[技術(shù)門診150期] 組策略管理之企業(yè)深層次應(yīng)用
系統(tǒng)組策略幾乎是各位網(wǎng)絡(luò)管理人員管理網(wǎng)絡(luò)時的必用利器之一，有關(guān)該利器的常規(guī)應(yīng)用技巧，相信許多人都已經(jīng)耳熟能詳了。例如，可使用"組策略"從桌面刪除圖標(biāo)、自定義"開始"菜單并簡化"控制面板"。此外,還可添加在計算機(jī)上（在計算機(jī)啟動或停止時，以及用戶登錄或注銷時）運行的腳本，甚至可配置Internet Explorer。 但是在組策略在企業(yè)中的應(yīng)用還遠(yuǎn)不止此，更多深層次的應(yīng)用，讓我們一起來探索組策略在企業(yè)中的應(yīng)用吧！
技術(shù)門診是51CTO社區(qū)品牌欄目，每周邀請一位客座專家，為廣大技術(shù)網(wǎng)友解答疑問。從熱門技術(shù)到前沿知識，從技術(shù)答疑到職業(yè)規(guī)劃。每期一個主題，站在最新最熱的技術(shù)前沿為你引航
本期門診特邀請微軟技術(shù)專家、三屆微軟windows方向MVP蘇繁與大家交流分享組策略管理在企業(yè)中的深層次應(yīng)用。大家可針對組策略的應(yīng)用以及日常管理中遇到的組策略的相關(guān)問題與專家進(jìn)行互動交流。
姓 名：蘇繁
擅長領(lǐng)域：windows
三屆連任的微軟最有價值專家（Windows方向），河南微軟技術(shù)聯(lián)盟的創(chuàng)建人。熱衷于微軟產(chǎn)品和技術(shù)的學(xué)習(xí)及推廣，擅長 Windows Client/Server 技術(shù)，Windows SBS 產(chǎn)品，Windows 的 MDT 部署，微軟虛擬化技術(shù)以及 IIS、DNS 在 Hosting 領(lǐng)域的技術(shù)應(yīng)用。
查看本期門診精彩實錄：http://doctor.51cto.com/develop-163.html
參與最新技術(shù)門診：http://doctor.51cto.com/
精選本期網(wǎng)友提問與專家解答，以供網(wǎng)友學(xué)習(xí)參考。
Q：域的組策略是一直在用的,我工作中主要應(yīng)用的功能就是通過策略安裝打印機(jī),軟件,桌面重定向等等.今天遇到專家,不禁想了解一下.組策略的深層應(yīng)用,有那些比較實用的功能??可以為企業(yè)或者系統(tǒng)管理帶來什么樣的效果?先謝過了!
A：yjtmail您好，我們知道組策略實際上就是系統(tǒng)策略的高級擴(kuò)展，通過MMC界面我們可以直觀地對注冊表進(jìn)行相關(guān)項的修改，此外還可以通過ADM文件添加更多的配置支持。在AD環(huán)境中我們依靠組策略來實現(xiàn)客戶端配置的集中化管理，從而幫助企業(yè)實現(xiàn)桌面標(biāo)準(zhǔn)化并降低維護(hù)成本。
Q：一般企業(yè)中常用的組策略的設(shè)置有哪些呢？最經(jīng)常設(shè)置的地方時哪里呢？是否有相應(yīng)的設(shè)置模板？對于一個使用AD域環(huán)境的組策略，最多設(shè)置的組策略是否有限制？為什么？如果領(lǐng)導(dǎo)要求調(diào)出已經(jīng)在企業(yè)環(huán)境中已經(jīng)實施的組策略，可否有快捷簡便的方法顯示出在具體某個OU或者部門間實施的組策略設(shè)置？謝謝專家指點！
A：bluebaby001您好，企業(yè)中常用組策略的設(shè)置主要依據(jù)企業(yè)的實際需求，比如禁用無用的服務(wù)、軟件限制、目錄權(quán)限、文件夾重定向等等。GPO支持添加模板，擴(kuò)展名通常為ADM或ADMX。對于用戶或計算機(jī)賬戶最多能應(yīng)用999個組策略，有關(guān)相信的信息可以參考：http://technet.microsoft.com/en-us/library/cc756101(WS.10).aspx GPO的管理可以使用GPMC。
Q：現(xiàn)在還沒有用到這個相關(guān)的知識，但是對這個很感興趣，有什么好的書推薦，最好既有理論又有實踐的，或者什么好的學(xué)習(xí)途徑，請介紹一下，謝謝了！
A：jisuanji11011您好，推薦兩個網(wǎng)站：Windows Server 組策略、Group Policy Team Blog?！禬indows Group Policy Administrator's Pocket Consultant》這本書的口碑不錯！但是我個人建議其實可以多在網(wǎng)上找些資料看看。另外強(qiáng)烈推薦Technet Webcast給你，早先推出過《組策略高手·完全手冊》系列的視頻廣播，我認(rèn)為對學(xué)習(xí)組策略非常有價值。
Q：呵呵，問一下，域用戶漫游生成的文件夾，在刪除用戶，對應(yīng)的文件夾，用ADMINISTRATOR刪除不了，提示沒有相應(yīng)的權(quán)限，在域服務(wù)器上。有什么正確的流程進(jìn)行刪除不，關(guān)于漫游用戶方法。再比如：一個漫游的用戶改名，怎么讓改名后用戶對應(yīng)未改名時的用戶文件夾，怎么取得相關(guān)的權(quán)限，謝謝解答！
A：除去安全因素考慮，生成的用戶目錄默認(rèn)只有CREATOR OWNER有完全控制權(quán)限，如果管理員要對其進(jìn)行修改，必須先獲得所有權(quán)再添加其他用戶權(quán)限。如果公司安全策略允許，可以為主目錄的安全權(quán)限做適當(dāng)調(diào)整，添加相應(yīng)的管理組對主目錄下的子文件夾及文件有對應(yīng)的權(quán)限。用戶更名后，本地用戶目錄并不會更改名稱，在注銷后會重新將文件同步到服務(wù)器。或者修改用戶配置文件將其設(shè)定為強(qiáng)制漫游，即手工指定配置文件路徑。
Q：在組策略為啥不能徹底禁用QQ呢，在"用戶配置" >"管理模板">"系統(tǒng)" >"不要運行指定的windows應(yīng)用程序" 里面設(shè)置了，禁用QQ.EXE ，為啥點擊"QQ在線"狀態(tài)以后，可以啟動QQ呢？
A：我個人認(rèn)為您的這種做法并無法有效地禁用QQ，"不要運行指定的windows應(yīng)用程序"說明中已經(jīng)清楚地進(jìn)行了解釋。
我建議通過用戶配置-windows設(shè)置-安全設(shè)置-軟件限制策略進(jìn)行禁用。如：新建路徑規(guī)則，添加 *qq*，安全級別為不允許，但是如果用戶有權(quán)限能更改其名稱，那么就需要通過證書規(guī)則或哈希規(guī)則來禁用，這兩項的數(shù)據(jù)可以從qq.exe文件屬性中數(shù)字簽名中獲取。
Q：專家，你有實施過SCOM的經(jīng)驗嗎，能不能推薦一本好點書。
A：對不起我對SCOM并不熟悉，很多資料我都會先從網(wǎng)上進(jìn)行搜索，比如閱讀微軟SCOM網(wǎng)站或官方的Blog，此外TechNet Webcast推出過SCOM系列專題的網(wǎng)絡(luò)廣播，可以下載學(xué)習(xí)。
Q：生成的用戶目錄默認(rèn)只有CREATOR OWNER有完全控制權(quán)限，如果管理員要對其進(jìn)行修改，必須先獲得所有權(quán)再添加其他用戶權(quán)限，請講一下，管理員怎么獲得所有權(quán)，是不是所有者改為administrator。
A：是的，將所有者改為管理員賬戶，就可以進(jìn)行權(quán)限配置。大致步驟：進(jìn)入該目錄屬性，切換到安全選項卡，進(jìn)入高級設(shè)置并切換到所有者選項卡。
Q：專家您好，我想問一下，在中小企業(yè)中的Windows服務(wù)器管理方面能夠?qū)嵤┦裁唇M策略呢，組策略對管理來說又有什么利與弊呢，在此謝過！
A：為Windows服務(wù)器實施組策略能極大地降低系統(tǒng)管理員的工作量，例如指定這些服務(wù)器要禁用的服務(wù)，允許本地登錄的賬戶，賬戶鎖定策略，文件系統(tǒng)權(quán)限規(guī)劃，IPSec等等。
要統(tǒng)一實施組策略，計算機(jī)必須加入到AD。如果企業(yè)內(nèi)一些服務(wù)器不適用于AD環(huán)境，那么就只能通過單機(jī)組策略進(jìn)行配置，可以使用gpedit.msc進(jìn)行配置。
Q：修改組策略就是修改注冊表，但是組策略里能修改的東西相對于注冊表還是比較少的，您這里說的組策略深層次應(yīng)用，個人覺得是不是通過修改注冊表能夠更深層次的管理系統(tǒng)，（當(dāng)然注冊表要遠(yuǎn)遠(yuǎn)復(fù)雜與組策略）
A：組策略并不能完全對照注冊表的各個項進(jìn)行修改。它主要用于幫助管理員對計算機(jī)和用戶的管理配置指定選項。這樣當(dāng)一臺計算機(jī)加入到域后就能夠通過組策略進(jìn)行預(yù)定義配置，以滿足企業(yè)的需要。此外用戶也能通過組策略的預(yù)定義配置，來獲得更好的桌面體驗。
Q：您好,我想問下,組策略可不可以像注冊表那樣,編寫reg文件的方式,快捷的修改呢?我之前都是為了防范優(yōu)盤病毒,添加路徑規(guī)則,一條一條添加,如h:\*.exe j:\*.bat等等,好累.能否建立一個文件,以后一執(zhí)行就都弄好了.
A：可以創(chuàng)建一個只包含路徑規(guī)則的GPO，并使用GPMC將其備份出來，以后再使用時就可以在創(chuàng)建了新的GPO后，先將包含路徑規(guī)則的GPO備份導(dǎo)入現(xiàn)有GPO中。
Q：我在dc上建了個組織單元在里面建了個用戶，然后對組織單元實施組策略，可是用這個用戶登陸域之后沒什么變化，就是組策略沒起作用，重起了也沒什么用。
A：建議在客戶端實行update /force之后根據(jù)提示重新啟動，使用rsop.msc檢查是否執(zhí)行了策略。否則請檢查日志是否有相關(guān)的警告或錯誤。做進(jìn)一步分析。
Q：想問一下...如何公司的管理不是域模式;就是普通的工作組模式;那除了用組策略單個設(shè)置各臺機(jī)器的外，還有什么其它的用途呢？謝謝了！
A：使用組策略在AD環(huán)境下是最高效的。
Q：專家你好！剛剛畢業(yè)參加一家公司工作就遇到了這個組策略的問題！真的很不錯！至少我想在網(wǎng)吧里有很多的桌面的東西不讓看不讓改都用了了它！想請專家推薦幾本講組策略的書看看！謝謝！
A：參考前面的解答，其實網(wǎng)上就有不少資源，特別是Technet上提供不少有價值的咨詢。感謝提問。
Q：蘇先生你好，我想請教一下：
1.是否有一個域控制器控制多個域的組策略的方案
2.建立多個域之間的信任關(guān)系需要注意什么樣的安全性的問題
A：wenduke，您好。能否進(jìn)一步介紹說明您當(dāng)前的架構(gòu)體系。
Q：您好！我想請問一下，學(xué)習(xí)網(wǎng)絡(luò)管理員必備的專業(yè)課程有哪些？謝謝！
A：我個人認(rèn)為，網(wǎng)絡(luò)管理員具備的專業(yè)課程取決于您當(dāng)前服務(wù)的環(huán)境，再進(jìn)行投入性的學(xué)習(xí)。但是對于行業(yè)通用的產(chǎn)品或技術(shù)應(yīng)該有一定的認(rèn)識。謝謝！
Q：專家你好：為什么在本地策略中管理員狀態(tài)和來賓用戶狀態(tài)都不適用，怎么修改呀？
A：zhengweiping，您好！您提問中的管理員狀態(tài)和來賓用戶狀態(tài)具體指的是什么？
Q：今日有幸遇到專家，想了解一下，組策略是否可以設(shè)置有關(guān)網(wǎng)絡(luò)端口方面的內(nèi)容，比如BT的端口，QQ的端口。謝謝。
A：zhuzengju，您好！對于您的問題，我理解的是是否能夠通過組策略對客戶端配置端口策略。在組策略中，我們可以通過安全設(shè)置-IP安全策略對端口進(jìn)行設(shè)置。
Q：你好！在域控制器上的應(yīng)用組策略的時候提示，組策略不可用，但Netlong服務(wù)是正常運行，請問這種問題該怎樣解決？
A：能夠提供更詳細(xì)的錯誤信息，日志中是否有相關(guān)的警告錯誤呢？執(zhí)行g(shù)pupdate /force會獲得一些可用信息。
Q：專家您好，我想請您推薦幾本關(guān)于組策略及企業(yè)應(yīng)用方面的入門和中級的書，以前學(xué)習(xí)過這些。。但是不是重點學(xué)習(xí)，對于策略的應(yīng)用及規(guī)則很不懂。。也希望多學(xué)習(xí)學(xué)習(xí)。謝謝了。
A：組策略的學(xué)習(xí)上面已經(jīng)解答過，可以通過微軟Technet Webcast進(jìn)行學(xué)習(xí)。那里有不少好資源。企業(yè)應(yīng)用入門，可以找找Microsoft TechNet中文資源指南 - 企業(yè) IT 構(gòu)建核心基礎(chǔ)架構(gòu)解決方案。網(wǎng)上應(yīng)該能夠找到電子版的。
#P#
Q：老師您好，請教您一個問題果在域環(huán)境中，普通域用戶是沒有磁盤管理權(quán)限。請問在組策略中能否進(jìn)行相關(guān)設(shè)置，允許普通域用戶具有磁盤管理權(quán)限。
A：使用組策略中計算機(jī)配置-windows設(shè)置-安全設(shè)置-文件系統(tǒng)，即可為客戶端配置統(tǒng)一的磁盤權(quán)限。謝謝提問！
Q：蘇先生，你好！我想請問一下，對于企業(yè)管理與維護(hù)來說，具體地該怎樣應(yīng)用組策略來達(dá)到信息安全的最大化？謝謝！
A：清楓俠士，您好！企業(yè)信息安全最大化，我個人認(rèn)為是一個龐大復(fù)雜的工程。首先要有一個安全標(biāo)準(zhǔn)，然后根據(jù)這個安全標(biāo)準(zhǔn)實施安全措施，其中GPO也只是一種手段。對于系統(tǒng)高級選項的設(shè)置以及支持GPO的應(yīng)用軟件，我們可以依靠GPO對AD中的服務(wù)器和客戶端PC實施統(tǒng)一的預(yù)配置。在GPO的安全設(shè)置中提供了賬戶、本地、防火墻、軟件限制等多種策略。
Q：組策略中有連個計算機(jī)配置和用戶配置，他們之間的區(qū)別在那啊？設(shè)置好以后必須重啟電腦嗎？
A：計算機(jī)配置和用戶配置，顧名思義。一個是針對計算機(jī)設(shè)置的，一個是針對用戶設(shè)置的。他們的選項內(nèi)容還是有一定的區(qū)別。比如在計算機(jī)配置下就能夠?qū)ξ募到y(tǒng)、系統(tǒng)服務(wù)、注冊表等隸屬計算機(jī)對象的選項進(jìn)行配置。此外，當(dāng)為一個OU配置GPO時，如果其中包含計算機(jī)和用戶對象，并設(shè)置了GPO中的計算機(jī)配置和用戶配置。當(dāng)一個域帳戶登錄時會應(yīng)用GPO的計算機(jī)配置和用戶配置，但如果是OU之外的一個沒有配置GPO的AD賬號登錄計算機(jī)，則只應(yīng)用計算機(jī)配置。如果是計算機(jī)的一個本地賬號登錄那么也只應(yīng)用計算機(jī)配置。
在配置了GPO后，可以在客戶端執(zhí)行g(shù)pupdate/force，根據(jù)提示選擇是否重新啟動。
Q：在組策略中哈希和路徑的區(qū)別，用了之后也沒發(fā)現(xiàn)區(qū)別，看了網(wǎng)上的資料也不是很清楚， 蘇教授您分析一下。
A：rengguangli78yu，您好！軟件限制策略中一旦添加了路徑規(guī)則，那么如果用戶將程序名稱修改你講無法實施對該軟件的限制策略。而使用哈希值，即使程序更名或移動位置也能被識別，此外利用哈希值也可以幫助用戶防止病毒。只要文件本身內(nèi)容不變，那么它的哈希值就不會變化。相比較路徑規(guī)則，利用哈希值能更準(zhǔn)確得識別對象。
Q：專家您好！我最近正好在學(xué)習(xí)組策略相關(guān)知識，前二天做一個ipsec安全策略的時候遇到問題，問了好多人無法解答，問題如下：
環(huán)境：工作組模式，一臺PC ，ip:172.19.51.3,netmask:255.255.255.0,gateway:172.19.51.1，機(jī)器無任何還原軟件。
實驗?zāi)繕?biāo)：限定該P(yáng)C只能與同一網(wǎng)段以及外網(wǎng)某一IP（假設(shè) 1.1.1.1）通訊，其它通訊都阻止。
實驗步驟：在組策略的計算機(jī)配置-ip安全策略中設(shè)置了2條IP安全規(guī)則，1是允許該機(jī)與同網(wǎng)段IP以及外網(wǎng)某一IP通訊，2是拒絕其它所有通訊，然后做了指派，再進(jìn)行g(shù)pupdate /force,當(dāng)時測試了一下，生效，達(dá)到了預(yù)期目的，緊接著重啟電腦，再測試發(fā)現(xiàn)不起效果了，不知何故，請專家解答一下，謝謝！
有點長，不好意思 ：）
A：號天，您好！對于您的問題我的理解是，您希望通過實施IPSec，實現(xiàn)如下的目標(biāo)：
1、該計算機(jī)只能與同網(wǎng)段IP及其他網(wǎng)段某一IP通訊；
2、同網(wǎng)段IP及其他網(wǎng)段某一IP能訪問該計算機(jī)。
那么你需要創(chuàng)建創(chuàng)建兩個拒絕規(guī)則
1、拒絕任何計算機(jī)訪問本機(jī)
2、拒絕本機(jī)訪問任何計算機(jī)
之后創(chuàng)建2個允許規(guī)則，后面不再復(fù)述。
當(dāng)重新啟動計算機(jī)后"不起效果"，具體是什么故障問題？！建議用rsop.msc執(zhí)行GPO分析。
Q：請問專家如何搭建組策略學(xué)習(xí)的環(huán)境，如果身邊不具備AD的實驗環(huán)境，又想深入學(xué)習(xí)組策略應(yīng)用的話。是否可是使用虛擬機(jī)環(huán)境？
A：likejackie，您好！如果能搭建虛擬環(huán)境，那么將會對學(xué)習(xí)提供很大的便利。對于GPO的學(xué)習(xí)，我個人認(rèn)為還是應(yīng)該在AD環(huán)境中進(jìn)行學(xué)習(xí)和實驗。
Q：對于組策略中軟件的部署，客戶端用戶需要什么權(quán)限！MSI的文件包好象是USERS組就可以了，但其它的格式的文件好象要administrators!
A：windyeye，您好！通常通過GPO部署MSI無需管理憑據(jù)。如果使用zap則需要管理憑據(jù)，即有安裝權(quán)限的賬號。此外通常使用GPO部署軟件時建議通過計算機(jī)配置進(jìn)行分發(fā)。
Q：專家好，我現(xiàn)在遇到這樣一個問題，在域中一臺DNS上緩存的記錄是錯誤是記錄，假設(shè)說DNS的緩存中的A記錄是：a.demo.com的IP：202.106.199.34，在demo.com的NS服務(wù)器中根本就沒有創(chuàng)建a.demo.com這個域名，為什么DNS緩存中會有這個地址呢？這是什么原因造成的？請指教，謝謝。
A：pc-fans，您好！可以嘗試清除緩存。如果仍能解析a.demo.com，那么可能是demo.com的ns服務(wù)器中創(chuàng)建了該域名的范解析記錄。
Q：我是一家公司的IT，請問我如何說服我們總監(jiān)同意在公司使用AD呢（用戶客戶端多未加入域）？您能例舉出具體的優(yōu)勢嗎？
A：簡單說AD是一種管理架構(gòu)，他是為實現(xiàn)安全管理和標(biāo)準(zhǔn)化管理為宗旨的。利用AD我們可以合理、安全的分配企業(yè)內(nèi)部的信息資源，例如允許哪個用戶登錄到哪臺計算機(jī)，訪問指定的資源，并統(tǒng)一Windows桌面設(shè)置。每臺計算機(jī)都不再是信息孤島，他們彼此安全的相連接并被集中統(tǒng)一管理著。此外微軟很多產(chǎn)品都與AD集成，如ISA，Exchange等等。這里我強(qiáng)烈建議您瀏覽兩個地址：
Windows Server 2003 活動目錄
活動目錄的新特性
Q：專家好，我是一個組策略的初學(xué)者。我想問一下組策略有沒有模板一類的東西，在使用的時候可以直接導(dǎo)入。要怎么導(dǎo)入和導(dǎo)出組策略？
A：GPO提供管理模板，一些應(yīng)用程序也提供GPO模板供使用，如Office，OCS等等。進(jìn)入組策略編輯器后選中管理模板，右鍵單擊出現(xiàn)列表，使用添加/刪除模板來管理adm模板，可參考：http://support.microsoft.com/kb/816662。在Windows Server 2003資源工具包中包含了一些GPO模板。如果你希望直接能應(yīng)用自己預(yù)先配置好的設(shè)置，則需要編寫ADM文件?？蓞⒖迹?A >http://support.microsoft.com/kb/323639。否則可以通過GPMC導(dǎo)出GPO，可參考：http://technet.microsoft.com/zh-cn/library/cc759276(WS.10).aspx。
Q：專家好：我們公司使用軟件限制策略限QQ軟件，使用散列規(guī)則限制，但是由于QQ的版本很多，很難做到?jīng)]有遺這應(yīng)該怎么辦？我們公司的防火墻很爛，做不了QOS，但有些機(jī)器卻不能禁止使用下載軟件，有沒有什么辦法可以的限制一下下載軟件的速度（哪種下載軟件都可以，不過要使用服務(wù)器統(tǒng)一控制下載速度）。
A：anyuepiaoling，您好！據(jù)我所知目前Tencent對允許登錄的版本是有限制的，過低的版本貌似已經(jīng)無法登錄。如果你的描述涉及到第三方修改的版本，建議你對這些版本進(jìn)行收集并并創(chuàng)建哈希規(guī)則。同時創(chuàng)建路徑規(guī)則如：*qq*來進(jìn)行禁用。
要進(jìn)行速度限制恐怕GPO無法實現(xiàn)，需要借助其他軟件。謝謝！
Q：謝謝老師的回答！通常使用GPO部署軟件時建議通過計算機(jī)配置進(jìn)行分發(fā),為何通過計算機(jī)配置進(jìn)行分發(fā)好一點！
A：windyeye，您好！使用用戶配置會導(dǎo)致每個用戶在登錄時都執(zhí)行一次安裝。謝謝！
Q：蘇先生，你好，我想請問一個比較簡單的問題，通過組策略，如果鎖定桌面用戶的圖標(biāo)或者通過管理員統(tǒng)一更改呢？用戶的開關(guān)機(jī)情況是否可以通過組策略來統(tǒng)一匯總查看呢？謝謝。
A：可以使用用戶配置-管理模板-桌面來進(jìn)行配置。而用戶開關(guān)機(jī)記錄無法通過GPO實現(xiàn)統(tǒng)一匯總查看。
Q：專家您好，有關(guān)桌面維護(hù)這一塊，在企業(yè)中，如何設(shè)置組策略可以讓系統(tǒng)更安全，有沒有相關(guān)的組策略的導(dǎo)入導(dǎo)出工具（針對XP系統(tǒng)），有沒有相關(guān)的書籍系統(tǒng)的介紹這一塊，望推薦一本。謝謝?。?/SPAN>
A：gengliang，您好！推薦您閱讀前面的解答。謝謝！
Q：專家，您好！請問在域控制器的組策略管理平臺中，提供了哪些組策略的管理工具，以及這些工具在什么時候使用可以達(dá)到事半功倍的效果？謝謝！
A：GPMC和AGPM都是用來管理組策略的管理工具。前者在WinXP和WinSRV2003是最常用的。關(guān)于AGPM建議閱讀http://technet.microsoft.com/zh-cn/library/dd420488.aspx
【編輯推薦】
