AD-DS架构第部分-OU组策略规划及部署

第03部分组织单位OU规划及创建组织单位OU规划及创建本章重点何谓组织单位规划组织单位管理组织单位管理组织单位的成员委派控制组织单位与委派控制组织单位（OrganizationalUnit）是从Windows2000之后才出现的对象,在AD域的逻辑架构中担任重要的角色。组织单位是什么？它能帮我们做什么？以及如何管理组织单位。何谓组织单位在WindowsNT的时代,域（Domain）是组织和管理网络的最小单位。倘若不同的部门有不同的安全需求与管理方式,往往因此得将整个公司划分成多个域。可是这种多域的架构,在管理与成本都会增加负担。为了解决这类的问题,微软公司在AD域中增加了组织单位这种对象,使得整个域的规划与管理更有弹性,能发挥『分层负责、授权管理』的优点。组织单位是一种容器能包含其它对象的对象便称为容器（Container）,既然组织单位是一种容器,自然也能包含其它对象。它可以包含以下9种对象：用户、计算机、组、打印机、共享文件夹联络人、组织单位、InetOrgPerson、MSMQ路由别名但是要记得一点－－组织单位仅能包含同域内的对象,不能包含其它域的对象！组织单位与组的差异初次接触组织单位时,许多用户会将它与『组』（Group）混淆,虽然两者都是应用在AD域的逻辑架构中,但是在使用上有以下的差异：一个用户可以隶属于多个组,但是只能隶属于一个组织单位。组织单位可以包含组,但是组不能包含组织单位。网络资源（例如：文件夹或打印机）的权限可以赋予组,但是不能赋予组织单位。规划组织单位如何规划组织单位的架构,是一个颇有挑战性的课题。然而并无一定的准则,主要视企业实际需求而定。以下列举几种常见的规划模式：基于功能SCMS–销售C–咨询M–市场基于混合型的示例功能组织位置功能组织位置基于组织MERM–制造业E–工程师R–研究员基于地理位置NFIN–挪威F–法国I–印尼委派控制简单地说,所谓的委派控制（Delegation）便是『授权』！系统管理员可利用它来将例行的管理工作,委派给特定的对象来执行,以减轻自己的负担。执行委派控制时应注意以下3个要点：委派的范围：将多大的范围（站点、域或组织单位）委派出去。委派的对象：委派给谁。委派的内容：委派多大的权限出去。修改委派控制的内容委派控制精灵有一个缺点－－只能用来执行委派工作,不能『删除』或『更改』委派工作。如果要取消或更换授权的对象或工作内容,则必须直接修改该对象的ACL。以前例而言,若要修改原先委派给『贾聪明』的权限,或是将该委派工作改派给其它人,请先开启『总管理处的权限项目』交谈窗。第03部分组策略规划及创建组策略规划及创建组策略部署署管理组策略对象象的工具组策略对象象链接组策略的应应用用顺序序组策略权限限的继承阻止策略继继承强制组策略略组策略筛选选组策略概述述组策略在运运行WindowsServer

2008、WindowsVista、、WindowsServer2003和和Windows

XP的计算算机上启用用基于ActiveDirectory的的用户和和计算机设设置更改和和配置管理理。除了使用组组策略为用用户和计算算机组定义义配置以外外，还可以以配置很多多服务器特特定的操作作和安全设设置，以便便使用组策略略帮助管理理服务器计算机。组策略组件件ContainsGroupPolicysettingsStorescontentintwolocationsGroupPolicyObjectStoredinsharedSYSVOLfolderProvidesGroupPolicysettingsGroupPolicyTemplateStoredinActiveDirectoryProvidesversioninformationGroupPolicyContainer组策略对象象的工具默认组策略略工具ActiveDirectory用用户和计计算机域和组织单单位组策略略对象ActiveDirectory站站点和服服务站点组策略略对象本地安全策策略本地计算机机安全设置置附加工具组策略管理理域、组织单单位和站点点组策略对对象组策略对象象链接组织单位GPO组织单位GPO站点GPO域GPO站点域OUOUOU本地策略站点策略域策略父OU策略子OU策略组策略的应应用用顺序序组策略权限限的继承域OUOUOUOUOU用户或计算算机账户OUGPO1OUGPO3OUGPO2阻止策略继继承要阻止策略略在域或组组织单位中中继承ActiveDirectory用用户和计计算机管理理工具要阻止策略略在站点上上继承ActiveDirectory站站点和服服务管理工工具销售生产域组策略对象象没有组策略略对象设置置应用强制组策略略强制链接冲突组策略筛选选销售生产域MengphKimyo组应用组策略拒绝读取和应用组策略允许GPO什么是WMI过滤器?500MBfreediskspace?WMIFilterAdministratorInstallOfficeXP?10GB400MB35GB750MBGPOWMI过滤Windows2000WindowsXPWindowsXPWMI过滤滤域控制器只套用XPProfessional查询是使用用WMI查询语言(WQL)编写的仅运行WindowsXPProfessional的目标计算算机Root\CimV2;Select*fromWin32_OperatingSystemwhereCaption="MicrosoftWindowsXPProfessional"组策略什么么时候应用用?ComputerstartsComputersettingsappliedStartupscriptsrunRefreshIntervalUserlogsonUsersettingsappliedLogonscriptsrunRefreshInterval组策略处理理过程同步处理异步处理管理组策略略什么是COPY操作作，执行COPY操操作?什么是备份份操作，执执行备份操操作?什么是恢复复操作，执执行恢复操操作?什么是倒入入操作，执执行导入操操作?什么是Copy操作?AcopyofaGPOtransfersonlythesettingswithinaGPOThenewGPOiscreatedunlinkedDACLUser1GPO1ReadFullControlDACLUser1GPO2ReadFullControlCopyOperation什么是Backup操作?Inabackupoperation,GroupPolicyManagementexportalldataintheGPOtotheselectedfileandsavestheGPTfilesBackupOperationBackupofaGPOGPO1GPO1什么是恢复复操作?Inarestoreoperation,thecontentsoftheGPOarereturnedtoexactlythesamestateRestoreOperationGPO1Backed-upGPOGPO1什么是导入入操作?Inanimportoperation,allGPOsettingsarecopiedfromthesourcetothetargetGPOGPO1ImportOperationGPO2GPOSettings将组策略应应用于新用用户和计算算机帐户默认情况下下，新用户户和计算机机帐户是在在CN=Users和CN=Computers容器中中创建的。。Redirusr.exe（用于用户户帐户）和和Redircomp.exe（用于计算算机帐户））是WindowsServer

2008附带带提供的两两个工具。。可以使用用这些工具具更改新用用户和计算算机帐户的的默认创建建位置，以以便更轻松松地为新创创建的用户户和计算机机对象直接接指定GPO作作用域组策略和SysvolGPO中中的策略设设置信息存存储在以下下两个位置置：ActiveDirectory和域域控制器的的Sysvol文文件夹。。ActiveDirectory容器称称为组策略略容器；Sysvol文件件夹中包含含组策略模模板。组策略容器器包含用于于将GPO部署署到域、OU和站站点的属性性。组策略略容器还包包含组策略略模板的路路径，该模模板存储了了大多数组组策略设置置。管理模板组策略中提提供大量的的设定使管管理员可以以通过一次次设定,管管理多台计计算机或者者多个用户户组策略中很很大一部分分设定实际际上是改的的注册表管理模板(.ADM)文件定定义了组策策略如何修修改注册表表所有基于注注册表的组组策略设定定存为registry.pol,放在sysvol中组策略首选选项组策略首选选项是WindowsServer

2008操操作系统中中的新增功功能，包括括20多多个新的的组策略扩扩展，扩大大了组策略略对象(GPO)中可配配置设置的的范围。这这些新的扩扩展位于组组策略管理理控制台(GPMC)的的“组策略略管理编辑辑器”窗口口中的新首首选项下面面。新组策策略首选项项扩展的示示例包括文文件夹选项项、映射驱驱动器、打打印机、计计划任务、、服务以及及「开始」菜单设置要求在客户端端计算机上安安装客户端扩扩展(CSE)集9、静夜四四无邻，，荒居旧旧业贫。。。1月-231月-23Sunday,January1,202310、雨中黄叶叶树，灯下下白头人。。。21:29:3721:29:3721:291/1/20239:29:37PM11、以我独沈久久，愧君相见见频。。1月-2321:29:3721:29Jan-2301-Jan-2312、故人人江海海别，，几度度隔山山川。。。21:29:3721:29:3721:29Sunday,January1,202313、乍见翻疑梦梦，相悲各问问年。。1月-231月-2321:29:3821:29:38January1,202314、他乡生白白发，旧国国见青山。。。01一月月20239:29:38下下午21:29:381月-2315、比不了得得就不比，，得不到的的就不要。。。。一月239:29下下午1月-2321:29January1,202316、行动动出成成果，，工作作出财财富。。。2023/1/121:29:3821:29:3801January202317、做前，能够够环视四周；；做时，你只只能或者最好好沿着以脚为为起点的射线线向前。。9:29:38下午9:29下下午21:29:381月-239、没有有失败败，只只有暂暂时停停止成成功！！。1月-231月-23Sunday,January1,202310、很多事事情努力力了未必必有结果果，但是是不努力力却什么么改变也也没有。。。21:29:3821:29:3821:291/1/20239:29:38PM11、成功就是是日复一日日那一点点点小小努力力的积累。。。1月-2321:29:3821:29Jan-2301-Jan-2312、世间成成事，不不求其绝绝对圆满满，留一一份不足足，可得得无限完完美。。。21:29:3821:29:3821:29Sunday,January1,202313、不知知香积积寺，，数里里入云云峰。。。1月-231月-2321:29:3821:29:38January1,202314、意志志坚强强的人人能把把世界界放在在手中中像泥泥块一一样任任意揉揉捏。。01一一月月20239:29:38下下午21:29:381月-2315、楚塞三湘湘接，荆门门九派通。。。。一月239:29下下午1月-2321:29January1,202316、少年十五二二十时，步行行夺得胡马骑骑。。2023/1/121:29:3821:29:3801January202317、空山新新雨后，，天气晚晚来秋。。。9:29:38下午午9:29下午午21:29:381月-239、杨柳散和和风，青山山澹吾虑。。。1月-231月月-23Sunday,January1,202310、阅读一一切好书书如同和和过去最最杰出的的人谈话话。21:29:3821:29:3821:291/1/20239:29:38PM11、越是没有本本领的就越加加自命不凡。。1月-2321:29:3821:29Jan-2301-Jan-2312、越是无无能的人人，越喜喜欢挑剔剔别人的的错儿。。21:29:3821