创建和配置组策略
委派 GPO 控制权限的选项
委派 GPO 控制的方法 在域中创建 GPO 编辑或删除 GPO 将 GPO 链接 到容器 使用报告工具
Group Policy Creator Owners 组成 员身份，或者创建 GPO 的显式权限 分配对单个策略的“编辑” 权限 委派将 GPO 链接到容器 的权限 委派使用组策略报告工具 的权限
中央存储
中央存储：
• 是 ADMX 和 ADML 文件的中心存储库 • 存储在 SYSVOL 中 • 必须手动创建和更新
• 由 Windows Vista 或 Windows Server 2008 自动检测
ADMX 文件
Windows Vista 或 Windows Server 2008 工作站
组策略
组策略使 IT 管理员能实现用户和计算机的一对多管理自动化。
使用组策略可以： • 应用标准配置 • 部署软件
• 强制实施安全设置
• 强制实施一致的桌面环境
本地组策略对本地用户和域用户以及本地计算机设置总是有效。
组策略设置
• • • • • • • •
针对用户的 组策略设置 控制这些设 置：
演示：评估组策略的应用
在本演示中，你将看到如何运行用于检查组 策略应用的每种工具。
第 4 节：管理组策略对象
• • • • • • GPO 管理任务 Starter GPO 演示：复制 GPO 演示：备份和还原 GPO 演示：导入 GPO 迁移组策略对象
GPO 管理任务
GPO 管理任务：
• 备份 GPO • 还原 GPO • 复制 GPO • 导入 GPO
NYC-DC1、NYC-CL1 Administrator
登录信息
虚拟机 用户名
密码
Pa$$w0rd
实验预估时间：75 分钟
实验回顾
• 还有什么其他方法可用于授予用户在域中 创建 GPO 的权限？ • 如果需要将 GPO 应用于已安装了某些服务 的计算机，那么最佳方法是什么？
本章复习与提高
• 注意事项 • 复习题
针对计算机 的组策略设 置控制这些 设置：
软件 窗口 安全 桌面 软件 窗口 安全 操作系统
组策略的应用方式
计算机启动
刷新时间间隔 每隔 90 分钟
• 应用计算机设置 • 启动脚本运行
用户登录
刷新时间间隔 每隔 90 分钟
• 应用用户设置 • 登录脚本运行
组策略处理的例外情况
• 默认每秒 500 kb(kbps) • 某些客户端扩展不会被处理 • 在 Windows Vista 之前，ICMP 用于检测慢速
慢速链接
链接 • Windows Vista 使用网络位置感知
• Windows XP 和 Windows Vista 使用缓存凭
据实现更快的登录
缓存的凭据
• 很多 GPO 设置需要两次登录才能生效
其他例外：
• 远程访问连接 • 在 AD DS 中移动用户或计算机对象
组策略组件
组策略容器 • 存储在 AD DS 中 • 提供版本信息 组策略对象
Head Office
Winnipeg
慢速链接
Head Office
Branches
Toronto
高速链接
Winnipeg
Toronto 站点
Servers
SQL Server
Exchange Server
第 3 节：评估组策略对象的应用
• 组策略报告 • 组策略建模 • 演示：评估组策略的应用
组策略报告
在本演示中，你将看到如何备份和还原 GPO。
演示：导入 GPO
在本演示中，你将看到如何：
– 导入 GPO – 使用迁移表
迁移组策略对象
ADMX Migrator 实用工具： • 可用于将自定义 ADM 文件转换为 ADMX • 是基于 GUI 的实用工具，可从 Microsoft 下载网站下载
第 5 节：委派组策略的管理控制
Starter GPO
• 存储新的 GPO 将基于管理模板设置 • 可导出到 .cab 文件 • 可将.cab文件导入企业的其他地方
导出到 cab 文件 使用 GPMC 导入
StarterGPO
.cab 文件
加载 cab 文件
演示：复制 GPO
在本演示中，你将看到如何复制 GPO。
演示：备份和还原 GPO
第 6 章 创建和配置组策略
章节概述
• • • • • • 第 1 节：组策略概述 第 2 节：配置组策略对象的范围 第 3 节：评估组策略对象的应用 第 4 节：管理组策略对象 第 5 节：委派组策略的管理控制 实验：创建和配置 GPO
第 1 节：组策略概述
• • • • • • • • 组策略 组策略设置 组策略的应用方式 组策略处理的例外情况 组策略组件 ADM 和 ADMX 文件 中央存储 演示：配置组策略对象
组策略报告是计划组策略以及排查组策略故障的一种方法。
• 组策略结果通过 GPMC 提供 • GPResult 是命令行实用工具
组策略建模
组策略建模向导计算模拟的 GPO 实际效果。
组策略建模向导模拟：
• 站点成员身份 • 安全组成员身份 • WMI 筛选器
• 慢速链接
• 环回处理 • 将用户或计算机对象移至其他 Active Directory 容器的效果
演示：使用安全组筛选组策略对象
在本演示中，你将看到如何使用安全组筛选 GPO 的应用。
演示：使用 WMI 筛选器筛选组策略对象
在本演示中，你将看到如何创建和分配 WMI 筛选器。
环回处理的工作方式
讨论：配置组策略处理的范围
Woodgrove Bank 域树
Woodgrove Bank
Head Office 站点
• 阻止继承
• 强制
• 使用安全组或 WMI 筛选器进行筛选 • 禁用 GPO • 环回处理
演示：配置组策略对象链接
在本演示中，你将看到如何：
– 创建 GPO 并将其链接到 AD DS 中不同的位置 – 禁用 GPO 链接
演示：配置组策略继承
在本演示中，你将看到如何：
– 阻止 GPO 继承 – 强制 GPO 继承
演示：如何委派 GPO 的管理控制
在本演示中，你将看到如何委派创建、编辑、 链接组策略，以及使用组策略报告工具的权 限
实验：创建和配置 GPO
• • • • • 练习 1：创建和配置组策略对象 练习 2：管理 GPO 的应用范围 练习 3：验证 GPO 应用 练习 4：管理 GPO 练习 5：委派 GPO 的管理控制
组策略处理顺序
GPO1
本地组
GPO2 站点 GPO3 GPO4 域 GPO5
OU
OU
OU
多重本地组策略对象
• 适用于所有用户的一个计算机配置层 • 各层只应用于个体用户，而不应用于组 • 有三层用户配置： • 管理员 • 非管理员 • 特定于用户
修改组策略处理的选项
修改 GPO 默认处理的五种方法：
带 SYSVOL 的域控制器
带 SYSVOL 的域控制器
演示：配置组策略对象
在本演示中，你将看到如何： • 创建 GPO • 配置设置
第 2 节：配置组策略对象的范围
• • • • • • • • • 组策略处理顺序 多重本地组策略对象 修改组策略处理的选项 演示：配置组策略对象链接 演示：配置组策略继承 演示：使用安全组筛选组策略对象 演示：使用 WMI 筛选器筛选组策略对象 环回理的工作方式 讨论：配置组策略处理的范围
组策略模板
• 包含组策略设置 • 在两个位置存储内容 • 存储在共享 SYSVOL 文件夹中 • 配置组策略设置 • 支持 ADM 和 ADMX 模板
ADM 和 ADMX 文件
ADM 文件： • 复制到 SYSVOL 中的每个 GPO • 难以自定义
ADMX 文件：
• 与语言无关
• 不存储在 GPO 中 • 可通过 XML 扩展
AD域组策略规划和部署指南
AD域组策略规划和部署指南AD域（Active Directory）是一种用于管理网络资源的服务。
组策略是AD域中的一项功能，在整个域范围内为用户和计算机提供统一的安全设置和管理。
本文将提供AD域组策略规划和部署的指南，帮助管理员更好地使用此功能。
一、规划阶段1.定义需求：首先，确定组策略的主要需求和目标。
这可能包括安全性、访问控制、软件分发、用户配置等方面。
2.识别和分类对象：将AD域中的用户和计算机分组，并为每个组定义不同的策略需求。
例如，可以将用户分为管理人员、技术人员和普通员工等组别。
3.制定策略范围：确定需要部署组策略的范围。
可以选择在整个域中实施策略，也可以仅在特定的组织单位或者OU（组织单元）中实施。
二、设计策略1.定义基本策略：根据需求和目标，制定基本策略模板。
这些策略包括密码策略、帐户锁定策略、用户权限策略等。
2.定义高级策略：根据不同的组别和对象，制定更详细的策略，以满足各组的需求。
例如，可以为管理人员组设计更严格的安全设置，为技术人员组配置特定的软件等。
3.组织单位结构设计：根据分组需求，设计合适的OU结构。
这将有助于更好地管理和应用组策略，使其更符合组织的层次结构和需求。
三、实施策略1.创建组策略：在AD域中，使用组策略对象来创建和管理策略。
可以通过右键单击"组策略对象"，然后选择"新建策略"来创建新的策略。
2.配置策略设置：打开组策略对象后，可以根据需求和目标，通过对不同设置进行配置来实施策略。
这些设置包括安全设置、软件安装、脚本执行、桌面设置等。
3.应用策略：设置好策略后，在AD域中的对象将自动接收到策略，并按照设置进行操作。
可以通过强制组策略更新、重启计算机等方式来确保策略被应用。
四、测试和审计1.测试策略：在实施策略后，进行测试以确保它们按预期工作。
可以选择一些测试用户和计算机，观察他们是否符合策略要求。
2.审计策略：定期审计和评估组策略的效果和安全性。
windows组策略配置
1.通过远程控制工具mstsc登陆域控制服务器：双击mstsc.exe，然后弹出的“远程桌面连接”对话框的计算机文本框中输入域控制服务器的IP地址，最后点“连接”。
（mstsc.exe为Windows自带的远程桌面连接程序，本例中域服务器IP为132.147.100.6）2．创建OU及用户：（OU为组织单元）登陆上域服务器后，按如下路径“开始——程序——管理工具——Active Directory用户和计算机”，打开Active Directory用户和计算机。
进入“Active Directory用户和计算机”界面后，在域名下点右键，选择“新建”中的“组织单元”。
（本例中域环境为）建立新的组织单元OU_test，并且确认。
选择新的组织单元OU_test，点右键，选择“新建”中的“用户”建立新的用户user_test，输入姓和用户登陆名后点下一步输入密码并确认，并将密码过期改为“密码永不过期”，点下一步完成组织单元OU_test下用户user_test的创建3．对组织单元OU_test下的用户（暂时只添加了user_test）配置组策略选择组织单元OU_test，点右键，选择属性进入组织单元“OU_test属性”对话框，切换到组策略界面按“新建”按钮，新建一个组策略对象连接，并改名为user_test选择组策略对象连接user_test，点“编辑”，进入组策略编辑对话框4．组策略的配置（本例只讨论任何禁止访问注册表）依次展开“用户配置——管理模板”，然后单击“系统”选择右边的“防止访问注册表编辑工具”，双击进入“防止访问注册表编辑工具属性”对话框，将配置“未配置”改为“已启用”，并确认。
按上面的方法，管理员可以禁用域环境为下的组织单元user_test里所有用户的其他权限，而不会影响到域的其他组织单元的用户权限。
无论客户端使用WIN XP还是WIN2000操作系统，只要是入域的计算机，使用user_test用户登录域后，就会自动使用整个OU的组策略。
组策略命令
组策略命令在企业级 应用中的实际部署与 执行
• 企业级应用中，组策略命令的部署和执行通常包括以下几个步骤： • 设计组策略管理架构，确定域控制器和组策略管理服务器的部 署位置 • 在域控制器上创建和编辑GPO，设置相应的策略和偏好设置 • 将GPO链接到相应的用户和计算机，应用GPO中的设置 • 监控GPO的应用情况，确保设置正确生效 • 定期备份GPO，以防数据丢失
注意事项：
• 在编辑GPO时，建议先创建一个副本，以免影响现有设置 • 在删除GPO之前，请确保GPO中无重要设置，以免误删 • 定期检查GPO的应用情况，确保设置正确生效
05
组策略命令在企业级应用中的案例分析
企业级组策略管理架 构设计
• 企业级组策略管理架构通常包括： • 一个或多个域控制器，用于存储和管理GPO • 一个或多个组策略管理服务器，用于管理和应用GPO • 一个或多个客户端计算机，受GPO控制的计算机
应用组策略对象(GPO)到用户和计算机
应用组策略对象到用户的命令示例：
应用组策略对象到计算机的命令示例：
04
组策略命令的疑难解答与技巧
组策略命令执行失败的常见原因与解决方法
执行失败的原因可能有：
• 命令行参数错误：检查参数的格式和取值是否正确 • 权限不足：确保以管理员身份运行命令行工具 • 域控制器不可用：检查域控制器是否正常运行 • 网络连接问题：检查网络连接是否正常
组策略命令的主要功能包括：
• 创建、编辑和删除组策略对象 （GPO） • 设置组策略偏好设置 • 应用组策略对象（GPO）到用户和 计算机 • 监控组策略的应用情况 • 优化组策略的性能和安全性
组策略名词解释
组策略名词解释
组策略(Team Strategies)是一种计算机系统中的程序设计技术,用于管理和配置应用程序中的用户、服务和配置。
它是一种集中式管理技术,可以使多个用户可以同时访问应用程序,并可以在不同的用
户之间共享相同的配置和资源。
在组策略中,用户通过系统提供的组策略编辑器来定义和配置应用程序的策略,包括用户角色、权限、服务配置、数据库配置等。
通过组策略,管理员可以集中管理应用程序的配置,确保所有用户的访
问和配置都是正确的。
组策略还可以帮助应用程序进行版本控制,确保不同版本的应用程序可以相互兼容。
在 Windows 操作系统中,组策略使用 gptf (Group Policy Template) 文件来描述策略。
gptf 文件包含一组预定义的模板,用于定义应用程序中的规则。
用户可以在组策略编辑器中选择相应的模板,并按照模板中的规定来配置应用程序。
在 Linux 操作系统中,组策略使用 GPT (Group Policy Object) 来描述策略。
GPT 文件包含一组可执行文件,这些文件可以配置应用程序中的规则。
用户可以通过系统提供的 GPT 工具来创建和编辑 GPT 文件。
组策略的配置与管理
组策略的配置与管理一、组策略的概念及作用组策略是Windows操作系统中的一种重要管理工具，它可以对计算机或用户进行一系列的配置和管理。
通过组策略，管理员可以对网络中的计算机和用户进行统一的管理，从而提高网络安全性、降低维护成本和提高工作效率。
二、组策略的配置与管理方法1. 打开组策略编辑器在Windows操作系统中，打开组策略编辑器有两种方法：一种是在运行窗口中输入“gpedit.msc”命令；另一种是在控制面板中选择“管理工具”->“本地安全策略”。
2. 配置计算机配置和用户配置在组策略编辑器中，有两个主要选项：计算机配置和用户配置。
管理员可以根据需要分别对这两个选项进行配置。
其中，计算机配置包括Windows设置、安全设置、软件设置等；用户配置包括Windows设置、安全设置、脚本设置等。
3. 配置组策略对象管理员可以选择要应用某个组策略的对象。
例如，可以选择应用某个组策略到特定的计算机或用户上。
4. 配置组策略规则在每个选项卡下面都有很多不同的规则可供管理员进行配置。
例如，在“Windows设置”->“安全设置”中，管理员可以配置密码策略、账户锁定策略等。
5. 配置组策略优先级如果不同的组策略规则之间存在冲突，那么就需要根据优先级来确定哪个规则会被应用。
管理员可以在组策略编辑器中为不同的规则设置优先级。
三、常见的组策略配置和管理案例1. 禁用USB存储设备在计算机配置中，选择“Windows设置”->“安全设置”->“本地策略”->“安全选项”，找到“可移动存储访问控制”，将其禁用即可禁止使用USB存储设备。
2. 配置密码策略在计算机配置中，选择“Windows设置”->“安全设置”->“账户策略”->“密码策略”，可以对密码长度、是否启用复杂性要求等进行配置。
3. 禁止用户更改壁纸在用户配置中，选择“管理模板”->“控制面板”->“个性化”，找到“阻止改变桌面背景”，将其启用即可禁止用户更改壁纸。
组策略完全解析
配置组策略设置
在组策略对象中，可以配置各种组 策略设置，包括计算机配置和用户
配置。
创建或修改组策略对象
在“组策略管理”控制台中，可以 创建新的组策略对象或修改现有的 组策略对象。
应用组策略
在配置完成后，可以通过应用组策 略将配置应用到计算机或用户。
组策略应用示例
01
配置密码复杂性要 求
测试配置结果
在进行组策略配置后，建议在测试环境中测试配置 结果是否符合预期，以避免不必要的麻烦。
注意策略冲突
在进行组策略配置时，需要注意策略冲突的 情况，避免出现多个策略相互抵消的情况。
04
组策略的优化与调整
优化组策略的步骤
测试与验证
在实施优化方案后，需要进行全面的测试 和验证，以确保组策略的调整和配置是正 确的，并能够带来预期的效果。
重新应用组策 略
如果组策略设置没有问 题，可以尝试重新应用 组策略，看是否可以解 决问题。
寻求帮助
如果以上步骤都无法解 决问题，可以寻求专业 的帮助，例如从微软或 其他技术社区获取支持 。
维护组策略的方法
定期检查
定期检查组策略的应用情况，确保它们在 正常工作。
备份
备份组策略，以防止意外情况导致的问题 。
优化与调整的注意事项
01
安全性
在优化和调整组策略时，必须始终注意安全性。不应该做出任何可能
危及系统或应用安全的更改。
02
兼容性
在更改组策略时，需要确保新的组策略与现有的系统和应用兼容。否
则，可能会引发不可预知的问题。
03
性能
虽然优化和调整组策略可以提高性能，但也可能会对系统或应用的性
能产生负面影响。因此，在做出更改后，需要密切关注性能指标的变
samba 域控 配置组策略
Samba 域控配置组策略1. 简介Samba是一个开源的实现了SMB/CIFS协议的软件套件，可以在Linux和其他类Unix系统上实现与Windows共享文件和打印机的功能。
通过配置Samba域控制器（Domain Controller），我们可以将Linux服务器作为Windows域中的主要身份验证服务器，并使用组策略（Group Policy）来管理Windows客户端。
本文将详细介绍如何在Samba域控下配置组策略。
2. 安装和配置 Samba 域控首先，我们需要安装Samba软件包，并进行基本的配置。
2.1 安装 Samba 软件包在Linux服务器上，执行以下命令安装Samba软件包：$ sudo apt-get install samba2.2 配置 Samba编辑Samba配置文件/etc/smb.conf，将其配置为域控模式。
以下是一个示例配置：[global]workgroup = MYDOMAINrealm = netbios name = MYDCserver role = active directory domain controllerdns forwarder = 8.8.8.8idmap_ldb:use rfc2307 = yesvfs objects = acl_xattrmap acl inherit = yes请根据实际情况修改workgroup、realm、netbios name和dns forwarder参数。
保存并关闭文件。
2.3 创建域用户执行以下命令创建域用户：$ sudo smbpasswd -a username请将username替换为要创建的域用户的用户名，并输入密码。
2.4 启动 Samba 服务启动Samba服务，使其生效：$ sudo systemctl start smbd nmbd3. 配置组策略现在，我们将配置组策略以管理Windows客户端。
组策略（gpedit.msc）完全使用手册
组策略（gpedit.msc）完全使用手册组策略（gpedit.msc）完全使用手册组策略（gpedit.msc）完全使用手册对于大部分计算机用户来说，管理计算机基本上是借助某些第三方工具，甚至是自己手工修改注册表来实现。
其实Windows XP组策略已经把这些功能集于一体，通过组策略及相关工具完全可以实现我们所需要的功能。
一、组策略基础1.什么是组策略注册表是Windows系统中保存系统软件和应用软件配置的数据库，而随着Windows功能越来越丰富，注册表里的配置项目也越来越多，很多配置都可以自定义设置，但这些配置分布在注册表的各个角落，如果是手工配置，可以想像是多么困难和烦杂。
而组策略则将系统重要的配置功能汇集成各种配置模块，供用户直接使用，从而达到方便管理计算机的目的。
其实简单地说，组策略设置就是在修改注册表中的配置。
当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。
2.组策略的版本对于Windows 9X/NT用户来说，都知道“系统策略”的概念，其实组策略就是系统策略的高级扩展，它是自Windows9X/NT的“系统策略”发展而来的，具有更多的管理模板、更灵活的设置对象及更多的功能，目前主要应用于Windows2000/XP/2003操作系统中。
早期系统策略的运行机制是通过策略管理模板，定义特定的POL(通常是Config.pol)文件。
当用户登录时，它会重写注册表中的设置值。
当然，系统策略编辑器也支持对当前注册表的修改，另外也支持连接网络计算机并对其注册表进行设置。
而组策略及其工具，则是对当前注册表进行直接修改。
显然，Windows2000/XP/2003系统的网络功能是其最大的特色之处，所以其网络功能自然是不可少的，因此组策略工具还可以打开网络上的计算机进行配置，甚至可以打开某个ActiveDirectory(活动目录)对象(即站点、域或组织单位)并对其进行设置。
使用组策略配置域中任务计划
使用组策略配置域中任务计划组策略（Group Policy）是Windows域中一种集中管理计算机和用户配置的技术。
通过使用组策略，管理员可以轻松地配置和部署计算机和用户的设置，以便满足组织的安全性、合规性和操作需求。
其中一种常见的使用组策略的场景是配置任务计划。
在本文中，将介绍如何使用组策略配置域中的任务计划。
如果要配置计算机级别的任务计划，可以展开"计算机配置"，然后选择"Windows 设置" -> "安全设置" -> "任务计划程序"。
在右侧的窗格中，可以看到数个可配置的选项。
要创建一个新的任务计划，可以使用右侧窗格中"任务计划程序库"的选项。
右键单击"任务计划程序库"，选择"新建任务计划"。
在弹出的对话框中，指定新任务计划的名称和描述。
然后点击"下一步"。
在下一步中，可以选择计划任务执行的触发器。
可以根据需要选择不同的触发器类型，例如在每天指定时间执行、在登录时启动或在特定事件发生时执行。
选择合适的触发器后，点击"下一步"。
在下一步中，可以指定要执行的操作。
可以选择运行程序、脚本或发送电子邮件等操作。
根据不同操作的需求，选择合适的选项，并配置相关的参数。
完成后，点击"下一步"。
在下一步中，可以选择任务计划的安全选项。
这些选项包括指定运行任务的账户、配置运行任务时的权限以及是否将任务计划设置为隐藏。
根据组织的需求进行相应的配置，并点击"下一步"。
在最后一步中，可以对任务计划进行最后的概述和配置检查。
确认任务计划的设置无误后，点击"完成"。
现在已经创建了一个新的任务计划。
要配置任务计划的其他设置，可以在任务计划程序库中选择相应的任务计划，然后右键单击并选择"属性"。
组策略配置及技巧
组策略攻略概念：组策略对象可以应用到的容器包括：站点、域、OU。
默认的域策略、域控制器策略尽量不要去修改。
默认的域策略会影响到所有的域内的用户，计算机以及DC，默认的域控制器策略只会影响到域内的所有的域控制器。
组策略（group policy）对象包括组策略容器（GPC）和组策略模板（GPT）组策略是AD集中管理的工具。
GPC存放在AD用户和计算机中。
存放位置如下：高级功能-选择域-system-policies对应的UID中，单击属性可以查看版本号等信息，CPT存放于sysvol\域名\polilcies\ID number下的文件夹下，包含计算机和用户的配置，以及版本号。
多个GPO可以链接到一个容器，一个GPO可以链接到多个容器。
强制：是不受组策略阻断影响，Q&A：如何实现OU内的GPO只（不）对OU内特定人员生效？（GPO只对财务部OU和销售部OU的经理生效）使用安全过滤；在AD用户和计算机中新建一个安全组，将需要生效的成员（经理）添加进来，在所要生效的GPO中右击属性-委派-高级，删除默认的authe nticated user组，将新建的安全组添加进来，权限中设置读取和应用（拒绝）组策略权限即可。
（尽量不要使用，方便排错）如果一个程序有多个软件限制策略规则，该如何应用？按照1：哈希；2：证书；3：路径；4：internet区域路径规则；优先级顺序执行。
组策略的执行顺序为：本地策略、站点策略、域策略、父OU策略、子OU策略。
后执行的优先级高。
如多于一个的同类规则作用于同一个程序，则同类规则中最具有限制能力的规则起作用。
如何禁止客户端本地登录，只能使用域环境登录？打开GPMC，在所要设置的GPO中编辑如下：计算机设置-策略-windows设置-安全设置-本地策略-用户权限分配中，单击允许本地登录，安全选项中，帐户：管理员帐户状态，禁用，可以实现只能登陆到域。
组策略如何备份？打开GPMC-组策略对象，在需要备份的GPO中单击备份，要备份所有的GPO，单击组策略对象，选择备份。