本地组策略的安装方法
组策略与远程安装
案例三：杀毒软件批量安装
准备工作
获取杀毒软件的安装包和授权文件，并根据需要自定义安装选项和配置。
批量安装过程
通过组策略或远程管理工具将安装包和授权文件推送到目标计算机上，并执行安装程序。在安装过程中，可以根据预 先定义好的配置进行自动安装和授权，或者提供用户界面供用户进行自定义安装和授权。
安装后配置
确保只有授权用户或组可以访问和使用远程安装服务。 定期审查和更新远程安装服务的权限设置，确保安全性。
06
总结与展望
组策略与远程安装的意义
提高管理效率
01
组策略允许管理员通过集中管理的方式，对网络中多台计算机
进行统一配置和管理，从而大大提高了管理效率。
强化系统安全性
02
通过组策略，管理员可以方便地设置安全策略，如密码策略、
卸载软件
通过组策略卸载已安装的 软件，确保软件环境的干 净和一致性。
组策略配置网络环境
IP地址配置
通过组策略为计算机配置静态IP 地址、子网掩码、默认网关等网
络参数。
DNS配置
设置计算机的DNS服务器地址， 确保计算机能够正确解析域名。
代理服务器配置
为计算机配置代理服务器地址和 端口，以便访问外部网络资源。
通过策略设置实现软件的自动安 装和配置。
远程桌面安装
使用远程桌面工具（如Microsoft Remote Desktop、VNC等）连接 到目标计算机，手动执行安装程序 进行软件安装。
自动化脚本安装
将安装程序和相关脚本上传到目标 计算机，通过远程执行脚本实现软 件的自动安装和配置。
远程安装优缺点
提高效率
每个GPO包含一个计算机配置部分和一个用户配置部分，分别用于设置计算机和用 户级别的策略。
组策略安装exe程序
2）在“组策略编辑器”窗口，选择“User Configuration—Software Settings—Software installation”，在右面板上，点右键，选择New—Package，如下图：
3）在“Open”对话框中，输入软件所在的位置，如下图：
4）在选择好需要部署的软件后，会弹出“Deploy Software（部署软件）”对话框，在这里可以选择Published（发布）、Assigned（指派）、Advanced（高级），大家可以根据自己的需求进行选择。在这里我们选择advanced，如下图：
3）在弹出的对话框中，勾选“Enabled（已启用）”，然后点OK，如下图：
4）选择“Computer Configuration—Windows Settings—Security Settings—Registry”，在右面板上，点右键，选择Add Key，如下图：
5）在弹出的“Select Registry Key”对话框中，选择“CLASSES_ROOT”，然后点OK，如下图：
3）在“Open”对话框中，输入软件所在的位置，注意：这里的路径必须使用\\server\folder\setup.msi的方式，不能使用C:\path\setup.msi的方式，否则，安装的时候会找不到路径。
4） 在选择好需要部署的软件后，会弹出“Deploy Software（部署软件）”对话框，在这里可以选择Published（发布）、Assigned（指派）、Advanced（高级），大家可以根据自己的需求进行选择。在这里我们选择advanced，如下图：
gpedit.msc（组策略）
gpedit.msc（组策略）gpedit.msc(组策略):使⽤系统管理员的帐号登陆进⼊系统，打开“开始”-“运⾏”，在运⾏输⼊框中输⼊“gpedit.msc”，进⼊“组策略”.说到组策略，就不得不提注册表。
注册表是Windows系统中保存系统、应⽤软件配置的数据库，随着Windows功能的越来越丰富，注册表⾥的配置项⽬也越来越多。
很多配置都是可以⾃定义设置的，但这些配置发布在注册表的各个⾓落，如果是⼿⼯配置，可想是多么困难和烦杂。
⽽组策略则将系统重要的配置功能汇集成各种配置模块，供管理⼈员直接使⽤，从⽽达到⽅便管理计算机的⽬的。
简单点说，组策略就是修改注册表中的配置。
当然，组策略使⽤⾃⼰更完善的管理组织⽅法，可以对各种对象中的设置进⾏管理和配置，远⽐⼿⼯修改注册表⽅便、灵活，功能也更加强⼤。
各功能现如⼀介绍:计算机配置-windows设置-安全设置中包括“帐户策略”和“本地策略”两个⽅⾯，⽽其中的“帐户策略”⼜包括：密码策略、帐户锁定策略和Kerberos策略三个⽅⾯；另外的“本地策略”也包括：审核策略、⽤户权限分配和安全选项三部分。
下⾯分别予以介绍。
⼀、密码策略的设置 ⼀、密码策略的设置 密码策略作⽤于域帐户或本地帐户，其中就包含以下⼏个⽅⾯： 强制密码历史 密码最长使⽤期限 密码最短使⽤期限 密码长度最⼩值 密码必须符合复杂性要求 ⽤可还原的加密来存储密码 以上各项的配置⽅法均需根据当前⽤户帐户类型来选择。
默认情况下，成员计算机的配置与其域控制器的配置相同。
下⾯分别根据⼏种不同⽤户类型介绍相应的密码策略配置⽅法。
1. 对于本地计算机 对于本地计算机的⽤户帐户，其密码策略设置是在“本地安全设置”管理⼯个中进⾏的。
下⾯是具体的配置⽅法。
第1步，执⾏〖开始〗→〖管理⼯具〗→〖本地安全策略〗菜单操作，打开如图所⽰的“本地安全设置”界⾯。
对于本地计算机中⽤户“帐户和本地策略”都查在此管理⼯具中进⾏配置的。
本地组策略与安全策略的自动导入-奚瑞的博客
本地组策略与安全策略的自动导入-奚瑞的博客首先，提取出需要部署的策略中能通过组策略或安全策略实施的项如表所示（部分演示）：序号要求1 “密码必须符合复杂性要求”选择“已启动”2 “密码最长存留期”设置为“90天”3 “账户锁定阀值”设置为小于或等于 6次4 “从远端系统强制关机”设置为“只指派给Administrtors组”5 “关闭系统”设置为“只指派给Administrators组”6 “取得文件或其它对象的所有权”设置为“只指派给Administrators组”7 审核登录事件，设置为成功和失败都审核。
8 “审核策略更改”设置为“成功” 和“失败”都要审核9 “审核对象访问”设置为“成功”和“失败”都要审核10 “审核目录服务器访问”设置为“成功” 和“失败”都要审核11 “审核目录服务器访问”设置为“成功” 和“失败”都要审核12 “审核系统事件”设置为“成功” 和“失败”都要审核13 “审核账户管理”设置为“成功” 和“失败”都要审核14 “审核过程追踪”设置为“失败”需要审核15 “Microsoft网络服务器”设置为“在挂起会话之前所需的空闲时间”为15分钟。
16 启用屏幕保护程序，设置等待时间为“5分钟”，启用“在恢复时使用密码保护”。
17 所有驱动器均“关闭自动播放”上表中前15项属于安全策略，第16项属于组策略中的计算机配置策略，第17项属于用户配置策略。
下面仅对Windows 2003平台的操作进行了分析与测试。
一、对于安全策略，可以用以下步骤进行应用部署：::在测试用机上，先使用gpedit.msc手工更改策略（如表中前15面），再用以下命令导出当前策略secedit /export /cfg sec.inf::用文本编辑器编辑sec.inf文件，去除不需要调整的内容，仅保留要定制策略表中15条策略对应的inf文件内容如下：[Unicode]Unicode=yes[Version]signature="$CHICAGO$"Revision=1[System Access]MaximumPasswordAge = 90PasswordComplexity = 1LockoutBadCount = 6[Event Audit]AuditSystemEvents = 3AuditLogonEvents = 3AuditObjectAccess = 3AuditPrivilegeUse = 3AuditPolicyChange = 3AuditAccountManage = 3AuditProcessTracking = 2AuditDSAccess = 3[Registry Values]machine\system\currentcontrolset\services\lanmanserver\p arameters\autodisconnect=4,15[Privilege Rights]seremoteshutdownprivilege = *S-1-5-32-544seshutdownprivilege = *S-1-5-32-544setakeownershipprivilege = *S-1-5-32-544::用命令生成一个sdb文件secedit /import /db sec.sdb /cfg sec.inf /overwrite::用命令把定制策略更新到目标服务器，不能用/overwrite参数，否则除定制策略外的其它策略丢失secedit /configure /db sec.sdb::刷新组策略gpupdate /force二、其他组策略的应用以前曾经研究过利用gpcvreg与gpscript命令行程序来应用组策略，并且写了autoit3脚本的UDF，这次正好可以利用。
在域环境下配置组策略批量安装客户端常用软件
在域环境下配置组策略批量安装客户端常用软件部署方法：(一) 在主域控制器的F盘，新建一个目录，命名为“软件安装共享”，设置共享后，并确保user组用户具有读取，执行权限。
（最好在“软件安装共享”的安全属性配置向下继承）(二) 打开主域控制器上的“Active Directory用户与计算机”右键“”属性，选择“组策略”“编辑”，进入“组策略编辑器”(三) 注意：将用户liyuan加入到DomainAdministrators 安全组、Enterprise Administrators 安全组或Group Policy Creator Owners 安全组。
以发布用户方式安装1. 依次展开“用户配置”“软件设置”“软件安装”。
2. 新建一个“程序包”，在“文件名”后的文本框内输入UNC路径（例如// 192.168.0.1）软件安装共享\ apache_2.2.4-win32-x86-no_ssl.msi3. 选择“apache_2.2.4-win32-x86-no_ssl.msi”软件后，点打开4. 配置部署方法为“已发布”5. 确定后，登陆客户端client-01进行测试。
（测试失败可使用gpupdate/force命令刷新组策略后，重试。
）6. 在客户端的“添加/删除程序”中“添加新程序”，找到“apache_2.2.4-win32-x86-no_ssl.msi”双击安装。
以指派用户方式安装1. 在部署软件时选择“已指派”2. 选择“apache_2.2.4-win32-x86-no_ssl.msi”属性，选中“在登录时安装此应用程序”3. 登录客户端，自动安装软件，可卸载。
以指派计算机方式安装1. 在“AD用户与计算机”下，新建一个组织单元us，将computers下的client01客户端，移动到us里面。
2. 右键“us”选择“属性”，点击“组策略”，新建一个策略。
3. 点击“编辑”，展开“计算机设置”“软件设置”，在“软件安装”上右键，新建一个“程序包”文件名后面的文本框最好用完整的计算机名，如\\ \软件安装共享\ apache_2.2.4-win32-x86-no_ssl.msi4. 默认部署类型“已指派”5. 在客户端上登录，显示如下界面，说明该软件通过组策略安装成功。
组策略把客户端用户加入本地PowerUsers组中精编
组策略把客户端用户加入本地P o w e r U s e r s组中精编Document number：WTT-LKK-GBB-08921-EIGG-22986组策略—把客户端用户加入本地Power Users组中对于客户端用户都属于Domain Users 组的时候，登陆域后没有权限安装AD组策略分发下来的软件，那么我们要做的就是把Domain Users组加入到客户端本地的Power Users组中去。
1、我建了一个OU2的OU把所有的客户端计算机都放入到了这个OU里面。
在DC上新建一条组策略针对OU2这个OU的;2、编辑这条组策略，找到“计算机配置”——“Windows 设置“——”安全设置“——“受限制的组”，按鼠标右键，选择”添加组“;3、输入Power Users，点击”确定“4、在Power Users属性中点击添加，弹出添加成员对话框的时候点击浏览：5、弹出选择用户或组的对话框的时候选择高级按钮。
6、接下来点击立即查找—在搜索结果中找到Domain Users 选中它—再点击确定按钮7、点击确定。
8、继续点击确定9、点击应用按钮，这样就把Domain Users组添加到Power Users组中去了。
10、添加好后如下图，可以在Power Users组中看到它的成员中有LONG这个域中的Domain Users组了。
11、接下来用gpupdate /force命令刷新组策略。
12、重新启动客户端计算机，再验证策略是否成功,看下图客户端已经成功。
这样就可以在客户端正常安装软件了。
等所有客户端软件安装完成以后，为了安全起见再把Domain Users组从客户端本地Power Users组中移除，具体步骤：找到算机配置—Windows设置—安全设置—受限制的组—在右边选中Power Users 组—右键单击—属性—选中Domain Users组—删除接下来点击应用。
看到Power Users组的成员为空的时候，那么Domain Users组就已经从Power Users组中移除了。
组策略完全解析
配置组策略设置
在组策略对象中，可以配置各种组 策略设置，包括计算机配置和用户
配置。
创建或修改组策略对象
在“组策略管理”控制台中，可以 创建新的组策略对象或修改现有的 组策略对象。
应用组策略
在配置完成后，可以通过应用组策 略将配置应用到计算机或用户。
组策略应用示例
01
配置密码复杂性要 求
测试配置结果
在进行组策略配置后，建议在测试环境中测试配置 结果是否符合预期，以避免不必要的麻烦。
注意策略冲突
在进行组策略配置时，需要注意策略冲突的 情况，避免出现多个策略相互抵消的情况。
04
组策略的优化与调整
优化组策略的步骤
测试与验证
在实施优化方案后，需要进行全面的测试 和验证，以确保组策略的调整和配置是正 确的，并能够带来预期的效果。
重新应用组策 略
如果组策略设置没有问 题，可以尝试重新应用 组策略，看是否可以解 决问题。
寻求帮助
如果以上步骤都无法解 决问题，可以寻求专业 的帮助，例如从微软或 其他技术社区获取支持 。
维护组策略的方法
定期检查
定期检查组策略的应用情况，确保它们在 正常工作。
备份
备份组策略，以防止意外情况导致的问题 。
优化与调整的注意事项
01
安全性
在优化和调整组策略时，必须始终注意安全性。不应该做出任何可能
危及系统或应用安全的更改。
02
兼容性
在更改组策略时，需要确保新的组策略与现有的系统和应用兼容。否
则，可能会引发不可预知的问题。
03
性能
虽然优化和调整组策略可以提高性能，但也可能会对系统或应用的性
能产生负面影响。因此，在做出更改后，需要密切关注性能指标的变
windows服务器AD域控安装与组策略设置攻略
安装与配置Active Directory/china/technet/prodtechnol/windowsserver2003/technologi es/directory/default.mspx1、实验目的让学生掌握目录服务知识。
2、实验环境多台装有Windows 2000 Server的计算机。
3、相关理论活动目录是一种目录服务，它存储有关网络对象的信息，例如，用户、组和计算机账户、共享资源和打印机等，并使管理员和用户可以方便地查找和使用网络信息。
活动目录的应用起源于Windows NT 4.0，在Windows 2000 Server中得到进一步的应用和发展，具有可扩展性和可调整性，并将结构化数据存储作为目录信息逻辑和分层组织的基础。
活动目录的优点：(1)基于策略的管理(2)扩展性(3)可调整性(4)信息复制(5)与DNS的集成(6)灵活的查询(7)信息安全性4、实验内容（1）在安装Active Directory前首先确定DNS服务正常工作，下面来安装在根域为的第一台域控制器。
（2）运行Active Directory安装向导将Windows 2000 Server计算机为域控制器创建一个新域或者向现有的域添加其他域控制器。
5、实验步骤安装活动目录的具体操作步骤如下：(1) 执行“开始”→“程序”→“管理工具”→“配置服务器”命令，打开“Windows 2000配置服务器”对话框，如下图所示。
注释：安装完Windows 2000 Server后，每次启动计算机，系统都会自动打开“Windows 2000配置服务器”对话框。
(2) 在左边的列表中单击Active Directory(活动目录)选项，并将右边的滚动条拖动到底部，使对话框如下图所示。
(3) 单击“开始Active Directory向导”选项，打开“欢迎使用Active Directory 安装向导”对话框。
该对话框显示了Active Directory安装向导的简单欢迎信息。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
windows home本身是没有本地组策略的。
运行regsvr32 gpedit.dll，找不到指定模块，这是为home安装本地策略的方法：
(1)将另一台正常使用的电脑上企业版或者商业版windows的“Windows\system32”文件夹中的gpedit.msc、fde.dll、gpedit.dll、gptext.dll、wsecedit.dll文件复制到您的电脑的“Windows\system32”文件夹中。
(2)在“开始→运行”中依次运行以下命令：“regsvr32 fde.dll”、“regsvr32 gpedit.dll”、“regsvr32 gptext.dll”、“regsvr32 wsecedit.dll”分别注册这4个动态数据库。
(3)将企业版或者商业版的“Windows\Inf”文件夹中的所有*.adm文件复制替换到您的电脑的“C:\Windows\Inf”文件夹中。
(4)单击“开始→运行”，输入“gpedit.msc”便可以启动组策略了。
如果还是不行，则在本地Windows\system32\wbem中将framdyn.dll复制到Windows\system32中，运行regsvr32 framdyn.dll，再运行（2）中“regsvr32 gpedit.dll”和（4）就可以了。