Windows Server 2022活動目錄管理實踐( 第2版 微課版)-課件項目22 通過組策略管理用戶環(huán)境

項目22通過組策略管理用戶環(huán)境策略和首選項的區(qū)別策略和首選項的優(yōu)先級首選項的設置目錄策略和首選項的區(qū)別策略和首選項的區(qū)別1.定義與性質(zhì)：策略：策略是指為實現(xiàn)特定目標而制定的一系列規(guī)則或指導原則，它通常具有強制性。在活動目錄中，策略通過組策略對象（GroupPolicyObject，GPO）來實施，用于配置和管理客戶端計算機和用戶的設置，如安全設置、軟件部署、用戶權限等。策略一旦被部署，用戶通常無法直接修改其設置，除非具有相應的管理權限。首選項：首選項是WindowsServer2008R2及以后版本中引入的一種新的組策略配置方式。與策略不同，首選項允許用戶（在策略允許的范圍內(nèi)）對配置進行一定程度的自定義和修改。首選項設置通常作為默認值提供，用戶可以在登錄后根據(jù)自己的需求進行調(diào)整。策略和首選項的區(qū)別2.應用場景與功能：策略：策略適用于需要強制執(zhí)行的安全設置、軟件部署和用戶權限等場景。例如，管理員可以通過策略來限制用戶對某些系統(tǒng)資源的訪問權限，或者確保所有客戶端計算機都安裝了最新的安全補丁。策略的設置通常較為嚴格，以確保系統(tǒng)的安全性和穩(wěn)定性。首選項：首選項適用于那些需要靈活配置的場景，如桌面背景、開始菜單布局、打印機映射等。通過首選項，管理員可以更容易地向客戶端計算機和用戶賬戶添加自定義設置，而無需編寫復雜的腳本或進行繁瑣的手動配置。同時，用戶也可以在登錄后根據(jù)自己的喜好對部分首選項設置進行調(diào)整。策略和首選項的區(qū)別3.用戶權限與可修改性：策略：策略具有強制性，用戶通常無法直接修改其設置。如果用戶需要更改策略設置，必須聯(lián)系具有相應管理權限的管理員進行操作。這種機制有助于確保策略的一致性和有效性，防止用戶隨意更改系統(tǒng)設置導致安全問題。首選項：首選項允許用戶在一定范圍內(nèi)對設置進行自定義和修改。然而，這種修改通常受到策略的限制和約束。例如，管理員可以通過策略來限制用戶對某些首選項設置的修改權限，以確保系統(tǒng)的整體安全性和穩(wěn)定性。策略和首選項的區(qū)別對于很多系統(tǒng)設置，管理員既可以通過策略設置實現(xiàn)，又可以通過首選項實現(xiàn)，二者之間有一部分重疊，如果一個特定的任務既可以用策略實現(xiàn)，又可以用首選項實現(xiàn)，那么域管理員該如何選擇呢？下面我們結合實例進行講解。例如，通過策略指定必須使用的腳本，這些腳本可以完成映射網(wǎng)絡驅(qū)動器、配置打印機、創(chuàng)建快捷方式、復制文件等任務。但如果使用首選項，則可以不登錄腳本，只需要簡單地通過界面視圖，就可以快速完成相同的任務。那么哪種方法好呢？這其實沒有標準，它取決于管理員，如果管理員熟悉腳本，則可以用策略；如果管理員不熟悉腳本，則可以用首選項。策略和首選項的優(yōu)先級策略和首選項的優(yōu)先級在同一個GPO中的策略和首選項發(fā)生沖突時，基于注冊表的策略優(yōu)先。對于不基于注冊表的策略和首選項，優(yōu)先級取決于策略與首選項在客戶端擴展執(zhí)行的順序。判斷策略設置是否基于注冊表的方法很簡單，因為所有基于注冊表的策略設置都定義在“策略、管理模板”中。首選項的設置首選項的設置1.設備安裝：策略可以通過阻止用戶安裝驅(qū)動程序的方法，限制用戶安裝某些特定類型的硬件設備。首選項可以禁用設備和端口，但它不會阻止設備驅(qū)動程序的安裝，也不會阻止具有相應權限的用戶通過設備管理器啟用設備或端口。首選項的設置1.設備安裝：如果想完全鎖定并阻止某個特定設備的安裝和使用，則可以將策略和首選項配合起來使用：用首選項禁用已安裝的設備，并且通過策略設置阻止該設備驅(qū)動的安裝。策略位置：計算機配置\策略\管理模板\系統(tǒng)\設備安裝限制\首選項位置：計算機配置\首選項\控制面板設置\設備\首選項的設置2.文件和文件夾通過策略可以為重要的文件和文件夾創(chuàng)建特定的訪問控制列表（ACL）。然而，在只有目標文件或文件夾存在的情況下，ACL才會被應用。通過首選項，可以管理文件和文件夾。對于文件，可以通過從源計算機復制的方法對其進行創(chuàng)建、更新、替換或刪除；對于文件夾，可以指定在創(chuàng)建、更新、替換或刪除操作時，是否刪除文件夾中現(xiàn)存的文件和子文件夾。首選項的設置2.文件和文件夾因此，可以通過首選項創(chuàng)建一個文件或文件夾，并且通過策略對創(chuàng)建的文件或文件夾設置ACL。需要注意的是，在首選項的設置中，應該選擇“只應用一次而不再重新應用”，否則創(chuàng)建、更新、替換或刪除的操作會在下一次組策略刷新時被重新應用。策略位置：計算機配置\策略\Windows設置\安全設置\文件系統(tǒng)\首選項位置：計算機配置\首選項\Windows設置\文件\

計算機配置\首選項\Windows設置\文件夾\首選項的設置3.InternetExplorer在計算機配置中，策略（Internet設置）配置了瀏覽器的安全增強并幫助鎖定Internet安全區(qū)域設置。在用戶配置中，策略（Internet設置）主要用于指定主頁、搜索欄、鏈接、瀏覽器界面等。在用戶配置中的首選項（Internet設置）中，允許設置Internet選項中的所有選項，包括“常規(guī)”、“安全”、“隱私”、“內(nèi)容”、“連接”、“程序”、“高級”、“常用”等選項卡。首選項的設置3.InternetExplorer策略是被管理的，而首選項是不被管理的，用戶可以自行修改。因此，當用戶想要強制設定某些Internet選項時，應該使用策略設置。策略位置：計算機配置\策略\管理模板\windows組件\InternetExplorer\

用戶配置\策略\管理模板\windows組件\InternetExplorer\首選項位置：用戶配置\首選項\控制面板設置\Internet設置\首選項的設置4.打印機通過策略可以設置打印機的工作模式、計算機允許使用的打印功能、用戶允許對打印機的操作等。通過首選項可以映射和配置打印機，這些首選項包括配置本地打印機及映射網(wǎng)絡打印機。首選項的設置4.打印機因此可以運用首選項為客戶機創(chuàng)建網(wǎng)絡打印機或本地打印機，并且通過策略限制用戶和客戶機的打印相關功能設置。策略位置：用戶配置\策略\管理模板\控制面板\打印機\

計算機配置\策略\管理模板\控制面板\打印機\首選項位置：用戶配置\首選項\控制面板設置\打印機\首選項的設置5.“開始”菜單通過策略可以控制和限制“開始”菜單選項和不同的“開始”菜單行為。例如，可以指定是否要在用戶注銷時清除最近打開的文檔歷史，或是否在“開始”菜單上禁用拖放操作，還可以鎖定任務欄，移除系統(tǒng)通知區(qū)域的圖標以及關閉所有通知等。通過首選項可以如同控制面板中的任務欄和“開始”菜單屬性對話框一樣來配置。首選項的設置5.“開始”菜單策略位置：計算機配置\策略\管理模板\“開始”菜單和任務欄\

用戶配置\策略\管理模板\“開始”菜單和任務欄\首選項的設置6.用戶和組通過策略設置可以限制AD組或計算機本地組的成員。通過首選項設置可以創(chuàng)建、更新、替換或刪除計算機本地用戶和本地組。首選項的設置6.用戶和組對于計算機本地用戶，可以進行以下操作。（1）重命名用戶賬戶。（2）設置用戶密碼。（3）設置用戶賬戶的狀態(tài)標識（如賬戶禁用標識）。對于計算機本地組，首選項可以進行以下操作。（1）重