Win 2008 R2 AD组策略-统一域用户桌面背景
我们先了解下组策略知识：
1、组策略中包含两部分：
1 计算机配置：针对计算机的配置，只在计算机上生效。计算机启动的时候应用，在出现登录界面前。
2 用户配置：针对用户的配置，只在所有用户帐户上生效。用户登录后应用。
2、根据应用范围将组策略分为三类：
1 域的组策略：设置对于整个域都生效。在“AD用户和计算机”中，右击域名-〉属性-〉组策略。
2 OU的组策略：设置对于这个的OU生效。在“AD用户和计算机”中，右击OU名-〉属性-〉组策略。
3 站点的组策略：设置对于这个站点生效。在“AD站点和服务”中，右击站点名-〉属性-〉组策略。
注意：“运行”中键入gpedit.msc，启动的是本地组策略，我们要的是“域组策略”！所以必须右击“AD
用户和计算机”中才能进入。
3、组策略的执行顺序：
1 站点-〉域-〉组织单元（OU）
2 计算机配置-〉用户配置
4、组策略的冲突：
1 在不同组策略中的同一项目的设置相反，就是组策略冲突。如：在站点组策略中，“隐藏桌面上的网上
邻居图标”设置为“启用”，而域的组策略上设置的是“禁用”。再如：在域的组策略中“密码长度”设置为
“7”，而OU的组策略中设置的是“6”。
2 冲突的结果：后执行的是结果。
5、组策略中的设置内容：
1 软件安装：自动安装应用软件。计算机配置和用户配置下都有。准备工作：软件的源安装文件，在安装
文件中要有.msi为后缀的可执行文件。将软件的源安装文件放到一个共享文件夹中。（网络路径）
A、已发行：由用户决定是否安装。如果软件包是已发行方式，用户登录后，系统会在添加/删除程序-〉
添加新程序中显示已发行的软件包。在计算机配置中不能实现。
B、已指派：强制性安装，自动安装。
2 WINDOWS设置：
A、计算机配置：脚本（启动和关机），安全设置。
B、用户配置：IE维护，脚本（登录和注销），安全设置（密钥），远程安装服务（为客户机安装WIN2000
PRO），文件夹重定向（把用户的一些重要文件夹重定向到文件服务器中）。
3 管理模板：
A、计算机配置：WINDOWS组件、系统、网络、打印机。
B、用户配置：WINDOWS组件、系统、网络、任务栏和开始菜单、桌面、控制面板。
6、“组策略”选项卡下的操作：
1 删除：删除组策略对象。
注意：
A 非永久删除：“从列表中移除连接”。只是在列表中删除，还可以在系统中找到，并添加回来或添
加到其他容器上。
B 永久性删除：“移除连接并将组策略永久删除”。彻底的删除掉，在系统中无法找到了。
2 新建：新建一个组策略。
3 编辑：编辑指定组策略的设置。
4 添加：将系统中已有的组策略应用到指定容器（域、OU、站点）中。
5 选项：
A 禁止替代：禁止后执行的组策略中的项目更改这个组策略的项目。如：在域的组策略中“密码长度”
设置为“7”，而OU的组策略中设置的是“6”，并且在域的组策略中选择了“禁止替代”。那么最终结果为“密
码长度”是“7”。
B 被禁用：指定组策略不在容器上应用。
6 属性：
A 禁止计算机配置：指定组策略的计算机配置在容器上不生效。
B 禁止用户配置：指定组策略的用户配置在容器上不生效。
C “安全”选项卡：对于指定组策略的控制权限的设置。
7 如果在一个容器上有多个组策略，在组策略列表中上端的先执行，依次向下执行。
A “向上”/“向下”按钮：修改容器上的组策略在列表中的位置，从而修改了容器上组策略的执行
顺序。
8 “阻止策略继承”选项：从更高级站点、域或组织单位继承的策略可以在该站点、域或组织单位级别
被拒绝。禁止更高级别的组策略在该容器上执行。
A “阻止策略继承”如果已启用“禁止替代”，则不会阻止“组策略”对象。
B “阻止策略继承”只能在站点、域和组织单位上设置，而不能在单个“组策略”对象上设置。
7、最佳操作
1 组策略：
A 禁用组策略对象的未使用部分。
B 使用阻止策略继承和禁止替代部分功能。
C 最小化与域中或组织单位中的用户关联的组策略对象的数量。应用于用户的组策略越多，它登录的
时间越长。
D 避免交叉域组策略对象分配。如果从其他域获得组策略，那么组策略对象的处理将减慢登录和启动。
2 软件安装和管理
A 在 Windows 安装程序包发行或指派之前确定它们已正确转换。.msi或 .mst文件。
B 每个组策略对象只指派或发行一次：例如，如果将 Microsoft Office 指派给受组策略对象影响
的计算机，则不能再将它指派或发行给受组策略对象影响的用户。
C 重新打包现有软件。
D 使用DFS。
E 在 Active Directory 层次结构中的高层指派或发行。
3 文件夹重定向
A 让“My Picture”文件夹始终跟随“我的文档”文件夹。
************************************************************************************************
****************************************************************************
了解以上组策略知识后，我们就开工 (*^__^*) „„
组策略管理在windows域管理中占有重要地位，本身也不是新的内容了。但微软在Windows2008中终于集成了
一个非常好用的组策略管理工具——组策略管理控制台。注意：2008 r2 右击域或者OU的属性中不再出现“组
策略”。
在Server 2008以前的Windows Server中要想配置组策略， 是件麻烦事。后来微软推出了一个小工具——gpmc，
才解决了问题，但这个工具需要下载和安装，许多人不知道有这个工具的存在。在Windows 2008 R2中，微软
将它集成了进来，大大方便了管理员对于组策略的管理和配置。首先，让我们看看它的庐山真面目吧！
在“开始”-“管理工具”-“组策略管理”，就可打开。或者在“运行”中键入gpmc.msc，也能打开：
对“财政部”的用户统一桌面，右击“财政部”-“在这个域中创建GPO并在此处链接”
命名为“财政部组策略对象”
右击-“编辑”
1、启用"用户配置--管理模板--桌面--Active Desktop-启用Active Desktop "，
"禁用Active Desktop"保持"未配置"
2、启用"用户配置--管理模板--桌面--Active Desktop--桌面墙纸"并在墙纸"名称"处输入墙纸的路径
在AD服务器中共享一个“Share”的文件夹，权限为everyone读取，在里面放一张壁纸：
这是壁纸的内容：
在下面中输入\\192.168.1.88\share\background\NBA.jpg
更新组策略:gpupdate
用“财政部”的用户登入客户端，会发现桌面已变。
会发现桌面的图标有蓝色阴影，相当难看！请见我的解决方案。
发现桌面不能更改，全部灰色不可用：
用域管理员账号登入客户端，桌面不受影响：
OK!
$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$$
$$$$$$$$$$$
下面是对浏览器的标题进行统一设定：
“运行”-gpupdate，更新组策略。
以下用财政部的一个用户登录客户端验证：
用域管理员验证，不受影响
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
下面是限制用户能登陆的机子：
Windows域(AD)迁移方案
域迁移方案一、事前准备：先分别建立两个位于不同林的域，内建Server若干，结构如下：ADC02 172.16.1.2/24EXS01 172.16.1.101/24ADC01172.16.1.1/24其中：Demo。
com：ADC01作为Demo。
com主域控制器,操作系统为Windows Server 2008 R2，并安装有DHCP服务，作用域范围为172.16.1.100/24——172。
16。
1。
200/24.ADC02作为的辅助域控制器，操作系统为Windows Server 2008 R2Exs01为的Mail服务器，操作系统为Windows Server 2003SP2,Exchange 版本为2003TMG01为防火墙，加入到网域，操作系统为Windows Server 2008 R2,Forefront TMG为2010Client为加入到此网域的客户端PC，由DHCP Server分配IP：Ad—cntse为Cntse。
com的域控制器,操作系统为Windows Server 2008 R2，为了网域的迁移安装有ADMT以及SQL Server Express 2005 SP2Exs-centse作为的Mail Server，操作系统为Windows Server 2003SP2,Exchange 版本为2003.备注:所有的Server均处在同一个网段172。
16.1。
x/24二、Demo。
com的User结构：如图，其中红色圈中部分为自建组别，OA User为普通办公人员组别，拥有Mail账号,admins为管理员群组，Terminal User为终端机用户组别，均没有Mail 账号。
以上三组别均建立有相应的GPO限制其权限。
其他Users保持默认设定三、设定域信任关系：1、设定DNS转发器：在域控制器Ad-cntse的DNS管理器设定把demo。
com的解析交给demo。
Windows Server 2008 R2 域控制器部署手册
Windows Server 2008 R2 域控制器部署手册
一、域控制器安装步骤：
1、装Windows Server 2008 R2并配置计算机名称和IP地址。
2、点击“开始”，在“搜索程序和文件”中输入Dcpromo.exe后按回车键。
3、如下图进入域控制器安装的准备；
4、进入AD DS安装向导，点击“下一步”；
5、在操作系统兼容性，点击“下一步”；
6、选择“在新林中创建域”后点击“下一步”；
7、输入域名“”后点击“下一步”；
8、选择合适的林功能级别级别（建议使用Windows Server 2008 R2），之后点击“下一步”；
9、在其他域控制器选项，点击“下一步”；
10、点击“是”，继续安装；
11、在指定数据库、日志文件及SYSVOL位置，点击“下一步”；
12、输入目录服务还原模式密码后，点击“下一步”；
13、回顾AD DS相关配置，点击“下一步”后进入活动目录安装进程；
14、安装完成后，点击“确定”后点击“立即重新启动”，如下图；
15、重新启动后，使用域管理员帐号登陆域控制器。
Windows Server 2012 R2 创建AD域
Windows Server 2012 R2 创建AD域前言我们按照下图来创建第一个林中的第一个域。
创建方法为先安装一台Windows服务器，然后将其升级为域控制器。
然后创建第二台域控制器，一台成员服务器与一台加入域的Win8计算机。
环境网络192.168.100.1子网掩码255.255.255.0 网关192.168.100.2域名DC1 192.168.100.11/24DC2 192.168.100.12/24Server 192.168.100.13/24PC1 192.168.100.14/24创建域的必备条件●DNS域名：先要想好一个符合dns格式的域名，如●DNS服务器：域中需要将自己注册到DNS服务器内，瓤其他计算机通过DNS服务器来找到这台机器，因此需要一台可支持AD的DNS服务器，并且支持动态更新（如果现在没有DNS服务器，则可以在创建域的过程中，选择这台域控上安装DNS服务器）注：AD需要一个SYSVOL文件夹来存储域共享文件（例如域组策略有关的文件），该文件夹必须位于NTFS磁盘，系统默认创建在系统盘，为了性能建议按照到其他分区。
创建网络中的第一台域控制器修改机器名和ip先修改ip地址，并且将dns指向自己，并且修改计算机名为DC1，升级成域控后，机器名称会自动变成安装域功能选择服务器选择域服务提升为域控制器添加新林此林根域名不要与对外服务器的DNS名称相同，如对外服务的DNS URL为，则内部的林根域名就不能是，否则未来可能会有兼容问题。
●选择林功能级别，域功能级别。
、此处我们选择的为win 2012 ，此时域功能级别只能是win 2012，如果选择其他林功能级别，还可以选择其他域功能级别●默认会直接在此服务器上安装DNS服务器●第一台域控制器必须是全局编录服务器的角色●第一台域控制器不可以是只读域控制器（RODC）这个角色是win 2008时新出来的功能●设置目录还原密码。
windows 2008 sever AD域下实现文件共享
windows 2008 sever AD域下实现文件共享本文前提是安装好win 2008 sever r2，并配置好了AD域。
然后再进行下面的工作。
1服务侧设置
1.1设置用户名和密码
如下图1：在user中鼠标右键新建用户，设置用户名和密码
图1：设置用户名和密码
1.2组管理
设置组如下图2，在域名下的builtin中设立本地域安全组比如图2中的stropower_fina，然后双击组名，弹出成员页添加上面创建的用户名，就完成了权限设置
图2：在域名下的builtin中设立本地域安全组
图3：添加组成员
1.3文件夹共享设置
要共享的文件夹右键属性，点击共享，添加刚才设置的组，再点击共享设置就完成共享设置了。
2客户端侧设置
2.1设置host解析文件
C:\Windows\System32\drivers\etc\hosts,用记事本打开，加入如下语句
X.X.X.X 域计算机的完整名称
点击保存即可。
2.2域名服务器
电脑网络右键属性，在协议版本4中点击属性2，首选DNS服务器的IP地址填写上述域计算机的IP地址。
然后在运行中，\\域计算机名，点击运行，一般会弹出对话框，让你属于用户名和密码，输入在域用户中设置的用户名和密码，即可进入域计算机，看到共享的文件夹。
Windows server 2008 R2 用组策略隐藏指定磁盘驱动器(盘符)
Windows server 2008 R2 用组策略隐藏指定磁盘驱动器（盘符）1.我们通过修改C:\Windows\PolicyDefinitions\WindowsExplorer.admx这个文件来达到在Windows server 2008中隐藏指定盘符的功能.(编辑这个文件可以用记事本或者是notepad++)2.首先找到C:\Windows\PolicyDefinitions目录下的WindowsExplorer.admx和C:\Windows\PolicyDefinitions\zh-CN目录下的WindowsExplorer.adml两个文件，分别复制到桌面作为备份。
3.在WindowsExplorer.admx文件中查找字段NoDrives,添加相应的字符串可以设置隐藏指定的磁盘驱动器;查找字段NoViewOnDrive,并修改相应的字段,可以设置拒绝从Windows资源管理器访问某个磁盘驱动器.下面以设置隐藏指定的磁盘驱动器为例:(下列黑体字我测试时设置的"只显示Z,其他盘符不显示.")<policy name="NoDrives" class="User" displayName="$(string.NoDrives)"explainText="$(string.NoDrives_Help)" presentation="$(presentation.NoDrives)"key="Software\Microsoft\Windows\CurrentVersion\Policies\Explorer"><parentCategory ref="windows:WindowsExplorer" /><supportedOn ref="windows:SUPPORTED_Win2k" /><elements><enum id="NoDrivesDropdown" valueName="NoDrives" required="true"><item displayName="$(string.ABOnly)"><value><decimal value="3" /></value></item><item displayName="$(string.COnly)"><value><decimal value="4" /></value></item><item displayName="$(string.DOnly)"><value><decimal value="8" /></value></item><item displayName="$(string.ABConly)"><value><decimal value="7" /></value></item><item displayName="$(string.ABCDOnly)"><value><decimal value="15" /></value></item><item displayName="$(string.ALLDrives)"><value><decimal value="67108863" /></value></item><item displayName="$(string.RestNoDrives)"><value><decimal value="0" /></value></item><item displayName="$(string.Zonly)"><value><decimal value="33554431" /></value></item></enum></elements></policy>…… ……（此处省略若干代码）<policy name="NoViewOnDrive" class="User" displayName="$(string.NoViewOnDrive)" explainText="$(string.NoViewOnDrive_Help)"presentation="$(presentation.NoViewOnDrive)"key="Software\Microsoft\Windows\CurrentVersion\Policies\Explorer"><parentCategory ref="windows:WindowsExplorer" /><supportedOn ref="windows:SUPPORTED_Win2k" /><elements><enum id="NoDrivesDropdown" valueName="NoViewOnDrive" required="true"><item displayName="$(string.ABOnly)"><value><decimal value="3" /></value></item><item displayName="$(string.COnly)"><value><decimal value="4" /></value></item><item displayName="$(string.DOnly)"><value><decimal value="8" /></value></item><item displayName="$(string.ABConly)"><value><decimal value="7" /></value></item><item displayName="$(string.ABCDOnly)"><value><decimal value="15" /></value></item><item displayName="$(string.ALLDrives)"><value><decimal value="67108863" /></value></item><item displayName="$(string.RestNoDrives)"><value><decimal value="0" /></value></item><item displayName="$(string.Zonly)"><value><decimal value="33554431" /></value></item></enum></elements></policy>红色字体为增加的代码，总共2处。
修改windows 2008 域控服务器密码策略
在windows server 2008 里变更密码复杂性要求，基本设置和windows server 2003是一样的。
具体步骤如下：
开始->管理工具->组策略管理->组策略管理展开组策略管理器，然后选择林->域->组策略对象->Default Domain Policy，如下图所示
接着右键选择编辑，点击计算机配置->策略->Windows 设置->安全设置->账户策略->密码策略，如下图所示
设置以下几项：
密码必须符合复杂性要求设置为禁用,
密码长度最小值设置为0，如果默认用7，则新的密码不能少于7位,
密码最短使用期限设置为没有定义，默认是1，也就是说你两个不同密码设置间隔必须是1天,
密码最长使用期限设置为没有定义，默认是42，也就是说你修改密码42天密码自动过期
强制密码历史改为0 ，默认在域控上时24，独立服务器为0，设置24就是表示设置24次密码不能重复，目的是为了防止用户使用旧密码从而降低系统安全性。
强制密码历史和密码最短使用期限结合使用，要使强制密码历史有效，比如将密码最短使用期限设置为0以上，设置完成后，在开始->运行cmd,输入：gpupdate强制刷新组策略，刷新完成后即可重设一个简单密码。
[计算机]WINDOWS2008serverR2密码策略
2008R2密码策略强制密码历史描述重新使用旧密码之前，该安全设置确定与某个用户帐户相关的唯一新密码的数量。
该值必须为0 到24 之间的一个数值。
该策略通过确保旧密码不能继续使用，从而使管理员能够增强安全性。
默认值：在域控制器上为24。
在独立服务器上为0。
注意默认情况下，成员计算机遵循它们的域控制器的配置。
要维持密码历史记录的有效性，则在通过启用密码最短使用期限安全策略设置更改密码之后，不允许立即更改密码。
有关密码最短使用期限安全策略设置的相关信息，请参阅密码最短使用期限。
配置此安全设置密码最短使用期限描述该安全策略设置确定用户可以更改密码之前必须使用该密码的时间（单位为天）。
可以设置 1 到998 天之间的某个值，或者通过将天数设置为0，允许立即更改密码。
密码最短使用期限必须小于密码最长使用期限，除非密码最长使用期限设置为0（表明密码永不过期）。
如果密码最长使用期限设置为0，那么密码最短使用期限可设置为0 到998 天之间的任意值。
如果希望强制密码历史有效，请将密码最短有效期限配置为大于0。
如果没有密码最短有效期限，则用户可以重复循环通过密码，直到获得喜欢的旧密码。
默认设置不遵从这种推荐方法，因此管理员可以为用户指定密码，然后要求当用户登录时更改管理员定义的密码。
如果将该密码的历史记录设置为0，则用户不必选择新密码。
因此，默认情况下将密码历史记录设置为1。
默认值：在域控制器上为1。
在独立服务器上为0。
注意默认情况下，成员计算机遵循它们的域控制器的配置。
配置此安全设置可通过打开相应的策略并按以下方式展开控制台树来配置该安全设置：计算机配置\Windows 设置\安全设置\帐户策略\密码策略\密码最长使用期限描述该安全设置确定系统要求用户更改密码之前可以使用该密码的时间（单位为天）。
可将密码的过期天数设置在1 至999 天之间，或将天数设置为0，可指定密码永不过期。
如果密码最长使用期限在 1 至999 天之间，那么密码最短使用期限必须小于密码最长使用期限。
Win2008 R2 RemoteApp配置
Win2008 R2 RemoteApp深度体验之一，RemoteApp服务器部署RemoteApp服务器部署虚拟化技术是当今最热门的IT技术之一。
虚拟化技术在提高硬件资源利用率，改善运维效率，提升用户体验方面都大有用武之处。
微软把虚拟化技术划为为服务器虚拟化，桌面虚拟化，应用程序虚拟化和展示层虚拟化。
今天我们要为大家介绍的就是展示层虚拟化中的一项新技术RemoteApp。
RemoteApp的前身是终端服务器。
终端服务技术是一项应用广泛的成熟技术，客户机可以连接到终端服务器，在终端服务器上执行应用程序，然后把执行结果回传到客户机。
这样一来，当客户机受到某些条件制约而无法在本机部署某些应用程序时，就可以借助终端服务器来运行程序，运算部分在服务器完成，客户机只是负责输入输出。
有了终端服务技术之后，很多配置老旧的计算机重新获得了生机，应该说终端服务技术在提高计算机硬件利用率方面发挥了很大作用。
终端服务技术在应用过程中也暴露出了一些有待改进的缺点。
例如，用户在客户机上连接到终端服务器后会得到一个服务器桌面，对熟悉客户端操作系统的用户来说，服务器桌面并非一个最佳选择；更糟糕的是，初级用户往往需要在本地的宿主桌面和远程的终端服务器桌面之间进行切换。
他们需要在终端服务器桌面上运行应用程序，但同时也需要在宿主桌面上收发电子邮件，浏览网页。
如果用户同时需要连接到多个终端服务器，情况就更加复杂了，没有经验的用户在多个终端服务器桌面和宿主桌面之间切换时往往会感到手忙脚乱，出错的概率大增。
还有，当用户在外网时，想连接到终端服务器一般都要先通过VPN接入内网。
但用户出差在外地时，有些互联网访问点可能并没有开启PPTP或L2TP的通讯端口，导致用户无法通过VPN连接到终端服务器，影响正常的业务使用。
RemoteApp针对终端服务技术进行了改进。
在RemoteApp中，用户在客户机上运行远程服务器上的应用程序时，不再需要得到整个服务器桌面，只需要看到应用程序运行的窗口！RemoteApp中的应用程序和客户端桌面实现了集成，在任务栏中有自己的条目，运行在自己的窗口中，看起来就像客户机的本地程序一样。
AD域帐号同步系统说明文档_win_server_2008
AD域帐号同步系统说明⽂档_win_server_2008AD域帐号同步系统说明⽂档⽬录⼀、基本功能 (2)⼆、⾼级功能（⾃动同步） (5)⼀、基本功能1.解压MailADSync.zip，打开MailAdSync.exe2.设置相关信息（1）私钥：企业⾃⼰⽣成⼀对公私钥，并把公钥、IP交给提供⽅进⾏绑定（2）CID：提供⽅绑定公钥、IP后返回CID码（3）域名：AD域所在机器的IP（4）账号：管理员账号（5）密码：管理员密码（6）企业名称：AD域中企业根节点名称（7）初始密码：同步⾄企业邮箱时，为⽤户设定的初始密码填写⽰例：（如需实现⾃动同步请勾选“开启⾃动同步功能”）3.填写完成后点击保存，连接成功即返回下图所⽰界⾯4.点击同步按钮即开始同步进⼊企业邮箱即可查看更新的数据⼆、⾼级功能（⾃动同步）1.打开管理⼯具界⾯，开始管理⼯具2.选择本地安全策略3.设置审核帐户管理选项，安全设置→本地策略→审核策略→审核帐户管理勾选成功，确定4.设置审核⽬录服务访问勾选成功，点击确定5.打开服务器管理器，选择查看，并勾选⾼级功能6.选择企业根节点，右击选择属性7.选择安全，点击⾼级8.选择审核添加在输⼊要选择的对象名称，填⼊Authenticated Users，确定勾选下图所⽰选项，创建、删除⽤户对象，创建组织单位对象、删除组织单位对象，写⼊全部属性，确定9.打开任务计划程序，开始→管理⼯具→任务计划程序创建基本任务，任务计划程序→任务计划程序库→事件查看器任务→创建基本任务建⽴基本任务，填写任务名称，下⼀步选择特定事件被记录时，下⼀步⽇志选择安全，事件ID填写4720，下⼀步选择启动程序，下⼀步程序或脚本，选择AD帐号同步程序，下⼀步查看任务信息，点击完成任务列表在AD域中进⾏管理时，即可⾃动启动同步程序。
Windows Server 2008 R2 个人使用优化设置资料
如果要想把它作为类似于Windows 7的个人版操作系统的话，安装过后就必须对系统进行一系列的设置，本文介绍了系统安装系统后必须进行的一些配置。
内容半转载半原创，根据个人的经验和习惯加以整合，设置项太杂，对于转载的原文恕不一一引用了。
一、组策略和杂项（1）组策略中使用简单密码策略（取消复杂性和最长期限要求，最小长度设为0可以使用空密码）（2）组策略中启用“无须按Ctrl+Alt+Del”登录（3）组策略中禁用“关机事件跟踪程序”（为了取消关机原因的提示）关机事件跟踪(Shutdown Event Tracker)对于服务器来说这是一个必要的选择，但是对于工作站系统却没什么用，我们同样可以禁止它。
打开”开始“Start ->”运行“Run ->输入”gpedit.msc “，在出现的窗口的左边部分，选择”计算机配置“(Computer Configuration )-> ”管理模板“(Administrative Templates)-> ”系统“(System),在右边窗口双击“Shutdown Event Tracker”在出现的对话框中选择“禁止”(Disabled)，点击然后“确定”(OK)保存后退出这样，你将看到类似于windows 2000的关机窗口。
（4）组策略中设置开始菜单电源按纽为关机也可以不从组策略中修改此设置项（位于用户配置），而可以从“开始菜单和任务栏属性-开始菜单”中配置。
从开始菜单中修改并不会影响到组策略中的设置项，但是组策略中的修改将覆盖开始菜单中的配置。
建议从开始菜单属性中修改，这更方便一些，对系统影响也小。
（5）组策略中启用不显示“管理您的服务器”页（也可以在“管理您的服务器”页上直接设置）（6）关闭IE“增强安全配置”（ESC），建议更改主页（默认是安全提示页）（7）处理器计划设置为“程序”优先（8）数据执行保护设置为“仅为Windows基本程序和服务启用DEP”（9）在“桌面-个性化”设置中启用AERO主题（需要先按添加相关的服务和功能）（10）允许在登录界面执行关机（允许未登录时关机）对于服务器来说，在登录界面显示关机按钮是很不好的，意味着任何人都有权关闭服务器。