1、组策略的具体设置数据保存在GPO中 创建完AD后系统默认的2个GPO:默认域策略和默认域控制器策略 GPO所的对象:S(站点)D(域)OU(组织单位),当然也可以应用在本地GPO控制的对象:S、D、OU中的计算机和用户 GPO的组件存储在2个位置: GPC(组策略容器)与GPT(组策略模板) GPC:GPC是包含GPO属性和版本信息的活动目录对象 GPT:GPT在域控制器的共享系统卷(SYSVOL)中,是一种文件夹层次结构 。3. 组策略更改后不是立即生效,可以通过运行:gpupdate / force命令来立即刷新。4. 默认下层容器会继承上层容器的策略,如下图: 5. 下层可以通过阻止策略
2、继承按钮,不继承上层的策略。如图:6. 上层也可强制下层来继承策略,就算下层开了阻止策略继承也要继承。7. 策略之间出现冲突时,遵循以下几点1. 如果同一个容器的计算机策略和用户策略都设置了,但这2个的策略之间相互冲突,并且这个容器下的用户恰好登录了这台计算机,那么计算机策略和用户策略同时都要生效,这时计算机策略覆盖用户策略!2.不同层次的策略产生冲突时,子容器(上层)上的GPO优先级高!3.同一个容器上多个GPO产生冲突时,处于GPO列表最高位置的GPO优先级最高。8. 筛选组策略设置,将用户或者组添加到安全组,在应用组策略选项后选择拒绝即可 软件策略:指派与发布1.建立一个共享文件夹,将要
3、实施的MSI格式软件放入共享文件夹。2.利用组策略的软件安装找路径(网络路径)3. 选择发布/指派软件 a)指派, 程序在【开始】菜单中 b)发布, 程序显示在【控制面板】|【添加/删除程序】中4. 软件指派:可以针对计算机和用户:将软件指派给计算机,计算机启动时软件将自动安装在Documents and SettingsAll Users。将软件指派给用户,只有在点击软件后才开始真正安装。下图给出了指派给用户的例子:5. 路径一定要是网路路径,如下图:只有第二个才是合法的网路路径。6. 在客户端登入后,可以看到软件已经成功指派到了指定用户,如下图:7. 只有在软件运行后才开始真正的安装:8.
4、 软件发布只能针对于用户,计算机下无法使用发布,具体实例如图:9. 在用户配置下使用软件发布,具体如图:10. 在客户端登入后,可以看到软件已经成功发布到了指定用户,如下图:用户漫游登入用户可以在域任何机器成功登入后,使用相同的配置文件。1.在AD域控上新建一个用户,我这里利用之前的用户liyang ,在AD域控上新建一个文件夹work, 在work下建一个同名liyang文件夹,并启用共享,如图:2.给予Everyone相应的权限,如图:3.在安全-高级的属性里,做相应的权限设置,把下面的勾取消掉,在弹出的对话框做对应操作如图:4.把文件的所有权给予对应的liyang用户,如图:5.在权限属性里,将liyang用户添加进去,如下图:6. 并给予相应的权限,如下图:7. 如图:注意liyang用户是特殊权限,并应用到子对象:8.下一步,如图:9. 记得给予管理员完全控制的权限:10. 在用户属性里面 - 配置文件 配置文件路径:AD域的IP地址共享文件夹 如图:11. 在客户端用liyang用户登入后,可以查看到已经是通过漫游登入了,如图:12注销客户端用户,如图:13.在AD域控上的liyang文件下可以看到客户端的配置文件了。14. 看到桌面下有4个图片文件,如图: 15.登入到客户端,看桌面确实有4个图片文件,如图16.你可以在域任何机器上登入后桌面都一样,这样确实很方便。