第9章 组策略

先处理“计算机配置”，再处理“用户配置”。如果“计算机配 置”与“用户配置”发生冲突，大多情况下却是以“计算机配 置”优先。 如果将多个GPO链接到同一个OU，那么所有GPO的配置 将被累加起来，作为这个OU最后有效的组策略配置，如 果这些GPO的配置发生冲突，则将排在GPO列表顶端的 GPO配置优先。 在域环境中，“本地计算机策略”内的组策略配置如果与站 点、域或OU的组策略配置发生冲突，则站点、域或OU的 配置优先，“本地计算机策略”的配置无效。
提示：微软还另外提供了一个名为Microsoft Group Policy Management Console(GPMC)的管理工具，使管理员能 够更容易的管理组策略。
9.1.4计算机和用户的组策略设置


GPO中包含两个节点：“计算机配置”和“用户配置”。 计算机配置 定义的设置有：操作系统设置、桌面设置、 安全设置、启动/关机脚本的设置，已分派的应用程序选 项以及应用程序设置。在操作系统初始化以及系统刷新时， 将应用与计算机相关的组策略。一般来说，在计算机的组 策略与用户的组策略发生冲突时，将优先应用计算机的组 策略。 用户配置 定义的设置有：操作系统设置、桌面设置、安 全设置、已分派和已发行的应用程序选项、应用程序设置、 文件夹重定向选项以及登录/注销脚本。在用户登录到计 算机以及在系统刷新时，将应用与用户相关的组策略。
说明： “禁止替代”的优先级高于“阻止策略继承”的优先级，因此 “禁止替代”能使所有的组策略设置都能得到应用。 “禁止替代”选项是设置在链接上的，而不是在GPO上。如 果某GPO链接到多个容器，那么可以互相独立的为每个 容器设置“禁止替代”选项。
9.3.2 处理未作更改的组策略设置
如果要让计算机强制处理、应用所有的计算机策略配置， 可执行gpupdate/target: Computer /force 命令；如果要处 理、应用所有的用户策略配置，可执行gpupdate/target: user/force 命令。
组策略为管理员提供了集中管理网络中的用户和计算机 的方法。 可以将组策略应用于整个网络，也可以只应用于指定的 用户和计算机。 通过使用组策略，可以定义用户初始的工作环境状态， 然后可以根据实际需求不断改进已定义的组策略设置。 组策略的应用，可以降低配置用户环境的复杂性，减少 用户错误配置环境的可能性，减少网络管理员技术支持 的工作量，使得管理用户和计算机的工作变得更加灵活、 方便，从而提高工作效率。
ห้องสมุดไป่ตู้ 9.3.3 组策略和慢速网络连接
组策略会将网络连接速度（成员计算机与域控制器之间的 链接速度）与500Kbps默认值进行比较，如果自定义过该 默认值，那么就会与自定义的阈值进行比较。如果网络连 接速度小于500Kbps（或自定义的阈值），那么就认为是 慢速网络连接。
第9章 组策略
了解组策略的概念、功能以及组 策略的结构。掌握使用组策略管 理单元的方法，能够配置计算机 和用户的组策略设置，并能够应 用组策略，实现预期的管理目的。 掌握创建组策略对象、链接现有 组策略对象的方法。理解组策略 继承的规则以及如何控制组策略 的处理过程。
9.1 组策略概述

2．例外的组策略处理规则 阻止策略继承 通过选择子容器内“阻止策略继承”选项来设 置子容器不继承由父容器传递来的所有GPO配置，也就 是只以子容器的GPO作为组策略的配置。如果子容器的 GPO内设置为“尚未配置”，则采用默认值。 禁止替代 选择父容器中的GPO链接（例如，公司安全策 略）→单击“选项”→在链接选项中，选中“禁止替代”选项， 可以强制子容器必须继承此GPO内的组策略设置，而不 论子容器是否设置了“阻止策略继承”。 组策略筛选 位于容器内的所有用户与计算机，默认对该 容器的GPO都具有“读取”与“应用组策略”权限，因此，在 某个容器上建立GPO后，此GPO的设置将被应用到这个 容器内的所有用户与计算机。组策略筛选可以设置此 GPO不应用到特定的用户、组或计算机对象。
Windows 2003域控制器内有两个内建的GPO，分别是： Default Domain policy 该GPO已被链接到域，因此它的 设置会被应用到整个域内的所有用户与计算机。 Default Domain Controller policy 该GPO已被链接到 Domain Controllers OU，因此它的设置会被应用到域控 制器组织单位内的所有用户与计算机。在域控制器组织单 位内，系统默认只有域控制器的计算机帐户。
9.1.5应用组策略的时间
当修改了站点、域或OU的GPO配置后，这些配置并不是 立即就应用到站点、域或OU内的用户与计算机。 应用GPO配置的具体时间与修改的是计算机配置还是用 户配置有关。
1．计算机配置的启用时间 计算机开机时自动启用。 即使计算机不重新开机，系统仍然会每隔一段时间自动启 用。域控制器默认每隔5分钟自动启用，非域控制器默认 每隔90-120分钟自动启用，而且无论策略配置值是否有变 动，系统仍然会每隔16小时自动启用一次。 手动启用。在命令提示符中执行gpupdate /target： computer /force命令。
9.1.1组策略的功能
组策略可以实现以下功能： 在站点或域上，实施应用于整个企业的集中化的策略；在 组织单位（OU）级别上，实施应用于每个部门的分散化 的策略。 确保用户能在满足工作需要的环境中工作。例如，可以自 动安装软件；用户的数据文件能有一个集中、安全的存储 位置等。 控制用户和计算机的环境，从而可以减少用户所需的技术 支持。例如，通过使用组策略，能够防止用户随意更改系 统配置，还能防止用户安装不必要的应用程序。 实施公司策略，包括商业规范、目标和安全要求。例如， 确保所有用户的安全配置都符合公司的安全要求，确保所 有用户都已经安装了一组特定的应用程序集合。
9.2.2链接现有组策略对象
1．将现有GPO链接到域和组织单位 2．将现有GPO链接到站点
9.2.3指定管理GPO的域控制器
要指定管理GPO的域控制器，可以通过“DC选项”命令与 “组策略”两种方式。
9.3 组策略的处理规则 9.3.1 组策略的继承与处理规则
1. 一般的的继承与处理规则如下： 如果父容器配置了组策略，但其子容器未配置组策略，则 子容器将继承父容器配置的组策略。 如果子容器配置了组策略，则此配置会覆盖由其父容器所 传递下来的组策略配置。 组策略的配置具有累加性。 处理GPO的先后顺序是：站点的GPO→域的GPO→OU 的GPO。当域、站点与OU之间的GPO配置发生冲突时， 则以处理顺序在后的GPO优先，因此OU的GPO配置优先。
9.1.2 组策略对象
组策略的设置包含在组策略对象（Group policy object， GPO）中，因此，只要将GPO关联到指定的站点、域或 OU，该GPO内的设置就会影响到该站点、域或OU内的 所有用户与计算机。
1．GPO的类型 GPO有两种类型：本地GPO和非本地的GPO。 运行Windows 2003的计算机不论是在工作组环境中，还 是在Active Directory环境中，在本机上都存储了一个本地 GPO。然而，如果一台计算机已经加入Active Directory 域，那么非本地GPO就能覆盖本地GPO。在工作组环境 中或者在未联网的环境中，由于本地GPO的设置并没有 被非本地GPO覆盖，所以本地GPO有效。 非本地GPO是与Active Directory对象（例如站点、域或 组织单位）关联起来使用的，非本地GPO也可以应用于 用户或计算机。如果要使用非本地GPO，网络中必须要 有一台Windows 2003域控制器，并且系统会分层次应用 非本地GPO中的策略，从计算机所在的站点到计算机所 在的组织单位，并且这些组策略的应用是累加的。
2．用户配置的启用时间 用户登录时自动启用。 即使用户不注销、登录，系统默认每隔90-120分钟自动启 用，而且不论策略配置值是否有变动，系统仍然会每隔16 小时自动启用一次。 手动启用。在命令提示符中执行gpupdate /target：user /force命令。
9.2 使用组策略对象
如果现有的GPO设置已经可以满足需求，那么就可以把 该GPO直接链接到站点、域或组织单位。 如果要创建新的GPO或者编辑现有的GPO时，默认的操 作是对域控制器上的GPO进行管理，而这些域控制器必 须是主域控制器（PDC）模拟器的角色。
9.2.1创建组策略对象
可以创建有链接的GPO，也可以创建无链接的GPO。要 创建链接到站点、域或组织单位的GPO时，要先创建一 个新的GPO，然后将其链接到站点、域或组织单位。 演示： 1．创建有链接的组策略对象 2．创建无链接的组策略对象
除了可以针对站点、域与组织单位来设置组策略之外，还 可以针对每一台计算机配置本地计算机策略，本地计算机 策略的配置数据是被存储在本地计算机的％systemroot％ System32\GroupPolicy文件夹内,它是一个隐藏文件夹。 本地计算机策略只会应用到本地计算机以及在此计算机登 录的所有用户。




可以配置的组策略设置的类型有： 管理模板 用于配置应用程序以及用户桌面环境的基于注册表的设置。 这些设置包括用户能够访问的操作系统组件和应用程序，用户对“控 制面板”的访问级别以及用户对脱机文件的控制级别。 安全设置 用于配置本地计算机、域和网络安全性的设置。这些设置 包括对用户访问网络的控制、对帐户和审核策略的设置以及对用户权 限的控制。 软件安装 为用户提供一个可以获得应用程序的集中位置，在客户端 计算机自动进行应用程序的安装、更新或删除。 脚本 指定在计算机启动/关闭、用户登录/注销时运行脚本，可以指定 某些脚本执行批处理操作、控制多个脚本以及指定脚本的运行顺序。 远程安装服务 控制用户在使用“远程安装服务”（RIS）运行“客户安 装向导”时的可用选项。 Internet Explorer维护 管理和自定义Internet Explorer的设置。 文件夹重定向 用于将用户的文件夹（例如“我的文档”文件夹）重定 向到网络服务器上的一个共享文件夹内。