组策略最佳实践（上）

高效管理现代企业网络的有力武器

—组策略技巧与实践议程组策略简介组策略最佳实践组策略实战应用受限组策略WindowsFirewallIPSecPolicy使用组策略发布软件组策略简介IT管理者面对什么？大规模的网络个人用户薄弱的安全意识软件部署的难度软件管理的难度复杂的系统设置什么是组策略?一种Onetomany管理模式的实现强制性安全配置灵活的软件部署方式强化企业中的软件管理简单明了的系统设置OneToMany管理模式活动目录管理员“组策略对象”影响最终用户影响计算机解决方案:组策略帮助管理员使用策略控制多个用户和多台计算机的行为使用组策略管理控制台能够更方便的管理组策略特点:减少管理员的管理负载减少企业在管理，支持和培训上的支出提升用户生产力在不牺牲灵活性的条件下提供大量的可选自定义配置用户组策略设置:桌面环境设置软件设置Windows设置安全设置计算机策略设置:桌面环境设置软件设置Windows设置安全设置组策略的组成组策略设置的类型基于注册表的设定本地，域以及网络等安全选项集中管理软件安装以及维护开、关机脚本登陆、注销脚本将用户数据存放在网络上管理IE设定管理模板 安全软件安装脚本文件夹重定向IE维护第三方扩展组策略有很好的扩展性组策略在企业中的应用(2)组策略可以用于:注册表设定(WindowsXP中提供的设定数目超过700)Shell,TS,IE,MSI,WindowsUpdate,Messenger,NetMeeting,…SomeApps(i.e.Office2000/XP)安全设定Securitypolicies,accountpolicies,restrictedgroups,services,localACLs,Certificates,SWRestriction,IPSecIE设定软件安装脚本文件夹重定向远程系统安装(RIS设定)组策略对象链接组织单元GPO组织单元

GPO站点GPO域GPO站点域OUOUOU本地策略站点策略域策略父OU策略子OU策略组策略执行顺序组策略的继承

Windows2000采用特定的顺序应用组策略SiteDomainOU

子容器会继承父容器的组策略ComputersUsersPayrollDomainDomainGPO组策略冲突处理计算机策略优于用户策略不同层次的策略产生冲突时，子容器上的GPO优先级高同一容器上多个GPO产生冲突时，处于GPO列表最高位置的GPO优先级最高总体原则：后执行的优先级高组策略的应用计算机启动应用计算机设置运行启动脚本刷新周期用户登录应用用户设置运行登录脚本刷新周期组策略对象管理工具缺省管理工具ActiveDirectory用户和计算机管理域和组织单元的策略对象ActiveDirectory站点和服务管理站点的策略对象本地安全策略本地计算机安全设置额外工具组策略管理控制台集中管理系统中的所有策略对象组策略最佳实践组策略最佳实践：规划不要删除或者修改两个默认GPOs使用GPMC备份“默认域策略”和“默认域控制器策略”每个新的GPO应先进行测试每个GPO中只应用一组相关设定控制通过安全组对组策略进行“过滤”控制可管理组策略的管理员数量GPO的命名具有描述性如“工程部门软件部署策略”组策略最佳实践：规划(2)在有AD的情况下，尽量不使用本地组策略限制域上的GPO数量尽可能不使用影响组策略默认继承性的NoOverrideBlock应用GPO时，尽可能将GPO关联到目标对象所在的容器上(比如OU)组策略最佳实践：管理模板仅通过组策略对客户端进行设定，不使用其他方法修改客户端注册表使用WindowsServer2003中提供的最新工具来管理组策略详细的支持信息更新了的策略注释与帮助集成尽量对win2000和windowsXP客户端使用同样的设定，以使用户有一致的体验组策略最佳实践：漫游用户配置对“我的文档”目录使用文件夹重定向获取更快的登陆速度优化在XP,2000andNT4多系统间的漫游各系统见使用应用程序的同一版本确保操作系统安装在相同的%systemdrive%和%windir%对使用漫游用户配置的用户不设置太低的磁盘定额推荐使用配置文件最大值的两倍组策略最佳实践：文件夹重定向让系统为每个用户创建目录对“我的图片”和“我的文档”使用相同的设定使用“文件夹重定向”的默认设定对储存用户数据的服务器使用“离线文件夹”设定始终激活“注销前同步所有离线文件夹”设定组策略最佳实践：软件安装指定软件的“类别(categories)”最终用户更易查找所需软件在发布应用程序之前对其进行定制发布之后将无法定制将应用程序发布给用户或者计算机,但不要同时对当前应用程序重新打包演示：组策略的应用受限组策略WindowsFirewallIPSecPolicy使用组策略发布软件Q&A参考资料组策略白皮书:

/windows2000/techinfo/howitworks/management/grouppo