windows高级应用AD_05_利用组策略部署软件
1
上节回顾
组策略的概念 组策略的处理规则 利用组策略来管理用户环境 组策略的委派管理
2
本章目标
计算机应用管理模板设置 利用组策略部署软件 组策略部署常见问题及解决办法
3
计算机应用管理模板设置
管理模板 设置修改用户环境的注册表 在注册表子树中对应的位置 当一个GPO不再有效，这些内容被从注册表中删 除，就只有本地注册设置在使用 Windows 2003 将同时应用GPO和本地注册设置， 除非它们只有有冲突
8
将软件发布给用户
建立软件发布点 设置默认封装位置 发布软件 安装被发布的软件
9
建立软件发布点
软件发布点是用于存储Windows Installer Package的共享文件夹。可在域中的任何一台服 务器内建立一个文件夹，这个文件夹是用来存储 Windows Installer Package
10
4
应用GPO的过程
客户机启动时，查询GPO列表 连接SYSVOL文件夹并找到Registry.pol文件 将Registry.pol文件设置值写入注册表目录树 （HKLM 和 HKCU） 注册设置实施后，计算机出现登录对话框，重复 以上过程，HKCU实施后，出现桌面
5
利用组策略部署软件
软件部署概论 软件发布与指派 修改部署的软件 软件包装程序
20
常见问题
注册设置没有被应用 脚本没有被执行 文件夹没有重定向 在客户端没有发现应用程序 应用程序无法安装 应用程序没有达到预先定制的效果
21
最佳方式
建立最少的GPO请求数目 减少在同一个OU中受到回送影响的计算机 始终测试管理模板的效果 确认优先运行脚本 始终重定向我的文档文件夹
22
最佳方式
首先在一个测试组部署程序包 使用域模式的DFS 注意指定程序包的软件分发点位置 有规则的组织分发程序 不要使用不同的方法来分发相同的软件
23
本章总结
软件部署概论 Windows 软件部署组件 软件部署 配置软件部署 维护软件部署 软件部署排错 最佳方式
24
本章总结
可以利用Active Directory的组策略功能来为公司 的计算机部署软件，也就是替这些计算机安装、 维护与删除软件
12
发布软件
13
安装被发布的软件
开始→控制面板→添加或删除程序→在图5.8所示 单击添加新程序，之后对话框中的“从网络添加 程序”处就会显示所有已发布给该用户的软件 选择要安装的软件后单击“添加”按钮，按下来 会由Windows Installer service来负责安装此软件。 安装完成后，在“开始”→“所有程序”内就会 出现该程序的快捷方式
7
软件发布与指派
软件的指派
当一个软件通过组策略的GPO指派给域内的用户后，则用 户在域内的任何一台计算机登陆时，这个软件都会被“通 告（advertised）”给该用户，但是这个软件并没有真正的 被安装
软件的发布
当一个软件通过组策略的GPO指派给域内的用户后，该软件 不会自动安装到用户的计算机内，用户需要通过以下方式 来安装这个软件：开始→控制面板→添加或删除程序→添 加程序
6
软件部署概论
通过组策略来为域内的用户与计算机部署软件， 而软件的部署分为指派（assign）与发布 （publish）两种。它让用户可以很容易的拥有这 些软件 软件应为“Windows Installer Package”，也就是 这些软件内包含着一个扩展名为.msi的文件 Windows Server 2003 利用 Windows Installer service来安装Windows Installer Package
19
软件包装程序
某些软件公司提供了一些工具程序，可以利用它 们来编辑Windows Installer Package,或是将用传 统SETUP方式安装的软件包装成Windows Installer Package。例如Veritas、其中 Installshield、Wise Solutions与Microsoft都有类 似的编辑工具
16
软件升级类型
强制升级 只能使用唯一的版本 非强制升级 由用户决定是否升级 选择升级 有选择的升级
17
软件升级
1. 在服务器放置软件升级包 2. 重新部署软件包 3. 用户登录并启动软件 4. 用户登录并激活软件
18
删除已发布软件的方式
强制删除 自动从计算机内删除且不可再用 可选删除 没有从计算机内删除且不存在软件包 的安装程序
25
实验目标
软件分发 利用组策略分发 offices 2003软件 实验准备：虚拟机中建立域控器DC与客户端PC 各一台，准备分发的软件office2003 操作方法： 1. 建立软件分发点
2. 将要分发的软件复制到分发点中，可以通过打包 的方 法，将软件包重新解压到软件分发点中 3. 在组策略中指定软件分发包的路径，发布要分发的软件 的MSI程序包
26
实验完成标准
在客户端顺利完成offices2003的安装 删除发布的软件包后,该安装程序即从客户端消失
27
改变部署设置
部署类型 选择已发布或已指派。 通过文件扩展名激活自动安装应用程序 表示可以让用户 拥有文件启动的功能。 当这个应用程序不再处于管理的范围时，将其卸载。 不要在“添加或删除程序”控制面板中显示这个程序包。 安装用户界面选项 让用户通过基本安装或完整安装来安 装此软件
建立软件发布点
步骤1 将此文件夹设为共享文件夹，并赋予一个共 享名（建议将此共享文件夹隐藏起来，也就是共 享名后附加$符号） 步骤2 在共享文件夹内建立一个存放发布文件的子 2 文件夹，然后将要发布的文件复制到此文件夹内
11
设置默认封装位置
步骤1 执行以下操作：开始-管理工具-Active Directory用户和计算机-右击业务部OU-属性-组策略-选 取GPO-编辑-选择用户配置-软件设置-右击软件安装-属性 步骤2 在“默认程序包位置”处输入软件的存储位置， 注意必须是网络路径（UNC路径），然后单击“确定”按 钮
利用组策略来发布和指派软件
利用Active Directory管理工具（ADMT）进行组策略的管理和配置 。
Windows Server Management Studio
通过Windows Server Management Studio进行组策略的管理和配 置。
组策略管理控制台（GPMC）
为了保障网络安全，管理员可以利用组策略指派杀毒软件给用户。通过组策略，管理员可以统一配置杀毒软件的 设置，确保所有用户都使用相同的设置，提高网络安全防护能力。同时，组策略还可以定期更新杀毒软件的病毒 库，确保用户设备的安全性。
案例三
总结词
自动化、便捷
详细描述
通过组策略，管理员可以实现软件的自动安装与卸载，为用户提供更加便捷的服务。管 理员可以制定软件的安装和卸载脚本，通过组策略发布给用户。当需要安装或卸载软件 时，管理员只需更新组策略配置，而无需逐个用户进行操作，提高了管理效率。同时，
自动化安装与卸载还可以减少人为错误和遗漏，确保软件的正确安装和卸载。
06
总结与展望
利用组策略发布和指派软件的优势与不足
自动化部署
组策略可以自动化地发布和指派软件 ，大大减少了手动安装和配置的时间 和工作量。
集中管理
通过组策略，管理员可以在中央位置 管理和配置软件分发，提高了管理效 率和可维护性。
05
案例分析
案例一：利用组策略发布办公软件
总结词
高效、集中管理
详细描述
通过组策略，管理员可以发布办公软件给用户，确保所有用户使用统一的软件 版本，减少因软件版本不同导致的问题。同时，组策略可以集中管理软件的安 装、配置和更新，提高管理效率。
案例二：利用组策略指派杀毒软件
Windows操作系统组策略应用全攻略
创建组策略对象
VS
在组策略编辑器右侧的窗格中，可以选择相应的策略进行编辑。例如，可以设置计算机配置或用户配置的策略，包括Windows设置、安全设置、用户权限分配等。
导入脚本
可以在组策略编辑器中导入脚本来自动化设置策略。脚本文件通常以`.bat`或`.ps1`格式存在，可以在编辑器中选择“文件”菜单下的“导入”命令，选择脚本文件并点击“打开”即可导入。
网络通讯设置
04
组策略的故障分析与排除
确定故障范围
要明确故障的具体范围，例如是特定用户、计算机或网络范围内的故障。
组策略的故障识别
了解故障症状
要了解并记录有关故障的具体表现和症状，包括是否出现错误消息、功能失效或性能下降等。
检查应用程序和服务
检查是否安装了可能干扰组策略的应用程序或服务，并禁用它们以进行故障排除。
THANK YOU.
谢谢您的观看
组策略的优点和限制
02
组策略的创建与编辑
打开“组策略”编辑器
在Windows操作系统中，按下“Win键”+“R”键打开“运行”对话框，输入“gpedit.msc”并点击“确定”打开组策略编辑器。
创建新的组策略对象
在组策略编辑器左侧的树形视图中，右键点击“计算机配置”或“用户配置”，选择“新建策略”，输入策略名称后点击“确定”即可创建新的组策略对象。
在Windows操作系统中，组策略是管理员进行配置和管理的强大工具，可在计算机或特定用户上设置各种配置，包括软件设置、安全性和网络设置等。
组策略基本概念
组策略是Windows操作系统中的一种机制，管理员可以使用它来定义计算机或特定用户的各种配置。
组策略基本操作
组策略的基本操作包括创建、编辑、删除、导出和导入等。
AD域组策略规划和部署指南
AD域组策略规划和部署指南AD域（Active Directory）是一种用于管理网络资源的服务。
组策略是AD域中的一项功能，在整个域范围内为用户和计算机提供统一的安全设置和管理。
本文将提供AD域组策略规划和部署的指南，帮助管理员更好地使用此功能。
一、规划阶段1.定义需求：首先，确定组策略的主要需求和目标。
这可能包括安全性、访问控制、软件分发、用户配置等方面。
2.识别和分类对象：将AD域中的用户和计算机分组，并为每个组定义不同的策略需求。
例如，可以将用户分为管理人员、技术人员和普通员工等组别。
3.制定策略范围：确定需要部署组策略的范围。
可以选择在整个域中实施策略，也可以仅在特定的组织单位或者OU（组织单元）中实施。
二、设计策略1.定义基本策略：根据需求和目标，制定基本策略模板。
这些策略包括密码策略、帐户锁定策略、用户权限策略等。
2.定义高级策略：根据不同的组别和对象，制定更详细的策略，以满足各组的需求。
例如，可以为管理人员组设计更严格的安全设置，为技术人员组配置特定的软件等。
3.组织单位结构设计：根据分组需求，设计合适的OU结构。
这将有助于更好地管理和应用组策略，使其更符合组织的层次结构和需求。
三、实施策略1.创建组策略：在AD域中，使用组策略对象来创建和管理策略。
可以通过右键单击"组策略对象"，然后选择"新建策略"来创建新的策略。
2.配置策略设置：打开组策略对象后，可以根据需求和目标，通过对不同设置进行配置来实施策略。
这些设置包括安全设置、软件安装、脚本执行、桌面设置等。
3.应用策略：设置好策略后，在AD域中的对象将自动接收到策略，并按照设置进行操作。
可以通过强制组策略更新、重启计算机等方式来确保策略被应用。
四、测试和审计1.测试策略：在实施策略后，进行测试以确保它们按预期工作。
可以选择一些测试用户和计算机，观察他们是否符合策略要求。
2.审计策略：定期审计和评估组策略的效果和安全性。
使用组策略部署软件
需要注意的是已发布的方法只能部署到用户，不能部署到计算机上，也就是说只有组策略中的用户配置可以使用这种部署方法。
已发布软件部署方法可以保证：1、当用户登录计算机时，软件并不会自动安装，只有当用户双击与应用程序关联的文件时，软件才会自动安装。
如我们双击一个ppt 文档或doc文档时，会自动安装OFFICE。
2、对于发布的软件，用户可以在控制面板中的“添加/删除”中安装或者删除，也就是说用户自己可以安装，也可以卸载。
这种部署方法的好处在于，对于一些不能确定使用用户的软件，可以以发布方法部署，是否安装由用户自己决定。
配置方法如下：1、右击“用户配置”中的“软件安装”，选择“新建”，然后单击“程序包”。
在“打开对话框”中选定“软件分发点”中的MSI包文件，然后单击“打开”。
2、在选择部署方法中，选定“已发布”。
已指派的方法可以将软件部署给用户和计算机，也就是说组策略中的用户策略与计算机策略都可以使用这种部署方法。
这一点需要与发行方法区别开。
当我们使用此方法将软件指派给用户时可以保证：1、软件对用户总是可用的，不管用户从哪一台计算机登陆，软件都将会在开始菜单或桌面上出现，但这时软件并没有被安装，只有在用户双击应用程序图标或与应用程序关联的文件时，软件才会被安装。
2、如果用户删除了安装的软件，哪么当用户下次登录时软件还会出现在开始菜单或是桌面上，并在用户双击关联文件时被激活安装。
这种部署的好处在于，对于一些不常用的，但某些人却必须要使用的软件我们没有必要在每台计算机都安装，只要指派给需要的用户，不管这个用户在哪台计算机上操作，都能保证要使用的软件是可用的。
方法如下：1、右击“用户配置”中的“软件安装”，选择“新建”，然后单击“程序包”。
在“打开对话框”中选定“软件分发点”中的MSI包文件，然后单击“打开”。
2、在选择部署方法中，选定“已指派”。
当我们使用此方法将软件指派给用户时可以保证：1、对于被指派的计算机，软件总是可用的，无论哪个用户登录都可以使用被指派的软件。
利用组策略来发布和指派软件
汇报人： 2024-01-03
目录
• 组策略简介 • 软件发布与指派 • 组策略软件发布与指派实践 • 常见问题和解决方案 • 案例分析
01
组策略简介
组策略的定义
01
组策略（Group
Policy）是
Windows操作系统中用于管理和
配置网络中计算机的策略工具。
02
案例二：利用组策略发布和指派杀毒软件
总结词
安全、可靠
详细描述
杀毒软件对于企业网络安全至关重要。通过组策略，管理员可以确保所有计算机 都安装了最新版本的杀毒软件，并设置了相同的防护策略。这有助于提高整个网 络的安全性和可靠性。
案例三：利用组策略发布和指派浏览器软件
总结词
统一、规范
详细描述
为了确保员工使用安全的浏览器软件，管理员可以利用组策略来发布和指派特定的浏览器。通过设置软件的参数 、安全选项和更新策略，可以确保所有计算机上的浏览器都符合企业的安全规范和标准。这有助于维护企业数据 的安全和保护员工隐私。
验证组策略效果
通过监控软件的使用情况、用户反馈和系统日志等方式，验 证组策略发布和指派的软件是否满足用户需求，并评估其效 果和性能。
04
常见问题和解决方案
组策略软件发布与指派常见问题
软件无法安装或运行
组策略设置可能阻止软件的安装或运行，需要检查组策略设置是 否正确。
软件版本冲突
在发布软件时，可能会遇到软件版本冲突问题，需要确保软件版本 与操作系统版本兼容。
THANKS
谢谢您的观看
。
脚本部署
组策略可以用来部署自 动脚本，以便在计算机 启动、关闭或登录时自
动执行。
Windows 10组策略应用
Windows 10组策略应用组策略是Windows操作系统中的一项重要功能，它可以帮助管理员对计算机或用户进行集中管理。
通过组策略，管理员可以控制和配置计算机上的各种设置，包括安全设置、网络设置、应用程序限制、桌面设置等等。
本文将详细介绍Windows 10组策略的应用，并提供相关实例和细节分析。
首先，我们来了解一下Windows 10的组策略功能。
组策略是通过活动目录域服务（Active Directory Domain Services，AD DS）来实现的。
AD DS是Windows Server操作系统的一项功能，它允许管理员在网络中集中管理用户、计算机和其他资源。
通过组策略，管理员可以在活动目录域中创建策略，并将这些策略应用于特定的用户组或计算机组。
一旦策略被应用，相应的设置将会自动在目标计算机上生效。
在Windows 10中，可以使用组策略编辑器（Group Policy Editor）来创建和配置组策略。
该编辑器提供了一个图形化界面，使管理员能够方便地进行设置和修改。
可以通过本地组策略编辑器（Local Group Policy Editor）来编辑本地计算机上的策略，也可以通过远程组策略管理（Group Policy Management）工具来编辑整个域中的策略。
组策略可以应用于计算机配置和用户配置。
计算机配置适用于计算机层面的设置，如启动脚本、安全设置、应用程序限制等。
用户配置适用于用户层面的设置，如桌面设置、应用程序访问、Internet设置等。
通过组策略可以为不同的计算机和用户提供不同的配置。
例如，可以通过组策略限制某些用户对特定程序的访问权限，或者通过组策略设置某些计算机的网络连接方式。
接下来，我们将深入讨论Windows 10组策略的一些常见应用。
1. 安全设置：通过组策略，管理员可以强制实施严格的安全设置，以保护计算机和网络的安全。
例如，可以通过组策略禁用不安全的网络协议和服务，限制用户对敏感文件和文件夹的访问权限，配置防火墙和安全审计等。
Windows系统本地组策略编辑器使用指南定制系统设置
Windows系统本地组策略编辑器使用指南定制系统设置Windows操作系统是现代计算机的核心运行系统之一，为用户提供了强大的功能和广泛的定制性。
本地组策略编辑器是Windows系统提供的一个工具，可以用于管理计算机的各种设置和配置。
本文将为您详细介绍本地组策略编辑器的使用指南，帮助您定制适合您需求的系统设置。
一、打开本地组策略编辑器本地组策略编辑器是一个系统隐藏功能，只能通过特定的方法进行打开。
以下是打开本地组策略编辑器的步骤：1.按下Win + R键，打开运行对话框。
2.在运行对话框中输入“gpedit.msc”，点击确定按钮。
3.本地组策略编辑器窗口将随即打开。
二、理解本地组策略编辑器的基本概念在开始配置系统设置前，有几个基本的概念需要了解：1.计算机配置：用于配置整个计算机的设置，如安全选项、操作系统设置等。
2.用户配置：用于配置指定用户的设置，如桌面背景、启动菜单设置等。
3.策略设置：用于定义特定配置的规则和要求。
三、使用本地组策略编辑器定制系统设置本地组策略编辑器提供了众多的配置选项，可以根据用户需求进行个性化定制。
以下是几个常见的系统设置示例：1.禁用控制面板：选择“用户配置”→“管理模板”→“控制面板”，在右侧找到“禁用控制面板”策略设置，双击并选择已禁用，点击确定即可禁用控制面板。
2.设置密码策略：选择“计算机配置”→“Windows设置”→“安全设置”→“账户策略”，在右侧找到“密码必须符合复杂性要求”策略设置，双击并选择已启用，点击确定即可设置密码策略。
3.禁用USB驱动器：选择“计算机配置”→“管理模板”→“系统”→“可移动存储访问”，在右侧找到“所有可移动存储设备的阻止访问”策略设置，双击并选择已启用，点击确定即可禁用USB驱动器。
四、导出和导入策略设置在完成一系列的系统设置后，您可以将这些策略设置导出并在其他计算机上导入，以实现快速部署和配置一致性。
以下是导出和导入策略设置的步骤：1.导出策略设置：选择“文件”→“导出”，选择一个保存位置和文件名，点击保存按钮即可导出策略设置。
Windows系统组策略应用技巧
等，提高计算机ห้องสมุดไป่ตู้能效果。
03
组策略应用技巧
管理用户账户
创建新的用户账户
01
通过控制面板或命令行创建新的用户账户，并设置密码和权限
。
禁用或删除不必要的用户账户
02
禁用或删除不必要的用户账户，以减少系统的安全风险和管理
负担。
限制用户账户的登录时间
根据系统检测到的软件使用情况，智能推荐需要 的软件安装，提高工作效率。
实现批量操作
批量删除文件
可以批量删除不需要的文件，节省存储空间 ，提高系统运行速度。
批量重命名文件
通过组策略可以实现对文件名的批量重命名 ，极大提高工作效率。
批量修改文件属性
根据需要可以批量修改文件的属性，如只读 、隐藏等，提高文件管理效率。
优化系统性能（续）
关闭无用服务
通过组策略可以关闭无用的系统服务，减少系统资源占用，提高 系统性能。
优化磁盘读写速度
通过组策略可以优化磁盘读写速度，提高文件访问速度。
禁止不必要的窗口
可以禁止不必要的系统窗口弹出，减少系统资源占用，提高系统响 应速度。
THANK YOU
通过组策略禁用不必要的网络共享，可以减 少病毒通过网络传播的风险。
限制不必要的端口
通过组策略限制不必要的端口，可以防止病 毒通过这些端口入侵系统。
强制执行安全设置
通过组策略强制执行安全设置，可以确保系 统的安全性和稳定性。
加强系统安全
禁用不必要的服务
通过组策略禁用不必要的服务，可以减少系统资源占用，提高系统 性能和安全性。
限制不必要的程序运行
使用组策略配置域中任务计划
使用组策略配置域中任务计划组策略（Group Policy）是Windows域中一种集中管理计算机和用户配置的技术。
通过使用组策略，管理员可以轻松地配置和部署计算机和用户的设置，以便满足组织的安全性、合规性和操作需求。
其中一种常见的使用组策略的场景是配置任务计划。
在本文中，将介绍如何使用组策略配置域中的任务计划。
如果要配置计算机级别的任务计划，可以展开"计算机配置"，然后选择"Windows 设置" -> "安全设置" -> "任务计划程序"。
在右侧的窗格中，可以看到数个可配置的选项。
要创建一个新的任务计划，可以使用右侧窗格中"任务计划程序库"的选项。
右键单击"任务计划程序库"，选择"新建任务计划"。
在弹出的对话框中，指定新任务计划的名称和描述。
然后点击"下一步"。
在下一步中，可以选择计划任务执行的触发器。
可以根据需要选择不同的触发器类型，例如在每天指定时间执行、在登录时启动或在特定事件发生时执行。
选择合适的触发器后，点击"下一步"。
在下一步中，可以指定要执行的操作。
可以选择运行程序、脚本或发送电子邮件等操作。
根据不同操作的需求，选择合适的选项，并配置相关的参数。
完成后，点击"下一步"。
在下一步中，可以选择任务计划的安全选项。
这些选项包括指定运行任务的账户、配置运行任务时的权限以及是否将任务计划设置为隐藏。
根据组织的需求进行相应的配置，并点击"下一步"。
在最后一步中，可以对任务计划进行最后的概述和配置检查。
确认任务计划的设置无误后，点击"完成"。
现在已经创建了一个新的任务计划。
要配置任务计划的其他设置，可以在任务计划程序库中选择相应的任务计划，然后右键单击并选择"属性"。
利用组策略部署软件与限制软件运行相关知识
利用组策略部署软件与限制软件运行
6.1.4 自动修复软件
被发布或分配的软件可以具备自动修复的功能（视 软件而定），也就是客户端在安装完成后，若此软件程 序内有关键性的文件损毁、遗失或不小心被用户删除则 在用户执行此软件时，系统会自动检测到此不正常现象 ，并重新安装这些文件。
利用组策略部署软件与限制软件运行
利用组策略部署软件与限制软件运行
6.1.1 将软件分配给用户
将一个软件通过组策略分配给域用户后，用户在任何 一台域成员计算机登录时，这个软件会被通告( advertised) 给该用户，但此软件并没有被安装，而只是安装了与这个 软件有关的部分信息而已，例如可能会在开始窗口或开始 菜单中自动建立该软件的快捷方式（需视该软件是否支持 此功能而定）。
可以利用网络区域规则来允许或拒绝用户运行位于某 个区域内的程序，这些区域包含本地计算机、Internet、 本地Intranet、可信站点与受限站点。
除了本地计算机与Internet之外，您可以设置其他3 个区域内所包含的计算机或网站：【打开网页浏览器 Internet Explorer→按下Alt键→单击工具菜单 →lnternet选项→单击图6-1中的安全选项卡→选择要设 置的区域后单击“站点”按钮】。
6.1.5 删除软件
Windows Server 2012( R2)具备Active Directory 回收站功能，它让系统管理员不需要进入目录服务还原模 式，就可以快速恢复被删除的对象。
利用组策略部署软件与限制软件运行
6.2 软件限制策略概述
在5.3.2节中介绍过如何利用文件名来限制用户可以 或不可以运行特定的应用程序，然而若用户有权修改文 件名，就可以突破此限制，此时我们仍然可以通过本章 的软件限制策略进行控制。此策略的安全等级分为下面3 种。