：組策略對(duì)象的存儲(chǔ)結(jié)構(gòu)組策略對(duì)象的創(chuàng)建組策略的生效重、難點(diǎn)分析重點(diǎn)：23組策略(GroupPolicy)是一個(gè)管理用戶工作環(huán)境的技術(shù),通過它可以確保用戶擁有所需的工作環(huán)境,也可以通過它來限制用戶,這不僅讓用戶擁有適當(dāng)?shù)沫h(huán)境,也減輕了系統(tǒng)管理員的管理負(fù)擔(dān).任務(wù)一組策略概述組策略(GroupPolicy)是一個(gè)管理用戶工作環(huán)境的技24使用組策略可以做到：站點(diǎn)/域級(jí)別的集中管理，OU級(jí)別分散的管理控制用戶的系統(tǒng)軟件環(huán)境通過控制用戶和計(jì)算機(jī)環(huán)境，降低管理成本任務(wù)一組策略介紹2003就能連接使用這些設(shè)置管理員使用組策略配置設(shè)置后站點(diǎn)域OU組策略用戶計(jì)算機(jī)使用組策略可以做到：任務(wù)一組策略介紹2003就能連接使25組策略的功能展示帳戶策略的設(shè)定:例如設(shè)定用戶密碼的長度、密碼使用期限、帳戶鎖定策略等。本地策略的設(shè)置：例如審核策略的設(shè)置、用戶權(quán)限的指派、安全性的設(shè)置。腳本（scripts）的設(shè)置：例如登錄/注銷、啟動(dòng)/關(guān)機(jī)腳本的設(shè)置。用戶工作環(huán)境的設(shè)置：例如隱藏用戶桌面上所有圖標(biāo)，刪除“開始”菜單中的“運(yùn)行”/“搜索”/“關(guān)機(jī)”等功能，添加“注銷”功能等。軟件的安裝與刪除:用戶登錄或計(jì)算機(jī)啟動(dòng)時(shí)，自動(dòng)為用戶安裝應(yīng)用軟件、自動(dòng)修復(fù)應(yīng)用軟件或自動(dòng)刪除應(yīng)用軟件。限制軟件的運(yùn)行:通過各種不同軟件限制的規(guī)則，來限制域用戶只能運(yùn)行某些軟件。文件夾重定向:例如改變“我的文檔”、“開始菜單”等文件夾的存儲(chǔ)位置。其他系統(tǒng)設(shè)置組策略的功能展示帳戶策略的設(shè)定:例如設(shè)定用戶密碼的長度、密碼26用戶組策略設(shè)置:用戶登錄時(shí)，系統(tǒng)根據(jù)此內(nèi)容來配置用戶的工作環(huán)境。桌面環(huán)境設(shè)置軟件設(shè)置Windows設(shè)置安全設(shè)置計(jì)算機(jī)策略設(shè)置:啟動(dòng)計(jì)算機(jī)時(shí)，系統(tǒng)就會(huì)根據(jù)此內(nèi)容來配置計(jì)算機(jī)的環(huán)境。桌面環(huán)境設(shè)置軟件設(shè)置Windows設(shè)置安全設(shè)置組策略的組成用戶組策略設(shè)置:用戶登錄時(shí)，系統(tǒng)根據(jù)此內(nèi)容來配置用戶的工作環(huán)27組策略的配置選項(xiàng)計(jì)算機(jī)配置：當(dāng)啟動(dòng)計(jì)算機(jī)時(shí)，系統(tǒng)就會(huì)根據(jù)“計(jì)算機(jī)配置”的內(nèi)容來配置計(jì)算機(jī)的環(huán)境。用戶配置：當(dāng)用戶登錄時(shí)，系統(tǒng)就會(huì)根據(jù)“用戶配置”來配置用戶的工作環(huán)境。注：除了可以針對(duì)站點(diǎn)、域、OU來設(shè)定組策略之外，還可以針對(duì)每一臺(tái)計(jì)算機(jī)配置“本地計(jì)算機(jī)策略”，這個(gè)策略只會(huì)應(yīng)用到本地計(jì)算機(jī)以及在此計(jì)算機(jī)登錄的所有用戶。組策略的配置選項(xiàng)計(jì)算機(jī)配置：當(dāng)啟動(dòng)計(jì)算機(jī)時(shí)，系統(tǒng)就會(huì)根據(jù)“計(jì)28組策略基本規(guī)則組策略只能夠管理計(jì)算機(jī)與用戶，不可以管理打印機(jī)、共享文件夾等其它對(duì)象。組策略不能應(yīng)用到組，只可以應(yīng)用到站點(diǎn)、域控制器或者組織單位（Site、Domain、OU）等容器上。組策略不會(huì)影響未加入域的計(jì)算機(jī)和用戶，對(duì)于這些計(jì)算機(jī)和用戶，應(yīng)該使用本地安全策略來管理。組策略基本規(guī)則組策略只能夠管理計(jì)算機(jī)與用戶，不可以管理打印機(jī)29組策略是通過“組策略對(duì)象（GroupPolicyObject,GPO）”來設(shè)定的，只要將GPO鏈接到指定的站點(diǎn)、域或OU等容器上，該GPO內(nèi)的設(shè)定值就會(huì)影響到該站點(diǎn)、域或OU內(nèi)的所有用戶和計(jì)算機(jī)。內(nèi)建的GPO：系統(tǒng)已經(jīng)有兩個(gè)內(nèi)建的GPO，分別是：DefaultDomainPloicy

此GPO已經(jīng)被鏈接到域，因此它的設(shè)定值會(huì)被應(yīng)用到整個(gè)域內(nèi)的所有用戶和計(jì)算機(jī)。DefaultDomainControllerPloicy

此GPO已經(jīng)被鏈接到DomainControllerOU，因此它的設(shè)定值會(huì)被應(yīng)用到域控制器組織單位內(nèi)的所有用戶和計(jì)算機(jī)，即默認(rèn)只有域控制器。任務(wù)二組策略對(duì)象（GroupPolicyObject）組策略是通過“組策略對(duì)象（GroupPolicyObje30GPO包含組策略設(shè)置內(nèi)容存儲(chǔ)在兩個(gè)場所存儲(chǔ)在活動(dòng)目錄數(shù)據(jù)庫內(nèi)記載此GPO的屬性與版本等數(shù)據(jù)查看GPC：AD用戶和計(jì)算機(jī)--查看--高級(jí)--選擇域--展開System容器--Policies位于DC%systemroot%\SYSVOL\Sysvol\域名稱\Policies文件夾內(nèi),以GUID為文件夾名存儲(chǔ)GPO的配置值與相關(guān)文件的文件夾組策略容器GPC組策略模板GPT組策略所有配置信息GPO內(nèi)容被分為GPC和GPT兩部分：GPO的內(nèi)容GPO包含組策略設(shè)置存儲(chǔ)在活動(dòng)目錄數(shù)據(jù)庫內(nèi)位于DC%syst31創(chuàng)建連接的組策略對(duì)象創(chuàng)建連接的GPO連接的GPO的名字創(chuàng)建連接的組策略對(duì)象創(chuàng)建連接的GPO連接的GPO的名字32

默認(rèn)：連接到域/OU—域/企業(yè)管理員組連接到站點(diǎn)—企業(yè)管理員組GroupPolicyCreatorOwners組可創(chuàng)建和修改GPO，但不能建立連接。新建的GPO沒有任何設(shè)置創(chuàng)建連接的組策略對(duì)象默認(rèn)：創(chuàng)建連接的組策略對(duì)象33當(dāng)修改了站點(diǎn)、域或OU的GPO配置值后，并不是立刻就有效，而是必須等它們被應(yīng)用到用戶或計(jì)算機(jī)后才有效。計(jì)算機(jī)配置的啟用時(shí)間計(jì)算機(jī)開機(jī)時(shí)自動(dòng)啟用即使不重新開機(jī)，系統(tǒng)仍然會(huì)每隔一段時(shí)間自動(dòng)啟用：域控制器默認(rèn)每隔5分鐘自動(dòng)啟用非域控制器默認(rèn)每隔90~120分鐘自動(dòng)啟用不論策略配置值是否有變動(dòng)，系統(tǒng)仍然會(huì)每隔16小時(shí)自動(dòng)啟用一次手動(dòng)啟用：gpupdate/darget:com