组策略-高级篇ppt课件

1、组战略高级篇内容组战略承继及冲突处置慢速链接的组战略组战略的其他设置设计和管理组战略 重、难点重点：组战略的承继阻止承继、制止替代组战略的权限挑选难点：组战略对象的承继的设计组战略的设计义务一 组战略承继和冲突处置1、普通承继与处置规那么组战略的配置具有承继性:假设父容器的某个战略被配置,但其子容器的战略未被配置,那么子承继父容器配置值.假设子容器的某个战略被配置,那么此配置值会覆盖由父容器传送下来的配置值.组战略的配置具有累加性的： 例如:业务部OU内建立了GPO,同时在域、站点内也有GPO，那么一切配置值累加起来是最后有效值。组战略冲突的处置当Site，Domain，OU之间的组战略发生冲

2、突时，以处置顺序在后的GPO优先，系统处置GPO的优先顺序是：站点GPO、域GPO、OU的GPO假设一切的组战略对象不发生冲突，同时运用。当同一对象衔接到多个GPO时，一切GPO配置将被累加起来。假设战略的设置发生冲突，以排在前面的GPO优先。冲突的处置系统先处置“计算机配置,再处置 “用户配置,假设有冲突,虽然“用户配置处置顺序在后，但是大部分情况下以“计算机配置优先GPO内个战略未配置与启用或禁用不会产生 冲突关系。2、例外的承继性设置“阻止承继设置“制止替代设置挑选设置“阻止战略承继阻止战略承继：制止从一切的高层承继GPO无法选择针对哪些GPO， 全部都制止承继针对的是某一层次不能阻挠“

3、制止替代设置“制止替代制止替代：不论能否冲突，或者能否有“阻止承继，一直生效针对的是详细某个组战略对象，而不是针对某个容器一切的GPO。高的“制止替代会覆盖低的“制止替代。应该设置在较高层次 挑选组战略设置GPO的配置默许是被运用到这个容器内的一切用户与计算机默许用户等对象对该容器的GPO具有“读取与“运用组战略权限，查看方法：GPO-属性-平安也可使GPO对容器内特定的计算机/用户/组不生效使特定用户与计算机没有“读取和“运用组战略的根本权限，把这些用户添加到平安，设为“回绝即可注：只需在组战略中具有读取和运用权限的对象才会运用组战略。设置挑选组战略3、特殊处置的设置慢速链接的GPO处置环回

4、处置方式禁用GPO慢速链接的GPO处置可以设置让域内的计算机自动探测他们与域控制器之间的链接速度能否太慢,假设太慢,可以设置不要运用位于域控制器内的组战略.如下图:慢速链接的GPO处置定义了即使慢速衔接也要做软件安装战略处置环回处置方式系统会根据用户或计算机帐户在AD内的位置,来决议如何将GPO配置值运用到用户或计算机.实例:计算机帐户Server1-效力器OU(“效力器GPO组战略) 用户帐户Jackie-业务部OU(“业务部GPO组战略)当用户Jackie在Server1登录域时,用户环境由 “业务部GPO中的“用户配置决议,而计算机环境由 “效力器GPO中的“计算机配置来决议.但是在“业

5、务部GPO中的“用户配置内,设置了位于“业务部OU用户登录,自动安装某个运用程序,所以用户在任何一台计算机上登录系统都将为其安装运用程序.现不想替此用户在这台重要效力器Server1内安装,用“环回处置方式.环回处置方式假设在“效力器GPO内启用此方式,那么不论用户是位于何处,只需用户是利用“效力器OU的计算机登录,环境就由“效力器GPO的“用户配置决议.环回处置方式“环回处置方式分为两种方式：替代方式：直接改由“效力器GPO的“用户配置来配置环境。合并方式：先处置“业务部GPO的“用户配置，再处置“效力器GPO的，假设有冲突，那么“效力器GPO内的优先。禁用GPO可以将整个GPO禁用也可只禁

6、用GPO内的“计算机配置或“用户配置义务二 组战略最正确实际：规划(1)尽量不要删除或者修正两个默许GPOs禁用GPO中没有作用的节点计算机设置或用户设置，以加快登录速度。善用委派机制，减低系统管理员负担。每个新的GPO应先进展测试GPO的命名具有描画性如“工程部门软件部署战略运用GPMC备份“默许域战略和“默许域控制器战略组战略最正确实际：规划(2)在有AD的情况下，尽量不运用本地组战略限制域上的GPO数量，由于设置的GPO越多，登录所破费的时间越长。尽能够不运用影响组战略默许承继性的制止替代阻止承继运用GPO时，尽能够将GPO关联到目的对象所在的容器上(比如OU)善用挑选机制，一方面可以使

7、特定的组不运用组战略，另一方面可以加快这些组成员的登录速度。组战略实际练习：管理用户环境：管理模板战略账户战略用户权限分配战略平安选项战略登录/注销、启动/关机脚本文件夹重定向组战略实际(1)-管理模板战略当用户端的计算机在处置“管理模板战略时，会将这些战略配置值存储到用户计算机的“登录内，但是并不会将此计算机的默许的登录值覆盖。删除按Ctrl+Alt+Del组合键后所出现的对话框选项：用户配置-管理模板-系统-Ctrl+Alt+Del选项隐藏在控制面板内指定的图标：用户配置管理模板控制面板双击“隐藏指定的控制面板程序，输入图标的称号隐藏桌面上一切图标：用户配置管理模板桌面隐藏和禁用桌面上的一

8、切工程删除“开场菜单中的“关机图标：用户配置-管理模板-义务栏和【开场】菜单-双击“删除和阻止访问关机命令阻止访问命令提示符：用户配置-管理模板-系统-阻止访问命令提示符组战略实际(2)-账户战略账户战略包含密码战略、账户锁定战略：密码战略密码必需符合密码复杂性要求： 至少要6个字符 至少要包含AZ、az、09、非字母数字如！、￥、#、%等4组字符中的3组。密码最长运用期限：最长运用期限可为0999天，登录时，假设密码运用期限已到，那么系统会自动要求用户更改密码。假设设为0，表示没有运用期限，可以不断运用。密码最短运用期限：最短运用期限可为0998天，在期限未到前，不得改动密码，假设为0，可随

9、时更改。强迫密码历史：可以设置能否要记录用户曾经运用过的旧密码，以便用来决议用户在改动其密码时，能否可以运用旧密码124 表示要保管密码历史数据0 表示不保管密码历史数据密码长度最小值用户锁定战略账户锁定阀值：可设置在用户登录多次失败后，将账户锁定。账户锁定时间：设置要将账户锁定多久的时间，时间过后自动解除锁定。复位账户锁定计数器：用来记录用户登录失败的次数，假设登录胜利，那么锁定计数器的值就归零。组战略实际(3)-用户权限分配战略赋予用户或组运转特殊任务的权限：计算机配置-windows设置-本地战略-用户权限分配双击该权限单击“添加用户和组允许在本地登录 允许用户直接在本台计算机上按Ctr

10、l+Alt+Del组合键登录回绝本地登录 回绝用户直接在本台计算机上按Ctrl+Alt+Del组合键登录，优先上条战略封锁系统 允许用户将此计算机关机更改系统时间 允许用户改动计算机内部的系统日期、时间。组战略实际(4)-平安选项战略计算机配置-windows设置-本地战略-平安选项：交互式登录：不需按Ctrl+Alt+Del：在计算机启动时，直接出现“登录Windows的对话框。交互式登录：不显示上次的用户名：每次用户按Ctrl+Alt+Del后所出现的“登录Windows对话框中显示的用户名不显示。交互式登录：在密码到期前提示用户更改密码：用来设置在用户的密码过期前几天，提示用户必需更改密

11、码。交互式登录：用户试图登录音讯文字、标题：每次当计算机启动时，按Ctrl+Alt+Del后，显示一些用户希望看到的一些音讯，一个显示对话框的标题，另外一个显示内容。组战略实际(5)-脚本可以设置让域用户在登录时，系统就自动运转“登录脚本；开机启动时，自动运转“启动脚本等实例：利用文件名为logon.vbs的文件 wscript.echo “Welcome,this is a LOGON script test文件名为logoff.vbs的文件 wscript.echo “Goodbye,this is a LOGOFF script test用户配置Windows设置脚本登录/注销-双击右边的“登录，把脚本文件复制到此处添加到组战略最正确实际(6)-文件夹重定向 可以利用组战略来将某些特殊文件夹的存储位置，重定向转向到网络上的其他位置，这些特殊的文件夹包含：Application data :此文件夹包含用户在运用程序内的专属数据，例如个人设定数据。桌面