域網(wǎng)絡(luò)構(gòu)建教程（4）組策略（獻(xiàn)給還在2003上奮斗的窮人們） 本帖最后由 hfxxly 于 2009-12-18 16:56 編輯
古人云：運(yùn)籌帷幄之中，決勝千里之外。這大概就是用兵的最高境界了吧！
作為一個(gè)生于和平年代的網(wǎng)絡(luò)管理人員，這輩子帶兵是沒戲了。不過在域環(huán)境的幫助下，這個(gè)決勝千里的最高境界努力一下倒是可以體會(huì)體會(huì)的。所借助的神兵利器就是——組策略。
實(shí)際上組策略的設(shè)置工具在我們常用的XP系統(tǒng)上一直存在，通過在運(yùn)行欄中輸入gpedit.msc就可以啟動(dòng)本地計(jì)算機(jī)的組策略編輯器。截圖如下：
馬馬虎虎的講我們可以把組策略編輯器看作是微軟提供的一個(gè)圖形化的注冊表編輯器，所見即所得一直都是微軟的看家本領(lǐng)啊。
有了域環(huán)境之后，通過使用相關(guān)管理工具在域控制器上設(shè)置組策略就可以實(shí)現(xiàn)對(duì)所有加入域中的用戶和計(jì)算機(jī)的管理與控制。在實(shí)際使用中，我感覺這種管理與控制幾乎覆蓋了使用中的方方面面，反正現(xiàn)在我只要在域控制器上動(dòng)動(dòng)手指頭，就可以讓全校的網(wǎng)絡(luò)環(huán)境產(chǎn)生天翻地覆的變化——比如讓所有人都無法使用計(jì)算機(jī)。理論上這是完全可以實(shí)現(xiàn)的，有興趣的可以在看完本文后自己實(shí)踐一下（后果自負(fù)哈）。
閑話少說，書歸正傳。按前文所講我們已經(jīng)具備了使用組策略統(tǒng)一管控用戶和計(jì)算機(jī)的域環(huán)境。現(xiàn)在在域控制器上打開組策略編輯器，注意這里不能使用gpedit.msc（那是編輯本機(jī)策略的），而要打開“開始——程序——管理工具——Active Directory用戶和計(jì)算機(jī)”。截圖如下：
在打開的窗口中選擇你的域名，并在其上右擊選擇屬性，然后在彈出的屬性對(duì)話框中選擇組策略?，F(xiàn)在你就會(huì)看到默認(rèn)域策略——Default Domain Policy，截圖如下：
單擊編輯按鈕就可以打開組策略編輯器。更改其中的選項(xiàng)就會(huì)對(duì)所有加入域中的用戶和計(jì)算機(jī)產(chǎn)生影響。這是因?yàn)橛?jì)算機(jī)啟動(dòng)以及用戶登錄時(shí)都會(huì)查詢域控制器并使用這里的組策略設(shè)置。不過建議大家一般不要改動(dòng)默認(rèn)域策略——Default Domain Policy，這樣便于我們隨時(shí)恢復(fù)到系統(tǒng)默認(rèn)的設(shè)置。呵呵，留條出迷宮的路，是所有操作前的必修課。
默認(rèn)的不讓動(dòng)，那我們怎么編輯組策略呢？答案就是通過組織單位上次我們在建立用戶和計(jì)算機(jī)時(shí)就已經(jīng)新建了兩個(gè)組織單位——全部用戶和全部計(jì)算機(jī)，注意組織單位將是一個(gè)我們經(jīng)常使用的劃分方式，組策略可以按層次模式很好的在其上運(yùn)行，這樣也便于對(duì)今后一定會(huì)日趨復(fù)雜的組策略進(jìn)行有效的管理。
注意這里我提到了層次模式，組策略是可以按層次逐級(jí)繼承的。這不但可以使策略設(shè)置簡潔明了，出了問題還便于排查錯(cuò)誤。
為了演示這種層次模式，我新建一個(gè)名為“用戶和計(jì)算機(jī)”的組織單位，并將原來的兩個(gè)組織單位移入其中。截圖如下：
現(xiàn)在打開“用戶和計(jì)算機(jī)”組織單位的屬性對(duì)話框，并進(jìn)入組策略編輯界面，新建一個(gè)作用于該組織單位的組策略對(duì)象并命名為——通用策略（當(dāng)然你也可以其別的名字）。截圖如下：
下面讓我們與組策略近距離親密接觸一下。別害怕只是接觸一下，看看我們都可以對(duì)最終用戶施放那些魔法和大招。進(jìn)入編輯模式，截圖如下：
組策略分為兩大部分：計(jì)算機(jī)配置和用戶配置，這也是為什么我建立兩個(gè)組織單位分別放置用戶和計(jì)算機(jī)，這樣設(shè)置起來比較清楚。當(dāng)然你要想難得糊涂，放一起我也不攔著。
配置給計(jì)算機(jī)還是用戶有什么區(qū)別呢？首先計(jì)算機(jī)配置應(yīng)用于計(jì)算機(jī)（看起來象廢話哈），因此對(duì)所有使用計(jì)算機(jī)的用戶都起作用；其次計(jì)算機(jī)配置所使用的權(quán)限是系統(tǒng)級(jí)的（這里的權(quán)限是指的配置被應(yīng)用到計(jì)算機(jī)上時(shí)用到的權(quán)限），就是說Administrator賬戶能做的它都能做（這句不理解沒關(guān)系，記住它接著往下看）。而用戶配置是針對(duì)我們在域控制器上建立的用戶，就是說不管用戶使用哪臺(tái)計(jì)算機(jī)它都產(chǎn)生作用。已經(jīng)被繞蒙了的同志聽我通俗的說一下：計(jì)算機(jī)配置跟著機(jī)器走，誰用都這樣；用戶配置跟著人走，用誰都這樣。再不懂那啥……別難為自己換個(gè)活干干吧！呵呵！
以后再看到這兩部分中有重復(fù)的就明白是怎么回事了吧！當(dāng)然還要注意設(shè)置的時(shí)候，盡量不要引起使用中的沖突。雖然重復(fù)的配置項(xiàng)大多都在描述中說明了沖突的配置項(xiàng)哪一部分會(huì)最終起作用，但是讓傻實(shí)在的計(jì)算機(jī)玩自相矛盾，恐怕會(huì)在使用中出怪毛病。
一、計(jì)算機(jī)配置
1、軟件設(shè)置
這里面就一個(gè)項(xiàng)目——軟件安裝，而且沒有描述，因?yàn)橐耆愣ㄟ@個(gè)問題足可以寫篇文章了，還不一定能給你整明白了。這里我只說明重要的幾點(diǎn)內(nèi)容如下：
設(shè)置軟件安裝的屬性對(duì)話框。使用本機(jī)或網(wǎng)絡(luò)共享的UNC路徑設(shè)置軟件安裝包的位置，以免每次添加軟件包都要查找。安裝用戶界面選項(xiàng)設(shè)為基本就可以實(shí)現(xiàn)透明安裝，用戶不會(huì)見到任何提示或設(shè)置窗口。截圖如下：
右擊軟件安裝，選擇新建——程序包即可。當(dāng)然你要先把軟件安裝包放到上面設(shè)置的路徑下才行。包的格式必須是MSI的，這是最困難和復(fù)雜的部分，這種包大多需要自己做，我發(fā)過制作五筆安裝包的帖子，自己找找看吧。如果使用EXE的文件需要寫一個(gè)以“.zap”結(jié)尾的特殊格式的文本文件（網(wǎng)上有，自己搜），而且EXE安裝包還要支持靜默模式，否則會(huì)彈出設(shè)置對(duì)話框，那你就等著接用戶的電話吧。
XP的計(jì)算機(jī)需要啟動(dòng)兩次才能夠安裝軟件包，因?yàn)槟J(rèn)有登錄優(yōu)化設(shè)置。
這里安裝的軟件包只在客戶機(jī)上運(yùn)行一次，而且可以供任何一個(gè)使用此計(jì)算機(jī)的用戶使用。后面用戶配置里還有一個(gè)軟件安裝，那里安裝的就不一樣了。
注意，實(shí)踐證明：如果在網(wǎng)絡(luò)路徑上存放安裝包，要放到速度較快的服務(wù)器上，不然會(huì)出現(xiàn)找得到裝不上的怪毛病。
2、Windows設(shè)置（項(xiàng)目太多只說常用的）
項(xiàng)目：腳本（啟動(dòng)/關(guān)機(jī)）
此項(xiàng)目中可以放置Windows系統(tǒng)能夠運(yùn)行的一切文件。我一般使用批處理或vbs腳本，不要太復(fù)雜否則會(huì)拖慢系統(tǒng)啟動(dòng)速度。合理有效的使用這一功能，發(fā)揮你的想象，只有想不到?jīng)]有做不到哦。舉個(gè)簡單的例子——自動(dòng)添加網(wǎng)絡(luò)打印機(jī)。使用記事本輸入代碼如下并保存為vbs腳本
On Error Resume Next
Set WshNetwork = WScript.CreateObject("WScript.Network")
'Add the network printer 1 & 2
WshNetwork.AddwindowsPrinterConnection "\\printerserver\printer1"
WshNetwork.AddwindowsPrinterConnection "\\printerserver\printer2"
'Default printer1
WshNetwork.SetDefaultPrinter "\\printerserver\printer1"
注意：\\printerserver\printer1、\\printerserver\printer2這種東東要換成你的打印機(jī)共享路徑。
放置方法如圖所示：
這樣，用戶不需要做任何設(shè)置就可以直接打印了。
啟動(dòng)里的腳本是在開機(jī)時(shí)執(zhí)行，關(guān)機(jī)里的腳本是在關(guān)機(jī)時(shí)執(zhí)行，其他設(shè)置方法都一樣。
項(xiàng)目：安全設(shè)置
賬戶策略設(shè)置對(duì)密碼長度及格式的要求以及輸錯(cuò)密碼后賬戶的鎖定狀態(tài)。每個(gè)選項(xiàng)打開后都有解釋，建議認(rèn)真閱讀后再進(jìn)行設(shè)置。對(duì)于不同安全級(jí)別的用戶和計(jì)算機(jī)要區(qū)別對(duì)待。一刀切的結(jié)果要么是服務(wù)器很快被攻破，要么是電腦超菜的BOOS怒氣沖沖的質(zhì)問你為什么打不開自己的計(jì)算機(jī)。這就是為什么要逐級(jí)建立組織單位，按層級(jí)模式設(shè)置組策略。一般原則是保障關(guān)鍵設(shè)備賬戶的安全（比如服務(wù)器和域管理員），保證對(duì)普通用戶的簡單友好（空密碼都是允許的）。
本地策略的本地指的是組織單位里的計(jì)算機(jī)賬戶所代表的機(jī)器。在這里甚至可以監(jiān)控用戶對(duì)文件的建立、刪除等操作，審核對(duì)象訪問就可以了，不過對(duì)于操作頻繁的位置開啟審核會(huì)產(chǎn)生大量的日志文件。如果你一年半載的也不看回日志的話，只開如圖的幾個(gè)就可以了。截圖如下：
用戶權(quán)限分配中，我常用的是網(wǎng)絡(luò)訪問和本地登錄（指坐在機(jī)器面前使用），注意拒絕優(yōu)先于允許，同時(shí)設(shè)置允許不起作用。還有一個(gè)要說明的是域中添加工作站，默認(rèn)每個(gè)域用戶可以添加10個(gè)計(jì)算機(jī)賬戶，即把10臺(tái)計(jì)算機(jī)加入域。安全要求不高的地方可以讓用戶自己做（偷個(gè)懶呵呵），控制欲較高的就設(shè)置自己一個(gè)（如果自己不是域管理員，要記著加上域管理員賬戶）。
安全選項(xiàng)如圖所示：
系統(tǒng)服務(wù)設(shè)置客戶機(jī)上各種服務(wù)的狀態(tài)。比如Terminal Services設(shè)為自動(dòng)就會(huì)開啟客戶機(jī)的終端服務(wù)，然后就可以通過遠(yuǎn)程桌面使用管理員賬戶進(jìn)行操作控制。截圖如下：
XP的防火墻我直接禁用了，設(shè)置截圖如下：
| - 2
評(píng)分人數(shù) -
|
