组策略在企业中的应用
文章编号:1007-6042(2008)03-0028-05组策略在企业中的应用王 钢(南车戚墅堰机车车辆工艺研究所有限公司 江苏常州 213011)摘 要:介绍了微软W indows2003Server R2创建的Acti ve Direct ory(活动目录)环境中,组策略在企业中使用的优势和案例。
关键词:Acti ve D irect o ry;组策略;软件分发;W S US中图分类号:TP317.1 文献标识码:B 随着现代企业信息化规模的扩大,计算机软、硬件数量日益庞大,域管理也被越来越多的企业使用。
微软W indo ws2003Serv e r系统的Ac tive D i2 rect o ry(活动目录)存储了网络对象大量的相关信息,提供了一种组织方式并简化了计算机网络系统中资源的访问,网络用户和应用程序可根据不同的授权,使用在Activ e D irect ory中发布的有关用户、计算机、文件和打印机等信息。
1 组策略的概念组策略是基于Ac tive Direc t ory的一种系统管理技术,用来定义自动应用到网络中特定的用户和计算机的默认设置,包含安全选项、软件安装、脚本文件设置、桌面外观和用户文件管理等。
在基于Acti ve Direct ory的W in2 do ws网络中,可通过组策略来实现用户计算机的集中配置和管理,例如:管理员可以为特定的域用户或计算机设置统一的安全策略;可为在域中的每台计算机自动安装某个软件;可为某个组织单位中的用户账户设置统一界面等。
1.1 组策略对象组策略对象(G PO)设置存储在域控制器中,只能在Active D irectory环境下使用,适用于组策略对象所作用的站点、域或组织单位的用户和计算机。
与AD组策略对应的是本地安全策略。
本地安全策略设置存储在所有运行W indo ws2000/XP/2003的计算机上。
一个本地组策略对象只能存在一台计算机上,只能作用于该计算机及本地用户。
如果与A D组策略的设置发生冲突,A ctive D irec t ory组策略对象的设置就会覆盖本地安全策略对象的设置。
如果不冲突,则两者都可以应用。
可以站点、域或组织单位为作用范围来定义不同层次的组策略对象,一旦定义了组策略对象,则该对象包含的规则将应用到相应范围的用户和计算机的设置。
组策略对象的作用范围是由组策略对象链接来设置的。
任何组策略对象想要生效,必须链接到某个Ac tive Directory对象(站点、域或组织单位)。
1.2 组策略的应用对象用户和计算机是接收策略的唯一Acti ve Directory对象类型,相应地称为用户策略和计算机策略。
对于用户策略,无论用户登录到哪台计算机,策略组中的用户配置设置都将应用于相应的用户。
用户登录计算机时获得用户策略。
对于计算机配置来说,无论哪个用户登录到计算机,组策略中的计算机配置都将应用于相应的计算机。
计算机启动时获得计算机策略。
组策略不适用于W indo ws9X/NT计算机。
1.3 组策略优先级在W indo ws2000/XP/2003域成员计算机中,组策略的执行顺序为:本地安全策略对象→Activ e Directory站点→Ac tive D irec t ory域→Ac tive D irec2 t ory组织单位。
链接到Active D irec t ory层次结构中最高层次组织单位的组策略对象最先处理,然后是链接到其下层组织单位的组策略对象,依次类推,最后处理的策略将覆盖以前应用的策略。
但是如果设置不一致时,前后策略都将作为有效策略。
在Ac tive D irec t ory层次机构的每一级组织单位中,可以链接一个、多个或者不链接组策略对象。
如果一个组织单位链接了多个组策略,则按照管理员指定的顺序同步处理,意味着首先处理本地安全策略对象,最后处理链接到计算机或用户直接上属组织单位的组策略对象,覆盖以前的组策略对象。
1.4 组策略继承组策略是可以继承的。
子容器继承父容器组策略,且组策略的处理按站点、域和组织单位的顺序进行。
这意味着如果将特定组策略分配给高一级父容器,那么这个组策略将应用于该父容器下的所有容器,包括每个容器的用户和计算机对象。
但是,如果明确将组策略指定给一个子容器,那么子容器的组策略将替代父容器的组策略。
1.5 配置、应用组策略对象这里通过使用微软提供的组策略管理控制台(GP MC)来配置组策略。
GP MC的下载地址为htt p://ww w.m ic r o s /w indo wsse rver2003/g pmc/ default.m s px,安装完毕后,运行组策略管理器。
通过组策略管理控制台可以进行编辑或新建组策略对象、添加组策略对象链接、调整组策略对象顺序、修改组策略的继承设置、禁用组策略、组策略对象安全设置操作。
1.6 刷新组策略组策略不是由域控制器强加的,而是由客户机请求的。
当发生下列任一情况时,客户机从域控制器请求策略,步骤为:①计算机启动;②用户登录;③应用程序通过AP I接口Refre shPoli cy()请求刷新;④用户请求刷新;⑤如果组策略的刷新间隔策略已经启用,按间隔周期请求策略。
2 组策略在企业中的应用2.1 批量修改域计算机本地管理员(Ad m inistrat or)密码Ad m inistrat or为系统中默认的管理员账户,权限最高,现企业中计算机安装系统本地管理员(Adm inistra t or)的初始密码一般为空或者“1234”等简单密码,这给企业计算机的安全带来了极大的隐患。
首先任何人都可以轻易通过本地管理员登陆该计算机,查看、复制、删除该计算机所有的文件;其次很多病毒、木马通过“猜”本地管理员(Ad m inistra t or)密码来攻击、入侵该计算机,等入侵该计算机后可以在用户毫无察觉的情况下,随意操作该计算机,所以A d m inistra t or是一个非常敏感的账户。
保护本地Ad m inistra t or账户有很多方法,最常见和有效的方法是设置Adm inistra t or强密码,所谓强密码是至少有8位及以上字符,字符需由大写字母,小写字母,数字,特殊字符中的任意3种组成。
这里可以通过组策略的计算机设置菜单下的W indo ws设置,进入安全设置,选择账户策略中的密码策略进行设置。
这样在创建、修改账户密码时需满足密码复杂性要求,而且30天后需更改一次密码,提高账户的安全性。
对已经创建了本地管理员Ad m inistrator弱密码的用户,可以通过利用脚本加组策略使Ad m inistrator密码统一修改为一个强密码。
首先需编写如下脚本并保存为VB S格式的文件:str Co mputer=“.”Se t obj User=Get Object(“W i nNT://”&strCompute r&“/Ad m inistra2t or,user”)obj User.SetPa ss w o rd“te st123@!!”obj User.SetInf o然后通过组策略的计算机设置菜单进入到W ind ows设置,在脚本中将脚本添加到启动中。
配置完策略后,在运行中输入“GPUPD ATE/f o rce”来刷新组策略,客户端计算机重新启动后本地管理员密码将统一设置为“test123@!!”。
2.2 OFF I CE软件分发作为一名网络管理员,需要为数量众多、需求各异、硬件配置不同的计算机安装各式各样的软件,比如安装OFF I CE2003软件,组策略的软件分发功能可以协助解决好这些问题。
目前位置组策略分发软件只支持Z AP和M SI为后缀的安装包。
这边将创建一条OFF I CE2003的软件分发策略,首先必须在网络内建立一个共享的OFF I CE2003的安装文件,然后在GPO的计算机配置/软件安装中新建一个程序包,将部署类型设置为“已指派”,确定完成后,在计算机运行中输入“GPUPD ATE/f o rce”刷新组策略。
客户端计算机重新启动后,就会执行该策略,安装OFF I CE2003软件,安装完毕后就可以使用该软件了。
对于不是Z AP或M SI文件安装包的软件分发,需要通过W inI NST A LL LE等的打包工具来创建,通过使用它可以将一些没有提供M SI文件的软件打包生成M S I文件以便于实现组策略软件部署。
2.3 搭建WSUS服务器W S US软件升级服务用于在内部网络中提供W indo ws补丁升级服务。
通过在内部网络中配置WS U S服务,所有W indo ws的更新都从上一级W S US服务器集中下载到内部网络的WSUS服务器中,而网络中的客户机通过本地WS US服务器来得到更新。
为了提高效率,节省网络带宽资源,很多大型局域网接入用户都会部署自己的W S US服务器。
W S US服务器的安装,可以到微软官方网站上去下载WS US2.0或W S US3.0的安装包,在安装完成后,可以利用一条组策略定义客户端用户通过WS US服务器进行补丁更新。
首先在GPO的计算机配置→管理模板→W i ndo ws组件→W ind ows Update中找到“指定Intrane t M icros oft更新服务位置”将安装W sus服务的服务器地址输入。
确认刷新策略后,所有客户文章编号:1007-6042(2008)03-0032-01巧松卡死的铝螺纹[美国]铝螺纹卡死给工作带来不少麻烦,因为不敢太用力,怕拧断螺栓,而且还知道不能采用火焰加热。
以下是对于松开这类螺纹的几条建议。
将尽可能多的氢氧化钠溶液注入螺纹组件,然后慢慢拧松螺母。
然而,该溶液具有非常强的腐蚀性,会导致碱性烧伤,因此需要小心。
另一个方法是采用适当尺寸的梅花扳手,然后施加正好足够的力,使螺栓处于张紧状态,当螺栓处于张紧状态时,用一个小的4盎司的圆头锤,快速敲击螺栓头一、二次,然后停止,再在相反方向对螺栓施加张力,用锤快速敲击螺栓头部。
重复这一过程数次,直至拧出螺栓。
如果场地允许,可将紧固件浸入渗透剂中,将扳手套在螺栓上,并在其上悬挂重磅铁锤或其他重物,以保持张紧力,将这种状态保持一夜,第2天早上螺母便可松开。
□译自美刊《American M ach i n ist》2007.№6 王旭芳译 陈 阳校收稿日期:2007-09-03端计算机重新启动后将会通过局域网内W S US服务器来更新补丁,在W in2 do ws Update这个设置目录中,还有其他相关的设置,如“配置自动更新”“允许自动更新立即安装”,可以通过这些策略设置定制更新时间,更新后是否重新启动计算机等选项。
组策略在企业网络管理中的应用
制定针对性解决方案
通过组策略实现设备配置的标准化和自动化，确保所有 设备符合企业安全规范；
利用组策略进行故障排查和定位，快速响应网络故障， 提高运维效率；
制定统一的安全策略，包括访问控制、防火墙规则、病 毒防护等，提高网络安全性；
通过组策略优化网络性能，提高网络传输效率和稳定性。
实施效果评估及总结
优化软件分发与更新流程
软件统一分发
01
通过组策略，企业可以实现软件的统一分发和安装，确保所有
用户及时获得所需的软件和应用。
自动更新与补丁管理
02
组策略支持自动更新和补丁管理功能，确保系统和应用程序始
终保持最新状态，降低安全漏洞的风险。
简化软件管理流程
03
组策略可以自动化软件分发、安装和更新过程，减少管理员的
组策略在企业网络管理 中的应用
contents
目录
• 组策略概述 • 企业网络管理需求分析 • 组策略在企业网络管理中的应用实践 • 组策略部署及优化方法 • 案例分析：某大型企业网络管理实践 • 未来展望与挑战
组策略概述
01
定义与功能
定义
组策略（Group Policy）是微软 Windows操作系统中提供的一种集中 化管理和配置用户工作环境的技术。
手工操作，提高软件管理效率。
完善远程桌面服务支持
远程桌面访问控制
通过组策略，企业可以控制远程桌面的访问权限和会话设置，确 保远程访问的安全性。
远程桌面性能优化
组策略可以对远程桌面的性能进行优化，如调整网络连接参数、启 用硬件加速等，提高远程桌面的响应速度和用户体验。
简化远程桌面管理流程
通过组策略自动化远程桌面的配置和管理，企业可以简化管理流程， 减少管理员的工作量。
企业ad域控组策略
企业ad域控组策略
AD域控组策略是Active Directory域控制器中用于批量管理计算机和用户设置的强大工具。
通过组策略，管理员可以集中管理计算机和用户的配置，以减少管理成本、减少用户单独配置错误的可能性，并针对特定对象设置特定的策略。
组策略对象（GPO）是存储组策略所有配置信息的一个特殊对象。
默认情况下，有两种主要的组策略对象：默认域策略和默认域控制器策略。
这些策略对象可以在域或组织单元级别上应用，以控制计算机和用户的策略设置。
在AD域控中，组策略的设置可以通过计算机策略、用户策略、脚本策略和首选项策略四种方式实现。
计算机策略在用户启动时执行，具有管理员权限，但需要考虑权限问题。
用户策略在用户登录时执行，自带权限，但只有Users的权限。
脚本策略既可以在计算机策略中也可以在用户策略中使用，具有很大的灵活性，但需要运维人员具备相应的技能。
首选项策略是微软提供的简化版策略实施方式，方便简单灵活，但不能处理过于复杂的策略。
当在域中应用组策略时，一些关键点需要注意。
例如，本地安全策略与默认域策略有冲突时，以默认域策略优先，本地设置无效。
此外，组策略的设置在本地计算机重启时、DC每5分钟自动应用、不是DC每隔90-120分钟
会自动应用、所有计算机每隔16小时强制应用，即使无更改。
如果需要手动应用域策略，可以使用gpupdate或gpupdate /force命令。
总的来说，企业AD域控组策略是一种强大的工具，可以帮助管理员更好地管理和控制计算机和用户的配置。
通过合理地使用组策略，企业可以提高管理效率、减少错误配置的可能性，并更好地保护企业资源的安全性。
如何实现AD组策略实现统一桌面和屏保
如何实现AD组策略实现统一桌面和屏保使用 AD 组策略实现统一桌面组策略实现统一桌面和屏保和屏保在企业中为了实现企业形象的统一性, 会要求在企业所有计算机上实现标准的桌面化配置环境。
那么要怎么实现呢?桌面部署桌面部署如下如下如下::1、在域控上建立存放背景图片的文件夹,将其设置为共享文件夹如:share;2、在开始—运行中 gpedit.msc 命令进入组策略编辑器,将“用户配置用户配置用户配置------管理模板管理模板管理模板------桌面桌面 ----Active DesktopActive DesktopActive Desktop” ” 中的“ “ 启用 Active Desktop Active Desktop 选项选项选项” ” 设置为已启用;3、并双击“用户配置用户配置用户配置------管理模板管理模板管理模板------桌面桌面桌面------Active DesktopActive DesktopActive Desktop” ” 中的 Active Active Desktop Desktop Desktop 墙纸墙纸墙纸选项,将其设置为已启用。
4、在墙纸名称路径框中输入存放桌面背景文件的完整路径。
如:\\\server server\\share share\\文件名文件名。
在墙纸样式中任意选择一项,按确定;屏保部署屏保部署过程过程过程::在开始—运行中 gpedit.msc 命令进入组策略编辑器,展开“ “ 用户配置用户配置” ” ---->>“ 管理模板” ---->>“ 控制面板控制面板” ” ---->>“ 显示显示” ”,在右边面板上双击以下策略项并进行设置:a. a. 将将“ 屏幕保护屏幕保护程序程序程序” ” 以及以及“ 可执行屏幕保护可执行屏幕保护程序的名称程序的名称程序的名称” ” 设置为设置为“ 已启用启用” ”b. 在“ 可执行屏幕保护程序的名称” 属性中设置路径为 \\DC服务器名称或者 IP\netlogon\test.scr如 :\\192.168.150.254192.168.150.254\\netlogonnetlogon\\test.scr5、在开始在开始------运行中输入运行中输入 Gpupdate Gpupdate /force /force命令命令, , 刷新组策略刷新组策略。
组策略命令
组策略命令在企业级 应用中的实际部署与 执行
• 企业级应用中，组策略命令的部署和执行通常包括以下几个步骤： • 设计组策略管理架构，确定域控制器和组策略管理服务器的部 署位置 • 在域控制器上创建和编辑GPO，设置相应的策略和偏好设置 • 将GPO链接到相应的用户和计算机，应用GPO中的设置 • 监控GPO的应用情况，确保设置正确生效 • 定期备份GPO，以防数据丢失
注意事项：
• 在编辑GPO时，建议先创建一个副本，以免影响现有设置 • 在删除GPO之前，请确保GPO中无重要设置，以免误删 • 定期检查GPO的应用情况，确保设置正确生效
05
组策略命令在企业级应用中的案例分析
企业级组策略管理架 构设计
• 企业级组策略管理架构通常包括： • 一个或多个域控制器，用于存储和管理GPO • 一个或多个组策略管理服务器，用于管理和应用GPO • 一个或多个客户端计算机，受GPO控制的计算机
应用组策略对象(GPO)到用户和计算机
应用组策略对象到用户的命令示例：
应用组策略对象到计算机的命令示例：
04
组策略命令的疑难解答与技巧
组策略命令执行失败的常见原因与解决方法
执行失败的原因可能有：
• 命令行参数错误：检查参数的格式和取值是否正确 • 权限不足：确保以管理员身份运行命令行工具 • 域控制器不可用：检查域控制器是否正常运行 • 网络连接问题：检查网络连接是否正常
组策略命令的主要功能包括：
• 创建、编辑和删除组策略对象 （GPO） • 设置组策略偏好设置 • 应用组策略对象（GPO）到用户和 计算机 • 监控组策略的应用情况 • 优化组策略的性能和安全性
企业ad域控组策略
企业ad域控组策略企业AD域控组策略是一种用于管理企业内部计算机网络的技术方案。
它通过集中管理、统一控制的方式，为企业提供安全、高效的网络环境。
在这个方面，我有一些亲身经历和见解，下面我将与大家分享一些我对企业AD域控组策略的理解和建议。
企业AD域控组策略的一个重要作用是实现对用户权限的精细控制。
通过合理设置组策略，可以限制用户的操作权限，确保各部门和岗位之间的权限分离，从而提高企业的信息安全性。
例如，可以通过组策略禁用USB接口，防止用户将企业重要数据外泄；也可以设置密码复杂度要求，强制用户使用强密码，提高账号的安全性。
企业AD域控组策略还可以用于管理计算机硬件和软件配置。
通过组策略，可以集中管理企业内部所有计算机的配置信息，包括操作系统设置、网络配置、软件安装等。
这样，当需要对某一类计算机进行配置修改时，只需通过组策略进行一次修改，即可快速应用到所有相关计算机上，大大提高了管理效率。
企业AD域控组策略还可以实现对计算机的安全防护。
通过设置组策略，可以强制用户安装杀毒软件、启用防火墙等安全措施，保护企业计算机免受病毒和黑客的攻击。
同时，还可以通过组策略限制用户对系统文件和注册表的访问权限，防止误操作或恶意篡改导致系统崩溃或数据丢失。
企业AD域控组策略还可以用于实现网络资源的统一管理和分配。
通过设置组策略，可以定义用户的网络访问权限，确保用户只能访问到其所需的资源，避免资源滥用和浪费。
同时，还可以设置网络带宽限制，合理分配网络资源，保证网络的稳定和高效运行。
总的来说，企业AD域控组策略在企业内部网络管理中扮演着重要的角色。
它可以帮助企业实现对用户权限的精细控制、管理计算机硬件和软件配置、实现计算机的安全防护，以及统一管理和分配网络资源。
通过合理设置组策略，企业可以提高网络安全性、提高管理效率、保证网络稳定性，为企业的发展提供有力支撑。
组策略管理器
组策略管理器组策略管理器（Group Policy Management）是在Windows操作系统中使用组策略对象（Group Policy Object）来集中管理计算机系统配置和用户配置的工具，由于Windows操作系统的广泛应用，因此组策略管理器也在企业和机构中得到了广泛的应用。
组策略管理器的作用是提供一种统一的管理方式，可以对操作系统、应用程序、网络配置等多种方面进行集中管理。
通过组策略管理器，管理员可以轻松地在整个网络环境中管理用户和计算机，保证网络系统的安全性、稳定性和可管理性。
同时，组策略管理器还可以大大降低系统维护的难度和工作量。
组策略管理器的基本原理是将组策略对象应用到组织中的计算机和用户上，以实现个性化配置、访问控制、应用和安全管理等目的。
管理员可以通过组策略管理器创建和编辑策略对象，设置策略规则和参数，然后将策略应用到特定的用户或计算机上。
组策略管理器可以通过域控制器实现跨域管理，确保策略对象的一致性和在整个网络环境中的自动部署。
组策略管理器的功能主要包括以下几个方面：1. 安全管理：通过组策略管理器可以实现网络安全配置，包括密码策略、账户锁定策略、防火墙配置等。
2. 桌面管理：通过组策略管理器可以实现用户桌面环境和计算机桌面环境的个性化配置，包括壁纸、主题、快捷方式、受保护的系统文件等。
3. 软件管理：通过组策略管理器可以实现应用程序的安装、升级、卸载等管理控制，包括软件包分发、补丁管理等。
4. 网络管理：通过组策略管理器可以管理网络组件和协议等网络相关配置，包括TCP/IP设置、DNS设置、网络打印机设置等。
5. 浏览器管理：通过组策略管理器可以管理Internet Explorer浏览器的设置和安全控制，包括IE选项、网站列表、自定义工具栏等。
组策略管理器还可以通过组织单元（Organizational Unit）实现不同的策略应用于不同的用户和计算机群组上。
管理员可以为不同的组织单元创建不同的策略对象，并将其应用到不同的组织单元中，从而实现部门独立控制、权限分级管理等目的。
组策略完全解析
配置组策略设置
在组策略对象中，可以配置各种组 策略设置，包括计算机配置和用户
配置。
创建或修改组策略对象
在“组策略管理”控制台中，可以 创建新的组策略对象或修改现有的 组策略对象。
应用组策略
在配置完成后，可以通过应用组策 略将配置应用到计算机或用户。
组策略应用示例
01
配置密码复杂性要 求
测试配置结果
在进行组策略配置后，建议在测试环境中测试配置 结果是否符合预期，以避免不必要的麻烦。
注意策略冲突
在进行组策略配置时，需要注意策略冲突的 情况，避免出现多个策略相互抵消的情况。
04
组策略的优化与调整
优化组策略的步骤
测试与验证
在实施优化方案后，需要进行全面的测试 和验证，以确保组策略的调整和配置是正 确的，并能够带来预期的效果。
重新应用组策 略
如果组策略设置没有问 题，可以尝试重新应用 组策略，看是否可以解 决问题。
寻求帮助
如果以上步骤都无法解 决问题，可以寻求专业 的帮助，例如从微软或 其他技术社区获取支持 。
维护组策略的方法
定期检查
定期检查组策略的应用情况，确保它们在 正常工作。
备份
备份组策略，以防止意外情况导致的问题 。
优化与调整的注意事项
01
安全性
在优化和调整组策略时，必须始终注意安全性。不应该做出任何可能
危及系统或应用安全的更改。
02
兼容性
在更改组策略时，需要确保新的组策略与现有的系统和应用兼容。否
则，可能会引发不可预知的问题。
03
性能
虽然优化和调整组策略可以提高性能，但也可能会对系统或应用的性
能产生负面影响。因此，在做出更改后，需要密切关注性能指标的变
域环境下通过组策略实现客户端定时自动锁屏且统一屏幕保护程序
在一些大型公司企业中，IT管理员为了统一管理公司内的办公电脑，再根据网络安全相关制度要求，防止个人资料泄密等原因，会通过AD域组策略设置屏幕保护时间。
，在唤醒电脑时，需要输入登陆用户密码。
1、点击服务器任务栏左下角的开始，再点击管理工具
2、组策略管理右击default domain policy策略（或者新建GPO），在选择编辑
3、选择用户配置策略管理模板控制面板个性化
4、开启启用屏幕保护程序
5、启用带密码的屏幕保护程序
码才可以解锁。
7、开启强制使用特定的屏幕保护程序
说明：
1、屏幕保护程序，可以到网站上自行下载喜欢的样式
2、屏幕保护程序在本地存放路径为C:\Windows\System32
新一下组策略
否正确。
使用组策略实现统一企业形象
使用组策略实现统一企业形象开头我想引入一个缩写CIS，那么什么是CIS呢？CIS是现代组织形象整体策划和实施系统的简称。
其英文全称是Corporation Identity System。
中文译为“企业识别系统”。
CIS理论主张将企业理念，企业文化，企业行为及企业视觉标志通过统一设计加以整合，强化其传播效果，使组织迅速提升自己的知名度，美誉度和公众的认可度。
当然这里要想统一企业形象，内容是包括了很多方面，IT 部门下管理的计算机自然也是其中之一。
我们在下面就例举一些IT部门如何做到企业形象的统一。
一、统一企业桌面因为公司内很多员工总是总是把工作用的计算机的桌面背景改成一些个性很强的一些图片，从公司的某一个角度看过去，每个显示器所显示的桌面都是不一样。
这样公司管理层对此总是不满意，那么就衍生了需要我们IT人员去强制把每一个员工的桌面背景统一起来，让来访的客户或者企业参观者看起来企业管理非常有序，企业形象非常强。
下面我来介绍如何统一企业桌面，自然我们的环境也必须是要有域环境才能实现统一。
第一步：我们在域控制器D盘下建一个共享文件夹share，用于存放我们准备统一的桌面背景图片Desktop.jpg，E:\share\Desktop.jpg。
注：当然我在这里建议大家共享文件夹要放在非系统磁盘上，还有一点非常重要的就是，很多朋友在从前到后都是按照我这样的方法创建好策略就是因为文件夹共享权限设置不当，导致客户端无权读取、复制该图片，桌面背景策略是应用了就是桌面背景图片没有更改，唯一遗漏掉的就是这个共享文件夹的权限一定要设置好，我一般设置为Domain User。
第二步：在域控制器上点击开始→管理工具→组策略管理，打开组策略管理控制台。
（注：这里我是安装了组策略管理工具GPMC）第三步：打开组策略管理，右键点击域→点击“创建并链接（GPO）”→输入组策略名称“统一桌面”。
因为我们这次的策略是希望企业内所有计算机都应用，故我们在域级别上创建一条GPO组策略。
组策略管理
组策略管理
组策略管理是现代管理发展的重要组成部分，它集中研究解决企业中关于组织策略的研究问题，可以有效提高管理依据，从而改善组织运行中存在的问题，达到提升组织整体绩效的目的。
组策略管理涉及到企业内各种不同的因素，例如组织结构、文化、决策、信息流等，各因素之间相互影响，互相制约，组策略管理就是将企业中各个因素纳入到一个整体中，制定一套完整的管理方法，以保证企业内部各种因素的有机统一，实现企业的健康发展。
组策略管理的过程，可以分为三个基本阶段：策略制定、组织实施和组织评估。
策略制定是组策略管理的第一步，通过对企业的市场情况、经济情况、组织目标、企业资源等的研究和评估，确定企业的组织策略和发展目标，为企业发展提供基本指导方针；组织实施是组策略管理过程中次要阶段，它涉及到实施组织策略变更、组织机构调整、人力资源调整、信息流管理、绩效管理等，将组织策略逐步落实到组织中；组织评估是结束阶段，它是一个不断迭代的过程，基于组织实施组织策略的反馈信息，不断完善组织策略，使组织能够更好的适应外部环境的变化。
组策略管理是组织管理的一种重要方式，它能够帮助组织有效调整自身，在新的外部环境和市场条件下获得持续发展，有效实施组织策略，提高组织效率，增强组织竞争力。
但是，在实际的组策略管理过程中，由于外部环境的复杂变化，企业的管理者往往无法及时、有效地调整企业组织策略，使企业陷入管理上的困境。
所以，企业决策
者在制定组织策略的时候，需要仔细研究市场背景，坚持有系统的理念，制定多样化的组织策略，根据企业实际情况进行及时完善和调整，以保证企业组织策略的及时性有效性。