组策略统一修改客户端本地管理员密码
组策略统一修改客户端本地管理员密码
使用组策略统一修改客户端本地管理员密码版权声明：转载时请以超链接形式标明文章原始出处和作者信息及本声明/logs/4657183.html您可以通过开机/关机脚本来现实统一修改域中本地管理员的密码。
有关如何创建启动脚本您可以参考下面的链接：/technet/archive/community/columns/tips/2kscr ipt.mspx?mfr=true具体的操作方法如下：1. 点击“开始－>运行”并输入“DSA.MSC”?－>打开Active Directory用户和计算机2. 然后右键点击（您的域名）－>属性－>组策略。
3. 然后编辑该策略－>计算机配置－> Windows设置-脚本（开机/关机脚本）4. 双击启动，点击添加，点击浏览，然后将.vbs文件拷贝到弹出的对话中，然后选中该文件，点击打开，点击确定。
最后点击应用和确定。
下面是.vbs的具体内容：strComputer = "."Set objUser = GetObject("WinNT://" & strComputer & "/Administrator, user") objUser.SetPassword "testtest01!"objUser.SetInfotesttest01!为您指定的新的管理员密码。
5、在DC上刷新组策略，然后重新启动一台客户端，测试管理员密码有没有被更改。
请注意：如果您在域策略上启用密码必须满足复杂性的话，那么您设的新密码一定要满足该条件，否则本地管理员密码不会被更改。
时间同步通常情况下，Windows 2000/xp/2003域成员有个w32time时间服务，它会自动与域DC进行时间同步，无需人为干涉，保持域内时间的同步是kerberos认证协议的一个基本要求，也是为了防止重放攻击的一种手段，如果域成员客户机与DC的时间相差太大的话，它的登录将不能成功，这时你可以手动调整系统时间，通常情况下，只要通讯无阻碍，域成员将自动与DC保持时间同步还可以在命令行下实现：net time /setsntp:time.×××.cn (设置时间服务器地址) net stop w32time (停止时间服务)net start w32time (启动时间服务)w32tm -s (立即同步时间)。
常用AD组策略设置
常用AD组策略设置利用Windows活动目录(AD)组策略，可以比较方便的对域中所有Windows客户端的桌面、屏幕保护、本地管理员密码、可信站点等等诸多元素，进行统一设置。
根据需要，有些组策略可以在整个域里实施，有的可以在域内不同的组织单位(OU)中单独实施。
相应的操作也就是在域或OU的属性页中，增加、编辑和应用组策略。
下面是实际操作演示：⏹AD域控制器：Windows Server 2003/2008⏹以域管理员权限运行“Active Directory 用户和计算机”1. 设置屏保程序打开“”域下组织单位“北京”的属性(如下图)：可看到已经启用了一个名为“bjboshi”的组策略，选中它，点击“编辑”按钮，进入组策略对象编辑器。
在“计算机配置”－“Windows设置”－“脚本”中，打开“启动”的属性(如下图)，增加一个名为setscr.bat的脚本。
脚本存放路径为域控制器的C:\Windows\SYSVOL\sysvol\\Policies\{5F158A23-FFAA-4469-BAED-FE6D46963630}\Ma chine\Scripts\Startup该setscr.bat脚本的内容是：copy bssec.scr c:\windows\system32即每次系统启动时，将域控制器上的屏保文件bssec.scr复制到客户端电脑的c:\windows\system32路径下。
作用就是分发和同步所有客户端电脑的屏保文件。
下面进行关于客户端屏保的策略设置。
打开“”域的属性(如下图)：可看到已经启用了一个名为“Default Domain Policy”的组策略，选中它，点击“编辑”按钮，进入组策略对象编辑器。
在“用户配置”－“管理模板”－“控制面板”－“显示”，启用右侧的“屏幕保护程序”，启用“可执行的屏幕保护程序的名称”，填入屏幕保护文件名：bssec.scr，(如下图)：同时启用右侧的“密码保护屏幕保护程序”，设置屏保超时(如下图)：屏保设置完毕。
gpedit.msc（组策略）
gpedit.msc（组策略）gpedit.msc(组策略):使⽤系统管理员的帐号登陆进⼊系统，打开“开始”-“运⾏”，在运⾏输⼊框中输⼊“gpedit.msc”，进⼊“组策略”.说到组策略，就不得不提注册表。
注册表是Windows系统中保存系统、应⽤软件配置的数据库，随着Windows功能的越来越丰富，注册表⾥的配置项⽬也越来越多。
很多配置都是可以⾃定义设置的，但这些配置发布在注册表的各个⾓落，如果是⼿⼯配置，可想是多么困难和烦杂。
⽽组策略则将系统重要的配置功能汇集成各种配置模块，供管理⼈员直接使⽤，从⽽达到⽅便管理计算机的⽬的。
简单点说，组策略就是修改注册表中的配置。
当然，组策略使⽤⾃⼰更完善的管理组织⽅法，可以对各种对象中的设置进⾏管理和配置，远⽐⼿⼯修改注册表⽅便、灵活，功能也更加强⼤。
各功能现如⼀介绍:计算机配置-windows设置-安全设置中包括“帐户策略”和“本地策略”两个⽅⾯，⽽其中的“帐户策略”⼜包括：密码策略、帐户锁定策略和Kerberos策略三个⽅⾯；另外的“本地策略”也包括：审核策略、⽤户权限分配和安全选项三部分。
下⾯分别予以介绍。
⼀、密码策略的设置 ⼀、密码策略的设置 密码策略作⽤于域帐户或本地帐户，其中就包含以下⼏个⽅⾯： 强制密码历史 密码最长使⽤期限 密码最短使⽤期限 密码长度最⼩值 密码必须符合复杂性要求 ⽤可还原的加密来存储密码 以上各项的配置⽅法均需根据当前⽤户帐户类型来选择。
默认情况下，成员计算机的配置与其域控制器的配置相同。
下⾯分别根据⼏种不同⽤户类型介绍相应的密码策略配置⽅法。
1. 对于本地计算机 对于本地计算机的⽤户帐户，其密码策略设置是在“本地安全设置”管理⼯个中进⾏的。
下⾯是具体的配置⽅法。
第1步，执⾏〖开始〗→〖管理⼯具〗→〖本地安全策略〗菜单操作，打开如图所⽰的“本地安全设置”界⾯。
对于本地计算机中⽤户“帐户和本地策略”都查在此管理⼯具中进⾏配置的。
批处理修改组策略内容
批处理修改组策略内容批处理可以使用secedit工具来修改组策略内容。
以下是一些示例脚本：1.添加用户到本地管理员组：```。
secedit /export /cfg temp.inf。
echo [Local_Group_Membership] >>temp.inf。
echo "Administrators"="*S-1-5-32-544" >>temp.inf。
secedit /configure /db %windir%\security\local.sdb /cfg temp.inf。
```。
2.禁用附带执行：```。
secedit /export /cfg temp.inf。
echo[Software\Policies\Microsoft\Windows\safer\codeidentifiers\0\Pat hs] >>temp.inf。
secedit /configure /db %windir%\security\local.sdb /cfg temp.inf。
```。
3.禁用USB存储设备：```。
secedit /export /cfg temp.inf。
echo[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR] > >temp.inf。
echo "Start"=dword:00000004 >>temp.inf。
secedit /configure /db %windir%\security\local.sdb /cfg temp.inf。
```。
请注意，secedit工具需要管理员权限才能运行。
此外，修改组策略可能会对系统产生不利影响，因此在使用脚本之前，请务必备份系统。
使用组策略控制域工作站本地文件夹或文件的用户权限
作为网管员,很多时候客户端的权限问题乃是最为纠结的一件事了,下面我们向大家介绍下通过组策略的文件系统向客户端赋权,这样的话大大节省了网管员的时间,也避免了客户端因为软件不能正常运行而抱怨不休的情况。
在调整设置的时候，下列问题要注意:该策略是针对计算机的策略是应用在计算机设置上可能客户端组策略结果中无法正常显示出策略应用集，但是却能够正常使用（这也是我纳闷的一点）使用相对路径的时候注意大小写的书写不建议对对所有文件夹赋权，以免客户端对系统盘操作权限过大，照成系统未知问题参考文章:在附件，请下载查看！1、我们在域控上打开组策略管理器，选中需要调整这个设置的组织单元，右键点击新建组策略，在选中新建的策略，右键选择编辑2、在弹出的组策略管理编辑器页面中选择计算机配置--策略--windows设置--安全设置--文件系统，右键点击文件系统，在点击添加文件3、在弹出的对话框里选择对应域用户下面的桌面的对应位置，点击确定。
会弹出右下边的图请注意：这里输入的是绝对路径，（作为域控，肯定不会安装一些日常应用软件，因此而导致服务器上不存在与客户端对应的文件夹，所以我们需要用到相对路径来达到我们的目的），而客户端又有XP和win7之分，大家都知道，win7系统是有Program Files和Program Files（X86）两个文件夹，所以这里我们也要添加两个。
实际环境中不建议把Program Files整个文件夹的权限给domain users 应该针对其中的部分软件安装的文件夹路径赋权，以免造成客户端权限过大而导致系统被更改等等原因，这样的话就有点得不偿失了。
文件夹路劲是可以手动输入的。
在添加无管理员权限的用户桌面的时候，是添加%systemdrive%\users\public\desktop或者%UserProfile%\Desktop这个路劲。
有管理员权限的用户就是用户名所对应的文件夹下面的桌面。
4、点击添加，在弹出的对话框里输入domain users再点击右边的检查名称，然后再点击确定5、选中刚刚添加的domain users，在下面的权限允许里调整权限，调整好后点击应用，再点击确定6、在弹出的对话框中我们设置相应的权限，我们设置的权限为除了完全控制其他全部赋予客户端，然后点击确定，在这一步弹出的页面中询问关于此文件夹的权限问题：添加此权限到所有子文件夹和文件此权限替换所有子文件夹和文件的权限不允许此权限下发到子文件夹和文件这里我们选择替换所有子文件夹和文件的权限，同理添加其他文件夹，权限设置与此一致。
域环境批量修改本地管理员密码
在比较大一点的环境中，我们会经常遇到这样的情况，由于电脑的批次不一样，或IT人员流动的问题，造成电脑的本地管理员密码不一致，当我们需要登录到本地管理员的时候，往往会不知道本地管理员密码，虽然我们可以通过进PE的办法破解密码，但如果电脑比较多，那么这将是一个讨厌的工作。
如果是域环境，我们可以组策略的方式批量修改计算机的本地管理员密码。
在生产环节中不建议直接修改域策略，我们可以创建一个新策略；如果是针对个别OU的，一定要注意很多时候，我们把计算机加入到域后，就将计算机放在了默认的容器里面了，应该将计算机也放入到对应的OU里面；
1、点击服务器任务栏左下角的开始，再点击管理工具
2、组策略管理--右击default domain policy策略（或者新建GPO），在选择编辑
3、展开计算机配置--首选项--控制面板--本地用户和组
4、在右边空白的地方，右键点击，选择新建--本地用户
5、在操作选择更新；用户名选择administrator（内置），并重新输入密码；密码的一些属性，这个根据实际情况选择；
注意：如果是清装原版的系统，都会新建一个管理员账户的，所以在这里并不一定是Administrator
6、选择确定
7、更改好，在右边会出现一个Administrator的账户
注意：如果客户端是Windows XP需要安装KB943729补丁
当然批量修改管理员密码的方法不止这一种，也可以通过脚本，但相对来说使用组策略比较简单，不过组策略的排错有点麻烦，但相对于脚本，我觉得这种方法比较简单，可以根据自己的
情况，选择合适的方法。
通过组策略修改客户端登录的方式
电话：(0371)65706336 65706337 65706339 传真：（0371）65706367 地址：郑州市丰产路81号思达数码大厦C座5楼邮编：450002 1通过组策略修改客户端登录的方式场景某企业的管理员为了方便用户的登录及只允许登录到域，希望能够达到以下目的：z不使用安全键序列Ctrl+Alt+Del，直接输入用户名及密码z在登录时，登录对话框中只显示域，而不显示本机，从而达到只能登录到域的目的z个别的计算机（如展厅的PC）开机就自动登录到域，而且使用的是有密码的权限受限的账户原理在Windows NT开始，在登录的时候就需要Ctrl-Alt-Delete组合键才能出现登录对话框，这三个键叫Secure Attention Sequence(SAS)。
微软之所以这样设计，是因为CTRL+ALT+DEL 三键直接调出的程序只有任务管理器和登录窗口，而其它的一些骗取密码的木马类程序是无法通过的，从而提高了安全性。
一般建议用户使用这个安全键序列。
但是有些不了解的用户却认为这样不方便。
SAS热键的注册使得Winlogon成为第一个处理CTRL+ALT+DEL的进程，所以保证了没有其他应用程序能够处理这个热键。
在Windows NT/Windows 2000/Windows XP中， WinSta0 是表示物理屏幕、鼠标和键盘的Windows系统对象的名字。
Winlogon在WinSta0 Windows系统中创建了SAS窗口（窗口标题是"SAS Window"）和如下三个桌面。
z Winlogon 桌面z应用程序桌面z屏幕保护桌面当用户按下Ctrl-Alt-Delete组合键时，Winlogon桌面上的SAS窗口收到它注册的系统热键消息(WM_HOTKEY) SAS Window窗口处理这个消息调用Graphical Identification and Authentication(GINA)动态连接库中的相关函数。
3种用组策略将域帐号加入本地管理员组的方法
3种用组策略将域帐号加入本地管理员组的方法台湾女同事问了我2次当前系统域帐号是怎么在第一次登录时，自动加入域客户端本地管理员组的？我猜不外乎就是脚本、计算机策略或虚拟机初始化的自动应答脚本，结果系统的前任同事找到了答案--GPO的用户策略（确切讲是用户首选项），SIGN!今天琢磨了一下，采用下列3种方法之一即可实现：1、对于WIN2003域控制器(DC)环境，使用计算机策略的“受限制的组”用户和组”.用在将登录帐号自动加入本地管理员组的场合。
地用户和组”，用在将重要的域组加入客户端本地管理员组的场合。
下面让我细细道来。
第1种方法的步骤很简单：.在域中创建一个test01\g1组帐号，将要加入本地管理员组的域帐号test01\user_1加入g1组.在组策略中在“受限制的组”上右键选添加组，然后把一些元素添入选项，参照本文第1幅图.刷新域客户机的组策略，就可以看到test01\g1组被自动加入到本地管理员组了，如下图第2种方法：为了避免干扰，我创建了另一个2008R2的域来验证第2种方法，该域WINXP03客户机的初始本地管理员成员如下：为了使GPO“首选项”能作用到客户端，需要在域客户端安装客户端扩展集组件(CSE)，URL 为：/zh-cn/library/cc731892(WS.10).aspx根据客户端OS类型选相应组件下载，并安装到WINXP03客户机中，如下图（XMLLite XML 无需安装）：在2008R2上开始设置GPO的用户配置项，按下图添加对客户端本地Administrators的操作策略操作中的“更新”代表更新域客户端Administrators组中的成员，“添加当前用户”是指添加登录时的域帐号到客户端本地Administrators组，只要域帐号一登录，就把它加入本地管理员组现在用域帐号test02\user_1登录测试一下用户首选项策略生效，该帐号被成功加入管理员组接下来看看“删除所有成员用户”的结果换一个test02\user_2帐号，显然，已将前面加入的user_1帐号删除，还有其他除administrator 以外的用户帐号被删除（本地的USER1）然后我们继续选删除所有成员组，并计划将本地administrator也从管理员组中删除其结果如下：1.所有用户帐号被从管理员组中删除，除当前登录用户除外。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
使用组策略统一修改客户端本地管理员密码
版权声明：转载时请以超链接形式标明文章原始出处和作者信息及本声明
/logs/4657183.html
您可以通过开机/关机脚本来现实统一修改域中本地管理员的密码。
有关如何创建启动脚本您可以参考下面的链接：
/technet/archive/community/columns/tips/2kscr ipt.mspx?mfr=true
具体的操作方法如下：
1. 点击“开始－>运行”并输入“DSA.MSC”?－>打开Active Directory用户和计算机
2. 然后右键点击（您的域名）－>属性－>组策略。
3. 然后编辑该策略－>计算机配置－> Windows设置-脚本（开机/关机脚本）
4. 双击启动，点击添加，点击浏览，然后将.vbs文件拷贝到弹出的对话中，然后选中该文件，点击打开，点击确定。
最后点击应用和确定。
下面是.vbs的具体内容：
strComputer = "."
Set objUser = GetObject("WinNT://" & strComputer & "/Administrator, user") objUser.SetPassword "testtest01!"
objUser.SetInfo
testtest01!为您指定的新的管理员密码。
5、在DC上刷新组策略，然后重新启动一台客户端，测试管理员密码有没有被更改。
请注意：如果您在域策略上启用密码必须满足复杂性的话，那么您设的新密码一定要满足该条件，否则本地管理员密码不会被更改。
时间同步
通常情况下，Windows 2000/xp/2003域成员有个w32time时间服务，
它会自动与域DC进行时间同步，无需人为干涉，
保持域内时间的同步是kerberos认证协议的一个基本要求，
也是为了防止重放攻击的一种手段，如果域成员客户机与DC的时间相差太大的话，
它的登录将不能成功，这时你可以手动调整系统时间，通常情况下，只要通讯无阻碍，
域成员将自动与DC保持时间同步
还可以在命令行下实现：
net time /setsntp:time.×××.cn (设置时间服务器地址) net stop w32time (停止时间服务)
net start w32time (启动时间服务)
w32tm -s (立即同步时间)。