畢業(yè)設(shè)計(jì) windows serverad 在企業(yè)中的部署及應(yīng)用組策略的應(yīng)用

學(xué)士學(xué)位畢業(yè)設(shè)計(jì)〔論文〕Windowsserver2003AD在企業(yè)中的部署及應(yīng)用—組策略的應(yīng)用學(xué)生姓名：指導(dǎo)教師：所在學(xué)院：信息技術(shù)學(xué)院專業(yè)：計(jì)算機(jī)科學(xué)與技術(shù)2021年5月摘要本文向網(wǎng)絡(luò)管理員介紹活動(dòng)目錄，解釋其結(jié)構(gòu)，闡述其如何與應(yīng)用程序及其他目錄效勞進(jìn)行交互操作，如何通過組策略對(duì)域用戶注冊(cè)表集中管理，面對(duì)眾多的網(wǎng)絡(luò)平安問題，如何讓企業(yè)的員工在信息化社會(huì)擁有一個(gè)平安的辦公環(huán)境是應(yīng)給予關(guān)注的問題。通過組策略技術(shù)的應(yīng)用，集中發(fā)布、刪除企業(yè)應(yīng)用軟件，防止員工用濫電腦娛樂和病毒的肆意傳播，從而實(shí)現(xiàn)企業(yè)網(wǎng)絡(luò)的平安。提高員工工作效率，加強(qiáng)公司電腦的管理。管理員通過對(duì)組策略的學(xué)習(xí)，工作效率大幅度提高，不再疲于奔命對(duì)每一臺(tái)域中電腦反復(fù)配置。關(guān)鍵詞：組策略活動(dòng)目錄ABSTRACTMustdisplayMicrosoftWindows2003Serveroperatingsystem'smostmajorfunction,mustfirstunderstandActivetheDirectorydirectoryservices.ActiveDirectoryistheWindows2003operatingsystem'snewcontent,itintheimplementationorganization'snetwork,thenachievesinorganization'scommercialgoaltoholdtheimportantposition.ThisarticleintroducesActiveDirectorytothenetworkadministrator,explainsitsstructure,elaboratedhowitdoescarryonwiththeapplicationprocedureandotherdirectoryservicesoperatesalternately,facingthenumerousnetworksecurityproblems,howletsenterprise'sstaffshaveasafeworkenvironmentintheinformationizationsocietyisshouldgivethematterofconcern.Inthisthroughthegroupstrategytechnology'sapplication,realizestheenterprisenetworksecurity.Strengthensthecompanycomputer'smanagement.Keywords:GroupPolicyActiveDirectory目錄摘要 IABSTRACT II目錄 III前言 11緒論 21.1選題背景 21.2研究目的和意義 21.3論文組織結(jié)構(gòu) 22認(rèn)識(shí)ActiveDirectory和組策略 42.1ActiveDirectory簡(jiǎn)介 42.1.1ActiveDirectory功能 42.1.2ActiveDirectory的優(yōu)點(diǎn) 42.2組策略簡(jiǎn)介 62.3組策略和AD 72.3.1GPO的多樣性和繼承 72.3.2GPO的內(nèi)部構(gòu)成 82.4本章小結(jié) 83AD的部署 93.2本章小結(jié) 124企業(yè)網(wǎng)絡(luò)中組策略的應(yīng)用 134.1利用組策略管理用戶環(huán)境 134.2組策略設(shè)置的結(jié)構(gòu) 134.2.1計(jì)算機(jī)配置中的Windows配置 134.2.2計(jì)算機(jī)配置中的管理模板 144.2.3網(wǎng)絡(luò)子樹 144.2.4用戶配置中的Windows配置 144.2.5文件夾重定向 154.2.6用戶配置中的管理模板－控制用戶環(huán)境 154.3使用組策略管理軟件 154.3.1軟件布置〔安裝和維護(hù)〕的步驟 164.3.2發(fā)布和分配軟件 164.3.3用組策略布置軟件包 164.3.4刪除布置的軟件 174.4應(yīng)用組策略對(duì)娛樂及公共機(jī)房管理 17結(jié)論 20參考文獻(xiàn) 21致謝 23前言在2021年，中國網(wǎng)民到達(dá)4億。中國互聯(lián)網(wǎng)的高速開展，讓人們?cè)谏?、工作等都有了極大的改變，在體驗(yàn)和享受互聯(lián)網(wǎng)帶來的方便及愜意時(shí)。互聯(lián)網(wǎng)里大量存在的一些不正當(dāng)行為，如黑客攻擊、計(jì)算機(jī)病毒、內(nèi)部泄密、信息喪失、篡改、銷毀、木馬程序、等等，總是讓我們感覺許多的無奈。特別是中國的廣闊企業(yè)，在利用互聯(lián)網(wǎng)更加快速、便捷地實(shí)現(xiàn)業(yè)務(wù)全球化的同時(shí)，來自外界的病毒、木馬、黑客，以及內(nèi)部員工工作時(shí)間濫用網(wǎng)絡(luò)資源所惹的禍令人觸目驚心。為應(yīng)對(duì)這種外憂內(nèi)患的局面，反病毒、防火墻、入侵檢測(cè)，在一定程度上排除了外憂。而解內(nèi)患的問題也迫不及待地被提上日程。對(duì)于一些小型的企業(yè)來說，他們沒有過多的時(shí)間監(jiān)督每一位員工，沒有過的時(shí)間查看每一臺(tái)電腦，那么他們是如何解決這種現(xiàn)狀的呢？有一種技術(shù)，它可以幫助沒有過多資金的企業(yè)適當(dāng)?shù)亟鉀Q內(nèi)部網(wǎng)絡(luò)管理與內(nèi)部員工的辦公環(huán)境的平安，那就是“組策略〞技術(shù)。1緒論選題背景現(xiàn)今，電腦普遍的應(yīng)用在各大中小企業(yè)中，電腦提高了工作效率，及時(shí)掌握最新市場(chǎng)行情動(dòng)態(tài)的同時(shí)，也給企業(yè)帶來了讓每一位老總頭疼的問題。員工在工作時(shí)間濫用網(wǎng)絡(luò)資源，聊QQ、斗地主、農(nóng)場(chǎng)偷菜、用光驅(qū)看電影等等運(yùn)行與工作無關(guān)的程序，隨便使用USB設(shè)備導(dǎo)致病毒肆意傳播，也帶到了電腦上。并且伴隨著Windows功能的越來越豐富，注冊(cè)表里的配置工程也越來越多。例如：文件系統(tǒng)管理、磁盤管理、網(wǎng)絡(luò)效勞、DHCP效勞等。其中很多配置都是可以自定義設(shè)置的，但這些配置發(fā)布在注冊(cè)表的各個(gè)角落，并且配置在每一臺(tái)電腦上。如果是手工配置注冊(cè)表，花時(shí)間去監(jiān)督每一位員工，可想是多么困難和煩雜。1.2研究目的和意義目前，在企業(yè)中，個(gè)別職工在上班時(shí)玩游戲或運(yùn)行與工作無關(guān)的程序。針對(duì)這一情況，加強(qiáng)企業(yè)電腦的管理成為了各企業(yè)所面臨的共同問題。而組策略那么將系統(tǒng)重要的配置功能聚集成各種配置模塊，供管理人員直接使用，從而到達(dá)方便管理計(jì)算機(jī)的目的。組策略是注冊(cè)表的一個(gè)縮影，在進(jìn)行組策略設(shè)置時(shí)還要把禁止職工訪問注冊(cè)表。主要思想是在組策略里設(shè)置一些Windows可用的運(yùn)行工程，以阻止職工運(yùn)行一些與工作無關(guān)的程序，提高企業(yè)工作人員的工作效率。概括的說，組策略就是使管理員能為用戶指定需求，并且依賴于WindowsServer2003或Windows2000Server，在它上面不斷執(zhí)行的技術(shù)。這里面包括以下含義：(1)為用戶指定需求，即用戶提出的要求有管理員負(fù)責(zé)實(shí)現(xiàn)。用戶的需求可以是實(shí)現(xiàn)什么樣的系統(tǒng)設(shè)置，需要什么樣的桌面，必須使用的軟件等。(2)依賴于Server2003或Windows2000Server，即只能有Server2003或Windows2000Server來表達(dá)組策略，不支持WindowsNT4.x、Windows9x等早期產(chǎn)品。(3)在上面不斷執(zhí)行的技術(shù)，是指客戶的計(jì)算機(jī)操作系統(tǒng)會(huì)周期性的從AD上查詢組策略的變化并執(zhí)行新的設(shè)置。組策略的作用就是用來給網(wǎng)絡(luò)管理員授予更多的活動(dòng)目錄用戶控制權(quán)。擁有了組策略技術(shù)，實(shí)現(xiàn)對(duì)域中電腦集中管理應(yīng)用軟件，就不在為花資金和時(shí)間監(jiān)督員工電腦，反反復(fù)復(fù)配置每臺(tái)電腦中注冊(cè)表，為每臺(tái)電腦安裝、卸載軟件煩惱。對(duì)于公司的網(wǎng)絡(luò)管理員，當(dāng)用戶告訴你說他的電腦壞了，這時(shí)你只需要給她一臺(tái)新的計(jì)算機(jī)參加域環(huán)境，把舊的計(jì)算機(jī)拿走就行了。新的計(jì)算機(jī)開啟后所有的設(shè)置都會(huì)完成，這就是微軟智能鏡像能實(shí)現(xiàn)的功能，其核心技術(shù)就是組策略。論文組織結(jié)構(gòu)本論文的第一章主要介紹了選題背景，論文研究的目的和意義。第二章簡(jiǎn)單介紹了活動(dòng)目錄〔ActiveDirectory，AD〕和組策略〔GroupPolicy，GPO〕。第三章是前期準(zhǔn)備工作，搭建AD平臺(tái)、OU控制臺(tái)。第四章是企業(yè)網(wǎng)絡(luò)中組策略的具體應(yīng)用及作用。最后是論文的總結(jié)和致謝。2認(rèn)識(shí)ActiveDirectory和組策略ActiveDirectory簡(jiǎn)介活動(dòng)目錄〔ActiveDirectory〕是面向WindowsStandardServer、WindowsEnterpriseServer以及WindowsDatacenterServer的目錄效勞。〔ActiveDirectory不能運(yùn)行在WindowsWebServer上，但是可以通過它對(duì)運(yùn)行WindowsWebServer的計(jì)算機(jī)進(jìn)行管理?！矨ctiveDirectory存儲(chǔ)了有關(guān)網(wǎng)絡(luò)對(duì)象的信息，并且讓管理員和用戶能夠輕松地查找和使用這些信息。ActiveDirectory使用了一種結(jié)構(gòu)化的數(shù)據(jù)存儲(chǔ)方式，并以此作為根底對(duì)目錄信息進(jìn)行符合邏輯的分層組織。MicrosoftActiveDirectory效勞是Windows平臺(tái)的核心組件，它為用戶管理網(wǎng)絡(luò)環(huán)境各個(gè)組成要素的標(biāo)識(shí)和關(guān)系提供了一種有力的手段。ActiveDirectory功能活動(dòng)目錄(ActiveDirectory)主要提供以下功能：(1)根底網(wǎng)絡(luò)效勞：包括DNS、WINS、DHCP、證書效勞等。效勞器及客戶端計(jì)算機(jī)管理：管理效勞器及客戶端計(jì)算機(jī)賬戶，所有效勞器及客戶端計(jì)算機(jī)參加域管理并實(shí)施組策略。(2)用戶效勞：管理用戶域賬戶、用戶信息、企業(yè)通訊錄〔與電子郵件系統(tǒng)集成〕、用戶組管理、用戶身份認(rèn)證、用戶授權(quán)管理等，按省實(shí)施組管理策略。資源管理：管理打印機(jī)、文件共享效勞等網(wǎng)絡(luò)資源。(3)桌面配置：系統(tǒng)管理員可以集中的配置各種桌面配置策略，如：界面功能的限制、應(yīng)用程序執(zhí)行特征限制、網(wǎng)絡(luò)連接限制、平安配置限制等。(4)應(yīng)用系統(tǒng)支撐：支持財(cái)務(wù)、人事、電子郵件、企業(yè)信息門戶、辦公自動(dòng)化、補(bǔ)丁管理、防病毒系統(tǒng)等各種應(yīng)用系統(tǒng)。ActiveDirectory的優(yōu)點(diǎn)與DNS集成ActiveDirectory使用enwen.soso/z/Search.e?sp=S%E5%9F%9F%E5%90%8D%E7%B3%BB%E7%BB%9F&ch=w.search.yjjlink&cid=w.search.yjjlink"域名系統(tǒng)(DNS)。DNS是一種Internet標(biāo)準(zhǔn)效勞，它將用戶能夠讀取的計(jì)算機(jī)名稱〔例如mycomputer.microsoft〕翻譯成計(jì)算機(jī)能夠讀取的數(shù)字Internet協(xié)議(IP)地址〔由英文句號(hào)分隔的四組數(shù)字〕。這樣，在TCP/IP網(wǎng)絡(luò)計(jì)算機(jī)上運(yùn)行的進(jìn)程即可相互識(shí)別并進(jìn)行連接。(1)靈活的查詢。用戶和管理員如果要通過對(duì)象屬性快速查找網(wǎng)絡(luò)中的對(duì)象，可使用“開始〞菜單中的“查找〞命令、桌面上的“網(wǎng)上鄰居〞圖標(biāo)或者是ActiveDirectory用戶和計(jì)算機(jī)管理單元。例如，您可以按照一個(gè)用戶帳戶的姓名、電子郵件名、辦公地點(diǎn)或其他屬性查找該用戶。而且,使用全局編錄優(yōu)化了查找信息的操作。(2)可擴(kuò)展性。ActiveDirectory是可擴(kuò)展的；也就是說，管理員既可以在架構(gòu)中添加新的對(duì)象類別，也可在原有的對(duì)象類別中添加新屬性。架構(gòu)包含每個(gè)對(duì)象類別的定義，以及能夠存儲(chǔ)于目錄中的每個(gè)對(duì)象類別的屬性。例如，您可能會(huì)為User對(duì)象添加PurchaseAuthority屬性，然后將每個(gè)用戶的購置權(quán)限額保存為用戶帳戶的一局部。(3)基于策略的管理。組策略是在初始化時(shí)應(yīng)用于計(jì)算機(jī)或用戶的配置設(shè)置。所有組策略設(shè)置都包含在應(yīng)用于ActiveDirectory站點(diǎn)、域或部門的組策略對(duì)象(GPO)中。GPO設(shè)置決定了對(duì)目錄對(duì)象和域資源的訪問權(quán)限、用戶可使用的域資源〔如應(yīng)用程序〕，以及這些域資源針對(duì)其用途的配置方式。(4)可伸縮性。ActiveDirectory包括一個(gè)或多個(gè)域，每個(gè)域均有一個(gè)或多個(gè)域控制器，由此，您能夠?qū)δ夸涍M(jìn)行自由擴(kuò)展，從而滿足所有網(wǎng)絡(luò)的需求。多個(gè)域可合并成一個(gè)域目錄樹，多個(gè)域目錄樹可合并成一個(gè)目錄林。在只有一個(gè)域的最簡(jiǎn)單的網(wǎng)絡(luò)結(jié)構(gòu)中，該域既是一個(gè)目錄樹，又是一個(gè)目錄林。信息復(fù)制。ActiveDirectory使用多主機(jī)復(fù)制，使您可以更新任何域控制器中的目錄。在一個(gè)域中部署多個(gè)域控制器還提供了容錯(cuò)能力和負(fù)載平衡功能。因?yàn)檫@些域控制器包含同樣的目錄數(shù)據(jù)，所以，如果域內(nèi)的一個(gè)域控制器速度變慢、停止或出現(xiàn)故障，同一域內(nèi)的其他域控制器即可提供必要的目錄訪問功能。(5)信息平安。在Windows2000操作系統(tǒng)中，用戶身份驗(yàn)證和訪問控制的管理都與ActiveDirectory完全結(jié)合在一起，這是該系統(tǒng)的一項(xiàng)關(guān)鍵性平安功能。ActiveDirectory將身份驗(yàn)證集中進(jìn)行。不僅可以定義對(duì)目錄中每個(gè)對(duì)象的訪問控制，還可定義對(duì)每個(gè)對(duì)象的每個(gè)屬性的訪問控制。此外，ActiveDirectory還為平安策略提供了存儲(chǔ)區(qū)和應(yīng)用范圍。(6)互操作性。由于ActiveDirectory以標(biāo)準(zhǔn)目錄訪問協(xié)議〔例如輕型目錄訪問協(xié)議(LDAP)〕為根底，因此它能夠與其他采用這些協(xié)議的目錄效勞進(jìn)行交互操作。有些應(yīng)用程序編程接口(API)--例如ActiveDirectory效勞接口(ADSI)--允許開發(fā)者訪問這些協(xié)議。組策略簡(jiǎn)介組策略(GroupPolicy)，就是基于組的策略。它以Windows中的一個(gè)MMC管理單元的形式存在，可以幫助系統(tǒng)管理員針對(duì)整個(gè)計(jì)算機(jī)或是特定用戶來設(shè)置多種配置，包括桌面配置和平安配置。譬如，可以為特定用戶或用戶組定制可用的程序、桌面上的內(nèi)容，以及“開始〞菜單項(xiàng)選擇項(xiàng)等，也可以在整個(gè)計(jì)算機(jī)范圍內(nèi)創(chuàng)立特殊的桌面配置。簡(jiǎn)而言之，組策略是Windows中的一套系統(tǒng)更改和配置管理工具的集合。注冊(cè)表是Windows系統(tǒng)中保存系統(tǒng)軟件和應(yīng)用軟件配置的數(shù)據(jù)庫，而隨著Windows功能越來越豐富，注冊(cè)表里的配置工程也越來越多，很多配置都可以自定義設(shè)置，但這些配置分布在注冊(cè)表的各個(gè)角落，如果是手工配置，可以想像是多么困難和煩雜。而組策略那么將系統(tǒng)重要的配置功能聚集成各種配置模塊，供用戶直接使用，從而到達(dá)方便管理計(jì)算機(jī)的目的。其實(shí)簡(jiǎn)單地說，組策略設(shè)置就是在修改注冊(cè)表中的配置。當(dāng)然，組策略使用了更完善的管理組織方法，如圖2-1所示，可以對(duì)各種對(duì)象中的設(shè)置進(jìn)行管理和配置，遠(yuǎn)比手工修改注冊(cè)表方便、靈活，功能也更加強(qiáng)大。圖2-1新建組策略2.3組策略和AD要充分發(fā)揮GPO的功能，需要有AD域架構(gòu)的支持，利用AD可以定義一個(gè)集中的策略，所有的Windows效勞器和工作站都可以采用它。然而，每臺(tái)運(yùn)行Windows的計(jì)算機(jī)都有一個(gè)本地GPO〔駐留在本地計(jì)算機(jī)文件系統(tǒng)上的GPO〕，通過本地GPO，可以為每臺(tái)工作站指定一個(gè)策略，它在AD域中不起作用。例如，出于平安原因，你不會(huì)在AD域中配置公用的計(jì)算機(jī)。利用本地GPO，可以通過修改本地策略來得到平安性和對(duì)臺(tái)式機(jī)的限制使用而無需利用基于AD域的GPO。訪問本地GPO的方法有2種，第1種方法，在需要修改GPO的計(jì)算機(jī)的“開始〞菜單上選擇“運(yùn)行〞，然后鍵入：gpedit.msc，可以翻開本地策略文件。第2種方法，可以通過在MMC控制臺(tái)中選擇GPE插件，并選擇本地或遠(yuǎn)程計(jì)算機(jī)來人工地編輯本地GPO。本地GPO支持除軟件安裝和文件夾重定向之外的所有缺省擴(kuò)展，因此，只利用本地GPO你不能完成這些工作，如果想充分發(fā)揮GPO的功能，還是需要AD的支持。GPO的多樣性和繼承在AD中，可以在域、組織單位〔OU〕或地址三個(gè)不同的層次上定義GPO。OU是AD中的一個(gè)容器，可以指派它對(duì)用戶、組、計(jì)算機(jī)等對(duì)象進(jìn)行管理，地址是網(wǎng)絡(luò)上子網(wǎng)的集合，地址形成了AD的復(fù)制分界線。GPO的名字空間被劃分為計(jì)算機(jī)配置和用戶配置兩個(gè)大類，只有用戶和計(jì)算機(jī)可以使用GPO，象打印機(jī)對(duì)象甚至用戶組都不能應(yīng)用GPO。在一個(gè)域或組織單位〔OU〕中編輯策略的途徑有幾種。在活動(dòng)目錄用戶或計(jì)算機(jī)MMC插件中，右擊一個(gè)域或組織單位〔OU〕，在菜單中選擇“屬性〞，然后選擇“組策略〞標(biāo)簽。在編輯地址中的策略時(shí)，需要右擊“活動(dòng)目錄地址和效勞〞插件，然后右擊需要的地址得到其GPO。此外，還可以從“開始〞菜單，選擇“運(yùn)行〞，然后鍵入：mmc.exe，啟動(dòng)MMC，選擇“控制臺(tái)〞，“增加/刪除〞插件，然后選擇“組策略〞插件、“瀏覽〞，在AD域內(nèi)的GPO就會(huì)顯示出來，可以選擇一個(gè)GPO進(jìn)行編輯，如圖2-2。圖2-2編輯策略的步驟GPO的內(nèi)部構(gòu)成一個(gè)GPO是由兩局部組成的：組策略容器〔GPC〕和組策略模板〔GPT〕。GPC是GPO在AD中的一個(gè)實(shí)例，在一個(gè)特殊的被稱作系統(tǒng)的容器內(nèi)有一個(gè)128位的全球唯一的ID碼〔GUID〕。在“活動(dòng)用戶目錄用戶和計(jì)算機(jī)〞插件中選擇“瀏覽〞，從MMC菜單中選擇“高級(jí)屬性〞，就可以看到“系統(tǒng)〞容器。GPT是組策略在Windows文件系統(tǒng)中的表現(xiàn)，與一個(gè)GPO有關(guān)的所有文件依賴于GPT。本章小結(jié)本章主要對(duì)AD和GPO做了一個(gè)初步的介紹，訪問本地GPO的方法有2種，第1種方法，在需要修改GPO的計(jì)算機(jī)的“開始〞菜單上選擇“運(yùn)行〞，然后鍵入：gpedit.msc，可以翻開本地策略文件。第2種方法，可以通過在MMC控制臺(tái)中選擇GPE插件，并選擇本地或遠(yuǎn)程計(jì)算機(jī)來人工地編輯本地GPO。本地GPO支持除軟件安裝和文件夾重定向之外的所有缺省擴(kuò)展，因此，只利用本地GPO你不能完成這些工作，如果想充分發(fā)揮GPO的功能，還是需要AD的支持。組策略是基于AD的，組策略的設(shè)置和管理都在AD中進(jìn)行，然后通過控制機(jī)制作用到域中的所有用戶和計(jì)算機(jī)上。我們可以建立多個(gè)組策略對(duì)象，每個(gè)GPO都可以由不同的活相同的策略配置。3AD的部署配置DNS效勞器(1)網(wǎng)卡定義IP地址，DNS效勞器首選DNS指向本機(jī)，將效勞器命名為server，添加后綴為xtep。將計(jì)算機(jī)重新啟動(dòng)以便配置生效。(2)翻開控制面板添加/刪除程序，添加WINDOWS組件，選擇網(wǎng)絡(luò)效勞下的DNS效勞。添加成功后，我們?cè)邳c(diǎn)擊“開始〞后，管理工具中就有相應(yīng)DNS控制臺(tái)了。(3)創(chuàng)立DNS正向查找區(qū)域，創(chuàng)立主要區(qū)域，創(chuàng)立成功后可以解析本企業(yè)xtep域中的server機(jī)的ip地址進(jìn)行測(cè)試。配置AD點(diǎn)擊“開始〞/“運(yùn)行〞/輸入“dcpromo〞命令啟動(dòng)ActiveDirectory配置向?qū)?。配置AD的步驟如下：〔1〕建立域控制器〔2〕選擇在新域中建立域控制器〔3〕輸入DNS域名〔4〕安裝活動(dòng)目錄數(shù)據(jù)庫〔5〕選擇SYSVOL目錄的安裝位置〔6〕手動(dòng)安裝DNS效勞器〔7〕使用與windows2000以后系統(tǒng)相容〔8〕安裝完成。到此，第一個(gè)windows域已經(jīng)建立！配置AD安裝過程中注意DNS注冊(cè)診斷報(bào)告，AD配置好后檢查srv記錄。翻開DNS正向查找區(qū)域，選擇新建的域?qū)傩灾信渲肁D與DNSserver集成。創(chuàng)立組織單位、組、用戶創(chuàng)立組織單位(OU)、組和用戶，用戶可以隸屬于任何一個(gè)組織單位或組，對(duì)一個(gè)組織單位施行組策略，那該組策略對(duì)該組織單位下的每一個(gè)組和用戶都適用。組策略的控制大多是針對(duì)組織單位進(jìn)行控制的。這樣才方便管理員的集中管理。創(chuàng)立OU、組、用戶步驟如下：依次點(diǎn)擊，開始--程序--管理工具--ActiveDirectory用戶和計(jì)算機(jī)。新建組織單位sales，用戶aaa、bbb、ccc，組students。搭建組策略控制臺(tái)搭建控制臺(tái)之前，先要為組織單位sales添加默認(rèn)組策略。依次點(diǎn)擊“開始〞/“運(yùn)行〞/輸入“〞，依次選擇“文件〞—“添加〞—“刪除管理單元(M)〞“添加〞--“組策略對(duì)象編輯器〞--“瀏覽〞--“〞--“選擇默認(rèn)的組策略〞--完成。對(duì)用戶的集中控制和管理，都是通過對(duì)默認(rèn)的組策略進(jìn)行編輯、更改來實(shí)現(xiàn)的。搭建控制臺(tái)的目的，就是省去了在管理工具中翻開AD域，選擇域，選擇組策略這些繁瑣步驟。從而翻開控制臺(tái)，直接就可以編輯需要編輯的組策略。新搭建的組策略控制臺(tái)如下列圖所示。3.2本章小結(jié)為了方便對(duì)用戶的管理，和對(duì)組策略的編輯、更改，我做了前期準(zhǔn)備工作。(1)創(chuàng)立DNS效勞器，建立了域環(huán)境并搭建了AD平臺(tái)。(2)將AD與DNS集成，并在AD上創(chuàng)立了組織單位、組和用戶。(3)搭建了組策略控制臺(tái)。組策略的應(yīng)用在企業(yè)中都是基于AD的，組策略的設(shè)置和管理也都是在AD上進(jìn)行的。到此所有前期準(zhǔn)備工作都已經(jīng)完成。4企業(yè)網(wǎng)絡(luò)中組策略的應(yīng)用4.1利用組策略管理用戶環(huán)境管理用戶環(huán)境－控制用戶在登錄網(wǎng)絡(luò)時(shí)有哪些權(quán)力?？梢酝ㄟ^控制用戶的桌面、網(wǎng)絡(luò)連接和用戶界面來控制用戶權(quán)力。用戶環(huán)境－為用戶或計(jì)算機(jī)設(shè)置的。組策略設(shè)置的結(jié)構(gòu)專業(yè)名稱表(Subject)的設(shè)計(jì)組策略的設(shè)置總體分為：計(jì)算機(jī)配置和用戶配置計(jì)算機(jī)配置和用戶配置下面又有三個(gè)子層：(1)軟件設(shè)置－統(tǒng)一管理所有軟件，Windows設(shè)置(2)計(jì)算機(jī)配置：腳本、平安設(shè)置用戶配置：IE維護(hù)、腳本、平安設(shè)置、遠(yuǎn)程安裝效勞、文件夾重定向(3)管理模板－解決用戶環(huán)境的問題計(jì)算機(jī)配置：Windows組件、系統(tǒng)、網(wǎng)絡(luò)、打印機(jī)用戶配置：Windows組件、系統(tǒng)、網(wǎng)絡(luò)、桌面、控制面板、任務(wù)欄和開始菜單計(jì)算機(jī)配置中的Windows配置1.添加腳本組策略腳本設(shè)置的功能是可以集中配置腳本，在計(jì)算機(jī)啟動(dòng)或關(guān)閉時(shí)，自動(dòng)運(yùn)行。指定在Windows2003上運(yùn)行任何腳本，包括批處理文件、可執(zhí)行程序等。如果同時(shí)添加多個(gè)腳本，那么Windows2003按照從上到下的順序執(zhí)行；如果多個(gè)腳本之間有沖突，那么最后處理的腳本有效。配置步驟如下：翻開組策略控制臺(tái)－選中需要編輯的組策略－單擊“編輯〞計(jì)算機(jī)配置－Windows設(shè)置－腳本－右擊“啟動(dòng)〞－單擊“添加〞單擊“瀏覽〞，選定要運(yùn)行的腳本或可執(zhí)行文件2.計(jì)算機(jī)中的平安設(shè)置平安設(shè)置包括：帳號(hào)策略、本地策略、事件日志、無限制的組、系統(tǒng)服務(wù)、注冊(cè)表、文件系統(tǒng)、公鑰策略、IP平安策略。配置步驟如下：翻開組策略控制臺(tái)－選中需要編輯的組策略－單擊“編輯〞計(jì)算機(jī)配置－Windows設(shè)置－平安設(shè)置－右擊“登錄屏幕不要顯示上次登錄的用戶名〞選擇“平安性〞－選中“定義這個(gè)策略設(shè)置〞和“已啟用〞計(jì)算機(jī)配置中的管理模板(1)計(jì)算機(jī)配置中的管理模板－控制計(jì)算機(jī)桌面的外觀和行為管理模板包括：Windows組件、系統(tǒng)、網(wǎng)絡(luò)。Windows組件中規(guī)定了一些操作系統(tǒng)自帶的組件，如：IE、Netmeeting、假設(shè)任務(wù)方案等。(2)設(shè)置Windows組件。步驟如下：控制面板－任務(wù)方案－添加一個(gè)任務(wù)方案翻開組策略控制臺(tái)－選中需要編輯的組策略－單擊“編輯〞計(jì)算機(jī)配置－管理模板－Windows組件－選中“任務(wù)方案程序〞項(xiàng)右擊“禁用‘創(chuàng)立新任務(wù)’〞－選擇“屬性〞－在“策略〞選項(xiàng)卡中選中“啟用〞管理模板是基于注冊(cè)表的策略。在計(jì)算機(jī)和用戶配置中都可以設(shè)置管理模板的內(nèi)容。管理模板是組策略中可以使用的對(duì)系統(tǒng)進(jìn)行管理最靈活的一種手段。網(wǎng)絡(luò)子樹網(wǎng)絡(luò)子樹包括：脫機(jī)文件〔處理與脫機(jī)文件夾有關(guān)的事項(xiàng)〕；網(wǎng)絡(luò)及撥號(hào)連接禁用網(wǎng)絡(luò)連接共享。配置步驟如下：新建一個(gè)撥號(hào)連接，設(shè)置共享翻開組策略控制臺(tái)－選中需要編輯的組策略－單擊“編輯〞計(jì)算機(jī)配置－管理模板－網(wǎng)絡(luò)－網(wǎng)絡(luò)及撥號(hào)連接右擊“允許連接共享〞－選中“禁用〞用戶配置中的Windows配置Windows配置中包括：IE維護(hù)、腳本、平安設(shè)置、遠(yuǎn)程安裝效勞、文件夾重定向〔1〕用用戶策略中的IE維護(hù)為用戶指定默認(rèn)主頁。步驟如下：翻開組策略控制臺(tái)－選中需要編輯的組策略－單擊“編輯〞用戶配置－Windows設(shè)置－IE維護(hù)－URL右擊“重要URL〞－選擇“屬性〞－選中“自定義主頁URL〞－輸入網(wǎng)址文件夾重定向重定向文件夾。步驟如下：用戶配置－Windows設(shè)置－文件夾重定向－右擊“MyDocument〞子樹－選擇“屬性〞在“目標(biāo)〞選項(xiàng)卡中，選擇“根本〞，來為每個(gè)用戶在效勞器上建立一個(gè)個(gè)人文件夾，文件夾名即用戶名在目標(biāo)文件夾的位置輸入路徑：\\效勞器名\共享文件夾名\％用戶名％在“設(shè)置〞選項(xiàng)卡中設(shè)置：只有用戶和系統(tǒng)能夠訪問該文件夾文件夾重定向的功能：將用戶常用的文件夾重定向到網(wǎng)絡(luò)中的某臺(tái)效勞器的共享文件夾中。對(duì)用戶最終的效果是：無論用戶在那一臺(tái)計(jì)算機(jī)上翻開它自己的這些文件夾，看到的都是相同的內(nèi)容。需要注意的是，文件夾重定向只是重定向用戶自己創(chuàng)立的數(shù)據(jù)文檔，而不會(huì)把系統(tǒng)數(shù)據(jù)重定向到網(wǎng)絡(luò)效勞器上。用戶配置中的管理模板－控制用戶環(huán)境用戶配置的管理模板包含：Windows組件、任務(wù)欄和開始菜單、桌面、控制面板、網(wǎng)絡(luò)、系統(tǒng)。資源管理器中的策略〔使資源管理器中的文件夾選項(xiàng)消失〕翻開組策略控制臺(tái)－選中需要編輯的組策略－單擊“編輯〞用戶配置－管理面板－Windows組件－Windows資源管理器右擊“從‘工具’菜單中刪除‘文件夾選項(xiàng)’菜單〞，選擇“啟用〞任務(wù)欄和開始菜單－控制任務(wù)欄和開始菜單中的各種環(huán)境使用組策略管理軟件管理和維護(hù)軟件可能使大多數(shù)管理員都要面對(duì)的，客戶經(jīng)常會(huì)問管理員他使用的軟件為什么不能使用了、新軟件如何安裝。怎么進(jìn)行軟件升級(jí)等。利用Windowsserver2003的軟件分發(fā)功能可以很輕松的實(shí)現(xiàn)這些需求，這位我們的管理工作帶來了極大的方便。軟件分發(fā)是指通過組策略讓用戶或計(jì)算機(jī)自動(dòng)進(jìn)行軟件的安裝、更新或卸載。在Windowsserver2003中，可以通過使用一個(gè)站點(diǎn)、域、組織單元內(nèi)的用戶和計(jì)算機(jī)的組策略設(shè)置，來為這個(gè)站點(diǎn)、域、組織單元的用戶和計(jì)算機(jī)自動(dòng)安裝、升級(jí)或刪除軟件。軟件布置〔安裝和維護(hù)〕的步驟(1)準(zhǔn)備階段準(zhǔn)備一個(gè)文件，以便一個(gè)應(yīng)用程序能用組策略布置。為完成這個(gè)，應(yīng)將用于應(yīng)用程序的Windows安裝程序包文件〔*.msi*.zap〕復(fù)制到一個(gè)軟件分布點(diǎn)，它可能是一個(gè)共享文件夾或效勞器。(2)布置階段管理員創(chuàng)立一個(gè)在計(jì)算機(jī)上安裝軟件并將GPO鏈接到相應(yīng)的活動(dòng)類別容器內(nèi)的組策略對(duì)象〔GPO〕。實(shí)際上，軟件是在計(jì)算機(jī)啟動(dòng)或用戶激活應(yīng)用程序時(shí)安裝。(3)維護(hù)階段用新版本的軟件升級(jí)軟件或用一個(gè)補(bǔ)丁包來重新布置軟件。當(dāng)計(jì)算機(jī)啟動(dòng)時(shí)或用戶激活應(yīng)用程序時(shí)將自動(dòng)升級(jí)或重新布置軟件。(4)刪除階段為刪除不再使用的軟件，從開始布置軟件的GPO中刪除軟件包設(shè)置。當(dāng)計(jì)算機(jī)啟動(dòng)或用戶登錄時(shí)軟件將被自動(dòng)刪除。發(fā)布和分配軟件用組策略統(tǒng)一給客戶端安裝軟件，有兩種形式：發(fā)布、分配〔指派〕發(fā)布和分配軟件，所有發(fā)布的軟件都需要用控制面板中的“添加/刪除程序〞工具來安裝；也可以通過文檔激活自動(dòng)安裝。只能將軟件發(fā)布給用戶，而不給計(jì)算機(jī)。分配軟件可以將軟件分配用戶和計(jì)算機(jī)。通過分配軟件，可以確保：(1)軟件對(duì)用戶總是可用的?？梢圆捎梦臋n激活方法安裝，如使用Word、Excel等應(yīng)用程序的用戶。(2)軟件是有彈性的。如果缺少某些文件，當(dāng)用戶下次登錄并激活應(yīng)用程序時(shí)，將重新安裝。(3)當(dāng)給用戶分配軟件時(shí)，軟件將出現(xiàn)在用戶的桌面上，但是在用戶雙擊其圖標(biāo)或翻開與應(yīng)用程序關(guān)聯(lián)的文件之前，安裝不會(huì)開始。(4)當(dāng)給計(jì)算機(jī)分配軟件時(shí)，在計(jì)算機(jī)啟動(dòng)時(shí)，軟件將被自動(dòng)安裝。注：如果計(jì)算機(jī)是一個(gè)域控制器，分配軟件給計(jì)算機(jī)將不起作用。用組策略布置軟件包用組策略布置軟件包〔以用戶配置中的軟件設(shè)置為例〕。步驟如下：翻開組策略控制臺(tái)－選中需要編輯的組策略－單擊“編輯〞用戶配置－軟件設(shè)置－右擊“軟件安裝〞－選擇“新建〞－單擊“程序包〞選擇安裝程序包〔*.msi*.zap〕－單擊“翻開〞選擇布置方法為“已發(fā)行〞再選擇另一個(gè)安裝程序包，選擇布置方法為“已指派〞在域中另一臺(tái)計(jì)算機(jī)上登錄，控制面板－添加/刪除程序－添加新程序注：該安裝程序包所在目錄必須是共享的，客戶機(jī)一定要指向DNS。刪除布置的軟件卸載已布置的軟件翻開組策略控制臺(tái)－選中需要編輯的組策略－單擊“編輯〞用戶設(shè)置－軟件設(shè)置－軟件安裝－右擊要?jiǎng)h除的軟件－選擇“刪除〞客戶注銷帳戶或重啟計(jì)算機(jī)后，軟件即被刪除應(yīng)用組策略對(duì)娛樂及公共機(jī)房管理1.阻止運(yùn)行與工作無關(guān)的程序配置步驟如下：翻開域?qū)傩缘摹敖M策略〞選項(xiàng)卡禁用注冊(cè)表編輯器：翻開組策略，選擇“用戶配置〞里的“系統(tǒng)〞，然后在右邊的分割框里有一項(xiàng)“阻止訪問注冊(cè)表編輯器工具〞，雙擊翻開，在跳出屬性對(duì)話框里選擇“已啟用〞。這樣可以防止員工在注冊(cè)表里更改下面的設(shè)置。設(shè)置可運(yùn)行程序：在右邊對(duì)話框里找到“只運(yùn)行許可的Windows應(yīng)用程序〞。雙擊翻開屬性對(duì)話框，選擇“已啟用〞，這時(shí)單擊下邊的“顯示〞，會(huì)跳出顯示內(nèi)容對(duì)話框，單擊“添加〞，在跳出添加工程對(duì)話框中就可以輸入想要運(yùn)行的程序，在添加程序時(shí)不要遺漏，這時(shí)要注意所添加的程序一定要完整。如QQ程序，要添加QQ.exe才能運(yùn)行。完成以上設(shè)置后，為了防止職員在控制面板刪除軟件，可以禁止訪問控制面板，其方法是：選擇“用戶配置〞下的“管理模板〞，選擇“控制面板〞，在右邊對(duì)話框中雙擊“禁止訪問控制面板〞，在跳出屬性對(duì)話框中選擇“已啟用〞，然后選擇“確定〞。注冊(cè)表是Windows系統(tǒng)中保存系統(tǒng)、應(yīng)用軟件配置的數(shù)據(jù)庫，組策略那么將系統(tǒng)重要的配置功能聚集成各種配置模塊，供管理人員直接使用，從而到達(dá)方便管理計(jì)算機(jī)的目的。組策略是注冊(cè)表的一個(gè)縮影，所以在進(jìn)行組策略設(shè)置時(shí)還要把禁止職員訪問注冊(cè)表。主要思想是在組策略里設(shè)置一些Windows可用的運(yùn)行工程，以阻止員工運(yùn)行一些與工作無關(guān)的程序2.完全禁止使用U盤配置步驟如下：翻開域?qū)傩缘摹敖M策略〞選項(xiàng)卡。在組策略對(duì)象編輯器窗格左側(cè)的樹形圖中依次展開“計(jì)算機(jī)配置→管理模板→系統(tǒng)→可移動(dòng)存儲(chǔ)訪問〞，在右側(cè)窗格中雙擊“所有可移動(dòng)存儲(chǔ)類：拒絕所有權(quán)限〞，翻開目標(biāo)策略屬性設(shè)置對(duì)話框。翻開“所有可移動(dòng)存儲(chǔ)類：拒絕所有權(quán)限〞注：在“所有可移動(dòng)存儲(chǔ)類：拒絕所有權(quán)限〞屬性對(duì)話框中勾選“已啟用〞，按“確定〞按鈕就可以完全禁止USB存儲(chǔ)類設(shè)備了。現(xiàn)在U盤已經(jīng)相當(dāng)普及，電腦里面的資料很容易被復(fù)制，這對(duì)電腦中的資料無疑是一種威脅。如果您的電腦中有一些重要的資料，那就要小心了。難道要把USB端口給拆下來嗎？當(dāng)然不是。其實(shí)運(yùn)用Windows系統(tǒng)本身的禁止使用USB設(shè)備的功能，就能徹底解決這一問題。3.禁止光盤自動(dòng)播放配置步驟如下：翻開域?qū)傩缘摹敖M策略〞選項(xiàng)卡在組策略對(duì)象編輯器窗格左側(cè)的樹形圖中依次展開“用戶配置→管理模板→windows組件→自動(dòng)播放策略〞，在右側(cè)窗格中雙擊“關(guān)閉自動(dòng)播放〞，翻開目標(biāo)策略屬性設(shè)置對(duì)話框。雙擊“關(guān)閉自動(dòng)播放〞在“關(guān)閉自動(dòng)播放〞屬性對(duì)話框中勾選“已啟用〞，在“關(guān)閉自動(dòng)播放〞框中選擇“CD-ROM啟動(dòng)器〞或“所有驅(qū)動(dòng)器〞項(xiàng)按“確定〞即可，“關(guān)閉自動(dòng)播放〞對(duì)話框注意：插入光盤時(shí)按住shift鍵可禁止光盤自動(dòng)播放。這種方式最好能成為使用陌生光盤時(shí)的一種操作習(xí)慣。此設(shè)置不阻止自動(dòng)播放音樂CD。光盤自動(dòng)播放雖然能給您帶來了許多便利，但有些時(shí)候也會(huì)帶來不少麻煩。默認(rèn)狀態(tài)下，當(dāng)您將光盤插入光驅(qū)時(shí)，系統(tǒng)就會(huì)自動(dòng)讀取光驅(qū)，并啟動(dòng)指定的應(yīng)用程序。這一默認(rèn)狀態(tài)對(duì)系統(tǒng)來說是極不平安的，說不定自動(dòng)運(yùn)行的是一個(gè)木馬程序。有時(shí)插入光盤僅僅是想查看一下光盤中的內(nèi)容，自動(dòng)播放功能會(huì)使您這一簡(jiǎn)單想法的實(shí)現(xiàn)變得復(fù)雜。關(guān)閉光盤自動(dòng)播放實(shí)屬明智之舉。用組策略可以關(guān)閉光盤自動(dòng)播放功能。4.禁止安裝移動(dòng)設(shè)備配置步驟如下：翻開組策略對(duì)象編輯器。在組策略對(duì)象編輯器窗格左側(cè)的樹形圖中依次展開“計(jì)算機(jī)配置→管理模塊→系統(tǒng)→設(shè)備安裝→設(shè)備安裝限制〞，在右側(cè)窗格中雙擊“禁止安裝可移動(dòng)設(shè)備〞，翻開目標(biāo)策略屬性設(shè)置對(duì)話框。雙擊“禁止安裝可移動(dòng)設(shè)備〞在屬性對(duì)話框中勾選“已啟用〞并按“確定〞。如果啟用了此設(shè)置，那么不會(huì)安裝可移動(dòng)設(shè)備，而且無法更新現(xiàn)有可移動(dòng)設(shè)備的驅(qū)動(dòng)程序。如果未配置或禁用了此設(shè)置，那么，只要其他策略設(shè)置允許安裝設(shè)備，就可以安裝可移動(dòng)設(shè)備和更新現(xiàn)有的可移動(dòng)設(shè)備。此策略設(shè)置比允許安裝設(shè)備的任何其他策略設(shè)置的優(yōu)先級(jí)都高。如果此策略設(shè)置禁止安裝某個(gè)設(shè)備，那么，即使該設(shè)備與允許安裝它的其他策略設(shè)置相匹配，也將無法安裝或更新該設(shè)備。對(duì)于此策略，當(dāng)設(shè)備所連接到的設(shè)備驅(qū)動(dòng)程序該設(shè)備可移動(dòng)時(shí)，設(shè)備被認(rèn)為是可移動(dòng)設(shè)備。例如，設(shè)備連接到的USB集線器的驅(qū)動(dòng)程序報(bào)告某個(gè)通用串行總線(USB)設(shè)備是可移動(dòng)設(shè)備。如果此計(jì)算機(jī)是一臺(tái)終端效勞器，那么啟用此策略還會(huì)影響指定的設(shè)備從終端效勞客戶端重定向到此計(jì)算機(jī)。禁止安裝可移動(dòng)設(shè)備對(duì)提高系統(tǒng)安裝性能非常有效，使用此設(shè)置可防止可移動(dòng)設(shè)備如Ｕ盤的使用。結(jié)論如果想充分發(fā)揮GPO的功能，還是需要AD的支持。域環(huán)境下，在AD中部署的策略就相當(dāng)于整個(gè)域中至高無上的法那么，善用域策略將幫我們解決很多問題。GPO的優(yōu)點(diǎn)是可以讓用戶靈活地控制系統(tǒng)環(huán)境，但伴隨著靈活性而來的是復(fù)雜性。如果能夠正確、靈活地運(yùn)用GPO，就能使系統(tǒng)發(fā)揮出更加強(qiáng)大的功能。本文完成的主要工作包括以下幾個(gè)方面：(1)活動(dòng)目錄〔ActiveDirectory，AD〕和組策略〔GroupPolicy，GPO〕。認(rèn)識(shí)AD活動(dòng)目錄為用戶管理網(wǎng)絡(luò)環(huán)境各個(gè)組成要素的標(biāo)識(shí)和關(guān)系提供了一種有力的手段。了解組策略可以讓用戶靈活地控制系統(tǒng)環(huán)境。(2)搭建AD平臺(tái)、OU控制臺(tái)，為各個(gè)組用戶、計(jì)算機(jī)分配組策略。(3)組策略所有應(yīng)用，都是基于AD域架構(gòu)的支持的，表達(dá)出GPO與AD集成后，對(duì)整個(gè)域下的組、用戶、計(jì)算機(jī)的控制能力(4)企業(yè)網(wǎng)絡(luò)中組策略的具體應(yīng)用及作用。通過組策略技術(shù)的應(yīng)用，防止病毒通過移動(dòng)設(shè)備傳播，來實(shí)現(xiàn)企業(yè)網(wǎng)絡(luò)的平安。通過對(duì)機(jī)房及域中每一臺(tái)電腦的控制，禁止員工用電腦做與工作無關(guān)的娛樂工程，提高員工工作效率。對(duì)域中電腦