# 1. 组策略概述 ``` 组策略是一个能够让系统管理员充分管理用户工作环境的功能，通过它来确保用户拥有符合要求的工作环境，也可以通过它来限制用户，如此不但可以让用户拥有适当的环境，也可以减轻系统管理员的负担。 ``` # 2. 组策略的功能 ##### 2.1 账户策略的设置 ``` 例如设置用户账号的密码长度、密码使用期限、账户锁定策略等。 ``` ##### 2.2 本地策略的设置 ``` 例如审核策略的设置、用户权限分配、安全配置等。 ``` ##### 2.3 脚本的设置 ``` 例如登录与注销、启动与关机脚本的设置。 ``` ##### 2.4 用户工作环境的设置 ``` 例如隐藏用户桌面上所有的图标、删除开始菜单中的运行、查找、关机等选项，在开始菜单中添加注销选项、删除浏览器的部分选项、强制指定代理服务器上网等。 ``` ##### 2.5 软件的安装与删除 ``` 用户登录或计算机启动时，自动为用户安装应用软件、自动修复应用软件或自动删除应用软件。 ``` ##### 2.6 限制软件的运行 ``` 通过各种不同的软件限制规则来限制域用户只能运行特定的软件。 ``` ##### 2.7 文件夹的重定向 ``` 例如改变文件、开始菜单等文件夹的存储位置。 ``` ##### 2.8 限制访问可移动存储设备 ``` 例如限制将文件写入U盘，以免企业的机密文件轻易被带离公司。 ``` ##### 2.9 其他众多的系统设置 ``` 例如让所有的计算机都自动信任指定的CA、限制安装设备驱动程序等。 ``` # 3. 组策略分为两部分 ##### 3.1 计算机配置 ``` 当计算机启动时，系统会根据计算机配置的内容来设置计算机的环境。举例来说，如果针对域yu.com设置了组策略，则此组策略内的计算机配置就会被应用到这个域内的所有计算机。 ``` ##### 3.2 用户配置 ``` 当用户登录时，系统会根据用户配置的内容来设置用户的工作环境。举例来说，如果针对组织单位业务部设置了组策略，则其中的用户配置就会被应用到这个组织单位内的所有用户。 ``` # 4. 组策略对象 ``` 组策略是通过组策略对象（GPO）来设置的，只要将GPO连接到特定的站点、域或组织单位，此GPO内的设置值就会被影响到该站点、域或组织单位内的所有用户与计算机 ``` ## 4.1 内置GPO AD DS域内有两个内置的GPO，它们分别是： ##### 4.2 Default Domain Policy ``` 此GPO默认已经被连接到域，因此其设置值会被应用到整个域内的所有用户与计算机。 ``` ##### 4.3 Default Domain Controller Policy ``` 此GPO默认已经被连接到组织单位Domain Controllers，因此其设置值会被应用到Domain Controllers内的所有用户与计算机。 Domain Controllers内默认只有域控制器的计算机账户。 ``` # 5. 策略设置与首选项设置 ``` 1.只有域的组策略才有首选项设置功能，本地计算机策略并无此功能。 2.策略设置是强制性设置，客户端应用这些设置后就无法更改（有些设置虽然客户端可以自行更改设置值，不过下次应用策略时，仍然会被改为策略内的设置值。） 3.首选项设置是非强制性的，客户端可自行更改设置值，因此首选项设置适合于用来当做默认值。 4.如果要筛选策略设置的话，必须针对整个GPO来筛选，例如某个GPO已经被应用到业务部，但是我们可以通过筛选设置来让其不应用到业务部经理user01，也就是整个GPO内的所有设置项目都不会被应用到user01，然后首选项设置可以针对单一设置项目来筛选。 5.如果在策略设置与首选项设置内有相同的设置项目，而且都已做了定义，但是其设置值却不同的话，则以策略设置优先。 （策略>首选项） 6.要应用首选项设置的客户端需要安装支持首选项设置的Client-Side、Extension（CSE）。Windows7（含）之后的计算机已内不包含CSE 7.要应用首选项的客户端还需要安装XMLLite。Windows XP SP3 (含)之后的计算机已不包含XMLLite ``` # 6. 组策略的应用时机 ``` 当修改了站点、域或组织单位的GPO设置值后，这些设置值并不是立刻对用户与计算机生效，而是必须要等GPO设置值被应用到用户或计算机才生效。GPO设置值内的计算机设置与用户设置的应用时机并不相同。 ``` ##### 6.1 计算机配置的应用时机 ``` 域成员计算机会在一下的情况下应用GPO的计算机配置值： 1.计算机开机时会自动应用 2.如果计算机已开机的话，则会每隔一段时间自动应用 2.1 域控制器：默认是每隔5分钟自动应用一次 2.2 非域控制器：默认是每隔90-120分钟之间自动应用一次。 2.3 不论策略设置是否有变化，都会每隔16小时自动应用一次安全策略。 ``` ##### 6.2 用户配置的应用时机 ``` 域用户会在以下情况应用GPO的用户配置值： 1.用户登录时会自动应用 2.如果用户已经登录的话，则默认会每隔90~120分钟之间自动应用一次，不论策略设置值是否发生变化，都会每隔16小时自动应用一次安全策略。 3.手动应用：到域成员计算机上打开cmd、执行gpupdate /force 强制执行更新组策略。 ``` # 7. 策略设置实例演练 #### 7.1 实例一：计算机配置 ##### 实验环境  ##### 实验说明 ``` 域：yu.com 允许所有用户进行本地登录 创建user01-user09用户 ``` ##### Server1    登录Administrator用户然后打开组策略    ``` 计算机配置-->策略-->Windows设置-->安全设置-->本地策略-->用户权限分配-->允许本地登录 ```      注销电脑进行测试 ##### 测试   #### 7.2 实例二：用户配置 ##### 实验环境  ##### 实验说明 ``` 域：yu.com 禁止user01-user09用户修改代理 ``` ##### Server1           ​     ``` 用户配置-->管理模板-->Windows组件-->Internet Explorer-->Internet控制面板-->阻止更改代理设置 ```   ##### 测试 ##### 效果1    ##### 效果2    #### 7.3 实例三：首选项设置 ##### 实验环境  ##### 实验说明 ``` 域：yu.com在Server1上C盘创建test文件夹，并设置共享，并让user01-09用户 自动映射到B盘。 ```            ##### 创建 ``` 会在客户端计算机建立用来连接此共享文件夹的磁盘 ``` ##### 替换 ``` 客户端如果已存在网络驱动器，则将起删除后修改为最新更新的网络驱动号。如果客户端不存在磁盘的话，则新建 ``` ##### 更新 ``` 修改客户端的磁盘设置，例如修改客户端连接共享文件夹时所使用的用户账号与密码。如果客户端磁盘不存在的话，则新建。默认使用更新 ``` ##### 删除 ``` 删除客户端的磁盘 ```    ##### 测试  # 7.4 技能实践 ``` 1.创建user01-user0100 允许本地登录2.创建IT001-IT100不允许远程登录3.禁止user01-50修改代理设置4.允许user051-100修改代理设置5.如何只针对IT01不允许修改代理6.完成上述所有试验 ``` # 7.5 提高扩展 ``` 1.自动映射磁盘 如何只针对个别用户设置？ 两种方法2.如何让客户端自动CA证书服务器 ```