第31讲 组策略管理
组策略的管理
图7-41 “添加组策略对象链接”对话框
组策略的管理
委托组策略管理控制
在创建组策略以后，要确定哪些用户和组对组策略对象拥有
访问权限，默认的组策略对象权限如下所示。
Creator Owner组：拥有特别的权限。 Authenticated Users组：拥有读、应用组策略和特别的权限。
服务器搭建与管理
—— Windows Server 2003
主讲：匡芳君
授课班级 授课时间 授课地点
计应/英1001班 5月8日星期日 知701
第 31 次 课
课题内容：组策略的管理
教学目的：理解组策略； 学会创建组策略，并进行关联，使之生效。 教学方法：演示法、练习法 重 难 点：创建组策略；组策略的应用。 能力培养：培养学生学会创建组策略，并进行关联，使之生效。
利用漫游配置文件可以使用户在域中不同的计算机上登录到域时， 使用的配置文件是相同的。 3、从域控制器上建立本地域组Student_test，域账户User1、User2， 把User1和User2加入到Student_test组中，控制用户User1下次登录时 要修改密码，用户User2可以登录的时间段是星期一到星期五9:00－ 17:00。如何操作？
③手动启动。
组策略的管理
5、组策略的优先级
组策略对象用于存储组策略的配置信息、控制站点、域和组织单元
中用户和计算机的设置。
在Windows Server 2003中有本地组策略、域组策略、域控制器组策
略和组织单元组策略，它们的优先级如下：
①本地组策略； ②域组策略； ③域控制器组策略； ④组织单元组策略。 默认情况下，这些策略不一致时，最后应用的策略将覆盖以前的策
用。在此要说明的是，“组策略”中的“组”和以前介绍的用户 组并没有什么直接关系，不要把组策略理解为针对用户组所配置 的策略。
简单理解，组策略就是一套Windows Server 2003的配置方案，如
图标、菜单的设置，这套方案可以应用到一批计算机或用户上。
1、组策略对象
组策略的管理
组策略通过组策略对象设置，下列特性：
组策略利用访问控制列表 (Access Control List，ACL)记
录权限设置，可以修改组策略的访问控制列表，指定哪 些人对该组策略拥有何种权限。
用户只要有足够的权限，就能添加或删除组策略，但无
法复制组策略。
系统已经有两个内建组策略： Default Domain Policy：默认域组策略，此策略已被连接
组策略的管理
图7-45 删除对话框
删除组策略
如果要删除组策略，它就被从活动目录中删除了，组策略对象所链
1）在已经安装并运行域控制器的计算机上的“控制面板”中，双 击“管理工具”后，选择“Active Directory用户和计算机”选 项，在弹出“Active Directory用户和计算机”窗口左部，选择 域或者要链接组策略的组织单元，右击并选择“属性”命令。 2）如果要链接的组策略没有出现在组策略列表中，就单击“添加” 按钮，弹出“添加组策略对象链接”对话框，选择“全部”标 签，单击要链接的组策略；单击“确定”按钮，如图7-41所示。 3）返回“组织单元属性”窗口，选择添加的组策略，单击“应用” 按钮，再单击“确定”按钮即可。
组策略的管理
6、Windows Server 2003组策略的特点
新策略设置：Windows Server 2003提供了大约200个新策略设
置，使组织能够很容易地锁定或管理配置。
跨域林支持：组策略对象只能够连接到域林中的站点、域或组
织单元，而跨域林特性使得Windows Server 2003能够支持一些 组策略应用的新场景。
用户数据设置和管理的增强：管理员能够自动配置客户端以满
足用户的需要。
组策略通过Web视图整合到组策略对象编辑器中，更容易被管
理和校验。
软件限制策略：此策略能够在可疑的程序中判断哪些程序被允
许执行，哪些程序被禁止执行。
组策略的管理
创建组策略
创建域的组策略的具体操作步骤如下：
1）在已经安装并运行域控制器的计算机上的“控制面板”中， 双击“管理工具”后，选择“Active Directory用户和计算机” 选项，在弹出“Active Directory用户和计算机”窗口左部，选 择操作对象，右击并选择“属性”命令，如图7-38所示；在弹 出的菜单选择“组策略”选项卡，如图7-39所示，图中列出了 当前应用到域或者组织单元的全部组策略。
机。
已禁用：表示注册表将指示策略不会应用到隶属于该组
策略的用户和计算机。
组策略的管理
删除组策略对象链接
删除组策略对象链接就是将组策略对象与指定的站点、域或组
织单元之间的链接断开。组策略对象仍然保留在活动目录中， 直至被删除，具体的操作步骤如下：
1）在已经安装并运行域控制器的计算机上的“控制面板”中， 双击“管理工具”后，选择“Active Directory用户和计算机” 选项，在弹出“Active Directory用户和计算机”窗口左部，右 击想要断开链接的站点、域或组织单元，并选择“属性”命令。 2）在弹出的对话框中选择“组策略”标签，选择要断开的组策 略对象，单击“删除”按钮。 3）在弹出的“删除”对话框中，如图7-45所示，选择“从列表中 移除链接”单选按钮，单击“确定”按钮即可。
课堂类型：讲授课 教 具：投影仪、多媒体设备
复习提问
1、按照组作用域，有哪3种组？Administrators组属于哪种组？ 按组作用域划分，有全局组、本地域组和通用组。 Administrators组属于全局组。 2、什么是漫游用户配置文件？它可以起到什么效果？
漫游用户配置文件是把用户的配置文件存放在域中指定的计算机上， 当用户登录到域中时，它会自动下载到用户的计算机中供用户使用。
计算机配置和用户配置发生冲突时，用户配置会覆盖计算机配 置。 – 计算机配置：用于管理控制计算机特定项目的策略，包括 桌面外观、安全设置、操作系统下运行、文件部署、应用 程序分配、计算机启动和关机脚本运行。这些配置应用到 特定的计算机上，当该计算机启动后，自动应用设置的组 策略。 – 用户配置：用于管理控制更多用户特定项目的管理策略， 包括应用程序配置、桌面配置、应用程序分配、计算机启 动和关机脚本运行等。当用户登录到计算机时，就会应用 用户配置组策略。
组策略的管理
4、组策略的启动方式
当组策略配置好后，这些配置要被应用到用户和计算机后才有效。 组策略计算机配置的启动方式是： ①计算机开机时自动启动； ②如果用户不重新开机，系统会每隔一段时间自动启动； ③手动启动。
组策略用户配置的启动方式是：
①用户登录时自动启动； ②即使用户不注销、登录，系统默认每隔90-120分钟自动启动；
Domain Admins组：拥有读、写、创建所有子对象、删除所
有子对象、特别的权限。
System组：拥有读、写、创建所有子对象、删除所有子对象、
特别的ห้องสมุดไป่ตู้限。
组策略的管理
委托组策略管理控制
如果要委托某用户对组策略有访问权限，具体操作步骤如下：
1）在已经安装并运行域控制器的计算机上的“控制面板”中，双击 “管理工具”后，选择“Active Directory用户和计算机”选项，在 弹出“Active Directory用户和计算机”窗口左部，右击域名并选择 “属性”命令，选择“组策略”选项卡。 2）选中组策略，单击“属性”按钮，选择“安全”选项卡，如图7-42 所示。
2）单击“新建”按钮，输入新的组策略名称“组策略对象A”， 然后单击“确定”按钮即可，如图7-40所示，这样就将“组策 略对象A”组策略应用到该组织单元，但是该组策略尚未做任 何设置。图7-40中各按钮作用解释如下：
组策略的管理
图7-38 设置域属性
图7-39 “组策略”选项 卡
组策略的管理
添加：添加一个组策略对象链接。 编辑：打开组策略对象编辑器来比较
和恢复组策略，导入/导出和复制/粘贴组策略，组策略设置报告 及策略结果集数据用于管理配置模板和所有可脚本化的组策略管 理控制台操作。
策略结果集(Rsop)：提供了强大、灵活的基层工具，使管理员能
够计划、监控和检测修复组策略。通过策略结果集，管理员能够 从报告中知道组策略将如何影响到目标用户和计算机，也能使管 理员远程检测指定计算机上当前策略的有效性。
到域，因此它将影响域内所有计算机和用户。
Default Domain Controller Policy：默认域控制策略，此
策略已被连接到Domain Controller OU，因此该策略将 影响域控制器组织单位内的所有计算机和用户。
2、组策略配置类型
组策略的管理
应用组策略时存在两种配置选项：计算机配置和用户配置。当
组策略的管理
图7-43 组策略编辑器
图7-44 设置策略的项目
组策略的管理
设置组策略
3）在组策略编辑器的左边，扩展那个代表自己想要设置的 特殊策略项目。 4）在窗口右侧，右击想要设置策略的项目，选择“属性” 命令，弹出如图7-44所示的对话框，各个选项的解释如 下：
未配置：表示该设置不会更改注册表。 已启用：表示该配置应用到该组策略对象的用户和计算
组策略概述
组策略的管理
组策略是一种在用户或计算机集合上强制使用一些配置的方法，
定义了用户的桌面环境等多种设置。使用组策略可以给同组的计 算机或者用户强加一套统一的标准，包括菜单启动项、软件设置， 这样计算机或者用户可以有相同的菜单、相同的快捷方式等各种 配置。
网络管理主要是依赖组策略来进行，它是在活动目录上的最大应
组策略完全使用手册
组策略完全使用手册对于大部分计算机用户来说,管理计算机基本上是借助某些第三方工具,甚至是自己手工修改注册表来实现;其实Windows XP组策略已经把这些功能集于一体,通过组策略及相关工具完全可以实现我们所需要的功能;一、组策略基础1.什么是组策略注册表是Windows系统中保存系统软件和应用软件配置的数据库,而随着Windows功能越来越丰富,注册表里的配置项目也越来越多,很多配置都可以自定义设置,但这些配置分布在注册表的各个角落,如果是手工配置,可以想像是多么困难和烦杂;而组策略则将系统重要的配置功能汇集成各种配置模块,供用户直接使用,从而达到方便管理计算机的目的;其实简单地说,组策略设置就是在修改注册表中的配置;当然,组策略使用了更完善的管理组织方法,可以对各种对象中的设置进行管理和配置,远比手工修改注册表方便、灵活,功能也更加强大;2.组策略的版本对于Windows 9X/NT用户来说,都知道“系统策略”的概念,其实组策略就是系统策略的高级扩展,它是自Windows9X/NT的“系统策略”发展而来的,具有更多的管理模板、更灵活的设置对象及更多的功能,目前主要应用于Windows2000/XP/2003操作系统中;早期系统策略的运行机制是通过策略管理模板,定义特定的POL通常是文件;当用户登录时,它会重写注册表中的设置值;当然,系统策略编辑器也支持对当前注册表的修改,另外也支持连接网络计算机并对其注册表进行设置;而组策略及其工具,则是对当前注册表进行直接修改;显然,Windows2000/XP/2003系统的网络功能是其最大的特色之处,所以其网络功能自然是不可少的,因此组策略工具还可以打开网络上的计算机进行配置,甚至可以打开某个ActiveDirectory活动目录对象即站点、域或组织单位并对其进行设置;这是以前“系统策略编辑器”工具无法做到的;当然,无论是“系统策略”还是“组策略”,它们的基本原理都是修改注册表中相应的配置项目,从而达到配置计算机的目的,只是它们的一些运行机制发生了变化和扩展而已;3.在WindowsXP中运行组策略在Windows2000/XP/2003系统中,系统默认已经安装了组策略程序,在“开始”菜单中,单击“运行”选项,在打开的对话框中输入“”并确定,即可运行组策略;如图1所示;使用上面的方法,打开的组策略对象是当前的计算机,而如果需要配置其他的计算机组策略对象,则需要将组策略作为独立的MMC管理单元打开：1打开Microsoft管理控制台可在“开始”菜单的“运行”对话框中直接输入“MMC”并确定;2单击“文件→添加/删除管理单元”菜单命令,在打开的对话框中单击“添加”按钮;3在“可用的独立管理单元”对话框中,单击“组策略”选项,然后单击“添加”按钮;4在“选择组策略对象”对话框中,单击“本地计算机”选项编辑本地计算机对象,或通过单击“浏览”查找所需的组策略对象;5单击“完成”按钮,组策略管理单元即打开要编辑的组策略对象;6在左窗格中定位需要更改的选项的位置,在右窗格中右键单击需要更改的具体选项,单击“属性”命令,即可打开其属性对话框,从中选择“已启用”、“未配置”、“已禁用”选项即可对计算机策略进行管理;4.组策略中的管理模板在Windows2000/XP/2003中包含几个ADM文件;这些文件是文本文件,被称为“管理模板”,它们为组策略管理单元的控制树中“管理模板”文件夹下的项目提供策略信息;在Windows2000/XP/2003中,默认的管理模板位于系统文件夹的INF文件夹中,包含了默认安装下的4个模板文件,分别为：1：默认安装在“组策略”中,用于系统设置;2：默认安装在“组策略”中,用于InternetExplorerIE策略设置;3：用于Windows MediaPlayer设置;4：用于NetMeeting设置;在策略管理控制台中,可以多次添加“策略模板”,下面让我们来看看具体操作：首先运行“组策略”程序,然后选择“计算机配置”或者“用户配置”下的“管理模板”,单击鼠标右键,选择“添加/删除模板”命令,然后在打开的对话框中单击“添加”按钮,在打开的对话框中选择相应的ADM 文件;单击“打开”按钮,则在系统策略编辑器中打开选定的脚本文件,并等待用户执行;返回到“组策略”编辑器主界面后,依次打开目录“本地计算机策略→用户配置→管理模板”选项,再单击相应的目录树,就会看到我们新添加的管理模板所产生的配置项目了;注意：下面的操作均在WindowsXP中进行;二、个性化我的电脑1.删除“开始”菜单中的“文档”菜单项在多人使用的计算机中,有的用户不希望其他用户看到自己曾经编辑过的文档或其他信息;因此,为了删除用于记录历史文档的“文档”菜单项,我们可以通过修改组策略来实现;位置：\用户配置\管理模板\任务栏和“开始”菜单\启用此设置,则系统保存“文档”快捷方式,但不在“文档”菜单中显示它们;如果以后禁用此设置或把它设置为未配置,则启用设置之前及其生效之时保存的“文档”快捷方式会出现在“文档”菜单项中;如图2所示;注意：此设置不会阻止Windows程序在最近打开的文档中显示快捷方式;另外,你也可以设置在退出系统时自动清除最近打开的文档的历史记录;位置：\用户配置\管理模板\任务栏和“开始”菜单\如果禁用该策略设置,系统就会在用户退出时删除快捷方式;因此,用户登录时,“开始”菜单上的文档菜单总是空的;如果禁用或不配置此设置,系统将保留文档快捷方式,并且用户登录时的文档菜单看起来与用户退出系统时完全相同;注意：系统在\DocumentsandSettings\\Recent文件夹中的用户配置文件中保存文档快捷方式;2.删除“开始”菜单中的“运行”菜单项在“开始”菜单中有“运行”菜单项,可以输入程序名称来启动程序;我们可以将“运行”菜单项从“开始”菜单中删除;位置：\用户配置\管理模板\任务栏和“开始”菜单\如果启用该设置,发生如下更改：1“运行”命令从“开始”菜单中删除;2新建任务运行命令从任务管理器删除;3阻止用户在IE地址栏中输入下列项：UNC路径：\\＜server＞\＜share＞;访问本地驱动器：例如,C:;访问本地文件夹：例如,\temp＞;同时,使用WIN+R组合键将无法显示“运行”对话框;如果禁用或不配置此设置,用户可以访问“开始”菜单和任务管理器的“运行”命令,以及使用IE地址栏;注意：这个策略只影响指定的界面;不会防止用户使用其他方法运行程序;3.给“开始”菜单减肥如果觉得Windows的“开始”菜单太臃肿,你完全可以通过组策略设置将不需要的菜单项从“开始”菜单中删除;位置：\用户配置\管理模板\任务栏和“开始”菜单\在组策略右侧窗格中,提供“从‘开始’菜单删除用户文件夹”、“删除到‘WindowsUpdate’的访问和链接”、从‘开始’菜单删除公用程序组、从‘开始’菜单中删除“我的文档”图标等配置项目;你只要将不需要的菜单项所对应的策略启用即可;4.隐藏和禁用桌面上的所有项目该策略可以从桌面上删除图标、快捷方式和其他默认的和用户定义的项目;位置：\用户配置\管理模板\桌面\该策略删除图标和快捷方式不防止用户用另一种方法启动程序或打开图标和快捷方式所代表的项目; 5.退出时不保存用户设置该策略用于防止用户保存对桌面的某些更改;位置：\用户配置\管理模板\桌面\如果你启用这个设置,用户可以对桌面做某些更改,但有些更改,比如图标和打开窗口的位置、任务栏的位置及大小在用户注销后都无法保存;6.启用/禁用“活动桌面”ActiveDesktop活动桌面是Windows 98及以后版本或安装了IE的系统中自带的高级功能,它最大的特点是可以设置各种图片格式的墙纸,甚至可以将网页作为墙纸显示;但出于对安全和性能的考虑,有时候我们需要禁用这一功能并且防止用户启用它;位置：\用户配置\管理模板\桌面\ActiveDesktop提示：如果同时启用“启用Active Desktop”设置和“禁用Active Desktop”设置,“禁用Active Desktop”设置会被忽略;如果“禁用Active Desktop和Web视图”设置在“用户配置\管理模板\Windows 组件\Windows资源管理器”被启用,ActiveDesktop就会被禁用,并且这两个策略都会被忽略;7.从“我的电脑”中删除共享文档当Windows用户在一个工作组中,一个“共享文档”图标会以Windows资源管理器的Web视图出现在“其他位置”和“在这台计算机上存储的其他文件”中;使用此设置,你可选择不显示这些项目;位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置,“共享文档”文件夹将不会以Web视图方式显示或在“我的电脑”中出现;如果禁用或不配置此设置,当用户是“工作组”的一部分时,“共享文档”文件夹将会以Web视图方式显示或在“我的电脑”中出现;8.不要将已删除的文件移到“回收站”当Windows资源管理器中的一个文件或文件夹被删除时,该文件或文件夹的副本会被放在“回收站”里;使用此策略,你能改变此行为;位置：\用户配置\管理模板\Windows组件\Windows资源管理器\如果启用此设置,使用Windows资源管理器删除的文件或文件夹不会被放在“回收站”里,因此被永久删除;如果禁用或不配置此设置,使用Windows资源管理器删除的文件或文件夹会被放在“回收站”里;三、利用组策略进行系统设置1.登录时不显示欢迎屏幕为了加快计算机启动的速度,我们完全可以通过组策略设置在每次用户登录时将WindowsXP欢迎屏幕隐藏;位置：\用户配置\管理模板\系统\要显示欢迎屏幕,请依次单击“开始→程序→附件→系统工具”选项,然后单击“开始”选项;要在不指定设置的情况下不显示欢迎屏幕,请在欢迎屏幕上的复选框中清除“在开始显示这个屏幕”选项;注意：这项设置出现在“计算机配置”和“用户配置”文件夹中;如果配置这项设置,“计算机配置”中的设置比“用户配置”中的设置优先;2.配置驱动程序查找位置默认情况下,Windows将从本地安装、软盘驱动器、光盘驱动器、WindowsUpdate等位置搜索驱动程序;此设置配置查找到新硬件时Windows将要搜索驱动程序的位置;位置：\用户配置\管理模板\系统\如果启用此设置,你可以通过检查位置名称的相关复选框,删除这三个位置中的任何位置;如果禁用或不配置此设置,Windows将从本地安装、软盘驱动器、光盘驱动器和WindowsUpdate等位置中搜索驱动程序;3.关闭自动播放一旦你将媒体插入驱动器,自动运行就开始从驱动器中读取;这会造成程序的设置文件和在音频媒体上的音乐立即开始;该策略将关闭自动运行功能;位置：\用户配置\管理模板\系统\如果你启动这项设置,你还可以在CD-ROM驱动器禁用自动运行或在所有驱动器上禁用自动运行;注意：这个设置出现在“计算机配置”和“用户配置”两个文件夹中;如果两个设置都配置,“计算机配置”中的设置比“用户配置”中的设置优先;另外,此设置不阻止自动播放音乐CD;4.只运行许可的Windows应用程序该策略可以限制用户可以运行的Windows程序;位置：\用户配置\管理模板\系统\如果你启用这个设置,用户只能运行你加入“允许运行的应用程序列表”中的程序;这个设置只能防止用户从Windows资源管理器启动程序;无法防止用户用其他方式启动程序,例如任务管理器;如果用户可以访问命令提示符窗口,这个设置无法防止用户从命令窗口启动不允许在Windows资源管理器中运行的程序;注意：要创建允许的文件列表,请单击“显示”按钮,在打开的对话框中单击“添加”按钮,然后输入应用程序的执行文件名称例如,、、;如图3所示;5.删除任务管理器当我们同时按下Ctrl+Alt+Del组合键将显示“Windows任务管理器”对话框;任务管理器可以让用户启动或终止程序、监视计算机性能、查看及监视计算机上所有运行中的程序包含系统服务、搜索程序的执行文件名、更改程序运行的优先顺序;在这里,我们可以通过组策略删除任务管理器;位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\如果该设置被启用,并且用户试图启动任务管理器,系统会显示消息,解释是一个策略禁止了这个操作;6.删除改变“密码”选项该策略可以防止用户通过任务管理器更改系统密码;位置：\用户配置\管理模板\系统\Ctrl+Alt+Del选项\这个设置停用Windows安全设置对话框上的“更改密码”按钮;但是,用户在得到系统提示时依旧可以更改密码;管理员要求新密码和密码作废时,系统会提示用户输入新密码;7.不允许运行WindowsMessengerWindows XP自带有聊天工具Windows Messenger,但是,我们也有可能在系统中安装MSNMessenger;该策略允许你禁用Windows Messenger;位置：\用户配置\管理模板\Windows组件\Windows Messenger如果启用该策略,WindowsMessenger将不会运行;如果禁止或不配置该策略,WindowsMessenger可以被使用;注意：如果启用这个策略,远程协助无法使用WindowsMessenger;另外,这个策略也会出现在“计算机配置”中;如果两个设置都配置,“计算机配置”中的设置比“用户配置”中的设置优先;8.关闭系统还原功能系统还原是WindowsXP/2003中集成的强大功能,它在系统运行的同时,备份被更改的文件和数据,如果出现问题,系统还原使用户能够在不丢失个人数据文件的情况下,将计算机还原到以前的状态;默认情况下,系统还原处于打开状态; 但这一功能付出的代价也是相当大的,系统性能会明显下降,磁盘空间也会被占用很多;对于配置不高的计算机来说,强烈建议关闭此功能;位置：\计算机配置\管理模板\系统\系统还原\关闭系统还原启用此设置后即可关闭系统还原功能,并且不能访问“系统还原向导”和“配置界面”;四、利用组策略调整上网设置1.禁用导入和导出收藏夹禁止用户使用“导入/导出向导”菜单项导入或导出收藏夹链接;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“导入/导出向导”菜单项将无法导入/导出收藏夹链接和Cookie;如果禁用该功能或不对其进行配置,则用户可以通过单击“文件”菜单上的“导入和导出”菜单项,然后运行“导入/导出向导”,导入/导出IE中的收藏夹;注意：如果启用该策略,用户仍然可以查看“导入/导出向导”,但当用户单击“完成”按钮时,将出现说明该功能已被禁用的提示信息;2.禁用更改“高级”选项卡的设置禁止用户更改“Internet选项”对话框中“高级”选项卡上的设置;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,则用户无法更改高级Internet设置,如安全、多媒体和打印;用户无法选中“高级”选项卡上的复选框,也不能清除这些复选框的复选标记;如果禁用该策略或不对其进行配置,则用户可以选择或清除“高级”选项卡上的设置;如果设置了位于\用户配置\管理模板\Windows组件\InternetExplorer\Internet控制面板中的“禁用高级页”策略,则无需设置该策略,因为“禁用高级页”策略将删除界面上的“高级”选项卡;3.对拨号连接使用“自动检测”属性自动检测在浏览器第一次启动时使用DHCP动态主机配置协议或DNS服务器来自定义浏览器;该策略指定自动检测用于用户的拨号设置的配置; 位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该设置,自动检测将配置用户的拨号设置;如果禁用该配置或不配置,自动检测不会配置用户的拨号设置,除非用户指定;4.禁用Internet连接向导禁止用户运行Internet连接向导;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“Internet选项”对话框中“连接”选项卡上的“建立连接”按钮将变灰;用户也无法通过单击桌面上的“连接到Internet”图标或单击“开始→程序→附件→通讯”,然后单击“Internet连接向导”运行Internet连接向导;如果禁用该策略或不对其进行配置,则用户可以通过运行Internet连接向导,更改连接设置;注意：该策略与位于＼用户配置＼管理模板＼Windows组件＼InternetExplorer＼Internet控制面板中的“禁用连接页”策略有相似之处,后者将删除界面上的“连接”选项卡;从界面上删除“连接”选项卡并不会妨碍用户从桌面或“开始”菜单中运行Internet连接向导;5.禁用表单的自动完成功能禁止IE自动完成表单,如填写用户以前在网页中输入过的姓名或密码;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果启用该策略,“表单”复选框将变灰;单击“Internet选项”对话框中“内容”选项卡上的“自动完成”按钮,即可出现“表单”复选框;如果禁用该策略或不对其进行配置,则用户可以启用表单的自动完成功能;位于\用户配置\管理模板\Windows组件\InternetExplorer\Internet控制面板中的“禁用内容页”策略的优先级高于该策略;如果启用了“禁用内容页”策略,该策略将被忽略,因为“禁用内容页”策略将删除“控制面板”中“InternetExplorer属性”对话框中的“内容”选项卡;注意：如果用户已开始使用启用了表单自动完成功能的浏览器后,再启用该策略,则不会清除用户已经使用表单自动完成功能在表单中所填写的内容;6.配置媒体浏览栏属性媒体浏览器栏播放来自Internet的音乐和视频内容,该策略允许管理员启用和禁用媒体浏览器栏和设置默认自动播放;位置：\用户配置\管理模板\Windows组件\InternetExplorer如果禁用媒体浏览器栏,用户无法显示媒体浏览器栏;自动播放功能也被禁用;当用户在IE中单击一个链接,系统中的默认媒体客户端将播放内容;如果启用媒体浏览器栏或不配置,用户可以显示和隐藏媒体浏览器栏;管理员也可以打开和关闭自动播放功能;该设置只在媒体浏览器栏启用时应用;如果选择,媒体浏览器栏将在用户单击媒体链接时自动显示和播放媒体内容;如果不选择,系统上的默认媒体客户端将播放内容;7.禁用右键快捷菜单禁止在用户使用IE过程中单击鼠标右键时出现快捷菜单;位置：\用户配置\管理模板\Windows组件\InternetExplorer\浏览器菜单如果启用该策略,在用户指向网页,然后单击鼠标右键时将不出现快捷菜单;如果禁用该策略或不对其进行配置,则用户可以使用快捷菜单;8.自定义IE标题栏我们可以利用组策略自定义出现在IE和OE标题栏中的文本;无论软件包中是否有OE或者用户计算机上已经安装了OE,都将更新OE标题栏;位置：\用户配置\管理模板\Windows设置\InternetExplorer维护\浏览器用户界面\浏览器标题请在打开的对话框中选中“自定义标题栏”选项,然后在“标题栏文本”框中键入希望的文本;注意：在选择某个位图时,要确保颜色与文本的对比度;这为用户确保了更高程度的可读性;9.自定义IE工具按钮我们可以利用该策略个性化出现在IE中的工具栏,给你一定的灵活性和设计机会;可以使用的元素包括用于标准工具栏按钮例如“搜索”和“历史”的工具栏背景和图标外观;位置：＼用户配置＼管理模板＼Windows设置＼InternetExplorer维护＼浏览器用户界面＼浏览器工具栏自定义在打开的对话框中单击“添加”按钮,然后在打开的对话框中在“工具栏标题必需”框中,键入用户鼠标悬停在工具栏按钮上时出现的文本;必须指定该按钮的标题或标签;建议的最大长度是10个字符;在“工具栏操作作为脚本文件或可执行文件,必需”框中,键入脚本文件或可执行文件的名称,或者单击“浏览”按钮查找文件;必须指定用户单击工具栏按钮时运行的脚本文件或可执行文件;在“工具栏颜色图标必需”框中,键入表示按钮为活动状态的文件的名称,或者单击“浏览”按钮查找该文件;必须指定出现在工具栏上的按钮的彩色图标;图标由活动和非活动状态的20×20像素的图像组成;在“工具栏灰度图标必需”框中,键入出现在黑白监视器上的工具栏的灰度图标文件名和位置,或者单击“浏览”按钮查找文件;必须指定显示在工具栏上按钮的灰度图标;选中“默认情况下,该按钮应显示在工具栏上”复选框来显示默认情况下用户浏览器中的工具栏按钮;五、利用组策略设置优化网络环境1.禁止访问网络连接组件的属性“本地连接属性”对话框包括连接时使用的网络组件列表;要查看或更改组件属性,请单击组件名称,然后单击组件列表下面的“属性”按钮,如图4所示;该策略确定用户是否可以更改由网络连接使用的组件属性,它确定是否启用用于网络连接组件的“属性”按钮;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就会为管理员禁用“属性”按钮;无论“为管理员启用网络连接设置”设置启用与否,用户都不可以访问连接组件;如果禁用或不配置“为管理员启用网络连接设置”;如果禁用或不配置此设置,将为用户启用“属性”按钮;2.禁用TCP/IP高级配置确定用户是否可以配置TCP/IP设置;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就对所有用户包括管理员禁用“Internet协议TCP/IP属性”对话框上的“高级”按钮;因此,用户不能打开“高级TCP/IP设置”对话框并修改IP设置例如,DNS 和WINS服务器信息;如果禁用此设置,则启用“高级”按钮,并且所有用户均可打开“高级TCP/IP设置”对话框;注意：此设置会由禁止访问连接属性或连接组件属性的设置取代;如果将这些策略设置为拒绝访问连接属性对话框或用于连接组件的“属性”按钮,用户就无法访问用于TCP/IP配置的“高级”按钮;不管此设置如何,非管理员用户均不具有访问用于网络连接的TCP/IP高级配置的权限;在用户退出系统之前,将此设置从“启用”更改为“未配置”不会启用“高级”按钮;3.禁止添加或删除用于网络连接或远程访问连接的组件“安装”按钮可打开用来添加网络组件的对话框;单击“卸载”按钮可删除组件列表中的选定组件;“安装”和“卸载”按钮出现在用于连接的“属性”对话框之中;这些按钮位于“常规”选项卡和“网络”选项卡上;该策略确定管理员是否可以添加和删除用于网络连接或远程访问连接的网络组件;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就会禁用用于连接组件的“安装”和“卸载”按钮,并且不允许用户访问“Windows组件向导”中的网络组件;如果禁用或不配置此设置,就会启用用于“网络连接”文件夹中连接组件的“安装”和“卸载”按钮;同样地,用户可以访问“Windows组件向导”中的网络组件;4.禁止访问网络连接的属性右键单击“网上邻居”图标,在打开的快捷菜单中可以看到“属性”菜单项,用于打开网络连接属性对话框,该策略确定用户是否可以更改网络连接的属性;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置并启用“为管理员启用网络连接设置”设置,就对所有用户禁用“属性”菜单项,而且用户不能打开“连接属性”对话框;如果禁用或不配置此设置,右键单击“网上邻居”的图标时,就会出现“属性”菜单项;同样地,当用户选择此连接时,就会启用“文件”菜单上的“属性”菜单项;注意：此设置优先于操作“局域连接属性”对话框内的功能的可用性设置;如果启用此设置,用户将不可使用网络连接的属性对话框内的任何功能;5.更改所有用户远程访问连接的属性该策略用于确定用户是否可以查看和更改对计算机所有用户可用的远程访问连接的属性;此设置确定是否启用“属性”菜单项,以及远程访问连接属性对话框是否对用户可用;位置：\用户配置\管理模板\网络\网络连接\如果启用此设置,任何用户右键单击用来进行远程访问连接的图标时,就会出现“属性”菜单项;同样地,当任何用户选择连接时,“文件”菜单上就出现“属性”;如果禁用此设置并启用“为管理员启用网络连接设置”设置,就会禁用“属性”菜单项,并且用户包括管理员无法打开远程访问连接对话框;如果不配置此设置,则只有管理员才可以更改所有用户远程访问连接的属性;注意：此设置优先于操作远程访问连接属性对话框内的功能的可用性设置;如果禁用此设置,则用户不可使用用于远程访问连接的属性对话框内的任何功能;再谈组策略--Windows组策略应用全攻略一、什么是组策略一组策略有什么用说到组策略,就不得不提注册表;注册表是Windows系统中保存系统、应用软件配置的数。
Windows组策略管理
目录
• 组策略简介 • 组策略基础知识 • 组策略的配置 • 组策略的管理 • 组策略的疑难解答
01
组策略简介
组策略的定义
组策略（Group Policy）是Windows操作系统中的一项重要 功能，它通过一些预设的规则和设置，可以对计算机上的各 种配置进行集中管理和控制。
组策略的配置示例
禁用自动播放功能
在组策略编辑器中，依次展开“计算机配置”→“管理模板 ”→“系统”→“自动播放”，在右侧窗格中禁用“为所有 可用的自动播放设备关闭自动播放”选项。
配置打印机权限
在组策略编辑器中，依次展开“计算机配置”→“管理模板 ”→“控制面板”→“打印机”，在右侧窗格中配置打印机 权限，设置特定用户或用户组对打印机的访问权限。
05
组策略的疑难解答
组策略常见问题
问题1
如何在Windows系统中打开组策略？
问题2
如何在组策略中修改计算机或用户配置 ？
问题3
如何通过组策略控制应用程序的配置？
问题4
组策略有哪些常见问题及如何解决？
组策略故障排除
方法1
方法2
使用“gpedit”命令排除组策略故障
使用注册表编辑器排除组策略故障
设置不同的规则和配置。
安全可靠
03
组策略的配置是具有安全可靠性的，一旦设置完毕，除非经过
管理员的修改，否则不能轻易改变。
02
组策略基础知识
组策略的组成
组策略对象（GPO）
组策略的基础单元，用于定义特定的配置设置。
域
定义网络中安全性和身份验证的边界。
组织单位（OU）
将用户和计算机组织到逻辑组中，以便更好地管理GPO。
Windows组策略管理
windows组策略管理xx年xx月xx日CATALOGUE目录•组策略简介•组策略基础知识•组策略的管理和维护•组策略的应用•组策略的疑难解答01组策略简介组策略（Group Policy）是Windows操作系统中的一项重要功能，它通过集中的管理方式来配置和维护多台计算机的策略和设置。
组策略使用“组”的概念来管理和配置多台计算机，可以将一组计算机设置为相同的配置，从而实现统一的计算机管理。
1 2 3通过组策略可以管理和配置计算机的各种设置，如桌面、开始菜单、网络连接、安全设置等。
管理和配置计算机组策略可以设置用户账户的配置文件、桌面、开始菜单、网络连接等，以及定义用户的权限和访问控制。
管理和配置用户组策略可以配置应用程序的行为、启动程序、安全设置等，以及定义应用程序的权限和访问控制。
管理和配置应用程序03安全的配置组策略支持使用加密的方式进行配置，可以保护配置信息的安全性。
01集中管理组策略可以将多台计算机设置为相同的配置，简化了计算机管理过程，降低了管理成本。
02灵活的配置组策略提供了丰富的配置选项，可以根据需要灵活地配置计算机、用户和应用程序。
02组策略基础知识组策略对象（GPO）组策略的基础组成单元，用于定义特定的配置设置。
域域控制器上的组策略对象，可跨多个计算机和用户进行管理。
组织单位（OU）将用户和计算机组织成逻辑组，方便进行组策略的管理和继承。
注册表组策略的设置通过修改注册表来实现，对注册表进行的配置会根据所设置的条件进行应用。
筛选器组策略设置中使用筛选器来定义配置应用的条件，根据计算机或用户的属性进行匹配和筛选。
链接组策略链接是指向特定组策略对象的引用，通过链接可以在一个或多个域或组织单位上应用组策略。
组策略的流程组策略处理过程分为四个阶段：准备、应用、筛选、应用筛选结果。
在应用阶段，对加载的组策略对象进行应用，将配置设置应用到计算机或用户上。
在应用筛选结果阶段，将筛选后的组策略设置应用到计算机或用户上。
Windows组策略管理
自定义设置
组策略允许管理员根据需要为不同 的计算机或用户组创建自定义的配 置文件，以满足特定的需求。
简化管理
通过使用组策略，管理员可以一次 性解决多个计算机的配置问题，从 而减少了在每台计算机上单独进行 配置的时间和精力。
组策略的优点和限制
优点
集中管理：通过使用组策略，管理员可以在中央位置对多个计算机进行配置和管理 ，提高了管理效率。
1. 检查权限：确保你有足够的权限来修改和应用组策略 。如果没有足够的权限，你需要联系管理员获取更高的 权限。
05
组策略的案例和实战演 练
案例一：使用组策略管理用户权限和设置
总结词：通过组策略可以方便地管理用户权限和设置， 确保不同用户在系统中的使用体验和权限分配。
详细描述
1. 打开组策略编辑器，依次点击“开始”菜单、“运行 ”命令，输入“gpedit.msc”并回车。
可以配置各种策略选项，如密 码策略、账户策略、共享文件 夹权限等。
组策略的复制与备份
在“组策略管理”控制台中，找到要复 制或备份的组策略对象，右键单击它，
然后选择“复制”。
选择要复制到的目标位置，输入一个名 称来标识复制的组策略对象，然后单击
“确定”。
若要备份组策略对象，右键单击它，然 后选择“备份”。选择一个备份目标文 件夹，输入一个名称来标识备份文件 策略来统一管理和控制多个计算
机和用户的行为。
组策略可以用于配置各种系统设 置，如桌面壁纸、密码策略、文
件和文件夹的访问权限等。
组策略的功能和作用
集中管理
组策略允许管理员从中央位置 对多个计算机进行管理和配置 ，从而减少了在每台计算机上
进行手动设置的需求。
然后单击“确定”。
组策略详解.doc
组策略详解(图解)电脑知识 2008-05-27 06:11 阅读138 评论0字号：大中小组策略是管理员为计算机和用户定义的，用来控制应用程序、系统设置和管理模板的一种机制。
通俗一点说，是介于控制面板和注册表之间的一种修改系统、设置程序的工具。
微软自Windows NT 4.0开始便采用了组策略这一机制，经过Windows 2000发展到Windows XP 已相当完善。
利用组策略可以修改Windows的桌面、开始菜单、登录方式、组件、网络及IE浏览器等许多设置。
平时像一些常用的系统、外观、网络设置等我们可通过控制面板修改，但大家对此肯定都有不满意，因为通过控制面板能修改的东西太少；水平稍高点的用户进而使用修改注册表的方法来设置，但注册表涉及内容又太多，修改起来也不方便。
组策略正好介于二者之间，涉及的内容比控制面板中的多，安全性和控制面板一样非常高，而条理性、可操作性则比注册表强。
本文主要介绍Windows XP Professional本地组策略的应用。
本地计算机组策略主要可进行两个方面的配置：计算机配置和用户配置。
其下所有设置项的配置都将保存到注册表的相关项目中。
其中计算机配置保存到注册表的HKEY_LOCAL_MACHINE子树中，用户配置保存到HKEY_CURRENT_USER。
一、访问组策略有两种方法可以访问组策略：一是通过gpedit.msc命令直接进入组策略窗口；二是打开控制台，将组策略添加进去。
1. 输入gpedit.msc命令访问选择“开始”→“运行”，在弹出窗口中输入“gpedit.msc”，回车后进入组策略窗口（图1）。
组策略窗口的结构和资源管理器相似，左边是树型目录结构，由“计算机配置”、“用户配置”两大节点组成。
这两个节点下分别都有“软件设置”、“Windows设置”和“管理模板”三个节点，节点下面还有更多的节点和设置。
此时点击右边窗口中的节点或设置，便会出现关于此节点或设置的适用平台和作用描述。
组策略概述
组策略实例2：用户配置
1.个性化【任务栏务栏和「开始」菜单】的个性 化。在【组策略编辑器】控制台中，展开【用户配置】｜【 管理模板】｜【任务栏和‘开始’菜单】项，在右窗格中列 出【任务栏和‘开始’菜单】有关策略的具体配置。
★保护好【任务栏和「开始」菜单】 如果不想随意让他人更改【任务栏和「开始」菜单】 的设置，只要启用【阻止更改“任务栏和开始菜单”设置】 和【阻止访问任务栏的上下文菜单】两个策略即可。 ★利用组策略保护个人文档隐私 如果不希望用户查看曾经访问过的文件，只要在组策 略窗口中的【任务栏和「开始」菜单】项中，启用【不要保 留最近打开文档的记录】和【退出时清除最近打开的文档的 记录】两个策略即可。
★ 退出时不保存桌面设置 启用【退出时不保存设置】策略可以防止用户保存 对桌面的某些更改（如图标的位置、任务栏的位置及大小 等），不过任务栏上的快捷方式总可以被保存。
3.IE浏览器设置
微软的IE浏览器让我们可以轻松地在互联网上遨游，但要
想用好IE浏览器，则必须将它配置好。通过组策略可轻松实现
高级配置功能。在【组策略编辑器】中，展开【用户配置】|
设置，可以禁用【Internet 选项】的某些选项卡，在 【Internet 控制面板】目录中，启用【禁用常规页】、【禁 用安全页】等组策略项，可在【Internet选项】中删除【常 规】、【安全】等选项卡。
★禁止修改IE浏览器的主页 在【工具栏】目录，启用【禁用更改主页设置】策略即 可
4.轻松实现Windows高级功能 ★隐藏【我的电脑】中指定的驱动器 在【组策略编辑器】中，展开【用户配置】|【管理模板】 |【Windows 组件】|【Windows资源管理器】项，启用 【隐藏“我的电脑”中的这些指定的驱动器】策略，并在列 表框中选择一个驱动器或几个驱动器。 ★防止从【我的电脑】访问驱动器 在【组策略编辑器】中，展开【用户配置】|【管理模板】 |【Windows 组件】|【Windows资源管理器】项，启用 【防止从“我的电脑”访问驱动器】策略，并在列表框中选 择一个驱动器或几个驱动器。
组策略管理
分配组策略脚本设置
为组策略组件配置刷新设置 为域控制器和计算机配置刷新设置
使用 Gpupdate.exe 程序刷新用户的计算机组策略设 置
实验5-2：配置组策略刷新率和组策略设置
组策略应用的场合
启动计算机
刷新间隔
5.3.1 组策略应用的场合
计算机设置应用 启动脚本运行
用户登录
刷新间隔
用户设置应用
登录脚本运行
备份 GPO
5.4.4 备份GPO
演示：
掌握如何备份 GPO
还原操作
5.4.5 还原操作
还原操作
GPO1
GPO1
备份的 GPO
还原操作将 GPO 的内容返回到执行备份时的状态
还原 GPO
5.4.6 还原GPO
演示：
还原 GPO 前一版本 恢复出现在“组策略对象”列表中的已删除的 GPO
导入操作
第5章 组策略的实现
活动目录的规划、实现和管理 —— 以 Windows Server 2003 为例
第 1 章 Active Directory 结构简介 第 2 章 实现 Active Directory 林和域结构 第 3 章 实现组织单位结构 第 4 章 实现用户、组及计算机账户 第 5 章 组策略的实现 第 6 章 使用组策略部署和管理软件 第 7 章 使用组策略管理安全 第 8 章 实现站点以管理 Active Directory 复制 第 9 章 实现域控制器的布置 第 10 章 操作主机的管理 第 11 章 维护 Active Directory
5.4.7 导入操作
导入操作
GPO1 GPO 设置
GPO2
导入操作将所有的 GPO 设置从源 GPO 复制到 目标 GPO
组策略管理和应用
网络中组策略管理和应用
图4-19 禁用添加/删除程序
网络中组策略管理和应用
9．限制使用应用程序(Windows 2000/XP/2003) 如果你的计算机设置了多个用户，但有些程序不 希望其他用户随意运行，也能在组策略中设置。 打开“组策略控制台→用户配置→管理模板→系 统”中的“只运行许可的Windows应用程序”并启用 此策略，然后点击下面的“允许的应用程序列表”中 的“显示”按钮，弹出一个“显示内容”对话框，在 此单击“添加”按钮来添加允许运行的应用程序即可， 如图4-20所示。
网络中组策略管理和应用
1．隐藏桌面的系统图标(Windows 2000/XP/2003) 虽然通过修改注册表的方式可以实现隐藏桌面上 的系统图标的功能，但这样比较麻烦，也有一定的风 险，而采用组策略配置的方法，可以方便快捷地达到 此目的。比如要隐藏桌面上的“网上邻居”和 “Internet Explorer”图标，只要在右侧窗口中将“隐藏 Internet Explorer” 桌面上‘网上邻居’图标”(如图4-27所示)和“隐藏桌 面上的Internet Explorer图标”两个策略选项启用即可。
网络中组策略管理和应用
图4-16 禁用注册表编辑工具
网络中组策略管理和应用
6．彻底禁止访问“控制面板”(Windows 2000/XP/2003) 如果不希望其他用户访问计算机的“控制面板”， 同样也可以使用组策略来实现。打开“组策略控制台 →用户配置→管理模板→控制面板”中的“禁用控制 面板”并启用此策略，如图4-17所示。
网络中组策略管理和应用
图4-29 禁用活动桌面
网络中组策略管理和应用
4.8 个性化“任务栏”和“开始”菜单 个性化“任务栏” 开始”
管理员操作手册AD域控及组策略管理CTO
A D域控及组策略管理目录一、Active Directory(AD)活动目录简介1、工作组与域的区别域管理与工作组管理的主要区别在于：1）、工作组网实现的是分散的管理模式，每一台计算机都是独自自主的，用户账户和权限信息保存在本机中，同时借助工作组来共享信息，共享信息的权限设置由每台计算机控制。
在网上邻居中能够看到的工作组机的列表叫浏览列表是通过广播查询浏览主控服务器，由浏览主控服务器提供的。
而域网实现的是主/从管理模式，通过一台域控制器来集中管理域内用户帐号和权限，帐号信息保存在域控制器内，共享信息分散在每台计算机中，但是访问权限由控制器统一管理。
这就是两者最大的不同。
2）、在“域”模式下，资源的访问有较严格的管理,至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。
3）、域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。
当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。
如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。
不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。
而工作组只是进行本地电脑的信息与安全的认证。
2、公司采用域管理的好处1）、方便管理,权限管理比较集中，管理人员可以较好的管理计算机资源。
2）、安全性高，有利于企业的一些保密资料的管理，比如一个文件只能让某一个人看,或者指定人员可以看,但不可以删/改/移等。
3）、方便对用户操作进行权限设置，可以分发，指派软件等,实现网络内的软件一起安装。
4）、很多服务必须建立在域环境中，对管理员来说有好处:统一管理,方便在MS 软件方面集成,如ISA EXCHANGE(邮件服务器)、ISA SERVER(上网的各种设置与管理)等。
用组策略管理网络共享
2023用组策略管理网络共享•组策略基础•组策略的构成•组策略的管理目录•组策略的限制•组策略的实例•组策略的未来发展01组策略基础组策略（Group Policy）是一种基于Windows平台的组管理技术，用于管理和控制用户和计算机在Windows网络环境中的行为。
它基于用户组（Group）的概念，可以对组内的多台计算机进行统一的配置和管理，以实现网络共享的集中式管理。
1 2 3管理和控制用户和计算机在Windows网络环境中的行为。
集中式配置和管理网络共享，提高管理效率。
可以对不同用户组进行不同的配置和管理，以实现资源的合理分配和权限控制。
集中式管理组策略可以对多台计算机进行统一的配置和管理，降低了管理的复杂度和管理成本。
安全性和可靠性组策略可以对不同用户组进行不同的配置和管理，避免了一些不合理的资源分配和权限控制问题，提高了系统的安全性和可靠性。
可视化管理组策略具有可视化的管理界面，可以直观地查看和管理用户和计算机在Windows网络环境中的行为，方便管理员进行管理和维护。
灵活的配置组策略支持多种配置方式，包括通过脚本、自定义设置和模板等方式进行配置，可以灵活地满足不同的管理需求。
02组策略的构成组策略对象是存储着有关网络共享的配置信息的容器。
组策略的组件组策略对象组策略模板是用于定义组策略对象中的共享属性的模板文件，可以方便地创建多个具有相同配置的共享。
组策略模板组策略应用是将组策略模板应用到网络共享的过程，以便对共享进行管理和控制。
组策略应用03文件夹选项文件夹选项包括设置文件夹的隐藏属性、是否可以写入、是否可以执行等。
组策略的规则01访问规则访问规则是指定哪些用户或用户组可以访问共享，以及他们访问共享的权限。
02安全规则安全规则是指定哪些用户或用户组可以拥有共享文件夹的所有权，以及他们如何继承权限。
计算机例外计算机例外是指定哪些计算机可以不受组策略规则限制，以便为特定计算机定制特殊设置。