组策略终极应用技巧
Windows 操作系统组策略之实用技巧三则
如果你是初学使用组策略，肯定被组策略编辑器里名目繁多的策略弄了个头晕眼花，由于不熟悉每个策略的具体位置，有时候为了配置一个策略您可能要在组策略编辑器里翻找大半天，这时候我们就可以使用组策略编辑器的“筛选”功能。在“开始”菜单的“运行”中输入“gpedit.msc”打开组策略编辑器，在左侧窗格中选择一个目录，单击右键，在弹出的快捷菜单中选择“查看→筛选”命令打开“筛选”对话框，在该对话框上，我们可以选择组策略编辑器只显示配置了的策略，也可以选择组策略编辑器只显示针对特定软件的策略，如图1所示，我们可以选择只显示Windows XP Professional以上的操作系统才能管理的策略。
技巧二：禁用“用户配置”或“计算机配置”策略
组策略编辑器中的策略分为两类：计算机配置和用户配置。如果你想知道当前系统中这两类策略分别有多少项被配置过，或者你想隐藏其中一类配置，则可以使用这样的方法：打开组策略编辑器，右键单击左窗格目录树的根目录“本地计算机策略”，然后在弹出的快捷菜单上选择“属性”打开“本地计算机策略属性”对话框，在该对话框上“创建”一栏显示了该组策略管理单元生成的时间，一般情况下它就是操作系统的安装时间；而“修改”中则显示的是最后一次设置组策略的时间；“修订”一栏显示了这两个分类中各自有多少策略被配置过；如果你希望在这里隐藏其中的一类策略，则可以在：编辑远程计算机的组策略
组策略不仅可以本地编辑，而且还可以远程编辑。在“开始”菜单上单击“运行”，输入“mmc”打开MMC控制台（Microsoft Management Console），在默认情况下，MMC控制台新建并打开了一个“控制台1”的文件，在MMC控制台的菜单栏选择“文件→添加/删除管理单元”命令，打开“添加/删除管理单元”对话框，在该对话框上单击“添加”，在弹出的独立管理单元列表对话框上选择“组策略”并单击“添加”，在接下来的对话框上我们就可以选择是编辑本地计算机的组策略，还是编辑远程计算机的组策略，系统默认的选择是编辑本地计算机的组策略，单击“浏览”，在选择另一台计算机的对话框中输入计算机在域中的路径，或者单击“高级”选择工作组中如图2所示的另外一台计算机。选择以后单击“确定”就会在“控制台1”中打开该远程计算机的组策略。现在好了，利用这个控制台文件我们就可以编辑远程计算机的组策略了，编辑完成后您还可以把“控制台1”保存为一个“??.msc”的文件，这样，当有需要时，您还可以双击该文件继续远程编辑该计算机的组策略。
Windows操作系统组策略应用全攻略
创建组策略对象
VS
在组策略编辑器右侧的窗格中，可以选择相应的策略进行编辑。例如，可以设置计算机配置或用户配置的策略，包括Windows设置、安全设置、用户权限分配等。
导入脚本
可以在组策略编辑器中导入脚本来自动化设置策略。脚本文件通常以`.bat`或`.ps1`格式存在，可以在编辑器中选择“文件”菜单下的“导入”命令，选择脚本文件并点击“打开”即可导入。
网络通讯设置
04
组策略的故障分析与排除
确定故障范围
要明确故障的具体范围，例如是特定用户、计算机或网络范围内的故障。
组策略的故障识别
了解故障症状
要了解并记录有关故障的具体表现和症状，包括是否出现错误消息、功能失效或性能下降等。
检查应用程序和服务
检查是否安装了可能干扰组策略的应用程序或服务，并禁用它们以进行故障排除。
THANK YOU.
谢谢您的观看
组策略的优点和限制
02
组策略的创建与编辑
打开“组策略”编辑器
在Windows操作系统中，按下“Win键”+“R”键打开“运行”对话框，输入“gpedit.msc”并点击“确定”打开组策略编辑器。
创建新的组策略对象
在组策略编辑器左侧的树形视图中，右键点击“计算机配置”或“用户配置”，选择“新建策略”，输入策略名称后点击“确定”即可创建新的组策略对象。
在Windows操作系统中，组策略是管理员进行配置和管理的强大工具，可在计算机或特定用户上设置各种配置，包括软件设置、安全性和网络设置等。
组策略基本概念
组策略是Windows操作系统中的一种机制，管理员可以使用它来定义计算机或特定用户的各种配置。
组策略基本操作
组策略的基本操作包括创建、编辑、删除、导出和导入等。
Windows系统组策略应用技巧精编
W i n d o w s系统组策略应用技巧精编Document number：WTT-LKK-GBB-08921-EIGG-22986Windows系统组策略应用最新技巧系统几乎是各位网络管理人员管理网络时的必用利器之一，有关该利器的常规应用技巧，相信许多人都已经耳熟能详了。
但是笔者一直认为，只要我们足够细心、用心，就一定会从系统组策略中不断挖掘出新的应用技巧来。
不信的话，就来看看下面的内容吧，相信它们会帮助大家进入一个新的应用新“境界”!巧限程序，谨防“自锁”Windows服务器中有一个名为“只允许运行Windows应用程序”的组策略项目，一旦你将该项目启用，同时限制好指定的程序可以运行外，那么无论你是否在“只允许运行程序列表”中，添加了命令，只要“只允许运行Windows 应用程序”的组策略项目生效，系统的组策略就会自动“自锁”，即使你在超级管理员帐号下使用“”命令，也不能打开系统的组策略编辑窗口!那么有没有一种办法，既能限制应用程序的运行，又能防止系统组策略出现“自锁”现象呢答案是肯定的，你可以按照如下步骤来操作:首先依次单击“开始”/“运行”命令，在弹出的系统运行框中，输入字符串命令“”，单击“确定”按钮后，打开系统组策略编辑窗口;依次展开该窗口中的“用户配置”/“管理模板”/“系统”项目，在对应“系统”项目右边的子窗口中，双击“只运行许可的Windows应用程序”选项，在其后弹出的界面中，将“已启用”选项选中。
随后，你将在对应的窗口中看到“显示”按钮被自动激活，再单击“显示”按钮，然后继续单击其后窗口中的“添加”按钮，再将需要运行的应用程序名称输入在添加设置框中，最后单击“确定”按钮;下面，请大家千万不要将组策略编辑窗口立即关闭;然后打开系统运行对话框，并在其中执行“”命令，此时你将发现系统组策略编辑程序已经无法运行了!不过，幸亏前面没有将组策略编辑窗口关闭，现在你可以继续在组策略编辑窗口中，双击刚才设置的“只允许运行Windows应用程序”项目，然后在弹出的策略设置窗口中，选中“未配置”选项，最后单击一下“确定”按钮，这样就能实现既可以限制运行应用程序的目的，又能阻止系统组策略出现“自锁”现象。
Windows 7 组策略安全使用全攻略
组策略是管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。
通过使用组策略可以设置各种软件、计算机和用户策略。
考虑到安全方面的原因，Windows 7已经开发了许多新的和增强的组策略功能和服务，帮助您更好地保护计算机上驻留的数据、功能和服务。
这些功能的配置取决于您的具体要求和使用环境，本文将主要介绍Windows 7组策略的安全使用技巧，介绍如何配置组策略功能和服务来更好地满足您的系统安全、网络安全、数据保护及个性化需求。
一、系统设置安全篇1. 禁止运行指定程序系统启动时一些程序会在后台启动，这些程序通过“系统配置实用程序”(msconfig)的启动项无法阻止，操作起来非常不便，通过组策略则非常方便，这对减少系统资源占用非常有效。
通过启用该策略并添加相应的应用程序，就可以限制用户运行这些应用程序。
具体步骤如下：(1)打开「开始」菜单，在“搜索程序和文件”搜索框中输入“gpedit.msc”并回车，打开组策略对象编辑器。
(2)在左边的窗格依次单击“用户配置→管理模板→系统”，然后在右边的窗格双击“不要运行指定的Windows应用程序”(如图1所示)。
图1 双击“不要运行指定的Windows应用程序”(3)选中“已启用”，单击“显示”按钮(如图2所示)，添加要阻止的程序如“Wgatray.exe”即可。
图2 添加要阻止的程序当用户试图运行包含在不允许运行程序列表中的应用程序时，系统会提示警告信息。
把不允许运行的应用程序复制到其他的目录和分区中，仍然是不能运行的。
要恢复指定的受限程序的运行能力，可以将“不要运行指定的Windows应用程序”策略设置为“未配置”或“已禁用”，或者将指定的应用程序从不允许运行列表中删除（这要求删除后列表不会成为空白的）。
这种方式只阻止用户运行从Windows资源管理器中启动的程序，对于由系统过程或其他过程启动的程序并不能禁止其运行。
该方式禁止应用程序的运行，其用户对象的作用范围是所有的用户，不仅仅是受限用户，Administrators组中的账户甚至是内建的administrator帐户都将受到限制，因此给管理员带来了一定的不便。
整理[计算机]组策略配置及技巧
![整理[计算机]组策略配置及技巧](https://img.taocdn.com/s3/m/6a07040da5e9856a56126067.png)
组策略攻略概念：组策略对象可以应用到的容器包括：站点、域、OU。
默认的域策略、域控制器策略尽量不要去修改。
默认的域策略会影响到所有的域内的用户，计算机以及DC，默认的域控制器策略只会影响到域内的所有的域控制器。
组策略（group policy）对象包括组策略容器（GPC）和组策略模板（GPT）组策略是AD集中管理的工具。
GPC存放在AD用户和计算机中。
存放位置如下：高级功能-选择域-system-policies对应的UID中，单击属性可以查看版本号等信息，CPT存放于sysvol\域名\polilcies\ID number下的文件夹下，包含计算机和用户的配置，以及版本号。
多个GPO可以链接到一个容器，一个GPO可以链接到多个容器。
强制：是不受组策略阻断影响，Q&A：如何实现OU内的GPO只（不）对OU内特定人员生效？（GPO只对财务部OU和销售部OU的经理生效）使用安全过滤；在AD用户和计算机中新建一个安全组，将需要生效的成员（经理）添加进来，在所要生效的GPO中右击属性-委派-高级，删除默认的authe nticated user组，将新建的安全组添加进来，权限中设置读取和应用（拒绝）组策略权限即可。
（尽量不要使用，方便排错）如果一个程序有多个软件限制策略规则，该如何应用？按照1：哈希；2：证书；3：路径；4：internet区域路径规则；优先级顺序执行。
组策略的执行顺序为：本地策略、站点策略、域策略、父OU策略、子OU策略。
后执行的优先级高。
如多于一个的同类规则作用于同一个程序，则同类规则中最具有限制能力的规则起作用。
如何禁止客户端本地登录，只能使用域环境登录？打开GPMC，在所要设置的GPO中编辑如下：计算机设置-策略-windows设置-安全设置-本地策略-用户权限分配中，单击允许本地登录，安全选项中，帐户：管理员帐户状态，禁用，可以实现只能登陆到域。
组策略如何备份？打开GPMC-组策略对象，在需要备份的GPO中单击备份，要备份所有的GPO，单击组策略对象，选择备份。
组策略的终极应用
★组策略的终极应用★组策略的应用先给初学的扫扫盲：说到组策略，就不得不提注册表。
注册表是Windows系统中保存系统、应用软件配置的数据库，随着Windows功能的越来越丰富，注册表里的配置项目也越来越多。
很多配置都是可以自定义设置的，但这些配置发布在注册表的各个角落，如果是手工配置，可想是多么困难和烦杂。
而组策略则将系统重要的配置功能汇集成各种配置模块，供管理人员直接使用，从而达到方便管理计算机的目的。
简单点说，组策略就是修改注册表中的配置。
当然，组策略使用自己更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。
运行组策略的方法：在“开始”菜单中，单击“运行”命令项，输入gpedit.msc并确定，即可运行组策略。
先看看组策略的全貌，如图。
本文将主要讲解以下内容：计算机配置||__Windows设置| || |__脚本(启动/关机)| |__安全设置| |__账户策略| | |__密码策略| | |__账户锁定策略| |__本地策略| | |__审核策略| | |__用户权利指派| | |__安全选项| |__公钥策略| | |__正在加密文件系统@| |__软件限制策略| | |__安全级别| | |__其他规则@| |__IP安全策略,在本地计算机||__用户配置||__Windows设置||__管理模板|__任务栏和[开始]菜单|__桌面|__控制面板|__网络|__系统|__Windows组件Win2003 Server帐户和本地策略配置（上）在Windows Server 2003系统的“帐户和本地策略”中包括“帐户策略”和“本地策略”两个方面，而其中的“帐户策略”又包括：密码策略、帐户锁定策略和Kerberos策略三个方面；另外的“本地策略”也包括：审核策略、用户权限分配和安全选项三部分。
下面分别予以介绍。
一、密码策略的设置密码策略作用于域帐户或本地帐户，其中就包含以下几个方面：强制密码历史密码最长使用期限密码最短使用期限密码长度最小值密码必须符合复杂性要求用可还原的加密来存储密码以上各项的配置方法均需根据当前用户帐户类型来选择。
组策略最佳实践之 降龙十八掌 希望对大家有用
组策略最佳实践之降龙十八掌希望对大家有用！降龙十八掌第一式——亢龙有悔：单独保留默认的GPOs（推荐）1、Default Domain Policy & Default Domain Controllers Policy密码、帐户锁定和Kerberos策略设置必须在域级别实现（如果在OU级别上去做，只是对计算机的本地用户生效而不是域用户）还有以下设置：登录时间用完自动注销用户，重命名（Domain）管理员帐户和重命名（Domain）来宾帐户。
这些策略也必须在域级别实现，也是只有这些策略需要在域级别上设置。
2、使用以下两种方法：（1）在Default Domain Policy仅修改以上策略设置，然后在其下链接其他GPO（2）单独保留Default Domain Policy永不修改，创建并链接高优先级的GPO，然后修改策略设置（推荐）1、为什么因为恢复损坏的默认的GPOs是个噩梦？（KB 226243、KB 324800 —KB267553）4、不要依赖DCgpofix（这将是最后的还原工具），Dcgpofix还原默认的GPOs到干净的安装状态。
最好的方法使用您的备份替代！降龙十八掌第二式——飞龙在天：设计OU结构1、将DC放在DC所在的OU里并单独管理2、为用户和计算机创建单独的OU3、使用OU把用户/计算机按照角色分组，例如：（1）计算机：邮件服务器、终端服务器、WEB服务器、文件和打印服务器、便携计算机等（2）域控制器：保留在默认的Domain controllers OU下（链接Default Domain Controller Policy GPO）（3）用户：IT职员、工程师、车间、移动用户等4、默认情况下，所有新帐户创建在cn=users或者cn=computers（不能链接GPO），所以如果是Windows 2003域：（1）在域中使用“redirusr.exe”和“redircmp.exe”指定所有新计算机/用户帐户创建时的默认OU（2）允许使用组策略管理新创建的帐户（使用“redirusr.exe”和“redircmp.exe”两个命令，为使重定向成功，在目录域中的域功能级别必须至少是windows server 2003，这两个工具是内置的，示例：所用域的名字是zxy.xy，让新计算机加入到域，默认注册到TEST的OU中去，进入命令提示符：c:\>redircmp“ou=test,dc=zxy,dc=xy”用户的相同）（命令创建计算机帐户：c:>net computer [url=file://computername/]\\computername[/url] /add）降龙十八掌第三式——龙战于野：反对跨域GPO链接如果你公司是多域环境，绝对不要把父域的GPO链接到子域来使用，相反亦然。
Windows系统组策略应用最新技巧
Windows系统组策略应用最新技巧系统组策略几乎是各位网络治理人员治理网络时的必用利器之一，有关该利器的常规应用技巧，相信许多人都差不多耳熟能详了。
然而笔者一直认为，只要我们足够细心、用心，就一定会从系统组策略中不断挖掘出新的应用技巧来。
不信的话，就来看看下面的内容吧，相信它们会关心大伙儿进入一个新的应用新〝境域〞!巧限程序，防备〝自锁〞Windows服务器中有一个名为〝只承诺运行Windows应用程序〞的组策略项目，一旦你将该项目启用，同时限制好指定的程序能够运行外，那么不管你是否在〝只承诺运行程序列表〞中，添加了gpedit.msc命令，只要〝只承诺运行Windows应用程序〞的组策略项目生效，系统的组策略就会自动〝自锁〞，即使你在超级治理员帐号下使用〝gpedit.msc〞命令，也不能打开系统的组策略编辑窗口!那么有没有一种方法，既能限制应用程序的运行，又能防止系统组策略显现〝自锁〞现象呢?答案是确信的，你能够按照如下步骤来操作:第一依次单击〝开始〞/〝运行〞命令，在弹出的系统运行框中，输入字符串命令〝gpedit.msc〞，单击〝确定〞按钮后，打开系统组策略编辑窗口;依次展开该窗口中的〝用户配置〞/〝治理模板〞/〝系统〞项目，在对应〝系统〞项目右边的子窗口中，双击〝只运行许可的Windows应用程序〞选项，在其后弹出的界面中，将〝已启用〞选项选中。
随后，你将在对应的窗口中看到〝显示〞按钮被自动激活，再单击〝显示〞按钮，然后连续单击其后窗口中的〝添加〞按钮，再将需要运行的应用程序名称输入在添加设置框中，最后单击〝确定〞按钮;下面，请大伙儿千万不要将组策略编辑窗口赶忙关闭;然后打开系统运行对话框，并在其中执行〝gpedit.msc〞命令，现在你将发觉系统组策略编辑程序差不多无法运行了!只是，幸亏前面没有将组策略编辑窗口关闭，现在你能够连续在组策略编辑窗口中，双击刚才设置的〝只承诺运行Windows应用程序〞项目，然后在弹出的策略设置窗口中，选中〝未配置〞选项，最后单击一下〝确定〞按钮，如此就能实现既能够限制运行应用程序的目的，又能阻止系统组策略显现〝自锁〞现象。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
组策略终极应用技巧出处：中国IT实验室责任编辑：ANSON2006-03-17 15:39:34 关闭缩略图的缓存（Windows XP/2003）Windows XP/20003系统系统具有缩略图的功能，为加快那些被频繁浏览的缩略图显示速度，系统还会将这些显示过的图片置于缓存中，以便下次打开时直接读取缓存中的信息，从而达到快速显示的目的。
若你不希望系统进行缓存的话，则可利用组策略轻松地关闭缓存功能。
由于不进行缓存处理，反而会大大加快第一次浏览的速度。
方法如下：打开“组策略控制台→用户配置→管理模板→Windows组件→Windows资源管理器”中的“关闭缩略图的缓存”并启用此策略。
提示：若你的电脑是一个网络中的共享工作站，为了数据安全，建议你启用该设置以关闭缩略图视图缓存，因为缩略图视图缓存可以被任何人读取。
屏蔽系统自带的CD刻录功能（Windows XP/2003）Windows XP/2003系统自带CD刻录功能，若你有刻录机连接在电脑上，在Windows 资源管理器中可以直接将数据犹如复制一样写到CD－R上。
这样虽然方便，但是会影响系统性能和资源管理器的执行速度，再加之大部分用户都习惯了运用专用刻录软件进行刻录，所以我们建议无论电脑上有无刻录机，都可以利用组策略来屏蔽此功。
方法如下：打开“组策略控制台→用户配置→管理模板→Windows组件→Windows资源管理器”中的“删除CD刻录功能”并启用此策略。
提示：该设置不会阻止用户使用第三方应用程序来刻录或修改CD－R。
限制IE浏览器的保存功能（Windows 2000/XP/2003）当多人共用一台计算机时，为了保持硬盘的整洁，对浏览器的保存功能进行限制使用是很有必要。
那么怎样才能实现呢？具体步骤如下：打开“组策略控制台→用户配置→管理模板→Windows组件→Internet Explorer→浏览器菜单”，然后将右侧窗格中的“…文件‟菜单：禁用…另存为...‟菜单项”、“…文件‟菜单：禁用另存为网页菜单项”、“…查看‟菜单：禁用…源文件‟菜单项”和“禁用上下文菜单”等策略项目全部启用即可。
如果不希望别人对IE 浏览器的设置随意更改，可以将“…工具‟菜单：禁用…Internet选项...‟”策略启用。
此外，如果个人需要的话，还可以在该窗格中禁用其他项目。
禁止修改IE浏览器的主页（Windows 2000/XP/2003）在IE浏览器中可以设置默认主页，如果不希望他人对自己设定的IE浏览器主页进行随意更改的话，可以打开“组策略控制台→用户配置→管理模板→Windows组件→Internet Explorer→工具栏”，然后选择“禁用更改主页设置”组策略并启用即可。
另外在这个窗格中，还提供了“更改历史记录设置”、“更改颜色设置”和“更改Internet临时文件设置”等项目的禁用功能。
启用此策略后，在IE浏览器的“Internet 选项”对话框中，其“常规”选项卡的“主页”区域的设置将变灰，即不可修改。
提示：如果您已经设置了位于“组策略控制台→用户配置→管理模板→Windows组件→Internet Explorer→Internet Explorer控制面板”中的“禁用常规页”策略，则无须再设置该策略。
禁用“Internet 选项”控制面板（Windows 2000/XP/2003）如果你对“控制面板”中的选项禁用得较多，不如一步到位——干脆禁止访问“控制面板”，通过下面的组策略设置方法即可实现这一要求：打开“组策略控制台→用户配置→管理模板→Windows组件→Internet Explorer→Internet 控制面板”，在右边窗格中我们可以看到“禁用常规页”、“禁用安全页”等组策略项目。
下面以“禁用常规页”为例进行说明：打开右边窗格中的“禁用常规页”并设置为“启用”。
然后我们再打开Internet选项控制面板，会发现“常规”项目已经没有了，这样一来用户将无法看到和更改主页、缓存、历史记录、网页外观以及辅助功能的设置，因为该策略将删除界面上的“常规”选项卡，所以如果设置了该策略，则无须设置位于“用户配置→管理模板→Windows 组件→Internet Explorer”中的诸如“禁用更改主页设置”、“禁用更改颜色设置”等策略。
IE设置手到擒来微软的Internet Explorer让我们可以轻松地在互联网上遨游，但要想用好Internet Explorer，则必须将它配置好。
在IE浏览器的“Internet选项”窗口中，提供了比较全面的设置选项（例如：“首页”、“临时文件夹”、“安全级别”和“分级审查”等项目），但部分高级功能没有提供，而通过组策略即可轻松实现这些功能。
下面来看具体实例：位置：“组策略控制台→用户配置→管理模板→Windows 组件→Internet Explorer （需添加inetres.adm模板文件）”禁用“在新窗口中打开”菜单项（Windows 2000/XP/2003）出于对安全的考虑，有时候我们有必要屏蔽IE的一些功能菜单，组策略提供了丰富的设置项目，比如禁用“另存为...”、“文件”、“新建”等。
下面以“禁用…在新窗口中打开‟菜单项”为例介绍具体的设置方法。
打开“组策略控制台→用户配置→管理模板→Windows 组件→Internet Explorer→浏览器菜单”，然后打开“禁用…在新窗口中打开‟菜单项”并设置为“启用”。
启用该策略后，用户在某个链接上单击鼠标右键，然后单击“在新窗口中打开”时，该命令将不起作用。
该策略可与“…文件‟菜单禁用…新建‟菜单项”一起使用，后者禁止用户通过单击“文件”菜单，指向“新建”，然后单击“窗口”在新窗口中打开浏览器（“新建→窗口”项目已经无法使用）。
提示：启用该策略后，单击“在新窗口中打开”命令，将无法在新窗口中打开链接，系统会提示用户该命令无效，网页自动打开的窗口也全部被禁止，其实这样也可达到屏蔽弹出广告窗口的效果。
限制IE浏览器的保存功能（Windows 2000/XP/2003）在使用IE浏览网页过程中，当遇到好的图片、文章等资源时可以使用“另存为”功能将它保存到本地硬盘中，当多人共用一台计算机时，为了保持硬盘的整洁，需要对浏览器的保存功能进行限制。
那么如何才能实现呢?可以这样操作：打开“组策略控制台→用户配置→管理模板→Windows组件→Internet Explorer→浏览器菜单”，然后将右侧窗格中的“…文件‟菜单：禁用…另存为...‟菜单项”、“…文件‟菜单：禁用另存为网页菜单项”、“…查看‟菜单：禁用…源文件‟菜单项”和“禁用上下文菜单”等策略项目全部启用即可。
如果不希望别人对IE浏览器的设置随意更改，可以将“…工具‟菜单：禁用…Internet选项...‟”策略启用。
另外，根据个人的需要，在该窗格中还可以禁用其他项目。
自定义IE工具栏（Windows 2000/XP/2003）IE工具栏的背景和上面的按钮都是可以自定义的，以前我们大多使用手动修改注册表的方法，不过并不直观，现在我们用“组策略”可以更方便地达到效果，打造属于我们自己的IE。
打开“组策略控制台→用户配置→Windows设置→Internet Explorer维护→浏览器用户界面”下的“浏览器工具栏按钮自定义”策略配置项目，在这里，可以自定义浏览器工具栏的背景图片，点击“浏览”选择一个BMP的位图文件即可（注意：工具栏背景应该与工具栏大小相同，而亮度应该足以显示黑色文字，否则实际效果并不理想）。
接下来，我们要在IE的工具栏上添加自己的快捷方式，比如添加“我的QQ”，在这里也可以很轻松地完成。
点击“添加”，在“工具栏标题”中输人“我的QQ”，在“工具栏操作”中选择QQ程序的路径，最后再选择好“颜色图标”和“灰度图标”的路径（如果你不知道怎么提取这两个图标，可以请EXeScope这个软件来帮忙，在各大站点都可以下载）。
设置完成后点“确定”，再次打开IE后就可以看到修改的效果了。
设置并锁定Windows Media Player外观（Windows 2000/XP/2003）Windows Media Player是目前最流行的多媒体播放器之一，如果不希望其他用户随意更改其界面外观的话，利用组策略可以轻松实现。
打开“组策略控制台→用户配置→管理模板→Windows 组件→Windows Media Player→用户界面中的设置并锁定外观”启用此策略。
启用此策略后，将使Windows Media Player 只以指定的外观模式显示，具体可以使用在“策略”选项卡上的“外观”框中指定的外观。
你必须为外观使用完整的文件名 例如miniplayer.wmz 。
如果外观文件在用户的计算机上没有安装，播放器将以Windows Media Player外观打开。
提示：本策略设置软件版本至少为Windows Media Player v8.00，ADM文件为wmplayer.adm。
禁止Windows Media Player播放时运行屏保（Windows 2000/XP/2003）屏幕保护程序可以有效地保护我们的显示器，但是当我们使用播放器观看精彩影片时，经常会出现屏幕保护程序突然运行而中断观看的尴尬局面。
现在我们可以通过组策略来解决屏幕保护程序使Windows Media Player播放中断的麻烦问题了。
打开“组策略控制台→用户配置→管理模板→Windows组件→Windows Media Player→播放中的允许运行屏幕保护程序”并将它设置为“已禁用”状态。
优化配置Windows Media Player网络缓冲（Windows 2000/XP/2003）当我们使用Windows Media Player播放流式媒体时，播放器会在播放前对流式媒体进行缓冲处理，以便可以流畅地进行播放。
在实际应用中，根据网络带宽和服务器的连接速度，缓存的时间长短并不一样，但Windows Media Player却是在使用同一设置，这无疑与实际网络情况不匹配，因此我们可以根据具体的网络带宽情况自己优化配置网络缓冲。
打开“组策略控制台→用户配置→管理模板→Windows组件→Windows Media Player→网络中的配置网络缓冲”并设置为启用状态，在出现的缓冲时间（秒数）配置选项中，根据网络的带宽情况进行自定义（最多60 秒）。
提示：如果此策略已启用，那么Windows Media Player“性能”选项卡上的缓存选项将不能再配置。
屏蔽使用所有Windows Update 功能的访问（Windows 2000/XP/2003）Windows Update可以自动连接Microsoft网站并下载更新内容，这对大部分用户来说是比较实用的，但对于不需要更新或者带宽紧张的电脑用户来说，此功能就显得多余了，而且经常传闻Windows Update会将计算机用户信息“秘密”发往Microsoft，因此也可以屏蔽这一“智能”高级功能。