用域控来禁止公司局域网的U盘.docx

《用域控来禁止公司局域网的U盘.docx》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、用域控来禁止公司局域网的U盘、禁止移动硬盘等USB存储设备制作背景:在公司局域网中，有时候处于网络安全的考虑，需要禁止电脑USB接口使用，尤其是需要完全禁用U盘、禁止移动硬盘等USB存储设备的使用，而通过AD组策略禁用USB接口使用、域控制器禁用USB端口、域AD组策略禁用U盘是一种比较有效的方法制作方法及工具:在Windowsserver2003sp2下建立一个ActiveDirectory域控制器，通过域控制器来控制域里的所有电脑的USB接口使用，在域控下建立一个组织单元（OU），给OU一个组策略控制，在组策略里控制USB

2、接口的使用，需要一个usb.adm文件来实现，需将局域网内的所有用户都加入所建的域。关键词：服务器，AD，OU，USB使用需求及目的：公司局域网中，对于网络安全的考虑，信息安全的维护，以及病毒的防止，所以采用AD来实现禁止USB的使用。来实现内网安全，防信息泄露及防病毒入侵。内容及实现方法：1域控制器的安装：1.1安装条件：1.1.1域的定义：在网络环境中，有很多台计算机，每台计算机里面都有一定的资源，为了便于管理这些分散的资源所以要使用域环境进行集中的管理。 那么什么是域？域是一种有多台计算机上组成的逻辑环境，所有域中的重要

3、资源都保存在域控的数据库中，并且进行集中管理。1.1.2采用windowsserver2003域的特点： windows2003域采用活动目录（ActiveDirectory，AD）技术，集中管理资源，便捷的网络访问，良好的可扩展性是他最大的特点。安装域实际上就是安装活动目录（AD），他有6点重要的安装条件。   （1）必须以管理员的身份安装     （2）windows2003版本的系统，除web版之外     （3）硬盘中至少有一个分区为NTFS分区     （4）配置好IP地址     （5）网络中有相应的DNS服务器 

4、    （6）有足够的可用空间1.1.3安装前需配好IP地址及ＤＮＳ服务器：如何配置好IP地址和网络中没有DNS服务器的支持：由于是要安装域控制器。并且网络中没有DNS服务器，所以首选DNS使用本机IP地址图一:设服务器的ip及DNS图二：设定DNS1.1安装域控制器：1.1.1根据向导安装域控制器：图三：添加服务器角色图四：选择域控制器图五：运行AD域图六：安装向导：图七：系统兼容性说明；图八：选择所建域的类型;图九：创建一个新域；图十：设定域名图十一NetBIOS域名图十二：数据库和日记文件夹图十三：共享文件夹图十四：DN

5、S诊断图十五：选择用户和组对象默认权限图十六：安装所选配置安装完成提示重启，重启之后可以看到增加了一个域:图十七：安装完成重启1.1结果重启之后可以明显的看出我们添加了AD域，接下来我们可以进入管理AD中的用户和计算机进行对域中的计算机管理图十八：成功建域图十九：打开AD用户和计算机2组策略的配置：2.1组策略的设计：2.1.1新建组策略：要控制usb接口，需在域下建一个组策略AD→右键所加的域新建OU（组织单元）→右键属性→组策略→新建→编辑图二十：新建组织单元图二十一：新建组策略为nou2.1.2组策略的编辑：将之前写好的

6、usb.adm文件存入inf文件夹下并命名为1.adm，打开组策略编辑器→计算机配置→管理模板右键→添加/删除模板→添加1.adm图二十二：添加脚本1.adm2.1.3添加了1.adm之后我们可以看到管理模板下多了一个模板CustomPolicySettings。现在右键CustomPolicySettings查看→筛选去掉“只显示完全控制的策略”上的勾，进入CustomPolicySettings下的RestrictDrives，对usb接口进行调试；图二十三：去掉“只显示完全控制的策略”上的勾图二十四：阻止Usb接口的存储

7、设备注：启用disableUSB，disableUSBports选择enable1.1对安全选项的系统文件进行权限的修改1.1.1添加文件usbstor.infusbstor.PNF：windows设置→安全设置→右键文件系统→添加文件→cwindowsinfusbstor.inf和cwindowsinfusbstor.PNF文件图二十五：添加文件；2.2.2文件权限的修改：图二十六：删除所有用户图二十七：文件夹的权限1.2组策略建设的总结：经过添加usb禁止脚本及对文件夹权限的控制，所以通过这个组策略在域下这个单

8、元组织所控制的计算机的USB存储设备不能被识别。1客户端加域及策略的更新：1.1前言要实现域管理计算机，必须先将计算机加入域中，才能实现域管理1.2加域：1.2.1加域前，需将pc的IP地址固定，且DNS设为域的IP，图二十八：修改pc的IP(记得修改DNS)1.2.2同一个