AD域的组策略实施.docx

AD域的组策略实施.docx

《AD域的组策略实施.docx》由会员分享，可在线阅读，更多相关《AD域的组策略实施.docx（12页珍藏版）》请在冰豆网上搜索。

AD域的组策略实施

组策略的实施

1.理解组策略作用

组策略又称GroupPolicy

组策略可以管理计算机和用户

组策略可以管理用户的工作环境、登录注销时执行的脚本、文件夹重定向、软件安装等

2.组策略的结构

组策略的具体设置数据保存在GPO中

创建完AD后系统默认的2个GPO:

默认域策略和默认域控制器策略

GPO所的对象:

S（站点）D（域）OU（组织单位）,当然也可以应用在"本地"

GPO控制的对象:

S、D、OU中的计算机和用户

GPO的组件存储在2个位置:

GPC（组策略容器）与GPT（组策略模板）

GPC：

GPC是包含GPO属性和版本信息的活动目录对象

GPT：

GPT在域控制器的共享系统卷（SYSVOL）中，是一种文件夹层次结构。

3.组策略更改后不是立即生效，可以通过运行：

gpupdate/force命令来立即刷新。

4.默认下层容器会继承上层容器的策略，如下图：

5.下层可以通过阻止策略继承按钮，不继承上层的策略。

如图：

6.上层也可强制下层来继承策略，就算下层开了阻止策略继承也要继承。

如图：

7.策略之间出现冲突时，遵循以下几点

1.如果同一个容器的计算机策略和用户策略都设置了,但这2个的策略之间相互冲突,并且

这个容器下的用户恰好登录了这台计算机,那么计算机策略和用户策略同时都要生

效,这时计算机策略覆盖用户策略!

2.不同层次的策略产生冲突时，子容器（上层）上的GPO优先级高!

3.同一个容器上多个GPO产生冲突时，处于GPO列表最高位置的GPO优先级最高。

8.筛选组策略设置，将用户或者组添加到安全组，在应用组策略选项后选择拒绝即可

软件策略：

指派与发布

1.建立一个共享文件夹，将要实施的MSI格式软件放入共享文件夹。

2.利用组策略的软件安装找路径（网络路径）

3.选择发布/指派软件

a）指派，程序在【开始】菜单中

b）发布，程序显示在【控制面板】|【添加/删除程序】中

4.软件指派：

可以针对计算机和用户：

将软件指派给计算机，计算机启动时软件将自动安装在DocumentsandSettings\AllUsers。

将软件指派给用户，只有在点击软件后才开始真正安装。

下图给出了指派给用户的例子：

5.路径一定要是网路路径，如下图：

只有第二个才是合法的网路路径。

6.在客户端登入后，可以看到软件已经成功指派到了指定用户，如下图：

7.只有在软件运行后才开始真正的安装：

8.软件发布只能针对于用户，计算机下无法使用发布，具体实例如图：

9.在用户配置下使用软件发布，具体如图：

10.在客户端登入后，可以看到软件已经成功发布到了指定用户，如下图：

用户漫游登入

用户可以在域任何机器成功登入后，使用相同的配置文件。

1.在AD域控上新建一个用户，我这里利用之前的用户liyang，在AD域控上新建一个文件夹work,在work下建一个同名liyang文件夹，并启用共享，如图：

2.给予Everyone相应的权限，如图：

3.在安全-高级的属性里，做相应的权限设置，把下面的勾取消掉，在弹出的对话框做对应操作如图：

4.把文件的所有权给予对应的liyang用户，如图：

5.在权限属性里，将liyang用户添加进去，如下图：

6.并给予相应的权限，如下图：

7.如图：

注意liyang用户是特殊权限，并应用到子对象：

8.下一步，如图：

9.记得给予管理员完全控制的权限：

10.在用户属性里面-配置文件–配置文件路径：

\\AD域的IP地址\共享文件夹\如图：

11.在客户端用liyang用户登入后，可以查看到已经是通过漫游登入了，如图：

12注销客户端用户，如图：

13.在AD域控上的liyang文件下可以看到客户端的配置文件了。

14.看到桌面下有4个图片文件，如图：

15.登入到客户端，看桌面确实有4个图片文件，如图

16.你可以在域任何机器上登入后桌面都一样，这样确实很方便。