《组策略与安全配置》由会员分享，可在线阅读，更多相关《组策略与安全配置（68页珍藏版）》请在金锄头文库上搜索。
1、第8章 组策略与安全配置 本章要点 组策略可实现的功能与基本配置组策略可实现的功能与基本配置 帐户策略、用户指派权利、使用组策略部署软帐户策略、用户指派权利、使用组策略部署软 件件 安全模板、安全配置和分析、安全配置向导安全模板、安全配置和分析、安全配置向导 WindowsWindows防火墙防火墙 IPIP安全策略安全策略 证书服务证书服务目录首页实训案例1实训案例2目 录8.1 组策略概述 8.2 组策略的基本配置与实例 8.3 使用组策略配置用户环境 8.4 使用组策略部署软件 综合实训7：Windows Server 2003服务器安全配置本地安全策略 8.5 安全配置和分析 8.6
2、安全配置向导 8.7 Windows Server 2003防火墙 8.8 IP安全设置 8.9 证书服务 综合实训8: 安全配置目录首页实训案例1实训案例2组策略是管理员为计算机和用户定义的，是用来控制应用程序、组策略是管理员为计算机和用户定义的，是用来控制应用程序、 系统设置和管理模板的一种机制。简单地说，组策略就是介于控制面系统设置和管理模板的一种机制。简单地说，组策略就是介于控制面 板和注册表之间的一种修改系统、设置程序的工具。板和注册表之间的一种修改系统、设置程序的工具。 组策略高于注册表，组策略使用更完善的管理组织方法，可以对组策略高于注册表，组策略使用更完善的管理组织方法，可以对
3、 各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活各种对象中的设置进行管理和配置，远比手工修改注册表方便、灵活 ，功能也更加强大。，功能也更加强大。 1.1.使用组策略可以实现的功能使用组策略可以实现的功能 帐户策略的设定帐户策略的设定 本地策略的设定本地策略的设定 脚本的设定脚本的设定 用户工作环境的定制用户工作环境的定制 软件的安装与删除软件的安装与删除 限制软件的运行限制软件的运行 文件夹的转移文件夹的转移 其他系统设定其他系统设定8.1 组策略概述目录首页实训案例1实训案例2方法方法1 1：单击单击【开始开始】| |【运行运行】命令，输入命令，输入gpedit.mscgpe
4、dit.msc，单击单击【 确定确定】按钮，按钮，打开当前计算机的组策略，如图打开当前计算机的组策略，如图8-18-1所示。所示。 方法方法2 2：单击单击【开始开始】| |【运行运行】命令，输入命令，输入MMCMMC，单击单击【确定确定】按按 钮，钮，打开打开 Microsoft Microsoft 管理控制台，添加管理控制台，添加【组策略对象编辑器组策略对象编辑器】，选择，选择 所需的组策略对象，打开要编辑的组策略对象，如图所需的组策略对象，打开要编辑的组策略对象，如图8-28-2所示。所示。 8.1 组策略概述2.启动组策略的方法图8-1 本地组策略窗口图8-2 MMC中的组策略管理单元
5、目录首页实训案例1实训案例23.组策略界面 组策略主界面共分为左右两个窗格，左边窗格中的组策略主界面共分为左右两个窗格，左边窗格中的【“本地计算机本地计算机”策策 略略】由由【计算机配置计算机配置】和和【用户配置用户配置】两个子项构成，右边窗格中是针对左两个子项构成，右边窗格中是针对左 边某一配置可以设置的具体策略。边某一配置可以设置的具体策略。 4.组策略对象 组策略的基本单元是组策略对象组策略的基本单元是组策略对象GPO,GPO,它是一组设置的组合。有两种类型它是一组设置的组合。有两种类型 的组策略对象：本地组策略对象和非本地组策略对象。的组策略对象：本地组策略对象和非本地组策略对象。 组
6、策略作用范围：由它们所链接的站点、域或组织单元启用。组策略作用范围：由它们所链接的站点、域或组织单元启用。 5.组策略的应用时机 计算机配置：计算机开机时自动启用，域控制器默认每隔计算机配置：计算机开机时自动启用，域控制器默认每隔5 5分钟自动启分钟自动启 用，非域控制器默认每隔用，非域控制器默认每隔90-12090-120分钟自动启动，此外不论策略是否有变动系分钟自动启动，此外不论策略是否有变动系 统每隔统每隔1616小时自动启动一次。小时自动启动一次。 用户配置：用户登录时自动启用，系统默认每隔用户配置：用户登录时自动启用，系统默认每隔9090分钟自动启动，此外分钟自动启动，此外 不论策略
7、是否有变动系统每隔不论策略是否有变动系统每隔1616小时自动启动一次。小时自动启动一次。 手动启动组策略的命令是：手动启动组策略的命令是：gpupdategpupdate / /target:computetarget:compute /force /force 6.组策略的处理顺序 组策略的配置是累加的。组策略的配置是累加的。 应用的顺序：本地组策略对象应用的顺序：本地组策略对象站点的组策略对象站点的组策略对象域的组策略对象域的组策略对象 组织单元的组策略对象。后面策略覆盖前面策略。组织单元的组策略对象。后面策略覆盖前面策略。8.1 组策略概述目录首页实训案例1实训案例21.1.计算机配置计
8、算机配置 计算机配置包括所有与计算机相关的策略设置，它们用来指定计算机配置包括所有与计算机相关的策略设置，它们用来指定 操作系统行为、桌面行为、安全设置、计算机开机与关机脚本、指操作系统行为、桌面行为、安全设置、计算机开机与关机脚本、指 定的计算机应用选项以及应用设置。定的计算机应用选项以及应用设置。 2.2.用户配置用户配置 用户配置包括所有与用户相关的策略设置，它们用来指定操作用户配置包括所有与用户相关的策略设置，它们用来指定操作 系统行为、桌面设置、安全设置、指定和发布的应用选项、应用设系统行为、桌面设置、安全设置、指定和发布的应用选项、应用设 置、文件夹重定向选项、用户登录与注销脚本等
9、。置、文件夹重定向选项、用户登录与注销脚本等。 3.3.组策略插件扩展组策略插件扩展 （1 1）软件设置）软件设置 （2 2）WindowsWindows设置设置 账号策略、本地策略、事件日志、受限组、系统服务、注册表账号策略、本地策略、事件日志、受限组、系统服务、注册表 、文件系统、文件系统、 IPIP安全策略、公钥策略安全策略、公钥策略 （3 3）管理模板）管理模板8.2 组策略的基本配置与实例8.2.1组策略的基本配置目录首页实训案例1实训案例21让Windows的上网速率提升20% 操作步骤：操作步骤： 在在【组策略编辑器组策略编辑器】控制台中，展开控制台中，展开【计算机配置计算机配置
10、】| |【管理模板管理模板 】| |【网络网络】| |【QoSQoS 数据包调度程序数据包调度程序】项项，在右窗格双击，在右窗格双击【限制可保留限制可保留 带宽带宽】策略，在属性对话框中，选择策略，在属性对话框中，选择【已启用已启用】单选按钮，并将单选按钮，并将【带宽带宽 限制限制】值设置为值设置为0%0%，单击单击【确定确定】按钮。按钮。8.2.2 组策略实例1：计算机配置 8.2 组策略的基本配置与实例目录首页实训案例1实训案例22 2关闭系统还原功能关闭系统还原功能 操作步骤：操作步骤：在在【组策略组策略】控制台中，展开控制台中，展开【计算机配置计算机配置】| |【管理模板管理模板】|
11、| 【系统系统】| |【系统还原系统还原】项，在右窗格双击项，在右窗格双击【关闭系统还原关闭系统还原】策略策略 ，在属性对话框中，选择，在属性对话框中，选择【已启用已启用】单选按钮，单击单选按钮，单击【确定确定】按钮按钮 ，启用此设置来关闭系统还原。，启用此设置来关闭系统还原。3 3禁止禁止Windows MessengerWindows Messenger自动运行自动运行操作步骤：操作步骤：在在【组策略组策略】控制台中，展开控制台中，展开【计算机配置计算机配置】| |【 管理模板管理模板】| |【WindowsWindows组件组件】| |【Windows MessengerWindows
12、Messenger】项，在右窗项，在右窗 格双击格双击【不允许运行不允许运行Windows MessengerWindows Messenger】策略，在属性对话框中策略，在属性对话框中 ，选择，选择【已启用已启用】单选按钮，单击单选按钮，单击【确定确定】按钮。按钮。 8.2.2 组策略实例1：计算机配置 8.2 组策略的基本配置与实例目录首页实训案例1实训案例24 4管理远程桌面设置实例管理远程桌面设置实例 允许允许“远程桌面远程桌面”连接连接 在在【组策略编辑器组策略编辑器 】中，展开中，展开【计算机配置计算机配置】| |【管理模板管理模板】| | 【WindowsWindows组件组件】
13、| |【终端服务终端服务】项，在右窗格中双击项，在右窗格中双击【允许用户使用允许用户使用 终端服务远程连接终端服务远程连接】策略，在属性对话框中，选择策略，在属性对话框中，选择【已启用已启用】单选按单选按 钮，单击钮，单击【确定确定】按钮即可。按钮即可。 配置配置“数据重定向数据重定向” 双击双击【客户端客户端/ /服务器数据重定向服务器数据重定向】目录，打开目录，打开【客户端客户端/ /服务器服务器 数据重定向数据重定向】项，可以设置在建立连接后所能使用的客户端资源。项，可以设置在建立连接后所能使用的客户端资源。 设置空闲会话连接时间设置空闲会话连接时间 展开展开【会话会话】目录，双击目录，
14、双击【为活动但空闲的终端服务会话设置时为活动但空闲的终端服务会话设置时 间限制间限制】策略，可以限制空闲会话的连接时间。策略，可以限制空闲会话的连接时间。 5.5.审核登录帐户审核登录帐户 在在【组策略组策略】控制台中，展开控制台中，展开【计算机配置计算机配置】| |【WindowsWindows设置设置】 | |【安全设置安全设置】| |【本地策略本地策略】| |【审核策略审核策略】项，双击项，双击【帐户登录审帐户登录审 核核】策略，选择审核策略，选择审核【成功成功】和和【失败失败】两项，单击两项，单击【确定确定】按钮。按钮。8.2.2 组策略实例1：计算机配置 8.2 组策略的基本配置与实
15、例目录首页实训案例1实训案例21.1.个性化个性化【任务栏和开始菜单任务栏和开始菜单】 通过组策略可以实现通过组策略可以实现【任务栏和开始菜单任务栏和开始菜单】的个性化。在的个性化。在【 组策略编辑器组策略编辑器】控制台中，展开控制台中，展开【用户配置用户配置】【管理模板管理模板】【任务任务 栏和栏和开始开始菜单菜单】项，在右窗格中列出项，在右窗格中列出【任务栏和任务栏和开始开始菜单菜单】 有关策略的具体配置。具体实例如下有关策略的具体配置。具体实例如下 ：8.2.3组策略实例2：用户配置8.2 组策略的基本配置与实例目录首页实训案例1实训案例2给开始菜单减肥给开始菜单减肥 在组策略窗口中，可以启用在组策略窗口中，可以启用【从开始菜单删除用户文件夹从开始菜单删除用户文件夹】、【 从开始菜单删除公用程序组从开始菜单删除公用程序组】、【从开始菜单中删除从开始菜单中删除我的文档我的文档图图 标标】等多种组策略配置项目来去掉不需要的菜单项。等多种组策略配置项目来去掉不需要的菜单项。 保护好保护好【任务栏和开始菜单任务栏和开始菜单】 如果不想随意让他人更改如果不想随意让他人更改【任务栏和任务栏和开始开始菜单菜单】的设置，只的设置，只
