组策略管理客户端
利用域控制器中的域组策略对客户端进行统一管理
将做墙纸的图片存放在server的C:\Pho\1.bmp文件夹中，并将此文件夹设为共享文件夹，操作如下图：
二、步骤： 1、打开active directory 用户和计算机，找到sale 组织单位，右键选择“属性”，在sale 属性窗口选择“组策略”标签。
2、在窗口中点击“新建”按钮，新建一个名为“OU ”组策略对象。
3、选择“OU ”组策略对象，点击“编辑”进行域组策略管理。
4、展开组策略左边的树状拦，“用户配置”-“管理模板”-“桌面”-“Active Desktop”，在右边双击“启用 Active Desktop ”—启用。
5、展开组策略左边的树状拦，“用户配置”-“管理模板”-“桌面”-“Active Desktop”，在右边双击“Active Desktop 墙纸”—启用，在墙纸名称那里输入用来做墙纸的那个图片
网络路径（图中为\\10.1.1.100\pho\1.jpg）点确定即可。
6、组策略中设置好之后，通过“运行”进行DOS，输入命令“gpupdate /force”,强制刷新DC的组策略。
7、注销客户端，客户端重新登录到域中。
会发现桌面更换成域组策略中设置的图片了，当我们打开“显示”属性对话框，会看到桌面中已经有“1”这张背景桌面了，而且当前是这张图片，并无权更换桌面壁纸了。
二、设置IE浏览器主页面为学校的网站地址：，浏览器标题为SALE。
使用组策略控制域工作站本地文件夹或文件的用户权限
作为网管员,很多时候客户端的权限问题乃是最为纠结的一件事了,下面我们向大家介绍下通过组策略的文件系统向客户端赋权,这样的话大大节省了网管员的时间,也避免了客户端因为软件不能正常运行而抱怨不休的情况。
在调整设置的时候，下列问题要注意:该策略是针对计算机的策略是应用在计算机设置上可能客户端组策略结果中无法正常显示出策略应用集，但是却能够正常使用（这也是我纳闷的一点）使用相对路径的时候注意大小写的书写不建议对对所有文件夹赋权，以免客户端对系统盘操作权限过大，照成系统未知问题参考文章:在附件，请下载查看！1、我们在域控上打开组策略管理器，选中需要调整这个设置的组织单元，右键点击新建组策略，在选中新建的策略，右键选择编辑2、在弹出的组策略管理编辑器页面中选择计算机配置--策略--windows设置--安全设置--文件系统，右键点击文件系统，在点击添加文件3、在弹出的对话框里选择对应域用户下面的桌面的对应位置，点击确定。
会弹出右下边的图请注意：这里输入的是绝对路径，（作为域控，肯定不会安装一些日常应用软件，因此而导致服务器上不存在与客户端对应的文件夹，所以我们需要用到相对路径来达到我们的目的），而客户端又有XP和win7之分，大家都知道，win7系统是有Program Files和Program Files（X86）两个文件夹，所以这里我们也要添加两个。
实际环境中不建议把Program Files整个文件夹的权限给domain users 应该针对其中的部分软件安装的文件夹路径赋权，以免造成客户端权限过大而导致系统被更改等等原因，这样的话就有点得不偿失了。
文件夹路劲是可以手动输入的。
在添加无管理员权限的用户桌面的时候，是添加%systemdrive%\users\public\desktop或者%UserProfile%\Desktop这个路劲。
有管理员权限的用户就是用户名所对应的文件夹下面的桌面。
4、点击添加，在弹出的对话框里输入domain users再点击右边的检查名称，然后再点击确定5、选中刚刚添加的domain users，在下面的权限允许里调整权限，调整好后点击应用，再点击确定6、在弹出的对话框中我们设置相应的权限，我们设置的权限为除了完全控制其他全部赋予客户端，然后点击确定，在这一步弹出的页面中询问关于此文件夹的权限问题：添加此权限到所有子文件夹和文件此权限替换所有子文件夹和文件的权限不允许此权限下发到子文件夹和文件这里我们选择替换所有子文件夹和文件的权限，同理添加其他文件夹，权限设置与此一致。
winserver2008r2开机显示group policy client的解决方法
winserver2008r2开机显示group policy client的解决方法（最新版）目录1.引言2.Group Policy Client 的作用3.WinServer2008R2 开机显示 Group Policy Client 的原因4.解决方法5.总结正文一、引言在 WinServer2008R2 操作系统中，有时开机时会显示“Group Policy Client”的提示，这让一些用户感到困惑。
本文将介绍这一现象的原因及解决方法。
二、Group Policy Client 的作用Group Policy Client（组策略客户端）是 Windows 操作系统中的一个组件，负责从域控制器下载和应用组策略设置。
组策略是一种管理企业网络中计算机和用户的方法，可以确保计算机和用户遵循统一的安全和配置策略。
三、WinServer2008R2 开机显示 Group Policy Client 的原因WinServer2008R2 开机显示 Group Policy Client 的原因可能有以下几点：1.计算机连接到了一个域，并且域控制器上启用了组策略。
2.计算机上的组策略客户端组件出现故障或损坏。
3.域控制器上的组策略设置有误。
四、解决方法针对上述原因，可以尝试以下解决方法：1.如果计算机连接到了一个域，并且域控制器上启用了组策略，可以通过修改组策略设置来禁用或调整开机时的提示信息。
具体操作如下：（1）打开“运行”对话框，输入“gpedit.msc”并回车，打开本地组策略编辑器。
（2）在左侧导航树中，展开“用户配置”>“管理模板”>“系统”，找到“预防访问控制列表”设置。
（3）双击“预防访问控制列表”设置，选择“已启用”选项，然后点击“应用”和“确定”。
2.如果组策略客户端组件出现故障或损坏，可以尝试重新安装组策略客户端。
具体操作如下：（1）打开“运行”对话框，输入“sfc /scannow”并回车，检查系统文件并修复错误。
在域环境下配置组策略批量安装客户端常用软件
在域环境下配置组策略批量安装客户端常用软件部署方法：(一) 在主域控制器的F盘，新建一个目录，命名为“软件安装共享”，设置共享后，并确保user组用户具有读取，执行权限。
（最好在“软件安装共享”的安全属性配置向下继承）(二) 打开主域控制器上的“Active Directory用户与计算机”右键“”属性，选择“组策略”“编辑”，进入“组策略编辑器”(三) 注意：将用户liyuan加入到DomainAdministrators 安全组、Enterprise Administrators 安全组或Group Policy Creator Owners 安全组。
以发布用户方式安装1. 依次展开“用户配置”“软件设置”“软件安装”。
2. 新建一个“程序包”，在“文件名”后的文本框内输入UNC路径（例如// 192.168.0.1）软件安装共享\ apache_2.2.4-win32-x86-no_ssl.msi3. 选择“apache_2.2.4-win32-x86-no_ssl.msi”软件后，点打开4. 配置部署方法为“已发布”5. 确定后，登陆客户端client-01进行测试。
（测试失败可使用gpupdate/force命令刷新组策略后，重试。
）6. 在客户端的“添加/删除程序”中“添加新程序”，找到“apache_2.2.4-win32-x86-no_ssl.msi”双击安装。
以指派用户方式安装1. 在部署软件时选择“已指派”2. 选择“apache_2.2.4-win32-x86-no_ssl.msi”属性，选中“在登录时安装此应用程序”3. 登录客户端，自动安装软件，可卸载。
以指派计算机方式安装1. 在“AD用户与计算机”下，新建一个组织单元us，将computers下的client01客户端，移动到us里面。
2. 右键“us”选择“属性”，点击“组策略”，新建一个策略。
3. 点击“编辑”，展开“计算机设置”“软件设置”，在“软件安装”上右键，新建一个“程序包”文件名后面的文本框最好用完整的计算机名，如\\ \软件安装共享\ apache_2.2.4-win32-x86-no_ssl.msi4. 默认部署类型“已指派”5. 在客户端上登录，显示如下界面，说明该软件通过组策略安装成功。
通过组策略修改客户端登录的方式
电话：(0371)65706336 65706337 65706339 传真：（0371）65706367 地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002 1通过组策略修改客户端登录的方式场景某企业的管理员为了方便用户的登录及只允许登录到域，希望能够达到以下目的：z不使用安全键序列Ctrl+Alt+Del，直接输入用户名及密码z在登录时，登录对话框中只显示域，而不显示本机，从而达到只能登录到域的目的z个别的计算机（如展厅的PC）开机就自动登录到域，而且使用的是有密码的权限受限的账户原理在Windows NT开始，在登录的时候就需要Ctrl-Alt-Delete组合键才能出现登录对话框，这三个键叫Secure Attention Sequence(SAS)。
微软之所以这样设计，是因为CTRL+ALT+DEL 三键直接调出的程序只有任务管理器和登录窗口，而其它的一些骗取密码的木马类程序是无法通过的，从而提高了安全性。
一般建议用户使用这个安全键序列。
但是有些不了解的用户却认为这样不方便。
SAS热键的注册使得Winlogon成为第一个处理CTRL+ALT+DEL的进程，所以保证了没有其他应用程序能够处理这个热键。
在Windows NT/Windows 2000/Windows XP中， WinSta0 是表示物理屏幕、鼠标和键盘的Windows系统对象的名字。
Winlogon在WinSta0 Windows系统中创建了SAS窗口（窗口标题是"SAS Window"）和如下三个桌面。
z Winlogon 桌面z应用程序桌面z屏幕保护桌面当用户按下Ctrl-Alt-Delete组合键时，Winlogon桌面上的SAS窗口收到它注册的系统热键消息(WM_HOTKEY) SAS Window窗口处理这个消息调用Graphical Identification and Authentication(GINA)动态连接库中的相关函数。
wsus客户端配置方法-组策略
客户端配置方法(一）
组策略配置
一、选择“开始”，“运行”，输入gpedit.msc，打开组策略窗口。
注意：有些win2000、winxp版本(例如：OEM版的winxp home)不带有组策略功能，因此无法使用这种方法。
请您选择第二种方式。
二、选择“管理模板”，然后从菜单中选择“操作”，“添加/删除模板”。
注意：winxp sp1以上版本的操作系统中这个wuau.adm已经添加了，您可以直
接跳到第六步。
三、在“添加/删除模板”窗口中选择“添加”。
四、在“策略模板”中选择“wuau.adm”，并选择“打开”。
五、选择“关闭”，关闭“添加/删除模板”窗口。
六、选择“计算机配置”->“管理模板”->“Windows 组件”->“Windows Update”，并
选择“配置自动更新”。
七、在“配置自动更新”的属性窗口中，选择“启用”，并选择“确定”。
八、在“指定Intranet Microsoft更新服务器位置”的属性窗口中，选择“启用”，并在“设置检测更新的Intranet更新服务：”框中输入“/”，在“设置Intranet统计服务器：”框中输入“/”，并选择确定。
原有的sus用户无需更改其他设置，只需将这里的服务器更改为我们服务
器就能获得WSUS提供的服务
九、关闭组策略窗口。
十、在开始运行处输入wuauclt.exe /detectnow 命令，立即启动wsus服务！。
第6章 组策略管理
6.2.6 文件夹重定向策略
文件夹重定向是利用组策略将域中某些用户的特殊文 件夹重定向到某一台计算机上的指定位置上。这些特殊文 件夹主要包括：Application data（此文件夹包含用户在应 用程序内的专属数据，如个人设置数据）、桌面、我的文 档和[开始]菜单。 具体操作见教材。
6.3 实验操作2：利用组策略在网络中部署软件
．自动修复和删除软件 在一个软件被指派或发布并被安装后，如果此软件在 使用中出现某分文件损坏，或用户不小心删除了程序文件， 系统会探测到该现象并自动进行修复或重新安装该软件。 另外，如果管理员要删除已指派或发布给域内用户或计算 机的软件，可以将该软件从GPO内已发布或指派的软件清 单中删除，并设置用户或计算机在下次登录时自动将这个 软件删除就可以了。 详细操作过程见教材。
6.1.3 组策略应用中的一些概念
1． 计算机配置和用户配置 组策略中包含“计算机配置”和“用户配置”两部分。 其中，计算机配置用于当启动计算机时，系统就会根据已 设置的计算机配置内容来配置计算机的环境。 2． 组策略对象 组策略是通过“组策略对象”（Group Policy Object， GPO）来设定的，只要将GPO链接到指定的站点、域或 组织单位（OU），该GPO内的设定策略就会作用于该站 点、域或OU内的所有用户和计算机。
3． 证书规则 软件限制策略可以通过“签署证书”来标识软件。根 据“证书”系统的相关规划，允许或拒绝用户运行软件。 需要说明的是，“证书规则”只适用于.msi软件与脚 本（Scripts），而不适用于.exe和.dll程序。 4． 路径规则 软件限制策略也可以利用部署软件时所在的路径来标 识和辨别软件。例如，指定用户可以运行位于某个文件夹 内的软件，但该软件移动到其他文件夹时将不会受到软件 策略的约束。路径中可以使用环境变量，如%windir%、 %temp%等。另外，还可以通过“注册表”来辨别和标识 软件，即根据该软件在注册表中所记录的存储位置来标识 和辨别软件。
域环境下通过组策略实现客户端定时自动锁屏且统一屏幕保护程序
在一些大型公司企业中，IT管理员为了统一管理公司内的办公电脑，再根据网络安全相关制度要求，防止个人资料泄密等原因，会通过AD域组策略设置屏幕保护时间。
，在唤醒电脑时，需要输入登陆用户密码。
1、点击服务器任务栏左下角的开始，再点击管理工具
2、组策略管理右击default domain policy策略（或者新建GPO），在选择编辑
3、选择用户配置策略管理模板控制面板个性化
4、开启启用屏幕保护程序
5、启用带密码的屏幕保护程序
码才可以解锁。
7、开启强制使用特定的屏幕保护程序
说明：
1、屏幕保护程序，可以到网站上自行下载喜欢的样式
2、屏幕保护程序在本地存放路径为C:\Windows\System32
新一下组策略
否正确。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
配置组策略设置的选项 启用 / 禁用 多值设置
演示：使用组策略编辑器配置组策略设置
在本演示中，你将看到如何配置组策略设置。
第 2 节：使用组策略配置脚本和文件夹重定向
• 组策略脚本 • 演示：使用组策略配置脚本 • 文件夹重定向 • 文件夹重定向配置选项 • 保护重定向文件夹的选项 • 演示：配置文件夹重定向
• 无 • 列出文件夹/读取数据，创建文件夹/附加数据 —— 只有
该文件夹
• 完全控制
每个用户的重定向文件夹的 NTFS 权限 Creator/Owner %Username% Administrators Local system 完全控制 —— 只有子文件夹和文件
• 完全控制，文件夹所有者 • 无 • 完全控制
Accounting Managers
Misty
• 重定向到下列位置
• 重定向到本地用户配置 文件位置
Anne
保护重定向文件夹的选项
根文件夹的 NTFS 权限 Creator/Owner Administrators 将数据放入共享的 用户的安全组 Local System 根文件夹的共享权限 Creator/Owner 将数据放入共享的 用户的安全组 完全控制 —— 仅限子文件夹和文件 • 完全控制 完全控制 —— 只有子文件夹和文件
演示：添加针对 Office 应用程序的管理模板
在本演示中，你将看到如何添加针对 Office 2007 的 ADM 文件。
讨论：使用管理模板的选项
• 你的公司中现在部署了哪些管理模板？ • 对于公司用户，你希望实施哪些桌面设置？ • 你需要应用哪些管理模板设置？
第 4 节：配置组策略首选项
• 组策略首选项 • 组策略设置和首选项之间的区别 • 组策略首选项的功能 • 部署组策略首选项 • 演示：部署组策略首选项
在本演示中，你将看到如何部署组策略首选项。
第 5 节：使用组策略部署软件
• 使用组策略部署和管理软件的选项 • 软件分发的工作方式 • 安装软件的选项 • 演示：配置软件分发 • 修改软件分发的选项 • 演示：修改软件分发 • 使用组策略维护软件 • 讨论：评估使用组策略部署软件
使用组策略部署和管理软件的选项
可重定向的文件夹有： • 我的文档（Windows® Vista 中的“文档”） • Application Data（Windows Vista 中的 AppData） • 桌面 • 「开始」菜单
Windows Vista 中可重定向的其他 文件夹有：
• 联系人 • 下载 • 收藏夹 • 搜索 • 链接
文件夹重定向配置选项
Accounting Users
• 当所有用户将其文件保存到同一个位置时， 使用基本文件夹重定向 • 使用高级文件夹重定向时，承载文件夹位置 的服务器基于组成员身份
Accounts A-M Accounts N-Z
• 目标文件夹位置选项： • 重定向到用户的主目录 • 在根目录路径下为每 一用户创建一个文件夹
第 6 章 使用组策略配置 用户环境
章节概述
• 第 1 节：配置组策略设置 • 第 2 节：使用组策略配置脚本和文件夹重定向 • 第 3 节：配置管理模板 • 第 4 节：配置组策略首选项 • 第 5 节：使用组策略部署软件
第 1 节：配置组策略设置
• 配置组策略设置的选项 • 演示：使用组策略编辑器配置组策略设置
组策略脚本
可以使用脚本执行很多任务，如清除页面文件或映射驱动器，以及清除用户的临时文 件夹等。
组策略脚本设置可用于：
• 对于计算机
分配启动脚本 分配关机脚本
• 对于用户
分配登录脚本 分配注销脚本
演示：使用组策略配置脚本
在本演示中，你将看到如何将登录脚本分配给用户。
文件夹重定向
文件夹重定向可实现，文件夹实际位于网 络服务器上，但是看似位于本地驱动器中
2.0
可选升级
2.0 1.0
可以只选择某些用户进行升级
选择性升级
讨论：评估使用组策略部署软件
• 使用组策略部署软件有什么优点？ • 使用组策略部署软件有什么限制？ • 其他软件分发包提供了哪些其他功能？
本章复习与提高
• 注意事项 • 复习题
• 系统 • 网络 • 打印机
管理模板的用户部分有： • Windows 组件
• “开始”菜单和任务栏
• 桌面 • 控制面板 • 共享文件夹
• 网络
• 系统
演示：配置管理模板
在本演示中，你将看到如何配置管理模板。
修改管理模板
ADMX 文件：
• 是可扩展的 • 可用任何文本编辑器编辑
新的 ADMX 文件可添加到 Policy Definitions 文件夹或中央存储
演示：配置文件夹重定向
在本演示中，你将看到如何配置“文档”文件夹的文件夹重定向。
第 3 节：配置管理模板
• 管理模板 • 演示：配置管理模板 • 修改管理模板 • 演示：添加针对 Office 应用程序的管理模板 • 讨论：使用管理模板的选项
管理模板
管理模板允许你控制操作系统环境和用户体验。
管理模板的计算机部分有： • Windows 组件
部署组策略首选项
Windows Server 2008 默认包含组策略首选项作为 组策略管理控制台（GPMC）的一部分。
Windows Server 2008 默认包含组策略首选项作为 GPMC 的一部分
组策略首选项客户端扩展（CSE）必须部署到要部署首选项的任何客户端计算机上
演示：部署组策略首选项
使用 Windows
Installer的益处
自定义安装 可恢复应用程序 彻底删除
安装软件的选项
计算机配置期间 分配软件
软件分发点 使用“添加或删除程序” 发布软件
Байду номын сангаас
用户配置期间分配软件
?
使用文档激活发布软件
演示：配置软件分发
在本演示中，你将看到如何通过分配和发布来部署软件包。
修改软件分发的选项
选项：
在“添加程序”小程序中可对软件分类 文件扩展名可与特定应用程序关联 可以使用 MST 文件自定义软件部署
演示：修改软件分发
在本演示中，你将看到如何：
• 创建软件类别 • 配置软件分发属性
使用组策略维护软件
2.0
部署应用程序的下 一个版本 强制升级
用户只能使用升级的版本
2.0
1.0
用户可决定何时升级
组策略首选项
写入注册表的位置是应用程序或操作 系统功能用来存储设置的常规位置 不会使应用程序或操作系统功能禁用 它们所配置的用户界面 默认使用与组策略设置相同的时间间 隔刷新首选项
以固定的时间间隔刷新策略设置
组策略首选项的功能
“公用”选项卡
目标功能
确定首选项项目应用于哪些用户S和计算机 用于配置控制组策略首选项项目 行为的更多选项
组策略首选项
组策略首选项扩展了 GPO 中的可配置设置的范围。
不是强制实施的 使 IT 专业人员能配置、部署和管理无法使用组策略进行管理的操作系统 和应用程序设置
组策略设置和首选项之间的区别
组策略设置
严格强制实施策略设置，其做法是 将设置写入标准用户无法修改的注 册表区域
通常禁用组策略所管理的设置的对 应用户界面
1
2
1.0
预备 部署
4
3
2.0
删除 维护
软件分发的工作方式
Windows Installer
Windows Installer 服务 • 使软件安装和配置过程完全自动化 • 修改或修复现有应用程序安装 Windows Installer 软件包包含 • 有关安装或卸载应用程序的信息 • 一个 .msi 文件和任何外部源文件 • 有关应用程序的摘要信息 • 对安装点的引用