资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
关于组策略管理控制台使用的逐步式指南
该逐步式指南提供了在Active Directory环境中使用组策略管理控制台(GPMC)来支持组策略对象(GPO)的一般性指导。该指南并不提供GPO实施指导。
本页内容
简介
概述
安装和配置GPMC
管理组策略对象
GPO备份、 还原、 复制以及导
入
GPO建模
其它资源
简介
逐步式指南
Windows Server部署逐步式指南提供了很多常见操作系统配置的实际操作经验。本指南首先介绍经过以下过程来建立通用网络结构:安装Windows Server ;配置Active Directory®;安装Windows XP Professional工作站并最后将此工作站添加到域中。后续逐步式指南假定您已建立了此通用网络结构。如果您不想遵循此通用网络结构,则需要在使用这些指南时进行适当的修改。
通用网络结构要求完成以下指南。
• 第一部分:将Windows Server 安装为域控制器
• 第二部分:安装Windows XP Professional工作站并将其连接到域上
在配置通用网络结构后,能够使用任何其它的逐步式指南。注意,某些逐步式指南除具备通用网络结构要求外,可能还需要满足额外的先决条件。任何额外的要求都将列在特定的逐步式指南中。
Microsoft Virtual PC
资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
能够在物理实验室环境中或经过虚拟化技术(如Microsoft Virtual PC 或Microsoft Virtual Server )来实施Windows Server部署逐步式指南。借助于虚拟机技术,客户能够同时在一台物理服务器上运行多个操作系统。Virtual PC 和Virtual Server就是为了在软件测试和开发、 旧版应用程序迁移以及服务器整合方案中提高工作效率而设计的。
Windows Server部署逐步式指南假定所有配置都是在物理实验室环境中完成的,但大多数配置不经修改就能够应用于虚拟环境。
将这些逐步式指南中提供的概念应用于虚拟环境超出了本文的讨论范围。
重要说明
此处作为例子提到的公司、 组织、 产品、 域名、 电子邮件地址、 徽标、 个人、 地点和事件纯属虚构,决不意指,也不应由此臆测任何公司、 组织、 产品、 域名、 电子邮件地址、 徽标、 个人、 地点或事件。
此通用基础结构是为在专用网络上使用而设计的。此通用结构中使用的虚拟公司名称和域名系统(DNS)名称并未注册以便在Internet上使用。您不应在公共网络或Internet上使用此名称。
此通用结构的Active Directory服务结构用于说明”Windows Server更改和配置管理”如何与Active Directory配合使用。不能将其作为任何组织进行Active Directory配置的模型。
返回页首
概述
Microsoft组策略管理控制台(GPMC)是一个用于组策略管理的新工具,它经过改进易管理性和提高效率帮助管理员更经济有效地管理企业。它包含一个新的Microsoft管理控制台(MMC)管理单元和一组可编程接口。GPMC提供单一位置来管理组策略核心内容,从而简化了组策略的管理。它能够根据用户需要提供以下功能来满足最高的组策略部署要求。
• 使组策略更易于使用的用户界面(UI)。
• 组策略对象(GPO)备份/还原。
• GPO导入/导出和复制/粘贴以及Windows Management Instrumentation(WMI)筛选器。
• 简化了对组策略相关安全功能的管理。
• GPO设置和策略的结果集(RSoP)数据的超文本标记语言(HTML)报告。
• 将此工具中提供的策略相关任务编制成脚本(而不是将GPO设置编制成脚本) 。
过去,管理员需要使用几个Microsoft工具来管理组策略,如”Active Directory用户和计算机”、 ”Active Directory站点和服务”以及”策略的结果集”管理单元。 GPMC将这些工具中提供的现有组策略功能以及一些新功能集成到一个统一的控制台中。
资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
GPMC中内置了对多个域和林管理的支持,因此,管理员能够方便地管理整个企业中的组策略。管理员能够完全控制在GPMC中列出哪些林和域,因而能够只显示环境的相关部分。
注意:该逐步式指南只提供使用GPMC来管理GPO的指导,并不提供有关其配置的指导。有关配置GPO的信息,请参见了解组策略功能集的逐步式指南。
先决条件
• 第一部分:将Windows Server 安装为域控制器
• 安装其它域控制器的逐步式指南
• Active Directory管理逐步式指南
• 关于控制委派向导使用方法的逐步式指南
• 了解组策略功能集的逐步式指南
• 强制实施强密码策略的逐步式指南
返回页首
安装和配置GPMC
安装GPMC
GPMC安装是一个涉及运行Windows Instal ler (MSI)程序包的简单过程。要下载最新版本,请参见WindowsServer System组策略管理站点,网址为: 。
要安装组策略管理控制台,请按照以下步骤操作:
1 在服务器”HQ-CON-DC-01”上,浏览到包含”gpmcmsi”的文件夹,双击”gpmcmsi”程序包,然后单击”下一步”。2 单击”我同意”,接受最终用户许可协议(E U LA),然后单击”下一步”。
3 单击”完成”以完成GPMC安装。
在安装完成后,更新Active Directory管理单元中站点、 域和组织单位(OU)属性页上显示的”组策略”选项卡以提供到GPMC的直接链接。 由于所有组策略管理功能都是经过GPMC提供的,因此,无法再使用先前在原始”组策略”选项卡上提供的功能。
要打开GPMC管理单元,请按照以下步骤操作:
1 在服务器”HQ-CON-DC-01”上,单击”开始”按钮,单击”运行”,键入”GPMC msc”,然后单击”确定”。
注意:另外,也能够使用以下两种方法之一启动GPMC。
• 在”开始”菜单或”控制面板”中,单击”管理工具”文件夹中的”组策略管理”快捷方式。
• 创立自定义的MMC控制台:单击”开始”按钮,单击”运行”,键入”MMC”,然后单击”确定”。指向”文件”,单
击”添加/删除管理单元”,然后单击”添加”。单击以突出显示”组策略管理”,单击”添加”,单击”关闭”,然后单
击”确定”。
为多个林配置GPMC
资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
您能够方便地将多个林添加到GPMC控制台树中。默认情况下,只有在某个林与运行GPMC的用户林之间具有双向信任关系时,才能将其添加到GPMC中。您能够有选择地允许GPMC使用仅单向信任关系或根本不使用信任关系。经过突出显示树根目录中的”组策略管理”,从上下文菜单中选择”操作”,然后单击”添加林”,将另一个林添加到GPMC中。 由于示例环境只包含单个林,因此,执行这些步骤超出了本逐步式指南的讨论范围。注意:在添加不受信任的林时,将无法使用某些功能。例如,不能使用”组策略建模”,而且无法打开”组策略对象编辑器”以编辑不受信任的林中的GPO。不受信任的林方案主要用于支持跨林复制GPO。
同时管理多个域
GPMC支持同时管理多个域,而且每个域在控制台中是按林进行分组的。默认情况下,GPMC中只显示一个域。在首先使用预配置的管理单元(gpmcmsc)或自定义MMC控制台启动GPMC后,GPMC将显示包含用于启动GPMC的用户帐户的域。经过添加和删除控制台中显示的域,您能够指定每个林中要使用GPMC管理的域。注意:即使您没有整个林的林信任关系,您也可添加外部信任域。默认情况下,要添加的域和用户对象域之间必须具有双向信任关系。也能够经过使用”查看”菜单中的”选项”对话框禁用GPMC的信任检测功能,来添加具有单向信任关系的域。要添加外部信任域,您必须先使用”添加林”对话框,从包含外部信任域的林中添加一个域。在添加该林后,您可经过右键单击该林的”域”节点,然后单击”显示域”,在该受信任的林中添加任何域。
要将vancouver.contoso.com子域添加到控制台中,请按照以下步骤操作:
1 在”组策略管理”窗口中,单击”林:contoso com”旁边的加号(+)将树展开,然后单击”域”旁边的加号(+)。2 右键单击”域”,然后单击”显示域”。
3 选择”vancouvercontoso com”旁边的复选框(如图1所示) ,然后单击”确定”。
资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
图1.显示域
在GPMC的每个可用域中,可使用相同的域控制器来完成该域中的所有操作。这包括位于该域中的GPO、OU、 安全主体以及WMI筛选器上的所有操作。另外,在从GPMC中打开”组策略对象编辑器”时,它始终将GPMC中的目标域控制器用于GPO所在的域。
GPMC允许您为每个域选择使用哪个域控制器。您能够选择四个选项之一。
• 使用主域控制器(PDC)模拟器(默认选项) 。
• 使用任何可用的域控制器。
• 使用运行Windows Server 家族操作系统的任何可用域控制器。如果您要还原包含组策略软件安装设置的
已删除GPO,该选项是非常有用的。
• 使用指定的特定域控制器。
要更改GPMC用于vancouver.contoso.com域的域控制器,请按照以下步骤操作:
1 在”组策略管理”窗口的”域”文件夹下面,右键单击”vancouver contoso com”,然后单击”更改域控制器”。2 在”更改域控制器”对话框中,单击”此域控制器”,然后单击以突出显示”hq-con-dc-
03 vancouvercontoso com”(如图2所示) 。
3 单击”确定”继续。
图2.更改域控制器
返回页首
管理组策略对象
资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
查看域GPO
在每个域中,GPMC都提供了一个基于策略的Active Directory视图以及与组策略关联的组件,如GPO、 WMI筛选器以及GPO链接。 GPMC中的视图与”Active Directory用户和计算机”MMC管理单元中的视图类似,它们都显示OU分层结构。然而,GPMC与该管理单元不同之处在于,它不显示OU中的用户、 计算机和组,而显示链接到每个容器的GPO以及链接到这些GPO本身的GPO。
GPMC中的每个域节点都显示以下项目。
• 链接到该域的所有GPO。
• 所有顶级OU、 嵌套OU树状视图以及链接到每个OU的GPO。
• 显示域中所有GPO的”组策略对象”容器。
• 显示域中所有WMI筛选器的”WMI筛选器”容器。
要查看与特定容器关联的GPO,请按照以下步骤操作:
1 在”域”树下,单击”contoso com”树。此时将出现与该容器(域根目录)关联的GPO,如图3所示。可将此概
念应用于任何域容器。
图3.域根目录中的GPO
查看大图
要查看与特定域关联的所有GPO,请按照以下步骤操作:
1 在”域”树下,单击”contoso com”旁边的加号(+),然后单击”组策略对象”。
搜索GPO
能够在林或域级别进行GPO搜索。经过使用单个或多个搜索参数,有助于在大量的GPO中缩小搜索结果的范围。
要使用多个搜索参数在contoso.com林中查找特定GPO,请按照以下步骤操作:
1 在控制台树中,右键单击”林:contoso com”,然后单击”搜索”。
资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
2 在”搜索项”框中,选择”GPO名称”,键入”Password”作为”值”,然后单击”添加”。
3 在”搜索项”框中,选择”计算机配置”,选择”Security”作为”值”,然后单击”添加”。
4 单击”搜索”。结果应该如图4所示。
图4.基于条件的GPO搜索
5 在返回搜索结果后,您能够执行以下操作之一:
• 要打开GPO进行编辑,请单击”编辑”。
• 要保存搜索结果,请单击”保存结果”。在”保存GPO搜索结果”对话框中,指定保存结果的文件名称,然后
单击”保存”。
• 要浏览到在搜索中找到的某个GPO,请在搜索结果列表中双击该GPO。
• 要清除搜索结果,请单击”清除”。
• 要关闭”搜索组策略对象”对话框,请单击”关闭”。
确定GPO的作用域
只能经过正确地将GPO应用于要管理的Active Directory容器来实现组策略值。确定哪些用户和计算机接收GPO中的设置的过程称为”确定GPO的作用域”。确定GPO作用域的过程基于三个因素。
• GPO链接到的站点、 域或OU将GPO中的设置应用于用户和计算机的主要机制是,将GPO链接到Active Directory中的站点、 域或OU。链接GPO的位置称为”管理作用域”或SOM(在前面的白皮书中也将其视为SDOU) 。 SOM共有三种类型:站点、 域和OU。可将一个GPO链接到多个SOM,也能够将一个SOM链接到多个GPO。要应用某个GPO,您必须将其链接到SOM。
• GPO上的安全筛选默认情况下,位于链接了GPO的SOM及其子对象中的所有Authenticated Users(已授权用户)将应用GPO中的设置。经过管理GPO中的权限,您能够进一步细化哪些用户和计算机将接收GPO
资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
中的设置。这称为”安全筛选”。对于要应用于特定用户或计算机的GPO,该用户或计算机必须拥有该GPO的”读取”和”应用组策略”权限。默认情况下,GPO权限允许”Authenticated Users”组拥有这两个权限。这就是在将新GPO链接到SOM(OU、 域或站点)时,所有已授权用户接收该GPO设置的方法。可是,能够更改这些权限,将GPO的作用域限定为它所链接到的SOM中的一组特定用户、 组和/或计算机。
• GPO上的WMI筛选器经过使用WMI筛选器,管理员能够基于目标计算机属性(经过WMI实现)动态地确定GPO的作用域。WMI筛选器由一个或多个查询组成,这些查询针对目标计算机WMI储存库的求值结果为真或假。WMI筛选器是与目录中GPO不同的对象。要将WMI筛选器应用于某个GPO,请将筛选器链接到该GPO,如GPO的”作用域”选项卡上的”WMI筛选”部分所示。每个GPO只能有一个WMI筛选器,不过,能够将同一个WMI筛选器链接到多个GPO。在目标计算机上应用链接到WMI筛选器的GPO时,将在该目标计算机上对该筛选器进行求值。如果WMI筛选器计算结果为假,则不应用GPO。如果WMI筛选器计算结果为真,则应用GPO。
要确定在以前搜索中找到的”Domain Password Policy”GPO的作用域,请按照以下步骤操作:1 在”搜索组策略对象”搜索结果窗格中,双击”Domain Password Pol icy”,然后单击”关闭”。
注意:在关闭”搜索组策略对象”对话框后,以前选择的GPO在GPMC中具有焦点。此时将出现”GPO作用域”页,如图5所示。
图5.确定GPO的作用域
要检查GPO将应用的策略,请按照以下步骤操作:
1 在”Domain Password Pol icy”结果窗格中,单击”设置”选项卡,然后单击”全部显示”。此时将显示所有已定义策略设置的摘要(如图6所示) ,但不显示未定义的设置。
资料内容仅供您学习参考如有不当或者侵权请联系改正或者删除。
图6.检查GPO设置
GPO策略继承和链接顺序
特定容器的”组策略继承”选项卡显示从父容器继承的所有GPO(链接到站点上的GPO除外) 。该选项卡中的”优先”列显示所有链接的总体优先级(这些链接将应用于该容器中的对象) ,并考虑”链接顺序”和每个链接的”强制”属性以及”阻止继承”。
要查看容器中的策略继承,请按照以下步骤操作:
1 在”组策略管理”窗口的”contoso com”树下面,展开”Accounts”OU,然后单击”Headquarters”OU,如图7所示。
