企业集中管理方法组策略的操作课件.ppt

《企业集中管理方法组策略的操作课件.ppt》由会员分享，可在线阅读，更多相关《企业集中管理方法组策略的操作课件.ppt（37页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索18 五月 2023企业集中管理方法组策企业集中管理方法组策略的操作课件略的操作课件路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索日程日程l组策略在企业中的应用组策略在企业中的应用l组策略管理的常见问题及解决组策略管理的常见问题及解决理解组策略的复杂性理解组策略的复杂性组策略管理的常见问题及解决组策略管理的常见问题及解决l组策略的最佳实践组策略的最佳实践组策略最佳实践：规划组策略最佳实践：规划针对具体设定的最佳实践针对具体设定的最佳实践路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略在企业中应用组策略在企业中

2、应用基于注册表的设定基于注册表的设定基于注册表的设定基于注册表的设定本地，域以及网络等安全选项本地，域以及网络等安全选项本地，域以及网络等安全选项本地，域以及网络等安全选项集中管理软件安装以及维护集中管理软件安装以及维护集中管理软件安装以及维护集中管理软件安装以及维护开、关机脚本开、关机脚本开、关机脚本开、关机脚本 登陆、注销脚本登陆、注销脚本登陆、注销脚本登陆、注销脚本将用户数据存放在网络上将用户数据存放在网络上将用户数据存放在网络上将用户数据存放在网络上管理管理管理管理IEIE设定设定设定设定管理模板管理模板管理模板管理模板安全安全安全安全软件安装软件安装软件安装软件安装脚本脚本脚本脚本文

3、件夹重定向文件夹重定向文件夹重定向文件夹重定向IEIE维护维护维护维护第三方扩展第三方扩展第三方扩展第三方扩展组策略有很好的扩展性组策略有很好的扩展性组策略有很好的扩展性组策略有很好的扩展性路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略在企业中的应用组策略在企业中的应用(2)l组策略可以用于组策略可以用于:注册表设定注册表设定(WindowsXP中提供的设定数目超过中提供的设定数目超过700)Shell,TS,IE,MSI,Windows Update,Messenger,Net Meeting,Some Apps(i.e.Office 2000/XP)安全设定安全设定Sec

4、urity policies,account policies,restricted groups,services,local ACLs,Certificates,SW Restriction,IPSecIE 设定设定软件安装软件安装脚本脚本文件夹重定向文件夹重定向远程系统安装远程系统安装(RIS设定设定)路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略管理的常见问题及解决路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索OUsA1A1A2A2理解组策略使用环境的复杂性理解组策略使用环境的复杂性 哪一个是我的哪一个是我的哪一个是我的哪一个是我的策略策略策略策略?GPO

5、sA4A4A5A5A1A1A2A2A3A3 A ADomain SiteSiteB BGPOsB1B1B2B2DomainOUsB1B1B2B2B3B3组策略不跨域继承组策略不跨域继承l站点由子网组成，可能会垮站点由子网组成，可能会垮多个域。多个域。lGPOs不跨域储存不跨域储存l单个单个SDOU上可能关联了多个上可能关联了多个GPOsl一个一个GPO也可能和多个也可能和多个SDOUs关联。关联。l任何任何SDOUs可以和任何可以和任何GPOs关联，甚至跨域关联，甚至跨域(这样可能会非常慢这样可能会非常慢)l可以通过对安全组的权限设可以通过对安全组的权限设定定(ACLs)来实现来实现GPO的过

6、滤的过滤路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索RSoP lRSoP(Resultant Set of Group Policy)Win2k 推出后，客户对于组策略的第一改进推出后，客户对于组策略的第一改进要求要求两种模式两种模式Logging Mode:哪些策略已应用哪些策略已应用Planning Mode:哪些策略将应用哪些策略将应用在在Windows.NET AD中可以实现授权中可以实现授权路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索RSoP 工具工具lRSoP 工具工具RSoP MMC snap-in 关于已应用策略的详细信息关于已应用策略的详细信息可以

7、远程使用可以远程使用GPResult v2.0 命令行工具命令行工具 可以远程使用可以远程使用“帮助与支持中心帮助与支持中心”的的HTML 报告报告可以保存、打印可以保存、打印lWin2000 中不支持这些工具中不支持这些工具路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索RSoP Planning 模式模式lWindows .NET Server 提供提供RSoP的的Planning模模式式允许模拟在允许模拟在AD中的某个用户或者某台计算机上的设定中的某个用户或者某台计算机上的设定l模拟选项模拟选项:What if 分析分析:改变管理范围改变管理范围改变安全组的成员改变安全组的成员

8、改变改变WMI Filter状态状态关联站点关联站点慢速链接慢速链接Loopback在哪台域控制器上运行在哪台域控制器上运行路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索RSoP 授权授权l默认权限默认权限:Logging mode Local AdminsPlanning Mode Domain or Enterprise Adminsl在在 Windows.NET Server AD中中 logging和和 planning 模式均可授权模式均可授权.l如果对域和站点的如果对域和站点的RSoP进行授权，需要进行授权，需要Enterprise Admins身份。身份。路漫漫其修远

9、兮路漫漫其修远兮,吾将上下而求索吾将上下而求索RSoP 工具工具 demo路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索其他常见问题其他常见问题l其他常见问题其他常见问题备份、恢复备份、恢复导入、导出导入、导出报告功能报告功能搜索功能搜索功能等等等等.l结论：组策略很难管理结论：组策略很难管理l解决解决:GPMC路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索GPMC 概览概览l什么是什么是 GPMC(group policy management console)?管理组策略的新工具管理组策略的新工具:提供一组可编程对象用于管理组策略提供一组可编程对象用于管理组策略基于

10、这些对象的基于这些对象的MMC Snap-inlGPMC 设计目标设计目标统一的组策略管理统一的组策略管理提供更好的用户界面提供更好的用户界面解决组策略部署中的关键性问题解决组策略部署中的关键性问题允许通过脚本的方式来实现对组策略的操作允许通过脚本的方式来实现对组策略的操作路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索GPMC 特性概览特性概览l管理组策略的全新管理组策略的全新UIl报告功能报告功能:可用可用HTML方式查看方式查看GPO设定和设定和RSoP数据数据 提供对提供对GPO设定只读访问设定只读访问l备份、恢复备份、恢复GPOsl导入、导出功能导入、导出功能l搜索功能搜索

11、功能l与与RSoP整合整合l所有操作均可通过脚本实现所有操作均可通过脚本实现注意注意:对对GPO中的设定不行中的设定不行路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索关于关于GPMCl可用于管理可用于管理 Windows 2000 或者或者 Windows.NET domainsl在在Windows.NET Server RTM之后将提供之后将提供独立版本独立版本(可通过可通过Web下载下载)l系统需求系统需求:Windows.NET ServerWindows XP专业版专业版(SP1+hotfix):路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索GPMC 漫游漫游

12、demo路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索备份、恢复备份、恢复l备份备份:将将GPO设定保存在文件系统中设定保存在文件系统中和导出一样和导出一样l恢复恢复:将设定还原将设定还原GPO必须在同一个域必须在同一个域如果要实现跨域设定转移，可以使用如果要实现跨域设定转移，可以使用导入导入或者或者拷贝拷贝路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索备份一个备份一个GPOl备份将保存如下设定备份将保存如下设定(于文件系统中于文件系统中)GPO中的策略设定中的策略设定GPO上的访问控制列表上的访问控制列表(ACLs)与与WMI filter的关联的关联(不是不是fil

13、ter本身本身)设定报告设定报告l并不备份并不备份GPO与与SDOUs之间的关联关系之间的关联关系 路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索管理备份管理备份l多个备份可以保存于文件系统中的同一位多个备份可以保存于文件系统中的同一位置置多个多个GPOs同一同一GPO的多个版本的多个版本l每个备份可以通过以下方式标识每个备份可以通过以下方式标识:名字，描述，域，名字，描述，域，时间票时间票,，GPO的的GUIDl可以通过可以通过GPMC查询查询路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索恢复恢复l恢复恢复GPO的所有属性的所有属性GPO中的策略设定中的策略设定GPO

14、的访问控制列表的访问控制列表与与WMI filter的关联的关联(不是不是filter本身本身)设定报告设定报告使用相同的使用相同的GUIDl与备份与备份GPO在同一个域在同一个域l并不修改并不修改GPO与与SDOUs之间的关联关系之间的关联关系路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索导入与拷贝：概览导入与拷贝：概览l仅仅转移策略设定仅仅转移策略设定l不修改不修改:访问控制列表访问控制列表(ACLs)WMI Filter(获关联获关联)SDOUs与与GPO的关联关系的关联关系l可以在同一个域、多域或者多森林情况下使可以在同一个域、多域或者多森林情况下使用用路漫漫其修远兮路漫漫

15、其修远兮,吾将上下而求索吾将上下而求索拷贝与导入：比较拷贝与导入：比较l拷贝拷贝来源来源:Active Directory中某个当前存在的中某个当前存在的GPO目标目标:创建一个新的创建一个新的GPO新的新的GUID在在GPO上使用默认的访问控制列表上使用默认的访问控制列表l导入导入来源来源:文件系统中某文件系统中某GPO的备份的备份目标目标:Active Directory中一个存在的中一个存在的GPO清除目标清除目标GPO的当前策略设定的当前策略设定 保留保留:目标目标GPO的当前访问控制列表的当前访问控制列表与该与该GPO的关联关系的关联关系GPO的的GUID路漫漫其修远兮路漫漫其修远兮

16、,吾将上下而求索吾将上下而求索报告报告l对对GPO策略设定以及策略设定以及RSoP数据提供数据提供HTML报告报告l可打印，保存可打印，保存(xml,html)路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索搜索搜索l可基于以下条件搜索可基于以下条件搜索GPOs名称名称明确权限明确权限有效权限有效权限WMI filterGUIDGPOs中的策略设定中的策略设定l例如例如 查找所有：查找所有：“Policy Admins”组可以编辑的并包含组可以编辑的并包含“文文件夹重定向件夹重定向”设定的设定的GPOs路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索使用使用GPMC解决组策

17、略管理的关键解决组策略管理的关键问题问题 demo路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索脚本脚本lGPMC中的所有操作均可通过脚本实现中的所有操作均可通过脚本实现l不能通过脚本对不能通过脚本对GPO中的设定进行操作中的设定进行操作lGPMC中包括了中包括了30多个示范脚本多个示范脚本路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索使用脚本使用脚本进行组策略操作进行组策略操作 demo路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略最佳实践路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略最佳实践：规划组策略最佳实践：规划l不要删除或者

18、修改两个默认不要删除或者修改两个默认GPOsl使用使用GPMC备份备份“默认域策略默认域策略”和和“默认域控默认域控制器策略制器策略”l每个新的每个新的GPO应先进行测试应先进行测试l每个每个GPO中只应用一组相关设定中只应用一组相关设定l控制通过安全组对组策略进行控制通过安全组对组策略进行“过滤过滤”l控制可管理组策略的管理员数量控制可管理组策略的管理员数量lGPO的命名具有描述性的命名具有描述性如如“工程部门软件部署策略工程部门软件部署策略”路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略最佳实践：规划组策略最佳实践：规划(2)l在有在有AD的情况下，尽量不使用本地组策略的

19、情况下，尽量不使用本地组策略l限制域上的限制域上的GPO数量数量l尽可能不使用影响组策略默认继承性的尽可能不使用影响组策略默认继承性的No OverrideBlockl应用应用GPO时，尽可能将时，尽可能将GPO关联到目标对关联到目标对象所在的容器上象所在的容器上(比如比如OU)路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略最佳实践：管理模板组策略最佳实践：管理模板l仅通过组策略对客户端进行设定，不使仅通过组策略对客户端进行设定，不使用其他方法修改客户端注册表用其他方法修改客户端注册表l使用使用Windows XP/.NET中提供的最新工中提供的最新工具来管理组策略具来管理组

20、策略详细的支持信息详细的支持信息更新了的策略注释更新了的策略注释 与帮助集成与帮助集成l尽量对尽量对win2000和和windowsXp/.NET客户客户端使用同样的设定，以使用户有一致的端使用同样的设定，以使用户有一致的体验体验路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略最佳实践：漫游用户配置组策略最佳实践：漫游用户配置l对对“我的文档我的文档”目录使用文件夹重定向目录使用文件夹重定向 获取更快的登陆速度获取更快的登陆速度l优化在优化在 XP,2000 and NT4多系统间的漫多系统间的漫游游各系统见使用应用程序的同一版本各系统见使用应用程序的同一版本确保操作系统安装在

21、相同的确保操作系统安装在相同的%systemdrive%和和%windir%l对使用漫游用户配置的用户不设置太低对使用漫游用户配置的用户不设置太低的磁盘定额的磁盘定额 推荐使用配置文件最大值的两倍推荐使用配置文件最大值的两倍路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略最佳实践：文件夹重定向组策略最佳实践：文件夹重定向l让系统为每个用户创建目录让系统为每个用户创建目录l对对“我的图片我的图片”和和“我的文档我的文档”使用相同的使用相同的设定设定l使用使用“文件夹重定向文件夹重定向”的默认设定的默认设定 l对储存用户数据的服务器使用对储存用户数据的服务器使用“离线文件离线文件夹

22、夹”设定设定l始终激活始终激活“注销前同步所有离线文件夹注销前同步所有离线文件夹”设定设定路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索组策略最佳实践：软件安装组策略最佳实践：软件安装l指定软件的指定软件的“类别类别(categories)”最终用户更易查找所需软件最终用户更易查找所需软件l在发布应用程序之前对其进行定制在发布应用程序之前对其进行定制发布之后将无法定制发布之后将无法定制 l将应用程序发布给用户将应用程序发布给用户或者或者计算机计算机,但不但不要同时要同时l对当前应用程序重新打包对当前应用程序重新打包 路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索参考资料参考资料l组策略白皮书组策略白皮书:http:/ 2000 Server Resource Kit 中中分步式系统指南关于组策略的部分分步式系统指南关于组策略的部分 http:/ Microsoft Management Alliance关关于于GPMC的文档的文档 www.themma.orglWindows&.NET 杂志论坛杂志论坛http:/ 路漫漫其修远兮路漫漫其修远兮,吾将上下而求索吾将上下而求索如果您有任何问题，请加入如果您有任何问题，请加入微软中文新闻组微软中文新闻组继续讨论继续讨论加入微软中文新闻组加入微软中文新闻组http:/