06-使用组策略管理用户环境
Windows Server活动目录企业应用Windows Server使用组策略管理用户工作环境
Windows Server活动目录企业应用项目四 使用组策略管理用户地工作环境四.一有关知识识组策略是一种能够让系统管理员充分管理与控制用户工作环境地功能通过它来确保用户拥有符合组织要求地工作环境,也通过它来限制用户,这样不但可以让用户拥有适当地环境,也可以减轻系统管理员地管理负担。
本节介绍如何使用组策略来简化在Active Directory环境管理计算机与用户。
将了解组策略对象(GPO)结构以及如何应用GPO,还有应用GPO时地某些例外情况。
本节还将讨论Windows Server 二零一二提供地组策略功能,这些功能也有助于简化计算机与用户管理。
四.一.一组策略组策略是一种技术,它支持Active Directory环境计算机与用户地一对多管理,特点如图六-一所示。
图六-一组策略通过编辑组策略设置,并针对目地用户或计算机设计组策略对象(GPO),可以集管理具体地配置参数。
这样,只更改一个GPO,就能管理成千上万地计算机或用户。
组策略对象是应用于选定用户与计算机地设置地集合。
组策略可控制目地对象地环境地很多方面,包括注册表,NTFS文件系统安全,审核与安全策略,软件安装与限制,桌面环境,登录/注销脚本等。
通过链接,一个GPO可与AD DS地多个容器关联。
反过来,多个GPO也可链接到一个容器。
一．域策略域级策略只影响属于该域地用户与计算机。
默认情况下存在两个域级策略,如表六-一所示。
表六-一默认域级策略（域策略,域控制器策略）可以创建其它域级策略,然后将其链接到AD DS地各种容器,以将具体配置应用于选定对象。
例如,提供额外安全设置地GPO可应用于包含应用程序服务器计算机账户地组织单位。
又如,GPO可限制某个组织单位用户地桌面环境。
二．本地策略运行Windows 二零零零 Server或更高版本操作系统地每台计算机都有本地组策略。
此策略影响本地计算机以及登录到该计算机地任何用户,包括从该本地计算机登录到域地域用户。
组策略的使用以及备份恢复等
通过调整组策略处理顺序，可以确保关键设置优先处理，从而提高效 率。
使用组策略缓存
启用组策略缓存可以减少网络流量并提高性能，因为缓存允许计算机 在本地存储和处理组策略设置。
05 总结与展望
关键知识点回顾
组策略的基本概念
组策略是Windows操作系统中 用于集中管理和配置用户及计 算机环境的一组设置。
组策略对象（GPO）的组 成
组策略对象包括组策略容器和 组策略设置两部分，其中容器 用于存储设置，而设置定义了 要应用的策略和规则。
组策略的应用范围
组策略可以应用于用户或计算 机，用于控制用户环境、软件 部署、安全设置等方面。
组策略的备份与恢复
为了防止组策略设置丢失或损 坏，需要定期备份组策略对象 ，并在必要时进行恢复。
未来发展趋势预测
1 2
云计算与组策略的整合
随着云计算的普及，未来组策略可能会与云计算 技术相结合，实现更灵活、高效的管理和配置。
人工智能在组策略中的应用
人工智能技术的发展将有助于自动化组策略的管 理和优化，提高管理效率并减少人为错误。
3
组策略与其他管理工具的集成
为了提供更全面的管理解决方案，组策略可能会 与其他系统管理工具进行集成，形成统一的管理 平台。
右键点击该GPO，选择“备份”选项。 点击“备份”按钮，等待备份完成。
使用第三方工具进行备份
可以使用如“组策略备份与恢复 工具”等第三方工具进行组策略
对象的备份。
这些工具通常提供更多的备份选 项和高级功能，如计划备份、增
量备份等。
使用第三方工具进行备份时，需 要按照工具的说明进行操作。
恢复已删除或损坏的组策略对象
适用范围及对象
利用组策略进行系统设置与调整上网设置
制定组策略部署计划
在部署组策略之前，需要制定详细的部署计 划。
分发组策略配置
通过组策略管理控制台，可以将组策略配置 分发到目标计算机或用户。
THANKS
谢谢您的观看
规则配置
根据需要配置防火墙规则，以便允许或拒绝特 定的网络流量。
监控日志
定期查看防火墙日志，以便及时发现和解决潜在的安全威胁。
隐私保护措施
清除浏览器缓存
定期清除浏览器缓存和临时文件，以保护个人隐私和数据安全。
禁用不必要的插件
禁用或删除不必要的浏览器插件，以减少个人信息泄露的风险。
使用加密通信
确保在使用互联网服务时使用加密通信协议，如HTTPS，以保护数 据传输的安全性。
详细描述
打开组策略编辑器，定位至“计算机配置策 略管理模板Windows组件Internet Explorer”，然后双击相应的策略进行配置 。例如，要禁止更改主页，可以启用“禁止 更改主页”策略。
03
上网设置
代理服务器设置
总结词
代理服务器设置允许用户通过代理服务器进行网络连接，以实现网络访问的匿名性和安 全性。
屏幕保护程序设置
总结词
通过组策略可以设置屏幕保护程序的运行方式、等待时间等参数，以保护计算机屏幕。
详细描述
打开组策略编辑器，定位至“计算机配置策略管理模板控制面板个性化”，然后双击“屏幕保护程序”进行配置 。例如，要设置屏幕保护程序的等待时间，可以启用“设置等待时间”策略，并输入所需的分钟数。
文件夹选项设置
详细描述
通过组策略编辑器，可以配置代理服务器设置，包括代理服务器地址、端口号以及是否 启用代理等。这些设置将应用于计算机或用户组，确保网络连接通过代理服务器进行。
Windows系统组策略应用技巧
等，提高计算机ห้องสมุดไป่ตู้能效果。
03
组策略应用技巧
管理用户账户
创建新的用户账户
01
通过控制面板或命令行创建新的用户账户，并设置密码和权限
。
禁用或删除不必要的用户账户
02
禁用或删除不必要的用户账户，以减少系统的安全风险和管理
负担。
限制用户账户的登录时间
根据系统检测到的软件使用情况，智能推荐需要 的软件安装，提高工作效率。
实现批量操作
批量删除文件
可以批量删除不需要的文件，节省存储空间 ，提高系统运行速度。
批量重命名文件
通过组策略可以实现对文件名的批量重命名 ，极大提高工作效率。
批量修改文件属性
根据需要可以批量修改文件的属性，如只读 、隐藏等，提高文件管理效率。
优化系统性能（续）
关闭无用服务
通过组策略可以关闭无用的系统服务，减少系统资源占用，提高 系统性能。
优化磁盘读写速度
通过组策略可以优化磁盘读写速度，提高文件访问速度。
禁止不必要的窗口
可以禁止不必要的系统窗口弹出，减少系统资源占用，提高系统响 应速度。
THANK YOU
通过组策略禁用不必要的网络共享，可以减 少病毒通过网络传播的风险。
限制不必要的端口
通过组策略限制不必要的端口，可以防止病 毒通过这些端口入侵系统。
强制执行安全设置
通过组策略强制执行安全设置，可以确保系 统的安全性和稳定性。
加强系统安全
禁用不必要的服务
通过组策略禁用不必要的服务，可以减少系统资源占用，提高系统 性能和安全性。
限制不必要的程序运行
第6章 组策略管理
6.2.6 文件夹重定向策略
文件夹重定向是利用组策略将域中某些用户的特殊文 件夹重定向到某一台计算机上的指定位置上。这些特殊文 件夹主要包括：Application data（此文件夹包含用户在应 用程序内的专属数据，如个人设置数据）、桌面、我的文 档和[开始]菜单。 具体操作见教材。
6.3 实验操作2：利用组策略在网络中部署软件
．自动修复和删除软件 在一个软件被指派或发布并被安装后，如果此软件在 使用中出现某分文件损坏，或用户不小心删除了程序文件， 系统会探测到该现象并自动进行修复或重新安装该软件。 另外，如果管理员要删除已指派或发布给域内用户或计算 机的软件，可以将该软件从GPO内已发布或指派的软件清 单中删除，并设置用户或计算机在下次登录时自动将这个 软件删除就可以了。 详细操作过程见教材。
6.1.3 组策略应用中的一些概念
1． 计算机配置和用户配置 组策略中包含“计算机配置”和“用户配置”两部分。 其中，计算机配置用于当启动计算机时，系统就会根据已 设置的计算机配置内容来配置计算机的环境。 2． 组策略对象 组策略是通过“组策略对象”（Group Policy Object， GPO）来设定的，只要将GPO链接到指定的站点、域或 组织单位（OU），该GPO内的设定策略就会作用于该站 点、域或OU内的所有用户和计算机。
3． 证书规则 软件限制策略可以通过“签署证书”来标识软件。根 据“证书”系统的相关规划，允许或拒绝用户运行软件。 需要说明的是，“证书规则”只适用于.msi软件与脚 本（Scripts），而不适用于.exe和.dll程序。 4． 路径规则 软件限制策略也可以利用部署软件时所在的路径来标 识和辨别软件。例如，指定用户可以运行位于某个文件夹 内的软件，但该软件移动到其他文件夹时将不会受到软件 策略的约束。路径中可以使用环境变量，如%windir%、 %temp%等。另外，还可以通过“注册表”来辨别和标识 软件，即根据该软件在注册表中所记录的存储位置来标识 和辨别软件。
《网络系统管理与维护》实训报告
姓名学号班级网络系统管理与维护实训（验）项目报告实训1：管理数据2）此处粘贴：用户帐户user2以“更改”方式访问这个共享文件夹的设置画面。
（参考教材图4-6）。
二、实训中遇到的难点及解决办法三、实训体会网络系统管理与维护实训（验）项目报告实训2：管理磁盘教师评语教师签字日期成绩学生姓名学号班级分组实训报告目的：了解基本磁盘和动态磁盘的概念，掌握创建镜像卷（RAID—1）的方法与步骤。
内容：用两个SCSI硬盘创建镜像卷（RAID—1）。
要求：能够用两个SCSI硬盘创建镜像卷（RAID—1）并格式化，熟悉SCSI卡的的特点。
一、实训内容与步骤1、开机后按屏幕的提示按F7热键进入SCSI BIOS的设置主页面：2、按照设置页面的提示，选择“Enable HostRAID Support”,按“Enter”，进入配置的一级主菜单：“Configure/view HostRAID Settings”进入后，按“C”键，选择“创建（Create）RAID 选项界面：Array Name:7—MirroredRAID-1：Select RAID MembersID Type Product Size Status0 Mirrored(R1) MAP3367 NP 37GB Building1 Mirrored(R1) MAP3367 NP 37GB Building返回，进入SCSI BIOS的设置主页面：2、按照设置页面的提示，选择“Configure/View SCSI Conftorll er Settings”，按“Enter”，进入配置的一级主菜单：按屏幕提示，按F6进入“SCSI Disk Utilities”功能设置子菜单。
网络系统管理与维护实训（验）项目报告实训3：组策略管理教师评语教师签字日期成绩学生姓名学号班级分组实训报告目的：理解组策略的功能，掌握创建和配置组策略的方法。
内容：安装“组策略管理控制台”，创建“组策略对象”，设置组策略，实施组策略，设置组策略管理用户环境，设置组策略管理软件的使用。
域组策略应用详解
域组策略应用详解域组策略是一种Windows Active Directory环境中的管理工具，它允许管理员集中管理多台计算机的安全策略和配置。
通过域组策略，管理员可以实现对域内计算机的用户账户、密码策略、软件安装、网络连接和访问控制等进行统一的管理与控制。
以下是对域组策略的详细解析。
1.域组策略的作用与优势域组策略的主要作用是提供一种集中管理和控制计算机的方式，帮助企业或组织实施统一的安全策略，并降低管理成本。
以下是域组策略的一些优势：-统一管理：通过域组策略，管理员可以在整个域内管理和控制所有计算机的安全策略和配置，无需分别配置每台计算机，简化了管理流程。
-集中控制：域组策略可以集中控制所有计算机的用户账户、密码策略、软件安装、网络连接和访问控制等，确保整个域内的计算机都遵循相同的安全标准。
-统一更新：通过域组策略，管理员可以轻松地对所有计算机进行安全策略的更新和修改，确保所有计算机都能及时获得最新的安全补丁和配置。
2.域组策略的组件域组策略由以下几个重要的组件组成：-组策略对象（GPO）：是域组策略的核心组件，它包含了一组安全策略和配置项，可以应用给特定的域、组或用户。
-组策略文件夹：存储域内所有组策略对象的文件夹，通常存放在域控制器的系统目录下。
-组策略客户端扩展（CSE）：是一种在计算机或用户执行组策略时生效的软件组件，用于解析和处理组策略配置。
3.域组策略的配置和应用域组策略的配置和应用主要包括以下几个步骤：-将组策略对象应用到域、组或用户：通过将组策略对象链接到特定的域、组或用户上，使其生效。
可以通过域控制器上的“组策略管理”工具来实现。
- 强制更新和刷新组策略：可以使用“gpupdate”命令来强制计算机或用户立即更新和刷新组策略，或等待策略刷新的策略设置。
-监测和审核组策略的应用：可以通过策略审计和事件日志来监测和审核组策略的应用情况，以及统计计算机和用户的符合策略的状态。
4.域组策略的常见应用场景域组策略在企业或组织中有多种应用场景，以下是其中一些常见的应用场景：-账户和密码策略：通过域组策略，管理员可以设置和控制用户账户的安全策略和密码策略，例如密码复杂性要求、账户锁定策略等。
网络管理实验6 利用组策略来管理用户环境
实验6 利用组策略来管理用户环境
一、实验目的：
组策略中的配置分为“计算机配置”和“用户配置”两类。
根据网络管理的需要，将分别利用组策略中“计算机配置”和“用户配置的功能特性，实现对用户环境的配置。
二、实验内容：
“组策略编辑器”窗口
设置是否启用组策略配置
“密码策略”设置窗口
“账户锁定策略”设置窗口
“用户权限分配”设置窗口
“安全选项”设置窗口
组策略中设置信息
“脚本策略”设置窗口
“登陆属性”对话框
将“登录”脚本文件login.vbs复制到文件夹内
添加脚本名称和参数
选取“我的文档”的“属性”菜单项
设置“我的文档”的重定向
退出页面
登陆页面
用户端“我的文档”被重定向后的显示。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
严格强制实施策略设置，其 写入注册表的位置是应用程序 做法是将设置写入标准用户 或操作系统功能用来存储设置 无法修改的注册表区域 的常规位置
通常禁用组策略所管理的设 不会使应用程序或操作系统功 置的对应用户界面 能禁用它们所配置的设置的用 户界面 以固定的时间间隔刷新策略 默认使用与组策略设置相同的 设置 时间间隔刷新首选项
把软件的升级版 本放在服务器上 组策略 重新部署包
2
4
Upgrade
3
登录的用户可以撤销软件
登录的用户可以激活软件
维护已部署的软件
软件能从计算机上自动删除并且不 进行通告 强制删除
软件并没有从计算机上删除并且已 经安装的软件不能进行升级 可选删除
规划软件部署的策略
规划软件分发点的指导原则 使用基于域的 DFS 指定缺省的包位置 根据功能组织应用程序 配置只读的 NTFS 权限
– 分配启动脚本 – 分配关机脚本
• 对于用户配置
– 分配登录脚本 – 分配注销脚本
文件夹重定向
文件夹重定向可实现，文件夹实际位于 网络服务器上，但看似是位于本地驱动 器中
可重定向的文件夹:
我的文档(Windows® 7中的“文档”)
Application Data (Windows® 7 中的AppData ) 桌面 开始菜单
管理用户与计算机 部署软件
执行安全设置 执行一致的桌面环来自 执行环回处理启用与禁用组策略设置
启用 / 禁用 多值设置
二.使用组策略指派脚本(script)和文件夹重定向
• 组策略脚本 • 文件夹重定向 • 配置文件夹重定向的设置 • 配置文件夹重定向的安全考虑
组策略脚本
可以使用脚本执行很多任务，如清除页面文件或映 射驱动器，以及清除用户的临时文件夹等。 执行组策略设置不能完成的任务 组策略脚本设置可用于： • 对于计算机配置
网络 打印机
控制面板
共享文件夹 系统 网络
修改管理模板
ADMX文件:
基于XML（Microsoft Visual Studio）
是可扩展的 可用任何文本编辑器编辑
在获得了有效的 ADMX 文件后，只需要将其放入 PolicyDefinitions 文件夹即可
最佳做法：保持默认ADMX文件不变，创建你自己 的自定义版本的设置
使用隐藏的共享文件夹 审核 Windows Installer 文件的对象访问
规划软件部署的策略
规划使用组策略部署软件的指导原则 按阶段部署包
对应用程序进行分类
为软件包使用转换文件（.mst）
检查文件扩展名的冲突
在活动目录的高级别上部署软件
Property 3
配置软件部署
演示如下内容
升级已部署的软件 重新部署软件 删除已部署的软件
维护已部署的软件
2.0
部署应用程序 的下一个版本
用户仅能使用升级 的版本
强制升级
2.0 1.0
2.0
可选升级
2.0
1.0
用户能决定什么时 候升级
可以选择给指定的 用户升级
选择性的升级
维护已部署的软件
1
Upgrade
Accounting Managers Misty
演示：
Anne
配置文件夹重定向的安全考虑
三.配置管理模板
• 管理模板 • 修改管理模板
管理模板
管理模板允许你控制操作系统环境和用户体验 管理模板的计算机部分有:
Windows组件
管理模板的用户部分有:
Windows组件
开始菜单和任务栏 桌面
系统
部署组策略首选项
五.部署与管理软件（
• 管理软件部署 • 部署软件 • 配置软件部署 • 维护已部署的软件 • 规划软件部署的策略
管理软件部署
1 2 1.0
预备
部署
4
3 2.0
删除
维护
部署软件
1 2
发布
指派 建立软件分发点 使用 GPO 部署软件
3
Property 1
Property 2 改变软件部署属性
Windows 7中可重定向的其他文 件夹有:
联系人 下载 收藏夹 搜索 链接
配置文件夹重定向的设置
• 当所有用户将其文件保存 到同一位置时，使用基本 文件夹重定向
Accounting Users Accounts A-M
• 使用高级文件夹重定向时， 服务器基于组成员存放文 件夹的位置
Accounts N-Z
配置、管理和维护Windows 2008
活动目录架构
第六章
使用组策略管理用户环境
议程
1. 配置组策略
2. 使用组策略指派脚本和文件夹重定向
3. 配置管理模板 4. 配置组策略首选项 5. 部署与管理软件
一.配置组策略
• 使用组策略的目的 • 启用与禁用组策略设置
使用组策略的目的
使用组策略可以：
四.配置组策略首选项
• 组策略首选项 • 组策略设置和首选项之间的区别 • 部署组策略首选项
组策略首选项
组策略首选项扩展了GPO中的可配置设置的范围
不是强制的 使IT专业人员能配置，部署和管理无法使用组策 略进行管理的操作系统和应用程序设置
组策略设置和首选项之间的区别 组策略设置 组策略首选项