组策略-高级篇.ppt

《组策略-高级篇.ppt》由会员上传分享，免费在线阅读，更多相关内容在PPT专区-天天文库。

1、组策略（高级篇）内容组策略继承及冲突处理慢速链接的组策略组策略的其他设置设计和管理组策略重、难点重点：组策略的继承（阻止继承、禁止替代）组策略的权限筛选难点：组策略对象的继承的设计组策略的设计任务一组策略继承和冲突处理1、一般继承与处理规则组策略的配置具有继承性:若父容器的某个策略被配置,但其子容器的策略未被配置,则子继承父容器配置值.若子容器的某个策略被配置,则此配置值会覆盖由父容器传递下来的配置值.组策略的配置具有累加性的：例如:”业务部”OU内建立了GPO,同时在域、站点内也有GPO，则所有配置值累加起来是最后有效值。组策略冲突的处理当Site，Domai

2、n，OU之间的组策略发生冲突时，以处理顺序在后的GPO优先，系统处理GPO的优先顺序是：站点GPO、域GPO、OU的GPO如果所有的组策略对象不发生冲突，同时应用。当同一对象连接到多个GPO时，所有GPO配置将被累加起来。若策略的设置发生冲突，以排在前面的GPO优先。冲突的处理系统先处理“计算机配置”,再处理“用户配置”,若有冲突,虽然“用户配置”处理顺序在后，但是大部分情况下以“计算机配置”优先GPO内个策略未配置与启用或禁用不会产生冲突关系。2、例外的继承性设置“阻止继承”设置“禁止替代”设置筛选设置“阻止策略继承”阻止策略继承：禁止从所有的高层继承GPO无

3、法选择针对哪些GPO，全部都禁止继承针对的是某一层次不能阻挡“禁止替代”设置“禁止替代”禁止替代：不管是否冲突，或者是否有“阻止继承”，始终生效针对的是具体某个组策略对象，而不是针对某个容器所有的GPO。高的“禁止替代”会覆盖低的“禁止替代”。应该设置在较高层次筛选组策略设置GPO的配置默认是被应用到这个容器内的所有用户与计算机默认用户等对象对该容器的GPO具有“读取”与“应用组策略”权限，查看方法：GPO->属性->安全也可使GPO对容器内特定的计算机/用户/组不生效使特定用户与计算机没有“读取”和“应用组策略”的基本权限，把这些用户添加到安全，设为“拒绝”即

4、可注：只有在组策略中具有读取和应用权限的对象才会应用组策略。设置筛选组策略3、特殊处理的设置慢速链接的GPO处理环回处理模式禁用GPO慢速链接的GPO处理可以设置让域内的计算机自动探测他们与域控制器之间的链接速度是否太慢,如果太慢,可以设置不要应用位于域控制器内的组策略.如图所示:慢速链接的GPO处理定义了即使慢速连接也要做软件安装策略处理环回处理模式系统会根据用户或计算机帐户在AD内的位置,来决定如何将GPO配置值应用到用户或计算机.实例:计算机帐户Server1->服务器OU(“服务器GPO”组策略)用户帐户Jackie->业务部OU(“业务部GPO”组策略

5、)当用户Jackie在Server1登录域时,用户环境由“业务部GPO”中的“用户配置”决定,而计算机环境由“服务器GPO”中的“计算机配置”来决定.但是在“业务部GPO”中的“用户配置”内,设置了位于“业务部”OU用户登录,自动安装某个应用程序,所以用户在任何一台计算机上登录系统都将为其安装应用程序.现不想替此用户在这台重要服务器Server1内安装,用“环回处理模式”.环回处理模式若在“服务器GPO”内启用此模式,则不论用户是位于何处,只要用户是利用“服务器OU”的计算机登录,环境就由“服务器GPO”的“用户配置”决定.环回处理模式“环回处理模式”分为两种模

6、式：替代模式：直接改由“服务器GPO”的“用户配置”来配置环境。合并模式：先处理“业务部GPO”的“用户配置”，再处理“服务器GPO”的，若有冲突，则“服务器GPO”内的优先。禁用GPO可以将整个GPO禁用也可只禁用GPO内的“计算机配置”或“用户配置”任务二组策略最佳实践：规划(1)尽量不要删除或者修改两个默认GPOs禁用GPO中没有作用的节点（计算机设置或用户设置），以加快登录速度。善用委派机制，减低系统管理员负担。每个新的GPO应先进行测试GPO的命名具有描述性如“工程部门软件部署策略”使用GPMC备份“默认域策略”和“默认域控制器策略”组策略最佳实践：规

7、划(2)在有AD的情况下，尽量不使用本地组策略限制域上的GPO数量，因为设置的GPO越多，登录所花费的时间越长。尽可能不使用影响组策略默认继承性的禁止替代阻止继承应用GPO时，尽可能将GPO关联到目标对象所在的容器上(比如OU)善用筛选机制，一方面可以使特定的组不应用组策略，另一方面可以加快这些组成员的登录速度。组策略实践练习：管理用户环境：管理模板策略账户策略用户权限分配策略安全选项策略登录/注销、启动/关机脚本文件夹重定向组策略实践(1)--管理模板策略当用户端的计算机在处理“管理模板策略”时，会将这些策略配置值存储到用户计算机的“登录”内，但是并不会将此计

8、算机的默认的登录值覆盖。