组策略与安全配置
首页
目录
实训案例1
实训案例2
8.2 组策略的基本配置与实例
首页
目录
实训案例1
实训案例2
8.2 组策略的基本配置与实例
8.2.2 组策略实例1：计算机配置
4．管理远程桌面设置实例
★允许‚远程桌面‛连接 在【组策略编辑器 】中，展开【计算机配置】|【管理模板】| 【Windows组件】|【终端服务】项，在右窗格中双击【允许用户使用 终端服务远程连接】策略，在属性对话框中，选择【已启用】单选按 钮，单击【确定】按钮即可。 ★ 配置‚数据重定向‛ 双击【客户端/服务器数据重定向】目录，打开【客户端/服务器 数据重定向】项，可以设置在建立连接后所能使用的客户端资源。 ★设置空闲会话连接时间 展开【会话】目录，双击【为活动但空闲的终端服务会话设置时 间限制】策略，可以限制空闲会话的连接时间。
第8章 组策略与安全配置
本章要点
●组策略可实现的功能与基本配置 ●帐户策略、用户指派权利、使用组策略部署软件 ●安全模板、安全配置和分析、安全配置向导 ●Windows防火墙 ●IP安全策略 ●证书服务
目
录
8.1 组策略概述 8.2 组策略的基本配置与实例 8.3 使用组策略配置用户环境 8.4 使用组策略部署软件 ☆综合实训7：Windows Server 2003服务器 安全配置——本地安全策略 8.5 安全配置和分析 8.6 安全配置向导 8.7 Windows Server 2003防火墙 8.8 IP安全设置 8.9 证书服务 ☆综合实训8: 安全配置
首页
目录
实训案例1
实训案例2
8.2 组策略的基本配置与实例
8.2.3组策略实例2：用户配置
★禁用IE浏览器的某些菜单项 例如在【浏览器菜单】目录项，启用【禁用‚在新窗口中打开‛菜单项】 策略，在浏览器中用户右击链接，选择【在新窗口中打开】时，该命令不起作用。 网页自动打开的窗口也被禁止，可达到屏蔽弹出广告窗口的效果。 ★禁用【Internet 选项】控制面板 如果不希望用户修改Internet Explorer的属性中的某些设置，可以禁用 【Internet 选项】的某些选项卡，在【Internet 控制面板】目录中，启用【禁 用常规页】、【禁用安全页】等组策略项，可在【Internet选项】中删除【常 规】、【安全】等选项卡。 ★禁止修改IE浏览器的主页 在【工具栏】目录，启用【禁用更改主页设置】策略即可。 ★自定义IE工具栏 在【组策略】控制台中，展开【用户配置】|【Windows设置】|【Internet Explorer维护】|【浏览器用户界面】项，双击【浏览器工具栏按钮自定义】策 略，打开其设置窗口中，在【按钮】栏中单击【添加】按钮，在【工具栏标题】 中输人【我的QQ】，在【工具栏操作】中选择QQ程序的路径，最后再选择好【颜 色图标】和【灰度图标】的路径。添加了一个【我的QQ】按钮。
首页
目录
实训案例1
实训案例2
8.2 组策略的基本配置与实例
8.2.2 组策略实例1：计算机配置
2．关闭系统还原功能 操作步骤： 在【组策略】控制台中，展开【计算机配置】|【管理模板】| 【系统】|【系统还原】项，在右窗格双击【关闭系统还原】策略， 在属性对话框中，选择【已启用】单选按钮，单击【确定】按钮， 启用此设置来关闭系统还原。 3．禁止Windows Messenger自动运行 操作步骤：在【组策略】控制台中，展开【计算机配置】| 【管理模板】|【Windows组件】|【Windows Messenger】项，在右 窗格双击【不允许运行Windows Messenger】策略，在属性对话框 中，选择【已启用】单选按钮，单击【确定】按钮。
首页 目录 实训案例1 实训案例2
8.1 组策略概述
2.启动组策略的方法
方法1：单击【开始】|【运行】命令，输入gpedit.msc，单击 【确定】按钮，打开当前计算机的组策略，如图8-1所示。 方法2：单击【开始】|【运行】命令，输入MMC，单击【确定】 按钮，打开 Microsoft 管理控制台，添加【组策略对象编辑器】， 选择所需的组策略对象，打开要编辑的组策略对象，如图8-2所示。
8.2.3组策略实例2：用户配置
★给「开始」菜单减肥 在组策略窗口中，可以启用【从开始菜单删除用户文件夹】、 【从开始菜单删除公用程序组】、【从开始菜单中删除‘我的文档’ 图标】等多种组策略配置项目来去掉不需要的菜单项。 ★保护好【任务栏和「开始」菜单】 如果不想随意让他人更改【任务栏和「开始」菜单】的设置，只 要启用【阻止更改‚任务栏和开始菜单‛设置】和【阻止访问任务栏 的上下文菜单】两个策略即可。 ★禁止【关机】 启动计算机后，如果不希望用户进行【关机】操作，那么启用 【删除和阻止访问‚关机‛命令】策略。 ★利用组策略保护个人文档隐私 如果不希望用户查看曾经访问过的文件，只要在组策略窗口中的 【任务栏和「开始」菜单】项中，启用【不要保留最近打开文档的记 录】和【退出时清除最近打开的文档的记录】两个策略即可。
首页 目录 实训案例1 实训案例2
8.2户配置
★禁止更改显示属性 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【控制面板】 |【显示】项，可根据需要启用【隐藏桌面选项卡】、【隐藏主题选项卡】、 【隐藏保护程序选项卡】、【隐藏设置选项卡】等策略，来隐藏相关属性的 选项卡，用户将无法再对桌面属性进行更改。 ★禁用注册表编辑器 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【系统】项， 启用【阻止访问注册表编辑工具】策略，禁止用户启动注册表编辑器。 ★禁止访问【控制面板】 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【扩展面板】 项，启用【禁止访问控制面板】策略。此后用户不能使用Control.exe启动 【控制面板】，「开始」菜单和【资源管理器】中将删除【控制面板】项。 ★禁用【添加/删除程序】 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【添加或删 除程序】项，启用【删除‚添加/删除程序‛】策略，用户将无法运行【添 加/删除程序】。
首页 目录 实训案例1 实训案例2
8.2 组策略的基本配置与实例
8.2.3组策略实例2：用户配置
4.轻松实现Windows高级功能
★关闭缩略图的缓存 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【Windows 组件】|【Windows资源管理器】项，启用【关闭缩略图的缓存】策略即可。 ★隐藏【我的电脑】中指定的驱动器 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【Windows 组件】|【Windows资源管理器】项，启用【隐藏‚我的电脑‛中的这些指 定的驱动器】策略，并在列表框中选择一个驱动器或几个驱动器。 ★防止从【我的电脑】访问驱动器 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【Windows 组件】|【Windows资源管理器】项，启用【防止从‚我的电脑‛访问驱动 器】策略，并在列表框中选择一个驱动器或几个驱动器。 ★禁止使用【命令提示符】 在【组策略编辑器】中，展开【用户配置】|【管理模板】|【系统】 项，启用【阻止访问命令提示符】策略，并选择【也停用命令提示符脚本 处理】项。
首页 目录 实训案例1 实训案例2
8.1 组策略概述
组策略是管理员为计算机和用户定义的，是用来控制应用程序、 系统设置和管理模板的一种机制。简单地说，组策略就是介于控制面 板和注册表之间的一种修改系统、设置程序的工具。 组策略高于注册表，组策略使用更完善的管理组织方法，可以对 各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活， 功能也更加强大。 1.使用组策略可以实现的功能 帐户策略的设定 本地策略的设定 脚本的设定 用户工作环境的定制 软件的安装与删除 限制软件的运行 文件夹的转移 其他系统设定
5.组策略的应用时机
计算机配置：计算机开机时自动启用，域控制器默认每隔5分钟自动启 用，非域控制器默认每隔90-120分钟自动启动，此外不论策略是否有变动系 统每隔16小时自动启动一次。 用户配置：用户登录时自动启用，系统默认每隔90分钟自动启动，此 外不论策略是否有变动系统每隔16小时自动启动一次。 手动启动组策略的命令是：gpupdate /target:compute /force
图8-1 本地组策略窗口
图8-2 MMC中的组策略管理单元
首页
目录
实训案例1
实训案例2
8.1 组策略概述
3.组策略界面
组策略主界面共分为左右两个窗格，左边窗格中的【“本地计算机‛策 略】由【计算机配置】和【用户配置】两个子项构成，右边窗格中是针对左 边某一配置可以设置的具体策略。
4.组策略对象
组策略的基本单元是组策略对象GPO,它是一组设置的组合。有两种类 型的组策略对象：本地组策略对象和非本地组策略对象。 组策略作用范围：由它们所链接的站点、域或组织单元启用。
首页 目录 实训案例1 实训案例2
8.2 组策略的基本配置与实例
8.2.3组策略实例2：用户配置
2．个性化桌面 通过组策略可以实现【桌面】的个性化，可以让桌面管理工作 变得易如反掌。在【组策略编辑器】控制台中，展开【用户配置】| 【管理模板】|【桌面】项，在右窗格中列出【桌面】有关策略的具 体配置，具体实例如下：
★ 退出时不保存桌面设置
启用【退出时不保存设置】策略可以防止用户保存对桌面的某些 更改（如图标的位置、任务栏的位置及大小等），不过任务栏上的快 捷方式总可以被保存。
★ 禁用Active Desktop
【活动桌面】是Windows系统中自带的高级功能，最大的特点是 可以设置各种图片格式的墙纸，甚至可以将网页作为墙纸显示。考虑 性能因素，需要禁用这一功能，打开【桌面】中【Active Desktop】 目录，在右侧窗格中启用【禁用Active Desktop】策略，可以禁用活 动桌面。
提升Windows系统安全性的组策略设置
组策略在Windows系统中的作用
01
02
03
集中化管理
组策略允许管理员从中央 位置管理网络上的计算机 ，减少了单独配置每台计 算机的需求。
自定义设置
通过组策略，可以定制软 件安装、系统配置、安全 设置等，以满足特定组织 的需求。
安全增强
组策略可以用于实施安全 策略，如软件限制、注册 表限制、安全桌面等，从 而提高系统的安全性。
访问控制列表（ACL）
限制不必要的访问
01
通过ACL，可以限制特定用户或组对关键文件、文件夹或注册
表的访问。
配置文件和注册表权限
02
通过精细控制文件和注册表的权限，可以防止未授权修改，提
高系统稳定性。
审核对象访问
03
启用ACL的审核功能，可以追踪对特定资源的使用情况，及时
发现异常行为。
04
软件限制策略
密码策略
总结词
密码策略用于规范和强制用户设置符合安全要求的密码，提 高密码的安全性。
详细描述
通过设置密码策略，可以要求用户定期更换密码，并限制密 码的复杂性和长度。同时，可以启用密码历史记录功能，防 止用户重复使用相同的密码。
账户过期策略
总结词
账户过期策略用于自动注销过期的账 户，确保账户的安全性。
强制安全启动
启用强制安全启动后，计算机将始终 使用安全启动模式，即使在用户禁用 该功能的情况下也是如此。
安全选项配置
账户锁定策略
通过设置账户锁定策略，可以防止未经授权的用户多次尝试登录到计算机。
密码策略
设置密码策略可以要求用户定期更改密码，并限制密码的复杂性和长度。
防火墙配置
入站规则
配置入站规则可以允许或拒绝来自外部 网络的连接请求，从而提高计算机的安 全性。
组策略设置系列之“安全选项”
防止从安全选项卡访问驱动器
防止从安全选项卡访问驱动器
在某些情况下，您可能不希望从安全选项卡（例如Ctrl+Alt+Delete）访问驱动器。
操作步骤
在组策略编辑器中，依次展开“计算机配置”-“管理模板”-“系统”-“驱动器”，然后启用“不允许从安 全选项卡访问这台计算机的驱动器”策略。
防止从命令行访问驱动器
02
组策略的安全选项
防止从网络访问驱动器
防止从网络访问驱动器
通过禁止从网络访问驱动器，可以防止未经授权的用户或计算机访问您的计 算机中的驱动器。
操作步骤
在组策略编辑器中，依次展开“计算机配置”-“管理模板”-“系统”-“驱 动器”-“网络访问”，然后启用“不允许从网络访问这台计算机的驱动器” 策略。
有的安全需求。
更新和管理困难
03
组策略安全选项通常需要在服务器上进行管理和更新项的兼容性问题
要点一
与不同版本Windows的兼容性
要点二
与第三方软件的兼容性
组策略安全选项在不同版本的Windows系统中可能存 在兼容性问题。
组策略安全选项可能会与某些第三方软件产生冲突或兼 容性问题。
组策略安全选项的可扩展性问题
缺乏自定义选项
组策略安全选项通常只提供预设的安全选项，无法自定 义新的选项。
难以扩展到其他系统
组策略安全选项主要针对Windows系统，难以扩展到其 他系统。
组策略安全选项的可定制性问题
定制性不足
组策略安全选项的定制性相对较差，无法 满足一些特定安全需求。
定制过程复杂
防止从命令行访问驱动器
通过禁止从命令行访问驱动器，可以防止未经授权的 用户或脚本通过命令行访问您的计算机中的驱动器。
组策略与安全设置
组策略与安全设置系统管理员可以通过组策略的强大功能，来充分管理网络用户与计算机的工作环境，从而减轻网络管理的负担。
组策略概述组策略是一个能够让系统管理员充分管理用户工作环境的功能，通过它来确保用户拥有应有的工作环境，也通过他来限制用户。
因此，不但可以让用户拥有适当的环境，也可以减轻系统管理员的管理负担。
组策略包含计算机配置与用户配置两部分。
计算机配置仅对计算机环境产生影响，而用户设置只对用户环境有影响。
可以通过以下两个方法来设置组策略。
●本地计算机策略:可以用来设置单一计算机的策略，这个策略内的计算机配置只会背应用到这台计算机，而用户设置会被应用到在此计算机登陆的所有用户。
●域的组策略:在域内可以针对站点，域或组织单位来设置组策略，其中，域组策略内的设置会被应用到域内的所有计算机与用户，而组织单位的组策略会被应用到该组织单位内的所有计算机与用户。
对添加域的计算机来说，如果其本地计算机策略的设置与域或组织单位的组策略设置发生冲突，则以域或组织单位组策略的设置优先，也就是此时本地计算机策略的设置值无效。
本地计算机策略实例演示以下利用未加入域的计算机来练习本地计算机策略，以免受到域策略的干扰，造成本地计算机策略的设置无效，因而影响到验证实验结果。
计算机配置实例演示当我们要将Windows Server2012 计算机关机时，系统会要求我们提供关机的理由，以下实例完成后，系统就不会在要求你说明关机理由了。
开始运行中输入gpedit.msc-计算机配置-管理模板-系统-显示“关闭事件跟踪程序“-单击已禁用以后关机或重启计算机时，系统都不会再询问了。
注：请不要随意更改计算机配置，以免更改可能影响系统正常运行的设置值。
用户配置实例演示以下通过本地计算机策略来限制用户工作环境：删除客户端浏览器IE内Internet选项的安全和连接标签。
也就是经过以下设置后，浏览器内的安全和连接标签消失了。
用户配置-管理模板-windows组件-IE-ie控制面板-禁用连接页和禁用安全页设置为启用，此设置会立即应用到所有用户。
组策略作用范围
组策略作用范围组策略是Windows操作系统中的一项重要功能，它可以用来管理计算机和用户的配置。
通过组策略，系统管理员可以集中管理计算机网络中的各种设置，包括安全设置、网络设置、软件安装等。
组策略的作用范围是指它所能影响到的对象的范围，包括计算机对象和用户对象。
一、计算机对象的作用范围计算机对象是指在Windows域中的计算机账户。
通过组策略，可以对计算机对象进行一系列的配置和管理。
计算机对象的作用范围主要包括以下几个方面：1. 安全设置：组策略可以用来配置计算机的安全设置，包括密码策略、用户权限、防火墙设置等。
管理员可以通过组策略确保计算机的安全性，防止未经授权的访问和操作。
2. 网络设置：组策略可以用来配置计算机的网络设置，包括IP地址、DNS服务器、代理服务器等。
管理员可以通过组策略统一管理计算机的网络配置，提高网络的稳定性和安全性。
3. 软件安装：组策略可以用来配置计算机的软件安装策略，包括安装、卸载和更新软件。
管理员可以通过组策略控制计算机上的软件安装，确保计算机上的软件版本统一和安全。
4. 系统配置：组策略可以用来配置计算机的系统设置，包括桌面背景、屏幕保护程序、电源管理等。
管理员可以通过组策略统一配置计算机的系统设置，提供用户体验和工作效率。
二、用户对象的作用范围用户对象是指在Windows域中的用户账户。
通过组策略，可以对用户对象进行一系列的配置和管理。
用户对象的作用范围主要包括以下几个方面：1. 安全设置：组策略可以用来配置用户的安全设置，包括密码策略、访问权限、账户锁定策略等。
管理员可以通过组策略确保用户账户的安全性，防止未经授权的访问和操作。
2. 桌面设置：组策略可以用来配置用户的桌面设置，包括桌面背景、屏幕保护程序、桌面图标等。
管理员可以通过组策略统一配置用户的桌面设置，提供统一的用户体验。
3. 软件安装：组策略可以用来配置用户的软件安装策略，包括安装、卸载和更新软件。
管理员可以通过组策略控制用户账户上的软件安装，确保软件版本统一和安全。
Windows 7 组策略安全使用全攻略
组策略是管理员为用户和计算机定义并控制程序、网络资源及操作系统行为的主要工具。
通过使用组策略可以设置各种软件、计算机和用户策略。
考虑到安全方面的原因，Windows 7已经开发了许多新的和增强的组策略功能和服务，帮助您更好地保护计算机上驻留的数据、功能和服务。
这些功能的配置取决于您的具体要求和使用环境，本文将主要介绍Windows 7组策略的安全使用技巧，介绍如何配置组策略功能和服务来更好地满足您的系统安全、网络安全、数据保护及个性化需求。
一、系统设置安全篇1. 禁止运行指定程序系统启动时一些程序会在后台启动，这些程序通过“系统配置实用程序”(msconfig)的启动项无法阻止，操作起来非常不便，通过组策略则非常方便，这对减少系统资源占用非常有效。
通过启用该策略并添加相应的应用程序，就可以限制用户运行这些应用程序。
具体步骤如下：(1)打开「开始」菜单，在“搜索程序和文件”搜索框中输入“gpedit.msc”并回车，打开组策略对象编辑器。
(2)在左边的窗格依次单击“用户配置→管理模板→系统”，然后在右边的窗格双击“不要运行指定的Windows应用程序”(如图1所示)。
图1 双击“不要运行指定的Windows应用程序”(3)选中“已启用”，单击“显示”按钮(如图2所示)，添加要阻止的程序如“Wgatray.exe”即可。
图2 添加要阻止的程序当用户试图运行包含在不允许运行程序列表中的应用程序时，系统会提示警告信息。
把不允许运行的应用程序复制到其他的目录和分区中，仍然是不能运行的。
要恢复指定的受限程序的运行能力，可以将“不要运行指定的Windows应用程序”策略设置为“未配置”或“已禁用”，或者将指定的应用程序从不允许运行列表中删除（这要求删除后列表不会成为空白的）。
这种方式只阻止用户运行从Windows资源管理器中启动的程序，对于由系统过程或其他过程启动的程序并不能禁止其运行。
该方式禁止应用程序的运行，其用户对象的作用范围是所有的用户，不仅仅是受限用户，Administrators组中的账户甚至是内建的administrator帐户都将受到限制，因此给管理员带来了一定的不便。
windows系统安全10,11,12(组策略,安全配置和安全审计)
★
1 Windows设置(了解)
脚本：含有计算机特殊脚本的信息
启动和关闭脚本存在于计算机配置节点中 登录和注销脚本存在于用户配置节点中
安全设置：
含有登录到计算机的所有用户的安全设置
目录重定向：
可以重定向My Documents、应用数据桌面及开始菜单等文件夹到 网络上一个可选的位置。
链接到站点、域或组织单元（不包括本地）的任何一个 组策略对象都可以使用该选项，来防止随后处理的组策 略对象覆盖该组策略对象中的所有策略设置。 如果有多个组策略对象设置为”禁止替代“时，那么就 会优先采用在活动目录层次结构中处于更高层的那一个。
2 禁用部分配置 （组策略对象GPO属性上设置）
GPO可以禁用其用户设置，计算机设置或所有设 置，默认情况下，在GPO上，两者都不禁用。
组策略与活动目录的结合
如果组策略与活动目录联合使用，则可实现策略的集中 与分散管理，适应从小到大的各种规模。 组策略管理单元提供了管理组策略的集成工具，并提供 了对“AD用户和计算机““AD站点和服务 插件等 MMC管理工具的扩展。”
组策略的设置对象
Domain GPO Site GPO
组策略的实现
将GPO链接到指定的站点、域或组织单元
“AD用户和计算机管理控制台””选择AD对象”“属 性””组策略””添加”
禁用组策略的计算机配置或用户配置
可禁用组策略中的计算机配置或者用户配置
打开”组策略管理单元”选择组策略对象”属 性””常规””禁用”
指定组策略对象的特殊应用顺序和继承（1）
管理模扳主要修改以下两个注册表树的值
Winserver应用组策略和安全
Winserver应用组策略和安全Win server 2003应用组策略和安全模板组策略用于从一个单独的点对多个Microsoft Active Directory目录服务用户和计算机对象进行配置。
在默认情况下，策略不仅影响应用该策略的容器中的对象，还影响子容器中的对象。
组策略包含了"计算机配置、Windows 设置、安全设置"下的安全设置。
您可将预先配置的安全模板导入策略，来完成对这些设置的配置。
应用组策略下列步骤显示了如何应用组策略，以及如何向"用户权限分配"添加安全组。
将组策略应用于组织单位或域1.依次单击"开始"、"管理工具"、"Active Directory 用户和计算机"，打开"Active Directory 用户和计算机"。
2.突出显示相关域或组织单位，单击"操作"菜单，选择"属性"。
3.选择"组策略"选项卡。
注意：每个容器可应用多个策略。
这些策略的处理顺序是从列表的底部向上。
如果出现冲突，最后应用的策略优先。
4.单击"新建"创建一个策略，并为其指定有实际意义的名称，如"域策略"。
注意：单击"选项"按钮可配置"禁止替代"设置。
"禁止替代"是为每个单独的策略配置的，而不是为整个容器；"阻止策略继承"则是为整个容器配置的.。
如果"禁止替代"和"阻止策略继承"设置发生冲突，"禁止替代"设置优先。
要配置"阻止策略继承"，请选中OU 属性中的复选框。
组策略可自动更新，但为了立即启动更新过程，可在命令提示符下使用下面的 GPUpdate 命令：GPUpdate /force向"用户权限分配"添加安全组1.依次单击"开始"、"管理工具"、"Active Directory 用户和计算机"，打开"Active Directory 用户和计算机"。
提升windows系统安全性的组策略设置
设置帐户锁定阈值，当用户连续 输入错误密码达到指定次数时， 系统将自动锁定帐户。
审核策略
审核登录事件
启用审核登录事件，以便在用户登录 或注销时记录并警告异常活动。
审核目录服务访问
启用审核目录服务访问，以监视对文 件和目录的访问行为。
03 本地策略
用户权限分配策略
关闭不必要的用户账户
组策略在系统安全中的作用
组策略在系统安全中扮演着至关重要的角色。通过合理配置组策略，管 理员可以增强系统的安全性，防止恶意攻击和非法访问。以下是一些组 策略在系统安全中的作用
禁用不必要的服务：通过禁用不需要的服务，可以减少系统的攻击面， 提高系统的安全性。
限制不必要的端口：通过限制不必要的端口，可以防止恶意软件通过这 些端口进行攻击。
加密策略
加密敏感数据
对敏感数据进行加密，以防止数据泄露。
开启BitLocker
为计算机启用BitLocker加密，以保护数据安全。
加密网络连接
对网络连接进行加密，以保护数据传输安全。
04 软件安全策略
应用程序控制策略
默认应用安装权限
01
通过设置默认的应用程序安装权限，限制应用程序的
安装和运行。
提升windows系统安全性的组策 略设置
汇报人： 2023-11-30
目录
• 引言 • 账户策略 • 本地策略 • 软件安全策略 • 系统安全策略 • 安全加固建议
01 引言
什么是组策略？
• 组策略（Group Policy）是Windows系统中一种重要的管理 工具，它允许系统管理员通过设置各种策略和规则来管理和 控制用户和计算机的行为。组策略可以帮助管理员在组织内 统一管理和配置各种系统设置、软件应用程序和网络安全措 施。
组策略设置系列之“安全选项”
账户管理
限制不必要的账户创建和 删除，定期清理不活跃账 户，以减少潜在的安全风 险。
本地策略配置注意事项及建议
文件和目录权限
合理设置文件和目录的权限，确保只有授权用户能够访问和修改 相关资源。
审核策略
启用审核策略，对重要操作进行记录和监控，以便及时发现和应对 安全事件。
组策略作用
组策略可以用于配置系统安全、 软件安装、桌面配置等，帮助系 统管理员实现统一的计算机管理 ，提高系统安全性。
组策略在Windows系统中的地位
核心管理工具
组策略是Windows系统中的核心管理 工具之一，它提供了丰富的配置选项 ，可以对系统进行全方位的管理。
高级管理功能
组策略拥有许多高级管理功能，如软 件安装、脚本执行、安全设置等，是 其他管理工具所无法替代的。
案例分析
例如，某公司需要监控员工对敏感文件的访问情况，以防止数据泄露。通过审核策略， 可以记录员工的文件访问行为，并在出现异常情况时及时告警。
05
安全选项配置注意事项及建议
账户策略配置注意事项及建议
01
02
03
密码策略
设置密码策略，包括密码 长度、复杂度、更换频率 等，以增强账户安全性。
账户锁定
04
安全选项应用场景及案例分析
账户策略应用场景及案例分析
应用场景
账户策略用于管理用户账户，包括创建、修改、删除账户以及设置账户权限等。
案例分析
例如，某公司需要为员工创建账户，并设置不同的权限级别，如管理员、普通用户等。通过账户策略 ，可以批量创建和修改账户，提高管理效率。
本地策略应用场景及案例分析
Windows Server 2008 R2 安装与管理第9节组策略与安全设置
32 本地计算机策略实例演练
（2） 用户配置实例演练。 实验1：删除 开始菜单中的关机、重新启动、睡眠和休眠命令
32 本地计算机策略实例演练
（2） 用户配置实例演练。 实验2：删除 IE浏览器Internet选项内的连接标签
32 本地计算机策略实例演练
（2） 用户配置实例演练。 实验3：将控制面板里面的防火墙隐藏起来
组策略与安全设置
本章内容
31 组策略概述 32 本地计算机策略实例演练 3 本地安全策略 34 审核资源的使用
31 组策略概述
运行gpedit.msc命令开始组策略窗口
32 本地计算机策略实例演练
（1） 计算机配置实例演练：关闭“关机提示按钮”
32 本地计算机策略实例练
（1） 计算机配置实例演练。
3 本地安全策略
3 本地安全策略
（1）账户策略的设置。
3 本地安全策略
（2）本地策略。
34 审核资源的使用