6.组策略
组策略完全解析
03
组策略实践
配置用户环境
定义桌面背景和颜色
通过组策略可以设置用户桌面的背景图像和颜色，提供个性化的 使用环境。
配置开始菜单
可以设置开始菜单的显示方式、常用程序列表等，方便用户快速 访问常用程序和文件。
管理图标和快捷方式
可以在桌面上添加或删除图标和快捷方式，并可以设置其属性。
配置软件设置
安装和卸载程序
03
链接管理
组策略链接建立后，管理员可以在管理界面中清晰地看到不同组织单
元之间的链接关系，并可以根据需要进行编辑和删除等操作。
05
组策略案例
公司环境配置
公司员工需要使用自己的账号才能登录电脑， 并访问公司内部文件和 修改和删除文件。
强制员工在离开电脑时必须锁定屏幕，以确保 数据安全性。
组策略对象
计算机对象
可以定义计算机级别的策略，例如系统环境设置、安全设置、软件安装等。
用户对象
可以定义用户级别的策略，例如用户环境设置、登录脚本、权限等。
组策略容器
域
可以在域中定义组策略对象，域中的所有计算机和用户将继 承这些策略。
组织单位
可以在组织单位中定义组策略对象，组织单位中的所有计算 机和用户将继承这些策略。
组策略的作用
1
组策略可以用于配置各种系统设置，例如桌面 背景、屏幕保护程序、系统声音、网络设置等 。
2
组策略还可以用于配置软件设置，例如安装程 序、文件关联、启动项等。
3
组策略还提供了各种工具来监视和管理用户和 计算机的行为，例如软件分发、脚本执行、安 全设置等。
组策略与域控制器
01
组策略是域控制器的一个组件，用于管理和配置域中的用户、 计算机和其他设备。
组策略
组策略组策略（Group Policy）是管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。
通过使用组策略可以设置各种软件、计算机和用户策略。
基本概况所谓组策略，就是基于组的策略。
它以Windows中的一个MMC管理单元的形式存在，可以帮助系统管理员针对整个计算机或是特定组策略界面图用户来设置多种配置，包括桌面配置和安全配置。
譬如，可以为特定用户或用户组定制可用的程序、桌面上的内容，以及“开始”菜单选项等，也可以在整个计算机范围内创建特殊的桌面配置。
简而言之，组策略是Windows中的一套系统更改和配置管理工具的集合。
注册表是Windows系统中保存系统软件和应用软件配置的数据库，而随着Windows功能越来越丰富，注册表里的配置项目也越来越多，很多配置都可以自定义设置，但这些配置分布在注册表的各个角落，如果是手工配置，可以想像是多么困难和烦杂。
而组策略则将系统重要的配置功能汇集成各种配置模块，供用户直接使用，从而达到方便管理计算机的目的。
其实简单地说，组策略设置就是在修改注册表中的配置。
当然，组策略使用了更完善的管理组织方法，可以对各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活，功能也更加强大。
对于Windows 9X/NT用户来说，都知道“系统策略”的概念，其实组策略就是系统策略的高级扩展，它是自Windows 9X/NT的“系统策略”发展而来的，具有更多的管理模板、更灵活的设置对象及更多的功能，主要应用于Windows 2000/XP/2003/7/2008操作系统中。
早期系统策略的运行机制是通过策略管理模板，定义特定的POL(通常是Config.pol)文件。
当用户登录时，它会重写注册表中的设置值。
当然，系统策略编辑器也支持对当前注册表的修改，另外也支持连接网络计算机并对其注册表进行设置。
而组策略及其工具，则是对当前注册表进行直接修改。
显然，Windows 2000/XP/2003系统的网络功能是其最大的特色之处，所以其网络功能自然是不可少的，因此组策略工具还可以打开网络上的计算机进行配置，甚至可以打开某个Active Directory(活动目录)对象(即站点、域或组织单位)并对其进行设置。
组策略作用范围
组策略作用范围组策略是Windows操作系统中的一项重要功能，它可以用来管理计算机和用户的配置。
通过组策略，系统管理员可以集中管理计算机网络中的各种设置，包括安全设置、网络设置、软件安装等。
组策略的作用范围是指它所能影响到的对象的范围，包括计算机对象和用户对象。
一、计算机对象的作用范围计算机对象是指在Windows域中的计算机账户。
通过组策略，可以对计算机对象进行一系列的配置和管理。
计算机对象的作用范围主要包括以下几个方面：1. 安全设置：组策略可以用来配置计算机的安全设置，包括密码策略、用户权限、防火墙设置等。
管理员可以通过组策略确保计算机的安全性，防止未经授权的访问和操作。
2. 网络设置：组策略可以用来配置计算机的网络设置，包括IP地址、DNS服务器、代理服务器等。
管理员可以通过组策略统一管理计算机的网络配置，提高网络的稳定性和安全性。
3. 软件安装：组策略可以用来配置计算机的软件安装策略，包括安装、卸载和更新软件。
管理员可以通过组策略控制计算机上的软件安装，确保计算机上的软件版本统一和安全。
4. 系统配置：组策略可以用来配置计算机的系统设置，包括桌面背景、屏幕保护程序、电源管理等。
管理员可以通过组策略统一配置计算机的系统设置，提供用户体验和工作效率。
二、用户对象的作用范围用户对象是指在Windows域中的用户账户。
通过组策略，可以对用户对象进行一系列的配置和管理。
用户对象的作用范围主要包括以下几个方面：1. 安全设置：组策略可以用来配置用户的安全设置，包括密码策略、访问权限、账户锁定策略等。
管理员可以通过组策略确保用户账户的安全性，防止未经授权的访问和操作。
2. 桌面设置：组策略可以用来配置用户的桌面设置，包括桌面背景、屏幕保护程序、桌面图标等。
管理员可以通过组策略统一配置用户的桌面设置，提供统一的用户体验。
3. 软件安装：组策略可以用来配置用户的软件安装策略，包括安装、卸载和更新软件。
管理员可以通过组策略控制用户账户上的软件安装，确保软件版本统一和安全。
组策略名词解释
组策略名词解释
组策略(Team Strategies)是一种计算机系统中的程序设计技术,用于管理和配置应用程序中的用户、服务和配置。
它是一种集中式管理技术,可以使多个用户可以同时访问应用程序,并可以在不同的用
户之间共享相同的配置和资源。
在组策略中,用户通过系统提供的组策略编辑器来定义和配置应用程序的策略,包括用户角色、权限、服务配置、数据库配置等。
通过组策略,管理员可以集中管理应用程序的配置,确保所有用户的访
问和配置都是正确的。
组策略还可以帮助应用程序进行版本控制,确保不同版本的应用程序可以相互兼容。
在 Windows 操作系统中,组策略使用 gptf (Group Policy Template) 文件来描述策略。
gptf 文件包含一组预定义的模板,用于定义应用程序中的规则。
用户可以在组策略编辑器中选择相应的模板,并按照模板中的规定来配置应用程序。
在 Linux 操作系统中,组策略使用 GPT (Group Policy Object) 来描述策略。
GPT 文件包含一组可执行文件,这些文件可以配置应用程序中的规则。
用户可以通过系统提供的 GPT 工具来创建和编辑 GPT 文件。
组策略概述
组策略实例2：用户配置
1.个性化【任务栏务栏和「开始」菜单】的个性 化。在【组策略编辑器】控制台中，展开【用户配置】｜【 管理模板】｜【任务栏和‘开始’菜单】项，在右窗格中列 出【任务栏和‘开始’菜单】有关策略的具体配置。
★保护好【任务栏和「开始」菜单】 如果不想随意让他人更改【任务栏和「开始」菜单】 的设置，只要启用【阻止更改“任务栏和开始菜单”设置】 和【阻止访问任务栏的上下文菜单】两个策略即可。 ★利用组策略保护个人文档隐私 如果不希望用户查看曾经访问过的文件，只要在组策 略窗口中的【任务栏和「开始」菜单】项中，启用【不要保 留最近打开文档的记录】和【退出时清除最近打开的文档的 记录】两个策略即可。
★ 退出时不保存桌面设置 启用【退出时不保存设置】策略可以防止用户保存 对桌面的某些更改（如图标的位置、任务栏的位置及大小 等），不过任务栏上的快捷方式总可以被保存。
3.IE浏览器设置
微软的IE浏览器让我们可以轻松地在互联网上遨游，但要
想用好IE浏览器，则必须将它配置好。通过组策略可轻松实现
高级配置功能。在【组策略编辑器】中，展开【用户配置】|
设置，可以禁用【Internet 选项】的某些选项卡，在 【Internet 控制面板】目录中，启用【禁用常规页】、【禁 用安全页】等组策略项，可在【Internet选项】中删除【常 规】、【安全】等选项卡。
★禁止修改IE浏览器的主页 在【工具栏】目录，启用【禁用更改主页设置】策略即 可
4.轻松实现Windows高级功能 ★隐藏【我的电脑】中指定的驱动器 在【组策略编辑器】中，展开【用户配置】|【管理模板】 |【Windows 组件】|【Windows资源管理器】项，启用 【隐藏“我的电脑”中的这些指定的驱动器】策略，并在列 表框中选择一个驱动器或几个驱动器。 ★防止从【我的电脑】访问驱动器 在【组策略编辑器】中，展开【用户配置】|【管理模板】 |【Windows 组件】|【Windows资源管理器】项，启用 【防止从“我的电脑”访问驱动器】策略，并在列表框中选 择一个驱动器或几个驱动器。
组策略完全解析
调整组策略的适用范围
01
精确控制策略应用对象
通过精确设置组策略的适用范围，确保策略只在需要的地方应用，提
高策略的针对性和效果。
02
灵活控制策略应用版本
对于不同的应用版本，可以通过调整组策略的适用范围，实现不同版
本的灵活控制和管理。
03
动态调整策略应用状态
根据系统运行状态和应用需求，动态调整组策略的适用范围，实现系
组策略完全解析
xx年xx月xx日
目 录
• 组策略简介 • 组策略基础知识 • 组策略的详细解析 • 组策略的实践应用 • 组策略的优化与调整 • 组策略的未来发展与趋势分析
01
组策略简介
什么是组策略
• 组策略（Group Policy）是微软Windows操作系统中一种重要的管理工具，它允许系统管理员通过设置组 策略来控制用户或计算机的行为。组策略可以帮助管理员在组织内实施统一的配置和管理，从而提高了管 理效率和管理范围。
组策略的优化与调整
优化组策略的性能
减少策略计算时间
通过减少策略规则数量、优化策略逻辑和减少策略更新频率，可以降低组策略的计算时间 ，提高系统性能。
优化策略应用效果
对于不同的策略应用场景，可以通过优化策略规则和参数，提高策略应用的准确性和效果 。
自动化策略管理
通过自动化工具和脚本来管理组策略，可以减少人工干预和操作成本，提高管理效率。
继承性
组策略在域和组织单位中具有继 承性，即子组织单位会继承父组 织单位的组策略配置。
覆盖和优先级
如果子组织单位需要覆盖父组织 单位的组策略配置，可以实现覆 盖和优先级设置。
灵活的配置
通过组策略的继承性和覆盖性， 管理员可以实现灵活的配置和管 理，满足不同组织和用户的需求 。
组策略的配置与管理
组策略的配置与管理一、组策略的概念及作用组策略是Windows操作系统中的一种重要管理工具，它可以对计算机或用户进行一系列的配置和管理。
通过组策略，管理员可以对网络中的计算机和用户进行统一的管理，从而提高网络安全性、降低维护成本和提高工作效率。
二、组策略的配置与管理方法1. 打开组策略编辑器在Windows操作系统中，打开组策略编辑器有两种方法：一种是在运行窗口中输入“gpedit.msc”命令；另一种是在控制面板中选择“管理工具”->“本地安全策略”。
2. 配置计算机配置和用户配置在组策略编辑器中，有两个主要选项：计算机配置和用户配置。
管理员可以根据需要分别对这两个选项进行配置。
其中，计算机配置包括Windows设置、安全设置、软件设置等；用户配置包括Windows设置、安全设置、脚本设置等。
3. 配置组策略对象管理员可以选择要应用某个组策略的对象。
例如，可以选择应用某个组策略到特定的计算机或用户上。
4. 配置组策略规则在每个选项卡下面都有很多不同的规则可供管理员进行配置。
例如，在“Windows设置”->“安全设置”中，管理员可以配置密码策略、账户锁定策略等。
5. 配置组策略优先级如果不同的组策略规则之间存在冲突，那么就需要根据优先级来确定哪个规则会被应用。
管理员可以在组策略编辑器中为不同的规则设置优先级。
三、常见的组策略配置和管理案例1. 禁用USB存储设备在计算机配置中，选择“Windows设置”->“安全设置”->“本地策略”->“安全选项”，找到“可移动存储访问控制”，将其禁用即可禁止使用USB存储设备。
2. 配置密码策略在计算机配置中，选择“Windows设置”->“安全设置”->“账户策略”->“密码策略”，可以对密码长度、是否启用复杂性要求等进行配置。
3. 禁止用户更改壁纸在用户配置中，选择“管理模板”->“控制面板”->“个性化”，找到“阻止改变桌面背景”，将其启用即可禁止用户更改壁纸。
组策略完全解析
配置组策略设置
在组策略对象中，可以配置各种组 策略设置，包括计算机配置和用户
配置。
创建或修改组策略对象
在“组策略管理”控制台中，可以 创建新的组策略对象或修改现有的 组策略对象。
应用组策略
在配置完成后，可以通过应用组策 略将配置应用到计算机或用户。
组策略应用示例
01
配置密码复杂性要 求
测试配置结果
在进行组策略配置后，建议在测试环境中测试配置 结果是否符合预期，以避免不必要的麻烦。
注意策略冲突
在进行组策略配置时，需要注意策略冲突的 情况，避免出现多个策略相互抵消的情况。
04
组策略的优化与调整
优化组策略的步骤
测试与验证
在实施优化方案后，需要进行全面的测试 和验证，以确保组策略的调整和配置是正 确的，并能够带来预期的效果。
重新应用组策 略
如果组策略设置没有问 题，可以尝试重新应用 组策略，看是否可以解 决问题。
寻求帮助
如果以上步骤都无法解 决问题，可以寻求专业 的帮助，例如从微软或 其他技术社区获取支持 。
维护组策略的方法
定期检查
定期检查组策略的应用情况，确保它们在 正常工作。
备份
备份组策略，以防止意外情况导致的问题 。
优化与调整的注意事项
01
安全性
在优化和调整组策略时，必须始终注意安全性。不应该做出任何可能
危及系统或应用安全的更改。
02
兼容性
在更改组策略时，需要确保新的组策略与现有的系统和应用兼容。否
则，可能会引发不可预知的问题。
03
性能
虽然优化和调整组策略可以提高性能，但也可能会对系统或应用的性
能产生负面影响。因此，在做出更改后，需要密切关注性能指标的变
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
组策略结构3-3
GPC（组策略容器）与GPT（组策略模板）
GPC：GPC是包含GPO属性和版本信息的活动 目录对象 GPT：GPT在域控制器的共享系统卷（SYSVOL） 中，是一种文件夹层次结构
演示
查看GPC和GPT
组策略简单应用
计算机配置
软件设置 Windows设置
• • 脚本 安全设置
Windows 组件 系统 网络 打印机
管理模板
• • • •
演示
查看计算机配置
计算机配置与用户配置2-2
用户配置
软件设置 Windows设置
• • • • • 远程安装服务 脚本（登录/注销） 安全设置 文件夹重定向 IE浏览器维护
指派与发布的区别
修复软件
如果用户的软件发生文件丢失或损坏时，自动重新复制 正确的文件来修复 如果原来软件分发点上的安装文件发生丢失或损坏
在服务器上修复该软件的源文件 重新部署一次
删除软件
【立即从用户和计算机卸载软件】：下一次用 户登录或计算机启动时，软件会被强制删除 【允许用户继续使用软件，但禁止新的安装】： 用户和计算机仍可继续执行使用软件，但不允 许重新安装
GPO
GPO所链接的对象
SDOU
SDOU 计算机 用户
GPO控制
SDOU中的计算机和用户
组策略结构3-2
站点的概念
活动目录中的站点是从物理上抽象的概念 由一个或几个通过高速联接在一起的IP子网组成
站点和域的关系
一个站点中可以有多个域 一个域中可以有多个站点
站点的主要作用
分发软件
分发软件的步骤
1）获取Windows安装程序包文件；该软件包包含 一个.msi文件以及必要的相关安装文件 2）将软件安装文件放到一个软件分发点 3）创建或修改GPO 指派， 程序在【开始】菜单中 发布， 程序显示在【控制面板】|【添加/删除程序】 中 演示
分发Windows2003管理工具包软件
强制生效
销售部
销售部应用域的GPO设置
演示
验证强制生效效果
冲突 GPO 设置
筛选组策略设置
筛选可以阻止一个GPO应用于容器内的特定计算机和用户
设置读取和应用组策略的权限 • 允许 • 拒绝
域 销售部 GPO 设置
演示
验证筛选效果
Sales salemanager
受GPO影响 不受GPO影 响
例如 演示 • 销售部OU的GPO中设置主页URL为 验证继承和阻止继承 • 右击北京销售部|【属性】|【组策略】选项卡，选中【阻止策略继 承】选项 • 北京销售部OU中的用户登录客户机后，IE的主页地址不是 “”
演示
查看用户配置
管理模板
• • • • • • • Windows 组件 任务栏和【开始】菜 单 桌面 控制面板 共享文件夹 网络 系统
阶段总结
组策略有哪些作用 组策略适用哪些操作系统 默认的2个GPO是什么 站点和域的关系 组策略包含哪些内容
阶段练习
背景
Xinhua集团为了统一学校的桌面设置，所有域用户 不能随意修改背景 如何利用组策略实现此功能
1）首先本地组策略对象 2）如果有站点组策略，则应用之 3）然后应用域组策略对象 4）如果计算机或用户属于某个OU，则应用之 5）如果计算机或用户属于某个OU的子OU，则应用之
强制生效
强制生效是上级容器 强制下级容器执行其 GPO设置
域 工程部 “强制生效”的 GPO 设置
如果销售部OU阻止继 承域的策略 或者销售部OU与域的 GPO设置冲突
6
组策略
本章目标
利用组策略管理域中的计算机和用户工作环境， 实现软件分发
理解组策略作用 掌握组策略继承与阻止继承操作 理解组策略应用顺序 掌握组策略强制生效、筛选组策略设置 掌握软件分发方式：指派与发布
本章结构
组策略作用 组策略概念 组策略结构 组策略简单应用 计算机配置/用户配置 继承与阻止继承 累加 组策略 应用规则 分发软件 软件设置 修复软件 删除软件 应用顺序 强制生效 筛选
任务1 组策略简单应用 任务2 利用GPO分发Windows 2003管理工具包
任务1 组策略简单应用
背景
BENET公司为了统一公司的桌面设置，所有域用户不 能随意修改背景 如何利用组策略实现此功能
完成标准
编辑默认域策略 管理员账户登录成员计算机不能修改桌面背景
任务2 利用GPO分发管理工具包
升级软件
举例Biblioteka Office2000升级到 Office2003 Visio2000升级到 visio2002
会强制用户将当前软 件升级到新的版本
强制升级
可选升级
允许用户同时使用一 个应用程序的两个版 本
阶段总结
软件设置分为：分发、修复、删除、升级 分发软件:指派与发布的区别 删除软件的两种方法是什么 升级软件的两种方法是什么
BENET公司要求销售部的员工不能随意更改桌 面背景 步骤
1 ）右击销售部OU|【属性】|【组策略】，单击 【新建】，输入GPO的名字为“销售部GPO” 2 ）打开【组策略编辑器】，选择“阻止更改墙纸” 3）双击“阻止更改墙纸”，启用该策略，然后关闭 【组策略编辑器】
计算机配置与用户配置2-1
子容器可以阻止继承上级的组策略
累加
容器的多个组策略设置如果不冲突，则最终的有效策略是 所有组策略设置的总和 容器的多个组策略设置如果冲突，则后应用的组策略覆盖 先应用的组策略
组策略设置 域：IE主页设置为 OU：已启用“阻止更改墙纸 ” 域：已启用“阻止更改墙纸” OU：已禁用“阻止更改墙纸 ” 是否冲突 否 OU的有效设置
背景
BENET公司需要为域中的每个用户安装“Windows Server 2003管理工具包” 如何使用组策略实现此功能
完成标准
编辑GPO，实现指派方式的软件分发 在成员计算机上的【开始】菜单的【管理工具】中增 加了许多服务管理工具
阶段练习
背景
BENET公司需要为域中的每个用户安装“Windows Server 2003管理工具包” 如何使用组策略实现此功能
目标：
组策略的软件设置 修改GPO 指派软件与发布软件
组策略作用 组策略概念
本章总结
计算机配置 GPO,SDOU 组策略结构 GPC,GPT 对容器中的计算机 起作用 组策略简单应用 用户配置 计算机配置/用户配置 对容器中的用户起 继承与阻止继承 作用 累加
阶段总结
下层容器默认继承来自上层容器的GPO 子容器可以阻止继承上级的组策略 如果不冲突，则最终的有效策略是所有组策略设 置的总和 如果冲突，则后应用的组策略覆盖先应用的组策 略 组策略按以下顺序被应用： LSDOU 上级容器的GPO强制生效
利用GPO实现软件设置
分发软件 修复软件 删除软件 升级软件
• 因为只须设置一次，相应的用户或计算机即可全部使用 规定的设置 • 减少用户不正确配置环境的可能性
推行公司使用计算机规范
• 桌面环境规范 • 安全策略
组策略适用哪些操作系统
组策略结构3-1
组策略的具体设置数据保存在 GPO中 默认的2个GPO
默认域策略 默认域控制器策略
组策略
目标
组策略的作用 修改GPO 组策略的用户配置
组策略应用规则
继承与阻止继承 累加 应用顺序 强制生效 筛选
继承与阻止继承
在默认情况下，下层容器会继承来自上层容器的GPO（组策略对象）
例如 • 销售部OU的GPO中设置IE主页URL为 • 北京销售部OU中的用户登录客户机后，IE的主页地址为 “”
IE主页设置为 阻止更改墙纸
可以更改墙纸
是
演示
验证累加效果
应用顺序
本地组策略对象
每台运行 Windows XP/2000/2003 的计算机都只有一个本地组 策略对象 打开本地GPO的2种方法 • MMC和gpedit.msc
组策略按以下顺序被应用： LSDOU
升级软件
组策略的作用2-1
方便地管理AD中的计算机和用户
组策略
活 动 目 录
用户桌面环境 计算机启动/关机与用户登录/注销时所执行的脚 本文件 软件分发 域控制器 安全设置 域
组策略的作用2-2
使用组策略可以
对域设置组策略影响整个域的工作环境，对OU设置组 策略影响本OU下的工作环境 降低布置用户和计算机环境的总费用
1.获取Windows 安装程序包文件 2.将软件安装文 件放到一个软件 分发点 3.创建或修改 GPO
LSDOU 应用顺序 上级容器的 GPO 强制生效 强制生效 筛选可以实现阻 筛选 止一个GPO应用 于容器内部的特 定计算机和用户
组策略
应用规则 分发软件 软件设置 修复软件 删除软件
升级软件
实验